La sicurezza crypto è tornata al centro della scena proprio questa settimana: una falla critica su una grande blockchain, scoperta da hacker etici e corretta prima che qualcuno potesse sfruttarla, ha ricordato a tutti quanto sia sottile la linea tra “fondi al sicuro” e disastro. E sullo sfondo resta il dibattito sulla minaccia quantistica per Bitcoin, che spinge l’intero settore a ripensare la crittografia. Ma la verità è più semplice e più scomoda: nella stragrande maggioranza dei casi, chi perde le proprie crypto non le perde per una falla di protocollo. Le perde per errori personali evitabili. Questa guida spiega come non farli.
Sicurezza crypto: hot wallet e cold wallet, la prima scelta
Il punto di partenza di ogni strategia di sicurezza crypto è capire dove vivono le tue chiavi private. Non le monete: le chiavi. Chi controlla le chiavi controlla i fondi.
- Hot wallet: applicazioni connesse a internet (wallet mobile, estensioni browser, exchange). Comodi per operare, ma esposti: malware, phishing e furti di credenziali colpiscono qui.
- Cold wallet: dispositivi o supporti che tengono le chiavi offline. La firma delle transazioni avviene nel dispositivo, le chiavi non toccano mai un computer connesso.
La regola pratica: sull’hot wallet solo la “paghetta” operativa, cioè quello che saresti disposto a perdere. Tutto il resto va al freddo. Se i tuoi fondi superano l’equivalente di uno stipendio, un hardware wallet non è un’opzione: è il minimo sindacale. Costa quanto una cena fuori e protegge capitali.
La seed phrase: 12-24 parole che valgono tutto
Quando crei un wallet non-custodial, il software genera una seed phrase: una sequenza di 12 o 24 parole da cui derivano tutte le tue chiavi private. È il backup universale del wallet. Chi ha quelle parole ha i tuoi fondi, da qualunque parte del mondo, senza bisogno del tuo dispositivo.
Come conservarla:
- Scrivila a mano su carta (meglio: incidila su una piastra metallica resistente a fuoco e acqua).
- Conservala in due luoghi fisici separati (es. casa e cassetta di sicurezza).
- Verifica il backup: ripristina il wallet da zero una volta, per essere certo che le parole siano corrette e nell’ordine giusto.
Cosa NON fare mai:
- Mai una foto della seed phrase sul telefono.
- Mai su cloud, email, note, password manager online o chat “solo per un attimo”.
- Mai digitarla su un sito web: nessun servizio legittimo te la chiederà mai. Chi te la chiede ti sta derubando, sempre.
- Mai condividerla con presunti “supporti tecnici” su Telegram, Discord o X.
La passphrase aggiuntiva: il 25° elemento
I wallet seri permettono di aggiungere una passphrase personale (spesso chiamata “25esima parola”): una parola o frase segreta che, combinata con la seed phrase, genera un wallet completamente diverso. Due vantaggi enormi: se qualcuno trova la tua seed phrase scritta, senza passphrase trova un wallet vuoto o quasi; e puoi creare un “wallet esca” con pochi fondi per scenari di coercizione. Attenzione però: la passphrase non è recuperabile. Se la dimentichi, i fondi sono persi quanto lo sarebbero senza seed. Va conservata separatamente dalla seed phrase, mai insieme.
Phishing e approval maligne: i furti del 2026
Oggi la maggior parte dei furti non passa dal “craccare” nulla, ma dal farti firmare la cosa sbagliata. I vettori più comuni:
- Siti clone: copie perfette di exchange e protocolli DeFi, raggiunte tramite annunci sponsorizzati o link in chat. Controlla sempre l’URL carattere per carattere e salva i siti ufficiali nei preferiti.
- Approval maligne: su Ethereum e le altre chain a smart contract, un click su “Approve” può concedere a un contratto il permesso di spendere tutti i tuoi token, per sempre. Firma solo ciò che capisci, limita gli importi delle approval e revoca periodicamente i permessi inutilizzati con gli strumenti di revoca on-chain.
- Falsi airdrop e falsi supporti: token regalati che ti portano su siti drenanti, o “assistenti” che ti contattano per primi. Nessun supporto ufficiale scrive per primo in privato.
- Address poisoning: transazioni da indirizzi quasi identici ai tuoi contatti abituali, sperando che tu copi quello sbagliato dalla cronologia. Verifica sempre le prime e ultime cifre dell’indirizzo, e per importi grandi fai prima una transazione di prova.
Backup e piano di emergenza
La sicurezza crypto non finisce con il backup della seed: serve un piano. Tre domande a cui rispondere oggi, non durante l’emergenza:
- Se perdo il dispositivo? Con seed phrase (e passphrase) al sicuro, compri un nuovo hardware wallet e ripristini tutto in dieci minuti.
- Se sospetto una compromissione? Crea subito un wallet nuovo su un dispositivo pulito e trasferisci i fondi, partendo dagli asset di maggior valore. Poi revoca le approval del vecchio wallet.
- Se mi succede qualcosa? Prepara istruzioni per i tuoi eredi: dove sono i backup e come usarli, senza scrivere la seed nelle istruzioni stesse. Un patrimonio inaccessibile è un patrimonio perso.
Infine, rivedi la tua configurazione una volta all’anno: firmware del dispositivo aggiornato, backup ancora leggibili, approval revocate, piano di emergenza aggiornato.
Il metodo prima degli strumenti
Gli strumenti giusti servono a poco senza disciplina: la sicurezza è un metodo, non un prodotto.
Disclaimer: questo articolo ha esclusivamente finalità educative e informative. Non costituisce consulenza finanziaria né sollecitazione all’investimento. Ogni decisione resta sotto la responsabilità esclusiva del lettore.