La cybersicurezza nel mondo delle criptovalute

Un messaggio su un accesso sospetto, un falso servizio clienti o un link dannoso possono mettere a rischio in un attimo le nostre criptovalute. L'aggressore, peraltro, non deve necessariamente violare la blockchain né ottenere la chiave privata. A volte basta che ci convinca a comunicare noi stessi le credenziali di accesso, a inviare fondi o ad approvare un'operazione pericolosa.

La sicurezza delle criptovalute, quindi, non consiste solo nella scelta del wallet. Altrettanto importante è proteggere account, dispositivi e backup e capire che cosa confermiamo quando usiamo le criptovalute.

La sicurezza della blockchain e dei nostri fondi

Il furto di criptovalute non significa necessariamente la violazione della rete blockchain stessa. La causa può essere un account compromesso presso un fornitore, una frase di recupero divulgata o un'applicazione dannosa. Ciascuno di questi rischi richiede un diverso tipo di protezione.

Quando custodiamo le criptovalute presso un fornitore, ci affidiamo anche alla sua sicurezza. Con un wallet proprio, invece, siamo noi stessi responsabili delle chiavi e dei relativi backup. La soluzione adatta è quella che comprendiamo e che siamo in grado di usare e ripristinare in modo sicuro.

Phishing: quando il truffatore si spaccia per un aiuto

Il phishing è una truffa in cui l'aggressore imita un servizio o una persona affidabile. Può inviare una falsa e-mail sul blocco dell'account, richiedere un codice di verifica o invitarci a trasferire le criptovalute in un wallet presumibilmente sicuro.

Non verifichiamo un messaggio sospetto tramite il link che contiene. Apriamo invece il servizio per conto nostro ed eventualmente contattiamo il supporto ufficiale. Non comunichiamo a nessuno la frase di recupero né i codici di verifica. Un logo credibile, un testo privo di errori o una connessione sicura HTTPS non garantiscono di per sé l'affidabilità di un sito.

Password, e-mail e autenticazione a più fattori

La casella di posta elettronica è una parte importante della sicurezza, perché spesso la usiamo per ripristinare l'accesso ad altri account. Per ogni servizio importante dovremmo quindi usare una password lunga e unica; può essere d'aiuto un password manager.

Un'ulteriore protezione è offerta dall'autenticazione a più fattori. Un'app di autenticazione è di solito più sicura degli SMS, ma nemmeno il suo codice deve essere inserito in una pagina fraudolenta. Se il servizio supporta passkeys o chiavi di sicurezza FIDO, queste possono offrire una maggiore resistenza al phishing. È importante anche conservare in modo sicuro i codici di backup per il ripristino dell'accesso.

Frase di recupero e wallet hardware

La frase di recupero (seed) non è una normale password. In molti wallet consente di derivare nuovamente le chiavi e ripristinare l'accesso ai fondi. Chi la ottiene può, a determinate condizioni, controllare il wallet anche senza il dispositivo originale. Per questo non la salviamo come foto nel telefono né in un documento cloud non protetto. Il backup deve essere sicuro, ma al tempo stesso disponibile in caso di ripristino.

Un wallet hardware protegge le chiavi private firmando le operazioni all'interno del dispositivo. Non impedisce però la perdita se siamo noi stessi a confermare un trasferimento a un aggressore o un'autorizzazione pericolosa. Prima di confermare controlliamo sempre ciò che il dispositivo mostra effettivamente.

Attenzione alle firme e alle autorizzazioni delle applicazioni

Quando usiamo applicazioni decentralizzate, possiamo approvare non solo trasferimenti, ma anche autorizzazioni che consentono agli smart contract di disporre dei nostri token. Se concediamo un'autorizzazione troppo ampia a un contratto dannoso, possono essere a rischio anche altri token a cui si estende il consenso.

Collegare il wallet a un sito web, firmare un messaggio e concedere un'autorizzazione non sono la stessa cosa. Chiudere la pagina, inoltre, non revoca necessariamente un consenso concesso in precedenza. Se non comprendiamo l'operazione richiesta, non la confermiamo; le autorizzazioni precedenti possono essere controllate e revocate sulle reti supportate tramite strumenti verificati.

Nel trasferimento controlliamo l'indirizzo e la rete

Gli aggressori possono inserire di nascosto nella cronologia delle transazioni un indirizzo simile a quello che abbiamo usato in precedenza. Questa tecnica è chiamata address poisoning. Per questo otteniamo l'indirizzo del destinatario da una fonte verificata e prima dell'invio lo controlliamo per intero.

Altrettanto importante è verificare la criptovaluta, la rete blockchain ed eventuali dati aggiuntivi, ad esempio memo o tag. Un trasferimento errato potrebbe non essere reversibile. Con un nuovo destinatario può essere utile una transazione di prova di un piccolo importo, ma nemmeno questa sostituisce il controllo del trasferimento successivo.

Piattaforme di investimento fraudolente e protezione dei dispositivi

Non tutte le truffe richiedono il furto di una password. Una falsa piattaforma di investimento può mostrare profitti fittizi e, al tentativo di prelievo, richiedere ulteriori pagamenti per una presunta tassa o per lo sblocco dell'account. Sono segnali d'allarme le promesse di rendimenti elevati garantiti, la pressione a decidere in fretta e le offerte di aiuto non richieste.

Il rischio si riduce anche aggiornando telefono e computer, installando applicazioni da fonti verificate e rifiutando l'accesso remoto non richiesto al dispositivo. Con un uso più frequente delle applicazioni blockchain può essere ragionevole separare gli asset detenuti a lungo termine dai fondi destinati alla sperimentazione.

Cosa fare in caso di sospetta compromissione

Smettiamo di rispondere alla persona sospetta e contattiamo il servizio esclusivamente tramite un canale verificato. Per l'account a rischio cambiamo la password da un dispositivo affidabile, controlliamo gli accessi e avvisiamo il fornitore. Se la truffa riguarda un pagamento bancario, contattiamo anche la banca.

Con un wallet proprio dipende dalla causa. Un'autorizzazione dannosa può dover essere revocata, ma in caso di fuga della chiave privata o del seed occorre passare a un nuovo wallet con chiavi create in modo indipendente e trasferire in sicurezza gli eventuali fondi rimanenti. Conserviamo le comunicazioni e gli identificativi delle transazioni e segnaliamo il sospetto reato alla polizia ceca. Attenzione anche ai truffatori che promettono il recupero delle criptovalute dietro pagamento anticipato di una commissione.

Conclusione

La sicurezza delle criptovalute è una combinazione di tecnologie adeguate e abitudini quotidiane. Password robuste, autenticazione a più fattori, backup sicuri e il controllo delle transazioni aiutano a limitare i rischi, ma nessuno strumento può sostituire le nostre decisioni.

Prima di ogni conferma dovremmo sapere a chi e che cosa inviamo, quale rete usiamo e quali autorizzazioni concediamo. Se non comprendiamo una richiesta, è più sicuro interrompere l'operazione e verificarla in modo indipendente.

Questo testo ha finalità puramente informative ed educative e non costituisce consulenza di investimento. I cripto-asset sono volatili e potreste perdere l'intero importo investito.