Risposta rapida
Cos'è un wallet drainer crypto?
Un wallet drainer crypto è un kit di phishing, di solito noleggiato come servizio, che mostra un sito falso o uno reale dirottato, chiede al visitatore di collegare un wallet e firmare, poi fa uscire i fondi. ScamSniffer ha contato $83.85M rubati a 106,106 vittime nel 2025. Wardmint registra i nomi look-alike che un progetto può prendere prima che lo facciano gli attaccanti.
Perdite da phishing con wallet drainer sulle chain EVM, dal 2023 al 2025
| Anno | Losses | Victims | Casi da $1M o più |
|---|---|---|---|
| 2023 | $295M | 324,000 | 13 |
| 2024 | $494M | 332,000 | 30 |
| 2025 | $83.85M | 106,106 | 11 |
Tipi di firma che i drainer chiedono
| Signature type | Cosa autorizza davvero la vittima | Reported in 2025 |
|---|---|---|
| approve | Un indirizzo indicato può spendere un importo fisso di un token | Elencato come tipo comune |
| permit / Permit2 | La stessa autorizzazione, concessa con una firma off-chain senza alcuna transazione on-chain della vittima | 38% delle perdite nei casi da $1M o più ($8.72M, 3 casi); il furto più grande del 2025, $6.5M a settembre, ha usato una firma Permit |
| setApprovalForAll | Un indirizzo indicato può spostare ogni NFT di una collezione | Elencato come tipo comune |
| increaseApproval, Transfer | Un'autorizzazione più ampia o un trasferimento diretto di token | Elencati come tipi in uso |
| EIP-7702 batch | Codice di account delegato che esegue più azioni in una volta | Comparso dopo l'aggiornamento Pectra; 2 casi importanti ad agosto, $2.54M |
Come funziona un wallet drainer?
Funziona in tre passi: esca, collegamento, firma. L'esca è un link in un messaggio, in un annuncio o in un profilo social che porta a una pagina che copia un progetto reale. La pagina chiede al visitatore di collegare un wallet, cosa che rivela l'indirizzo e i token che contiene. Il kit costruisce poi una o più richieste di firma che sembrano di routine, come un claim, un mint o una verifica. Appena la vittima firma, l'operatore usa l'approvazione o il trasferimento per prendere i fondi, di solito in pochi istanti.
ScamSniffer definisce un wallet drainer come un'infrastruttura di phishing su siti malevoli che induce gli utenti a firmare transazioni dannose, il che permette un'estrazione rapida. Il kit non ha bisogno di una seed phrase. L'utente concede l'autorità volontariamente, ed è per questo che la pagina che la chiede deve sembrare credibile, e perché il dominio su cui si trova conta tanto.
Da dove prendono i domini i drainer?
Usano domini look-alike registrati per la campagna e, sempre più spesso, il dominio stesso del progetto dopo un dirottamento. La via look-alike è quella semplice: examplecoin-claim.xyz o examplecoin-airdrop.com, una copia della pagina del progetto, un pulsante di connessione. Varianti di questo tipo sono descritte in quali tipi di domini look-alike registrano i phisher, e lo schema degli airdrop è trattato in come funzionano i siti di claim airdrop falsi e i domini di phishing.
La via del dirottamento salta del tutto il look-alike. Blockaid ha attribuito le cinque compromissioni del front end tra il 16 e il 23 febbraio 2026 al servizio di drainer AngelFerno, precedentemente noto come Inferno, con nuovi certificati SSL emessi lo stesso giorno della modifica DNS. The Block ha riportato che circa una dozzina di siti DeFi registrati presso Name.com sono stati reindirizzati la sera del 30 ottobre 2026 e caricati con Step Drainer, un toolkit malware-as-a-service, con circa $138,000 ricondotti a tre wallet EVM. In entrambi i casi il visitatore ha digitato l'indirizzo reale.
Quanto rubano i drainer e sta calando?
ScamSniffer riporta che le perdite da drainer sono calate dell'83% nel 2025, a $83.85M, mentre il quadro generale delle truffe è cresciuto. Il totale del 2025 è una frazione dei $494M del 2024, e le vittime sono calate del 68%. Il rapporto ha contato 11 casi da $1M o più contro 30 nel 2024. Ha inoltre rilevato che le firme Permit e Permit2 rappresentavano il 38% delle perdite nei casi grandi, e che il mese di picco è stato agosto 2025 con $12.17M e 15,230 vittime.
Un totale in calo non significa una base di utenti sicura. Chainalysis, nel suo rapporto del 13 gennaio 2026, stima che truffe e frodi crypto valgano non meno di $14 miliardi ricevuti on-chain nel 2025, con le truffe di impersonificazione in crescita di oltre 1,400% rispetto al 2024 e il pagamento medio di una truffa salito da $782 a $2,764. I drainer sono uno strumento in questo quadro, e il testo di Chainalysis riporta che le truffe con kit di phishing erano molto più efficaci in termini di dollari rispetto a quelle ordinarie. Vale anche la riserva di ScamSniffer: la sua cifra conta solo i drainer dei siti di phishing.
