Aggiornato il 14 settembre 2026. Revocare le autorizzazioni dei vecchi smart contract è uno dei modi più semplici per ridurre l'esposizione non necessaria del portafoglio, ma un buon risultato è più specifico di un semplice "Ho disconnesso alcune dApp". Al termine di questo processo, dovresti sapere quali contratti possono ancora spendere i tuoi token, quali autorizzazioni hai mantenuto intenzionalmente e quali autorizzazioni sono state azzerate o invalidate sulla blockchain corretta.
Questa guida si concentra su tale risultato. Tratta le autorizzazioni per i token ERC-20, le approvazioni degli operatori NFT, i permessi Permit2, gli strumenti che possono aiutarti a esaminarli e le situazioni in cui la revoca non è sufficiente. Non garantisce che la revoca renda un portafoglio completamente sicuro: la compromissione delle chiavi, le firme malevole, gli exploit del protocollo e i trasferimenti già confermati richiedono risposte diverse.
| Obiettivo | Buona prova | Quando cambiare approccio |
|---|---|---|
| Rimuovere un'allocazione ERC-20 | La transazione di revoca è confermata e il saldo è pari a 0. | Se l'approvazione ricompare, conferma la blockchain, l'indirizzo dello spender, il contratto del token e se è coinvolto un altro sistema di autorizzazione come Permit2. |
| Rimuovere l'autorizzazione di un operatore NFT | L'operatore non è più autorizzato per tutti gli NFT di quella collezione, oppure l'autorizzazione specifica per il token è stata revocata. | Se il sistema di verifica dell'approvazione non riesce a rilevare un contratto NFT non standard, esaminare direttamente il contratto di raccolta o utilizzare la sua interfaccia ufficiale. |
| Ridurre l'esposizione futura | Le autorizzazioni inutilizzate e illimitate vengono rimosse o limitate; le autorizzazioni attive sono intenzionali. | Se un flusso di lavoro richiede ripetutamente autorizzazioni ampie, valuta la possibilità di utilizzare un portafoglio di attività separato o una dApp che supporti limiti più restrittivi. |
| Rispondere a un portafoglio compromesso | Le risorse e le attività future vengono trasferite in un nuovo portafoglio le cui chiavi non sono state compromesse. | Se la frase di recupero o la chiave privata vengono esposte, non affidatevi esclusivamente alla revoca. |
Secondo lo standard ERC-20, la approvefunzione consente al detentore di un token di autorizzare un utilizzatore a prelevare fino a un importo specificato, mentre transferFrompermette a un utilizzatore autorizzato di spostare i token. Lo standard ufficiale è disponibile in ERC-20: Token Standard .
Le autorizzazioni per gli NFT possono essere più ampie. Lo standard ERC-721 definisce setApprovalForAllun'autorizzazione che può consentire a un operatore di gestire tutti gli NFT di un proprietario per quella collezione. Vedi ERC-721: Non-Fungible Token Standard .
Una distinzione importante: collegare un wallet a un sito web non equivale a concedere l'autorizzazione per un token on-chain. MetaMask afferma esplicitamente che la disconnessione di una dApp non revoca le autorizzazioni per i token già esistenti. Anche nascondere un token nell'interfaccia di un wallet non ne modifica le autorizzazioni.
Risultato atteso: identificare l'autorità di spesa on-chain, non solo i siti web collegati. Se l'unica azione eseguita è stata "Disconnetti", procedere con un controllo di approvazione.
Riferimento: MetaMask: Come revocare le autorizzazioni/approvazioni dei token degli smart contract .
Didascalia: Iniziate con un inventario di token, utilizzatori e budget. Una voce "Illimitato" merita di essere esaminata, ma non è automaticamente indice di attività illecita.
Utilizza uno strumento di verifica delle autorizzazioni per vedere quali utenti attualmente hanno l'autorità di spesa sui tuoi beni. Tre opzioni utili sono:
Come valutare il risultato: il tuo inventario dovrebbe mostrare la collezione di token o NFT, l'indirizzo dello spender/operatore, la rete e le autorizzazioni attuali. Salva gli indirizzi degli spender sconosciuti per indagare prima di firmare qualsiasi cosa.
Quando cambiare strumento: se un verificatore non supporta la tua rete o un token non standard non viene visualizzato, utilizza l'esploratore di blocchi affidabile di quella blockchain oppure esamina direttamente il contratto del token. Nessun singolo indicizzatore può garantire una visibilità completa per ogni contratto non standard.
Didascalia: Esamina ogni approvazione nel suo contesto: la risorsa, chi effettua la spesa, l'importo, la rete e se utilizzi ancora l'applicazione sottostante.
