Wallet e custodia: chi controlla le chiavi?
La scelta di custodia cambia il tipo di rischio che assumi; non fa scomparire il rischio.
Parti dai poteri di controllo
Un wallet è uno strumento per interagire con una blockchain e gestire le chiavi o i meccanismi di firma che autorizzano le azioni. Nell'autocustodia, l'utente controlla le credenziali rilevanti. Nelle soluzioni custodial, un'altra organizzazione le controlla e accredita il cliente secondo le proprie condizioni. Entrambe possono apparire simili sullo schermo di un telefono; perciò lo schermo da solo dice ben poco sui diritti giuridici o sulle possibilità di recupero.
Poni una domanda pratica: se il sito del fornitore sparisse domani, che cosa ti consentirebbe di accedere alle attività? Una frase di recupero può permettere a un wallet compatibile in autocustodia di ripristinare l'accesso alla firma. Nome utente e password di una piattaforma custodiale generalmente non offrono la stessa capacità indipendente. Viceversa, un custode può offrire un recupero dell'account che un sistema in autocustodia non può fornire.
Hot wallet, cold wallet e processo di firma
Un hot wallet rende le chiavi o la capacità di firma accessibili tramite un ambiente connesso a Internet. Le soluzioni di cold storage cercano di mantenere offline i segreti di firma. Un hardware wallet può proteggere le chiavi, ma non può rendere sicura ogni transazione. Se una persona approva un trasferimento non voluto o un'autorizzazione pericolosa a un contratto, firmare quell'istruzione in modo sicuro esegue comunque la decisione sbagliata.
Una frase di recupero non è una normale informazione di assistenza tecnica. Chi la ottiene potrebbe assumere il controllo senza conoscere la password della piattaforma. Conversazioni di assistenza apparentemente autentiche, risultati sponsorizzati, estensioni del browser e falsi aggiornamenti possono tutti essere punti d'ingresso per furti. Uno screenshot salvato in un account cloud può creare un ulteriore percorso verso il segreto. La sicurezza richiede di considerare l'intero processo, non solo acquistare un dispositivo.
La custodia comprende contratti e scenari di fallimento
Per un custode, esamina l'entità giuridica, le condizioni di segregazione degli asset, le condizioni di prelievo e il trattamento in caso di fallimento dell'impresa. Espressioni promozionali come «di livello istituzionale» non specificano il diritto giuridico del cliente. L'assicurazione può avere limiti, esclusioni e un beneficiario diverso dal singolo cliente. Nemmeno le informazioni di proof of reserves forniscono, da sole, un quadro completo delle passività o di tutti i vincoli sugli asset.
Per la custodia autonoma, esamina la durata delle copie di sicurezza, le disposizioni successorie, i guasti dei dispositivi e la possibilità di errori nella firma. Sistemi più elaborati possono introdurre propri errori operativi. Una configurazione che una persona comprende oggi potrebbe risultare inutilizzabile per un futuro esecutore testamentario o per la stessa persona dopo la perdita di un dispositivo. L'obiettivo rilevante è un processo comprensibile e collaudato, non la massima complessità.
Reti, indirizzi e registrazioni
Il simbolo di un token non basta a identificare un percorso di trasferimento. Nomi simili possono esistere su più reti e i servizi riceventi possono supportare solo versioni specifiche. Alcune destinazioni richiedono un memo o un tag aggiuntivo. Un indirizzo apparentemente valido non prova che appartenga al destinatario previsto. Malware degli appunti e tecniche di avvelenamento degli indirizzi sfruttano controlli visivi superficiali.
Una checklist didattica per i trasferimenti separa asset previsto, rete, destinazione, campi aggiuntivi di instradamento, commissione e requisito di conferma. Un piccolo trasferimento di prova può rivelare alcuni errori, ma non garantisce che una transazione successiva sia sicura o che un indirizzo non sia stato cambiato. Conserva identificativi delle transazioni e registrazioni dei costi per la riconciliazione. Gli obblighi fiscali e dichiarativi variano per luogo, e spostare asset tra conti non va confuso con il calcolo delle plusvalenze imponibili senza indicazioni locali.
Un’autorizzazione può restare attiva dopo l’operazione
Nel modello ERC-20, autorizzare un contratto a spendere token non equivale a trasferirli subito. Il saldo può rimanere uguale mentre cambiano i poteri concessi. Lo standard distingue trasferimenti e autorizzazioni. Guardare soltanto il saldo dopo una firma non basta quindi a capire che cosa sia cambiato.
Un wallet fittizio contiene 700 unità e l’utente vuole scambiarne 35. La richiesta potrebbe limitarsi a quelle 35 oppure consentire un importo molto maggiore. Separa ciò che intendi fare adesso da ciò che rimarrà possibile in seguito. Verifica token, contratto autorizzato e limite, senza considerare il nome conosciuto dell’applicazione una prova dell’identità del destinatario.
Scollegare un sito dal wallet non elimina necessariamente un permesso già registrato sulla blockchain. Revocarlo non annulla trasferimenti precedenti. Esistono inoltre autorizzazioni basate su firme che richiedono controlli specifici. Un inventario di sicurezza deve comprendere i diritti concessi, non soltanto i conti con un saldo.
Provare il recupero senza condividere i segreti
Un piano di recupero deve essere comprensibile anche senza il dispositivo abituale e sotto pressione. Descrive passaggi e responsabilità, ma non riunisce inutilmente istruzioni e dati segreti. Chiavi private e frasi di recupero reali non devono comparire in un quaderno condiviso, in una schermata dimostrativa o in una conversazione con il supporto.
Esamina tre incidenti su carta: telefono perso, account online compromesso e luogo di custodia del backup inaccessibile. Che cosa resta utilizzabile? Due copie nella stessa borsa possono sparire insieme; due copie nello stesso account cloud dipendono dallo stesso accesso. Aumentare il numero di copie non garantisce l’indipendenza dei percorsi di recupero.
Lo scopo non è progettare il sistema più complicato. È trovare le contraddizioni: il piano richiede proprio la risorsa che l’incidente renderebbe indisponibile? Una procedura chiara e verificabile può essere più utile di una struttura sofisticata che nessuno saprebbe usare con sicurezza.