Non collegare un wallet di valore a siti web casuali o sconosciuti. Una connessione standard di solito rivela gli indirizzi senza concedere potere di spesa, ma il sito può subito presentare firme o approvazioni ingannevoli e analizzare i tuoi asset per preparare attacchi mirati.
Il concetto fondamentale#
Molti utenti trattano «Connetti» come decisione finale, mentre è soltanto l’inizio di una sequenza di autorizzazioni. Il passaggio pericoloso può essere il successivo permit, l’approvazione di un token, una firma off-chain o una transazione.
L’interfaccia visibile mostra solo parte del sistema. Prima di fidarti di un logo o di un’etichetta familiare, conferma identità del sito, asset, rete, contratto spender e autorità effettivamente richiesta.
Procedura passo passo#
- Verifica prima dominio e reputazione dell’applicazione. Apri l’URL dalla documentazione ufficiale o da un profilo verificato e controlla caratteri, sottodominio, certificato e cronologia del progetto.
- Usa un sandbox wallet con fondi limitati. Genera una seed separata, trasferisci soltanto il valore necessario e non conservare nello stesso wallet NFT o risparmi importanti.
- Leggi ogni richiesta successiva del wallet. Controlla rete, contratto, asset, importo, scadenza e destinatario; una firma senza gas può comunque concedere autorità rilevante.
- Rifiuta le richieste non pertinenti all’azione dichiarata. Un sito che chiede accesso a token non coinvolti, allowance illimitate o firme illeggibili non merita una conferma.
- Disconnetti il sito e controlla le approvazioni on-chain. La disconnessione locale rimuove la sessione, ma non revoca allowance e permit già registrati o firmati.
Modalità di errore da riconoscere#
- Collegare il wallet cassaforte per controllare l’idoneità a un airdrop. Espone identità e patrimonio a un sito che non ha dimostrato affidabilità.
- Firmare un messaggio descritto soltanto come «verifica». Il testo dell’interfaccia può nascondere un permit o un ordine trasferibile.
- Credere che disconnettere revochi le allowance. Le autorizzazioni on-chain restano valide finché non vengono revocate o scadono secondo il contratto.
- Fidarsi perché il wallet mostra il logo del sito. Metadati e branding possono essere copiati; verifica sempre il dominio indipendentemente.
Quando fermarsi o cambiare strada#
Se il valore offerto dal sito è incerto, esploralo senza collegarti oppure inserisci un indirizzo pubblico in un explorer in sola lettura. La connessione deve avere uno scopo chiaro e proporzionato al rischio.
Non procedere se non riesci a spiegare quale autorizzazione stai concedendo. Un’opportunità legittima può essere riesaminata; una firma malevola confermata può produrre una perdita irreversibile.
Prova che il controllo è completo#
Non giudicare il risultato dal solo messaggio «connesso» o «disconnesso». Usa evidenze controllabili anche dopo la chiusura della pagina.
| Punto di controllo | Prova | Condizione di arresto |
|---|---|---|
| Dominio e reputazione verificati | URL esatto confrontato con documentazione ufficiale indipendente | Viene richiesto di collegare il wallet cassaforte per una verifica |
| Sandbox wallet con saldo limitato | Seed separata e importo massimo documentato | Una firma è descritta soltanto come «verifica» |
| Richieste del wallet lette integralmente | Rete, spender, asset, importo e scadenza controllati | Si presume che disconnettere revochi le allowance |
Conserva hash o screenshot datati quando documentano un sito sospetto, ma escludi seed phrase, chiavi private, password e codici di autenticazione.
Domande frequenti#
Un sito può rubare i fondi al momento della connessione?
Una connessione standard non trasferisce da sola gli asset, ma un wallet compromesso o le approvazioni e firme presentate subito dopo possono farlo.
Un burner wallet rende sicuro qualsiasi sito?
No. Limita l’esposizione finanziaria, ma non elimina malware, compromissione del dispositivo, perdita di privacy o firme che coinvolgono altri account.
Come rimuovo una connessione?
Usa le impostazioni dei siti connessi nel wallet, poi controlla separatamente le approvazioni on-chain e revoca quelle che non servono più.
Guide correlate#
Fonti#
- Ethereum.org: sicurezza degli smart contract
- OWASP: dieci principali rischi degli smart contract
- Supporto Uniswap: approvazioni dei token
Avvertenza sui rischi: Le operazioni crypto possono essere irreversibili. Non condividere seed phrase, chiavi private, password o codici di autenticazione e verifica separatamente ogni dominio e richiesta del wallet.
Standard editoriale
Questa guida è educativa e basata su fonti. Misure di sicurezza, regole degli exchange e requisiti legali possono cambiare: verifica i passaggi importanti sulle fonti ufficiali.
