Un drainer è un’infrastruttura malevola progettata per trasformare firme, approvazioni o transazioni ingannevoli del wallet in furto di asset. Può colpire token, NFT o asset nativi e dare priorità agli elementi più preziosi dopo che la vittima collega il wallet a un sito falso.
Il concetto fondamentale#
Il contratto è soltanto una parte del sistema. Pagine di phishing, annunci sponsorizzati, account compromessi e kit di firma portano le vittime verso di esso; permit off-chain possono permettere all’aggressore di agire in seguito.
L’interfaccia può mostrare «verifica» o «claim» mentre la richiesta del wallet concede uno spender, un operatore NFT o un trasferimento. Controlla l’effetto tecnico e non l’etichetta del pulsante.
Procedura passo passo#
- Rifiuta approvazioni, permit e permessi operatore inattesi. Se il sito dovrebbe soltanto autenticarti, una richiesta di spesa o trasferimento non è coerente.
- Controlla il contratto spender e l’effetto decodificato. Confronta indirizzo, rete, asset, importo e scadenza con una fonte ufficiale indipendente.
- Trasferisci gli asset non colpiti in un nuovo wallet se un segreto può essere esposto. Usa nuovo materiale di recupero e una destinazione verificata, non un altro account sotto la stessa seed.
- Revoca i permessi rimasti tramite un’interfaccia affidabile. Verifica ogni azione e attendi la conferma on-chain; la disconnessione del sito non basta.
- Segnala dominio, indirizzi e transazioni. Conserva prove originali e informa wallet, registrar, piattaforme e autorità pertinenti attraverso canali ufficiali.
Modalità di errore da controllare#
- Credere che il semplice collegamento spieghi ogni perdita. Cerca firme, allowance esistenti, chiavi esposte o vulnerabilità: la risposta dipende dalla vera autorità usata.
- Firmare dati illeggibili per «verificare la proprietà». La proprietà di un indirizzo può essere provata con una richiesta chiara e limitata, non con permessi di spesa.
- Usare il wallet compromesso per operazioni di salvataggio senza un piano. Un bot può anticipare il trasferimento o prelevare il gas appena depositato.
- Pagare un servizio di recupero che promette di annullare il drainer. Le transazioni confermate non vengono invertite da uno sconosciuto in cambio di un anticipo.
Quando fermarsi o cambiare strada#
Dopo un contatto sospetto, determina se è trapelata la seed o se è stato concesso soltanto un permesso. Una chiave esposta richiede migrazione; un’allowance circoscritta può essere gestita con revoca e controllo completo.
Se non sai quale firma è stata concessa, smetti di usare il wallet per nuove interazioni e richiedi assistenza qualificata senza consegnare segreti. Non aggiungere gas finché non comprendi il rischio di un bot sweeper.
Prova che la risposta è completa#
Non giudicare il risultato dal messaggio del sito. Verifica on-chain revoche, saldi e trasferimenti verso il nuovo wallet.
| Punto di controllo | Prova | Condizione di arresto |
|---|---|---|
| Richieste inattese rifiutate o identificate | Contratto e tipo di permesso documentati | Si attribuisce tutto al semplice collegamento |
| Spender ed effetto decodificati | Indirizzo confrontato con fonti ufficiali | La firma illeggibile viene descritta come verifica innocua |
| Asset migrati se il segreto è esposto | Transazioni e nuovo materiale di recupero | Il recupero usa il wallet compromesso senza piano |
Conserva hash, numeri di pratica o screenshot datati quando documentano il drainer, ma escludi seed phrase, chiavi private e codici di autenticazione.
Domande frequenti#
Un drainer può rubare senza una nuova firma?
Può sfruttare un’approvazione esistente o una chiave compromessa. Il semplice collegamento a un nuovo sito in genere non autorizza trasferimenti.
Disconnettere il sito lo fermerà?
No. La disconnessione elimina una sessione locale, non le approvazioni on-chain o le chiavi divulgate.
Un hardware wallet può bloccare un drainer?
Protegge dall’estrazione della chiave, ma firma una richiesta malevola se la approvi. La verifica sul display resta essenziale.
Guide correlate#
Fonti#
- Ethereum.org: sicurezza degli smart contract
- OWASP: dieci principali rischi degli smart contract
- Supporto Uniswap: approvazioni dei token
Avvertenza sui rischi: Le operazioni crypto possono essere irreversibili. Non condividere seed phrase, chiavi private, password o codici di autenticazione e verifica separatamente ogni dominio e richiesta del wallet.
Standard editoriale
Questa guida è educativa e basata su fonti. Misure di sicurezza, regole degli exchange e requisiti legali possono cambiare: verifica i passaggi importanti sulle fonti ufficiali.
