Custodire le cripto in sicurezza: le quattro regole più importanti per chi inizia
Dopo l'attacco a Binance e un incidente di sicurezza presso Bitonic, per chi inizia la domanda è soprattutto pratica: come si custodiscono le criptovalute in sicurezza? Quattro regole coprono la maggior parte del rischio, a cui si aggiunge un breve elenco di cose che una piattaforma non chiede mai. Un hardware wallet non è il primo passo logico: il 2026 ha mostrato che nemmeno quei dispositivi sono una garanzia.
Nelle ultime settimane la sicurezza delle criptovalute è finita al centro dell'attenzione. Il 29 ottobre 2026 a Binance sono stati sottratti circa 6,3 miliardi di dollari da hot wallet, e all'inizio dello stesso mese l'olandese Bitonic ha segnalato un incidente di sicurezza. In entrambi i casi si trattava della sicurezza di una piattaforma, non di errori degli utenti. I privati, però, perdono le proprie cripto molto più spesso per truffe e phishing che per un attacco a un exchange: per il 2024 l'FBI statunitense ha contato oltre 6,5 miliardi di dollari di danni segnalati per truffe di investimento in criptovalute. È quindi un buon momento per mettere in ordine le basi.
La risposta breve: attiva l'autenticazione a due fattori, non cliccare mai sui link di accesso contenuti nei messaggi, non comunicare i tuoi codici a nessuno e tieni aggiornati telefono e computer. Così chiudi la maggior parte delle vie attraverso cui chi inizia perde criptovalute. Non serve renderlo più complicato.
Le quattro regole più importanti
1. Attiva l'autenticazione a due fattori. Così una password rubata da sola non basta per accedere. Un'app authenticator o una chiave di sicurezza fisica protegge meglio dei codici via SMS, perché un numero di telefono può essere sottratto. Usa inoltre una password che non impieghi da nessun'altra parte.
2. Non cliccare mai su un link di accesso ricevuto in un messaggio. Il phishing è la via più usata. Se ricevi una e-mail, un SMS o un messaggio privato sul tuo conto, non rispondere al messaggio in sé: raggiungi la piattaforma dal tuo segnalibro o dall'app e verifica lì se c'è davvero qualcosa.
3. Non comunicare a nessuno codici e frase di recupero. Nessun dipendente di una piattaforma, di un wallet o di un team di sicurezza ha bisogno della tua password, del tuo codice a due fattori o della tua frase di recupero. Le banche insistono sulla stessa regola, e qui vale senza eccezioni. Se hai un wallet personale, annota la frase offline su carta e non in un'app per appunti, in una e-mail, in uno screenshot o nel cloud.
4. Proteggi telefono e computer. Tieni aggiornati il sistema operativo e le app e proteggi i dispositivi con PIN, password o dati biometrici. Installa le app solo dallo store ufficiale o dal sito del produttore, mai tramite un link ricevuto in un messaggio.
Sei cose che una piattaforma non chiede mai
I truffatori si presentano come dipendenti di una piattaforma, di un wallet o di un'autorità di vigilanza. Queste sei richieste non arrivano mai da una piattaforma autentica: 1. comunicare la frase di recupero o la chiave privata. 2. comunicare la password o il codice a due fattori. 3. inviare cripto o denaro per «verificare» o «sbloccare» il conto. 4. accedere tramite un link contenuto in una e-mail, un SMS o un messaggio privato. 5. installare un'app tramite un link o un codice QR ricevuto. 6. lasciare che qualcuno prenda il controllo del computer da remoto. Diffida inoltre dei rendimenti garantiti e della pressione sui tempi: la fretta è la leva più usata nelle truffe.
Serve un hardware wallet?
Molte guide per principianti consigliano di spostare la maggior parte delle cripto su un hardware wallet. Per chi inizia non è un consiglio sensato. Un dispositivo del genere sposta tutta la responsabilità su di te: se perdi la frase di recupero, le cripto sono perse e nessun servizio clienti può farci qualcosa. E il 2026 ha mostrato che nemmeno i dispositivi stessi sono una garanzia. Presso un rivenditore alcuni dispositivi Ledger contenevano un impianto fisico che leggeva la frase di recupero durante l'installazione e la trasmetteva all'esterno: secondo le analisi on-chain si parla di circa 93 milioni di dollari. Nel caso di Coldcard un errore nel firmware ha reso le frasi di recupero troppo prevedibili, con un furto stimato in oltre 1.800 bitcoin. Inoltre dati dei clienti di Ledger, Trezor e SafePal sono finiti all'esterno tramite fornitori terzi, cosa che agevola il phishing mirato. Nella maggior parte dei casi la crittografia del dispositivo non era stata violata: si trattava della catena di fornitura, di un errore nel firmware o di dati presso terzi. Questo non rende gli hardware wallet inutili, ma li rende una scelta che richiede competenza e attenzione.
Per chi inizia, una piattaforma regolamentata con una password robusta e l'autenticazione a due fattori è più semplice, e gli errori che si commettono lì sono più rimediabili: una password si può cambiare, una frase di recupero no. In base a MiCAR i fornitori devono tenere i fondi dei clienti separati dal patrimonio aziendale e sono sottoposti alla vigilanza di un'autorità nazionale. Non è una garanzia contro un attacco o un malfunzionamento, ma esiste un interlocutore. Il limite più importante resta quindi lo stesso: non investire più di quanto puoi permetterti di perdere. Se più avanti vuoi passare alla custodia diretta, prenditi il tempo necessario e acquista il dispositivo direttamente dal produttore.
Che cosa fare se qualcosa va storto?
Sospetti che qualcuno abbia accesso al tuo conto? Raggiungi la piattaforma dal tuo segnalibro, cambia la password e riconfigura l'autenticazione a due fattori. Segnalalo poi al servizio clienti attraverso i canali ufficiali e controlla la pagina di stato della piattaforma. Se hai condiviso la frase di recupero o l'hai inserita su un sito sospetto, non è più affidabile: sposta i fondi in un nuovo wallet con una nuova frase, nella misura in cui è ancora possibile. Presenta inoltre denuncia: in Italia le truffe online si denunciano alla Polizia Postale, anche tramite il portale del Commissariato di PS online, e gli operatori senza autorizzazione si segnalano alla Consob. Conserva screenshot, link e dati delle transazioni. E attenzione: chi promette a pagamento di recuperare le cripto rubate rappresenta spesso una seconda truffa.
Vuoi sapere quali piattaforme hanno un'autorizzazione MiCAR e a quali condizioni operano? È indicato nella nostra panoramica delle piattaforme crypto. Come è andata nel caso di Binance è ricostruito nella nostra panoramica sull'attacco a Binance.
Questo articolo ha finalità informative e non costituisce consulenza finanziaria.