Un wallet multisig, abbreviazione di multi-signature wallet, è un portafoglio che richiede l’approvazione di più chiavi private prima di eseguire una transazione. A differenza di un wallet tradizionale controllato da una sola seed phrase, il multisig distribuisce il potere di autorizzazione tra più proprietari.
La domanda non è quindi soltanto “come apro un wallet crypto?”, ma “quante firme servono per muovere i fondi e come organizzo in modo sicuro le chiavi che possono autorizzarle?”. Questa distinzione è importante per tesorerie, gruppi di lavoro, associazioni, aziende o persone che vogliono ridurre il rischio legato alla perdita o alla compromissione di una singola chiave.
La procedura descritta riguarda il concetto generale di multisig su Ethereum e reti compatibili. Le schermate, i costi di distribuzione e le funzioni disponibili possono cambiare in base all’applicazione utilizzata, alla rete e agli aggiornamenti degli smart contract.
Che cos’è un wallet multisig
Un wallet multisig su Ethereum è normalmente uno smart contract wallet. Non si tratta, quindi, di un semplice account controllato direttamente da una singola chiave privata, come un account creato in un wallet software tradizionale.
Durante la configurazione vengono indicati due elementi:
- gli owner, cioè gli indirizzi autorizzati a proporre o approvare le operazioni;
- la soglia di approvazione, cioè il numero minimo di firme necessarie per eseguire una transazione.
Un wallet con tre proprietari e soglia 2, spesso indicato come configurazione “2 su 3”, richiede due approvazioni su tre. Un wallet con cinque proprietari e soglia 3 richiede invece tre firme su cinque.
Il multisig non elimina il rischio: lo distribuisce. Se la soglia è troppo bassa, la compromissione di pochi dispositivi può essere sufficiente a svuotare il wallet. Se è troppo alta, una chiave persa o un proprietario indisponibile può bloccare le operazioni.
Prima di iniziare: definire il modello operativo
Il passaggio più importante avviene prima dell’apertura tecnica del wallet. Occorre decidere chi controllerà le chiavi, chi potrà approvare le transazioni e come si procederà in caso di emergenza.
Per un gruppo di tre persone, una configurazione 2 su 3 può evitare che una sola persona possa trasferire i fondi autonomamente. Tuttavia, non è una regola universale e non rappresenta una raccomandazione valida per ogni situazione. La soglia deve riflettere il numero di partecipanti, il valore custodito, la frequenza delle operazioni e la possibilità concreta di recuperare una chiave.
Prima della creazione è utile mettere per iscritto:
- quanti owner devono esistere;
- quante firme sono necessarie;
- chi è responsabile di ciascuna chiave;
- dove vengono conservati i dispositivi e i backup;
- come si approvano le transazioni urgenti;
- cosa accade se un owner perde il dispositivo o non è più disponibile.
Ogni owner dovrebbe controllare personalmente il proprio indirizzo pubblico. La seed phrase, la chiave privata e i codici di recupero non devono mai essere raccolti da un unico amministratore né inseriti in un sito web.
Come creare il wallet multisig
La creazione avviene normalmente attraverso un’interfaccia compatibile con il wallet multisig scelto. Il procedimento può essere descritto in fasi generali.
1. Scegliere la rete corretta. Ethereum e le reti compatibili possono avere indirizzi simili, ma saldi e contratti appartengono a reti diverse. Prima di confermare la creazione bisogna verificare il nome della rete nel wallet, nell’interfaccia e nel dispositivo usato per firmare.
2. Collegare gli account degli owner. Gli indirizzi vengono inseriti o collegati uno alla volta. È fondamentale controllare ogni indirizzo carattere per carattere e, quando possibile, confrontarlo con quello mostrato sul dispositivo hardware che custodisce la chiave.
3. Impostare la soglia. L’applicazione mostra il numero di firme richieste. Questo valore non indica quante persone esistono nel gruppo, ma quante autorizzazioni devono risultare valide prima dell’esecuzione.
4. Verificare il riepilogo. Prima della conferma occorre controllare rete, elenco degli owner, soglia e indirizzo del contratto che verrà creato. Una configurazione errata può essere tecnicamente valida ma inutilizzabile o molto più rischiosa del previsto.
5. Distribuire o inizializzare il contratto. In base all’architettura utilizzata, la creazione può richiedere una transazione on-chain e il pagamento di una commissione. L’operazione deve essere firmata da uno degli account autorizzati. Il wallet multisig diventa operativo solo dopo il completamento della procedura prevista dall’applicazione.
Il controllo più importante: verificare l’indirizzo on-chain
Dopo la creazione non bisogna fidarsi soltanto dell’interfaccia grafica. L’indirizzo del multisig deve essere verificato sulla blockchain e confrontato con quello visualizzato nell’applicazione.
Un explorer della rete può aiutare a controllare:
- che l’indirizzo appartenga alla rete corretta;
- che il contratto sia stato effettivamente creato;
- che non si stia guardando un account personale simile;
- che eventuali fondi ricevuti siano presenti sull’indirizzo previsto.
