La custodia di Bitcoin non si esaurisce nella scelta di un hardware wallet o nella conservazione della seed phrase. Il problema più difficile può presentarsi dopo un incidente: un incendio distrugge il luogo in cui sono conservati i backup, un furto rende indisponibile il dispositivo, il titolare viene ricoverato o perde la possibilità di operare temporaneamente sul wallet.
In questi casi non basta sapere che la seed phrase esiste. Bisogna sapere dove si trova, quali strumenti servono per usarla, come distinguere un backup autentico da uno incompleto e quali persone, eventualmente, devono essere informate. Un piano di emergenza serve proprio a trasformare una custodia teoricamente sicura in una procedura concretamente eseguibile.
Questa guida riguarda la continuità operativa e il recupero dopo un incidente. Non propone una strategia di investimento, non indica come distribuire il patrimonio e non sostituisce le valutazioni legali o fiscali necessarie per la successione.
Che cos’è un piano di emergenza per un wallet Bitcoin
È un insieme di istruzioni, backup e controlli che permette di ripristinare l’accesso al wallet o di prendere decisioni corrette quando una parte del sistema non è più disponibile. Il sistema non comprende soltanto la seed phrase, ma anche:
- il dispositivo utilizzato per firmare le transazioni;
- il tipo di wallet e il software compatibile;
- la struttura degli account e degli indirizzi;
- eventuali passphrase aggiuntive;
- le informazioni necessarie per riconoscere il wallet corretto;
- le procedure per verificare il saldo e creare una transazione;
- i contatti o le persone autorizzate a intervenire, se previsto.
La seed phrase è il materiale più sensibile, ma da sola può non essere sufficiente. Un wallet con passphrase richiede anche la passphrase corretta; un wallet basato su un descriptor o su una configurazione particolare può richiedere informazioni aggiuntive; un multisig richiede invece un numero sufficiente di chiavi e la conoscenza della struttura del wallet.
Il piano deve quindi rispondere a una domanda precisa: che cosa deve sapere una persona affidabile per recuperare il wallet senza ricevere più informazioni del necessario?
Quali incidenti bisogna considerare
Un buon piano non si concentra soltanto sul furto. Gli scenari sono diversi e hanno conseguenze differenti.
- Perdita o guasto del dispositivo: la seed phrase è disponibile, ma bisogna installare un wallet compatibile e verificare che gli indirizzi siano quelli attesi.
- Furto del dispositivo: il rischio dipende dalla protezione offerta dal PIN, dalla presenza di una passphrase e dalla possibilità che il ladro abbia ottenuto anche i backup.
- Distruzione del backup: il dispositivo può essere ancora funzionante, ma il sistema non è più adeguatamente recuperabile se il dispositivo viene perso in seguito.
- Indisponibilità temporanea del titolare: il wallet non è necessariamente compromesso, ma nessun altro sa come verificare la situazione o seguire la procedura.
- Errore durante il recupero: una seed corretta può sembrare associata a un wallet vuoto se si usano account, reti, derivation path o passphrase differenti.
- Compromissione della seed: il problema non è più recuperare l’accesso, ma spostare rapidamente i fondi verso un wallet nuovo e sicuro.
Questi scenari non devono essere confusi. Recuperare un wallet dopo la rottura di un dispositivo è una procedura diversa dal reagire a una seed phrase potenzialmente esposta. Nel primo caso si ricostruisce l’accesso; nel secondo si deve considerare il wallet non più affidabile.
Come documentare il wallet senza esporre la seed phrase
La documentazione di emergenza dovrebbe essere separata dalla seed phrase. Il suo obiettivo è spiegare come orientarsi, non fornire automaticamente il potere di spendere i fondi.
Un documento operativo può contenere:
- il nome e il modello del dispositivo, senza indicare il PIN;
- il software normalmente utilizzato e il relativo sistema operativo;
- il tipo di rete e di wallet, per esempio Bitcoin mainnet;
- l’esistenza di account multipli, passphrase, multisig o configurazioni non standard;
- un indirizzo pubblico o un extended public key, se utile per riconoscere il wallet tramite un portafoglio watch-only;
- la posizione separata dei backup, descritta in modo generale;
- una sequenza di controlli da eseguire prima di qualsiasi trasferimento.
Non è invece opportuno conservare nello stesso documento la seed phrase, il PIN, la passphrase e le istruzioni complete di spesa. Riunire tutti gli elementi in un unico cassetto, file o archivio riduce la sicurezza: chi ottiene quel materiale può avere tutto ciò che serve per svuotare il wallet.
Attenzione anche alle copie digitali. Una fotografia della seed, un file non cifrato, una bozza email o una nota sincronizzata nel cloud possono creare copie difficili da individuare e cancellare. Se si usa un documento digitale per informazioni non sensibili, bisogna verificare che non contenga per errore parole della seed, passphrase o codici di accesso.
Come progettare il recupero in caso di perdita del dispositivo
Il recupero dovrebbe iniziare con la verifica dell’integrità dei backup, non con una transazione. La procedura può essere organizzata in fasi:
- Identificare l’incidente: stabilire se il dispositivo è soltanto guasto, se è stato rubato o se può essere stata esposta anche la seed phrase.
- Mettere in sicurezza l’ambiente: usare un computer affidabile, aggiornato e libero da software sospetti; evitare di inserire la seed in siti web o moduli ricevuti tramite messaggi.
