Cold wallet: la guida completa, dal pezzo di carta al multisig su Qubes OS

Mon, 10 Aug 2026 00:00:00 +0000

Nel 2023 i ricercatori di Kaspersky hanno smontato un wallet hardware Trezor acquistato su un marketplace online dall’aria seria. L’apparecchio era visivamente identico all’originale, confezione compresa, e funzionava normalmente. Mostrava una sequenza di parole da ricopiare, esattamente come uno vero. Solo che quella sequenza non era stata estratta a caso dall’apparecchio: era stata scelta in anticipo dall’attaccante, che non doveva far altro che aspettare che la vittima ci depositasse i propri fondi. L’analisi completa è pubblicata sul blog di Kaspersky .

Questa storia riassume l’intera questione. La vittima aveva comprato il prodotto giusto, della marca giusta, con le intenzioni giuste. A fallire non è stato l’hardware, è stata la procedura attorno.

Un cold wallet non è un oggetto che si compra. È una procedura che si applica, e l’hardware ne è soltanto un pezzo.

Ecco cinque livelli di sicurezza, dal più semplice al più esigente. Ciascuno è utilizzabile così com’è. A ogni gradino, la stessa domanda: da cosa non proteggeva il livello precedente, e quel rischio la riguarda davvero?

Cos’è un cold wallet, senza gergo

Una criptovaluta non è conservata né nel telefono né nel computer. È iscritta in un registro pubblico, la blockchain, duplicato su migliaia di macchine. Quel registro associa una quantità di fondi a un indirizzo, una lunga sequenza di caratteri che fa da numero di conto pubblico.

Per spostare quei fondi bisogna dimostrare di esserne il proprietario. Quella prova viene da un segreto che solo lei possiede: la chiave privata. Non la si invia mai da nessuna parte. Serve ad apporre una firma crittografica sull’ordine di pagamento, e la rete verifica che quella firma corrisponda davvero all’indirizzo interessato.

Tutta la sicurezza si regge dunque su un solo punto: chi ha visto la chiave privata.

Su una piattaforma di scambio non è lei. La piattaforma detiene le chiavi, lei detiene una riga nel suo database. Se fallisce, se viene violata, se un regolatore congela i conti, quella riga non vale più granché. È il senso della formula che circola da dieci anni: non le tue chiavi, non i tuoi fondi.

Su un’applicazione mobile di wallet lei detiene sì la chiave, ma è stata generata su un apparecchio connesso a internet e vive su quell’apparecchio. Un telefono moderno esegue decine di migliaia di righe di codice che nessuno ha verificato e resta esposto a falle sconosciute persino al suo stesso produttore. La chiave è al sicuro lì finché non va storto nulla.

Un cold wallet, letteralmente portafoglio freddo, rovescia la logica. La chiave privata è generata su un apparecchio non connesso a internet e non lascia mai quell’apparecchio. A circolare sono unicamente transazioni da firmare, che entrano, e transazioni firmate, che escono. Un attaccante che controllasse interamente il suo computer connesso vedrebbe passare transazioni, ma mai la chiave che le firma.

È l’unica distinzione che conta. Tutto il resto consiste nel renderla sempre più difficile da aggirare.

Hot wallet o cold wallet, la differenza

Un hot wallet, portafoglio caldo, è un wallet la cui chiave privata è generata o conservata su un apparecchio connesso a internet, il che la espone in permanenza a un attacco a distanza. Un cold wallet genera la chiave offline e firma offline, cosicché la chiave privata non tocca mai un apparecchio connesso. La confusione più frequente riguarda il ruolo del sistema operativo: un telefono con un’applicazione come MetaMask resta un hot wallet, anche su un sistema irrobustito e perfettamente aggiornato. Ciò che conta non è la sicurezza generale dell’apparecchio, è la presenza di una connessione di rete nel momento preciso in cui la chiave serve a firmare. Irrobustire un apparecchio connesso riduce la probabilità di una compromissione, ma non cambia la categoria a cui il wallet appartiene.

Cosa ci insegna il caso Coldcard del 2026

Prima di entrare nei gradini si impone una precisazione, e l’attualità recente la rende impossibile da aggirare.

