La firma che ti svuota il portafoglio più tardi: come funzionano le truffe con airdrop e approval

Cosa succede davvero quando "firmi" da qualche parte?

Immagina che sul tuo indirizzo arrivi un token che non hai richiesto. Nel wallet vedrai magari "1.000 $REWARD" e insieme un sito che promette di poterlo riscattare con pochi clic. Apri il sito, colleghi il wallet e clicchi sul pulsante "Claim". Compare una finestra che chiede una firma. Ed è qui che si decide.

Nel mondo cripto esistono due tipi diversi di "firma", che sembrano quasi uguali ma significano cose diverse:

• La transazione è un'azione una tantum. Mandi qualcosa, scambi qualcosa, ed è fatta.
• L'approval (approvazione) è un permesso permanente. Dici a uno smart contract: "da adesso puoi manipolare questo token dal mio wallet."

L'approval di per sé non ruba nulla. È solo un permesso. I soldi spariscono solo più tardi, quando l'attaccante usa quel permesso, magari molto tempo dopo che ti sei ormai dimenticato del sito fraudolento. Per questo lo chiamiamo "la firma che ti svuota il portafoglio più tardi".

Come si presenta concretamente un approval scam, passo per passo?

Prendiamo un andamento tipo. I numeri sono illustrativi, servono a mostrare il meccanismo, non un caso reale.

1. Nel wallet ti arriva un token sconosciuto, per esempio "AirdropX". È comparso da solo, tu non hai fatto nulla.
2. Il token, nel nome o nella "descrizione", rimanda a un sito. Il sito sembra la pagina ufficiale del progetto.
3. Clicchi su "Claim reward". Il wallet mostra una richiesta di firma.
4. Firmi. Solo che ciò che hai firmato non era il ritiro di una ricompensa. Era un approve o un setApprovalForAll, cioè un permesso illimitato a un contratto sconosciuto di disporre del tuo stablecoin o dell'intera collezione di NFT.
5. Non succede nulla subito. Il wallet sembra normale.
6. Tre giorni dopo l'attaccante chiama la funzione transferFrom e si trasferisce via il tuo saldo. Tu vedi solo che i token sono spariti.

La seconda variante sono le cosiddette firme di phishing di tipo Permit. Lì non firmi una transazione, ma un messaggio (la firma è gratuita, non paghi commissioni per essa). Proprio questo è insidioso: poiché per la firma non paghi, ti manca quel momento in cui nel wallet compare il costo. Della commissione e del perché una normale transazione costa denaro parliamo nel nostro glossario alla voce gas-fee.

Perché un "approval" è più pericoloso di un normale trasferimento?

Perché un normale trasferimento è chiuso. Mandi dieci token, se ne vanno dieci token, fine. Con l'approval firmi una portata rivolta al futuro.

Inoltre molti permessi vengono concessi come illimitati (in pratica si tratta del numero tecnicamente più alto possibile). Questo significa che il contratto può mettere le mani non solo su ciò che hai adesso, ma anche su ciò che ti arriverà in futuro. Se tra un mese ti mandi sullo stesso indirizzo uno stipendio in stablecoin, il vecchio permesso vale ancora e l'attaccante può prosciugarlo anche quello.

L'aspetto fondamentale è questo: la presenza di un approval non significa ancora furto. Molte applicazioni legittime (exchange, servizi di scambio, protocolli di prestito) hanno bisogno dell'approval per il normale funzionamento. Il problema non è l'approval in sé, il problema è un approval concesso a qualcuno di cui non hai motivo di fidarti, oppure un approval che da tempo hai smesso di usare e che hai lasciato lì attivo.

Come esaminare i propri permessi e come revocarli?

Revocare un approval significa mandare una nuova transazione che riduce a zero quel vecchio permesso. Da quel momento il contratto in questione non ha più il diritto di muovere il tuo token.

La procedura generale si presenta così:

Due cose che è onesto dire ad alta voce:

• La revoca costa una commissione. Non è gratuita, perché è una vera transazione sulla rete. Quanto esattamente dipende dallo stato attuale della rete, e questo non lo prevediamo qui.
• La revoca non restituisce ciò che è già stato rubato. La revoca di un permesso è prevenzione e blocco di ulteriori prosciugamenti. Se l'attaccante ha già inviato via il saldo, la revoca non lo riporterà indietro.

Come riconosci una firma sospetta prima di confermarla?

Non esiste un segnale visivo sicuro al cento per cento, ma alcuni indizi si ripetono:

• Il pulsante promette un "claim" o una "reward", ma il wallet mostra una richiesta di approve, increaseAllowance o setApprovalForAll. È una contraddizione.
• La firma è "gratuita" e si tratta di un messaggio di tipo Permit, mentre il sito ti mette fretta.
• Il token che ti ha guidato all'azione è arrivato non richiesto.
• L'indirizzo a cui il permesso concede i diritti non è l'indirizzo dell'applicazione che stai effettivamente usando.

I wallet moderni oggi cercano di mostrare avvisi per le firme rischiose e di tradurre il contenuto tecnico in linguaggio umano. Prendilo come un aiuto, non come una garanzia. La decisione di firmare resta comunque tua.

Cosa dovresti saper fare adesso, e cosa resta incerto

Dopo questa lezione dovresti saper distinguere la differenza tra una transazione una tantum e un approval permanente, capire perché il wallet può venire svuotato in ritardo, e sapere che un approval si può esaminare e revocare con una transazione a sé.

Cosa resta incerto e cosa nessuno ti promette onestamente:

• Quanto costerà la revoca. La commissione dipende dalla rete in quel dato momento, non indichiamo qui alcun importo fisso.
• Se un contratto specifico è fraudolento oppure no. Lo strumento ti mostra a chi hai concesso cosa, ma non ci aggiunge automaticamente l'etichetta "ladro". La valutazione dell'affidabilità è sempre tua.
• Se la revoca aiuterà in tempo. Se l'attaccante ha sfruttato il permesso prima che tu riuscissi a revocarlo, la prevenzione non funziona più.

Questa è una lezione educativa di charliedesk Classroom. Non ti diciamo cosa comprare o vendere. Mostriamo come funziona il meccanismo, perché tu possa decidere a occhi aperti.