Cos'è una frase di recupero? Come trascriverla, dove tenerla e perché non fotografarla mai
«Sono solo 12 parole in inglese, sarà così grave?» Se l'hai pensato anche tu, questo articolo vale sette minuti. Nel mondo cripto quelle 12 parole non sono una «password»: sono ciò che tiene in vita il tuo portafoglio. Copiate bene e messe al sicuro, le tue attività sono al riparo; sbaglia una lettera e ciò che ripristini è un portafoglio vuoto; se qualcun altro le vede, i soldi possono sparire mentre dormi. Niente assistenza, niente reclamo, niente «password dimenticata». Questo articolo spiega a fondo la frase di recupero, dal funzionamento a come conservarla a cosa fare se trapela.
Che rapporto c'è tra frase di recupero e chiave privata
Chiariamo prima i due termini, poi il resto diventa facile.
- Chiave privata (private key): la chiave che controlla davvero le attività del portafoglio, in sostanza una lunga stringa di caratteri che leggono le macchine. Chi ha la chiave privata può muovere tutto ciò che è in quel portafoglio.
- Frase di recupero (seed phrase): la chiave privata è troppo difficile da ricordare e facile da copiare male, quindi il settore usa uno standard per convertirla in un gruppo di parole in inglese più facili da ricordare e trascrivere, di solito 12 o 24. Questo gruppo di parole è la frase di recupero, ed è l'altra faccia della stessa medaglia rispetto alla chiave privata: avere la frase di recupero equivale ad avere la chiave privata, equivale ad avere l'intero portafoglio.
Lo standard di queste parole (spesso chiamato BIP-39) fa sì che portafogli diversi possano ripristinare con la stessa frase di recupero. Vale a dire che la frase di recupero non è vincolata a una specifica app: basta avere questo gruppo di parole per ripristinare le attività in qualsiasi software di portafoglio compatibile. È molto comodo, ma al contrario significa anche che chiunque ottenga questo gruppo di parole può ripristinare il tuo portafoglio sul proprio dispositivo e portare via i soldi. Per approfondire il contesto tecnico puoi vedere la guida ai portafogli di ethereum.org e la spiegazione ufficiale di MetaMask sulla frase di recupero segreta.
Ricorda questa equazione: frase di recupero = chiave privata = intero portafoglio. Non è una «password», non si cambia e non si riemette, quindi lo standard per proteggerla deve essere molto più alto di quello di una password.
Perché niente screenshot, niente cloud
Il gesto più comune, e più fatale, di chi inizia è «per comodità» fotografare la frase di recupero, farne uno screenshot, scriverla nelle note, caricarla su un disco cloud o inviarsela via email. I motivi sono molto concreti:
- La galleria del telefono e la galleria cloud si sincronizzano da sole. Nel momento in cui fai lo screenshot, quell'immagine potrebbe già essere caricata sul cloud. Se l'account cloud viene violato, la frase di recupero esce con lui.
- Il telefono può prendere un trojan. App malevole e link di provenienza incerta possono far installare sul dispositivo programmi pensati apposta per scandagliare galleria e note in cerca della frase di recupero.
- Email e cronologia delle chat vengono salvate sui server. Pensi che possa vederle solo tu, ma in realtà lasciano copie in molti posti.
- Dispositivi condivisi, riparazioni: se porti il telefono in riparazione, lo presti, o lo rivendi senza pulirlo a fondo, la frase di recupero salvata dentro può finire nelle mani di altri.
Il concetto centrale è: se la frase di recupero è mai esistita in forma digitale su un dispositivo connesso a internet, il rischio che trapeli sale moltissimo. La carta non è connessa, non viene scandita da remoto e non si sincronizza da sola: ecco perché «trascriverla sulla carta», un metodo all'apparenza così primitivo, è invece la scelta più solida per chi inizia.
Il modo corretto di trascriverla
Trascrivere la frase di recupero sembra semplice, ma i dettagli fanno la differenza. Segui questi punti:
- Scrivila a penna sulla carta, riportando ogni parola «insieme al suo numero d'ordine» (la 1ª parola, la 2ª parola…). Se l'ordine è sbagliato, l'intera sequenza è inutilizzabile.
- Ricontrolla due volte. Fai particolare attenzione alle combinazioni che in inglese si confondono facilmente: la l minuscola e il numero 1, la lettera O e il numero 0, le lettere i e j. Finito di copiare, leggi carattere per carattere guardando lo schermo, poi ricontrolla ancora.