A fine luglio 2026 il produttore Coinkite ha rivelato che un difetto introdotto nel firmware delle sue Coldcard nel marzo 2021 aveva compromesso la generazione di alcuni seed. Non si trattava di un meccanismo di ripiego voluto: un errore di integrazione al passaggio a una nuova libreria crittografica faceva sì che una macro che avrebbe dovuto disattivare il generatore software di riserva non producesse l’effetto atteso, cosicché il generatore hardware previsto veniva in realtà aggirato a favore del generatore software generico della piattaforma, prevedibile. Le frasi prodotte sembravano perfettamente casuali, ma la loro entropia reale scendeva, secondo le stime preliminari pubblicate da Coinkite, a circa 40 bit sui modelli Mk2 e Mk3 e a circa 72 bit sui Mk4, Mk5 e Q, anziché i 128 bit previsti. Il dossier tecnico pubblicato da Coinkite descrive il meccanismo con precisione.

A partire dal 30 luglio 2026, in quattro ondate, gli attaccanti hanno svuotato circa 1.816 bitcoin distribuiti su più di 5.200 indirizzi, secondo l’analisi di TRM Labs . In nessun momento hanno avuto bisogno di accedere agli apparecchi delle vittime, né fisicamente né a distanza. Si sono limitati a ricalcolare chiavi private diventate abbastanza deboli da essere ritrovate a forza bruta.

Il punto da tenere a mente è questo. Quelle vittime non avevano commesso alcun errore. Seed mai condiviso, apparecchio mai connesso, backup fisico irreprensibile. Niente di tutto ciò è servito, perché la falla si collocava al momento della creazione della chiave, prima ancora che ci fosse qualcosa da proteggere.

Questo caso non squalifica né l’hardware Coldcard né i wallet hardware come categoria. Si tratta di un bug preciso, corretto da un firmware pubblicato il giorno dopo la prima ondata, e la migrazione verso un nuovo seed resta necessaria, dato che un aggiornamento non ripara una chiave già generata. Ma illumina un limite che vale per tutto ciò che segue: i cinque gradini di questo articolo spiegano come proteggere una chiave una volta che esiste, nessuno garantisce da solo che sia stata generata correttamente all’origine. È tutto l’interesse delle soluzioni aperte come SeedSigner, descritta più avanti, il cui codice di generazione è pubblico e verificabile da chiunque, là dove un firmware chiuso può nascondere un difetto per cinque anni.

Gradino 1: la frase seed su carta

Ricordare una chiave privata è impossibile per un essere umano. Lo standard BIP39 , adottato dalla quasi totalità dei wallet, aggira il problema.

Il wallet estrae un numero casuale molto grande, poi lo traduce in un elenco di parole ordinarie prese da un dizionario fisso di 2048 parole: la frase seed, o frase di recupero. Dodici parole corrispondono a 128 bit di casualità, ventiquattro parole a 256 bit. Da quella frase il wallet rideriva matematicamente tutte le sue chiavi private e tutti i suoi indirizzi.

Conseguenza centrale: la frase è il wallet. Se il suo apparecchio brucia, digita le parole in qualsiasi altro wallet compatibile e ritrova i fondi identici. Se qualcuno legge quelle parole, non ha bisogno di nient’altro. Né del suo apparecchio, né del suo codice PIN.

Ciò che rende quella frase impossibile da indovinare è la quantità di casualità che contiene, non la sua lunghezza apparente. Stesso ragionamento che per una password, spiegato nel dettaglio nel nostro articolo su l’entropia e la scienza dietro la sua sicurezza .

In pratica, annoti le parole a mano, in ordine e numerate, su un supporto che non passi per nessun apparecchio. Mai una foto, uno screenshot, un file di testo, un gestore di password sincronizzato, né una mail a sé stessi. Tutto ciò che tocca un servizio online porta la frase fuori dal dominio offline, e il cold wallet non esiste più.

Da cosa questo gradino non protegge. La carta brucia, non resiste a un danno d’acqua, sbiadisce, si perde. Può essere letta in pochi secondi da chi apre il cassetto sbagliato. Soprattutto, costituisce un punto singolo di guasto, espressione che tornerà per tutto l’articolo: un solo elemento la cui perdita o compromissione basta a portare via tutto.

