Portafogli auto-custoditi: guida completa, in cosa differiscono dagli exchange, come scegliere, le truffe più comuni

Partiamo da un punto su cui molti si bloccano: quando apri l'app di Binance, al suo interno convivono in realtà due «portafogli» di natura del tutto diversa, e la maggior parte di chi inizia se ne accorge di non averli distinti solo nel momento in cui qualcosa va storto. Uno è il conto che l'exchange custodisce per te, l'altro è il portafoglio auto-custodito di cui parliamo qui. Si somigliano molto, stanno nella stessa app, ma sul «chi tiene la chiave» sono lontanissimi: confonderli, nei casi lievi, ti blocca un'operazione; nei casi gravi, ti svuota il portafoglio senza che tu possa chiamare l'assistenza. Questo articolo fa tutto il giro del portafoglio auto-custodito: cos'è, in cosa differisce dagli exchange, come sceglierlo, a cosa stare attenti nella configurazione e quali truffe sono le più comuni. Alla fine capirai più o meno se in questa fase ti serve davvero.

Cos'è esattamente un portafoglio auto-custodito

Il portafoglio auto-custodito, in inglese si scrive spesso self-custody wallet. Il nome può sembrare astruso, ma il cuore sta in una frase sola: la chiave di queste attività resta dall'inizio alla fine solo nelle tue mani, nessuna azienda o piattaforma la custodisce per te.

Questa «chiave», a livello tecnico, si chiama chiave privata, e la sua versione leggibile da un essere umano è la frase di recupero di cui senti tanto parlare: di solito 12 o 24 parole in inglese in sequenza. Chi possiede questa sequenza può muovere tutte le attività del portafoglio. Non c'è account con password, non c'è assistenza, non c'è un «password dimenticata» da cliccare: la tua frase di recupero è l'unica e ultima credenziale.

C'è una differenza chiave che vale la pena fissare con un'immagine: quando metti le monete in banca, i soldi entrano davvero nel caveau della banca; ma con un portafoglio auto-custodito è diverso: le tue monete restano dall'inizio alla fine sulla blockchain, e il portafoglio è solo uno strumento che gestisce la chiave per te, firma per te e comunica con la blockchain per te. In altre parole, il portafoglio in sé non «contiene» le tue monete: ciò che tiene è il permesso di muovere quelle monete. Una volta capito questo livello, tante cose diventano chiare di conseguenza — per esempio perché, cambiando telefono, basta la frase di recupero per ripristinare l'intero portafoglio: perché le attività non sono affatto in quel telefono, sono sempre state on-chain, in attesa che la chiave giusta venga a reclamarle.

Per una spiegazione più neutrale e tecnica, puoi consultare la guida ai portafogli di ethereum.org, che spiega molto bene come «il portafoglio non sia il posto dove si tengono i soldi, ma lo strumento che gestisce le chiavi».

In cosa differisce dagli exchange e dai portafogli in custodia

Il modo più rapido per capire il portafoglio auto-custodito è metterlo accanto al conto sull'exchange, che conosci meglio. La differenza ruota in realtà attorno a una sola domanda: chi tiene la chiave.

• Conto sull'exchange (custodia di terzi): la chiave è nelle mani della piattaforma. Il saldo che vedi è una cifra che la piattaforma registra per te nel suo sistema, e le attività sottostanti le custodisce la piattaforma. Accedi con account e password; se va storto c'è l'assistenza, puoi fare reclamo, reimpostare la password.
• Portafoglio auto-custodito: la chiave è nelle tue mani: la password di recupero e il backup (o la frase di recupero, se il portafoglio è importato) li custodisci tu. Nessuno la custodisce per te e, se va storto, non c'è assistenza che ti salvi. Libertà, ma responsabilità tutta tua.

Alcuni si confondono sentendo il termine «portafoglio in custodia». In breve, il conto sull'exchange è un tipo di portafoglio in custodia: tutto ciò in cui la chiave la tiene un altro è custodia. Sul mercato ci sono anche servizi di custodia indipendenti, e la sostanza è la stessa: comodi, con una rete di sicurezza, ma devi fidarti di quell'istituzione. Una tabella che mette i due estremi a confronto è la cosa più chiara:

Condensandolo in un'immagine si capisce subito: la custodia è come tenere i soldi in banca, comoda, con una rete di sicurezza, ma devi fidarti dell'istituzione; l'auto-custodia è come chiudere i contanti nella tua cassaforte, libera, senza dover chiedere a nessuno, ma se perdi la chiave nessuno ti risarcisce. Nessuna delle due è «meglio»: dipende da cosa devi fare. Su questo confine abbiamo scritto un articolo dedicato più in dettaglio; se vuoi rileggerlo, vedi Wallet Web3 di Binance vs. conto sull'exchange.

