Custodire Bitcoin non significa soltanto scegliere tra un exchange e un hardware wallet. Significa anche costruire una procedura che riduca gli errori quando si riceve, si spende o si deve recuperare il wallet. Un dispositivo sicuro può comunque essere utilizzato male: un indirizzo può essere sostituito da un malware, una rete può essere confusa con un’altra, un backup può risultare illeggibile oppure una transazione può essere firmata senza averne controllato davvero il destinatario.
Per questo la sicurezza della custodia ha due componenti. La prima è tecnica e riguarda seed phrase, chiavi private, hardware wallet, software e backup. La seconda è operativa e riguarda le abitudini: quali controlli fare, in quale ordine, con quali strumenti e senza improvvisare nei momenti di fretta o di stress.
La procedura descritta in questa guida è un modello generale. Non sostituisce una valutazione professionale per patrimoni rilevanti o per strutture con più persone, ma può aiutare a trasformare la custodia quotidiana in un processo più ordinato e verificabile.
Perché l’errore umano è un rischio di custodia
Bitcoin non permette di annullare una transazione confermata sulla blockchain. Se i fondi vengono inviati a un indirizzo sbagliato, la possibilità di recuperarli dipende dal fatto che il destinatario controlli quell’indirizzo. Non esiste, in generale, un servizio centrale capace di stornare il pagamento su richiesta.
Gli errori più comuni non richiedono competenze tecniche avanzate. Possono consistere nel copiare un indirizzo vecchio, selezionare una rete o un formato non previsto dal wallet, confondere l’importo in Bitcoin con quello in valuta tradizionale, ignorare il destinatario del resto oppure conservare una copia della seed phrase in un luogo che tutti possono raggiungere.
Un altro problema è la sicurezza “a intermittenza”: l’utente applica controlli rigorosi per la prima operazione, ma li abbandona dopo alcune settimane. Una buona procedura deve quindi essere semplice, ripetibile e abbastanza breve da poter essere utilizzata anche per una transazione ordinaria.
Separare gli strumenti e assegnare a ciascuno una funzione
Il primo passo è distinguere gli strumenti che servono a osservare il wallet da quelli che possono autorizzare una spesa.
- Wallet di firma: contiene o utilizza le chiavi necessarie per autorizzare le transazioni. Può essere un hardware wallet o un altro dispositivo scelto per la custodia.
- Wallet watch-only: mostra indirizzi e saldi senza avere la seed phrase o le chiavi private. È utile per controllare il patrimonio e preparare una transazione, ma non può spenderlo da solo.
- Computer operativo: prepara la transazione e visualizza i dati, ma non dovrebbe essere considerato automaticamente affidabile solo perché viene usato ogni giorno.
- Backup: serve al recupero del wallet e non deve essere utilizzato come strumento operativo quotidiano.
Questa separazione riduce la superficie di rischio. Per esempio, il saldo può essere controllato da un wallet watch-only senza collegare ogni volta il dispositivo di firma. Allo stesso modo, la seed phrase non dovrebbe essere digitata in un computer, fotografata o importata in un software per “fare una prova”.
È utile inoltre dare un nome chiaro ai dispositivi e ai backup, evitando etichette troppo esplicite. La documentazione può indicare che esiste un backup e come recuperarlo, ma non dovrebbe rivelare direttamente le parole della seed phrase.
La procedura prima di ricevere Bitcoin
Prima di condividere un indirizzo, è opportuno seguire una sequenza sempre uguale.
- Aprire il wallet dal software ufficiale o dal wallet watch-only collegato alla configurazione corretta.
- Generare un nuovo indirizzo quando il wallet lo prevede, invece di riutilizzare automaticamente un indirizzo già utilizzato.
- Controllare l’indirizzo sullo schermo del dispositivo di firma, quando disponibile. Il computer può essere compromesso e mostrare un indirizzo diverso da quello generato dal wallet.
- Confrontare l’indirizzo in più punti, preferibilmente dall’inizio e dalla fine, senza affidarsi soltanto al fatto che “sembri simile”.
- Verificare che il mittente utilizzi la rete Bitcoin e non un token o un servizio che rappresenta Bitcoin su un’altra blockchain.
Per somme importanti può essere ragionevole eseguire prima un trasferimento di prova, tenendo conto delle commissioni e del fatto che una transazione di test non elimina ogni rischio. Dopo l’invio, il controllo deve avvenire tramite il proprio wallet o un esploratore blockchain, verificando destinatario, importo e stato della transazione.
Un indirizzo visualizzato sullo schermo del dispositivo è un controllo contro alcune sostituzioni effettuate dal computer, ma non dimostra che l’operazione sia stata progettata correttamente in ogni suo aspetto. Anche l’importo, il destinatario e la rete devono essere controllati separatamente.
La procedura prima di spendere Bitcoin
Una spesa dovrebbe essere trattata come un’operazione a più passaggi, non come un semplice clic su “Invia”. Prima della firma è necessario controllare almeno:
- Destinatario: l’indirizzo deve provenire da una fonte affidabile e deve essere verificato fuori dal canale potenzialmente manipolato. Un messaggio ricevuto via email o chat può essere modificato o sostituito.