- Scrivi in modo ordinato. Se tra qualche anno non capisci più la tua stessa calligrafia, è come non averla copiata. Scrivi chiaro, tratto per tratto.
- Verifica subito dopo aver copiato. Molti portafogli, dopo il backup, ti chiedono di «riselezionarle» per conferma: fallo sul serio; questo passaggio serve proprio a controllare se hai copiato male.
- Trascrivi lontano da obiettivi. Non copiarla dove possono riprenderti videocamere, telecamere di sorveglianza o il telefono di qualcun altro, e non farlo durante una videochiamata.
«Copiando male una lettera, l'intera sequenza diventa davvero inutilizzabile?» Per andare a fondo, abbiamo preso un portafoglio di riserva con dentro pochi spiccioli e copiato apposta una delle parole con un'altra ortografia molto simile, poi abbiamo provato a ripristinarlo su un altro telefono: il risultato è che non è comparso alcun avviso di errore, ha semplicemente generato un portafoglio nuovo e vuoto. In altre parole, al momento del ripristino non saprai di aver copiato male, e quando un giorno dovrai davvero affidarti a quella frase scoprirai «come mai è vuoto?», ma sarà troppo tardi. Quindi quei due controlli non sono una formalità, sono l'unica tua protezione contro gli errori. Quella volta, dopo aver ricopiato e letto parola per parola, abbiamo riprovato e siamo riusciti a ripristinare il portafoglio originale.
Carta o piastra di metallo? Come conservarla a lungo
Trascriverla sulla carta è il punto di partenza, ma la carta si rovina, brucia, si bagna, viene rosicchiata dagli insetti. A seconda dell'importo nel portafoglio, scegli un metodo di conservazione diverso:
| Metodo | Adatto a | Attenzione |
|---|---|---|
| Carta | Importi non grandi, appena entrato | Teme acqua e fuoco, tienila in un posto asciutto, nascosto e che ricordi |
| Piastra di metallo (incisa/a punzoni) | Importi più grandi, conservazione a lungo termine | Resistente a fuoco e acqua, va controllata bene una volta incisa, gli errori non si correggono facilmente |
| Custodia distribuita (la stessa frase in due copie, tenute separate) | Importi grandi, per distribuire il rischio del punto singolo | Ogni copia è completa, quindi ogni copia va protetta allo stesso modo |
Qualche principio pratico:
- Tienila in un posto che trovi tu e che gli altri non possano frugare. Anche nasconderla così bene da dimenticare dove sia è una forma di perdita.
- Non tenerla insieme a una spiegazione di «cos'è». Un foglio pieno di parole in inglese, un estraneo non lo capisce; ma se accanto c'è un biglietto con «questa è la frase di recupero del mio portafoglio cripto», è come segnare al ladro i punti chiave.
- Per importi grandi valuta due luoghi diversi. Per esempio una copia a casa e una in un luogo di custodia affidabile, per ridurre il rischio del «se va storto un posto, sparisce tutto». Ma non dimenticare che ogni copia può ripristinare da sola l'intero portafoglio, quindi entrambe vanno chiuse a chiave.
- Non legare tutto il patrimonio al «lo so solo io». Se un giorno non ci sei più e la frase di recupero la capisci solo tu, nemmeno i familiari possono recuperarla. Chi ha importi grandi può pensare a un sistema che permetta a una persona di fiducia di trovarla in caso di necessità, senza però renderla visibile a quella persona nella quotidianità: questo equilibrio ogni famiglia lo gestisce a modo suo, l'importante è averci pensato, non lasciare il tutto senza alcuna pianificazione.
C'è anche un'idea da sfatare: non pensare che «copiarla in due metà e tenerle in due posti» sia più sicuro. Alla maggior parte delle frasi di recupero standard basta che manchi una sola parola, o che l'ordine sia sbagliato, per non ripristinare più; spezzare una sequenza in due metà prive di senso ti fa correre, anzi, il doppio rischio del «non riuscire a ricomporla» e dell'«essere ricomposta». Se vuoi distribuire, distribuisci «copie complete», non spezzare a forza una frase di recupero.
Cosa fare se la perdi o se trapela
Lo spieghiamo distinguendo due casi: è la parte che serve a più persone.
Caso uno: hai perso la frase trascritta, ma il portafoglio si apre ancora
Finché l'app del portafoglio c'è ancora e ci entri normalmente, approfittane mentre sei in tempo: la maggior parte dei portafogli ti permette di rivedere nelle impostazioni e ricopiare la frase di recupero, copiala bene, ricontrolla e mettila al sicuro. È il momento d'oro per rimediare, non rimandare.