Aggiungo una differenza che chi inizia sottovaluta più facilmente: la reversibilità. Se sbagli un'operazione sul conto sull'exchange, la piattaforma ha almeno una registrazione e un'assistenza che può intervenire; ma in un portafoglio auto-custodito, nel momento in cui trasferisci le monete fuori, quella transazione on-chain di solito non si può annullare: indirizzo sbagliato, rete sbagliata, non si recupera. Questa caratteristica del «una volta premuto, non si torna indietro» è ciò a cui ci si deve abituare di più con l'auto-custodia, ed è il motivo per cui nella fase iniziale insistiamo sempre su «prima poco, prima conferma, poi aumenta».

Cosa sono hot wallet e cold wallet, come distinguerli

Entrato nella grande categoria dei portafogli auto-custoditi, incontrerai senz'altro due termini: hot wallet e cold wallet. Non farti spaventare dai nomi, la distinzione è semplicissima: si guarda se sono o no connessi a internet.

• Hot wallet: il portafoglio installato sul telefono o nel browser, sempre connesso a internet, per esempio le varie versioni app o le estensioni del browser. Il vantaggio è la comodità: ogni volta che devi firmare o trasferire è subito disponibile; lo svantaggio è che, essendo connesso, la superficie d'attacco teorica è più ampia, e trojan e siti di phishing puntano proprio a lui.
• Cold wallet: tiene la chiave privata in un dispositivo non connesso a internet, il caso tipico è il portafoglio hardware (un oggettino simile a una chiavetta USB). Lo colleghi al computer o al telefono solo quando devi firmare per confermare, e la chiave privata in sé non lascia mai quel dispositivo. Il vantaggio è una sicurezza molto più alta, lo svantaggio è una spesa in più per il dispositivo e un uso un po' più macchinoso.

Chi inizia chiede spesso: «Allora dovrei comprare subito un cold wallet?» La mia risposta di solito è che non c'è fretta. Il cold wallet è pensato per chi «ha già attività on-chain di un certo importo da tenere a lungo termine». Nella fase in cui sei appena entrato, con importi non grandi e ancora in apprendimento, conviene prima far girare bene il flusso con un hot wallet serio e, quando avrai davvero accumulato una somma che non ti fa dormire, valutare di aggiungere un portafoglio hardware come cassaforte. Questo ordine è più ragionevole per la maggior parte delle persone.

Il funzionamento dei portafogli hardware lo spiegano meglio di me le documentazioni ufficiali dei vari produttori; se vuoi approfondire puoi consultare il centro didattico ufficiale di Ledger, che spiega in modo completo «perché tenere la chiave privata fuori dal dispositivo sia più sicuro». Quanto agli hot wallet, il riferimento più usato per capire il concetto è la documentazione ufficiale di supporto di MetaMask: per chi inizia, vedere come descrive «creare un portafoglio, fare il backup della frase di recupero» è molto utile.

Come dovrebbe scegliere chi inizia

Per scegliere un portafoglio auto-custodito, ti consiglio di non infilarti subito nel confronto «quale marchio è il migliore», ma di rispondere prima ad alcune domande più fondamentali. L'ordine in cui selezionare è più o meno questo:

1. È davvero auto-custodito: la frase di recupero deve essere nelle tue mani. Se un'app si proclama «portafoglio» ma non ti fa vedere la frase di recupero, o te la «gestisce» lei, allora in sostanza è più vicina a un servizio di custodia: sbagliare categoria significa perdere il senso dell'auto-custodia.
2. Supporta le reti che vuoi usare: su quali reti vorrai poi operare (Ethereum, BNB Chain e simili) determina quali reti il portafoglio deve supportare. Il supporto multi-rete è un punto a favore per chi inizia, evita di doverne cambiare in continuazione.
3. Storico di sicurezza e trasparenza: scegli quelli usati da molti, in giro da un po', e trasparenti quando c'è un problema. I portafogli appena spuntati, di provenienza incerta, sono molto più rischiosi.
4. Facilità d'uso: l'interfaccia si capisce, supporta o no l'italiano, gli avvisi su trasferimenti e firme sono chiari o no. Per chi inizia, un portafoglio che «spiega bene i rischi» è molto più sicuro di uno pieno di funzioni in cui ogni pulsante è incomprensibile.