- Installare il software dalla fonte ufficiale: verificare il dominio e, quando possibile, l’autenticità del download. Un’applicazione contraffatta può rubare la seed durante il ripristino.
- Ripristinare il wallet: inserire la seed esclusivamente nel dispositivo o nel software scelto per il recupero, seguendo la procedura prevista dal produttore.
- Controllare gli indirizzi: confrontare gli indirizzi visualizzati con quelli già documentati o con il wallet watch-only. Se gli indirizzi non coincidono, fermarsi e cercare la causa.
- Verificare il saldo: usare strumenti di consultazione pubblica senza inserire la seed. Il saldo visibile sulla blockchain non prova da solo che il ripristino sia stato eseguito correttamente.
- Effettuare un’operazione soltanto dopo i controlli: se è necessario spostare i fondi, verificare indirizzo di destinazione, rete, importo e commissione direttamente sul dispositivo di firma.
Una prova di recupero fatta in anticipo può evidenziare problemi di compatibilità prima dell’emergenza. Il test deve essere eseguito in un ambiente controllato e non deve trasformarsi in un’occasione per digitare la seed su un computer connesso a Internet o su un servizio online.
Furto, seed compromessa e sostituzione del wallet
Se viene perso soltanto l’hardware wallet e la seed è rimasta segreta, il dispositivo può essere sostituito e il wallet ripristinato. Il vecchio dispositivo deve comunque essere considerato non disponibile, mentre il nuovo deve essere verificato prima di usarlo.
Se invece la seed è stata fotografata, inserita in un’applicazione sospetta, comunicata a qualcuno o ritrovata in un luogo accessibile, non bisogna limitarsi a cambiare il PIN. Il PIN protegge il dispositivo, ma non modifica la seed. Chi possiede la seed può ricostruire il wallet su un altro dispositivo.
In questo caso la procedura corretta è creare un wallet nuovo con una nuova seed su un ambiente affidabile e trasferire i fondi dal wallet potenzialmente compromesso. Prima di procedere occorre verificare la destinazione direttamente sul dispositivo e considerare che anche una transazione urgente può contenere errori irreversibili. Dopo il trasferimento, il vecchio wallet non deve più essere usato per ricevere fondi.
Se l’incidente riguarda un multisig, una passphrase o più dispositivi, la risposta può essere diversa. È importante non modificare la configurazione senza averne compreso le conseguenze: perdere una chiave, una passphrase o il quorum richiesto può rendere inutilizzabili i fondi anche se parte dei backup è intatta.
Come coinvolgere una persona di fiducia
Una persona di fiducia non deve necessariamente conoscere la seed phrase. Può ricevere soltanto le istruzioni per individuare la documentazione, verificare il wallet e contattare il titolare o un professionista in caso di dubbio.
È utile definire in anticipo:
- chi deve essere contattato e in quali circostanze;
- quali azioni sono vietate senza una conferma ulteriore;
- come distinguere un’emergenza reale da un messaggio fraudolento;
- dove trovare il documento operativo;
- come verificare l’identità delle persone coinvolte;
- quali informazioni non devono mai essere inviate via email o messaggistica.
Un piano eccessivamente complesso può fallire quanto uno troppo semplice. Se richiede molti passaggi, dipende da software non più disponibile o presuppone conoscenze tecniche che nessuno ha, l’emergenza può trasformarsi in improvvisazione. Le istruzioni dovrebbero essere brevi, aggiornabili e provate almeno una volta in condizioni normali.
Errori frequenti da evitare
- Confondere backup e accesso: avere la seed non significa conoscere automaticamente passphrase, account e percorso di derivazione.
- Conservare tutto insieme: seed, PIN, passphrase e istruzioni complete non dovrebbero essere un unico punto di compromissione.
- Testare il recupero su un sito: nessun servizio web legittimo deve chiedere la seed phrase per verificare un wallet Bitcoin.
- Trasferire subito i fondi senza verificare gli indirizzi: un wallet apparentemente vuoto può dipendere da una configurazione errata, non dall’assenza di fondi.
- Usare backup non aggiornati senza documentazione: nel tempo possono cambiare wallet, account, dispositivi o modalità di custodia.
- Rivelare la seed a una persona “per comodità”: la ridondanza operativa non deve diventare una copia incontrollata del segreto.
- Ignorare l’aspetto fisico: carta, metallo, luoghi di conservazione e accesso alle copie devono essere valutati anche rispetto a incendio, acqua, furto e deterioramento.
Una verifica periodica può consistere nel controllare che il documento operativo sia ancora comprensibile, che i dispositivi siano disponibili, che i backup siano leggibili e che il wallet watch-only mostri gli indirizzi attesi. Il controllo non richiede di movimentare fondi e non richiede di esporre la seed.
La misura più importante è la prova preventiva
La custodia di Bitcoin è realmente resiliente quando una singola perdita non rende impossibile il recupero e una singola compromissione non permette di svuotare tutto il sistema. Per ottenere questo risultato servono separazione dei segreti, documentazione minima ma sufficiente, procedure verificabili e un piano specifico per ogni tipo di incidente.
Il momento migliore per scoprire che manca un’informazione non è dopo un furto o un incendio. Una prova preventiva, svolta senza trasferire fondi e senza digitare la seed in ambienti non affidabili, permette di individuare in anticipo incompatibilità, passphrase dimenticate e istruzioni poco chiare. In una custodia personale, la preparazione non elimina il rischio, ma riduce la probabilità che un’emergenza tecnica diventi una perdita definitiva.
