Come conservare bitcoin e criptovalute in modo sicuro

Il modo più sicuro di conservare bitcoin e criptovalute è l'autocustodia: un wallet hardware, una frase di recupero scritta su carta o impressa nell'acciaio e mai fotografata né digitata in alcun dispositivo, e l'abitudine deliberata di verificare gli indirizzi prima di inviare. Tenere i bitcoin su un exchange regolamentato è una scelta ragionevole per saldi piccoli con cui fai trading spesso, ma significa affidare il tuo denaro alla sicurezza e alla solvibilità di qualcun altro. Tutto il resto nella sicurezza delle cripto è dettaglio che si sovrappone a quelle due decisioni. Questa guida tratta con onestà entrambi i modelli di custodia, poi esamina i livelli pratici: scegliere un wallet hardware, gestire la frase di recupero, aggiungere una passphrase, riconoscere le truffe che oggi svuotano davvero i wallet e assicurarti che i tuoi bitcoin non muoiano con te.

Non sono le tue chiavi, non sono i tuoi bitcoin

Ogni indirizzo bitcoin è sotto il controllo di una chiave privata, e i wallet moderni derivano tutte le loro chiavi da un unico segreto principale chiamato frase di recupero. Chi detiene quel segreto gestisce i bitcoin. Per la blockchain in sé non esiste alcun reparto di recupero degli account.

Da qui derivano i due modelli di custodia:

La custodia presso un exchange significa che la piattaforma detiene le chiavi e tu detieni una promessa di pagamento. Il vantaggio è la comodità: puoi accedere da qualsiasi luogo, reimpostare una password dimenticata e fare trading all'istante. Lo svantaggio è il rischio di controparte. Quando FTX è crollato a novembre 2022, i clienti che credevano di detenere bitcoin scoprirono di detenere in realtà crediti non garantiti in una procedura fallimentare. Gli attacchi informatici, i blocchi dei prelievi e le improvvise sospensioni per motivi di conformità sono più rari sulle grandi piattaforme regolamentate, ma il fatto strutturale non cambia mai: i bitcoin su un exchange sono bitcoin dell'exchange, con una promessa allegata.

L'autocustodia significa che detieni tu le chiavi, di solito tramite un wallet hardware. Nessuno può congelare, sequestrare o perdere i tuoi bitcoin al tuo posto. In cambio, ti assumi la piena responsabilità. Se perdi la frase di recupero e il dispositivo, i bitcoin sono persi. Se vieni ingannato e firmi una transazione malevola, nessuno la annulla.

Una divisione sensata per la maggior parte delle persone: tieni su un exchange affidabile solo ciò con cui fai trading attivamente, e sposta i bitcoin detenuti a lungo termine in autocustodia. Più il saldo conta nella tua vita, più solida è la ragione per detenere le tue chiavi.

I wallet hardware: lo standard dell'autocustodia

Un wallet hardware è un piccolo dispositivo che genera e conserva le tue chiavi dentro un chip dedicato e firma le transazioni al suo interno, così le chiavi non toccano mai il tuo computer o il tuo smartphone. Anche se il tuo portatile è infestato di malware, il malware non può estrarre le chiavi dal dispositivo. Altrettanto importante, il dispositivo ha un suo schermo: ti mostra l'indirizzo di destinazione e l'importo reali prima che tu approvi, il che sconfigge il software che riscrive le transazioni in silenzio.

Tre regole quando ne acquisti e ne usi uno:

• Acquistalo direttamente dal produttore. I dispositivi comprati da rivenditori di marketplace o di seconda mano possono essere manomessi prima di arrivarti. Un dispositivo legittimo genera una frase di recupero nuova al primo utilizzo; se ne arriva uno con una frase di recupero già compilata, è una truffa pensata per permettere al venditore di svuotarlo in seguito.
• Verifica sullo schermo del dispositivo, ogni volta. Fidati dell'indirizzo mostrato sul wallet hardware, non di quello sul tuo computer, ogni volta che invii o ricevi.
• Imposta un PIN così un ladro che ruba il dispositivo non può usarlo prima che tu ripristini i tuoi fondi altrove.

I wallet software su uno smartphone o un computer vanno bene per piccoli saldi di spesa, come un portafoglio fisico contiene i contanti per le piccole spese e non i tuoi risparmi. Confronta le opzioni hardware attuali nella nostra pagina wallet.

