I controlli più utili per i prelievi sono whitelist degli indirizzi, ritardo dopo l’aggiunta di una nuova destinazione, 2FA forte, avvisi di sessione e conferma tramite un canale protetto separatamente. Configurali prima di un incidente: dopo aver sottratto l’account, un aggressore può disattivare le protezioni deboli.
Procedura passo passo#
- Abilita la whitelist e aggiungi con attenzione gli indirizzi conosciuti. Verifica rete, asset, memo o tag e confronta l’indirizzo completo con il wallet di destinazione.
- Attiva un periodo di attesa dopo modifiche agli indirizzi o alla sicurezza. Un ritardo offre tempo per reagire a un avviso prima che una nuova destinazione possa ricevere fondi.
- Richiedi un fattore protetto da hardware per i prelievi. Preferisci chiavi FIDO o passkey quando disponibili e non affidarti soltanto agli SMS.
- Imposta avvisi immediati per accessi e prelievi. Proteggi separatamente email e telefono e controlla che le notifiche non finiscano in filtri o cartelle ignorate.
- Rivedi i permessi API e disabilita i prelievi via API salvo necessità essenziale. Limita anche gli indirizzi IP e rimuovi le chiavi non più utilizzate.
Il principio fondamentale#
La protezione dei prelievi funziona come una catena. Se email, telefono e password dell’exchange condividono lo stesso percorso di recupero, una singola compromissione può superare più difese apparenti.
Separa ciò che può essere testato subito, come whitelist e avvisi, da ciò che va monitorato nel tempo, come sessioni, dispositivi e modifiche alle impostazioni. Definisci limiti chiari prima che l’urgenza li indebolisca.
Quando fermarsi o cambiare procedura#
Esegui un piccolo prelievo di prova quando asset, blockchain o destinazione sono nuovi. Prima di inviare il resto, conferma rete, memo o tag, supporto della destinazione e importo netto dopo le commissioni.
Se compare una modifica di sicurezza non riconosciuta, blocca i prelievi se possibile e contatta l’assistenza dal canale ufficiale. Non approvare notifiche email o 2FA per «annullare» un’operazione: potrebbero invece confermarla.
Modalità di errore da controllare#
- Copiare un indirizzo dalla cronologia senza riverificarlo. Transazioni di address poisoning possono inserire una destinazione molto simile.
- Inserire in whitelist la versione dell’indirizzo sulla rete sbagliata. Lo stesso formato visivo non garantisce che exchange e destinatario supportino la medesima blockchain.
- Approvare una conferma email da un dispositivo inatteso. Prima verifica accesso, indirizzo, rete e importo direttamente nell’account.
- Disattivare i ritardi perché sembrano scomodi. La frizione è proprio il tempo utile a contenere una compromissione.
Prove da conservare#
Non considerare attiva una protezione dal solo messaggio dell’interfaccia. Esegui un test controllato e verifica che ritardi e avvisi si comportino come previsto.
| Punto di controllo | Prova | Condizione di arresto |
|---|---|---|
| Whitelist attiva con indirizzi verificati | Impostazioni autenticate e test datato | L’indirizzo proviene soltanto dalla cronologia |
| Periodo di attesa configurato | Regola e tempo di attivazione documentati | Rete o versione dell’indirizzo non coincidono |
| Fattore hardware richiesto per il prelievo | Test con identificativo e dati sensibili esclusi | Arriva una conferma da un dispositivo inatteso |
Conserva hash, ID di prelievo o screenshot datati quando aiutano a documentare i controlli, ma escludi seed phrase, chiavi private e codici di autenticazione.
Domande frequenti#
Una whitelist può impedire qualsiasi furto?
No. Un aggressore può attendere la fine del ritardo o compromettere una destinazione già approvata, ma la whitelist aggiunge una frizione significativa.
Perché usare un’email separata?
Riduce l’esposizione derivante dalle violazioni della casella quotidiana e rende più visibili gli avvisi dell’exchange.
Che cos’è il blocco dei prelievi?
Alcuni exchange permettono di disabilitare temporaneamente i prelievi dopo attività sospette o modifiche di sicurezza.
Guide correlate#
Fonti#
Avvertenza sui rischi: Le operazioni crypto possono essere irreversibili. Non condividere seed phrase, chiavi private, password o codici di autenticazione e verifica separatamente ogni dominio e richiesta del wallet.
Standard editoriale
Questa guida è educativa e basata su fonti. Misure di sicurezza, regole degli exchange e requisiti legali possono cambiare: verifica i passaggi importanti sulle fonti ufficiali.
