Seed phrase, ovvero il principale fattore da tenere presente per la sicurezza dei fondi crypto all’interno di un wallet.
La sicurezza nella gestione di un portafoglio di criptovalute è come ovvio fondamentale per proteggere i propri investimenti. Questo articolo fornisce una panoramica completa delle migliori pratiche e delle strategie per proteggere con un elevato grado di sicurezza i propri asset digitali.
La premessa generale è che questo articolo non si occuperà dei wallet cosiddetti “custodial”, che in sostanza coincidono con le applicazioni – in forma ora di portale direttamente accessibile dal web, ora di effettiva applicazione scaricabile dai vari “store” del nostro sistema operativo portatile – create dai rispettivi exchange di acquisto crypto.
Tratterà invece quelli “non custodial”, ovvero di auto-custodia in piena autonomia della seed phrase, suggerendo le prassi migliori per conservarla al sicuro da occhi indiscreti.
Seed phrase, wallet di autocustodia e sicurezza
Una volta generato un wallet attraverso le comuni procedure che ormai risultano integrate in qualsiasi software a tale scopo dedicato, il sistema ci porgerà una frase composta da 12 o 24 parole (quasi sempre) inglesi.
A volte il numero delle parole è superiore, in ragione del tipo di blockchain in cui stiamo aprendo il wallet. Ma questo poco importa.
La sola cosa veramente importante, anzi fondamentale, è che questa serie di parole, detta appunto “seed phrase” (in inglese, frase seme), costituisce il cuore del nostro wallet, e funziona esattamente come una sorta di password unica e irrinunciabile (nonché impossibile da richiedere a terzi in caso di perdita).
Stivare in assoluta sicurezza la seed phrase è l’obiettivo primario per garantire l’auto-custodia sicura dei fondi criptovalutari nel relativo wallet.
La seed phrase, infatti, altro non è che la “traduzione in linguaggio umano” di quella particolare stringa che viene chiamata “chiave privata” (private key), unico strumento in grado di disporre dei fondi contenuti nel wallet, che vengono ad esso indirizzati attraverso la speculare “chiave pubblica” (public key), funzionante, mutatis mutandis, come un vero e proprio IBAN crittografico (pur non avendo nulla a che fare con il meccanismo bancario).
Seed phrase al sicuro: carta, penna e buonsenso
Per quanto esistano decine di metodi di opportuna custodia della seed phrase, paradossalmente la prassi più sicura è quella che utilizza la modalità più semplice e intuitiva: scrivere la frase a mano, su un pezzo di carta, e stivarla in un luogo sicuro, mettendo in atto tutte le procedure che il buonsenso (e un pizzico di “buona paranoia”) possono suggerirci.
Nello stivaggio di una seed phrase, infatti, gli obiettivi sono due: il primo è far in modo di poterla ritrovare facilmente; il secondo è nasconderla da occhi indiscreti, che, riconoscendola come tale, potrebbero sottrarla, fotografarla, o addirittura riuscire a impararla a memoria, col solo risultato di usarla per sottrarci tutto il contenuto del relativo wallet.
La prima prescrizione in materia, quindi, è semplice: scrivere ordinatamente la seed phrase, parola per parola, lettera per lettera, su un pezzo di carta (o quaderno, o altro supporto cartaceo), e mettere da subito al sicuro questo “manoscritto”, in un luogo che ragionevolmente si ritiene raggiungibile da noi e irraggiungibile da terzi.
Il lettore “neofita” potrà probabilmente sorridere, eppure, statisticamente, le frasi non più ritrovate in quanto trascritte erroneamente, magari anche con una sola lettera errata, costituiscono una fattispecie incredibilmente frequente tra gli utenti!
Precauzioni aggiuntive: la steganografia
Come detto, la seed phrase non deve essere solo conservata come “backup”, per permetterci di recuperarla in caso di ovvia dimenticanza (per quanto siano solo 12 parole, non è infatti buona regola affidarsi alla sola memoria, che a distanza di tempo potrebbe fare brutti scherzi), oppure per il banale fatto che abbiamo perso il nostro wallet “fisico” e abbiamo bisogno di acquisirne un altro per tornare in possesso dei nostri fondi.
La seed phrase è un “pezzo di informazione” che, da sola, basta a permettere a qualsiasi malintenzionato di entrare automaticamente in possesso delle nostre criptovalute.
Potrebbe essere quindi una buona idea quella di aggiungere alcune regole di codifica in grado di rendere la frase “leggibile per noi e illeggibile per chiunque altro”.
