Permit ERC-20 malevolo: la truffa silenziosa che svuota il tuo wallet senza alcuna transazione

Nel 2026, oltre 500 milioni di dollari sono stati rubati agli utenti crypto con un'unica tecnica: il permit ERC-20 malevolo. Questa truffa è particolarmente pericolosa perché non lascia alcuna traccia visibile on-chain al momento della firma: basta una firma discreta che autorizza un attaccante a svuotare il tuo wallet quando vuole.

Questa guida spiega cos'è un permit malevolo, perché nel 2026 è la truffa preferita dai drainer e, soprattutto, come proteggerti.

Che cos'è un permit ERC-20?

Il permit è un'estensione dello standard ERC-20 introdotta nel 2020 (EIP-2612). Permette a un utente di concedere l'autorizzazione a uno smart contract a spendere i propri token senza dover inviare una transazione on-chain.

In parole semplici: invece di una classica transazione "Approve" che costa gas, ti basta firmare un messaggio con il tuo wallet. Quel messaggio viene poi inviato on-chain dal contratto stesso.

Vantaggi legittimi:

✅ Risparmio di gas (una transazione invece di due)
✅ UX migliore (l'utente firma una volta e tutto avviene in automatico)
✅ Utilizzato da Uniswap, 1inch e dagli aggregatori DEX

Il problema: questa firma è invisibile per la maggior parte dei wallet. Clicchi su "Firma" pensando di collegarti a un sito, e hai appena autorizzato l'attaccante a svuotare 100 000 USDC.

Come funziona la truffa in 5 passaggi

Passaggio 1 — L'esca

Clicchi su un annuncio Google o su un link Discord che porta a un finto Uniswap, a un finto airdrop crypto o a un finto sito NFT. Il sito sembra legittimo al 100%: loghi ufficiali, design professionale, URL ingannevole (uniswaap.org invece di uniswap.org).

Passaggio 2 — La richiesta di connessione

Il sito ti chiede di "collegare il wallet". Clicchi, si apre MetaMask e vedi solo "Firma un messaggio". Niente di sospetto in apparenza.

Passaggio 3 — Il messaggio nascosto

Quello che non vedi: il messaggio contiene i parametri di un permit ERC-20:

owner: il tuo indirizzo
spender: l'indirizzo dell'attaccante
value: importo massimo (di solito 115 792 089 237 316 195... = infinito)
deadline: 30 giorni da oggi
nonce: il tuo nonce attuale

Firmi. Sulla blockchain non succede nulla subito. Pensi che non sia successo niente.

Passaggio 4 — Lo sfruttamento

Ore o giorni dopo, l'attaccante invia la tua firma on-chain tramite una transazione permit() + transferFrom(). Lo smart contract la accetta perché la firma è matematicamente valida.

Passaggio 5 — Il furto

I tuoi USDC, USDT, WETH o qualsiasi altro token ERC-20 vengono trasferiti all'indirizzo dell'attaccante. Scopri la perdita la mattina dopo.

Nessun ricorso possibile. La transazione è irreversibile. Nessun exchange centralizzato coinvolto.

Permit2: la versione aggravata

Permit2 è un'estensione proposta da Uniswap nel 2022 per standardizzare i permit su tutti i token ERC-20, anche quelli che non implementano nativamente EIP-2612.

È tecnicamente brillante per la UX della DeFi, ed è catastrofico per la sicurezza, perché:

Una singola firma Permit2 può autorizzare la spesa di più token contemporaneamente
La firma resta valida per giorni o settimane
La maggior parte dei wallet mostra Permit2 come un semplice "messaggio", senza dettagli

Risultato: i drainer moderni usano Permit2 in via prioritaria perché rende il furto più efficiente e più discreto.

