Una seed phrase può essere corretta, verificata e perfettamente funzionante, ma diventare inutilizzabile se l’unica copia viene distrutta da un incendio, persa durante un trasloco o resa illeggibile dall’umidità. Al contrario, avere molte copie distribuite senza criterio può aumentare il rischio di furto o di accesso non autorizzato.
La conservazione della seed phrase è quindi un problema di sicurezza fisica e organizzativa, non soltanto informatica. L’obiettivo non è trovare il nascondiglio più originale, ma costruire un sistema che protegga contemporaneamente da due minacce opposte: la perdita del backup e la sua divulgazione.
Questa guida riguarda il metodo di conservazione nel tempo. Non spiega come verificare una seed phrase già esistente, come migrare un wallet o come usare una passphrase: il punto è progettare un backup sostenibile, comprensibile e recuperabile anche dopo anni.
Il principio fondamentale: disponibilità contro riservatezza
Una seed phrase deve essere disponibile quando serve per recuperare il wallet, ma riservata in ogni altro momento. Queste due esigenze possono entrare in conflitto.
- Una sola copia offre maggiore riservatezza, ma è vulnerabile a distruzione, smarrimento o deterioramento.
- Molte copie aumentano la disponibilità, ma moltiplicano i luoghi in cui la seed phrase può essere fotografata, copiata o rubata.
- Una copia digitale è facile da duplicare, ma può essere esposta a malware, backup automatici, cloud, email o sincronizzazioni involontarie.
- Un supporto fisico resistente può sopravvivere a molti incidenti, ma non elimina il rischio di furto o di errore umano.
Prima di scegliere il supporto è utile definire quali eventi si vogliono gestire. Una persona che vive in una sola abitazione e non ha accesso a un luogo alternativo ha esigenze diverse da chi conserva il wallet in una cassaforte, gestisce un’attività o deve prevedere un passaggio agli eredi.
Non esiste una configurazione universalmente migliore. Esiste quella coerente con il proprio modello di rischio, purché sia abbastanza semplice da essere applicata e mantenuta nel tempo.
Carta, metallo e supporti digitali: differenze pratiche
La carta è semplice, economica e non richiede strumenti particolari per essere letta. Il suo limite è la vulnerabilità a acqua, fuoco, strappi, inchiostro scolorito, insetti e deterioramento. Anche una copia custodita in una busta può diventare illeggibile dopo anni se l’ambiente è umido o il materiale non è adatto.
Un backup su metallo è generalmente più resistente a calore, acqua e usura. Può essere inciso, punzonato o inserito in un supporto progettato per contenere le parole o le relative posizioni. La resistenza, però, dipende dal materiale e dalla costruzione: non tutti i prodotti hanno la stessa tolleranza agli eventi estremi. Inoltre, un supporto metallico visibile può attirare l’attenzione se conservato senza ulteriori misure fisiche.
I file digitali, le fotografie e le note sul telefono non sono un sostituto prudente del backup offline. Possono finire in un servizio cloud, in una galleria sincronizzata, in una copia di sicurezza automatica o nelle mani di un’applicazione compromessa. Anche un file cifrato può diventare inutilizzabile se si dimentica la password di cifratura o se non si conosce più il programma necessario per aprirlo.
Una possibile soluzione organizzativa è usare un supporto fisico principale e una seconda copia fisica in un luogo differente. Il supporto scelto dovrebbe essere leggibile senza software proprietario, resistente per quanto possibile agli eventi previsti e facilmente riconoscibile dal proprietario senza contenere informazioni inutili.
Perché la ridondanza deve essere geografica
Due copie nella stessa stanza non sono davvero due backup indipendenti. Un incendio, un’allagamento, un furto o un accesso non autorizzato possono coinvolgerle entrambe.
La ridondanza geografica consiste nel distribuire le copie in luoghi separati e sottoposti a rischi diversi. Per esempio, una copia può trovarsi in una cassaforte domestica e un’altra in un luogo alternativo controllato direttamente dal proprietario. La distanza non deve essere scelta in modo astratto: deve rendere improbabile che lo stesso evento colpisca entrambi i luoghi, senza rendere impossibile il recupero legittimo.