Usa questi quattro punti come filtro, invece di guardare quale marchio è più in voga, e sceglierai con più sicurezza. Per quali situazioni siano adatti i vari tipi di portafoglio abbiamo preparato un confronto a parte; se vuoi leggerlo in parallelo, vedi Come scegliere un portafoglio cripto? Un confronto per chi inizia.

Per chi inizia c'è anche una scorciatoia molto concreta: se devi comunque usare un exchange per comprare monete, puoi iniziare direttamente con il Wallet Web3 integrato nell'exchange. Ti rende semplici «i trasferimenti con il conto sull'exchange», l'interfaccia è in italiano e le occasioni di cadere in trappola sono un po' meno. Per questo portafoglio integrato di Binance, i passaggi dall'apertura al backup ai trasferimenti sono spiegati in Guida completa al Wallet Web3 di Binance: chi inizia può seguirlo passo passo.

A quali dettagli stare attenti in installazione e configurazione

Nell'installare un portafoglio, ciò che davvero crea problemi non è il gesto di «installare», ma alcuni dettagli del processo che è facile sottovalutare. Elenco i più cruciali:

• Scarica solo da fonti ufficiali: affidati al sito ufficiale o ai link degli store ufficiali, non cliccare su link di download di provenienza incerta. Le app di portafogli false sono un metodo di truffa reale, quasi identiche all'originale, e una volta installate consegnano la tua frase di recupero direttamente all'altra parte. Prima di scaricare, controlla che il dominio sia corretto.
• Nei portafogli che usano una frase di recupero (quelli importati o convertiti), trascrivi la frase di recupero sempre a mano tua: copiala con carta e penna e ricontrollala; nel portafoglio senza frase di recupero creato dentro l'app di Binance, invece, quello che devi curare è la password di recupero e il backup. Niente screenshot, non salvarla nella galleria, non scriverla nelle note o sul cloud. Se questa sequenza di parole finisce in un posto connesso a internet, è come mettere online la chiave della cassaforte.
• Finito di copiare, prepàrati mentalmente a un «test di ripristino»: devi avere chiaro che in futuro, cambiando telefono, sarà questa sequenza a ripristinare tutto. Quindi, copiando, ordine e ortografia devono essere corretti: una parola mancante o l'ordine sbagliato e poi non ripristini più.
• Conserva separatamente: meglio tenere il foglietto della frase di recupero in un posto che di solito non perdi e che gli altri non frugano facilmente; potendo, fanne due copie e tienile separate, a prova di fuoco, acqua e di una tua disattenzione.
• Prova prima con piccoli importi: una volta configurato il portafoglio, trasferisci prima una piccola somma dentro e poi una piccola somma fuori, conferma che tutto il percorso funzioni e che l'indirizzo non sia sbagliato, e poi aumenta l'importo. Questo passaggio blocca buona parte dei «disastri alla prima volta».

Perché la frase di recupero è così importante, come trascriverla esattamente e dove conservarla è il compito centrale dell'auto-custodia e merita un articolo a parte: Cos'è una frase di recupero? Come trascriverla, dove tenerla e perché non fotografarla mai.

Le truffe più comuni e come evitarle

Le truffe sui portafogli auto-custoditi seguono in realtà schemi molto concentrati: riconoscerle ti permette di pararne la gran parte. Qui ti do prima un quadro generale; come funziona ed evita ciascuna la spieghiamo più in dettaglio in Le 5 truffe più comuni sui portafogli auto-custoditi.