Cosa può fare un progetto per impedire ai drainer di usare il suo nome?
Prendi i nomi ovvi, rafforza quello reale e rendi rapida la segnalazione. Secondo il sondaggio di Wardmint del 12 novembre 2026, 40 dei 50 progetti crypto più grandi non avevano un nome -claim .com registrato e 39 dei 50 non avevano un nome -airdrop .com registrato in RDAP, quindi le parole esatte di cui ha bisogno un'esca per il claim erano aperte a chiunque. I risultati completi, con le 171 delle 578 varianti (29.6%) che erano libere, sono nella pagina audit dei domini difensivi dei progetti crypto 2026.
Un progetto può agire in quattro modi. Registrare le proprie varianti e reindirizzarle al sito ufficiale; il set di phisher (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support) costa $212.41 l'anno. Rafforzare l'account del registrar e il DNS seguendo la checklist di sicurezza dei domini per un progetto crypto. Trovare i look-alike esistenti con gli strumenti gratuiti in come trovare domini look-alike del tuo marchio. E segnalare ogni dominio attivo seguendo come segnalare un dominio di phishing. Wardmint vende solo registrazioni, non monitoraggio o rimozione, e registra le varianti del progetto stesso, mai quelle di un altro marchio.
Cosa può fare un utente prima di firmare?
Leggi cosa dice il wallet che farà, e tratta come ostile ogni richiesta che non hai avviato tu. Una richiesta di connessione su una pagina raggiunta da un annuncio o da un messaggio è il punto in cui fermarsi. Apri il progetto dai preferiti o dai suoi canali verificati, controlla che l'indirizzo sia esattamente quello annunciato dal progetto e leggi la richiesta di firma. Una richiesta di approvare la spesa di un token, di approvare un'intera collezione NFT o di firmare un Permit per un claim è lo schema della tabella sopra. Conserva le posizioni a lungo termine in un wallet che non usi per collegarti a siti nuovi.
I progetti possono aiutare gli utenti annunciando un unico indirizzo ufficiale prima di ogni evento. Una regola da citare: un claim legittimo non richiede mai una seed phrase, e una firma che concede un'autorizzazione non è un claim.
Wallet drainer: domande
Un wallet drainer è un malware sul mio computer?
Di solito no. I drainer di questi rapporti girano come script su un sito di phishing e agiscono tramite il wallet che colleghi. Il rischio nasce dalla firma che dai, non da un software installato sul tuo dispositivo.
Perché un drainer non ha bisogno della mia seed phrase?
Un'approvazione firmata o un Permit dà all'attaccante il diritto di muovere i tuoi token senza alcuna chiave. L'autorità è concessa dalla firma e resta valida finché non viene revocata o usata.
Le perdite da drainer sono davvero calate nel 2025?
Sì, nei dati di ScamSniffer sono calate dell'83% a $83.85M su 106,106 vittime, dai $494M del 2024. Il rapporto copre solo i drainer dei siti di phishing ed è un limite inferiore.
Registrare domini può fermare i drainer?
Toglie i nomi che un operatore di drainer proverebbe per primi, come il nome di un progetto con claim o airdrop aggiunto. Non ferma gli attacchi su altre parole, sui sottodomini delle piattaforme di hosting o un dirottamento del dominio reale.
Cosa deve fare un progetto dopo aver trovato un sito drainer?
Segnala il dominio al suo registrar e al suo host, aggiungilo alle blocklist, avvisa gli utenti su ogni canale verificato e conserva screenshot per ogni eventuale contestazione successiva. L'ordine di segnalazione è nella guida di Wardmint su come segnalare un dominio di phishing.
In sintesi
- Un wallet drainer è un kit di phishing che ottiene una firma e sposta gli asset, senza bisogno di seed phrase.
- ScamSniffer: $83.85M e 106,106 vittime nel 2025, contro $494M e 332,000 nel 2024.
- Permit e Permit2 rappresentavano il 38% delle perdite nei casi da $1M o più; il più grande è stato di $6.5M a settembre 2025.
- I drainer operano su domini look-alike e su domini reali dirottati (rapporti di febbraio e ottobre 2026).
- Chainalysis (13 gennaio 2026): almeno $14 miliardi di truffe crypto ricevute on-chain nel 2025.
- 40 dei 50 nomi -claim .com e 39 dei 50 nomi -airdrop .com dei primi 50 progetti erano liberi il 12 novembre 2026.
- Wardmint vende registrazioni, non monitoraggio o rimozione; nove estensioni da phisher costano $212.41 l'anno.
Fonti (4)
- Le perdite da phishing crypto del 2025 secondo Scam Sniffer calano dell'83% a $84 million — ScamSniffer, 3 January 2026 (letto il 2026-11-12)
- 2026 Crypto Scams report — Chainalysis, 13 January 2026 (letto il 2026-11-12)
- Dirottamento del front end e superficie di attacco Web2 che minaccia i protocolli Web3 — Blockaid, 19 March 2026 (letto il 2026-11-12)
- Hacker dirottano una dozzina di siti DeFi registrati con Name.com — The Block, 31 October 2026 (letto il 2026-11-12)