CryptoRanks.wiki

Come verificare gli smart contract prima di collegare il wallet

Impara a verificare uno smart contract prima di collegare il wallet: codice, approval, proxy, honeypot, scanner, revoke e rischi DeFi.

Scritto daCryptoRanks Research
|
Revisionato daCryptoRanks Editorial Team
|
Aggiornato

Perché è importante analizzare gli smart contract

Collegare un wallet a uno smart contract comporta sempre un rischio. Molti token appena lanciati e protocolli DeFi giovani possono contenere permessi nascosti, honeypot, funzioni aggiornabili o privilegi eccessivi dell'owner. Questa guida spiega come verificare gli smart contract prima di collegare il wallet e ridurre il rischio operativo.

L'obiettivo è dare ai principianti un metodo chiaro: quale block explorer aprire, quali parti del codice controllare, quali red flag ricorrono più spesso e come ridurre il rischio prima di firmare una transazione o concedere un approve.

Verifica del codice sorgente dello smart contract

Il primo controllo riguarda la verifica del codice nel block explorer, per esempio Etherscan, BscScan o Polygonscan. Un contratto verificato mostra che i sorgenti pubblicati corrispondono al bytecode distribuito. In questo modo puoi leggere ABI, struttura dei file e schede Read Contract e Write Contract.

Apri l'indirizzo del contratto, vai nella scheda Contract e controlla lo stato Verified. Anche se non sei uno sviluppatore, il codice pubblicato è già un filtro importante: può essere passato negli scanner automatici, mentre un contratto non verificato resta una scatola nera.

In breve: nessuna verifica = nessuna trasparenza. Per progetti nuovi o poco conosciuti, questo può bastare per non collegare il wallet.

Funzioni e permessi critici: approve, transferFrom, permit

approve(spender, amount) concede a un contratto il diritto di spendere token. Dopo l'approvazione, il contratto può usare transferFrom e muovere l'importo autorizzato senza una nuova conferma per ogni trasferimento. Gli approval illimitati e SetApprovalForAll sugli NFT sono tra le interazioni più pericolose.

La regola pratica è semplice: autorizza solo l'importo necessario, evita approvazioni infinite, controlla a chi stai concedendo il permesso e revoca le autorizzazioni non più necessarie.

Usa estensioni di simulazione per vedere prima della firma se l'azione è un trasferimento, un approval globale, un cambio di owner o un'altra operazione sensibile.

Proxy e aggiornamenti: perché sono un rischio

Il pattern proxy consente di mantenere lo stesso indirizzo mentre cambia l'implementazione reale del contratto. È comodo per protocolli grandi, ma aggiunge fiducia verso admin, multisig o governance.

Se l'explorer mostra Proxy o Upgradeable, verifica chi può aggiornare il contratto, se esiste un timelock, se viene usato un multisig e se la cronologia delle versioni è pubblica. Un contratto pulito oggi può comportarsi diversamente dopo un upgrade.

Strumenti di analisi: dagli scanner statici alle estensioni

Un solo strumento non basta. Combina più controlli, perché coprono classi di rischio diverse:

  • Slither individua errori comuni in Solidity e fornisce suggerimenti concreti.
  • MythX combina analisi statica, esecuzione simbolica ed euristiche.
  • Remix IDE permette controlli base nel browser senza installare strumenti locali.
  • Token Sniffer segnala pattern di scam, honeypot e rischi tipici dei token.
  • GoPlus Security valuta rischi dei token, segnali di phishing e azioni sospette.
  • De.Fi Scanner offre report leggibili anche per utenti non tecnici.
  • In aggiunta: Honeypot.is, servizi di revoke, Wallet Guard o Pocket Universe per simulare le firme.

Pattern di scam comuni nel codice dei token

I token fraudolenti riutilizzano spesso gli stessi trucchi:

  • Honeypot: puoi comprare ma non vendere; la vendita è bloccata per la maggior parte degli indirizzi.
  • Blocco dinamico: trading attivabile o disattivabile, blacklist di indirizzi, finestre di trading controllate.
  • Commissioni modificabili: l'owner può aumentare tasse o fee fino a rendere impossibile uscire.
  • Mint illimitato: emissione di nuovi token senza un limite rigido.
  • Rimozione della liquidità: LP non bloccati o improvviso Remove Liquidity verso wallet controllati dal team.

Gli scanner intercettano molti segnali, ma la decisione finale resta tua. Se più red flag compaiono insieme, non collegare il wallet.

Rischi nascosti: privilegi dell'owner, pausable, backdoor

Il pattern Ownable assegna privilegi speciali all'owner. Non è automaticamente un segnale di scam, ma bisogna capire quanto potere resta concentrato.

  • Modifica di fee, limiti, indirizzi destinatari o parametri critici.
  • Pausable: possibilità di fermare trasferimenti o trading.
  • mint o burnFrom: creazione di token o distruzione da saldi altrui.
  • Metodi nascosti con nomi innocui che possono funzionare da backdoor.

Controlla eventi come OwnershipTransferred, RoleGranted e Paused. Verifica anche se l'ownership è stata davvero rinunciata o se l'owner continua a intervenire.

Contratti DeFi: liquidità, lending, farming

In DeFi si interagisce non solo con token, ma anche con pool, protocolli di lending e farm. Controlli base:

  • Pool DEX: preferisci DEX noti; i fork personalizzati possono contenere logiche di fee o prelievo nascoste.
  • Lending: verifica audit, cap, meccanismi di liquidazione e oracoli.
  • Farming/staking: controlla emissioni, limiti di deposito e ruoli owner nei contratti tipo MasterChef.
  • In generale: confronta bug bounty, multisig, TVL, età del protocollo e storia degli incidenti.