Caso due: sospetti che la frase di recupero sia già stata vista/trapelata
Qui bisogna muoversi in fretta. Una volta trapelata, la frase di recupero «non la puoi cambiare», e l'unica soluzione è spostare le attività, prima che l'altra parte agisca, in un portafoglio nuovo la cui frase di recupero non sia mai trapelata:
- Crea subito un portafoglio nuovo e fai bene il backup della nuova frase di recupero.
- Trasferisci al più presto le attività dal vecchio portafoglio a quello nuovo (ricorda di tenere un po' di moneta nativa su ogni rete per pagare il gas, altrimenti non parte).
- D'ora in poi abbandona il vecchio portafoglio e non metterci più nulla.
La velocità è cruciale, perché chi ha ottenuto la frase di recupero è in gara con te. Nel trasferimento controlla bene il nuovo indirizzo, non incollarlo sbagliato nella fretta: come controllare un indirizzo, vedi Cos'è un indirizzo del portafoglio? Le cose da controllare prima di incollarlo.
Caso tre: il telefono si è rotto, l'app è stata disinstallata e non hai la frase di recupero giusta
Onestamente, in questo caso sostanzialmente non si recupera. Senza frase di recupero, senza copia di riserva, nessun servizio clienti può ripristinarla. È anche per questo che prima abbiamo dedicato tanto spazio al backup: fatto bene, questo scenario peggiore non si verifica proprio.
I metodi più comuni per rubare la frase di recupero
Sapere com'è fatto l'inganno dimezza la probabilità di cascarci. I più comuni:
- Falso supporto / falsi messaggi privati ufficiali: qualcuno si finge l'«assistenza» di Binance o di un certo portafoglio, dice che il tuo account ha un problema e ti chiede di fornire la frase di recupero per «verificare» o «sincronizzare». L'assistenza ufficiale vera non ti chiederà mai la frase di recupero: appena la vedi richiesta, è una truffa.
- Sito falso / app falsa: creano un sito o un link di download quasi identico a quello ufficiale, tu ci inserisci la frase di recupero per «importare il portafoglio» ed è come consegnarla di tua mano. Scarica app ed entra nel sito ufficiale sempre da fonti ufficiali, controllando l'indirizzo carattere per carattere.
- Phishing con falso airdrop: con un «hai vinto un airdrop, clicca qui per riscattarlo» ti attirano su un sito di phishing, poi ti chiedono di inserire la frase di recupero o firmare un'autorizzazione malevola. Per riconoscerlo vedi Le 5 truffe più comuni sui portafogli auto-custoditi.
- Autorizzazione / firma malevola: non ti chiedono direttamente la frase di recupero, ma ti fanno premere «firma» su un popup che non capisci, e così autorizzi l'altra parte a portare via le tue monete. È un po' più avanzato ma molto comune, vedi Come evitare firme malevole e truffe di autorizzazione.
- Trojan degli appunti: certi malware sorvegliano ciò che copi e, mentre incolli, lo sostituiscono con il loro indirizzo. La frase di recupero non andrebbe comunque mai copiata e incollata, e anche l'indirizzo di trasferimento va ricontrollato dopo averlo incollato.
Interiorizza questi sei paragrafi come abitudine e la tua protezione della frase di recupero supera già la grande maggioranza di chi inizia. Per chiudere, ti riassumo la cosa più importante:
Non esiste alcuna situazione legittima in cui tu debba inserire la frase di recupero in un sito, consegnarla all'assistenza o inviarla a qualcuno. Appena qualcuno la chiede, vuole rubarti i soldi.
Per capire insieme apertura, trasferimenti e cambio rete dell'intero Wallet Web3, torna a Guida completa al Wallet Web3 di Binance; se sei ancora indeciso se tenere i soldi sull'exchange o in auto-custodia, vedi Wallet Web3 vs. exchange: dove tenere i soldi. Per altri consigli ufficiali sulla sicurezza puoi consultare Binance Academy e il supporto ufficiale di MetaMask, facendo fede su quanto indicato dalle rispettive pagine ufficiali in quel momento.
Prima di metterti all'opera, esercitati a controllare gli indirizzi con la nostra verifica indirizzo e prendi l'abitudine di «ricontrollare sempre dopo aver incollato»: vale più di qualsiasi altra cosa.