Aprire un wallet crypto sullo smartphone non significa semplicemente scaricare un’app e premere “Crea account”. Il passaggio più importante avviene prima del primo deposito: capire chi controlla le chiavi, come viene generato il backup e quali procedure permettono di recuperare l’accesso se il telefono viene perso o sostituito.
Questa guida riguarda un wallet non custodial, cioè un’app in cui le chiavi private o la seed phrase sono sotto il controllo dell’utente e non di un exchange. La procedura può cambiare da un’app all’altra, ma i principi restano gli stessi. L’obiettivo non è scegliere un prodotto specifico, bensì costruire una configurazione iniziale verificabile e ridurre gli errori più comuni.
Prima di iniziare: wallet custodial o non custodial?
Un wallet custodial è un conto presso un exchange o un altro intermediario. L’utente accede con email, password, codici o passkey, ma le chiavi che controllano gli asset sono gestite dal servizio. In questo caso il recupero dell’accesso passa normalmente dall’assistenza e dalle procedure interne della piattaforma.
In un wallet non custodial, invece, l’app genera o importa le credenziali che permettono di controllare gli indirizzi blockchain. La seed phrase è il backup principale del wallet, quando il modello utilizzato la prevede. Chi possiede quella sequenza può generalmente ricreare il wallet compatibile anche su un altro dispositivo. Per questo il fornitore dell’app non dovrebbe chiedere di inviargliela.
La differenza è operativa e non solo terminologica. Nel modello non custodial non esiste, di norma, un servizio centrale che possa annullare una transazione o ripristinare automaticamente l’accesso. Il controllo aumenta, ma aumenta anche la responsabilità: perdere la seed phrase o consegnarla a un truffatore può significare perdere definitivamente il controllo dei fondi.
Preparare lo smartphone e verificare l’app
La configurazione dovrebbe avvenire su uno smartphone aggiornato, protetto da un codice di sblocco robusto e non condiviso. È prudente evitare dispositivi con applicazioni sospette, sistemi modificati o accesso già compromesso. Anche un wallet ben progettato non può impedire a un malware di leggere ciò che l’utente visualizza o digita sul telefono.
Il primo controllo riguarda l’applicazione:
- raggiungere il sito ufficiale del progetto digitando l’indirizzo manualmente o usando una fonte verificabile;
- seguire da lì il collegamento allo store ufficiale, senza affidarsi soltanto a pubblicità o risultati sponsorizzati;
- controllare con attenzione nome dello sviluppatore, collegamenti, recensioni e avvisi di sicurezza;
- evitare file installati da link ricevuti via messaggio, email o social network;
- non confondere il wallet con un’app che promette rendimenti, bonus o recuperi straordinari.
La presenza su uno store non costituisce da sola una garanzia assoluta. Le imitazioni possono usare nomi e icone molto simili. Dopo l’installazione, il wallet non dovrebbe chiedere di inviare la seed phrase a un supporto tecnico, inserirla in una pagina web o fotografarla per “verificarla”.
Creare il wallet e gestire la seed phrase
Selezionando l’opzione per creare un nuovo wallet, l’app genera le credenziali. In un modello basato su seed phrase, vengono mostrate parole che rappresentano il materiale di recupero del wallet. Il numero e il formato possono dipendere dallo standard adottato dall’applicazione: non è corretto presumere che tutti i wallet siano compatibili tra loro.
Durante questa fase è importante:
- creare il wallet in un ambiente privato, senza persone o telecamere nelle vicinanze;
- scrivere le parole nell’ordine esatto su un supporto fisico durevole;
- non salvarle in screenshot, galleria fotografica, email, chat, note sincronizzate o cloud;
- non copiarle negli appunti del telefono più del necessario;
- non modificare, tradurre o riordinare le parole;
- non mostrare la seed phrase a nessuno, compreso il presunto supporto del wallet.
La seed phrase non è una password da ricordare a memoria né un codice da inserire ogni volta per sbloccare l’app. È il backup delle credenziali di recupero. Chi la possiede può provare a ricostruire il wallet su un dispositivo compatibile, anche se il telefono originale è spento o distrutto.
Il backup fisico deve essere conservato in un luogo protetto da accessi non autorizzati e da eventi prevedibili come perdita, umidità, incendio o furto. Creare molte copie senza un piano può aumentare la superficie di attacco: ogni copia aggiuntiva è un altro punto da proteggere.
Biometria, PIN e seed phrase non sono la stessa cosa
Molte app consentono di proteggere l’accesso con PIN, impronta digitale o riconoscimento facciale. Questi strumenti servono soprattutto a impedire che qualcuno usi direttamente l’app sul telefono. Non sostituiscono la seed phrase e normalmente non permettono, da soli, di recuperare il wallet su un nuovo dispositivo.
