Nel mondo delle criptovalute l’errore più costoso nasce spesso da un clic affrettato. App, estensioni del browser e smart contract possono celare trappole sottili: clonazioni, permessi illimitati, aggiornamenti malevoli. Una verifica rigorosa prima dell’uso riduce drasticamente il rischio di furto di fondi o di compromissione del wallet. Questa guida offre una checklist operativa, tecniche di gestione della seed phrase controllo dei permessi e un protocollo d’emergenza in caso di incidenti.
L’obiettivo è adottare un processo replicabile, non basato sull’intuizione. Ogni passaggio punta a convalidare l’identità del software, l’integrità delle autorizzazioni e la resilienza delle procedure di sicurezza. Con pochi minuti di controllo strutturato si possono evitare danni irreversibili e mantenere sotto controllo la propria superficie d’attacco.
Segnali per riconoscere app ed estensioni fake
Le app e le estensioni contraffatte imitano marchi legittimi con dettagli impercettibili: nome quasi identico, loghi sfalsati, publisher sconosciuti. Verificare il publisher ufficiale, l’URL canonico e la cronologia delle versioni riduce il rischio. I profili con pochi download recensioni generiche o recenti, e permessi eccessivi sono bandiere rosse. In un browser, controllare l’hash dell’estensione e i permessi richiesti (lettura/scrittura su tutti i siti, accesso ai dati degli appunti, intercettazione della clipboard). Diffidare di componenti che chiedono accesso a “manage downloads” o “read clipboard”, spesso usati per intercettare la seed phrase.
Per le DApp, il dominio deve coincidere con quello comunicato dai canali ufficiali del progetto (DNS sicuro, HTTPS valido). Attenzione agli typosquatting (URL con un carattere diverso) e ai link provenienti da gruppi o DM non verificati. Se un’app chiede di installare una update fuori dallo store o una estensione aggiuntiva, trattarla come sospetta finché non vengono confermati firma digitale e checksum.
Checklist di sicurezza prima dell’installazione o connessione
Un processo standard evita omissioni. Applicarlo a ogni nuova app, estensione o smart contract
- Verifica del publisher: sito ufficiale, repository e firma dello sviluppatore PGP o firma del bundle.
- URL e certificato: dominio corretto, HTTPS valido, no homograph certificato non appena emesso senza storicità.
- Permessi richiesti: mapparli e confrontarli con lo scopo; rifiutare permessi superflui (clipboard lettura su tutti i siti, gestione download).
- Codice e audit: presenza di audit pubblici, repository attivo, relazioni di issue risolte, bytecode verificato su explorer.
- Wallet di test: usare un wallet vuoto su rete di prova o con piccolo importo prima di connettere quello principale.
Questa checklist va documentata. Conservare screenshot, hash dei file e URL validati in un registro personale consente di rilevare cambiamenti sospetti. Se un’app legittima modifica improvvisamente permessi o indirizzi di destinazione, il confronto storico fa emergere l’anomalia.
Gestione della seed phrase: protocolli operativi
La seed phrase è la chiave di tutto. Non va mai digitata su dispositivi connessi e non va mai fotografata. Preferire un hardware wallet con input su schermo dedicato e copia fisica in carta o metallo, suddivisa con Shamir o conservata in più luoghi sicuri. Evitare cloud, email, note e password manager per parole seed; i password manager sono ideali per credenziali, non per seed. Usare passphrase aggiuntiva (25a parola) solo se può essere mantenuta separata e ricordata, altrimenti aggiunge rischio operativo.
Pianificare il ripristino: testare periodicamente il recovery su un dispositivo di scorta con importo minimo. Se non si riesce a ripristinare in condizioni controllate, non lo si farà in emergenza. Documentare il flusso: dove sono le copie, chi le può aprire, quanto tempo serve. Ogni passaggio deve minimizzare l’esposizione della seed e massimizzare la resilienza contro perdita e furto.
Permessi, approvazioni e revoke su wallet e DApp
Molti furti avvengono per approvazioni illimitate su token. Prima di firmare, leggere il prompt“setApprovalForAll” concede controllo totale su una collezione; “approve” con uint256 max permette lo spend infinito. Usare explorer e strumenti di allowance per vedere permessi attivi su ogni token e revocare quelli inutili. Mantenere un profilo minimale: permessi a scadenza, wallet dedicati per mint e per conservazione, e separazione tra operatività e tesoreria.
Controllare i metamask warnings e i dati del contract indirizzo verificato, creatore, storico delle transazioni, bytecode corrispondente al sorgente. Evitare firme cieche su messaggi off-chain che possono autorizzare operazioni via permit. Ogni volta che un sito chiede di cambiare RPC o rete, confermare che l’endpoint sia ufficiale per prevenire man-in-the-middle e phishing di transazioni.
Verifiche sugli smart contract: integrità e simulazioni
Uno smart contract trasparente espone codice sorgente, bytecode verificato e audit indipendenti. Controllare funzioni critiche: owner può cambiare fee? Esiste una pause? La mint è limitata? Usare strumenti di simulazione delle transazioni per prevedere esito, gas e trasferimenti reali. Se la simulazione mostra movimenti di token inattesi o chiamate verso indirizzi non documentati, interrompere. Diffidare di contratti con proxy upgradables senza timelock o multisig robusto: un upgrade improvviso può introdurre backdoor.
Per protocolli finanziari, verificare l’TVL su più fonti, la distribuzione dei ruoli amministrativi e la presenza di bug bounty. Contratti senza audit, con owner singolo e TVL elevato sono un rischio operativo evidente. Quando possibile, usare limiti di esposizione e withdraw di prova prima di depositare somme rilevanti.
Protocollo d’emergenza in caso di compromissione
Se il dispositivo o il wallet sembrano compromessi, agire in sequenza:
- Disconnettere la rete, abilitare modalità aereo o scollegare cavi.
- Trasferire i fondi su un wallet di backup creato su hardware wallet pulito, usando una passphrase diversa.
- Revocare approvazioni su tutti i token tramite strumenti di allowance.
- Ruotare la seed phrase generare una nuova, migrare asset e chiudere il vecchio wallet.
- Bonificare il sistema: reinstallazione, scansione antimalware, cambio di tutte le password.
- Documentare l’incidente e attivare monitoraggio su indirizzi e transazioni sospette.
Preparare prima un piano stampato con contatti, strumenti di revoke, indirizzi di backup e istruzioni passo-passo riduce tempi e stress. Ogni minuto conta: la prontezza operativa è parte integrante della sicurezza.
