Un utente Ethereum avrebbe perso circa 100.000 dollari in un attacco di avvelenamento degli indirizzi dopo aver copiato un indirizzo di portafoglio dal proprio storico delle transazioni senza verificare in modo indipendente la destinazione prima di trasferire i fondi.

La piattaforma di analisi blockchain Lookonchain ha segnalato l'incidente, richiamando l'attenzione sulla minaccia persistente delle truffe di avvelenamento degli indirizzi — una categoria di frode legata alle criptovalute che sfrutta il modo in cui gli utenti identificano e copiano gli indirizzi di portafoglio. L'avvelenamento degli indirizzi è stato collegato a perdite cumulative sostanziali nell'ecosistema cripto, con società di sicurezza blockchain che hanno documentato incidenti che vanno da furti individuali a cinque cifre fino a compromissioni di milioni di dollari ai danni di portafogli whale. Questa classe di attacchi fa parte di un panorama più ampio di exploit di ingegneria sociale che i ricercatori di sicurezza identificano costantemente come uno dei vettori più comuni per il furto di criptovalute, proprio perché aggira completamente la sicurezza del protocollo blockchain e prende di mira il comportamento dell'utente.

Come funziona l'avvelenamento degli indirizzi

Gli attacchi di avvelenamento degli indirizzi si basano sul comportamento umano piuttosto che su una vulnerabilità tecnica della rete Ethereum. Gli attaccanti generano indirizzi di portafoglio che assomigliano da vicino a quelli con cui una vittima ha interagito in precedenza, spesso corrispondendo ai primi o agli ultimi caratteri. Inviano quindi una piccola transazione al portafoglio della vittima, facendo sì che l'indirizzo ingannevole compaia nello storico delle transazioni della vittima. La generazione di indirizzi corrispondenti è computazionalmente fattibile perché gli indirizzi Ethereum incorporano un checksum ma vengono comunque visualizzati in forma troncata nella maggior parte delle interfacce di portafoglio, creando una finestra per l'inganno visivo.

Gli indirizzi di portafoglio sono lunghe stringhe alfanumeriche, rendendo difficile per gli utenti distinguere tra indirizzi legittimi e fraudolenti quando un'interfaccia di portafoglio mostra solo i primi e gli ultimi caratteri. Se un utente copia successivamente un indirizzo da quello storico senza controllare la stringa completa, i fondi possono essere dirottati verso l'attaccante.

La tecnica è particolarmente efficace perché gli utenti possono presumere che qualsiasi indirizzo che compaia nel proprio registro delle transazioni sia intrinsecamente affidabile. Tuttavia, la presenza di un indirizzo nello storico delle transazioni non conferma che appartenga al destinatario previsto.

La perdita Ethereum segnalata di 100.000 dollari illustra come un singolo indirizzo di portafoglio non verificato possa portare alla perdita permanente di asset digitali, poiché le transazioni blockchain generalmente non possono essere annullate una volta confermate. Questa irreversibilità è in netto contrasto con i sistemi finanziari tradizionali, dove i bonifici errati possono talvolta essere richiamati o segnalati tramite intermediari istituzionali.

La verifica rimane la difesa principale

L'incidente sottolinea l'importanza di confermare in modo indipendente gli indirizzi di portafoglio prima di trasferire Ethereum o qualsiasi altro asset digitale. Gli utenti possono ridurre la propria esposizione ottenendo gli indirizzi dei destinatari direttamente da una fonte attendibile anziché selezionarli dallo storico delle transazioni.

Ulteriori precauzioni raccomandate includono:

• Confrontare l'indirizzo di portafoglio completo carattere per carattere prima di confermare una transazione, in particolare per trasferimenti di grandi importi.
• Inviare un piccolo importo di test prima di trasferire il saldo completo.
• Utilizzare le funzionalità di rubrica offerte da alcuni portafogli e exchange, a condizione che l'indirizzo sia verificato prima di essere salvato.

Alcuni sviluppatori di portafogli hanno risposto alla diffusione dell'avvelenamento degli indirizzi implementando funzionalità che visualizzano gli indirizzi completi, avvisano gli utenti di indirizzi simili nello loro cronologia o integrano schermi di conferma su hardware wallet che mostrano la destinazione completa prima della firma. Tuttavia, queste mitigazioni non sono universalmente adottate nell'ecosistema.

Gli specialisti di sicurezza raccomandano costantemente di trattare ogni indirizzo di portafoglio come non affidabile finché non sia stato verificato in modo indipendente, specialmente quando una transazione coinvolge una quantità sostanziale di criptovaluta.

Lookonchain ha emesso un avviso pubblico su X:

Address poisoning is everywhere. Always double-check the wallet address before sending funds, and never copy an address from your transaction history. Another victim copied a wallet address from the transaction history and sent funds without double-checking, losing $100K!… pic.twitter.com/L2H8K3IpVk

— Lookonchain (@lookonchain) August 13, 2026

https://x.com/lookonchain/status/2087749414995759528

Un rischio crescente tra le reti blockchain

L'avvelenamento degli indirizzi è diventato una preoccupazione ricorrente man mano che l'adozione delle criptovalute si espande e le transazioni blockchain rimangono in gran parte irreversibili. A differenza dei bonifici bancari tradizionali, i pagamenti blockchain generalmente non offrono un meccanismo centralizzato per annullare una transazione dopo che è stata finalizzata.

L'incidente illustra inoltre perché lo storico delle transazioni non debba essere trattato come un elenco di indirizzi. Anche se un indirizzo sembra essere stato utilizzato in una transazione precedente, gli utenti devono confermare che appartenga ancora al destinatario previsto prima di inviare fondi aggiuntivi.

Il rischio si estende oltre Ethereum. Truffe simili basate sugli indirizzi possono colpire gli utenti su molteplici reti blockchain perché la metodologia di attacco dipende principalmente dalle pratiche di verifica dell'utente piuttosto che dal protocollo sottostante. Le reti con formati di indirizzo compatibili con EVM, tra cui Polygon, Arbitrum e Optimism, presentano la stessa superficie di vulnerabilità.

Per individui e aziende che detengono asset digitali sostanziali, le conseguenze di un bonifico errato verso un portafoglio controllato da un attaccante possono essere significative. Il recupero può essere difficile o impossibile, rendendo la prevenzione la misura di salvaguardia più efficace.

L'incidente segnalato serve come promemoria del fatto che la sicurezza delle criptovalute dipende non solo dalla tecnologia blockchain ma anche da pratiche di transazione disciplinate. Verificare attentamente l'indirizzo di destinazione ed evitare l'affidamento cieco sullo storico delle transazioni può ridurre significativamente il rischio di cadere vittima di attacchi di avvelenamento degli indirizzi.