Come riconoscere un permit malevolo

Campanello d'allarme n. 1: il formato della firma

Una firma Permit o Permit2 appare sempre nel tuo wallet come un messaggio tipizzato EIP-712 con questa struttura:

Domain: PermitToken or Permit2
Types:
  Permit: [owner, spender, value, nonce, deadline]
Message:
  owner: 0xYOUR_ADDRESS
  spender: 0xUNKNOWN  ← THIS is suspicious
  value: 115792089237316195423570985008687907853269984665640564039457584007913129639935  ← That's infinity!
  deadline: 1735689600

Campanello d'allarme n. 2: il contesto

Sei appena arrivato su un sito mai usato prima → 🔴
Il sito offre un airdrop gratuito o un rendimento anomalo → 🔴
Il sito ti chiede di firmare prima ancora di mostrare i contenuti → 🔴
L'URL contiene un errore di battitura sottile (uniswaap invece di uniswap) → 🔴

Campanello d'allarme n. 3: spender sconosciuto

Il campo spender (il contratto che spenderà i tuoi token) deve essere un contratto **noto e verificato**. Se è un indirizzo casuale che su Etherscan non compare come contratto verificato, **è una truffa.**

Come ti protegge Lumina Wallet

Lumina Wallet decodifica ogni firma Permit e Permit2 prima di chiederti di firmare. Ecco cosa succede in concreto:

Decodifica della firma: Lumina analizza il messaggio EIP-712 e identifica se si tratta di un permit
Verifica dello spender: il contratto di destinazione è un DEX/protocollo noto (Uniswap, 1inch, Aave...) o un indirizzo sconosciuto?
Avviso sull'importo: se l'importo è "infinito" (2^256 - 1), compare un avviso critico
Traduzione in linguaggio semplice: invece di un blob esadecimale, vedi: "Stai autorizzando [contratto sconosciuto] a spendere [tutti i tuoi USDC], senza limiti, per i prossimi 30 giorni"

Risultato: vedi esattamente cosa stai firmando prima di firmare. Convalidare per errore un permit malevolo diventa impossibile.

Cosa fare se hai già firmato un permit malevolo

Passaggio 1 — Niente panico, agisci in fretta

Il permit potrebbe non essere ancora stato sfruttato. Hai una finestra di tempo prima che l'attaccante usi la tua firma.

Passaggio 2 — Svuota i token a rischio

Trasferisci subito tutti i tuoi token ERC-20 su un nuovo wallet pulito. Usa un wallet nuovo con una nuova seed phrase. Non riutilizzare il wallet compromesso.

Passaggio 3 — Revoca le approvazioni esistenti

Vai su revoke.cash e revoca tutte le approvazioni. Nota importante: revoke.cash NON può revocare una firma Permit off-chain che non è ancora stata sfruttata. Puoi solo spostare i token.

Passaggio 4 — Segnala il sito fraudolento

ScamAdviser
Google Safe Browsing
Chainabuse.com

Passaggio 5 — Abbandona il wallet compromesso

Non riutilizzare mai un wallet che ha firmato un permit malevolo, anche se non hai perso nulla. A seconda del contesto, il nonce della tua firma potrebbe ancora essere sfruttato.

Il consenso degli esperti

Vitalik Buterin (cofondatore di Ethereum) ha messo in guardia pubblicamente su X nel 2024 contro i rischi di Permit2.
Chainalysis ha identificato il "malicious permit signing" come il metodo di furto crypto n. 1 nel 2025, superando le classiche approvazioni ERC-20.
PeckShield ha documentato oltre 300 attacchi con permit malevoli solo nel 2025.

Conclusione: la firma invisibile è il nuovo pericolo

L'era delle transazioni on-chain visibili è finita. Nel 2026 la truffa più pericolosa non lascia alcuna traccia visibile quando convalidi. Una firma off-chain, silenziosa, differita, e il giorno dopo il tuo wallet è vuoto.

L'unica difesa efficace: un wallet che decodifica ogni firma in linguaggio semplice prima che tu la convalidi. È esattamente ciò che fa Lumina Wallet, per Permit, Permit2 e tutte le firme EIP-712 malevole.

Proteggiti adesso:

Scarica Lumina Wallet su Google Play | Scarica su App Store