Le frasi di recupero: una regola sopra tutte

Quando configuri un wallet, questo ti mostra una frase di recupero di 12 o 24 parole comuni. Quelle parole sono il wallet. Chiunque le legga può ricreare il tuo wallet sul proprio dispositivo e prendere tutto, da qualsiasi parte del mondo, senza toccare il tuo hardware.

La regola che conta più di ogni altra: la frase di recupero non diventa mai digitale. Niente foto, niente nota nel cloud, niente bozza email, niente gestore di password, niente file cifrato, niente digitazione su un sito web o un'app. Le foto si sincronizzano con il cloud, il cloud viene violato, il malware legge gli appunti e i siti di phishing esistono solo per raccogliere le frasi di recupero digitate. Un wallet legittimo ti chiederà la frase di recupero solo sul dispositivo hardware stesso durante un ripristino, mai in un browser e mai in una finestra pop-up.

Gestione pratica:

• Scrivila a mano sulla scheda fornita o, meglio, imprimila o incidila su una lastra d'acciaio che resiste al fuoco e alle alluvioni.
• Conserva le copie in due luoghi sicuri separati, come una cassaforte a casa e una cassetta di sicurezza in banca.
• Non fare il furbo dividendo le parole tra luoghi diversi in modi che potresti ricordare male. La complessità è il modo in cui le persone si chiudono fuori.
• Non leggerla mai ad alta voce durante una chiamata né mostrarla in una condivisione dello schermo, chiunque te lo chieda. Quella richiesta è la truffa.

I wallet con passphrase: una 25ª parola opzionale

La maggior parte dei wallet hardware gestisce una passphrase aggiuntiva oltre alla frase di recupero, a volte chiamata 25ª parola. Aggiungere una passphrase crea un wallet nascosto del tutto separato: la stessa frase di recupero con una passphrase diversa apre un wallet diverso e vuoto. Questo ti protegge se qualcuno trova fisicamente la tua frase di recupero scritta, perché le parole da sole non sbloccano più i tuoi fondi principali. Consente anche una configurazione civetta, in cui la frase di recupero nuda apre un saldo piccolo e la passphrase apre quello reale.

Il compromesso è grave: non c'è alcun ripristino. Una passphrase che dimentichi, o che annoti con un solo carattere sbagliato, distrugge l'accesso in modo tanto completo quanto una frase di recupero perduta. Se ne usi una, scegli qualcosa che puoi conservare o ricordare in modo affidabile, e invia sempre un piccolo importo di prova e prova un ripristino completo prima di spostare fondi importanti dietro di essa.

Gli attacchi che oggi funzionano davvero

La maggior parte delle perdite nelle cripto oggi non deriva da qualcuno che viola la crittografia del bitcoin. Deriva da persone convinte o ingannate a consegnare valore. L'Internet Crime Complaint Center dell'FBI ha registrato 9,3 miliardi di $ di perdite per frodi con le cripto denunciate dagli statunitensi solo nel 2024, in aumento del 66 per cento rispetto all'anno precedente, con le truffe di investimento di lungo periodo (spesso chiamate pig butchering) responsabili delle perdite maggiori. Vale la pena conoscere in dettaglio quattro schemi.

Phishing delle approvazioni

Su reti come Ethereum, i token gestiscono le approvazioni: puoi autorizzare un'app a spendere token per tuo conto. I siti truffaldini imitano airdrop, mint o strumenti di trading e ti chiedono di firmare quella che sembra una conferma di routine ma che in realtà è un'approvazione di spesa illimitata. L'attaccante può poi prosciugare i token approvati in qualsiasi momento successivo, senza un'altra tua firma. I ricercatori di Chainalysis hanno collegato più di un miliardo di $ di perdite a questa tecnica da maggio 2021. Difese: leggi ciò che firmi sullo schermo del tuo wallet hardware, sii implacabile con i siti sconosciuti e revoca periodicamente le vecchie approvazioni con uno strumento di revoca affidabile.

Avvelenamento degli indirizzi

Gli attaccanti inviano trasferimenti minuscoli al tuo wallet da indirizzi costruiti per somigliare a quelli che hai usato, con gli stessi primi e ultimi caratteri. In seguito, quando copi un indirizzo dalla cronologia delle transazioni, copi il loro. A maggio 2024 una sola vittima inviò 1.155 wrapped bitcoin, per un valore di circa 68 milioni di $, a un indirizzo avvelenato; i fondi furono restituiti solo dopo che gli investigatori identificarono l'attaccante, un esito su cui nessuno dovrebbe contare. Difese: non copiare mai indirizzi dalla cronologia delle transazioni, verifica più dei primi e degli ultimi quattro caratteri, tieni una rubrica di destinazioni verificate e invia un piccolo importo di prova prima di qualsiasi trasferimento importante.

