Guida · Rischi dei wallet · · di Stefan Tsezarov · aggiornata il
Le dodici parole
Il messaggio più costoso del mondo crypto, smontato riga per riga.
Il messaggio arriva educato.
Il logo corrisponde.
Il link apre una pagina identica al wallet che usi già: stessi colori, stesso carattere, stessa discreta illustrazione in un angolo.
Ti chiede, con calma, di confermare la tua frase di recupero per poter ripristinare l’accesso.
Non esiste alcuna situazione in cui questa richiesta sia legittima.
Non il supporto. Non una migrazione. Non un airdrop. Non un controllo di sicurezza. Non un rimborso. Non una convalida.
Mai una volta. Mai. Da parte di nessuno.
In realtà è tutto l’articolo. Il resto spiega solo perché la richiesta funziona ancora così spesso.
1. Cosa sono davvero le dodici parole
La maggior parte delle persone tratta la frase di recupero come una password. Questo singolo errore di categoria è all’origine di quasi tutti i disastri che seguono.
Una password protegge un account che qualcun altro già gestisce. Perdi la password e la reimposti. L’account sopravvive.
Una frase di recupero è diversa.
È il numero principale da cui vengono generate tutte le tue chiavi private. Il tuo wallet prende quelle dodici (o ventiquattro) parole, le converte in un numero intero enorme e ne ricava ogni indirizzo che controllerai mai su ogni chain supportata dal wallet, comprese quelle che non hai ancora usato.
La frase non è la chiave di una porta.
È il materiale con cui sono fatte le porte stesse.
2. Perché nessuno di legittimo la chiede mai
Il supporto non può usarla. Un fornitore di wallet non detiene mai i tuoi fondi e quindi non può spostarli per conto tuo: è il principio stesso. Dare la frase a un operatore dell’assistenza gli darebbe il controllo completo del tuo denaro. Nessuna azienda seria permette questa richiesta.
Una migrazione non può richiederla. Passare a un nuovo contratto o a una nuova versione dell’app avviene sulla chain, oppure reimportando tu stesso il wallet su un dispositivo che controlli.
Un airdrop non può richiederla. Per inviare token basta il tuo indirizzo pubblico, quello che incolli nei moduli. Ricevere non richiede mai di dimostrare che puoi spendere.
Un controllo di sicurezza non può richiederla. La proprietà si dimostra firmando un messaggio; la firma conferma il controllo senza rivelare le chiavi.
Un rimborso non può richiederla, men che meno il rimborso di una truffa precedente.
Tutti questi servizi esistono. Nessuno ha mai avuto bisogno della tua frase di recupero, perché la frase non ti autentica. Ti sostituisce.
Non lo diciamo solo noi. La documentazione di assistenza di MetaMask lo scrive chiaramente: «if anyone asks for your Secret Recovery Phrase, they are trying to scam you» (se qualcuno ti chiede la frase di recupero segreta, sta cercando di truffarti): un produttore di wallet che dice, del proprio team di assistenza, che la richiesta stessa è la prova.
3. Cinque travestimenti, una sola richiesta
Le storie cambiano. L’ultima frase no.
4. Eccone una
Leggilo come lo leggeresti alle undici e mezza di sera, al telefono, dopo che ti hanno detto che c’è un problema con i tuoi soldi.
Questo esempio è rappresentativo di campagne reali documentate da ricercatori di sicurezza e produttori di wallet. La formulazione, l’urgenza, le restrizioni inventate e la richiesta della frase di recupero ricorrono nei messaggi di phishing rivolti agli utenti di MetaMask, Trust Wallet, wallet hardware e «wallet crypto» in generale. Le versioni reali usano altri marchi e domini; la richiesta di fondo non cambia.
Mostrami cosa non va
La richiesta stessa è tutta la risposta. Il resto è secondario. Vale comunque la pena notare con quanta cura è costruita la confezione:
- «Limited mode» e «protective custody» sono stati inventati. I wallet veri non li hanno. Suonano come linguaggio bancario perché è in banca che abbiamo imparato ad aspettarci un linguaggio del genere.
- «Within 24 hours» è il cronometro, messo lì apposta per impedirti di chiedere a qualcun altro.
- L’indirizzo, letto da sinistra a destra, sembra affidabile.
wallet-supportè solo un sottodominio e non ha alcuna autorità. La parte che decide davvero dove arrivi èverify-restore.example.com. Leggi sempre un URL da destra. - L’ortografia è perfetta. La grammatica è corretta. Non resta nulla da scoprire con un’occhiata superficiale.
E una riga più strana di quanto sembri: «confirm ownership» (conferma la proprietà). La tua frase di recupero non conferma la proprietà a nessuno. La trasferisce.
5. Perché il test dell’ortografia ha smesso di funzionare
Per vent’anni ci hanno insegnato a riconoscere le frodi dalle cuciture: inglese stentato, un logo storto, un saluto che comincia con «Gentile cliente».
Quel consiglio aveva senso quando produrre una pagina convincente costava caro.
