Come controllare la superficie di attacco del tuo portafoglio crypto: revocare le approvazioni, usare portafogli burner e rafforzare la sicurezza Web3

Perche il tuo portafoglio crypto ha una superficie di attacco (e perche la maggior parte degli utenti non se ne accorge)

Quando si parla di mantenere le criptovalute al sicuro, la conversazione di solito si ferma alle frasi seed e alle password robuste. Queste contano, ma riguardano solo uno strato del problema. La superficie di attacco del tuo portafoglio e significativamente piu ampia e cresce ogni volta che interagisci con la blockchain.

Una superficie di attacco e l'insieme totale di punti di ingresso che un avversario puo sfruttare per accedere ai tuoi asset senza la tua cooperazione. Per un portafoglio crypto, quella superficie include il dispositivo che usi, le estensioni del browser, i contratti intelligenti che hai autorizzato, le firme che hai prodotto e gli URL che hai visitato. Ogni interazione lascia un residuo - permessi, approvazioni e stati di sessione che persistono molto dopo che la transazione originale e dimenticata.

Le approvazioni di token sono la parte piu sottovalutata di quella superficie. Quando interagisci con un protocollo DeFi, firmi una transazione ERC-20 approve() che concede a un contratto intelligente il diritto di trasferire i tuoi token. La maggior parte dei protocolli richiede un limite illimitato per impostazione predefinita - firmi una volta e non ci pensi piu. Il contratto mantiene quel permesso a tempo indeterminato, anche se il protocollo viene successivamente compromesso, abbandonato o sostituito da una versione malevola.

Il meccanismo del phishing delle approvazioni e tecnicamente elegante e devastante. A differenza di un compromesso della chiave privata, un exploit di approvazione funziona a livello di contratto intelligente. L'attaccante ha bisogno solo di una tua firma: la chiamata approve(). Poi il drainer chiama silenziosamente transferFrom(), spostando i tuoi token verso indirizzi controllati dall'attaccante. La tua chiave privata non viene mai toccata.

Questa guida delinea i cinque passi che ogni utente di criptovalute dovrebbe seguire per ridurre la superficie di attacco del portafoglio a un livello gestibile. Il processo e pratico, richiede meno di un'ora e non richiede competenze tecniche oltre al collegamento di un portafoglio a un browser.

Passo 1 - Controlla le approvazioni di token esistenti

Prima di poter chiudere le lacune, devi sapere cosa hai lasciato aperto. Il primo passo e un audit completo di ogni approvazione di token attiva associata al tuo indirizzo. La maggior parte dei portafogli non mostra queste informazioni - la dashboard di MetaMask mostra i saldi, non l'elenco dei contratti autorizzati a spenderli.

Tre strumenti rendono questo audit semplice:

• Etherscan Token Approval Checker (etherscan.io/tokenapprovalchecker) - il riferimento on-chain piu utilizzato. Connetti il portafoglio o incolla il tuo indirizzo. Lo strumento elenca ogni contratto con approvazione attiva, il token approvato e l'importo del limite. Funziona per i token ERC-20 sulla mainnet Ethereum.
• Revoke.cash - supporto multi-chain: Ethereum, BNB Chain, Polygon, Arbitrum, Optimism, Base, Avalanche e decine di altri. Mostra importo, momento dell'approvazione e contratto ricevente.
• MetaMask Portfolio - se usi MetaMask, la scheda Portfolio su portfolio.metamask.io include una dashboard delle approvazioni su tutte le reti connesse con revoca con un clic.

Presta attenzione a tre categorie di approvazione:

• Approvazioni illimitate - qualsiasi approvazione con numero molto grande (o "illimitato") concede controllo completo sul saldo. Sono le voci a rischio piu elevato.
• Approvazioni per contratti sconosciuti o sospetti - se l'indirizzo dello spender non ha etichetta Etherscan o documentazione pubblica, trattalo come sospetto.
• Approvazioni obsolete di vecchi protocolli - i protocolli DeFi chiudono o vengono hackerati. Un'approvazione di due anni fa rimane attiva e sfruttabile.

Annota quali approvazioni vuoi conservare (posizioni attive) rispetto a quelle che non hai motivo di mantenere. Il passo successivo e il processo di revoca.

Passo 2 - Revoca approvazioni pericolose o illimitate

Revocare un'approvazione e una transazione on-chain. Costa gas, richiede alcuni secondi e rimuove permanentemente l'autorizzazione dello spender su quel token. Non devi chiudere le posizioni o ritirare i fondi prima.

Lavora la lista di audit nel seguente ordine di priorita:

• Priorita 1: Contratti sconosciuti o sospetti con approvazione illimitata. Nessuna etichetta Etherscan, nessun nome riconoscibile - revoca immediatamente.
• Priorita 2: Approvazioni illimitate obsolete per protocolli inattivi. Anche se riconosci il nome, se non lo usi attivamente, rimuovi l'approvazione.
• Priorita 3: Approvazioni illimitate per token di alto valore (ETH, WBTC, stablecoin) con protocolli attivi. Considera di impostare un'approvazione finita. Revoke.cash consente di modificare il limite.
• Priorita 4: Approvazioni illimitate rimanenti per protocolli attivi. Raggruppa le revoche per ridurre i costi di gas.

