Per proteggere le criptovalute servono cinque difese: mettere in sicurezza l’identità, scegliere consapevolmente la custodia, verificare ogni firma, monitorare l’esposizione e preparare un piano di recupero. Un hardware wallet, da solo, non può fermare phishing, autorizzazioni malevole, compromissione dell’email o una transazione firmata per errore.
Parti dai modi in cui le criptovalute vengono davvero perse#
La sicurezza crypto non dipende da una singola impostazione. Un account su un exchange può essere sottratto tramite il recupero dell’email; un wallet non custodial può essere svuotato dopo la fuga della seed phrase; un wallet legittimo può firmare un’autorizzazione pericolosa; una transazione corretta può comunque raggiungere la rete o l’indirizzo sbagliato. Ogni errore richiede un controllo diverso.
| Livello | Problema tipico | Prima difesa |
|---|---|---|
| Identità | Compromissione dell’email o dell’exchange | Password unica e MFA resistente al phishing |
| Custodia | Chiave persa o custode insolvente | Separare fondi operativi e riserve a lungo termine |
| Dispositivo | Malware o estensione ostile | Ambiente di firma aggiornato e ridotto all’essenziale |
| Transazione | Indirizzo errato o permesso pericoloso | Verificare rete, destinatario, importo e autorità concessa |
| Recupero | Reazione impulsiva dopo un incidente | Procedura scritta di risposta |
Mappa ogni elemento che può autorizzare uno spostamento: accessi agli exchange, email di recupero, numero di telefono, seed phrase, chiavi private, hardware wallet, estensioni del browser, chiavi API e allowance degli smart contract. Otterrai un modello delle minacce su cui intervenire, non un semplice elenco generico di consigli.
Adatta la custodia allo scopo#
Non esiste una regola universale difendibile, come tenere offline una percentuale fissa. La distribuzione dipende da quando userai gli asset, dalle reti coinvolte, dalla capacità di mantenere backup affidabili e dal valore massimo che puoi esporre a un singolo punto di guasto.
- Account su exchange: utile per gli asset destinati alla negoziazione a breve termine, ma dipende dalla sicurezza dell’account e dall’operatività del custode.
- Hot wallet: comodo per l’attività on-chain abituale, ma esposto a browser, estensioni, phishing ed errori di firma.
- Hardware wallet: isola le chiavi dalla normale navigazione, ma richiede comunque un backup corretto e la verifica sincera della transazione.
- Wallet di interazione: un wallet con saldo ridotto per applicazioni poco note limita i danni di un’autorizzazione o firma malevola.
Le indicazioni della SEC sulla custodia sottolineano che l’autocustodia trasferisce al proprietario la responsabilità della gestione delle chiavi, mentre la custodia di terzi introduce dubbi su controllo, insolvenza, commistione degli asset, assicurazione e recupero. Considerali rischi diversi, non una semplice scelta tra «sicuro» e «non sicuro».
Proteggi l’identità prima di acquistare un altro wallet#
L’email di recupero può essere più importante della password dell’exchange. Se un aggressore la controlla, può reimpostare le credenziali, autorizzare dispositivi, nascondere avvisi o manipolare le conversazioni con l’assistenza.
Usa un password manager per creare una password unica per ogni account finanziario. Proteggi l’email principale con il metodo MFA più forte disponibile. Preferisci una chiave di sicurezza FIDO o una passkey: CISA e NIST descrivono i metodi FIDO/WebAuthn come resistenti al phishing, mentre i codici SMS possono essere intercettati o dirottati e quelli temporanei delle app possono ancora essere inseriti in un sito falso.
Conserva offline i codici di recupero, rimuovi telefoni e dispositivi obsoleti, imposta un PIN con l’operatore mobile se disponibile e controlla le sessioni attive. Abilitare un’app di autenticazione serve a poco se gli SMS restano un metodo di ripristino non protetto.
Tieni le seed phrase fuori dalla superficie di attacco online#
Una seed phrase è un segreto principale di recupero. Chi la ottiene può ricostruire il wallet senza il normale dispositivo, PIN o blocco biometrico.
Non salvarla in note cloud, email, screenshot, chat, moduli di assistenza o documenti non cifrati. Trascrivi le parole in privato, rispettane l’ordine esatto e segui la procedura di backup documentata dal produttore del wallet. Proteggi la copia da occhi indiscreti, furto, incendio, acqua e smaltimento accidentale.
Un hardware wallet migliora l’isolamento solo se verifichi l’indirizzo reale e la transazione sul suo display attendibile. Un malware può alterare ciò che compare sul computer. Se la seed phrase viene esposta, cambiare la password locale del wallet non risolve il problema: crea un wallet con una nuova frase in un ambiente affidabile, trasferisci gli asset rimasti e dismetti tutti gli account derivati dalla vecchia frase.
Leggi i poteri concessi, non soltanto l’etichetta del pulsante#
Prima di firmare, conferma cinque elementi:
- Asset: verifica il contratto o l’identità dell’asset, non soltanto il ticker.
- Rete: assicurati che mittente e destinatario usino la stessa rete supportata.
- Destinatario: confronta l’indirizzo completo con una fonte attendibile.
- Importo: controlla quantità, decimali e costo di rete.
