Sicurezza delle criptovalute: come proteggere account e Walletnel modo giusto
- 28 aprile
- 10 minuti di lettura
La maggior parte delle persone considera la sicurezza delle criptovalute un aspetto secondario. Creano un account, attivano l'opzione di sicurezza predefinita e non ci pensano più. Poi, un giorno, l'account goo il wallet viene svuotato, e solo allora iniziano a porsi le domande che avrebbero dovuto porsi fin dall'inizio.
La sicurezza nel mondo delle criptovalute non è complicata. Richiede però la comprensione di alcune distinzioni che quasi mai vengono spiegate chiaramente, perché le piattaforme e gli strumenti coinvolti hanno interessi molto diversi dai vostri per quanto riguarda il grado di attenzione che desiderano che prestiate a questo aspetto.
Questa guida tratta i due problemi di sicurezza distinti che si presentano nel mondo delle criptovalute: la protezione dei conti presso exchange centralizzati e la protezione dei wallet. Richiedono approcci, strumenti e abitudini differenti. Confonderli è uno degli errori più comuni e costosi in questo settore.
Due problemi di sicurezza DISTINTI
Account e Walletnon sono la stessa cosa
Quando si parla di sicurezza delle criptovalute, spesso la si considera come un unico argomento. Non è così. Si tratta di due problemi distinti che coesistono nello stesso ambito.
Un centralizzato exchange conto è esattamente ciò che il nome suggerisce: un conto sulla piattaforma di una società. Richiede un indirizzo email, una password e, facoltativamente, ulteriori livelli di verifica. La sicurezza di questo conto determina se qualcuno può accedere alla piattaforma e prelevare i fondi depositati. Funziona come un conto bancario o qualsiasi altro servizio online.
Un non custodial wallet è qualcosa di fondamentalmente diverso. Non esiste un conto. Non esiste un nome utente o una password. Non esiste un'azienda che detiene i tuoi fondi. Esiste solo una chiave privata, e chiunque detenga quella chiave privata controlla il wallet. Punto e basta.
Proteggere un conto exchange significa salvaguardare le credenziali di accesso e i livelli di verifica. Proteggere un wallet significa salvaguardare la chiave privata o la frase di recupero. Si tratta di competenze distinte, con rischi e conseguenze diverse in caso di fallimento.
Comprendere con quale tipo di sicurezza si ha a che fare in un dato momento è la base di tutto il resto.
Proteggere i propri conti Exchange
La password è l'anello debole
Una password forte e univoca è fondamentale. Non deve essere riutilizzata da un altro sito, né una variante di una password già in uso, né memorizzata in un browser che si sincronizza tra i dispositivi. Deve essere una password univoca, generata e archiviata in un gestore di password dedicato.
Si tratta di un consiglio ovvio che un numero considerevole di persone ignora. Le violazioni degli account Exchange tramite riutilizzo delle credenziali e phishing sono tra i vettori di attacco più comuni nel settore delle criptovalute. L'attaccante non ha bisogno di violare alcuna crittografia. Utilizza una password trapelata da un'altra violazione, la prova su tutti i principali exchangee ha successo più spesso di quanto dovrebbe.
Utilizza un gestore di password. Genera una password univoca per ogni account exchange . Questo elimina completamente il riutilizzo delle credenziali come vettore di attacco.
Autenticazione a due fattori: perché non tutte le autenticazioni a due fattori sono uguali
L'autenticazione a due fattori aggiunge un secondo passaggio di verifica oltre alla password. Quando effettui l'accesso, hai bisogno sia di qualcosa che conosci (la password) sia di qualcosa che possiedi (il secondo fattore). Si tratta di un significativo miglioramento della sicurezza, ma il tipo di autenticazione a due fattori è di fondamentale importanza e questa distinzione non viene quasi mai spiegata chiaramente.
