12 maggio 2026. Ethereum ha attivato Clear Signing, uno standard che sostituisce le stringhe esadecimali incomprensibili nelle transazioni con testo leggibile in linguaggio naturale. Ledger, Trezor e MetaMask lo hanno integrato già dal primo giorno. Tradotto: per la prima volta, un utente può capire cosa sta davvero firmando prima di farlo.
Non è una novità tecnica di poco conto. Nei tre mesi tra gennaio e marzo 2026, Scam Sniffer ha documentato $6,27 milioni rubati a 4.741 vittime tramite phishing su firma digitale, con un incremento del 207% rispetto al trimestre precedente. Il vettore principale: l'utente firma qualcosa che non capisce. Clear Signing attacca esattamente quel punto.
Cosa cambiava prima, cosa cambia adesso
Dati chiave
- Truffe crypto tramite firma digitale Q1 2026 $6,27 milioni
- Vittime phishing firma Q1 2026 4.741 utenti
- Incremento rispetto Q4 2025 +207%
- Wallet già integrati con Clear Signing Ledger, Trezor, MetaMask
Prima di Clear Signing, una richiesta di firma su un hardware wallet come Ledger mostrava una stringa esadecimale del tipo: 0x095ea7b3000000000000000000000000.... Praticamente nessun utente normale sa leggere quel codice. Le truffe di phishing lo sapevano benissimo: presentavano una transazione dall'apparenza innocua nell'interfaccia web, sapendo che il wallet avrebbe mostrato solo l'esadecimale irriconoscibile, e l'utente avrebbe firmato senza capire cosa stava autorizzando. Spesso erano approvazioni illimitate su contratti maliziosi, che permettevano agli attaccanti di svuotare il portafoglio in un secondo momento.
Con Clear Signing, lo stesso wallet mostra: "Approve USDC spending: unlimited, to contract 0x1a2b..." con il nome del protocollo verificato e l'importo in chiaro. Chi fa sicurezza dei wallet crypto da anni sa che questa singola modifica riduce il rischio delle approvazioni cieche in modo significativo. Non lo azzera: le truffe si adattano. Ma alza il costo dell'attacco per chi vuole ingannare un utente attento.
Un account ufficiale legato alla Ethereum Foundation aveva anticipato lo standard su X: vedi i post recenti @ethereum su Clear Signing.
Ethereal news weekly #24
— Ethereal news (@EtherealnewsHQ) May 22, 2026
🎟 @EFDevcon Devcon 8 early bird tickets
🧑💻 @ApeFramework ApeWorX collective: nonprofit for Python dev tooling
🧪 @ethPandaOps glamsterdam-devnet-4 launchedhttps://t.co/O0HUJ8dGKu
Come sono distribuite le truffe crypto per vettore di attacco nel 2026
Distribuzione delle truffe crypto per vettore di attacco — Q1 2026 (% stimata)
Fonte: Scam Sniffer · Chainalysis · elaborazione SpazioCrypto · maggio 2026
Distribuzione delle truffe crypto per vettore di attacco — Q1 2026 (% stimata)
Fonte: Scam Sniffer · Chainalysis · elaborazione SpazioCrypto · maggio 2026
Il grafico mostra perché Clear Signing è la risposta prioritaria: il vettore "firma cieca e phishing da firma" rappresenta circa il 38% delle truffe documentate nel Q1 2026. Non è il vettore più creativo, ma è quello più efficiente per gli attaccanti perché scala facilmente: un sito clone con un contratto maligno può colpire migliaia di persone senza che nessuna capisca cosa ha approvato. Wallet poisoning (indirizzi simili inseriti nella cronologia transazioni) occupa il secondo posto.
Clear Signing risolve davvero il problema della firma cieca?
Non completamente. E chi sostiene il contrario semplifica troppo. Tre limiti concreti rimangono aperti anche con Clear Signing attivo. Primo: funziona solo se il dApp che stai usando ha implementato correttamente i metadati necessari perché il wallet possa interpretare la transazione in linguaggio chiaro. Le dApp meno curate, o quelle create di fretta, potrebbero ancora mostrare dati incompleti. Secondo: non protegge dal social engineering avanzato, dove l'utente è convinto di stare usando un'app legittima anche quando il wallet mostra la transazione correttamente. Terzo: l'Ethereum Foundation ha pubblicato le specifiche tecniche dello standard, ma l'adozione da parte dei protocolli DeFi richiede tempo e aggiornamenti del codice.
Detto questo, chi segue la guida ai wallet crypto di SpazioCrypto sa che il principio di base rimane invariato: non firmare mai una transazione che non capisci, indipendentemente da quanto l'interfaccia sembri affidabile. Clear Signing rende più facile capire cosa si sta firmando. Non sostituisce il giudizio.
Il caso più discusso nelle ultime settimane è quello documentato da ZachXBT: G. Love ha perso 5,92 BTC (circa $420.000) l'11 aprile 2026 scaricando una copia falsa di Ledger Live dall'App Store di Mac. I fondi sono stati tracciati verso KuCoin. Clear Signing non avrebbe aiutato in quel caso: il vettore era l'app stessa, non la firma di una transazione incomprensibile. Per chi usa wallet hardware, la regola non cambia: scarica software solo dall'app ufficiale del produttore, mai dall'App Store né da link terzi.
Ledger ha subito due violazioni dei dati nel 2025-2026 (aprile 2025 e gennaio 2026, quest'ultima tramite il processore di pagamento Global-e), con nomi e contatti di circa un milione di clienti esposti. Quei dati alimentano campagne di phishing personalizzato che Clear Signing non intercetta: se ricevi un'email con il tuo nome, il tuo indirizzo e un messaggio che sembra venire da Ledger, la difesa è la tua diffidenza, non il wallet. Per aggiornamenti sulle minacce attive al settore della sicurezza crypto, SpazioCrypto monitora i principali alert di PeckShield e CertiK. Un miglioramento concreto, atteso da anni. Il prossimo è la standardizzazione delle approvazioni limitate per importo, una feature ancora assente dalla maggior parte delle interfacce DeFi. Chi firma "unlimited approve" nel 2026 lo fa ancora a rischio proprio, anche con Clear Signing attivo.
