Il clone: stesso nome, altro contratto

Esiste un meccanismo semplice che spiega perché due token diversi possano portare lo stesso nome: il nome e il simbolo sono etichette libere, scritte da chi crea il token, senza che un'autorità centrale le assegni o le registri in un registro pubblico unico. Questo significa che chiunque può lanciare un token chiamandolo come un altro, operazione che richiede pochi minuti e costa pochissimo. La trappola nasce proprio da questa libertà: un clone può comparire prima o dopo l'originale, e non è detto che il token creato per primo sia quello di cui si parla. Inoltre, un clone può diventare più scambiato dell'originale, quindi la liquidità non basta a stabilire quale sia quello "vero". I siti di prezzi e i portafogli mostrano il nome, non l'indirizzo del contratto: sono i luoghi dove lo scambio sbagliato succede più spesso.

L'etichetta non è l'identità

Il nome di un token è una scelta libera del creatore, non un codice univoco. Nessuna autorità centrale registra i nomi, quindi due progetti possono chiamarsi allo stesso modo senza che esista un conflitto formale. L'unica cosa che identifica univocamente un token è l'indirizzo del suo contratto, una stringa lunga che si copia e si verifica. Quando si guarda solo al nome, si guarda all'etichetta, non all'identità reale. Questo è il punto di partenza per capire come si prepara la trappola: chi la costruisce sfrutta il fatto che l'etichetta è debole, mentre l'indirizzo del contratto è forte.

Cosa vede chi ci finisce dentro

Chi finisce nella trappola vede due righe identiche nei siti di prezzi o nei portafogli. Il nome è uguale, il simbolo è uguale, ma l'indirizzo del contratto è diverso. Senza controllare l'indirizzo, chi scambia crede di comprare l'originale, ma in realtà sta comprando il clone. La trappola non richiede che il clone sia più vecchio o più scambiato: basta che il nome sia lo stesso. Chi non verifica l'indirizzo del contratto non ha modo di distinguere i due token, e lo scambio avviene sul nome, non sull'identità.

Le tracce nei registri pubblici

Nei registri pubblici si legge l'indirizzo del contratto, che è la traccia affidabile. Il nome, invece, non è un dato registrato in modo univoco: è un'etichetta libera. Questo significa che nei registri si può verificare l'indirizzo, ma non si può verificare il nome come se fosse un dato ufficiale. Se un clone compare, nei registri pubblici si vede un nuovo contratto con lo stesso nome, ma non si vede una "benedizione" o una registrazione che lo distingua dall'originale. La traccia affidabile è sempre l'indirizzo, non il nome.

Dove si verifica

I siti di prezzi e i portafogli mostrano il nome, non il contratto. Sono i luoghi dove lo scambio sbagliato succede più spesso, perché l'interfaccia mostra l'etichetta, non l'identità. Per orientarsi, si parte dall'indirizzo del contratto preso da una fonte che si controlla, e si verifica che sia quello prima di qualsiasi altra cosa. Non si guarda il nome, si guarda l'indirizzo. Se l'indirizzo non corrisponde a quello della fonte controllata, lo scambio è sbagliato.

La regola pratica

La regola pratica è semplice: si prende l'indirizzo del contratto da una fonte che si controlla, e si verifica che sia quello prima di qualsiasi altra cosa. Non si fida del nome, non si fida della liquidità, non si fida dell'età del token. Si verifica l'indirizzo. Se l'indirizzo non è quello della fonte controllata, si ferma. Questa è la verifica che si può fare da soli, prima di entrare in qualsiasi scambio.