Custodia delle chiavi private: cosa succede alle criptovalute quando si perde l’accesso al wallet
La perdita di un telefono, il guasto di un computer o la cancellazione accidentale di un’applicazione possono impedire l’accesso a un wallet di criptovalute. Le conseguenze dipendono però da un elemento che molti utenti scoprono soltanto quando si presenta il problema: chi possiede le chiavi necessarie per autorizzare le operazioni.
Nel caso di un portafoglio gestito autonomamente, smarrire definitivamente le credenziali crittografiche può significare perdere la possibilità di utilizzare le criptovalute, anche se queste continuano a risultare registrate sulla blockchain. Quando invece gli asset sono affidati a un intermediario, possono esistere procedure di recupero dell’account, soggette alle condizioni contrattuali e ai controlli di sicurezza del servizio.
La custodia delle chiavi private determina quindi una differenza sostanziale nella gestione del patrimonio digitale. Incide sulle possibilità di recupero, sulle responsabilità dell’utente e sulle tutele applicabili quando interviene un problema tecnico, un furto o un errore umano.
Perché perdere il wallet non significa sempre perdere le criptovalute
Un wallet non contiene materialmente le criptovalute come un portafoglio tradizionale custodisce banconote. Gli asset sono rappresentati da registrazioni sulla blockchain, mentre il software o il dispositivo utilizzato dall’utente permette di gestire le credenziali crittografiche necessarie per autorizzare le transazioni.
La chiave privata è un’informazione segreta attraverso la quale è possibile produrre firme digitali valide. Chi ne dispone può generalmente autorizzare il trasferimento degli asset associati, secondo le regole della rete e dello specifico sistema di gestione.
La chiave pubblica, e gli indirizzi eventualmente derivati da essa, svolgono una funzione differente: consentono di identificare le destinazioni dei trasferimenti e verificare le firme, senza rivelare la chiave privata.
Questa distinzione spiega perché un dispositivo danneggiato non comporti necessariamente una perdita economica. Se l’utente conserva un sistema valido di ripristino, può recuperare l’accesso attraverso un’applicazione o un dispositivo compatibile.
Il problema diventa molto più serio quando vengono perdute contemporaneamente le chiavi, le eventuali credenziali di recupero e tutte le copie utilizzabili.
La blockchain non dispone normalmente di una procedura centrale per ricostruire una chiave privata smarrita. La possibilità di recupero dipende quindi dall’architettura del wallet e dagli strumenti predisposti prima dell’incidente.
Seed phrase: come funziona la frase di recupero
Molti wallet utilizzano una sequenza di parole, comunemente chiamata seed phrase o recovery phrase, che consente di ricostruire le informazioni crittografiche necessarie per accedere agli asset.
Nei portafogli basati sullo standard BIP39, la frase è generalmente composta da 12, 15, 18, 21 oppure 24 parole selezionate da un elenco prestabilito. La sequenza rappresenta informazioni generate attraverso un procedimento crittografico e viene utilizzata per derivare un seme dal quale possono essere prodotte numerose chiavi.
Le parole non costituiscono quindi una password convenzionale scelta dall’utente. Sono una rappresentazione di informazioni crittografiche che devono essere conservate nella sequenza corretta.
La seed phrase rappresenta spesso il principale strumento di ripristino di un wallet non custodial. Se il dispositivo originale smette di funzionare, una frase valida può permettere di ricostruire il portafoglio attraverso strumenti compatibili.
Non tutti i sistemi utilizzano però lo stesso standard. Alcuni wallet prevedono procedure differenti, account basati su smart contract, sistemi di recupero sociale oppure ulteriori credenziali.
In determinate configurazioni, inoltre, alla seed phrase viene associata una passphrase aggiuntiva. Conoscere soltanto le parole potrebbe non essere sufficiente per accedere al portafoglio desiderato.
Anche la compatibilità tra applicazioni richiede attenzione: il ripristino delle informazioni crittografiche non garantisce automaticamente che ogni programma visualizzi gli stessi account, indirizzi o asset senza configurazioni appropriate.