- Autorità: determina se la richiesta trasferisce asset, autorizza una spesa, cambia la proprietà o dimostra semplicemente il controllo.
Per un nuovo percorso usa un piccolo trasferimento di prova, ma verifica di nuovo l’indirizzo completo prima dell’invio principale. Non copiare il destinatario soltanto dalla cronologia: le transazioni di address poisoning possono inserirvi un indirizzo molto simile.
Controlla le autorizzazioni degli smart contract#
Collegare un wallet di norma espone un indirizzo pubblico. Firmare, invece, crea un’autorizzazione. La domanda utile non è quindi soltanto «Questo sito è autentico?», ma anche «Che cosa potrà fare questo contratto dopo che avrò chiuso la pagina?».
Usa un wallet separato per le interazioni, autorizza solo l’importo necessario quando l’interfaccia lo consente e revoca le allowance obsolete tramite un block explorer affidabile o uno strumento noto per la gestione dei permessi. Disconnettere un sito non revoca un’autorizzazione on-chain. La revoca, inoltre, non annulla un trasferimento già concluso né ripara una seed phrase compromessa.
Rafforza gli account sugli exchange senza ignorare il rischio di custodia#
Dove disponibili, abilita MFA resistente al phishing, whitelist degli indirizzi di prelievo, avvisi di accesso, ritardi dopo le modifiche di sicurezza e codici anti-phishing. Limita le chiavi API per permesso e indirizzo IP e disabilita il prelievo sulle chiavi destinate solo alla negoziazione. Controlla periodicamente dispositivi e sessioni.
Accedi tramite un segnalibro salvato, non da un messaggio o una pubblicità. Un vero addetto all’assistenza non ha bisogno della tua password, del codice MFA, della seed phrase o dell’accesso remoto. Prima di scegliere un custode, verifica quale entità giuridica ti serve, che cosa accade durante una sospensione dei prelievi, come possono essere detenuti gli asset e che cosa copre davvero un’eventuale assicurazione.
Usa un piano d’incidente invece di improvvisare#
| Incidente | Risposta immediata |
|---|---|
| Compromissione dell’account exchange | Proteggi l’email, blocca l’account, cambia le credenziali, revoca sessioni e chiavi API, poi contatta l’assistenza ufficiale |
| Seed phrase esposta | Crea un nuovo wallet con una frase nuova e trasferisci gli asset rimasti |
| Autorizzazione token malevola | Revoca l’allowance, esamina le transazioni e sposta gli asset se il firmatario può essere compromesso |
| Malware sospetto | Interrompi le firme, isola il dispositivo e proteggi gli account da un sistema pulito |
| Pagamento inviato a un truffatore | Avvisa le piattaforme coinvolte, conserva le prove e segnala tramite i canali ufficiali |
Conserva indirizzi dei wallet, hash delle transazioni, tipi di asset, importi, date, messaggi, URL e numeri di pratica. L’IC3 dell’FBI chiede alle vittime di includere i dettagli delle transazioni e avverte che gli «agenti di recupero» a pagamento possono rappresentare una seconda truffa.
Mantieni la sicurezza ogni mese#
Ogni mese controlla cronologia degli accessi, attività dei wallet, autorizzazioni dei token, estensioni del browser, aggiornamenti dei dispositivi e chiavi API. Ogni trimestre rivaluta il valore esposto a ciascun exchange, wallet, seed phrase e dispositivo. Prova gli avvisi, verifica i materiali di recupero offline e aggiorna il piano scritto per gli incidenti.
Non testare un backup inserendolo in un sito sconosciuto o in un normale computer. Segui la procedura di verifica o recupero documentata dal produttore.
Domande frequenti#
Quante criptovalute dovrei lasciare su un exchange?
Non esiste una percentuale universale. Conserva soltanto ciò che serve alla funzione prevista dell’exchange e un importo che puoi tollerare resti inaccessibile all’interno di quel dominio di custodia.
Un hardware wallet è completamente sicuro?
No. Riduce l’esposizione delle chiavi, ma non impedisce la divulgazione della seed phrase, firme malevole, trasferimenti all’indirizzo sbagliato o la distruzione di tutte le copie di backup.
La 2FA può proteggere un wallet non custodial?
Può proteggere email e account custodial, ma il possesso di una seed phrase o di una chiave privata normalmente aggira del tutto tali servizi.
Che cosa devo fare dopo una firma sospetta?
Individua il permesso concesso, revoca le allowance rilevanti, esamina l’attività recente e trasferisci gli asset rimasti se l’ambiente di firma o la seed phrase potrebbero essere compromessi.
Fonti#
- SEC Investor Bulletin: principi di custodia degli asset crypto
- CISA: buone pratiche per le comunicazioni mobili
- Ethereum.org: sicurezza e prevenzione delle truffe
- FBI IC3: indicazioni per le vittime di truffe in criptovalute
Avvertenza sui rischi: Questa guida offre formazione sulla sicurezza, non consulenza legale, finanziaria o per il recupero dei fondi. Le transazioni blockchain possono essere irreversibili e i controlli variano in base a wallet, rete, piattaforma e giurisdizione.
Standard editoriale
Questa guida è educativa e basata su fonti. Misure di sicurezza, regole degli exchange e requisiti legali possono cambiare: verifica i passaggi importanti sulle fonti ufficiali.
