NFT: sei persone incriminate negli Stati Uniti per il drenaggio di wallet dal Madagascar

Il 28 ottobre 2026, sei persone sono state incriminate negli Stati Uniti per il loro presunto ruolo in una vasta operazione di svuotamento di portafogli di crypto-asset che prendeva di mira i detentori di NFT, da Madagascar. Questo caso, che avrebbe causato perdite stimate in oltre 500.000 dollari, illustra la persistente vulnerabilità degli utenti di fronte ad attacchi che sfruttano autorizzazioni di firma fraudolente, un rischio distinto dai difetti tecnici delle blockchain. Contesto Il mercato degli NFT, dopo un picco di entusiasmo nel 2021-2022, ha subito un netto calo, con una capitalizzazione globale ridotta a un terzo rispetto al suo massimo. Nonostante questo declino, gli attacchi che prendono di mira collezionisti e investitori rimangono frequenti, spesso attraverso tecniche di "wallet draining" – script malevoli che spingono le vittime a firmare transazioni che concedono l'accesso ai loro asset. Questi attacchi sfruttano meno le vulnerabilità dei protocolli e più le lacune nella comprensione degli utenti, in particolare per quanto riguarda la gestione delle autorizzazioni. Il caso attuale si inserisce in una serie di procedimenti giudiziari statunitensi contro frodi legate ai crypto-asset, riflettendo una crescente volontà delle autorità di sanzionare le attività illecite sulle blockchain. La scelta del Madagascar come presunta base delle operazioni ricorda le sfide poste dalla localizzazione degli attori malevoli in un ecosistema decentralizzato, dove i confini geografici svaniscono. Inoltre, il mercato degli NFT, già indebolito da una diminuzione della liquidità, potrebbe subire una crescente sfiducia se casi simili dovessero moltiplicarsi. I fatti Secondo The Defiant , riportato da CryptoActu , l'FBI stima le perdite legate a questo caso in 516.695 dollari, distribuite su 74 portafogli identificati come vittime. Le accuse riguardano sei persone, le cui identità e i cui capi d'imputazione precisi non sono stati divulgati. Le presunte operazioni sarebbero state orchestrate dal Madagascar, sebbene i dettagli sui meccanismi di coordinamento o sulle infrastrutture utilizzate rimangano vaghi. I dati di CryptoScore Pro al 28 ottobre 2026 alle 00:19 UTC indicano un contesto di mercato relativamente stabile, con un Bitcoin (BTC) a 80.671 dollari (+0,67% nelle 24 ore) e un Ether (ETH) a 2.344 dollari (+0,82% nelle 24 ore). L'indice Crypto Fear & Greed si attestava a 48/100 il 27 ottobre, segnalando una neutralità del sentiment degli investitori. Questi indicatori suggeriscono che l'evento non abbia avuto un impatto immediato sui prezzi delle principali criptovalute. Le perdite riguardano principalmente token fungibili, in particolare USDT, piuttosto che gli NFT stessi, sebbene questi ultimi siano serviti come punto di ingresso per gli attacchi. Il meccanismo si basa su autorizzazioni di spesa illimitate ( setApprovalForAll ), che consentono agli aggressori di trasferire gli asset senza un'ulteriore convalida da parte della vittima. Non sono state comunicate informazioni sulle collezioni NFT specificamente mirate, né sul percorso dei fondi dopo il loro trasferimento. L'affidavit dell'FBI, citato dalla fonte, menziona le autorizzazioni illimitate in USDT come vettore principale dell'attacco. Questo tipo di permesso, spesso utilizzato nelle interazioni con gli smart contract, può essere distorto se l'indirizzo beneficiario è controllato da attori malevoli. A differenza del furto di una chiave privata, questo metodo non richiede di compromettere direttamente la sicurezza del wallet, ma sfrutta piuttosto una firma ottenuta sotto falsi pretesti. Comprendere i concetti chiave Wallet drainer Un wallet drainer è uno script o un programma malevolo progettato per svuotare un portafoglio di crypto-asset inducendo il proprietario a firmare una transazione o un'autorizzazione. A differenza di un hacking classico, che sfrutterebbe una falla tecnica, questo metodo si basa sull'inganno: la vittima crede di firmare un'operazione innocua (come l'acquisto di un NFT o l'accesso a un servizio), mentre in realtà concede un accesso esteso ai propri fondi. Per esempio, un utente potrebbe cliccare su un link fraudolento che promette un airdrop, per poi convalidare un'autorizzazione che permetterebbe all'attaccante di trasferire tutti i suoi USDT senza ulteriore conferma. Autorizzazione di spesa ( approval o setApprovalForAll ) Un' autorizzazione di spesa (spend allowance) è una funzionalità di blockchain come Ethereum, che consente a un utente di concedere a uno smart contract o a un indirizzo terzo il diritto di spostare alcuni dei propri asset. Per esempio, quando un possessore di NFT interagisce con un marketplace come OpenSea, deve spesso firmare un'autorizzazione affinché la piattaforma possa trasferire i suoi token in caso di vendita. Un'autorizzazione illimitata fornisce un accesso permanente, finché non viene revocata. Nel caso malgasse, gli aggressori avrebbero sfruttato questo meccanismo ottenendo autorizzazioni in USDT, permettendo loro di drenare i fondi delle vittime senza allertarle. Seed phrase e sicurezza dei wallet La seed phrase (o frase di recupero) è una serie di parole generate durante la creazione di un wallet di crypto-asset, che funge da chiave principale per accedere ai propri fondi. Se questa frase viene compromessa, un aggressore può prendere il controllo totale del wallet. Tuttavia, nel caso dei wallet drainers , la seed phrase non è necessariamente rubata: è un'autorizzazione malevola che permette il drenaggio. Ciò evidenzia un limite frequente nella percezione della sicurezza: proteggere la propria seed phrase non è sufficiente se rimangono attive autorizzazioni pericolose. Per esempio, un utente potrebbe avere un wallet sicuro, ma perdere i propri fondi dopo aver firmato un'autorizzazione illimitata per un contratto fraudolento. Analisi: le sfide Il caso dei sei imputati per il drenaggio di wallet NFT dal Madagascar mette in luce meccanismi economici e finanziari propri dei…