La revoca di solito non rompe le posizioni DeFi attive - la tua posizione nel pool di liquidita o staking persiste on-chain. L'approvazione conta solo per i futuri trasferimenti. In caso di dubbio, controlla la documentazione del protocollo.

Rendi la revoca parte della tua routine: esegui l'audit dopo ogni sessione DeFi importante e dopo ogni interazione con protocolli nuovi o non verificati.

Passo 3 - La strategia del portafoglio burner: isola il tuo rischio

Anche dopo aver revocato tutte le approvazioni esistenti, le nuove interazioni DeFi ne creeranno di nuove. La risposta strutturale e la segmentazione del portafoglio - specificamente, l'uso di un portafoglio burner dedicato.

Un portafoglio burner e un indirizzo di portafoglio hot separato usato esclusivamente per interazioni DeFi, creazione di NFT e richiesta di airdrop. Il principio centrale: il portafoglio burner contiene solo i fondi minimi necessari per la transazione immediata. I tuoi asset principali non risiedono mai nel burner.

Configurare un portafoglio burner richiede circa cinque minuti:

• Crea un nuovo indirizzo in MetaMask con una frase seed unica conservata offline.
• Finanzialo solo per la sessione. Prima di ogni interazione DeFi, trasferisci solo gas + token necessari. Dopo la sessione, restituisci il rimanente al portafoglio principale o hardware.
• Mantienilo separato dalla tua identita principale. Nessun collegamento con ENS, profili social o email.
• Ritiralo periodicamente. Crea un nuovo indirizzo burner ogni pochi mesi o dopo interazioni dubbie.

Il portafoglio hardware e il complemento del burner: Ledger o Trezor per holding principali, mai connesso direttamente alle dApp. La superficie di attacco del hardware wallet e quasi zero.

Passo 4 - Riconosci i tentativi di phishing delle approvazioni in tempo reale

Revocare le vecchie approvazioni elimina l'esposizione storica. Riconoscere i tentativi di phishing in tempo reale previene la creazione di nuova esposizione. Il phishing delle approvazioni si basa sull'ingegneria sociale per farti firmare una transazione che non firmeresti se capissi cosa fa.

La meccanica e coerente tra le campagne: la vittima viene indirizzata a un sito malevolo - tramite Discord, falso airdrop, URL contraffatto o impersonatore su X. Il sito chiede di "connettere il portafoglio" e poi richiede immediatamente un'approvazione che sembra di routine. Il bersaglio clicca conferma. Da quel momento il drainer ha accesso illimitato al token approvato.

Segnali di allarme di una richiesta di phishing:

• L'approvazione appare immediatamente dopo la connessione del portafoglio, prima di qualsiasi interazione significativa.
• L'indirizzo dello spender non ha etichetta Etherscan riconoscibile. Un indirizzo hex senza etichetta che chiede approvazione illimitata ERC-20 richiede cautela immediata.
• La richiesta e arrivata via messaggio diretto - da "supporto", "membro del team" o invito non richiesto. Nessun protocollo legittimo chiede di connettere il portafoglio via DM.
• L'URL e un omoglifo o typosquat. Confronta il dominio carattere per carattere. Naviga sempre dai segnalibri o dai link ufficiali.
• Viene chiesto di firmare dati off-chain (eth_sign) con payload insolito. Leggi l'intero hex prima di firmare.

In caso di dubbio, non firmare. Il costo di un'opportunita persa e sempre inferiore a quello di uno svuotamento per approvazione.

Passo 5 - Rafforza la tua igiene di firma

La tua chiave privata e sicura quanto il tuo comportamento di firma. Anche se il tuo portafoglio non viene mai direttamente compromesso, firmare in modo incauto ti espone all'intera gamma di vettori di attacco Web3 - phishing delle approvazioni, svuotamenti Permit2, chiamate delegate malevole e attacchi di replay della firma. La buona igiene di firma e la disciplina di trattare ogni richiesta di firma come potenzialmente ostile finche non viene verificata altrimenti.

