Come capire se il tuo wallet di criptovalute è stato hackerato: 10 segnali di allarme

Un trasferimento confermato che non hai autorizzato è il segnale più chiaro che qualcosa non va. Tuttavia, un wallet può diventare insicuro prima ancora che scompaia del denaro. Una frase di recupero rubata, un'autorizzazione di spesa nascosta o una modifica di chi controlla il wallet possono dare accesso a un aggressore anche quando il saldo sembra ancora normale.

Alcuni dei segnali riportati di seguito indicano un furto effettivo. Altri mostrano che il wallet o il dispositivo potrebbero essere esposti a rischi. La distinzione è importante perché la soluzione dipende da come l'aggressore ha ottenuto l'accesso.

Se i fondi stanno uscendo proprio ora, smetti di inviare denaro al wallet e passa direttamente alle misure di intervento verso la fine dell'articolo.

Che cosa significa davvero che un wallet di criptovalute è stato hackerato?

Le tue criptovalute sono registrate su una blockchain. Il wallet ti aiuta a controllarle tramite chiavi private o altre regole di autorizzazione. Una frase di recupero, detta anche seed phrase, può ricreare le chiavi di molti account del wallet.

La parola "hackerato" viene usata per descrivere diversi problemi:

• Chiavi rubate: qualcuno possiede la tua chiave privata o frase di recupero e può autorizzare transazioni da un altro dispositivo.
• Autorizzazioni sfruttate abusivamente: hai approvato un contratto o firmato una richiesta che permette a qualcuno di spostare determinati asset. Le tue chiavi potrebbero essere ancora private.
• Dispositivo o app compromessi: malware, un wallet falso o un'estensione dannosa rubano informazioni o modificano ciò che stai per inviare.
• Account su un exchange compromesso: qualcuno accede all'account presso la società che custodisce le criptovalute per te.

Un hardware wallet aiuta a proteggere le chiavi private, ma non può rendere sicura un'autorizzazione dannosa. Se autorizzi l'azione sbagliata, l'hardware wallet potrebbe firmarla correttamente.

1. Criptovalute reali escono dal wallet senza la tua autorizzazione

Trovi un trasferimento completato, una vendita di NFT o un prelievo che non sai spiegare. Potrebbe accadere mentre il telefono è spento o sei lontano dal computer.

Per prima cosa escludi un'operazione che avevi predisposto in precedenza, come un pagamento automatico, un prelievo da un exchange o un'azione all'interno di un'app di trading. Poi controlla la transazione effettiva sulla blockchain.

Verifica che sia stato spostato un asset autentico e che il saldo sia diminuito. Una voce insolita nella cronologia delle attività del wallet, da sola, non basta. I truffatori possono creare registrazioni ingannevoli di token che sembrano mostrare trasferimenti dal tuo indirizzo.

Quando confermi uno spostamento non autorizzato di asset reali, intervieni subito. Non occorre aspettare che il wallet venga svuotato completamente.

2. I nuovi depositi scompaiono quasi immediatamente

Invii ETH o un'altra moneta della rete al wallet per pagare le commissioni di transazione. Nel giro di pochi secondi viene trasferita a un indirizzo sconosciuto. Succede di nuovo con il deposito successivo.

Questo comportamento è tipico di uno sweeper bot, un programma che sorveglia un wallet esposto e preleva automaticamente i fondi disponibili. Dopo aver escluso automazioni impostate volontariamente, prelievi ripetuti di questo tipo sono un forte segnale di accesso non autorizzato.

Il bot può funzionare sul computer dell'aggressore. Chiudere l'app del wallet o riavviare il telefono non lo fermerà. Alcuni bot lasciano intatti i saldi piccoli fino all'arrivo di un deposito più grande, quindi il fatto che il denaro non venga toccato non dimostra che il wallet sia sicuro.

Non continuare ad aggiungere fondi per il gas e non inviare un deposito di prova. Potresti semplicemente finanziare l'aggressore.

3. Trovi autorizzazioni per token o NFT che non riconosci

Molte app di criptovalute chiedono il permesso di spendere un token. Queste autorizzazioni possono rimanere attive molto tempo dopo che hai smesso di usare l'app.

Tra i segnali di allarme ci sono un soggetto autorizzato alla spesa aggiunto di recente che non riconosci, un accesso concesso dopo aver visitato un sito sospetto o un limite di spesa molto superiore a quello necessario per l'operazione. Un'autorizzazione relativa agli NFT potrebbe permettere a un operatore di trasferire tutti gli NFT che possiedi in una determinata collezione.