Il miglioramento immediato costa poco: incidere la frase su un backup metallico, piastra di acciaio inossidabile a lettere punzonate o a tessere inserite, di cui Cryptosteel e Billfodl sono gli esempi più noti. L’acciaio sopravvive a un incendio domestico e a un allagamento. Questo risolve la distruzione accidentale, non il furto.

Gradino 2: il wallet hardware commerciale

Il gradino 1 presuppone che lei abbia generato la frase seed da qualche parte. Se l’ha fatto in un’applicazione mobile prima di ricopiarla, la sua frase è esistita su un apparecchio connesso, e la carta non ha fatto che salvare un segreto già esposto.

Il wallet hardware risolve il problema alla radice. È un piccolo apparecchio dedicato, senza browser né applicazioni di terzi, il cui unico mestiere è generare la frase seed, conservarla in un chip sicuro e firmare transazioni. Si collega al computer, ma la chiave non esce mai dal chip. Il computer invia una transazione da firmare, l’apparecchio mostra l’importo e l’indirizzo di destinazione sul proprio schermo, lei conferma con un pulsante, quello restituisce una firma.

Quello schermo è il punto essenziale, ed è spesso frainteso. Se un software malevolo sul suo PC sostituisce l’indirizzo di destinazione al momento dell’invio, lo schermo dell’apparecchio mostrerà la vera destinazione, quella dell’attaccante. È il suo ultimo punto di verifica indipendente. Va letto, ogni volta.

I riferimenti sono Ledger , Trezor e Coldcard , quest’ultimo specializzato su Bitcoin.

La vigilanza sulla provenienza

Eccoci di nuovo al wallet contraffatto dell’inizio di questo articolo.

Acquisti unicamente in diretta dal sito del produttore, o presso un rivenditore ufficialmente elencato da lui. Mai su un marketplace generalista, mai di seconda mano, mai un apparecchio ricevuto in regalo. Tra l’uscita di fabbrica e le sue mani, un intermediario può aprire un apparecchio, sostituirne il contenuto e richiuderlo per bene. Alla ricezione verifichi il sigillo e l’assenza di tracce di apertura, seguendo la procedura di autenticazione pubblicata dal produttore.

Ricordi soprattutto la regola che da sola neutralizza l’attacco più comune: un wallet hardware nuovo deve farle generare una frase seed, non deve mai fornirgliene una già pronta. Un apparecchio che arriva con una frase già scritta nella scatola, o che le chiede di inserire una frase fornita, è compromesso. Nessuna eccezione.

Da cosa questo gradino non protegge. Ora lei si affida a un produttore per la qualità del suo generatore di casualità e per l’integrità del suo firmware, il software incorporato nell’apparecchio. Quel firmware è in genere proprietario, almeno in parte, quindi non verificabile dal suo lato. Fiducia ragionevole, giustificata per l’immensa maggioranza delle persone, ma pur sempre fiducia. E la frase seed resta un punto singolo di guasto.

Gradino 3: il computer dedicato air-gapped

Se non vuole affidarsi ad alcun produttore, resta la possibilità di fare tutto da sé su hardware generico, con software aperto e verificato. È il principio della macchina air-gapped, letteralmente separata da uno strato d’aria: un computer che non è mai stato e non sarà mai connesso a una rete.

Prenda una macchina dedicata a questo unico uso. Un vecchio portatile va bene, e un modello senza chip wireless integrato è l’ideale.
Reinstalli un sistema pulito, una distribuzione Linux comune per esempio, a partire da un’immagine di cui abbia verificato l’impronta crittografica.
Neutralizzi la rete al livello più basso possibile. Rimuovere fisicamente la scheda Wi-Fi, spesso una piccola scheda inserita sotto uno sportellino, vale più che disattivarla nelle impostazioni. Non colleghi mai un cavo Ethernet. Una disattivazione software può essere annullata da un software, un componente assente non può annullare nulla.
Installi un wallet software di riferimento, Sparrow o Electrum , trasferendo l’installer su chiavetta USB e verificandone la firma.
Generi la frase seed su quella macchina, offline, e la salvi secondo il gradino 1.