Non revocare l'approvazione in modo automatico. L'approvazione è una funzionalità e alcune funzioni attive delle dApp dipendono da essa. Revoke.cash, ad esempio, precisa che la revoca di un'approvazione non rimuove i token già depositati o messi in staking, ma potrebbe essere necessario approvarli nuovamente prima di poterne aggiungere altri. Anche alcune inserzioni sui marketplace dipendono da approvazioni attive per gli NFT.
Un ordine di priorità pratico è il seguente:
Segnale di qualità: ogni autorizzazione che conservi dovrebbe avere una motivazione. "Riconosco il protocollo e ho ancora bisogno di questo utente per una posizione attiva" è una motivazione. "Probabilmente l'ho già approvata in passato" non lo è.
Quando non revocare immediatamente: se un'autorizzazione supporta un elenco attivo, un'automazione, un flusso di lavoro simile a un abbonamento o una policy di smart account, è fondamentale comprenderne prima l'effetto operativo. La sicurezza migliora quando si rimuovono autorizzazioni non necessarie, non quando si interrompono flussi di lavoro indispensabili senza comprenderli.
Didascalia: Utilizza una funzionalità ufficiale del portafoglio, un verificatore di approvazione affidabile o l'explorer ufficiale della rete; verifica il dominio prima di connetterti.
La revoca è normalmente una modifica di stato on-chain. MetaMask afferma che la revoca di un'autorizzazione richiede una transazione on-chain, quindi in genere è necessario il gas di rete. Anche Etherscan offre un'azione "Revoca" per le autorizzazioni elencate.
Per la maggior parte degli utenti, le opzioni più semplici sono la funzione di gestione delle approvazioni del wallet stesso, l'explorer della blockchain o un servizio specializzato come Revoke.cash. Nessuna di queste opzioni dovrebbe richiedere la frase di recupero o la chiave privata.
Risultato atteso: la transazione che stai per firmare dovrebbe ridurre o rimuovere un'autorizzazione esistente, non concedere a un nuovo utente un'autorità inaspettata.
Condizione di arresto: se un sito web richiede la tua frase di recupero, la chiave privata, l'accesso al controllo remoto o un trasferimento non correlato per "attivare" la revoca, interrompi immediatamente la procedura. Accedi allo strumento da una fonte ufficiale verificata in modo indipendente, anziché da un annuncio di ricerca o da un messaggio non richiesto.
Didascalia: La connessione rappresenta solo la fase di interfaccia. La revoca effettiva avrà effetto solo al momento della conferma della transazione on-chain corrispondente.
La connessione al wallet consente al sito di richiedere informazioni sull'account e di proporre azioni, ma la sola connessione non costituisce la revoca. Le attuali linee guida di Etherscan sui wallet affermano che la connessione non firma automaticamente alcun documento; firme e transazioni richiedono comunque l'approvazione del wallet.
Risultato atteso: confermare che l'indirizzo del portafoglio e la blockchain selezionati corrispondano all'autorizzazione che si intende rimuovere.
Quando cambiare approccio: se lo strumento ti reindirizza a una blockchain inaspettata o visualizza un indirizzo diverso, annulla prima di firmare. Un'approvazione è specifica per la rete; revocare un'autorizzazione su una blockchain non comporta la revoca di un'approvazione separata su un'altra blockchain.
Riferimento: Etherscan: Collegare il proprio portafoglio .
Didascalia: Rimuovi solo le autorizzazioni minime necessarie per raggiungere il tuo obiettivo di sicurezza; non è necessario revocare tutte le autorizzazioni legittime in una volta sola.
Per un'autorizzazione ERC-20 standard, la revoca generalmente significa impostare a zero l'autorizzazione dell'utilizzatore. Per l'accesso dell'operatore ERC-721, la revoca generalmente modifica l'approvazione dell'operatore in false. Revoke.cash spiega che le stesse funzioni di approvazione sono comunemente utilizzate per la concessione e la revoca; il valore cambia a zero o false.
Segnale di qualità: l'anteprima della transazione identifica il contratto del token e l'autorizzazione che viene modificata. Se il tuo portafoglio fornisce informazioni di transazione decodificate, leggile invece di approvare per abitudine.
Limite: la revoca non annulla i trasferimenti già effettuati. Inoltre, non consente di recuperare i fondi rubati. Revoke.cash descrive il proprio servizio come uno strumento di prevenzione piuttosto che di recupero.
Riferimento: FAQ di Revoke.cash .
Didascalia: Prima di confermare, verificare l'account, la rete, l'interazione del contratto e la tariffa del gas prevista.