L'autenticazione a due fattori tramite SMS è la forma più debole. Il secondo fattore consiste in un codice inviato al tuo numero di telefono tramite SMS. Il problema è che i numeri di telefono possono essere compromessi tramite una tecnica chiamata SIM swapping: un malintenzionato convince il tuo operatore di telefonia mobile di essere te e trasferisce il tuo numero su un dispositivo sotto il suo controllo. Una volta ottenuto il tuo numero, riceve i tuoi codici di autenticazione a due fattori. Questa tecnica è stata utilizzata ripetutamente per compromettere account di criptovalute di alto valore. Se l'SMS è l'unica opzione offerta da una piattaforma, è meglio di niente, ma dovrebbe essere sostituito, ove possibile, con un'app di autenticazione.
L'autenticazione a due fattori (2FA) tramite app è significativamente più sicura. Invece di inviare un codice al tuo numero di telefono, un'app dedicata genera un codice temporaneo localmente sul tuo dispositivo. Il codice cambia ogni 30 secondi e non viene mai trasmesso in rete durante la sua generazione. Un malintenzionato non può intercettarlo tramite lo scambio di SIM, perché il codice viene generato sul dispositivo e non inviato ad esso.
Le opzioni più diffuse sono GoAuthenticator e Authy. Svolgono la stessa funzione principale, ma con una differenza fondamentale nel modo in cui gestiscono il backup e il ripristino.
GoAuthenticator vs. autenticatori decentralizzati: il problema del backup
Questa è la distinzione che costa di più alle persone e di cui si parla meno.
Google Authenticator collega i codici di autenticazione a due fattori (2FA) al tuo Google. Se abiliti il backup su cloud, i tuoi codici vengono sincronizzati con Google. Questo è comodo, ma significa che il backup della tua autenticazione a due fattori è sicuro solo quanto il tuo Google. Se quell'account viene compromesso, anche il backup della tua autenticazione a due fattori lo sarà. Inoltre, hai reintrodotto una dipendenza centralizzata in un livello che avrebbe dovuto aggiungere sicurezza.
Se non abiliti il backup su cloud in GoAuthenticator e perdi o rompi il telefono, i tuoi codici di autenticazione a due fattori andranno go. Tutti gli account protetti da questi codici diventeranno inaccessibili, a meno che la piattaforma non offra una procedura di recupero. Alcune piattaforme la prevedono. Altre richiedono una verifica dell'identità che può richiedere giorni. Altre ancora offrono opzioni di recupero minime.
Authy adotta un approccio diverso. Memorizza backup crittografati dei codici di autenticazione a due fattori (2FA) associati al tuo numero di telefono e una password di backup separata che imposti tu. Ciò significa che i tuoi codici possono essere ripristinati su un nuovo dispositivo senza dover ricorrere a Go. Il rovescio della medaglia è che la password di backup diventa un segreto fondamentale: se la dimentichi, il recupero è difficile. Se qualcuno la ottiene insieme al tuo numero di telefono, può accedere ai tuoi codici.
Opzioni più decentralizzate come Aegis su Android e Raivo su iOS sono open source, memorizzano i codici localmente e crittografati sul dispositivo e offrono esportazioni di backup che puoi controllare direttamente. Il file di backup è crittografato e può essere archiviato dove preferisci: su un'unità crittografata, su un dispositivo di backup hardware, completamente al di fuori di qualsiasi servizio cloud. Questo è l'approccio più decentralizzato al backup con autenticazione a due fattori: nessuna dipendenza da Go, nessun numero di telefono come vettore di recupero, pieno controllo su dove si trova il backup e chi può accedervi.
La scelta si riduce a un compromesso tra comodità e controllo, lo stesso compromesso che è alla base di ogni decisione importante in materia di sicurezza nel mondo delle criptovalute.
Le chiavi di backup per l'autenticazione a due fattori: l'aspetto che tutti dimenticano
Quando si abilita l'autenticazione a due fattori (2FA) su una qualsiasi piattaforma, la procedura di configurazione mostra un codice QR e, solitamente sotto di esso o in una schermata separata, una chiave di backup: una sequenza di lettere e numeri che codifica le stesse informazioni del codice QR.