Parliamo di procedure molto varie, oltre che assolutamente personalizzabili, che puntano ad aggiungere un ulteriore “layer di sicurezza” nel caso qualcuno arrivi effettivamente a leggere il contenuto del sopraccitato, segretissimo pezzo di carta.
Alcuni esempi:
- suddividere la frase di tre gruppi di quattro parole ciascuna, e mettere ciascun foglio in tre luoghi diversi, A, B e C;
- annotare le parole dentro una poesia inventata, stabilendo una regola (esempio, rileggi la poesia da cima a fondo annotando, verso per verso, la prima parola del primo verso, la seconda parola del secondo verso, la terza parola del terzo verso, e così via, fino a ricostruire la seed phrase completa);
- scrivere le parole della frase su varie pagine di un libro, con annotazione della sequenza di pagine esatta su un altro pezzo di carta, che verrà a sua volta stivato in sicurezza.
Le possibilità sono talmente numerose da risultare praticamente infinite, oltre che appannaggio della sola fantasia dell’utente che potrò efficacemente personalizzare il suo metodo.
Come ovvio, il solo rischio di queste tecniche steganografiche – per le quali consigliamo di consultare il Web, alla ricerca di quella che può essere più adatta allo specifico uso e circostanza — è la loro applicazione senza opportuna attenzione verso noi stessi.
Ossia, bisogna fare attenzione a un paradosso: codifiche troppo complesse potrebbero farci rischiare di nascondere perfettamente l’effettiva frase a terzi, ma di nasconderla per sempre anche a noi stessi, nel caso non venga rammentata la logica applicata!
Il consiglio è quindi quello di adottare, nel caso si voglia in qualche modo “offuscare” la seed phrase, dei metodi abbastanza semplici da ricordare, che agiscano “in aggiunta e non in sostituzione” della buona abitudine di nascondere il foglio di carta che la contiene in un posto sicuro: una cassaforte, un libro con doppio fondo, una scatola sotto chiave, etc…
Altri consigli e procedure
Accanto alle procedure standard di stivaggio e protezione della seed phrase ce ne sono altre che si sono affiancate, e che possono essere interessanti. A tale proposito ne citiamo qualcuna degna di nota…
Paper wallet
Un “paper wallet” altro non è che un particolare “cedolino” facilmente ottenibile attraverso software dedicati, che si riduce a un documento in formato PDF facilmente stampabile e ritagliabile.
Questo cedolino, che nella fattispecie ha una forma grafica adatta alla ripiegatura su sé stesso (proprio come una specie di portafoglio fisico), riporta due dati: la chiave privata e la chiave pubblica di una certa locazione crittografica.
Grazie alla piegatura, queste informazioni (specialmente la chiave privata, per le ragioni che abbiamo descritto), che per la precisione sono espresse non solo in forma “stringa”, ma anche in più agevole versione QR-code (leggibile da qualcunque software moderno con accesso a fotocamera), vengono appunto nascoste all’interno del “plico”, e possono essere stivate esattamente come un comune pezzo di carta riportante l’intera seed phrase.
La ragione del paper wallet? In realtà è solo una, e ha a che fare con la velocità e la comodità. I fondi presenti in un paper wallet che viene aperto dalla persona alla quale è indirizzato sono infatti direttamente “spazzolabili” (in gergo si usa infatti il verbo inglese “sweep”) attraverso specifici wallet che leggono il QR-code della private key e immediatamente – senza bisogno di riportare la seed phrase parola per parola – raccolgono i fondi presenti in quello specifico wallet trasferendoli quello già presente nel device dal quale è stata comandata l’operazione.
A parte la componente velocità di “spazzolamento fondi”, la differenza tra un comune pezzo di carta con seed phrase e un paper wallet è sottile:
Nel primo caso abbiamo effettivamente il wallet X che viene trascritto dentro un device atto a controllarne i fondi.
Nel secondo abbiamo un secondo wallet Y (quello identificato dal paper wallet) che attraverso una procedura automatica “comandata” dalla chiave privata (sempre di Y) scarica – ovvero trasferisce – tutti i suoi fondi in un generico wallet X già configurato dall’utente, aggiungendoli a quelli in essere.
A parte questa differenza, vale per il paper wallet la stessa necessità di attenzione di stivaggio che dedichiamo alla conservazione e custodia di una seed phrase cartacea. Con alcuni accorgimenti in più:
Esistono dei software online di produzione, attraverso procedure a numeri casuali, di questi paper wallet stampabili. Ebbene, si consiglia caldamente di utilizzare questi software non già in rete, ma solo in un secondo momento, dopo averli scaricati in locale come semplici pagine HTML. Questo serve per evitare che eventuali software malevoli possano spiare il processo e carpire le relative chiavi private in fase di generazione.