La conferma finale del portafoglio è l'occasione per individuare eventuali errori relativi a catena, account, utente o tipo di transazione. Le commissioni del gas variano in base alle condizioni della rete, quindi non è previsto un importo fisso in dollari.
Risultato atteso: la transazione in sospeso corrisponde alla modifica di autorizzazione prevista e viene inviata dal portafoglio corretto.
Quando fermarsi: annullare se la transazione trasferisce inaspettatamente risorse, approva un utilizzatore diverso, attiva un contratto non correlato o contiene dettagli che non si conciliano con l'azione scelta. Un flusso di lavoro sicuro privilegia la verifica rispetto alla velocità.
Didascalia: Riapri il controllo di approvazione dopo la conferma e verifica che l'autorizzazione sia pari a zero, scaduta, errata o comunque non più attiva.
Una transazione inviata può fallire, rimanere in sospeso o essere sostituita. L'esito in termini di sicurezza si verifica solo quando lo stato di autorizzazione pertinente è effettivamente cambiato.
Indicatori di successo:
isApprovedForAllil valore è falso per l'operatore rimosso.Quando approfondire la questione: se un'autorizzazione risulta ancora presente dopo una transazione confermata, confronta attentamente l'indirizzo del pagatore e il contratto del token. Potresti aver revocato un'autorizzazione mentre un'altra autorizzazione del pagatore, del proxy, dell'operatore o di Permit2 rimane attiva.
Didascalia: Una corretta gestione del portafoglio significa rivedere periodicamente le autorizzazioni e concedere poteri più limitati quando l'applicazione lo consente.
Le normali approvazioni ERC-20 non rappresentano il quadro completo. Il sistema Permit2 di Uniswap consente agli utenti di approvare il contratto Permit2 a livello di token e quindi di concedere le autorizzazioni di spesa tramite Permit2. La sua interfaccia ufficiale include l'importo delle quote, la scadenza, l'invalidazione del nonce e una lockdownfunzione che consente di azzerare le quote selezionate. Consultare il repository ufficiale di Uniswap Permit2 .
Le firme dei permessi aggiungono un'ulteriore complicazione: alcuni permessi vengono autorizzati tramite messaggi firmati anziché essere registrati immediatamente come normali autorizzazioni di token. Revoke.cash osserva che le firme dei permessi off-chain non possono essere semplicemente enumerate dalla blockchain nello stesso modo delle approvazioni standard; invalidare i nonce pertinenti o lo stato del permesso specifico del token potrebbe essere necessario quando si sa di aver firmato un permesso dannoso.
Risultato atteso: dopo aver esaminato le autorizzazioni standard, chiedere anche se si è utilizzato Permit2 o firmato un messaggio in stile permesso su un sito non attendibile.
Quando cambiare approccio: se sospetti una firma malevola ma non riesci a identificarne la forma esatta, interrompi ogni interazione dal portafoglio interessato finché non avrai compreso il modello di autorizzazione. Pagare indiscriminatamente il gas per annullare ogni possibile autorizzazione può essere uno spreco e potrebbe non risolvere la minaccia reale.
| Attrezzo | Miglior utilizzo | Limite importante |
|---|---|---|
| Portafoglio MetaMask | Gestione dei limiti di spesa per le reti supportate dall'ecosistema MetaMask. | La copertura di rete è limitata e può variare; verifica la disponibilità attuale prima di fare affidamento su di essa come unica fonte di risorse. |
| Strumento di verifica dell'approvazione dei token Etherscan | Revisione e revoca delle approvazioni di token/NFT Ethereum nel contesto dell'explorer. | È focalizzato su Ethereum; per altre reti, utilizzare l'explorer affidabile corrispondente o un altro strumento. |
| Revoca contanti | Revisione, revoca e formazione sull'approvazione multi-rete relativa a Permesso/Permesso2. | Nessun sistema di verifica delle autorizzazioni può recuperare beni rubati o riparare chiavi private compromesse. |
| Contratto diretto / interfaccia explorer verificata | Verifica dello stato di un token noto allowance, dello stato dell'operatore NFT o del comportamento non standard quando gli indicizzatori sono incompleti. | Richiede maggiore attenzione tecnica; verificare l'indirizzo e la funzione del contratto prima di scrivere sulla blockchain. |
Se un malintenzionato possiede la chiave, non ha bisogno di un'autorizzazione per autorizzare le transazioni a tuo nome. Revoke.cash avverte specificamente che un portafoglio che perde tutto il gas in entrata è un segnale che la frase di recupero potrebbe essere stata compromessa e che la revoca delle autorizzazioni non ripristinerà la sicurezza del portafoglio.
