MetaMask ha introdotto una nuova salvaguardia progettata per colmare una pericolosa lacuna nel modo in cui i wallet cripto confermano ciò che una transazione fa realmente. La funzione, chiamata Added Protection, impone una corrispondenza rigorosa tra l'esito mostrato nell'anteprima della transazione e ciò che accade effettivamente on-chain. Se i due non coincidono, la transazione viene interrotta automaticamente prima che possa causare danni.

Come riportato da The Cryptonomist, l'aggiornamento mira a uno dei trucchi più antichi del repertorio delle truffe cripto: mostrare all'utente un'anteprima dall'aspetto innocuo mentre la transazione sottostante fa qualcosa di completamente diverso, ad esempio prosciugare i fondi o approvare l'accesso a contratti dannosi.

Dalle anteprime passive alla verifica attiva

Added Protection si basa su un principio semplice ma potente: ciò che il wallet mostra prima della firma deve corrispondere a ciò che accade realmente una volta che la transazione si conclude on-chain. Ogni transazione Ethereum o EVM elaborata tramite un wallet con la funzione attiva deve produrre un risultato identico a quello visualizzato in anteprima.

Questo rappresenta un cambiamento significativo nel modo in cui la sicurezza delle transazioni di MetaMask viene applicata a livello di protocollo, passando dalla visualizzazione passiva alla verifica attiva. Gli utenti non si affidano più soltanto a una schermata di antepr statica: il wallet ora controlla se l'esecuzione on-chain corrisponde alle aspettative prima di finalizzare qualsiasi operazione.

Le transazioni non corrispondenti falliscono automaticamente

Quando si verifica una discrepanza, la transazione non va a buon fine. Fallisce invece automaticamente, e l'unico costo per l'utente è la gas fee già spesa per il tentativo. In pratica, questo limita il rovescio finanziario di una transazione manipolata: nessun fondo viene spostato, nessuna autorizzazione viene concessa e nessun asset cambia mano oltre al gas già pagato.

Questo segna un miglioramento notevole rispetto al comportamento precedente dei wallet, in cui una transazione ingannevole poteva essere eseguita integralmente e comportare la perdita totale dei fondi anziché una piccola commissione.

Distribuzione e copertura delle reti

Attiva per impostazione predefinita nella versione 13.45 dell'estensione

Added Protection è già attiva e abilitata per la maggior parte degli utenti, anziché essere nascosta dietro un'opzione da attivare manualmente. MetaMask l'ha abilitata per impostazione predefinita a partire dalla versione 13.45 dell'estensione, quindi chiunque utilizzi quella versione o una successiva riceve la protezione automaticamente, senza dover modificare le impostazioni.

Poiché la salvaguardia è inclusa come impostazione predefinita anziché come funzione opzionale, l'adozione è immediata tra la base di utenti che utilizza l'estensione aggiornata. Questo riduce la probabilità che utenti vulnerabili o meno attenti alla sicurezza saltino la protezione semplicemente perché non ne conoscevano l'esistenza. Per gli utenti che si trovano ancora su versioni precedenti, la protezione arriva solo al momento dell'aggiornamento dell'estensione.

Copertura su 13 reti EVM con smart account EIP-7702

La funzione copre attualmente 13 reti EVM che supportano gli smart account EIP-7702, uno standard Ethereum che amplia le modalità con cui gli account possono eseguire e raggruppare le transazioni. Il collegamento di Added Protection specificamente a EIP-7702 suggerisce che MetaMask dia priorità alle reti in cui questo nuovo modello di account è già attivo, dato che è lì che la verifica tra esito e anteprima può essere applicata in modo più affidabile.

Per ora la copertura ha comunque un confine definito: le transazioni su reti o configurazioni di account al di fuori delle 13 reti EVM non rientrano in questo controllo anteprima-esecuzione, un dettaglio pratico che i titolari di wallet dovrebbero verificare rispetto alla propria configurazione.

Progettata per contrastare gliacchi Red Pill

MetaMask dichiara che Added Protection è progettata specificamente per proteggersi dagli attacchi Red Pill, una categoria di exploit mirata a ingannare l'anteprima delle transazioni del wallet facendole mostrare un esito mentre ne viene eseguito in realtà un altro, dannoso. Richiedendo che il risultato reale corrisponda esattamente all'anteprima, la funzione è pensata per neutralizzare il divario tra ciò che gli utenti vedono e ciò che accade on-chain, chiudendo un vettore di manipolazione che ha reso gli attacchi Red Pill su Ethereum e altre catene EVM particolarmente difficili da intercettare prima che sia troppo tardi.

Il cambiamento è importante per i titolari di wallet quotidiani perché le anteprime delle transazioni sono state a lungo considerate affidabili per impostazione predefinita. Se un'anteprima può essere falsificata mentre la transazione sottostante fa tutt'altro, gli utenti non avevano alcun modo affidabile di sapere che stavano per essere truffati finché il danno non era già avvenuto. Added Protection elimina quella fiducia cieca inserendo un controllo di verifica tra l'anteprima e l'esecuzione finale.

Domande frequenti

Che cos'è la funzione Added Protection di MetaMask?

Added Protection è una funzione di sicurezza che richiede che gli esiti delle transazioni Ethereum o EVM corrispondano alle loro anteprime, facendo fallire automaticamente la transazione in caso di differenza.

Cosa succede se l'esito di una transazione differisce dalla sua anteprima?

La transazione fallisce automaticamente e l'utente perde solo la gas fee spesa per il tentativo.

Quali reti supportano Added Protection di MetaMask?

La funzione supporta 13 reti EVM che implementano gli smart account EIP-7702.

Added Protection è attiva per impostazione predefinita?

Sì, è attiva per impostazione predefinita a partire dalla versione 13.45 dell'estensione MetaMask.