In secondo luogo, per la stampa dei paper wallet, si consiglia una comune stampante, e non una di quelle cosiddette “smart printer” che si collegano direttamente a Internet per effettuare procedure complesse di aggiornamento, trasmissione e condivisione dati in rete.
Questo accorgimento segue lo stesso principio: una stampante “intelligente e connessa” potrebbe essere in qualche modo hackerata per fornire informazioni a terzi sull’immagine stampata, con relativa diffusione del suo contenuto.
La seed phrase “metallica”
Esistono in commercio delle soluzioni che permettono di scrivere la seed phrase – attraverso un articolato sistema di punzonatura – addirittura in una lamina metallica ignifuga e altamente resistente, che poi può essere nascosta in luogo sicuro esattamente come nel caso del ben più comune pezzo di carta.
La motivazione d’acquisto di tali prodotti non sta evidentemente nella sicurezza puramente visiva, per quanto in molti casi venga fornita nel pacchetto una metodica “cifrata” per nascondere i dati punzonati sul metallo, e reinterpretarli correttamente solo in fase di riapertura attraverso opportuno elemento decodificante.
La vera ragione è soprattutto la difesa della seed phrase da possibili eventi “fisici”, che potrebbero chiaramente portare alla distruzione di un banale pezzo di carta assieme a tutto il suo contenuto: primo fra tutti, un incendio.
Una procedura del genere, lungi dall’essere obbligatoria, può essere però consigliabile nel caso di wallet dove si prevede di contenere una quantità ingente di crypto in regime di autocustodia.
Per quantità più esigue, comunque, i comuni sistemi analogici rimangono ragionevolmente e concretamente quelli più consigliabili.
Conclusioni
La seed phrase è in assoluto il cuore del wallet. Perderla, o addirittura vedersela sottratta e utilizzata da terzi, significa non avere più a disposizione i fondi nella relativa locazione crittografica, ovvero rendere inutile l’intero processo di autocustodia.
Il detto “da una grande libertà deriva anche una grande responsabilità” vale quindi certamente anche per il mondo delle criptovalute.
Le procedure di conservazione in sicurezza della seed phrase non hanno comunque nulla di complicato, né di costoso: richiedono solo la giusta dose di precisione, buonsenso e attenzione.
Scrivere su un banale pezzo di carta la seed phrase, stando attenti a riportarla tutta in sequenza, lettera per lettera, è già la parte preponderante del lavoro di messa in sicurezza della stessa.
Subito dopo è opportuno stivarla in un luogo che sia ragionevolmente sicuro: per alcuni può essere una cassaforte, ma per altri potrebbe essere anche un luogo totalmente unico e inaccessibile, se non appunto al legittimo proprietario.
Qualora lo si ritenga opportuno, può essere utile adottare un certo cifrario personale per “mascherare” la frase reale, rendendola illeggibile a terzi.
Tale cifratura deve però fare capo a un sistema di “de-cifratura” che rimanga sempre a disposizione dell’utente, e che non venga, come ovvio, dimenticato, rendendo la frase indecifrabile anche parte di chi lo ha predisposto.
Qualsiasi procedura di messa in sicurezza di una seed phrase dovrebbe evitare soluzioni “cloud”, e anche registrazioni in file contenuti in un comune computer o smartphone.
Per quanto esistano sul mercato svariati strumenti di crittazione e decrittazione, che certamente possono fornire soluzioni valide, è sempre opportuno ricordare che i device in questioni sono costantemente a contatto col Web, e quindi – per colpa sia nostra che altrui (un famigliare, un bambino, logicamente senza alcun dolo) – possono essere penetrati da software malevoli in grado di leggere il loro contenuto.
Piuttosto, una soluzione interessante, anche magari per suddividere su più wallet una cifra ingente, potrebbe essere rappresentata da più paper wallet.
La creazione dei paper wallet, però, deve seguire anch’essa una procedura offline: scaricare il software, scollegare il PC, generare i vari wallet, stamparli su un foglio di carta con stampante rigorosamente offline, ritagliarli, piegarli e stivarli esattamente come si farebbe con varie seed phrase cartacee.
Come detto, le soluzioni prettamente fisiche e analogiche, associate a un certo buonsenso, sono la più solida garanzia di efficacia dell’auto-custodia, e permettono all’utente generico di mantenere in sicurezza le proprie crypto come nella più sicura delle banche. Ma gestita in piena autonomia.
Filippo Albertin