Per spendere, il flusso passa da un formato standard, la PSBT (Partially Signed Bitcoin Transaction), transazione parzialmente firmata. È un file che contiene tutti i dettagli di una transazione, tranne la firma. Sul computer connesso prepara la transazione ed esporta quel file. Lo trasporta verso la macchina offline su chiavetta USB o tramite codice QR mostrato a schermo e letto da una fotocamera. La macchina offline lo firma, lei riporta indietro il file firmato per la stessa strada, e il computer connesso lo diffonde in rete.

L’unico canale tra i due mondi è un file che lei porta a mano. È lento, ed è precisamente questo il punto.

Da cosa questo gradino non protegge. La chiavetta USB diventa il suo anello debole: è un supporto attivo, capace di introdurre codice. Il sistema offline resta peraltro un sistema operativo generalista, ampio e difficile da verificare. Conta anche la disciplina: la tentazione di collegare solo una volta quel cavo di rete per un aggiornamento annulla l’intero dispositivo in un colpo.

Gradino 4: il firmatario DIY open source, SeedSigner

SeedSigner porta la logica del gradino 3 alla sua conclusione: un apparecchio minimale, costruito da lei, il cui comportamento è verificabile, e che non conserva nulla.

Il componente centrale è un Raspberry Pi Zero in versione 1.3. Questa precisazione non è un dettaglio, è il cuore del dispositivo. Il Pi Zero 1.3 non possiede né Wi-Fi né Bluetooth a livello hardware: i chip radio non sono presenti sulla scheda. Non è un Raspberry Pi 5, né un Pi Zero W, né un Pi Zero 2, che integrano tutti una connettività wireless. La documentazione ufficiale è esplicita, è la versione 1.3 che offre la migliore garanzia di isolamento dalla rete.

La differenza rispetto a una disattivazione software è fondamentale. Un Wi-Fi disattivato in un’impostazione poggia sulla promessa di un software che un altro software può tradire. Un chip mai saldato sulla scheda non può essere riattivato da nessun codice, nessuna falla, nessun aggiornamento truccato. Non si affida più a una configurazione, constata un’assenza fisica.

Il resto sta in tre pezzi: uno schermo WaveShare da 1,3 pollici a 240 per 240 pixel con i suoi pulsanti, un modulo fotocamera compatibile con Pi Zero, e una scheda microSD. Meno di 50 dollari di componenti, senza alcuna saldatura.

Tutte le comunicazioni passano da codici QR, nei due sensi. Il wallet connesso, Sparrow per esempio, mostra la PSBT sotto forma di codice QR, animato se la transazione è voluminosa. La fotocamera del SeedSigner lo legge. L’apparecchio mostra il dettaglio della transazione sul proprio schermo, lei conferma, quello firma, poi mostra a sua volta la transazione firmata in codice QR, che lei riprende con la webcam del computer connesso. Nessun cavo dati, nessuna chiavetta USB, nessuna rete. La luce è l’unico canale.

L’apparecchio è inoltre stateless, senza stato. Non memorizza mai la chiave in modo permanente: la frase seed viene inserita all’inizio di ogni sessione, vive unicamente in memoria volatile durante l’uso, e sparisce allo spegnimento. La scheda microSD contiene solo il software. Un attaccante che rubi il suo SeedSigner spento ruba soltanto un Raspberry Pi da quindici euro.

Il rovescio dell’apertura. Non c’è più un produttore di cui fidarsi, ma non ce n’è più nemmeno uno a garantire alcunché. Prima di scrivere il software sulla scheda microSD deve verificarne lei stesso l’autenticità. Il progetto pubblica sulla sua pagina delle release GitHub il file immagine accompagnato da un manifesto e dalla firma di quel manifesto. La verifica combina una firma GPG, che prova che la pubblicazione viene davvero dagli sviluppatori, e un controllo dell’impronta SHA256, che prova che il file non è stato modificato da allora. Va fatta prima ancora di montare l’immagine, perché alcuni sistemi la modificano all’apertura e fanno fallire il controllo. Se fallisce, non si scrive.

Limite funzionale da segnalare: SeedSigner è un progetto Bitcoin, non copre le altre catene.

Gradino 5: la VM Vault su Qubes OS

Il gradino 3 separa due mondi con un cavo scollegato. È una garanzia che lei mantiene manualmente, giorno dopo giorno, e che poggia sulla sua disciplina.

