Wallet drainer: come funzionano i kit e perché l'attacco è la firma

Oggi la maggior parte dei furti dai wallet crypto personali non passa da una seed phrase rubata. Passa da un sito web che ti chiede di firmare qualcosa, e tu firmi. Il software dietro questi siti si chiama drainer, e viene venduto come un prodotto.

Drainer-as-a-service

Un kit drainer è un pacchetto pronto all'uso: uno script che gira su una pagina web, un back end che tiene traccia delle vittime e sposta i fondi rubati, e modelli per creare siti falsi convincenti. Chi lo scrive raramente gestisce le truffe in prima persona. Noleggia il kit ad "affiliati" che portano il traffico, e i fondi rubati vengono divisi automaticamente: secondo quanto riportato di solito, circa il 20–30% all'operatore e il resto all'affiliato.

Esche tipiche:

• Pagine di mint false per una collezione NFT, spesso copiate da una vera.
• Pagine di airdrop e di "claim" che dicono che hai diritto a ricevere token.
• Pagine di migrazione false secondo cui i tuoi token devono passare a un nuovo contratto.
• Link da account compromessi, risposte sotto annunci reali, annunci a pagamento nei motori di ricerca e server Discord.

Cosa succede dopo la connessione

Collegare un wallet condivide solo il tuo indirizzo. Non permette di spostare nulla. Il drainer usa l'indirizzo per vedere cosa possiedi, lo ordina per valore e chiede per prima la cosa più preziosa:

1. Una firma permit. Per i token che supportano EIP-2612 o Permit2, firmi dati tipizzati. Non costa gas, ma autorizza uno spender a spostare i tuoi token. Le firme permit spiega perché i drainer la preferiscono.
2. Un'approvazione di token. Una transazione approve, di solito illimitata, presentata come "abilita" o "verifica".
3. setApprovalForAll. Una sola chiamata consegna a un operatore tutti gli NFT di una collezione, come spiegato in Gli NFT e l'approvazione che svuota le collezioni.
4. Un ordine di marketplace. Un'inserzione firmata che vende i tuoi asset all'attaccante quasi gratis.
5. Su Solana, una transazione che trasferisce direttamente i tuoi saldi o cede a qualcun altro la proprietà dei tuoi account token.

Appena arriva una firma, il back end la invia e svuota gli asset, spesso in pochi secondi. Se rifiuti una richiesta, di solito la pagina prova la successiva.

Perché l'attacco è la firma

Non c'è nessun hack. Le tue chiavi restano dov'erano, e la blockchain elabora il trasferimento come previsto, perché una firma valida del tuo indirizzo lo ha autorizzato. Per questo questi furti non sono quasi mai reversibili.

Il trucco è far sembrare una firma pericolosa una formalità. I dati tipizzati sono un blocco di campi come spender, value e deadline. Un'approvazione sembra una piccola chiamata a un contratto in cui non esce nulla. Una transazione Solana è un elenco di istruzioni che pochi leggono. Quando un wallet non sa spiegare una richiesta, stai firmando alla cieca, ed è proprio su questo che contano i drainer.

Segnali d'allarme

• Sei arrivato da una risposta, un messaggio privato, un annuncio o un messaggio che dice che ti aspetta un claim gratuito.
• Un conto alla rovescia o pressioni del tipo "ne restano solo 50".
• Una richiesta di firma quando non te ne aspettavi nessuna, o una seconda subito dopo la prima.
• Qualsiasi richiesta che menzioni uno spender, un operatore, un importo illimitato o "tutti" gli elementi.
• Un sito che ti chiede di "verificare" o "sincronizzare" il wallet.

Come aiutano i due dispositivi di SSP, e dove no

SSP è un multisig 2-di-2: SSP Wallet nel browser e SSP Key sul telefono devono firmare entrambi, quindi ogni richiesta riceve un secondo controllo su un dispositivo separato. Nelle versioni attuali:

• Per le richieste WalletConnect, SSP Wallet rifiuta un sito che il servizio Verify di WalletConnect segnala come truffa, e chiede una conferma aggiuntiva quando il dominio dichiarato dal sito non corrisponde all'origine reale della connessione. Un dominio drainer appena creato potrebbe non essere ancora segnalato.
• SSP Key decodifica le approvazioni sul telefono. Un'approvazione illimitata appare come "Allow UNLIMITED spending", e setApprovalForAll mostra un avviso di gravità alta: l'operatore potrà trasferire ogni token che possiedi in quel contratto.
• Per i dati tipizzati, entrambe le app avvisano quando una richiesta sembra un permit o un ordine di scambio, e devi spuntare una conferma prima di approvare. I campi sono mostrati grezzi, non in linguaggio semplice, quindi controlla tu spender e importo.
• In SSP, WalletConnect copre solo le chain EVM. Su Solana, SSP Key rifiuta tutto ciò che non sia un semplice trasferimento di SOL o di token dal tuo vault, il che esclude la cessione degli account token.

Il limite è semplice: SSP verifica che i tuoi due dispositivi siano d'accordo, non che tu abbia ragione. Se una pagina ti convince ad approvare un permit in SSP Wallet e di nuovo su SSP Key, è valido e verrà eseguito. Un trasferimento all'indirizzo di un attaccante resta un semplice trasferimento. Il secondo dispositivo aiuta di più quando lo usi per rallentare e leggere.

Se hai già firmato qualcosa di dannoso

1. Sposta ciò che è ancora esposto. Trasferisci i token e gli NFT rimasti del tipo interessato a un altro indirizzo che controlli. Un permit o un'approvazione consente allo spender di prelevare solo dall'indirizzo che l'ha firmato.
2. Revoca le approvazioni ancora attive. Revocare le approvazioni dei token da SSP spiega come fare.
3. Le tue chiavi sono al sicuro. Una firma non rivela la tua seed phrase. Se non hai mai digitato la frase di recupero da nessuna parte, le chiavi non sono compromesse.
4. Considera le offerte di recupero come truffe. Chi promette di recuperare i fondi in cambio di una commissione sta preparando il prossimo furto.
5. Segnalalo alla piattaforma dove hai trovato il link e alle autorità se l'importo è rilevante.

Il riepilogo onesto

I drainer sono un business: kit noleggiati ad affiliati che portano le vittime, con i fondi rubati spartiti tra loro. L'attacco è una firma che dai tu, di solito un permit, un'approvazione, setApprovalForAll, un ordine di marketplace o un trasferimento su Solana. Il secondo dispositivo di SSP, la decodifica sul dispositivo, gli avvisi su permit e ordini e le regole rigide su Solana rendono le richieste pericolose più difficili da ignorare e ne bloccano alcune del tutto. Niente di tutto questo ferma una richiesta che approvi su entrambi i dispositivi. Tratta ogni firma inattesa come un trasferimento finché non hai letto cosa fa.