Un investitore in criptovalute ha perso $2.6 milioni in stablecoin in due attacchi di phishing quasi identici nel giro di tre ore, sottolineando una minaccia crescente e sofisticata nel mondo delle finanze basate su blockchain: le frodi Zero-transfer.**
L'incidente, segnalato il 26 maggio dalla società di sicurezza crittografica Cyvers, coinvolge due grandi transazioni di Tether (USDT) - la prima per un totale di $843,000, seguita ore dopo da un secondo trasferimento di $1.75 milioni. In entrambi i casi, la vittima sembra essere caduta vittima di una tattica onchain ingannevole nota come trasferimento a valore zero, un metodo di phishing sempre più utilizzato dai truffatori che prendono di mira le abitudini degli utenti relativi agli indirizzi dei wallet.
Questa doppia perdita evidenzia i limiti delle interfacce utente attuali dei wallet, l'aumento dell'ingegneria sociale intelligente nel crimine crittografico e la necessità urgente di soluzioni di sicurezza robuste nel Web3.
I trasferimenti a valore zero sfruttano un difetto in come gli utenti interpretano la cronologia delle transazioni e si fidano degli indirizzi dei wallet. La tecnica abusa della funzione transferFrom dello standard ERC-20, che consente a qualsiasi parte di avviare un trasferimento di token senza il consenso dell'utente - se l'importo è zero.
Poiché non vengono mossi veri token, queste transazioni simulate a valore zero non richiedono una firma digitale dal wallet di destinazione. Tuttavia, vengono registrate sulla catena, spesso inducendo le vittime a credere che l'indirizzo simulato sia uno precedentemente fidato.
In effetti, i truffatori "avvelenano" la cronologia delle transazioni della vittima iniettando trasferimenti a valore zero che appaiono legittimi. Quando la vittima successivamente esegue una transazione reale - magari utilizzando la cronologia del wallet o copiando un indirizzo precedentemente usato - possono accidentalmente inviare fondi all'indirizzo simulato dell'attaccante.
Questo exploit attinge ed estende un metodo di attacco correlato chiamato avvelenamento dell'indirizzo, dove i truffatori inviano piccole quantità di criptovaluta da indirizzi di wallet progettati per sembrare simili a un contatto noto dell'utente. Questo si basa tipicamente sull'abuso della fiducia dell'utente nel confronto parziale degli indirizzi - spesso i primi e ultimi quattro caratteri - piuttosto che nella verifica dell'intera stringa.
Phishing Avanzato
Il pericolo chiave dietro gli zero-transfer e le truffe di avvelenamento dell'indirizzo non risiede nella violazione dei protocolli crittografici, ma nella manipolazione del comportamento degli utenti. Le interfacce dei wallet cripto - specialmente quelle basate su browser e app mobili - spesso evidenziano le cronologie degli indirizzi e le transazioni passate come indicatori di sicurezza, fiducia, o uso precedente. Ciò crea una superficie di attacco che non dipende dalle vulnerabilità del codice, ma piuttosto dalle decisioni umane.
Nel caso del recente furto da 2,6 milioni di dollari, la vittima probabilmente ha utilizzato la cronologia delle transazioni del proprio wallet per avviare o verificare l'indirizzo, credendo di inviare fondi a un contatto noto o precedentemente fidato. La ripetizione dell'attacco in meno di tre ore suggerisce che la vittima non ha rilevato la perdita iniziale in tempo o ha creduto che la prima transazione fosse legittima - in entrambi i casi evidenziando quanto possa essere furtiva e convincente la truffa in tempo reale.
Le perdite sono state esclusivamente in USDT (Tether), uno stablecoin ampiamente utilizzato con miliardi di volume giornaliero onchain. Poiché l'USDT è tipicamente utilizzato in grandi trasferimenti istituzionali e al dettaglio, è diventato un obiettivo principale per le truffe di precisione che si concentrano sui wallet di alto valore.
Attacchi di Avvelenamento in Aumento
L'incidente non è isolato. Uno studio comprensivo rilasciato nel gennaio 2025 ha rivelato che oltre 270 milioni di tentativi di avvelenamento degli indirizzi sono stati registrati su Ethereum e BNB Chain tra luglio 2022 e giugno 2024. Sebbene solo 6.000 di quegli attacchi siano stati efficaci, hanno collettivamente rappresentato oltre $83 milioni in perdite confermate.