Qubes OS propone altro: una separazione imposta dall’architettura del sistema. Qubes compartimenta le sue attività in macchine virtuali distinte, chiamate qubes, isolate da un hypervisor. Lo abbiamo collocato rispetto agli altri sistemi nel nostro confronto dei sistemi operativi orientati alla sicurezza .

Una VM Vault viene creata senza alcuna interfaccia di rete. Non è un’impostazione cosmetica: la macchina virtuale non possiede alcuna scheda di rete virtuale, nessun driver, nessuno stack, nulla da attivare. Non ha fisicamente alcun modo di emettere un pacchetto, qualunque sia il codice che vi si esegue. È lei che detiene la frase seed ed esegue Sparrow offline.

Una seconda VM, questa connessa, esegue Sparrow in modalità sola osservazione, unicamente con le chiavi pubbliche. Vede il saldo e lo storico, sa costruire transazioni, ma è incapace di firmarne una.

Il trasferimento avviene esclusivamente per file, con lo strumento interno qvm-copy. La PSBT non firmata parte dalla VM connessa verso la Vault, la Vault la firma, il file firmato torna con lo stesso meccanismo. Nessuna rete condivisa, nessuna cartella comune, nessun appunti automatico.

Due cose lo rendono superiore a un semplice PC isolato. Anzitutto, l’isolamento non dipende più da lei: su una macchina air-gapped classica, l’air gap è una proprietà del suo comportamento, regge finché nessuno collega un cavo. Sotto Qubes, l’isolamento è applicato dall’hypervisor, sotto la VM, fuori dalla portata di ciò che gira all’interno. Un software malevolo che ottenesse pieni poteri nella Vault non avrebbe comunque alcun hardware di rete da pilotare. Poi, la reversibilità: i qubes poggiano su template, e se sospetta una compromissione distrugge la VM e la ricrea pulita in pochi minuti. Su un computer dedicato, lo stesso dubbio impone una reinstallazione completa.

Da cosa questo gradino non protegge. È il montaggio più solido di questo elenco, e conserva esattamente la debolezza del primo: c’è sempre e solo una frase seed. Un incendio che distrugge il suo backup, una costrizione fisica esercitata su di lei, un errore di manipolazione, e tutto è perso o tutto è preso. L’isolamento software, per quanto perfetto, non cambia nulla.

Il multisig: cambiare la natura del problema

I cinque gradini precedenti migliorano tutti la stessa cosa, la protezione di un segreto unico. Il multisig, o firma multipla, pone una domanda diversa: e se si smettesse di avere un segreto unico?

Il principio è iscritto nelle regole della rete. Invece di associare i fondi a una sola chiave, li si associa a un gruppo di chiavi, con una soglia. In 2 su 3 esistono tre chiavi e ne servono due per spendere. In 3 su 5 esistono cinque chiavi, ne servono tre. Ogni chiave è generata in modo indipendente, su un apparecchio diverso, idealmente di natura diversa, e conservata in un luogo diverso: una Coldcard a casa sua, un SeedSigner da una persona di fiducia, una chiave in una cassetta di sicurezza.

Ciò che questo cambia è netto. Un ladro che trovi un backup non ottiene nulla. Un incendio che distrugge un luogo non distrugge i suoi fondi, lei li ricostituisce con le chiavi restanti. Un difetto scoperto presso un produttore non basta, dato che le altre chiavi vengono da altrove. Una persona che la minacci fisicamente si scontra con il fatto che lei non può, da solo e sul momento, produrre ciò che le viene chiesto.

Il punto singolo di guasto scompare nelle due direzioni insieme, contro la perdita e contro il furto. Nessuno dei gradini precedenti ottiene questo risultato, montaggio Qubes compreso.

Il rovescio è la complessità operativa. Bisogna salvare non solo i seed, ma anche il descrittore del wallet, un file che descrive la struttura del montaggio e le chiavi pubbliche che lo compongono. Senza di esso, recuperare i fondi diventa molto difficile perfino con il numero richiesto di seed. Un multisig mal documentato è più pericoloso di un wallet hardware semplice ben padroneggiato.