Ora è gratis. Un testo fluente in qualsiasi lingua si genera in pochi secondi. Copiare l’aspetto esatto di un sito non è mai stato difficile; il design è pubblico per definizione.
Un messaggio dall’aspetto professionale quindi non ti dice nulla sulla sua legittimità. Ti dice solo che qualcuno ci ha passato qualche minuto.
Ciò che non è cambiato, e non può cambiare, è ciò di cui ha bisogno l’attaccante. Gli servono le parole. Qualunque altra cosa inventi, alla fine deve chiederle.
Smetti di dare voti alla presentazione. Leggi la richiesta.
6. Perché c’è sempre un cronometro
Ogni versione di questo messaggio contiene una scadenza: ventiquattro ore, entro fine giornata, prima della sospensione dell’account.
Il cronometro non serve a metterti fretta. Serve a impedire l’unica azione che fa crollare l’attacco con certezza: parlarne con un’altra persona. Detta ad alta voce a quasi chiunque (un amico, un forum, un motore di ricerca), la richiesta svanisce. Una scadenza costringe a decidere da soli.
La scadenza quindi non è un dettaglio della storia. Regge tutto. Quando ne noti una attaccata a una richiesta di segreti, quell’osservazione è di per sé il risultato.
7. Dove deve stare la frase
In breve, perché la regola è semplice.
Scrivi la tua frase di recupero in una sola situazione: ripristinare un wallet in un software che hai installato tu, su un dispositivo che controlli.
Mai in una pagina web.
Mai in un modulo arrivato con un messaggio.
Mai in una chat, un ticket di assistenza, un foglio di calcolo, una foto, una nota del gestore di password o un assistente IA.
Se usi un wallet hardware, dopo il giorno in cui l’hai annotata la frase non dovrebbe mai essere digitata su un computer.
8. Se l’hai già inserita
Allora questa sezione è l’unica che conta, e la velocità conta più dell’ordine.
Dai per perso quel wallet e agisci di conseguenza subito. Non aspettare conferme. Non fare prove con una piccola transazione. Non provare a cambiare una password: non c’è nessuna password da cambiare.
Sul problema del gas, perché coglie le persone nel momento peggiore: spostare un token richiede la moneta nativa della chain per pagare la commissione. Se il wallet compromesso non ne ha, devi mandarcene, e i bot che sorvegliano l’indirizzo spesso la prendono nello stesso blocco. Le persone provano tre volte, perdono il gas tre volte e concludono che non si può fare niente.
Esistono soluzioni, tra cui raggruppare il finanziamento e il salvataggio in un’unica transazione atomica che non può essere interrotta. Sono delicate e specifiche per ogni chain. Se è in gioco una somma importante, chiedi a qualcuno di esperto prima di bruciare altri tentativi.
E il seguito più crudele: chi è appena stato derubato viene spesso contattato nel giro di poche ore da «specialisti del recupero» che promettono di rintracciare e restituire i fondi. Chiedono di nuovo la frase, o un compenso anticipato. È lo stesso attacco, rivolto alla stessa persona, nel suo giorno peggiore. Nessuno può annullare una transazione blockchain. Chi dice il contrario sta vendendo la seconda rapina.
9. Cosa può e non può dirti un’analisi
Incolla nel nostro scanner un messaggio come quello sopra e restituirà FAIL, segnalando come critica la richiesta della seed phrase e notando la struttura sospetta del link.
Ecco cosa non fa.
- Non visita mai il link. Esamina la forma dell’indirizzo (marchi messi dove non hanno autorità, caratteri sosia, schemi di reindirizzamento), ma non carica la pagina. Non può dirti se il sito dall’altra parte è un clone.
- Non può vedere un messaggio che non incolli mai. La maggior parte arriva quando sei stanco e di fretta, proprio quando nessuno controlla niente.
- Un risultato pulito non è un verdetto sul mittente. Significa solo che nessuno schema coperto è stato trovato.
- Non può annullare nulla. La sezione 8 esiste perché analizzare dopo non è un rimedio.
Per questo attacco in particolare uno scanner è una rete di sicurezza utile, non la difesa principale. La difesa è lunga una frase, e ce l’hai già.
La regola
Nessuno ha bisogno della tua frase di recupero. Mai. Per nessun motivo. Chiunque dica di essere.
Qualsiasi messaggio che la chiede è un tentativo di furto. Non è un’euristica con eccezioni; è la regola completa, e una delle rare regole di sicurezza che davvero non ha casi limite.
Se hai dubbi, diffida prima della scadenza. Poi chiedi a qualcuno. Quel solo passo mette fine all’attacco.
Correlati: istruzioni scritte per un’IA invece che per te e testo che non si vede. Questo articolo ha solo scopo educativo e non è una consulenza finanziaria. Il messaggio di esempio è rappresentativo di campagne reali, usa un dominio di esempio riservato e non prende di mira nessuna azienda reale.
Stai leggendo un messaggio sospetto nel browser? Il segnalibro per analizzare il testo selezionato lo controlla senza copiare e incollare, e il testo resta nel tuo browser.