Mettere in sicurezza un portafoglio digitale

Un portafoglio non «contiene» nulla. Custodisce le chiavi con cui si può ordinare un’operazione, e l’iscrizione di quell’operazione in un registro pubblico è definitiva. È proprio qui la differenza rispetto a un conto bancario: non esiste un soggetto che possa annullare l’operazione o ripristinare la situazione per decisione. La sicurezza si gioca quindi interamente prima — su chi può far firmare una transazione a Suo nome.

Chi ha le chiavi ha il denaro

Due situazioni molto diverse vengono spesso confuse. Su un exchange le chiavi sono dell’operatore: Lei ha un credito verso di lui, e il Suo rischio è la sua solidità, la sua gestione e la sua eventuale scomparsa. In un portafoglio proprio le chiavi sono Sue: nessuno può bloccare il Suo saldo — e nessuno può recuperarlo al posto Suo. Nessuna delle due situazioni è «quella giusta»; conta sapere in quale ci si trova, perché le precauzioni cambiano.

Online od offline: dove stanno davvero i rischi

Un portafoglio connesso — un’applicazione sul telefono, un’estensione nel browser — è comodo e condivide la superficie di attacco del dispositivo su cui gira. Un portafoglio hardware tiene la chiave fuori dal computer e richiede una conferma fisica, il che rende inefficace gran parte dei programmi malevoli. Non protegge però da ciò che autorizza Lei stesso: se firma un permesso su un sito fraudolento, il dispositivo esegue fedelmente il Suo ordine. La regola ragionevole è separare gli usi: piccole somme nel portafoglio connesso, l’essenziale offline, e mai entrambi nello stesso posto.

La frase di recupero non deve esistere in forma digitale

La frase di recupero non è una password: ricostruisce l’intero portafoglio, su qualsiasi dispositivo, senza ulteriori controlli. Non si può cambiare. Per questo non va mai fotografata, inserita in un gestore di password, spedita in un messaggio, salvata in un servizio online o digitata su un sito che voglia «verificare» o «sincronizzare» il Suo portafoglio — nessuna applicazione seria lo chiede, con nessun pretesto. La scriva offline, la conservi in un luogo sicuro, e se qualcun altro potrebbe averla vista, consideri il portafoglio esposto: sposti il resto in uno nuovo.

Come il denaro esce davvero: phishing e contratti che svuotano

Lo svolgimento più frequente non richiede alcuna intrusione. Un sito imita un servizio noto, salvo una lettera nel dominio, e Le chiede di collegare il portafoglio per riscuotere una distribuzione, correggere un errore o partecipare a una vendita. La firma che Le viene proposta non è un bonifico: è un permesso — spesso illimitato — concesso a un contratto di disporre dei Suoi token. Si concede con un gesto e resta valido anche dopo. Legga che cosa annuncia davvero la finestra di conferma, diffidi delle autorizzazioni senza tetto massimo, e riveda periodicamente i permessi concessi per revocare quelli non più necessari.

Attenzione al momento della conferma

Controlli per intero l’indirizzo del destinatario, non solo i primi e gli ultimi caratteri: alcuni programmi malevoli sostituiscono negli appunti l’indirizzo copiato con uno visivamente simile. A ogni nuovo indirizzo invii prima una piccola somma di prova. Installi le applicazioni solo dalla fonte ufficiale, digitando l’indirizzo invece di seguire un collegamento ricevuto. E tenga presente che la fretta è il fattore principale: quasi tutte le firme di cui ci si pente sono state date sotto la pressione di un’offerta in scadenza.

Quando l’«occasione» è essa stessa la trappola

A volte la tecnica è solo scenografia. Qualcuno conosciuto su una rete sociale offre di accompagnarLa, mostra risultati e invita a versare su una piattaforma di cui fornisce il collegamento. I guadagni compaiono, poi il prelievo incontra una commissione, un’imposta da anticipare, un conto da sbloccare. Qui nessun portafoglio è stato violato: i versamenti sono avvenuti volontariamente, sulla fiducia riposta in un’interfaccia. Per questo le precauzioni tecniche non bastano — la verifica della piattaforma resta la prima protezione.

Se il portafoglio è rimasto esposto

Proceda in ordine: sposti il resto in un portafoglio creato su un dispositivo pulito e con una nuova frase di recupero; revochi i permessi concessi dall’indirizzo coinvolto; cambi la password della posta elettronica e attivi l’autenticazione a due fattori. Annoti poi identificativi delle transazioni, indirizzi coinvolti, date e importi: in un registro pubblico queste informazioni restano consultabili a lungo, e sono la materia tanto di una segnalazione quanto di una denuncia. Non annullano un’operazione, ma rendono leggibile il percorso del denaro — ed è esattamente ciò che un fascicolo deve dimostrare.

Questo articolo ha finalità di informazione generale e non costituisce consulenza legale o finanziaria. Ogni pratica è valutata singolarmente: che cosa sia possibile dipende dai fatti, dai documenti disponibili e dalla legge applicabile.