Pratiche fondamentali di igiene di firma:

• Leggi i dati completi della transazione prima di firmare. MetaMask mostra un campo dati hex per ogni transazione. Espandilo. Guarda la funzione chiamata e l'indirizzo dello spender. Se i dati sono illeggibili e la dApp non riesce a spiegare cosa stai firmando, non firmare.
• Usa un portafoglio hardware per qualsiasi cosa al di sopra della tua soglia di rischio. Ledger o Trezor mostra fisicamente i dati completi della transazione sul proprio schermo, separato dal computer potenzialmente compromesso. Per holding superiori a poche centinaia di dollari, un portafoglio hardware e il singolo aggiornamento piu efficace.
• Non impostare mai approvazioni illimitate quando basta un importo specifico. La maggior parte dei flussi di approvazione ha una opzione "modifica importo". Usala. Inserisci l'importo esatto che stai depositando invece di accettare la cifra illimitata predefinita.
• Verifica ossessivamente gli URL delle dApp. Prima di connettere il portafoglio a qualsiasi protocollo, controlla l'URL con la documentazione ufficiale, l'account Twitter/X verificato e il repository GitHub. Salva l'URL corretto nei segnalibri dopo la tua prima visita verificata.
• Non firmare mai da un link ricevuto in un messaggio diretto, email o notifica di airdrop non richiesta. Ogni dApp legittima ha un URL pubblico verificabile. Un link in un DM da qualcuno che non conosci e per default un segnale d'allarme.
• Comprendi la differenza tra eth_sign e le firme di dati tipizzati. eth_sign firma un hash arbitrario e puo autorizzare qualsiasi cosa. Le firme di dati tipizzati (EIP-712) mostrano campi leggibili dall'uomo. Se MetaMask mostra un hash grezzo senza contesto, rifiutalo.
• Mantieni un ambiente di firma pulito. Le estensioni del browser possono iniettare codice malevolo. Mantieni un profilo del browser dedicato per le interazioni DeFi, con installata solo l'estensione del portafoglio. Nessuna estensione di analisi o altro che abbia accesso al DOM.

Cosa fare immediatamente se il tuo portafoglio e stato svuotato

La velocita e l'unica cosa che conta nei primi 30 minuti dopo uno svuotamento per approvazione. Le transazioni blockchain sono irreversibili, ma la pipeline dell'attaccante - convertire token rubati in stablecoin, bridge e incasso - richiede tempo. Ogni minuto in cui agisci puo potenzialmente ridurre le perdite.

Nei primi 10 minuti:

• Trasferisci immediatamente gli asset rimanenti fuori dal portafoglio compromesso. Se lo svuotamento e stato selettivo, altri token potrebbero essere presenti. Spostali su un indirizzo nuovo e pulito.
• Non usare lo stesso browser, computer o rete se sospetti un'infezione da malware. Passa a un dispositivo pulito prima di procedere.
• Revoca tutte le approvazioni rimanenti dall'indirizzo compromesso usando Revoke.cash o Etherscan da un dispositivo pulito.

Entro la prima ora:

• Documenta tutto. Screenshot degli hash delle transazioni di svuotamento, dell'indirizzo del contratto malevolo, dell'URL del sito e della sequenza esatta degli eventi.
• Segnala alla Polizia Postale (Italia) o all'FBI IC3 su ic3.gov. L'FBI IC3 ha registrato $11 miliardi di perdite legate alle crypto nel 2025 e coordina con le societa di blockchain analytics.
• Segnala il contratto malevolo alle piattaforme di analytics. Invia l'indirizzo del drainer a Etherscan, all'esploratore di catena rilevante e a Chainabuse.com.
• Contatta una societa di blockchain forensics. Societa come Recoveris si specializzano nel tracciare asset digitali rubati e costruire i pacchetti di prove per il recupero legale. Il coinvolgimento nelle prime 24-48 ore migliora significativamente la trazabilita.

Dopo la risposta immediata, conduci una revisione completa dell'incidente: identifica come e stata firmata l'approvazione malevola, chiudi la lacuna di sicurezza, controlla tutti gli altri portafogli e considera se i conti associati (email, exchange, social media) possono essere anch'essi compromessi.

Riferimenti

1. Chainalysis. Targeted Approval Phishing Scams See Explosive Growth. 14 dicembre 2023. chainalysis.com
2. Chainalysis. Crypto Scams 2026. Marzo 2026. chainalysis.com
3. Elliptic. Inside Operation Atlantic. 16 marzo 2026. elliptic.co
4. Elliptic. The State of Crypto Scams 2025. Dicembre 2025. elliptic.co
5. FBI IC3. 2025 Internet Crime Report. Aprile 2026. ic3.gov
6. FATF. Targeted Update on Virtual Assets and VASPs 2025. Giugno 2025. fatf-gafi.org
7. FATF. Virtual Assets: Red Flag Indicators. Settembre 2020. fatf-gafi.org
8. TRM Labs. 2026 Crypto Crime Report. Gennaio 2026. trmlabs.com
9. Ledger Academy. Ethereum Token Approvals Explained. Maggio 2024. ledger.com
10. Chainalysis. Crypto Drainers. Ottobre 2024. chainalysis.com
11. US Secret Service. Operation Atlantic. Aprile 2026. secretservice.gov
12. Etherscan. Token Approval Checker. 2024-in corso. etherscan.io
13. MetaMask. How to revoke smart contract allowances. 2024. support.metamask.io

Domande frequenti

Risorse correlate