Runbook compromissione wallet
Se sospetti che la tua owner mnemonic / recovery phrase sia trapelata, il tempo è critico. Segui questi step per limitare il danno e ruotare.
Step 0: confermare vs panic
Un indicatore di compromissione sono transazioni non autorizzate che non hai iniziato tu (visibili su app.hyperliquid.xyz o nel block explorer). Pop-up random su un sito NON sono indicatori — quelli sono tentativi di phishing.
Se vedi davvero attività non autorizzata, assumi il peggio e agisci veloce. Se non sei sicuro, fai screenshot e rivedi a mente fresca — la maggior parte degli 'alert compromissione' sono scare phishing.
Step 1: muovi i fondi su wallet fresco
Genera una mnemonic nuova di zecca su un device pulito (idealmente MetaMask fresco su un computer diverso, o un hardware wallet mai connesso). NON usare la MetaMask del wallet compromesso per settare il nuovo — l'attaccante potrebbe già avere il seed.
Dal wallet compromesso (possiedi ancora le chiavi finché l'attaccante non le usa), preleva tutto l'USDC da Hyperliquid verso l'address del nuovo wallet (o verso un address di custody temporaneo che controlli). La velocità conta — avvia l'azione di prelievo subito.
Step 2: revoca la agent wallet
Una volta che i fondi sono nel nuovo wallet, il wallet compromesso non ha più nulla da rubare. Ma l'agent wallet (Botely agent wallet) è ancora registrato contro il vecchio owner. Non importa per la sicurezza dei fondi, ma è igiene.
Revoca da /app/settings → bottone "Revoke", poi esegui `approveAgent con un agent fresco <id> --from <old-owner-keyname>` da CLI per rimuovere anche on-chain. La fee è pagata dal vecchio owner — va bene.
Step 3: ri-registra sul wallet nuovo
Aggiorna Botely per puntare al nuovo owner address: in /app/settings il wizard ora usa il tuo nuovo account MetaMask. Rilancia il wizard per registrare una nuova agent wallet legata al nuovo owner.
Aggiorna il .env del bot (Phase 0) o aspetta il pickup automatico Phase 1. Restart del bot.
Aggiorna HL_MAIN_ADDRESS nel .env del bot se era hardcoded al vecchio indirizzo.
Step 4: postmortem
Dove è avvenuto il leak? Vettori comuni: (a) seed digitato in un sito MetaMask clone falso, (b) seed fotografato e salvato in cloud (Google Drive, iCloud, GitHub Gist), (c) malware sul device che gira MetaMask, (d) accesso fisico al seed scritto.
Qualunque sia stata la causa, non ripeterlo. Per wallet ad alto valore, passa a un hardware wallet — il seed non lascia mai il secure element del device. Vedi la guida mnemonic-best-practices.