SIM swap

Un attaccante convince o corrompe un dipendente di un operatore mobile perché sposti il tuo numero di telefono sulla sua SIM, poi intercetta i tuoi codici via SMS e reimposta i tuoi account exchange e email. Gli operatori statunitensi sono tenuti da metà 2024 a usare un'autenticazione più forte e ad avvisarti delle richieste di cambio SIM, ma l'attacco non è scomparso. Difese: elimina gli SMS come secondo fattore dove possibile, usa un'app di autenticazione o una chiave di sicurezza hardware per exchange ed email, e imposta un PIN o un blocco della portabilità con il tuo operatore.

Falso supporto

Nessun exchange, azienda di wallet o progetto blockchain legittimo ti contatterà mai per primo per risolvere un problema, e nessuno avrà mai bisogno della tua frase di recupero. I truffatori gestiscono account di supporto falsi sui social network, comprano annunci di ricerca che puntano a siti web clonati e inviano email urgenti su violazioni o aggiornamenti obbligatori del wallet. Le liste di clienti trapelate peggiorano la situazione: gli acquirenti di wallet hardware hanno ricevuto phishing convincente per anni dopo le fughe di dati dei fornitori, come la violazione del database dei clienti di Ledger nel 2020. Difese: salva nei segnalibri i siti reali, digita tu stesso gli indirizzi, tratta ogni contatto non richiesto sulle tue criptovalute come ostile e ricorda che tenere riservato ciò che detieni è di per sé una difesa. La nostra guida su cosa protegge una VPN e cosa no tratta il lato della privacy di rete.

Eredità: fai in modo che i tuoi bitcoin ti sopravvivano

Un'autocustodia eseguita perfettamente può comunque deludere la tua famiglia. Se sei l'unica persona al mondo che può trovare e usare la tua frase di recupero, i tuoi bitcoin sono perduti il giorno in cui non ci sarai più. Il fallimento opposto è altrettanto reale: istruzioni così accessibili che un parente, un coinquilino o un ladro può svuotare il wallet in anticipo.

Un piano di base praticabile:

• Tieni un inventario in linguaggio semplice di ciò che esiste e dove si trova (quale dispositivo, quali luoghi), conservato insieme al tuo testamento o dal tuo avvocato. L'inventario non contiene segreti.
• Conserva la frase di recupero stessa sigillata in un luogo sicuro separato a cui l'esecutore testamentario possa accedere solo attraverso la procedura successoria.
• Non mettere mai la frase di recupero nel testamento stesso; i testamenti possono diventare documenti pubblici nella procedura successoria.
• Se usi una passphrase, assicurati che sia recuperabile attraverso lo stesso processo, altrimenti la frase di recupero è inutile.
• Accompagna una volta il tuo erede designato in un ripristino di prova. Un piano che non è mai stato provato è una speranza, non un piano.

Quantità maggiori di bitcoin detenuti possono giustificare configurazioni multisignature o la divisione del materiale tra un avvocato e un familiare, ma un piano semplice e provato batte uno sofisticato e non provato.

La lista di controllo finale

• I bitcoin detenuti a lungo termine stanno in un wallet hardware acquistato direttamente dal produttore.
• La frase di recupero esiste solo su carta o acciaio, in due luoghi sicuri, senza copie digitali.
• Una passphrase protegge i saldi grandi, ed è sia memorizzabile sia recuperabile.
• Gli account exchange usano un'app di autenticazione o una chiave di sicurezza hardware, mai codici SMS.
• Ogni invio è verificato sullo schermo del dispositivo, con una transazione di prova prima di importi grandi.
• Gli indirizzi non vengono mai copiati dalla cronologia delle transazioni, e le vecchie approvazioni dei token vengono revocate.
• Chiunque ti contatti per primo a proposito delle tue cripto viene trattato come un truffatore, perché quasi certamente lo è.
• Esiste un piano di successione scritto e provato, senza segreti nel testamento.
• Rivedi l'intera configurazione una volta all'anno.

Niente di tutto ciò richiede genialità tecnica. Richiede di accettare che nelle cripto la banca sei tu, e le banche hanno procedure.