- Importo: occorre distinguere chiaramente Bitcoin, satoshi e valuta tradizionale. Un errore di unità può cambiare radicalmente il valore della transazione.
- Commissione: va controllata separatamente dall’importo inviato. Una commissione elevata può ridurre il saldo, ma una commissione troppo bassa può rallentare la conferma.
- Resto: una parte degli input può tornare a un indirizzo controllato dal mittente. Il wallet dovrebbe mostrare il risultato della selezione degli UTXO e l’indirizzo di resto, quando il dispositivo lo supporta.
- Input utilizzati: la selezione degli UTXO può avere conseguenze su privacy, commissioni future e gestione del patrimonio.
Il dispositivo di firma deve essere utilizzato per verificare i dati che contano davvero, non solo per confermare una richiesta già accettata sul computer. Se lo schermo del dispositivo mostra un destinatario diverso da quello previsto, l’operazione va interrotta.
Una regola pratica è non firmare mai una transazione mentre si sta ancora cercando di capire cosa contenga. Prima si analizzano destinatario, importo, commissione e resto; soltanto dopo si autorizza la spesa.
Come documentare la custodia senza creare un nuovo rischio
Una documentazione minima può rendere più facile il recupero e ridurre gli errori. Può includere il modello del dispositivo, il software utilizzato, il tipo di wallet, il formato degli indirizzi, l’eventuale passphrase aggiuntiva, le procedure di aggiornamento e la posizione dei backup.
Queste informazioni non devono però diventare una mappa completa per un intruso. La documentazione operativa dovrebbe essere conservata separatamente dalla seed phrase e non dovrebbe contenere fotografie, trascrizioni o scansioni delle parole. Se esiste una passphrase, è importante che chi trova la seed phrase non possa ricavarla automaticamente dalla documentazione.
Per ogni configurazione è utile registrare anche quali indirizzi o account vengono utilizzati, quale derivation path è previsto dal wallet e quali software sono compatibili con il recupero. Il problema di un wallet vuoto dopo il ripristino non indica necessariamente la perdita dei fondi: può dipendere da account, percorso di derivazione, formato degli indirizzi o gap limit differenti.
Il controllo periodico: provare il recupero senza spostare i fondi
Un backup non è realmente affidabile soltanto perché le parole sono state scritte. Deve essere leggibile, completo e compatibile con il processo di recupero previsto.
Il controllo deve essere organizzato in modo da non esporre la seed phrase a computer connessi a internet. In base al modello di wallet, si può utilizzare un dispositivo separato, resettato e destinato al test, oppure una procedura di recupero verificata senza importare le parole in software non necessario. L’obiettivo è controllare che il wallet ricostruisca gli stessi account e gli stessi indirizzi, non spostare i fondi come prova.
La procedura dovrebbe verificare:
- leggibilità e ordine delle parole;
- presenza di eventuali passphrase o configurazioni aggiuntive;
- formato degli indirizzi e percorso di derivazione;
- compatibilità del software scelto per il recupero;
- visualizzazione del saldo e degli indirizzi attesi in modalità watch-only o dopo il ripristino controllato.
Dopo il test, il dispositivo utilizzato per la verifica deve essere cancellato o destinato esclusivamente a quel ruolo, secondo una procedura coerente con il modello. Non è prudente lasciare una copia della seed phrase su un dispositivo di prova che potrebbe essere riutilizzato da altre persone.
Errori da evitare nella procedura
- Modificare la procedura durante l’operazione: se si cambia wallet, computer o metodo di verifica mentre una transazione è in corso, aumenta il rischio di confusione.
- Affidarsi soltanto al software sul computer: il dispositivo di firma deve essere il riferimento per l’indirizzo e i dati della transazione.
- Condividere la seed phrase per chiedere assistenza: nessun supporto legittimo dovrebbe averne bisogno.
- Conservare tutti gli elementi nello stesso luogo: seed phrase, passphrase, dispositivo e istruzioni non dovrebbero essere esposti a un singolo incidente.
- Confondere disponibilità con sicurezza: avere accesso immediato ai fondi è comodo, ma un wallet sempre collegato e sempre utilizzato può aumentare l’esposizione a phishing e malware.
- Fare esperimenti con il wallet principale: nuove applicazioni, importazioni e configurazioni dovrebbero essere provate con un ambiente separato e con fondi non significativi.
Una custodia Bitcoin robusta non dipende da un singolo dispositivo né da una singola funzione di sicurezza. Dipende dalla combinazione di separazione degli strumenti, verifica indipendente dei dati, backup recuperabili e procedure che possano essere ripetute senza improvvisazioni.
Il principio più importante è semplice: ogni operazione deve avere un ordine preciso, un controllo prima della firma e un modo per verificare il risultato dopo l’invio. Ridurre l’errore umano non significa eliminare ogni rischio, ma fare in modo che un singolo clic sbagliato non sia il punto in cui si perde il controllo dei Bitcoin.