La biometria può rendere più comodo lo sblocco, ma non elimina il rischio di furto del telefono o di manipolazione delle richieste di firma. Prima di confermare un’operazione è quindi necessario leggere destinatario, rete, importo e tipo di autorizzazione. Un’applicazione malevola o un sito di phishing può tentare di ottenere una firma anche quando il telefono è sbloccato correttamente.
È inoltre opportuno attivare il blocco automatico dell’app, utilizzare un codice di sblocco del telefono adeguato e configurare, quando disponibile, notifiche per le transazioni. Le impostazioni di sicurezza vanno controllate dopo aggiornamenti importanti o reinstallazioni.
Completare il recovery test senza mettere a rischio i fondi
Prima di ricevere somme rilevanti, è utile verificare che il backup sia stato trascritto correttamente. Il metodo più sicuro consiste nel non digitare la seed phrase in siti web o strumenti online. Si può utilizzare la funzione di ripristino prevista dall’app su un secondo ambiente controllato, preferibilmente un dispositivo separato o un’installazione pulita, senza importare fondi significativi.
Il test deve confermare che il wallet ripristinato mostri gli stessi account e gli stessi indirizzi attesi. Se l’app segnala una parola errata, una sequenza incompleta o un wallet diverso, non bisogna tentare combinazioni casuali in un ambiente con fondi. La seed phrase non deve essere condivisa per chiedere assistenza in un forum o in una chat.
Un recovery test non dimostra che ogni wallet futuro sarà compatibile. Standard di derivazione, reti supportate, percorsi degli account e modelli di backup possono differire. Il test verifica soprattutto che il backup sia leggibile e che sia coerente con quella specifica applicazione.
Ricevere crypto: indirizzo, rete e piccolo trasferimento di prova
Un wallet può gestire più blockchain e più tipi di asset. Per ricevere una criptovaluta bisogna aprire la rete e l’asset corretti, copiare l’indirizzo e confrontarlo con quello mostrato dall’app. Non è sufficiente che il nome del token sia uguale: lo stesso simbolo può esistere su reti diverse e un trasferimento inviato sulla rete sbagliata può non essere recuperabile.
Prima di usare l’indirizzo:
- verificare che la rete scelta nel wallet corrisponda a quella selezionata dal mittente;
- controllare l’indirizzo dall’inizio alla fine, non soltanto alcuni caratteri evidenziati;
- usare, quando possibile, il QR code o una funzione di copia affidabile;
- considerare se la blockchain richiede un memo, tag o riferimento aggiuntivo;
- inviare prima un importo ridotto di prova quando il trasferimento è significativo.
Il mittente dovrebbe controllare l’indirizzo anche sul proprio dispositivo prima della conferma. Un malware può sostituire un indirizzo copiato negli appunti. Dopo l’invio, la transazione va verificata tramite l’esploratore della rete corretta, usando l’hash della transazione o l’indirizzo pubblico. Il saldo nell’app può aggiornarsi con ritardo, ma la verifica on-chain aiuta a distinguere un problema di sincronizzazione da un invio errato.
Primo invio dal wallet: firme, autorizzazioni e rischi
Quando il wallet viene collegato a una dApp o a un servizio esterno, non si limita necessariamente a inviare monete. Può chiedere firme di messaggi, autorizzazioni su token o transazioni verso uno smart contract. Una firma apparentemente gratuita può concedere a un contratto il diritto di movimentare determinati asset, mentre una transazione può trasferire fondi o modificare impostazioni.
Per il primo utilizzo è prudente evitare collegamenti casuali da pubblicità, messaggi privati o account social. Prima di firmare bisogna identificare il sito, leggere la richiesta, controllare la rete e verificare l’eventuale destinatario. Se il significato della firma non è comprensibile, è meglio interrompere l’operazione e cercare documentazione indipendente.
Un wallet appena creato può essere usato per separare attività diverse, ma ogni account aggiuntivo deve essere documentato. Annotare quale account viene usato, su quale rete e per quale finalità riduce il rischio di confondere un wallet operativo con uno destinato alla conservazione.
Errori da evitare dopo l’apertura
- lasciare la seed phrase nella memoria del telefono o in un servizio cloud;
- inviare la seed phrase a un falso operatore per recuperare un saldo;
- installare un aggiornamento del wallet da un link ricevuto in chat;
- confondere l’indirizzo pubblico con la chiave privata;
- inviare token su una rete diversa da quella supportata dal destinatario;
- considerare la biometria una sostituzione del backup;
- collegare il wallet a ogni dApp senza separare attività di prova e fondi importanti;
- depositare somme rilevanti prima di avere verificato recupero, indirizzi e procedure.
Aprire un wallet sullo smartphone è quindi una procedura composta da più controlli: autenticità dell’app, generazione del backup, protezione fisica della seed phrase, verifica del recupero, corretto abbinamento tra rete e indirizzo e prudenza nelle firme. Il telefono rende l’accesso semplice, ma non elimina la responsabilità della custodia. Una configurazione iniziale lenta e documentata riduce gli errori molto più di una maggiore velocità nelle operazioni successive.