La maggior parte delle persone scansiona il codice QR e ignora il tasto di backup.
Si tratta di un grave errore.
La chiave di backup è l'unico modo per ricreare i codici di autenticazione a due fattori su un nuovo dispositivo nel caso in cui si perda l'accesso all'app di autenticazione. Senza di essa, se il telefono si rompe, viene rubato o ripristinato, si perde l'accesso a tutti gli account protetti da tali codici, a meno che la piattaforma non offra una procedura di recupero alternativa.
Annota ogni chiave di backup nel momento in cui configuri l'autenticazione a due fattori (2FA). Conservale nello stesso modo in cui conserveresti una frase di recupero: su carta, in un luogo fisico sicuro, separato dal dispositivo. Non nella tua email. Non in un'app per prendere appunti. Non fotografarle con il telefono.
Questa operazione richiede tre minuti in più durante la configurazione. L'alternativa è spendgiorni nel tentativo di recuperare l'accesso agli account bloccati, a volte con successo, a volte no.
Proteggere il Wallet: un problema completamente diverso
Nessun account, nessun recupero, nessuna eccezione
Un wallet non custodiale non offre assistenza clienti, possibilità di reimpostazione della password o procedura di recupero dell'account. Il modello di sicurezza è completamente diverso da quello di un conto exchange , poiché non c'è nulla da recuperare. La chiave privata esiste ed è protetta, oppure non esiste e il wallet è inaccessibile.
La chiave privata e la frase di recupero che la genera costituiscono il wallet. Chiunque le possieda controlla tutto il suo contenuto, in modo permanente e irrevocabile.
Questo argomento è trattato in modo approfondito nella completa wallet →, ma vale la pena ribadire il principio fondamentale: la frase di recupero non è una password. Non può essere modificata, reimpostata o recuperata da terzi. La sua sicurezza dipende interamente da come la si maneggia fisicamente.
Scrivilo su carta. Conservalo in almeno due luoghi fisici separati. Non digitarlo mai su nessun sito web, app o dispositivo diverso dal wallet che stai utilizzando per ripristinare l'accesso. Non fotografarlo mai. Non condividerlo mai con nessuno per nessun motivo.
La superficie di attacco è diversa
Gli account Exchange vengono compromessi tramite il furto di credenziali: pagine di phishing che imitano le schermate di accesso, email che sembrano provenire exchangee tecniche di ingegneria sociale mirate a carpire i dati di accesso o i codici di autenticazione a due fattori.
Walletdigitali vengono compromessi in diversi modi. I vettori di attacco più comuni sono le approvazioni di smart contract malevoli, i siti di phishing che chiedono di collegare il wallet e firmare una transazione che lo svuota, le applicazioni wallet false che catturano la frase di recupero durante la configurazione e i malware che dirottano gli appunti, sostituendo l'indirizzo wallet copiato con quello dell'attaccante.
Nessuno di questi metodi richiede che l'attaccante conosca la tua password, perché non esiste una password. È necessario che tu riveli direttamente la tua frase di recupero (seed phrase) o che approvi una transazione che autorizzi un contratto malevolo a spostare i tuoi beni.
Ecco perché la disciplina di sicurezza per walletsi concentra su ciò che approvi e a cosa ti connetti, non sulle credenziali di accesso. Prima di connettere il tuo wallet a una nuova piattaforma, verifica attentamente l'URL confrontandolo con la fonte ufficiale. Rivedi ogni transazione che ti viene chiesto di firmare prima di approvarla. Revoca regolarmente le approvazioni dei token utilizzando strumenti come Revoke.cash. Queste abitudini, se applicate con costanza, eliminano la stragrande maggioranza delle wallet vulnerabilità
Il decentramento come livello di sicurezza
Perché l'interazione on-chain tramite il tuo Wallet modifica il profilo di rischio
Quando si utilizza un DEX o qualsiasi applicazione decentralizzata tramite il proprio wallet, il modello di sicurezza cambia in modo significativo. Non esiste una piattaforma centralizzata che possa essere hackerata e il cui database utenti possa essere compromesso. Non esiste un'azienda che detiene i fondi dell'utente e che possa essere presa di mira da un singolo attacco. L'interazione avviene direttamente tra il wallet e uno smart contract su una blockchain pubblica.