La separazione fisica, però, non deve trasformarsi in una condivisione incontrollata. Lasciare la seed phrase a una persona di fiducia può risolvere un problema logistico, ma introduce il rischio che quella persona venga derubata, manipolata, perda il supporto o non comprenda il valore delle parole. Anche una cassaforte esterna o un deposito professionale richiede di valutare chi può accedervi, come viene registrato l’accesso e quali procedure esistono in caso di emergenza.
Un errore frequente è indicare sulla custodia parole come “Bitcoin”, “wallet” o “seed phrase”. Se il contenitore viene trovato, queste informazioni possono rivelare immediatamente il valore del suo contenuto. D’altra parte, un sistema eccessivamente mascherato può essere dimenticato o scambiato per materiale inutile. La soluzione deve essere discreta, ma anche comprensibile al proprietario.
Copie identiche o backup divisi?
Una seed phrase può essere duplicata integralmente su più supporti oppure suddivisa secondo uno schema di recupero. Le due strategie hanno caratteristiche diverse.
Con copie integrali, ogni backup contiene tutte le parole necessarie. Il recupero è semplice e non richiede di coordinare più parti. Il principale svantaggio è che il furto di una sola copia può essere sufficiente a prendere il controllo del wallet.
Con un sistema diviso, nessuna singola parte contiene necessariamente l’intera informazione. In teoria, questo può ridurre l’impatto del furto di una copia. Tuttavia, la suddivisione manuale delle parole non equivale automaticamente a una procedura crittografica sicura. Separare una frase in gruppi arbitrari, mescolare le parole o conservare metà della frase in luoghi diversi può creare confusione, rendere il recupero fragile e facilitare la ricostruzione da parte di chi ottiene una parte significativa del backup.
Gli schemi progettati per il recupero a soglia, quando supportati dal wallet e compresi correttamente, sono diversi da un semplice taglio della frase. Richiedono però compatibilità, documentazione, inventario delle parti e una procedura di recupero testata. Non bisogna introdurre uno schema complesso soltanto perché sembra più sicuro.
La regola pratica è scegliere tra copie integrali e sistema diviso in base alla propria capacità di documentare e mantenere il metodo. Un sistema sofisticato ma dimenticato è meno sicuro di un sistema semplice, fisicamente protetto e periodicamente controllato.
Come progettare un piano di backup passo dopo passo
Il primo passo consiste nell’elencare gli eventi che il piano deve affrontare: incendio, acqua, furto, perdita, deterioramento, morte o incapacità del proprietario, dimenticanza del luogo e accesso temporaneo di terzi. Non è necessario prevedere ogni scenario immaginabile, ma bisogna evitare di proteggersi da un solo rischio.
Il secondo passo è scegliere il supporto. Occorre valutare resistenza, leggibilità, possibilità di controllo nel tempo e dipendenza da strumenti esterni. Le parole devono essere riportate senza errori, nello stesso ordine e con una grafia o un’incisione chiaramente leggibile.
Il terzo passo è creare almeno una copia separata dal backup principale, se questa soluzione è compatibile con il proprio modello di rischio. Le copie non dovrebbero essere conservate in luoghi esposti agli stessi pericoli e non dovrebbero essere trasportate insieme.
Il quarto passo è redigere una documentazione operativa priva della seed phrase. Può indicare, per esempio, l’esistenza di più supporti, la procedura generale di recupero, il modello del dispositivo eventualmente utilizzato, le reti interessate e le informazioni necessarie per non confondere un backup con un altro. Questa documentazione deve essere abbastanza utile da guidare il recupero, ma non deve rivelare le parole segrete o consentire a un estraneo di localizzarle facilmente.
Il quinto passo è definire una procedura per gli eventi eccezionali. Chi deve sapere che esiste il backup? Chi può recuperarlo se il proprietario è indisponibile? Quali informazioni devono essere separate tra loro? Queste domande riguardano la continuità operativa e la successione, ma vanno affrontate senza consegnare a una sola persona tutto il materiale necessario per un accesso non autorizzato.