Le regole che valgono a tutti i gradini

L’hardware occupa la gran parte delle discussioni, mentre le perdite reali vengono il più delle volte da altro.

Distribuisca geograficamente i suoi backup. Due copie dello stesso seed in due cassetti della stessa casa fanno una sola copia di fronte a un incendio o a un danno d’acqua. Il rischio non è soltanto il furto. Separi i luoghi, tenendo presente che ogni copia in più migliora la sua resistenza alla perdita e peggiora la sua resistenza al furto. È un compromesso, non un’impostazione ottimale.

Provi con un piccolo importo. Invii l’equivalente di qualche euro, verifichi la ricezione, poi cancelli il wallet e lo ripristini interamente dal suo backup. Una ricezione che funziona non prova nulla sul ripristino, ed è il ripristino che un giorno la salverà. Una parola ricopiata male, un ordine invertito, un backup incompleto: altrettante cose che si scoprono solo in quel momento, e vale meglio scoprirlo con dieci euro in gioco.

Resti discreto. La sicurezza tecnica non ha alcun effetto sull’ingegneria sociale né sul furto fisico mirato. Non menzioni pubblicamente che detiene criptovalute, né sui social, né al ristorante, né con conoscenze lontane. Il miglior montaggio del mondo non protegge qualcuno di cui si sa che ha qualcosa da farsi prendere.

Preveda la trasmissione. È il punto più trascurato, ed è irreversibile. Un cold wallet ben protetto è concepito perché nessun altro all’infuori di lei vi acceda. In caso di decesso o di incapacità, quella proprietà si ritorce contro i suoi eredi e i fondi sono persi per sempre. Esistono più strade: una documentazione cifrata affidata a un terzo di fiducia o depositata presso un notaio, un montaggio multisig che includa una chiave detenuta da un erede, o un dispositivo tipo dead man switch che libera un’informazione in assenza di segni di vita. Ciascuna comporta implicazioni giuridiche e fiscali che variano da paese a paese. Documenti l’intenzione tecnica, e faccia inquadrare l’attuazione da un professionista del diritto.

Cosa dice tutto questo dell’approccio di Arpokrat

Il filo che attraversa questi cinque gradini non è la sofisticazione crescente. È la riduzione progressiva del numero di attori a cui deve accordare fiducia senza poter verificare. La piattaforma di scambio chiede una fiducia totale. Il wallet hardware la riduce a un produttore. Il SeedSigner la sostituisce con una verifica che lei stesso effettua. Il montaggio Qubes sposta la garanzia dal comportamento all’architettura. Il multisig la toglie a ogni elemento preso isolatamente.

È la logica che governa la progettazione dei nostri prodotti. Una garanzia che poggia su una promessa non è una garanzia, è un impegno. Una garanzia strutturale regge anche quando chi l’ha costruita cambia idea o riceve un’ingiunzione. Un servizio che non detiene le sue chiavi non può consegnarle, qualunque sia la pressione esercitata: è il principio alla base di Arpokrat Swap . La questione diventa peraltro più concreta man mano che il quadro normativo evolve, come mostra la nostra analisi delle restrizioni europee su Monero e Zcash previste per il 2027 .

Conclusione

Non esiste un buon livello di sicurezza in generale. Esiste un livello proporzionato a ciò che lei detiene e a chi potrebbe ragionevolmente prenderla di mira.

Qualche centinaio di euro su un wallet hardware comprato dal produttore, con un seed inciso su metallo e riposto fuori casa, costituiscono una configurazione perfettamente seria. La colloca già al di sopra della stragrande maggioranza dei detentori di criptovalute e la protegge dagli scenari che causano davvero perdite. Nessuno ha bisogno di un multisig su Qubes per questo. Il montaggio complesso si giustifica quando la somma renderebbe redditizio un attacco mirato, o quando la sua situazione attira un’attenzione particolare.

La domanda giusta non è dunque fino a dove salire, ma quale delle sue ipotesi attuali è la più fragile. Per la maggior parte delle persone non è l’hardware: è un backup unico riposto in un solo posto, un ripristino mai provato, o una trasmissione mai considerata. Questi tre punti non costano nulla da correggere, e contano più del passaggio da un gradino al successivo.

SeedSigner on Arpokrat