La custodia delle chiavi private comprende dunque la conservazione della seed phrase, ma non si esaurisce necessariamente in essa. Occorre conoscere le caratteristiche del sistema utilizzato e gli eventuali requisiti aggiuntivi di recupero.
Quando il recupero diventa tecnicamente impossibile
La perdita della seed phrase non comporta automaticamente l’impossibilità di accedere alle criptovalute.
Se il wallet originale è ancora funzionante e l’utente dispone delle credenziali necessarie per utilizzarlo, potrebbe essere possibile mettere al sicuro gli asset prima che si verifichi un guasto definitivo. Le opzioni dipendono dal software e dalle impostazioni di sicurezza adottate.
Diversa è la situazione di un portafoglio non custodial nel quale non esistano più copie utilizzabili delle chiavi, credenziali di ripristino o altri meccanismi di recupero precedentemente configurati.
In queste condizioni, la perdita dell’accesso può essere definitiva.
Le informazioni registrate sulla blockchain non consentono di ricostruire una chiave privata partendo semplicemente dall’indirizzo pubblico. I sistemi crittografici utilizzati dalle principali reti sono progettati proprio per impedire che tale operazione sia computazionalmente praticabile.
Neppure conoscere il saldo, la cronologia delle transazioni o l’identità del proprietario permette di superare questo limite.
Sul sito ufficiale di Ethereum viene chiarito che, in assenza della frase di recupero o delle chiavi private, non esiste una procedura generale attraverso la quale la rete possa ripristinare l’accesso a un wallet autonomo.
Bisogna distinguere inoltre tra perdita dell’accesso e trasferimento fraudolento degli asset. Nel primo caso, le criptovalute possono rimanere ferme a un indirizzo senza che il proprietario riesca a utilizzarle. Nel secondo, un soggetto non autorizzato potrebbe averle già trasferite altrove.
Le due situazioni richiedono valutazioni differenti e non devono essere confuse con un semplice malfunzionamento dell’applicazione.
Custodia personale e intermediari: responsabilità differenti
La scelta tra wallet custodial e non custodial modifica profondamente la distribuzione delle responsabilità.
Con un wallet non custodial, l’utente mantiene il controllo diretto delle proprie chiavi private. Non deve necessariamente affidarsi a un intermediario per autorizzare ogni trasferimento, ma assume anche la responsabilità di proteggere le credenziali e predisporre sistemi di recupero adeguati.
Un hardware wallet, per esempio, può mantenere le chiavi private all’interno di un dispositivo progettato per limitarne l’esposizione. Questo riduce alcuni rischi informatici, ma non elimina quelli legati allo smarrimento del dispositivo, alla compromissione della frase di recupero o a una conservazione inadeguata.
Nei servizi custodial la situazione cambia. L’intermediario conserva o controlla i mezzi di accesso alle criptovalute per conto del cliente, secondo le caratteristiche del servizio offerto.
L’utente accede normalmente attraverso un account protetto da password, autenticazione a più fattori e altri controlli.
Se perde la password dell’account, potrebbe essere disponibile una procedura di ripristino dell’identità e delle credenziali. Il recupero non è tuttavia automatico: possono essere richieste verifiche documentali, controlli antifrode o ulteriori accertamenti.
La custodia delle chiavi private affidata a un operatore esterno trasferisce quindi parte della gestione tecnica e della sicurezza all’intermediario, ma introduce ulteriori rischi. Tra questi rientrano gli incidenti informatici, le interruzioni del servizio, le limitazioni operative e le difficoltà derivanti da eventuali crisi dell’operatore.
Anche l’espressione wallet custodial richiede una verifica concreta. La semplice presenza di un’applicazione aziendale, di un servizio di assistenza o di una procedura di accesso con password non dimostra che il fornitore possa effettivamente ripristinare il controllo degli asset.