NFT e mint (ERC-721/1155): controlli essenziali

Prima di un mint o di un trade, verifica almeno questi punti:

  • Indirizzo ufficiale: confronta il contratto con fonti del progetto e marketplace.
  • Supply cap: cerca maxSupply e regole di mint.
  • Permessi pericolosi: siti terzi non dovrebbero chiedere SetApprovalForAll senza una ragione chiara.
  • Metadata: IPFS o Arweave sono preferibili a CDN centralizzati.
Esempio di rischio: alcune false pagine di mint sostituiscono l'azione attesa con safeTransferFrom, trasferendo un NFT già posseduto all'attaccante.

OpenZeppelin e template riconoscibili

Le librerie OpenZeppelin sono un segnale positivo: implementano standard ampiamente testati. Cerca import "@openzeppelin/...", confronta con i template canonici e controlla contratti simili. Non abbassare la guardia: spesso il problema non è nel template, ma in poche righe aggiunte.

Funzioni dei token: tasse, blacklist, anti-whale

Alcune meccaniche non sono scam di per sé, ma cambiano esperienza utente e profilo di rischio:

  • Tasse/fee: riducono il risultato netto; è importante che abbiano limiti chiari.
  • Blacklist: può essere usata contro bot, ma anche contro holder legittimi.
  • Anti-whale: limita saldo o dimensione delle transazioni, ma può ostacolare trasferimenti normali.
  • Reflections/rewards: la redistribuzione automatica complica il codice e aumenta i punti di errore.

Cosa guardare nei block explorer: cronologia, call, eventi

Il block explorer è lo strumento principale per la due diligence:

  • Timeline: data di deploy, frequenza delle interazioni e distribuzione dell'attività.
  • Holder: concentrazione tra i primi indirizzi, quota dell'owner e indirizzi di exchange.
  • Liquidità: lock degli LP, durata e proprietario dei token LP.
  • Read/Write Contract: leggere e chiamare funzioni senza dipendere solo dal frontend.
  • Commenti/label: non sono prove, ma possono essere segnali utili.
  • Eventi: Transfer da 0x0, Approval, OwnershipTransferred, Paused.

Checklist prima di collegare il wallet

  1. Controlla l'indirizzo nell'explorer: codice, deploy, holder, transazioni sospette, label.
  2. Usa scanner: Token Sniffer, De.Fi Scanner, GoPlus.
  3. Verifica il frontend: URL, fonti ufficiali e assenza di link regalo sospetti.
  4. Usa un burner wallet: indirizzo separato con saldo minimo.
  5. Riduci gli approval: evita autorizzazioni infinite quando basta un limite.
  6. Simula la transazione: capisci cosa cambia prima di firmare.
  7. Tieni pronto il revoke: controlla periodicamente i permessi concessi.

Cosa non garantisce la verifica

  • Onestà del frontend: l'interfaccia può sostituire indirizzi o dati.
  • Integrità del team: codice pulito non protegge da rug pull off-chain.
  • Economia del token: un token tecnicamente corretto può comunque perdere valore.
  • Aggiornamenti futuri: i contratti upgradeable cambiano profilo di rischio nel tempo.
  • Social engineering: i controlli sul codice non proteggono da phishing o furto della seed phrase.

Conclusione

Interagire con smart contract in modo sicuro richiede disciplina, strumenti e giudizio. Il minimo è verificare il codice, usare scanner, leggere gli approval e capire cosa mostra il wallet prima della firma.

Nessuno strumento dà garanzia assoluta. Incrocia più fonti, parti da un burner wallet e revoca regolarmente permessi troppo ampi.

Punto chiave: controlla indirizzo e codice, simula la transazione, limita approve, monitora gli upgrade proxy e tieni a portata strumenti di revoke.

Domande frequenti (FAQ)

Cosa fare se un contratto non è verificato su Etherscan?
La scelta prudente è non interagire. Un contratto non verificato è una scatola nera; chiedi spiegazioni al team e controlla la reputazione.
Non sono sviluppatore: come posso controllare?
Apri l'indirizzo nell'explorer, guarda deploy, holder ed eventi, usa scanner e cerca analisi indipendenti. Nel dubbio, usa un burner wallet o non collegarti.
Un contratto verificato e auditato è sicuro?
No. La verifica aumenta la trasparenza e l'audit riduce il rischio, ma non lo elimina. Restano importanti upgrade, admin e tokenomics.
Che cos'è un honeypot?
È un token che puoi comprare ma non vendere. Scanner, assenza di vendite e warning pubblici sono segnali da non ignorare.
Come revocare gli approval?
Usa servizi di revoke o pannelli Token Approvals. Collega il wallet, scegli i permessi inutili e revocali.
Serve un wallet separato per nuove dApp?
Sì. Un burner wallet con saldo minimo limita il danno in caso di incidente.
Ho collegato il wallet a un contratto scam: cosa fare?
Revoca subito tutti i permessi dati a quell'indirizzo, ignora falsi rimborsi e non usare più il wallet principale con quella dApp.

Approfondisci “DeFi”

In questa sezione trovi altre analisi, guide pratiche e recensioni dedicate all’argomento.

Apri la sezione “DeFi”