Un'autorizzazione illimitata è comune nelle app legittime, quindi non dimostra di per sé un attacco. Conta chi ha accesso, quali asset può spostare e se volevi concedergli quel permesso.

Controlla la rete, il vero contratto del token, il soggetto autorizzato alla spesa e l'importo. Scollegare il sito web dal wallet non annulla un'autorizzazione già registrata sulla blockchain.

4. Una presunta richiesta di accesso concede diritti di spesa

Visiti un sito per accedere, riscattare una ricompensa o verificare il wallet. Ti chiede una firma senza commissioni di transazione. La richiesta include una quantità di token, un soggetto autorizzato alla spesa o un ordine di vendita di NFT che non intendevi approvare.

Alcune firme possono autorizzare spese senza che tu debba effettuare una transazione di approvazione separata. Le funzionalità chiamate Permit e Permit2, insieme alle firme degli ordini sui marketplace, sono esempi utili. Le app legittime le utilizzano, ma i truffatori possono mascherarle da innocui passaggi di accesso.

L'assenza di commissioni gas non dice nulla sulla sicurezza della firma.

C'è un'altra insidia: un'autorizzazione firmata ma non ancora utilizzata può restare fuori dalla blockchain finché qualcuno non la presenta. Il tuo normale elenco di transazioni, e talvolta anche lo strumento di controllo delle autorizzazioni, può sembrare pulito mentre quel permesso è ancora utilizzabile.

Se hai firmato una richiesta sospetta, interrompi le interazioni con il sito e verifica che cosa autorizzava la firma. La cancellazione dipende dal tipo di permesso. La normale revoca di un'approvazione non invalida tutte le firme inutilizzate.

5. Il wallet ha un nuovo proprietario o un'autorizzazione di controllo sconosciuta

Alcuni wallet hanno più proprietari, contatti di recupero, chiavi di firma temporanee o moduli software in grado di eseguire operazioni. Spesso vengono chiamati smart wallet o smart account.

Un proprietario che non hai mai aggiunto, un numero ridotto di firme richieste, un metodo di recupero sconosciuto o un nuovo modulo richiedono attenzione immediata. A seconda dei poteri concessi, la modifica potrebbe permettere a qualcuno di spostare fondi senza il tuo consueto processo di approvazione.

Su Ethereum e sulle reti compatibili, una funzionalità chiamata EIP-7702 permette anche a un wallet ordinario di autorizzare del codice a operare tramite il suo indirizzo. Un'autorizzazione dannosa può creare un accesso persistente senza esporre la frase di recupero.

Un dettaglio è facile da trascurare: con questa funzionalità, una delega accettata può rimanere valida anche quando l'esecuzione della transazione fallisce. L'etichetta "fallita" non significa sempre che le impostazioni di controllo del wallet siano rimaste invariate.

Controlla questi permessi usando gli strumenti ufficiali del wallet. Rimuovere soltanto le autorizzazioni dei token non elimina un proprietario o una delega sconosciuti.

6. La tua frase di recupero o chiave privata è stata esposta

Hai inserito la frase su un sito web, l'hai inviata a qualcuno che si spacciava per l'assistenza o l'hai importata in un'app wallet poi risultata falsa. Potresti anche scoprire che un backup leggibile era accessibile tramite un account cloud violato o un file condiviso.

Considera compromessi gli account controllati da quel segreto, anche se non è stato ancora spostato nulla. Qualcuno può ricreare il wallet altrove senza attivare un avviso di accesso nella tua app.

Cambiare la password dell'app wallet non modifica le chiavi private esposte. Neppure creare un altro account usando la stessa frase di recupero risolve il problema.

L'entità dell'esposizione conta. Una frase di recupero trapelata può esporre molti account. Una chiave privata importata separatamente e poi trapelata può interessare soltanto l'account che controlla.

7. L'app o l'estensione del wallet sembra essere stata sostituita

Scopri un'estensione che non hai mai installato, un download di wallet falso o un avviso di sicurezza che identifica un software capace di rubare i dati del wallet. Il tuo wallet abituale potrebbe anche chiederti improvvisamente di ripristinarlo dopo un cambiamento inspiegabile.

Una richiesta di ripristino può avere una causa normale, come una reinstallazione o la cancellazione dei dati dell'app. È un motivo per verificare il software prima di inserire informazioni segrete, non una prova di furto di per sé.

Verifica l'app tramite il sito ufficiale del fornitore del wallet e controlla l'identità dell'estensione. Un nome e un logo familiari sono facili da copiare.