Le regole MiCA per i fornitori che custodiscono criptovalute
Nell’Unione europea, il regolamento MiCA, ossia il Regolamento UE 2023/1114 sui mercati delle cripto-attività, disciplina anche i servizi di custodia e amministrazione di cripto-attività per conto dei clienti.
L’articolo 75 introduce obblighi specifici per i prestatori di servizi autorizzati che svolgono questa attività.
Il rapporto contrattuale deve individuare le responsabilità delle parti, descrivere il servizio prestato, indicare la politica di custodia e fornire informazioni sui sistemi di sicurezza, sulle modalità di comunicazione e sui costi applicati.
I fornitori devono inoltre adottare procedure finalizzate a ridurre il rischio di perdita degli asset o dei mezzi di accesso a causa di frodi, minacce informatiche e negligenza.
Un elemento particolarmente rilevante riguarda la separazione tra il patrimonio dell’intermediario e quello della clientela. MiCA prevede obblighi di segregazione giuridica e operativa delle cripto-attività detenute in custodia, con l’obiettivo di tutelare i diritti dei clienti anche in situazioni di insolvenza del prestatore.
La normativa disciplina anche la responsabilità per le perdite. Secondo l’articolo 75, il fornitore risponde della perdita di cripto-attività o dei relativi mezzi di accesso quando l’incidente è a lui attribuibile, entro il limite del valore di mercato degli asset perduti al momento dell’evento.
L’autorizzazione prevista da MiCA non equivale però a una garanzia di recupero in qualsiasi circostanza. La responsabilità dipende dalle cause dell’incidente e dalle disposizioni applicabili.
Il regolamento non trasforma inoltre le criptovalute in depositi bancari coperti automaticamente dai relativi sistemi di garanzia.
Nell’avvertimento congiunto pubblicato il 6 ottobre 2025, le autorità europee EBA, ESMA ed EIOPA hanno richiamato l’attenzione sui rischi delle cripto-attività e sulla possibilità che le protezioni giuridiche risultino limitate.
Le autorità hanno anche raccomandato di verificare l’autorizzazione europea del prestatore e i servizi per i quali questa è stata effettivamente concessa.
Per la custodia delle chiavi private affidata a terzi, la verifica deve quindi riguardare il soggetto che svolge concretamente il servizio, il suo status regolamentare e le condizioni contrattuali applicate.
Come proteggere le credenziali senza aumentare il rischio di furto
La conservazione della seed phrase presenta un problema particolare: le stesse informazioni che consentono al proprietario di recuperare un wallet possono permettere a un’altra persona di appropriarsi degli asset.
Chi entra in possesso di una frase di recupero valida può infatti essere in grado di ricostruire le chiavi e autorizzare trasferimenti, senza necessariamente conoscere la password utilizzata per accedere all’applicazione originale.
Per questo motivo, la protezione delle credenziali deve tenere conto sia della perdita accidentale sia dell’accesso non autorizzato.
Conservare una seed phrase in una fotografia sul telefono, in un documento facilmente accessibile o in un archivio digitale privo di protezioni adeguate può esporla a furti di dati, malware e compromissioni degli account.
La conservazione offline riduce alcune forme di esposizione informatica, ma richiede a sua volta misure contro smarrimento, distruzione e accesso fisico da parte di estranei.
Anche la scelta di predisporre più copie presenta conseguenze operative. Una sola copia può andare perduta; copie distribuite senza controllo possono aumentare le possibilità che le credenziali vengano intercettate.
La corretta custodia delle chiavi private richiede pertanto un equilibrio tra disponibilità e riservatezza, calibrato sul valore degli asset e sulle caratteristiche del sistema utilizzato.
È inoltre necessario distinguere le credenziali crittografiche dalle normali password di accesso. Cambiare la password di un’applicazione non rende inutilizzabile una seed phrase eventualmente sottratta, se questa continua a permettere la ricostruzione delle chiavi.