Risultato migliore: crea un nuovo portafoglio da un ambiente pulito e migra i tuoi asset utilizzando un processo di recupero attentamente pianificato. Non continuare a considerare l'indirizzo compromesso come un portafoglio sicuro a lungo termine.
Una revoca successiva non può annullare un trasferimento blockchain già finalizzato. Se un asset è già andato perso, è fondamentale concentrarsi sulla prevenzione di ulteriori perdite, documentare gli hash delle transazioni, contattare i fornitori di servizi pertinenti, se necessario, e spostare gli asset non interessati qualora le chiavi possano essere state compromesse.
La revoca di un'autorizzazione elimina l'autorità di spesa futura per quel soggetto. Non elimina il rischio legato agli smart contract per gli asset già depositati in un protocollo, bridge, vault o contratto di staking.
Risultato migliore: valutare se sia necessario ritirare la posizione stessa. La gestione delle autorizzazioni e la gestione del rischio del protocollo risolvono problemi diversi.
MetaMask documenta nuove autorizzazioni avanzate basate su ERC-7715 che possono includere limiti di quantità, accessi ricorrenti e date di scadenza. Queste si differenziano dalle classiche autorizzazioni dei token e vengono gestite tramite l'interfaccia di autorizzazione dello smart account corrispondente.
Risultato migliore: rivedere sia le approvazioni dei token tradizionali che le autorizzazioni a livello di account. Un elenco chiaro di token ERC-20 consentiti non descrive necessariamente tutte le funzionalità concesse da uno smart account.
Riferimento: MetaMask: Comprendere le autorizzazioni avanzate .
Prima di dichiarare completata la pulizia, verificare tutti i seguenti punti:
Il risultato migliore non è un elenco di autorizzazioni vuoto a tutti i costi. È un portafoglio le cui autorizzazioni rimanenti siano chiare, intenzionalmente limitate e appropriate al modo in cui lo si utilizza effettivamente. La revoca delle autorizzazioni degli smart contract è un valido strumento di manutenzione, ma funziona al meglio come un livello all'interno di un processo di sicurezza più ampio che includa una firma accurata, la verifica del contratto, la protezione delle chiavi e una realistica separazione dei rischi.
Questo articolo ha scopo puramente informativo e non costituisce consulenza finanziaria, legale o di sicurezza. Le autorizzazioni dei contratti intelligenti e le funzionalità dei wallet possono variare nel tempo; si consiglia di verificare la compatibilità con la rete e i dettagli della transazione prima di firmare.
Confronto tra gli ecosistemi di agenti di intelligenza artificiale decentralizzati nel 2026, tra cui Virtuals, Olas, Fetch.ai e Bittensor, in base ad autonomia, pagamenti, apertura, utilità e rischio.
Confronto tra Sui e Aptos nel 2026: architettura Move, esecuzione parallela, DeFi, gaming, crescita dell'ecosistema e le domande che sviluppatori e investitori dovrebbero porsi.
Una guida pratica per coprirsi dal rischio di cambio nel mercato delle criptovalute prima dei principali eventi di mercato, utilizzando future, put e collar, con indicazioni su dimensionamento, costi, rischio di base, margine e verifiche interne.
Scopri perché le stablecoin algoritmiche possono sganciarsi dal loro valore di mercato, cosa ha rivelato TerraUSD sul rischio riflessivo e come proteggere il denaro in criptovalute attraverso controlli di riscatto, diversificazione e pianificazione dell'uscita.
Impara a leggere le mappe di calore delle liquidazioni di criptovalute, a distinguere le ondate di liquidità dalle rotture di prezzo, a capire Mark Price e ad evitare le trappole più comuni del trading con leva finanziaria.
Confronto tra lo staking liquido di Lido, Rocket Pool e Jito: ricompense, commissioni, prelievi, utilizzo in DeFi, decentralizzazione e rischi principali per stETH, rETH e JitoSOL.
Elabora una strategia di trading di criptovalute per il quarto trimestre del 2026 basata su trend, breakout, rotazione, gestione del rischio ed eventi della Federal Reserve, scegliendo i compromessi più adatti ai tuoi obiettivi.
Scopri come il credito on-chain può espandere la DeFi oltre i prestiti sovracollateralizzati, come valutare la qualità del credito e quali rischi di insolvenza, liquidità e legali sono rilevanti.
Ethereum si avvia al quarto trimestre del 2026 con un momentum in miglioramento per il cambio ETH/BTC, l'accesso agli ETF tramite staking e la prospettiva di un vero e proprio boom economico. Ecco cosa confermerebbe una vera e propria impennata.
Impara a distinguere i breakout delle criptovalute su timeframe elevati dai respingimenti, pianifica le entrate e le invalidazioni, gestisci il rischio e verifica se la tua configurazione funziona.
