Come proteggere le crypto-transazioni dal phishing

Phishing è la causa principale delle perdite nella cripta. Gli attacchi sono diventati più intelligenti: siti falsi di portafogli, «drenatori» in Dapp, falsi airdrop, abbonamenti a infinite cancellazioni (approve/permit), codici QR sostituiti e «address poisoning». La buona notizia è che la semplice disciplina operativa chiude quasi completamente questi vettori. Di seguito è riportato un sistema pratico che protegge le transazioni prima e dopo aver premuto Send/Sign.

1) Tre balene di protezione: indirizzo, rete e firma

1. Indirizzo del destinatario: controlla i primi e gli ultimi 4-6 caratteri, usa solo QR/accessori dall'ufficio personale, non le chat/ricerca.

2. Rete/risorsa: la rete di token (ERC-20/TRC-20/BEP-20/Arbitrum/Ottimism/Solana/TON, ecc.) deve corrispondere al mittente e al destinatario. Per XRP/XLM/BNB/EOS, controlla Memo/Tag.

3. Firma/transazione: leggi esattamente cosa firmare «transfer», «approve», «permit», «setApprovalForAll», «swap», «bridge», «mint». Se non capite, non firmate.

2) Vettori di phishing di base (e come chiuderli)

Siti falsi e domini omografi. Utilizzare solo i tuoi segnalibri; non passare agli annunci pubblicitari e al «supporto» di messaggistica.

Clipboard stilisti e cambio QR. Scansiona il QR dalla pagina ufficiale, controlla i caratteri dell'indirizzo. Qualsiasi incongruenza è annullata.

Address poisoning. Non copiare gli indirizzi dalla cronologia in arrivo. Usa la rubrica/whitlist.

Script Drainer in Dapp. Non importare mai seed nei siti. Prima di firmare, vedere i diritti richiesti da Dapp (limite, token, scadenza).

Falsi airdrop/NFT. Non interagire con NFT regalo/link. Qualsiasi pulsante claim fuori dalle sorgenti controllate è proibito.

Sociongeneria (posta, Telegram/Discord). Sapport non chiede mai seed/chiave privata/esportazione. La frase anti-fishing nelle borse deve essere inclusa.

Integrazione WalletConnect. Verificare il nome di DApp e il dominio nella query di sessione. Se non corrisponde al sito aperto, respingi.

Ponti/bridge. Utilizzare solo quelli ufficiali; incrociate la rete di destinazione e il contratto di token.

Fatture Lightning/QR. La fattura è usa e getta, vive per minuti. Scaduto. Generatene uno nuovo, non rinfrescare il vecchio.

3) Portafoglio hardware e «conferma sullo schermo»

Il portafoglio hardware riduce drasticamente il rischio di phishing, che mostra i dati reali della firma in mano. Abitudini:

Conferma indirizzo/importo/metodo sullo schermo del dispositivo.
Non immettere mai seed su PC/telefono/sito, solo sul dispositivo stesso.
Per i grandi importi, la politica dei quattro occhi è la seconda persona/seconda chiave nel multi-sito.

4) Firme sicure su reti EVM (ETH, BSC, Polygon, ecc.)

Approve/Permit:

Concedete l'accesso solo al token desiderato, impostate il limite minimo, non «∞».
Richiamare periodicamente (revoke) le vecchie autorizzazioni attraverso i servizi di rave affidabili portafogli/Dapp.
Firme senza gas (EIP-2612/Permit2/Off-chain orders) - Leggi il testo. «Firma gratuita» può dare accesso a lungo termine agli sprechi.
Simulazione transazione: utilizzare portafogli/estensioni che dimostrano cosa cambierà dopo l'esecuzione (da dove/dove andranno i token).

5) Igiene browser e dispositivi

Profilo browser separato per la crittografia, minimo estensioni.

Aggiornamenti automatici del portafoglio - solo da fonti ufficiali; Controlla la firma/hash dei descrittop.

2FA TOTP/U2F in borsa; scaricare i codici di backup e la seconda chiave token.

Non fare operazioni importanti in un Wi-Fi pubblico.

Inserire il registro delle transazioni: data, rete, indirizzo, importo, TxID.

6) Chequlist prima dell'invio/firma (1 minuto)

L'indirizzo viene prelevato dal segnalibro/applicazione ufficiale, corrispondono i primi/ultimi 4-6 caratteri.
Rete/asset e (se necessario) Memo/Tag sono stati verificati.
Capisco il tipo di operazione «transfer »/« approve »/« permit »/« swap »/« bridge».
Il limite di autorizzazione è limitato all'importo della transazione, non «∞».
Per l'importo> $200 - transazione di prova e in attesa di iscrizione.
Portafoglio hardware: indirizzo/importo/contratto confermato sulla schermata del dispositivo.

7) Protocollo in caso di sospetto phishing (azioni per minuto)

0-5 minuti:

Disattiva immediatamente Internet/estensione, interrompa ulteriori firme.
In borsa - Congelare le conclusioni, cambiare le password, spegnere le sessioni attive.

5-30 minuti:

Controllare gli ultimi approve/permit e richiamare i sospetti.
Trasferire i beni da portafogli vulnerabili a portafogli puliti (sweep), iniziare con i token/monete più liquidi.
Salvate le , i , i .

Segue:

Reinstallare il portafoglio su un dispositivo pulito, con nuove chiavi.
Segnalare i servizi in cui potrebbero trovarsi i beni dell'aggressore (borse/ponti).
Analizzare da dove viene il link, chi ha richiesto la firma, quali estensioni sono installate.

8) Frequenti «bandiere rosse»

Emergenza e deficit: «Fate subito o congeliamo il bonus/account».

Immettere una chiave seed/privata per verificare/attivare/airdrop.

Dominio non corrispondente in un sito aperto e WalletConnect.

Richiesta «approve per tutti i token» o «senza limiti per sempre».

Falsi pulsanti «speed up/claim/verify» sui siti clone.

9) Mini FAQ

Gli ultimi 4 caratteri di indirizzo sono sufficienti? Meglio i primi e gli ultimi 4-6, alcuni attacchi prendono la stessa coda.

È necessario limitare sempre l'approve? Sì, sì. Le autorizzazioni per «∞» sono convenienti per un intruso e un drenatore.

Quanto spesso si fa la riva? Dopo ogni sessione con il nuovo Dapp e regolarmente pianificata (ad esempio una volta al mese).

Il portafogli hardware risolve tutto? Riduce molto il rischio, ma non protegge la sua firma per un intervento dannoso - leggi quello che sta firmando.

È possibile annullare la traduzione? No, no. Al massimo, non firmare un'operazione dannosa o ritirare la patente prima dell'annullamento.

La protezione contro il phishing non è un software «anti-tutto», ma una procedura: i propri segnalibri, la ricomposizione indirizzo/rete, la lettura della firma, la limitata approve/permit, il portafoglio hardware, la penna dei diritti superflui e le traduzioni di prova. Rendi questa routine - e la possibilità di perdere fondi a causa del phishing diventerà statisticamente insignificante, anche se si utilizza attivamente Dapp, ponti e borse.