Se hai già inserito la frase di recupero in un software sospetto, considerala esposta. Eliminare l'app non cancella la copia già in possesso dell'aggressore.

8. L'indirizzo del destinatario cambia quando lo incolli

Copi l'indirizzo di un destinatario, lo incolli nel wallet e compare un indirizzo diverso. Un malware che manipola gli appunti può sostituire gli indirizzi delle criptovalute con indirizzi controllati da un aggressore.

Questo indica un problema del dispositivo o del software. Non significa necessariamente che qualcuno abbia la tua chiave privata, ma rende quel dispositivo insicuro per i trasferimenti.

Gli aggressori possono usare indirizzi sostitutivi simili all'originale. Controllare solo i primi e gli ultimi caratteri può non far rilevare la sostituzione. Confronta l'intero indirizzo di destinazione con una copia affidabile. Con un hardware wallet, controlla l'indirizzo sullo schermo del dispositivo prima di approvare.

Annulla la transazione se gli indirizzi sono diversi. Continuare a copiare e incollare finché uno sembra giusto non risolve il problema.

9. Perdite inspiegabili interessano più account o reti

La scomparsa di un token può dipendere da una specifica autorizzazione di spesa. Trasferimenti non autorizzati da più account derivati dalla stessa frase di recupero fanno temere un'esposizione più ampia delle chiavi.

Per esempio, perdite su due reti accompagnate da attività su un altro account derivato dalla stessa frase richiedono un'indagine più estesa. Controlla ogni account e rete coinvolti, anziché presumere che il problema riguardi solo il primo token mancante che hai notato.

Questo schema aiuta a circoscrivere la causa, ma non è una prova definitiva. Anche più autorizzazioni dannose o un'autorizzazione del wallet valida su diverse reti possono provocare perdite diffuse.

Avere lo stesso indirizzo di wallet su diverse reti compatibili con Ethereum è normale e non costituisce di per sé un segnale di allarme. Il segnale è l'attività inspiegabile che coinvolge quegli account.

10. Il tuo account sull'exchange mostra accessi o prelievi sconosciuti

Se conservi criptovalute su un exchange, verifica la presenza di sessioni sconosciute, modifiche ai dati di recupero, nuovi indirizzi di prelievo o prelievi che non hai richiesto. Le modifiche non richieste all'autenticazione a due fattori sono particolarmente gravi.

Apri personalmente l'app o il sito ufficiale per verificare l'avviso. Un'email allarmante potrebbe essere phishing. Anche una località sconosciuta può dipendere da una VPN o dalla rete mobile, quindi valuta insieme dispositivo, orario e operazioni sull'account.

La compromissione di un account su un exchange richiede misure di sicurezza specifiche per l'account. Utilizza il blocco dell'account o la limitazione dei prelievi del fornitore, se disponibili, contatta l'assistenza ufficiale e proteggi email e metodi di autenticazione.

Questi controlli sugli accessi non si applicano allo stesso modo a un wallet di base controllato da una frase di recupero. Chi possiede le sue chiavi potrebbe non aver mai bisogno di accedere alla tua app.

Attività insolite che non dimostrano un attacco

Diversi eventi comuni possono sembrare allarmanti:

• Un saldo in dollari più basso: il prezzo potrebbe essere sceso anche se possiedi ancora lo stesso numero di monete.
• Token mancanti nell'app: potresti aver selezionato l'account o la rete sbagliati, nascosto il token o riscontrato un problema di visualizzazione.
• Un output Bitcoin sconosciuto: un pagamento può restituire i fondi rimanenti a un nuovo indirizzo di resto controllato dal tuo wallet.
• Un token o NFT non richiesto: lo spam, da solo, non dimostra che le tue chiavi siano state rubate. Nascondilo invece di seguire i suoi link o firmare una transazione per rimuoverlo.
• Trasferimenti di importo minimo o nullo con un indirizzo dall'aspetto familiare: potrebbe trattarsi di address poisoning, con cui i truffatori inseriscono nella tua cronologia un destinatario somigliante per indurti a copiarlo in seguito.

Alcuni token falsi copiano il nome e il simbolo di un token autentico. Possono perfino creare registrazioni ingannevoli di trasferimenti in uscita. Controlla il vero contratto del token e il saldo prima di considerare una registrazione come prova di furto.

Evita di copiare un destinatario dalle attività recenti. Ottieni l'indirizzo da un destinatario verificato o da una rubrica di indirizzi affidabile.

