Nell'universo di Ethereum, degli smart contract e della DeFi, oggi esiste una minaccia palese, più pericolosa del classico attacco a un portafoglio crittografico, che non richiede il furto della frase seed, della chiave privata, né l'hacking di un computer o di un portafoglio: basta una sola firma digitale imprudente e avventata.
Recentemente, proprio in questo modo un utente della rete Ethereum ha perso 999.999 USDT dopo aver confermato un’approvazione di token di phishing. Questo incidente è stata l’ennesima prova del fatto che il phishing delle approvazioni di token è diventato uno degli schemi più efficaci per il furto di asset.
Secondo le informazioni pubblicate dal servizio Scam Sniffer, la vittima ha semplicemente firmato una richiesta fraudolenta di autorizzazione all’uso dei token. Nello stesso istante, uno script automatizzato ha tentato di prelevare esattamente 1 000 000 di USDT. Sebbene la transazione non sia andata a buon fine a causa di un ammanco di 631 dollari sul saldo, già dopo 36 secondi lo script ha corretto il proprio errore e ha trasferito il saldo su conti di terzi con tre transazioni: 639.999, 200.000 e 159.999 USDT. In questo modo, l’utente ha perso in un istante 999.999 USDT. Inoltre, la chiave privata del proprietario non è stata compromessa, poiché è stato l’utente stesso a concedere l’autorizzazione allo smart contract. I trasferimenti sono stati registrati nei blocchi Ethereum n. 25489460 e 25489463.
Che cos’è il phishing tramite «token approval»
La funzione approve(), prevista dallo standard ERC-20, consente di concedere a uno smart contract il diritto di spendere i token dell’utente. Si tratta di un meccanismo di funzionamento normale per molti protocolli DeFi, ad esempio: Uniswap, Aave, Curve, 1inch e alcuni altri.
I truffatori sfruttano diverse scappatoie, tra cui la copia del design di servizi noti o l’offerta di falsi airdrop, coniazioni di NFT o «verifiche del portafoglio». Dopo aver cliccato sul pulsante, il proprietario degli asset digitali firma di fatto e di propria iniziativa un’autorizzazione illimitata (Unlimited Approval). Da quel momento in poi, il contratto acquisisce il diritto legale di prelevare gli asset senza ulteriore conferma da parte dell’utente. Pertanto, attacchi di questo tipo non costituiscono una violazione della blockchain: si limitano a sfruttare la fiducia delle persone.
Perché funziona: cinque fattori tecnici
1. Unlimited Allowance — autorizzazione illimitata all’utilizzo dei token.
2. Multicall: l’unione di più operazioni in un’unica transazione, che riduce drasticamente i tempi di risposta.
3. Gli script adattano istantaneamente l’importo prelevato al saldo effettivo.
4. Utilizzo differito dell’approvazione: i fondi possono essere sottratti anche ore, giorni, settimane o persino mesi dopo la firma.
5. Visualizzazione insufficiente delle firme in molti portafogli Web3, per cui gli utenti non vedono le reali conseguenze della conferma.
Il fattore umano rimane determinante. Sono proprio la fretta, la disattenzione, il desiderio di ottenere un airdrop gratuito o la paura di perdere un’opportunità vantaggiosa (FOMO) a spingere una persona a confermare richieste pericolose.
La portata del problema
Casi simili non sono più isolati da tempo e il loro numero è in costante aumento: solo nel corso del 2025, gli attacchi di phishing hanno causato perdite per circa 723 milioni di dollari in 248 incidenti confermati (secondo i dati di CertiK). Nella prima metà del 2026, le perdite dovute al phishing sono state stimate in circa 366 milioni di dollari. Va notato che negli ultimi tre anni gli esperti di Scam Sniffer hanno regolarmente registrato furti su larga scala causati da richieste di approvazione contraffatte, mentre l’automazione degli attacchi e l’uso dell’intelligenza artificiale non fanno che aumentarne l’efficacia.
Come evitare di diventare la prossima vittima
Il mercato delle criptovalute odierno assomiglia sempre meno a una lotta tra hacker e sistemi tecnologici. Al giorno d’oggi, l’obiettivo principale non è più una vulnerabilità tecnica, ma l’individuo. Una firma imprudente, data «di fretta», può costare più di anni di investimenti.
Gli esperti di sicurezza informatica raccomandano di non firmare mai messaggi incomprensibili, di revocare regolarmente le autorizzazioni per token non necessarie e di utilizzare portafogli hardware per conservare somme ingenti. Allo stesso tempo, gli specialisti sottolineano la necessità di disporre di un portafoglio separato per interagire con i nuovi progetti DeFi e di verificare attentamente gli indirizzi URL dei siti prima di collegare il portafoglio.