Non bisogna confondere l’indirizzo del wallet multisig con l’indirizzo del singolo owner. Gli owner sono le chiavi che autorizzano le operazioni; il multisig è l’indirizzo che detiene i fondi e interagisce con la blockchain.
Prima di trasferire importi significativi è prudente effettuare un test con una somma limitata, verificare la ricezione e completare una piccola transazione di prova. Il test deve includere almeno due owner se la soglia lo richiede.
Come si esegue una transazione
In un wallet multisig una transazione non viene normalmente eseguita con una sola conferma. Un owner propone l’operazione indicando destinatario, importo, rete e, se necessario, dati per interagire con uno smart contract.
Gli altri owner visualizzano la proposta e la approvano dal proprio wallet. Quando viene raggiunta la soglia, l’operazione può essere eseguita on-chain da un owner autorizzato o secondo il meccanismo previsto dal contratto.
È essenziale distinguere tra:
- proposta, che descrive l’operazione;
- approvazione, che esprime il consenso di un owner;
- esecuzione, che invia la transazione alla blockchain e modifica lo stato del contratto.
Un’interfaccia può mostrare una transazione come “approvata” senza che sia ancora stata eseguita. Prima di considerare completato un trasferimento bisogna controllare l’hash della transazione e il relativo stato sulla blockchain.
Per un semplice invio di ether è necessario verificare destinatario, importo, rete e commissione. Per un’interazione con un protocollo DeFi o con un token bisogna inoltre controllare contratto, funzione chiamata e autorizzazioni eventualmente richieste. Una firma multisig non rende automaticamente sicuro uno smart contract malevolo.
Come organizzare le chiavi degli owner
Il vantaggio principale del multisig si perde se tutte le chiavi sono conservate nello stesso luogo o sullo stesso dispositivo. Un attaccante che ottiene accesso a più owner può raggiungere la soglia necessaria senza dover compromettere il contratto.
Per ridurre i punti di cedimento si possono separare:
- dispositivi fisici e wallet hardware degli owner;
- luoghi di conservazione dei backup;
- account email e sistemi di autenticazione collegati;
- responsabilità operative e persone che approvano.
Ogni proprietario deve sapere come recuperare il proprio account, ma non deve conoscere la seed phrase degli altri. Le seed phrase non vanno condivise in chat, fotografate, copiate su servizi cloud o inserite in moduli online.
È utile anche predisporre una procedura per sostituire un owner compromesso. Molti multisig consentono di modificare l’elenco dei proprietari e la soglia, ma anche questa è una transazione che richiede firme. La procedura deve essere testata prima che si verifichi un’emergenza.
Rischi ed errori da evitare
Impostare una soglia senza un piano di recupero. Una configurazione molto prudente sulla carta può diventare inutilizzabile se mancano le firme necessarie.
Inserire un indirizzo sbagliato. Un singolo carattere errato può associare al wallet una chiave non controllata dal gruppo. Gli indirizzi devono essere verificati sul dispositivo e non solo copiati dagli appunti.
Usare la rete sbagliata. Un wallet può avere un indirizzo formalmente simile su più reti, ma i fondi inviati su una rete diversa non compaiono automaticamente dove ci si aspetta.
Approvare dati non compresi. Le transazioni verso smart contract possono contenere calldata complessi. Il numero di firme non sostituisce la lettura dell’operazione e la verifica del destinatario.
Confondere il multisig con un backup. Tre owner non sono automaticamente tre copie della stessa seed phrase. Sono chiavi diverse, con responsabilità e rischi diversi.
Rely on only the interface. Le interfacce possono essere compromesse, configurate male o temporaneamente indisponibili. Per le operazioni importanti bisogna confrontare i dati con la blockchain e con i dispositivi di firma.
Quando il multisig può essere inadatto
Il multisig aggiunge sicurezza ma anche complessità. Richiede coordinamento, procedure condivise, più firme e una gestione accurata degli aggiornamenti. Per un uso occasionale e di importo ridotto può risultare sproporzionato; per una tesoreria condivisa può invece risolvere il problema della dipendenza da una sola chiave.
Non bisogna adottarlo soltanto perché è tecnicamente più sofisticato. La configurazione deve essere comprensibile a tutti gli owner, documentata e verificata con transazioni di prova. Se nessuno sa spiegare come modificare la soglia, sostituire un proprietario o recuperare l’accesso, il sistema non è realmente sotto controllo.
Aprire un wallet multisig significa quindi progettare un processo, non soltanto creare un indirizzo. La sicurezza dipende dall’equilibrio tra numero di chiavi, soglia di firme, separazione dei dispositivi, verifica delle transazioni e piano di emergenza. Una volta completata la configurazione, il primo deposito dovrebbe arrivare solo dopo aver controllato rete, contratto, owner, soglia e procedura di esecuzione.