• Falso supporto, finto sito ufficiale: un portafoglio auto-custodito non ha proprio un «servizio clienti» che ti scrive in privato di sua iniziativa. Chiunque ti dica di «fornire la frase di recupero all'assistenza» è una truffa al cento per cento. Anche i siti ufficiali vengono spesso contraffatti, con indirizzi che cambiano solo di una o due lettere: prima di entrarci dai risultati di ricerca, guarda bene il dominio.
• False autorizzazioni (approve / firma malevoli): oggi è la più velenosa. Ti connetti a un sito di phishing, ti chiede di «firmare» o «autorizzare» per riscattare un premio o usare una funzione, e appena firmi consegni all'altra parte il permesso di muovere una certa moneta, che ti viene portata via in silenzio. Non firmare mai una firma che non capisci; per i dettagli vedi Come evitare firme malevole e truffe di autorizzazione.
• Trojan che sostituisce l'indirizzo negli appunti: esiste un malware che, mentre copi e incolli un indirizzo del portafoglio, sostituisce di nascosto quello che incolli con l'indirizzo del truffatore. Quindi, dopo aver incollato un indirizzo, ricontrolla sempre che i primi e gli ultimi caratteri coincidano.
• Phishing con falsi airdrop: nel portafoglio compare all'improvviso una moneta mai vista che ti invita a «riscattare» o «scambiare» su un certo sito; ci clicchi ed è phishing o autorizzazione malevola. Vedendo una moneta sconosciuta, il modo più sicuro è non toccarla e non cliccare. Come distinguere il vero dal falso lo trovi in Come distinguere gli airdrop veri da quelli falsi.
• App di portafoglio false: come detto prima, un'app di portafoglio contraffatta ruba direttamente la frase di recupero che generi alla creazione. Scaricare solo da fonti ufficiali è l'unica difesa affidabile.

Qui un piccolo strumento è molto utile: prima di trasferire, incolla l'indirizzo dell'altra parte nella verifica indirizzo per guardarne il formato e confrontarlo, e prendi l'abitudine di «ricontrollare sempre dopo aver incollato»: questo para i due disastri più comuni, il trojan degli appunti e l'incollaggio sbagliato per distrazione. Come si legge un indirizzo e perché confrontarlo carattere per carattere lo puoi approfondire in Cos'è un indirizzo del portafoglio? Le cose da controllare prima di incollarlo.

Un percorso pragmatico per chi inizia

Dopo tutto questo, chiudiamo con un percorso che puoi seguire direttamente, senza giri di parole:

1. Prima mettiti saldo sull'exchange: la maggior parte del capitale resta sul conto sull'exchange, con la verifica in due passaggi e la whitelist dei prelievi impostate. Questo livello di basi è quello che rende di più ed è il meno soggetto a problemi.
2. Apri un portafoglio auto-custodito solo se vuoi davvero giocare on-chain: se vuoi ricevere airdrop o usare le dApp, apri un portafoglio e trasferisci dentro solo «il piccolo importo che usi in quel momento».
3. Trascrivi la frase di recupero con carta e penna, conservala separatamente: è l'unico punto dell'auto-custodia su cui non si può scendere a compromessi.
4. Prova prima con piccoli importi, poi aumenta: ogni volta che cambi rete o usi una nuova piattaforma, fai prima girare il percorso con poco.
5. Non firmare mai firme che non capisci, e chi chiede la frase di recupero è sempre una truffa: tieni a mente queste due frasi e la maggior parte dei disastri non ti riguarderà.

Il portafoglio auto-custodito non è «meglio prima lo usi», né è obbligatorio. È uno strumento che compare in base alle tue esigenze: entra in gioco solo quando vuoi davvero tenere le attività nelle tue mani e attivarti on-chain. Per chi vuole solo comprare un po' di monete principali e tenerle, il conto sull'exchange basta e avanza, e questo portafoglio può aspettare di servire davvero. Per capire il contesto neutrale dell'intero concetto di auto-custodia, oltre a ethereum.org citato sopra, puoi vedere le pagine tematiche di Binance Academy, oppure la definizione di portafoglio digitale di Investopedia come introduzione. Per controllare indirizzi e transazioni on-chain, puoi usare i block explorer come Etherscan o BscScan e verificare da solo.

Se pensi di usare il Wallet Web3 integrato di Binance come primo portafoglio auto-custodito, aprirlo non è difficile; a richiedere attenzione sono il backup e le abitudini di sicurezza. I passaggi sono nella Guida completa al Wallet Web3 di Binance. Per il backup tieni presente la differenza: per un portafoglio creato dentro l'app contano la password di recupero e il backup su cloud o con QR; solo un portafoglio importato con frase di recupero va trascritto a mano, con carta e penna, senza screenshot.