Come Errori di Wallet e Phishing Hanno Portato a 62 Milioni di Dollari di Perdite Crypto
Due utenti crypto hanno perso 12,25 milioni di dollari e 50 milioni di dollari dopo aver copiato indirizzi di wallet errati, come riportato da CryptoPotato. I 62 milioni di dollari combinati mostrano come un singolo errore di copia-incolla possa degenerare in una perdita on-chain permanente. In ciascun caso, un trasferimento con indirizzo sbagliato ha spostato i fondi verso una destinazione non prevista senza alcuna possibilità pratica di recupero.
L'hijacking dell'indirizzo, una tattica che inserisce un indirizzo simile nell'attività recente di una vittima in modo che venga successivamente copiato per errore, sta emergendo come una delle truffe più costose del crypto, secondo Invezz. Gli aggressori sfruttano comportamenti di routine, non necessariamente vulnerabilità software.
Gli errori operativi negli exchange rappresentano una categoria di rischio separata dal phishing lato utente. Le autorità di regolamentazione sudcoreane hanno aperto indagini su Bithumb dopo che l'exchange ha accidentalmente inviato circa 43 miliardi di dollari di Bitcoin a causa di un errore interno, come riportato da Decrypt. Quell'incidente riflette un fallimento di elaborazione istituzionale, mentre l'hijacking dell'indirizzo e gli errori di copia-incolla sono percorsi avviati dall'utente.
Perché è importante ora e passi immediati per prevenire le perdite
Questi incidenti sono importanti ora perché le perdite derivano da flussi di lavoro quotidiani come copiare un destinatario da una chat o da un elenco di attività recenti. Rafforzare la verifica di base degli indirizzi di destinazione può ridurre significativamente l'esposizione.
Le pratiche per ridurre il rischio includono la convalida dell'intera stringa di destinazione da una fonte indipendente e affidabile ed evitare di affidarsi a indirizzi visti di recente. Molte piattaforme offrono liste di indirizzi consentiti e allerte sulle transazioni, e un piccolo trasferimento di prova può confermare che un nuovo indirizzo si comporta come previsto. Le chiavi private e le seed phrase non devono mai essere condivise, e i contatti di "supporto" non richiesti meritano estremo scetticismo.
Le linee guida della piattaforma ribadiscono queste misure di sicurezza e mettono in guardia contro le esche di ingegneria sociale mascherate da problemi urgenti dell'account. "Coinbase non ti chiederà mai le tue credenziali di accesso, chiave API o codici di autenticazione a due fattori. Né ti chiederemo di trasferire fondi", ha dichiarato Jaclyn Sales, Direttore delle Comunicazioni di Coinbase. L'accento è sulla verifica delle richieste e dei canali prima di intraprendere qualsiasi azione che possa spostare gli asset.
Al momento della scrittura, i dati ritardati delle quotazioni NasdaqGS indicavano che il ticker azionario COIN ha chiuso vicino a 165,12 dollari il 6 febbraio, con livelli after-hours intorno a 165,86 dollari. Le cifre sono state contrassegnate come ritardate e sono fornite per contesto piuttosto che come guida alle transazioni. I livelli di mercato non alterano i meccanismi di verifica dell'indirizzo, ma inquadrano l'ambiente in cui si materializzano i rischi operativi e di phishing.
Hijacking dell'indirizzo spiegato: come gli indirizzi simili ingannano i mittenti
In una configurazione di hijacking dell'indirizzo, un aggressore genera un indirizzo che assomiglia visivamente a un beneficiario legittimo e quindi invia una transazione di valore piccolo o nullo in modo che l'esca appaia nella cronologia della vittima. Successivamente, quando la vittima copia un indirizzo dall'attività precedente, viene selezionato quello simile invece di quello previsto. Poiché le blockchain finalizzano i trasferimenti senza controlli sui nomi, i fondi seguono esattamente la stringa contraffatta.
Le semplici mitigazioni si concentrano sull'integrità della fonte e sul confronto end-to-end. Ottenere l'indirizzo del destinatario direttamente dalla controparte prevista attraverso un canale verificato, quindi confrontare ogni carattere prima di confermare la transazione; ove disponibile, utilizzare liste di indirizzi consentiti salvate ed eseguire un trasferimento di prova nominale prima di inviare l'importo principale.
| Avvertenza: Le informazioni fornite in questo articolo sono solo a scopo informativo e non costituiscono consulenza finanziaria, di investimento, legale o di trading. I mercati delle criptovalute sono altamente volatili e comportano rischi. I lettori dovrebbero condurre le proprie ricerche e consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento. L'editore non è responsabile per eventuali perdite subite a seguito della fiducia riposta nelle informazioni qui contenute. |