Un ulteriore rischio riguarda i falsi servizi di recupero. Attraverso siti contraffatti, messaggi privati e contatti presentati come assistenza tecnica, i truffatori possono chiedere agli utenti di comunicare la frase segreta per verificare il portafoglio o ripristinarne il funzionamento.
La richiesta di condividere una seed phrase costituisce un segnale di pericolo particolarmente significativo. Un operatore che riceve tali informazioni potrebbe utilizzarle per sottrarre le criptovalute.
Cosa verificare quando l’accesso è già stato perduto
Quando un wallet risulta inaccessibile, il primo elemento da chiarire è la natura del problema.
Un’applicazione che non si avvia, un dispositivo danneggiato e un account temporaneamente bloccato non rappresentano necessariamente una perdita delle chiavi private.
È quindi utile verificare la tipologia del portafoglio e individuare quali credenziali risultino ancora disponibili, senza esporle a servizi sconosciuti o a soggetti non autorizzati.
Nel caso di un wallet non custodial, la documentazione ufficiale del software può chiarire quali sistemi di ripristino siano previsti. Se esiste una seed phrase valida, la possibilità di recupero dipenderà anche dalla compatibilità del programma e dalle eventuali informazioni aggiuntive richieste.
Quando invece gli asset sono custoditi da un intermediario, il riferimento è costituito dalle procedure ufficiali di assistenza e identificazione previste dal contratto.
La situazione cambia ancora quando il problema deriva dalla compromissione delle credenziali. Se terzi hanno acquisito una chiave privata o una frase di recupero, il semplice ripristino dell’accesso non elimina il rischio che possano utilizzare le stesse informazioni.
Occorre infine evitare di confondere i servizi di analisi della blockchain con quelli di recupero. La consultazione delle transazioni può aiutare a ricostruire i movimenti degli asset e a individuare eventuali trasferimenti, ma non permette di generare le chiavi mancanti.
La distinzione assume particolare rilievo anche nelle controversie con gli intermediari. Un cliente che non riesce ad accedere al proprio account può trovarsi in una situazione diversa da quella di un utente che ha perduto autonomamente tutte le credenziali di un wallet personale.
Nel primo caso possono entrare in gioco gli obblighi contrattuali e regolamentari del prestatore. Nel secondo, se non sono disponibili meccanismi di recupero già predisposti, potrebbe non esistere alcun soggetto tecnicamente in grado di restituire l’accesso.
Il controllo delle chiavi determina anche le possibilità di tutela
La custodia delle chiavi private assume un’importanza particolare quando le criptovalute vengono detenute per periodi prolungati o rappresentano una parte significativa del patrimonio.
Un wallet può rimanere inutilizzato per anni senza che questo comprometta automaticamente le registrazioni presenti sulla blockchain. La disponibilità effettiva delle somme dipenderà però dalla possibilità di recuperare e utilizzare le credenziali necessarie.
La questione interessa anche la continuità nella gestione patrimoniale, comprese le situazioni di incapacità o decesso del titolare. L’esistenza di diritti sulle cripto-attività non garantisce, da sola, che gli aventi diritto dispongano degli strumenti tecnici per trasferirle.
Per i portafogli autonomi, la pianificazione della conservazione delle credenziali deve quindi considerare anche queste circostanze, senza compromettere la riservatezza delle chiavi.
Nei rapporti con intermediari regolamentati, invece, acquistano rilievo le procedure di identificazione, la documentazione contrattuale e gli obblighi di restituzione degli asset previsti dalla normativa.
L’articolo 75 di MiCA richiede ai fornitori di custodia di predisporre procedure per restituire ai clienti le cripto-attività detenute per loro conto o i relativi mezzi di accesso nel più breve tempo possibile.
È una tutela che riguarda il rapporto con il prestatore, non la ricostruzione di credenziali crittografiche definitivamente smarrite in un sistema autonomo. La differenza resta decisiva: il diritto di disporre di un patrimonio digitale e la capacità tecnica di accedervi sono due condizioni distinte, che devono entrambe essere considerate nella scelta delle modalità di custodia.