Controlli periodici senza esporre la frase
Un backup non è affidabile soltanto perché è stato creato. Deve rimanere leggibile, localizzabile e coerente con il wallet che dovrebbe ripristinare.
- Controllare periodicamente che il supporto non presenti corrosione, crepe, umidità o parole illeggibili.
- Verificare che il luogo di conservazione sia ancora accessibile e che le condizioni di sicurezza non siano cambiate.
- Controllare che eventuali istruzioni separate siano aggiornate e non contengano la seed phrase.
- Registrare in modo discreto l’esistenza delle copie, senza fotografarle né archiviarne il contenuto.
- Ripetere un test di recupero soltanto con una procedura controllata e su un ambiente sicuro, evitando di digitare la frase su computer o siti web connessi a Internet.
Il controllo non dovrebbe consistere nel leggere la seed phrase ad alta voce, fotografarla o inserirla in un’applicazione sconosciuta. Ogni esposizione aggiuntiva aumenta la superficie di rischio. Se il backup appare danneggiato o si sospetta che sia stato visto da terzi, il problema non è soltanto fisico: può essere necessario valutare la creazione di un nuovo wallet e il trasferimento dei fondi, con una procedura separata e accurata.
Errori da evitare
Il primo errore è conservare la seed phrase in una foto, in una nota sul telefono, in un messaggio email o in un documento cloud. La comodità della sincronizzazione non compensa il rischio di copia, furto delle credenziali o compromissione del dispositivo.
Il secondo è affidarsi a un nascondiglio segreto ma non resistente. Un luogo difficile da trovare non protegge dalla distruzione e può essere dimenticato dopo un trasloco o una ristrutturazione.
Il terzo è lasciare tutte le copie nello stesso portafoglio, nella stessa cassaforte o nello stesso edificio. In questo caso la ridondanza è soltanto apparente.
Il quarto è dividere la frase senza comprendere il metodo. Una suddivisione improvvisata può produrre un backup impossibile da ricostruire oppure esporre abbastanza parole da ridurre la sicurezza.
Il quinto è creare un piano così complesso da non poter essere spiegato o verificato. Ogni componente aggiuntivo — più luoghi, più persone, passphrase, schemi a soglia o istruzioni speciali — introduce anche nuove possibilità di errore.
Un esempio di progettazione equilibrata
Si consideri un utente che vuole proteggersi da incendio e smarrimento, ma non desidera affidare la seed phrase a un servizio esterno. Potrebbe conservare una copia fisica resistente in un luogo domestico protetto e una seconda copia identica in un luogo alternativo sotto il suo controllo. Potrebbe tenere separata la documentazione sul modello del wallet e sulle procedure generali, senza includere le parole segrete.
In questo esempio, il vantaggio è la semplicità: il recupero non dipende dal coordinamento di più persone o dalla disponibilità di un’applicazione particolare. Il rischio residuo è che una copia venga trovata da un intruso. Per ridurlo, l’utente deve concentrarsi sul controllo degli accessi fisici, sulla discrezione dei contenitori e sulla verifica periodica dei luoghi. Non si tratta di una raccomandazione universale, ma di un esempio di come mettere in relazione minacce, costi e complessità.
Un altro utente, con esigenze di successione o con più persone coinvolte, potrebbe preferire un sistema a soglia o una struttura con accessi separati. In quel caso la priorità sarebbe documentare il funzionamento, verificare la compatibilità e stabilire chi può intervenire e in quali condizioni. Più il sistema è articolato, più è importante testare il recupero prima di affidargli una funzione critica.
La seed phrase è il punto di accesso al wallet, ma la sicurezza del backup dipende dall’intero processo: supporto, luoghi, persone, istruzioni e controlli. Un buon piano non cerca la perfezione teorica; riduce i rischi più probabili senza creare una procedura tanto complicata da diventare impraticabile.