Questo non elimina il rischio. Gli smart contract possono presentare vulnerabilità e le approvazioni fraudolente rappresentano un vettore di attacco reale e attivo. Tuttavia, cambia chi si assume tale rischio e come questo si manifesta. Non ci si affida più alle pratiche di sicurezza interne di un'azienda né si spera che non siano state violate. Si interagisce con codice pubblico, verificato e accessibile a chiunque.
Per gli utenti che dispongono di indirizzi di contratto verificati, utilizzano protocolli consolidati con una lunga storia di utilizzo e applicano le procedure di approvazione descritte in precedenza, l'interazione on-chain tramite un wallet non custodial è per molti aspetti più controllabile rispetto all'attività equivalente su una piattaforma centralizzata. I fondi rimangono nel wallet fino al momento dell'esecuzione di una transazione e solo la chiave privata può autorizzarne l'esecuzione.
Scambiare token su un DEX, collegare asset tra diverse blockchain tramite un bridge verificato, partecipare a un protocollo DeFi attraverso il proprio wallet: tutte queste attività offrono un grado di controllo sui propri asset che un sistema centralizzato equivalente non può garantire. Il rovescio della medaglia è che la responsabilità personale per ogni approvazione e ogni connessione ricade interamente sull'utente.
La sezione Exchange di CryptoDroply include DEX e strumenti DeFi verificati, selezionati in base a criteri primari quali la comprovata sicurezza e la cronologia degli audit. →
Il principio fondamentale
La decentralizzazione elimina gli intermediari. Eliminare gli intermediari significa eliminare i punti di fallimento che essi rappresentano. Un exchange centralizzato può essere hackerato a livello di piattaforma, può bloccare il tuo account, può go . Un wallet non custodial che interagisce direttamente con una blockchain pubblica non presenta nessuno di questi punti di fallimento.
Ne esistono di diversi tipi, principalmente quelli che si introducono adottando cattive abitudini in materia di sicurezza.
L' godi questo materiale è aiutarti a minimizzare entrambe legodi rischio contemporaneamente: proteggere gli account exchange con una corretta configurazione dell'autenticazione a due fattori (2FA) e una disciplina adeguata in materia di backup, e proteggere walletcon una gestione corretta delle frasi di recupero (seed phrase) e pratiche di approvazione delle transazioni accurate.
Nessuno dei due richiede competenze tecniche specifiche. Entrambi richiedono però un'attenzione mirata in fase di configurazione e abitudini costanti in seguito.
Una pratica lista di controllo per la sicurezza
Per ogni conto exchange : password univoca in un gestore di password, autenticazione a due fattori (2FA) abilitata tramite app anziché SMS, tutte le chiavi di backup per la 2FA scritte su carta e conservate fisicamente, nessun accesso a dati sensibili da dispositivi pubblici o condivisi.
Per ogni walletnon custodiale: frase di recupero su carta in almeno due luoghi fisici separati, mai memorizzata digitalmente, mai fotografata, mai condivisa. wallet dedicato al farming tenuto separato dai fondi principali. Approvazioni dei token esaminate e revocate regolarmente. Ogni nuova connessione dApp verificata rispetto all'URL ufficiale prima di firmare qualsiasi documento.
Per la tua app di autenticazione: le chiavi di backup devono essere archiviate separatamente dal telefono. Se utilizzi Aegis o Raivo, l'esportazione del backup crittografato deve essere archiviata su un'unità di cui controlli la disponibilità, non in un account cloud collegato ad altri servizi.
Non si tratta di misure avanzate, bensì dello standard minimo.
