Una seed phrase esposta rende compromesso ogni account che ne deriva, ma gli asset non sono necessariamente persi finché un attaccante non li sposta. Crea subito un nuovo wallet su un dispositivo pulito e trasferisci ciò che resta: cambiare la password dell’app non modifica la seed phrase.
Procedura pratica#
- Genera una nuova seed su un dispositivo affidabile. Scarica il wallet dal canale ufficiale, crea una frase nuova e verifica privatamente il backup prima di ricevere fondi.
- Sposta asset nativi e token di valore verso i nuovi indirizzi. Pianifica rete, gas e ordine delle transazioni; non depositare altri fondi sul wallet compromesso se non strettamente necessario per il gas.
- Trasferisci gli NFT e revoca le approvazioni residue quando è utile. Controlla ogni collezione e posizione DeFi, ma non perdere tempo con autorizzazioni prive di valore mentre gli asset principali restano esposti.
- Aggiorna allowlist degli exchange e indirizzi di pagamento. Verifica che prelievi periodici, pagamenti e contatti fidati non continuino a inviare asset agli indirizzi vecchi.
- Non riutilizzare mai la vecchia seed né depositare nuovamente sui suoi indirizzi. Etichettali come compromessi e monitora eventuali movimenti solo tramite explorer in modalità di sola lettura.
Che cosa conta davvero#
La frase è il segreto principale. Un attaccante può importarla su un altro dispositivo senza generare un avviso di accesso e può sorvegliare gli indirizzi in attesa di depositi futuri.
La migrazione deve creare un confine crittografico nuovo, non un semplice «Account 2» sotto la stessa frase. Prima di agire verifica ciò che puoi; per ciò che potrai soltanto monitorare, applica limiti rigidi e non lasciare valore recuperabile sul vecchio wallet.
Regola decisionale riutilizzabile#
Se il wallet contiene posizioni DeFi complesse, pianifica con attenzione ordine, gas, collateral e scadenze. Può essere giustificata assistenza professionale per un incidente importante, ma nessun consulente ha bisogno della seed esposta o di quella nuova.
Se sospetti che anche il dispositivo sia compromesso, non creare il nuovo wallet sullo stesso sistema. Usa hardware o dispositivo pulito e verifica gli indirizzi sul display fidato prima di trasferire somme significative.
Errori che cambiano l’esito#
- Aggiungere fondi al wallet esposto per «verificare» cosa accade. L’attaccante può usare un bot che trasferisce automaticamente ogni nuovo deposito.
- Inserire la frase in un sito che promette di controllarla. Un verificatore online non ha bisogno della seed e può rubare immediatamente tutti gli asset.
- Cambiare soltanto la password dell’app. La password protegge l’installazione locale, mentre la seed consente di ricreare gli account altrove.
- Annunciare pubblicamente la migrazione prima di completarla. Segnala all’attaccante che il wallet è attivo e può accelerare il furto.
Prove da conservare#
Non giudicare l’esito soltanto dal messaggio di successo. Usa prove che restino verificabili dopo aver chiuso l’applicazione.
| Punto di controllo | Prova | Condizione di arresto |
|---|---|---|
| Nuova seed generata su dispositivo affidabile | Test di recupero datato, senza mostrare i segreti | Si aggiungono fondi al wallet compromesso per provarlo |
| Asset nativi e token trasferiti | Hash e record corrispondenti sull’explorer | Un «verificatore» chiede la seed phrase |
| NFT e posizioni residue controllati | Inventario e transazioni verificati on-chain | Viene cambiata soltanto la password locale |
Conserva hash o screenshot datati quando aiutano a documentare la migrazione, ma non includere mai seed phrase, chiavi private o codici di autenticazione.
Domande frequenti#
Posso creare un nuovo account sotto la stessa frase?
No. Ogni account derivato resta accessibile a chi possiede quella seed phrase, anche se l’indirizzo è nuovo e non è mai stato usato.
Aggiungere una passphrase può salvare il vecchio wallet?
Una passphrase genera account derivati differenti, ma non protegge gli asset già custoditi negli indirizzi ottenuti dalla seed esposta.
E se non è accaduto nulla per mesi?
L’attaccante potrebbe non aver notato la frase oppure attendere un deposito più elevato. L’assenza di furti non ripristina la segretezza.
Guide correlate#
Fonti#
- Ethereum.org: sicurezza e prevenzione delle truffe
- MetaMask: sicurezza del wallet
- CISA: evitare ingegneria sociale e phishing
Avvertenza sui rischi: Le operazioni crypto possono essere irreversibili. Non condividere seed phrase, chiavi private, password o codici di autenticazione e verifica separatamente ogni dominio e richiesta del wallet.
Standard editoriale
Questa guida è educativa e basata su fonti. Misure di sicurezza, regole degli exchange e requisiti legali possono cambiare: verifica i passaggi importanti sulle fonti ufficiali.
