Come funziona la truffa
- Un bot sorveglia la blockchain in cerca di indirizzi che inviano o ricevono stablecoin con regolarità.
- Genera un indirizzo che inizia e finisce con gli stessi caratteri di uno che usi, come quello del tuo wallet o un indirizzo di deposito a cui invii spesso.
- Ti invia un importo minimo, o un trasferimento di token a valore zero, da quell'indirizzo somigliante. Ora si trova nella cronologia delle tue transazioni, proprio accanto a quello vero.
- La prossima volta che copi un indirizzo dalla cronologia invece che dalla sua fonte, potresti prendere quello falso. Il trasferimento è definitivo.
Wallet e block explorer spesso abbreviano gli indirizzi ai primi e agli ultimi caratteri, come TQx7…9fK2. È proprio questa forma abbreviata che il truffatore imita.
Dove succede
È più frequente con gli USDT su TRON ed Ethereum: chi usa stablecoin invia spesso e per importi alti, e i falsi trasferimenti di token costano quasi nulla. Sulle reti simili a Ethereum, trasferimenti a valore zero e token falsi possono persino far sembrare che una voce venga dal tuo stesso indirizzo. Succede anche su Bitcoin e altre catene, sotto forma di minuscoli pagamenti “dust”.
Le abitudini che la bloccano
- Copia l'indirizzo dalla sua fonte, ogni volta. Per il tuo wallet, la sua schermata Ricevi. Per un deposito su un exchange, la pagina di deposito dell'exchange. Per uno scambio, l'indirizzo di deposito nella pagina dell'ordine. Mai dalla cronologia delle transazioni.
- Non confrontare solo gli estremi. Controlla anche qualche carattere nel mezzo. Gli indirizzi somiglianti coincidono nei primi e negli ultimi caratteri perché è tutto ciò che la maggior parte delle persone controlla.
- Usa la rubrica del tuo wallet per gli indirizzi a cui invii spesso, e dai loro un nome.
- Ignora i trasferimenti minimi che non aspettavi. Non interagire con loro e non rimandare nulla indietro.
- Invia prima una piccola prova per un trasferimento nuovo o di grande importo, e verifica che sia arrivato dove volevi.
- Tieni d'occhio gli appunti. Alcuni malware sostituiscono un indirizzo copiato con quello dell'aggressore. Dopo aver incollato, confronta di nuovo l'indirizzo con la sua fonte.
Usa indirizzi nuovi
Il poisoning prende di mira indirizzi con un'attività visibile e ripetuta. Un indirizzo di ricezione nuovo per ogni scambio dà al truffatore meno da imitare ed evita che i tuoi scambi vengano collegati tra loro. Monero lo rende facile con i sottoindirizzi, e la maggior parte dei wallet Bitcoin crea un nuovo indirizzo con un tocco. Su TRON ed Ethereum puoi comunque tenere indirizzi separati per scopi diversi.
Cosa controlla Lethe e cosa non può controllare
Ogni indirizzo che inserisci su Lethe viene controllato con il checksum della sua rete prima che un ordine si apra, così gli errori di battitura e le reti sbagliate vengono individuati. Quando il servizio di scambio apre la tua operazione, Lethe controlla anche che l'indirizzo di ricezione nella sua risposta sia esattamente quello che hai inserito.
Quello che nessun sito può controllare è se un indirizzo è davvero tuo. Un indirizzo avvelenato è un indirizzo perfettamente valido; solo che appartiene a qualcun altro. L'ultimo controllo spetta a te: confronta l'indirizzo di ricezione nella console, e poi nella pagina dell'ordine, con la schermata Ricevi del tuo wallet.
I pulsanti Incolla e Scansiona codice QR in ogni casella dell'indirizzo aiutano, perché prendono l'indirizzo direttamente dai tuoi appunti o dal codice QR del tuo wallet. La scansione avviene nel tuo browser e l'immagine non lascia mai il tuo dispositivo.
Se è già successo
I trasferimenti su blockchain non si possono annullare. Se hai inviato a un indirizzo avvelenato, salva l'ID della transazione e l'indirizzo del truffatore e segnalalo alle piattaforme coinvolte. Se i fondi erano USDT, Tether può congelare i token di un indirizzo, di solito su richiesta delle forze dell'ordine. Diffida di chi si offre di recuperare i fondi a pagamento: le offerte di recupero sono una seconda truffa comune.
Poi cambia le abitudini che l'hanno resa possibile: indirizzi nuovi, una rubrica e copiare dalla fonte. Scambi stablecoin? Informati anche sulle reti USDT.