FAQ
Qual è la differenza tra un conto di criptovalute e un walletdi criptovalute?
Un conto su un exchange di criptovalute è un conto sulla piattaforma di un'azienda, protetto da password e autenticazione a due fattori (2FA). L'azienda detiene i tuoi fondi. Un wallet non custodiale è controllato interamente da una chiave privata o frase di recupero che solo tu possiedi. Non esiste un conto, non è possibile reimpostare la password e non c'è alcuna opzione di recupero in caso di smarrimento della frase di recupero.
GoAuthenticator è sicuro per l'autenticazione a due fattori delle criptovalute?
È nettamente migliore dell'autenticazione a due fattori tramite SMS, ma presenta una limitazione significativa: se il backup su cloud è abilitato, i codici dipendono dalla sicurezza del tuo account Go. Alternative open source come Aegis su Android o Raivo su iOS ti offrono il controllo diretto su dove viene archiviato il backup, senza dipendenze centralizzate.
Che cosa sono le chiavi di backup 2FA e perché sono importanti?
Quando abiliti l'autenticazione a due fattori (2FA) su qualsiasi piattaforma, durante la configurazione viene visualizzata una chiave di backup. Questa chiave ti consente di ricreare i codici 2FA su un nuovo dispositivo in caso di smarrimento del telefono. Senza di essa, perdere l'accesso all'app di autenticazione può significare il blocco permanente degli account per i quali non esiste una procedura di recupero alternativa. Annota queste chiavi durante la configurazione e conservale in un luogo fisico.
Come vengono solitamente compromessi walletsenza che venga rubata la password?
I metodi più comuni sono l'approvazione fraudolenta di smart contract, siti di phishing che chiedono di collegare il proprio wallet e firmare una transazione che prosciugherà i fondi, applicazioni wallet false che catturano la frase di recupero durante la configurazione e malware che dirottano gli appunti. Nessuno di questi metodi richiede una password perché walletnon custodial non ne hanno.
È più sicuro utilizzare un DEX rispetto a un exchangecentralizzato?
Hanno profili di rischio differenti. Un CEX può essere hackerato a livello di piattaforma, bloccare il tuo account o go con i tuoi fondi al suo interno. Un DEX prevede un'interazione diretta tra il tuo wallet e gli smart contract, eliminando il rischio di custodia ma introducendo il rischio legato agli smart contract e all'approvazione. Per gli utenti che adottano corrette pratiche di sicurezza, l'interazione on-chain offre un livello di controllo sui propri asset che nessuna piattaforma centralizzata può eguagliare.
La sicurezza nel settore delle criptovalute non è un problema singolo, bensì duplice: proteggere ciò che si possiede su piattaforme centralizzate e proteggere ciò che si detiene direttamente nei walletdigitali.
La sicurezza dell'account Exchange si basa sulle credenziali, sulla qualità dell'autenticazione a due fattori (2FA) e sulla disciplina nella gestione delle chiavi di backup. La sicurezza Wallet si basa sulla gestione della frase di recupero, sulle abitudini di approvazione delle transazioni e sulla comprensione del servizio a cui ci si sta connettendo prima di effettuare la connessione.
Se si completano entrambi gli aspetti correttamente, la stragrande maggioranza dei vettori di attacco che causano la perdita di criptovalute diventa irrilevante. Se se ne trascura anche solo uno, si rimane esposti a prescindere da quanto si presti attenzione in tutti gli altri aspetti.
Gli strumenti che CryptoDroply consiglia per entrambi i livelli, dai gestori di password alle risorse per la verifica dei contratti, si trovano nella sezione Strumenti, selezionati senza alcun pregiudizio di tipo referenziale.
Gli abbonati PRO ricevono guide di configurazione dettagliate per l'intera suite di sicurezza, tra cui procedure guidate per la migrazione dell'autenticazione a due fattori (2FA), checklist per la verifica wallet e guide per la gestione delle approvazioni.