Come verificare che cosa è successo davvero

Usa un blockchain explorer affidabile per la rete corretta. Puoi esaminare un indirizzo pubblico senza collegare un wallet, pagare commissioni o rivelare una frase di recupero.

Controlla questi dettagli:

1. L'account e la rete: assicurati di esaminare l'indirizzo che custodiva gli asset mancanti.
2. Lo stato della transazione: distingui le operazioni in attesa dai movimenti completati. Per le deleghe del wallet, controlla anche se i permessi sono cambiati nonostante il fallimento dell'esecuzione.
3. L'asset effettivo: verifica il contratto del token o la collezione NFT, senza basarti solo sul nome o sul logo.
4. La variazione del saldo e la destinazione: identifica che cosa è uscito e dove è finito. Esamina i trasferimenti di token e NFT oltre all'elenco principale delle transazioni.
5. Le autorizzazioni precedenti: cerca approvazioni, firme o modifiche al controllo del wallet collegate alla perdita.

Quando qualcuno usa un'autorizzazione per sottrarti dei token, il mittente della transazione può essere un account diverso dal tuo. Questo non rende innocuo il trasferimento. Allo stesso modo, una registrazione di token che mostra il tuo indirizzo come origine non dimostra che tu abbia firmato personalmente una transazione.

Se le registrazioni sulla blockchain sono difficili da interpretare, condividi l'indirizzo pubblico e l'hash della transazione con l'assistenza verificata del wallet. Questi dati possono aiutare un'indagine senza esporre le tue chiavi.

Che cosa fare se i segnali di allarme vengono confermati

Smetti di aggiungere fondi e firmare richieste

Sospendi i depositi nel wallet interessato. Rifiuta nuove richieste di firma, comprese le offerte per "ripararlo", "convalidarlo" o "sbloccarlo". Smetti di utilizzare un dispositivo che potrebbe essere infetto e prosegui da un altro dispositivo affidabile.

Se è trapelata una frase di recupero o una chiave privata

Per un wallet ordinario controllato dal segreto esposto, crea un nuovo wallet con una frase di recupero completamente nuova su un dispositivo affidabile. Trasferisci gli asset rimasti, se puoi farlo in sicurezza, poi smetti di usare gli account compromessi. Aggiorna le destinazioni dei pagamenti che puntano a quegli account.

Se uno sweeper è attivo, non aggiungere fondi per il gas al vecchio wallet. Il recupero degli asset rimanenti può richiedere una gestione specialistica delle transazioni e il successo non è garantito.

Se il problema è un'approvazione o un'autorizzazione firmata

Revoca i permessi pertinenti con uno strumento verificato e conferma che la revoca sia stata completata. Un'approvazione per un token su una rete non si applica automaticamente a tutte le altre reti.

Per una firma sospetta non ancora utilizzata, segui la procedura di cancellazione specifica del wallet o del protocollo. Potrebbe essere necessario spostare gli asset mentre verifichi se il permesso è ancora utilizzabile.

La revoca non può restituire gli asset già sottratti. Non può neppure mettere al sicuro un wallet le cui chiavi sono trapelate.

Se sono cambiate le impostazioni di controllo del wallet

Usa la procedura ufficiale di recupero o gestione dei permessi del wallet per rimuovere proprietari, moduli, chiavi di firma o deleghe non autorizzati. Se è trapelata la chiave di un proprietario, sostituisci quel firmatario dove il wallet lo consente. Richiedi indicazioni specifiche al fornitore prima di considerare di nuovo sicuro l'account.

Se qualcuno ha avuto accesso a un account su un exchange

Blocca l'account o limita i prelievi tramite la procedura ufficiale del fornitore. Da un dispositivo affidabile, proteggi la tua email, modifica le password coinvolte, rimuovi le sessioni sconosciute e controlla i dati di recupero e l'autenticazione a due fattori.

Conserva le prove e segnala la perdita

Salva gli hash delle transazioni, gli indirizzi pubblici, le date e gli orari, gli URL sospetti e i messaggi pertinenti mentre proteggi i fondi rimasti. Segnala l'incidente al wallet o all'exchange e alle autorità competenti.

In genere, i trasferimenti confermati sulla blockchain non possono essere annullati dall'assistenza del wallet. Il recupero può dipendere dal blocco dei fondi da parte di un exchange, da un'indagine o dalla restituzione dei fondi. Diffida di chiunque prometta un recupero garantito, soprattutto se chiede un pagamento anticipato o la tua frase di recupero.