L'enorme volume di tentativi - riusciti o meno - suggerisce che le strategie di avvelenamento sono economiche da eseguire e rimangono efficaci a causa delle tendenze comportamentali degli utenti e della mancanza di interfacce UX anti-phishing nei wallet critto comuni.
Notevolmente, l'entità del danno in casi individuali è significativa. Nel 2023, una simile truffa di zero-transfer ha portato al furto di $20 milioni in USDT, prima che Tether mettesse infine nella blacklist il wallet. Tuttavia, la blacklist non è una salvaguardia universale - molti token non supportano blacklist di emittenti, e non tutte le reti blockchain offrono strumenti di intervento simili.
Strumenti di Rilevamento AI e Revisioni delle Interfacce
In risposta all'aumento del phishing di zero-transfer, diverse società di sicurezza informatica e di infrastruttura dei wallet stanno tentando di mitigare i rischi attraverso sistemi di rilevamento più intelligenti.
All'inizio di quest'anno, l'azienda di sicurezza blockchain Trugard ha collaborato con il protocollo di sicurezza onchain Webacy per introdurre un sistema di rilevamento basato su AI progettato specificamente per segnalare potenziali tentativi di avvelenamento dell'indirizzo. Secondo i suoi sviluppatori, lo strumento ha dimostrato un tasso di accuratezza del 97% nei test che coinvolgono dati storici di attacco.
Il sistema funziona analizzando i modelli nei metadati delle transazioni, il comportamento di trasferimento, e le somiglianze degli indirizzi, quindi avvisando gli utenti prima che una transazione sia finalizzata. Tuttavia, l'adozione più ampia attraverso i wallet popolari rimane limitata, poiché molte piattaforme sono ancora in fase di integrazione di strumenti di sicurezza di terze parti.
Alcuni sviluppatori di wallet stanno anche esplorando cambiamenti su come vengono presentate le cronologie delle transazioni. Ad esempio, evidenziare le transazioni a valore zero, colorare gli indirizzi basandosi su punteggi di affidabilità, e facilitare la verifica completa degli indirizzi sono considerate come modi per interrompere i tassi di successo delle truffe. Ma finché tali cambiamenti di interfaccia non diventano standardizzati nell'industria, gli utenti rimangono esposti.
Punti Ciechi Legali e Regolatori
Anche se le truffe di zero-transfer sono tecnologicamente semplici, l'azione legale contro i perpetratori è complessa e raramente ha successo. Molte di queste truffe hanno origine da entità pseudonime o straniere, con fondi rapidamente riciclati attraverso exchange decentralizzati, mixer, o ponti tra catene.
Gli emittenti di stablecoin come Tether possono intervenire solo quando esistono meccanismi di controllo centralizzati - e solo se i fondi rubati rimangono intatti o tracciabili. Una volta che gli attaccanti spostano i fondi in pool di privacy o li convertono in altri asset, il recupero diventa praticamente impossibile.
Inoltre, le agenzie di controllo spesso non dispongono delle competenze tecniche o della portata giurisdizionale per indagare su tali attacchi a meno che non facciano parte di campagne organizzate più ampie.
L'ultima linea di Difesa
Per ora, gli utenti finali devono adottare una cautela maggiore quando interagiscono con gli indirizzi delle blockchain - specialmente per trasferimenti di grande valore. Le migliori pratiche includono:
- Verificare sempre l'indirizzo completo, non solo i caratteri iniziali/finali.
- Evitare di utilizzare la cronologia del wallet per copiare gli indirizzi.
- Segnalibrare manualmente indirizzi noti da fonti ufficiali.
- Utilizzare wallet con rilevamento di phishing integrato, quando disponibile.
- Monitorare i trasferimenti in entrata a valore zero come potenziali segnali di allarme.
L'aumento degli attacchi di phishing tramite zero-transfer dimostra un cambiamento nelle minacce del Web3 da hack a livello di protocollo ad attacchi di ingegneria sociale utilizzando i metadati onchain. Con il crescere del valore degli asset sulle blockchain pubbliche, aumenterà anche la sofisticazione di questi metodi - rendendo l'educazione degli utenti e il miglioramento degli strumenti dei wallet critici per la protezione dei fondi.