“Not your keys, not your coins”: chi controlla davvero i tuoi bitcoin?
Capire la differenza tra custodia propria e custodia affidata è la prima difesa contro le truffe cripto più diffuse in Italia. Una guida pratica per chi vuole sapere dove sono i propri fondi.
“Non sono tue chiavi, non sono tuoi bitcoin.” Questa frase, diventata un mantra nella comunità Bitcoin, racchiude un concetto tecnico e pratico che può fare la differenza tra avere davvero dei fondi e credere di averli. Molte delle truffe più devastanti che vediamo ogni anno in Italia si basano esattamente su questa confusione.
Cosa significa davvero “possedere” bitcoin
Bitcoin non esiste fisicamente. Non c’è nessun file sul tuo computer che contiene monete. La blockchain — il registro pubblico e immutabile delle transazioni — tiene traccia di quanti satoshi sono associati a ogni indirizzo. Quello che “possiedi” davvero è la chiave privata: una stringa di caratteri crittografici che ti permette di firmare le transazioni e spostare i fondi associati a quell’indirizzo.
Chi controlla la chiave privata, controlla i fondi.
Punto.
Non conta il contratto che hai firmato con una piattaforma, non conta che il tuo nome compaia su una dashboard, non conta nessun documento PDF con loghi bancari.
Se la chiave privata non è tua, i bitcoin non sono tuoi — nel senso più tecnico e definitivo del termine.
La chiave privata è un numero generato casualmente di 256 bit, da cui deriva un indirizzo Bitcoin pubblico. La seed phrase (12 o 24 parole) è la sua rappresentazione leggibile, da cui si può ricostruire l’intera gerarchia di chiavi di un wallet.
Chiunque conosca la seed phrase ha accesso completo e irreversibile ai fondi.
Le due forme di custodia: propria e delegata
Quando si parla di “avere bitcoin” esistono fondamentalmente due situazioni molto diverse tra loro.
Custodia propria (self-custody)
Generi un wallet, ottieni una seed phrase, la custodisci tu. L’hardware wallet — un dispositivo fisico come Ledger o Trezor — è lo strumento più diffuso per farlo in modo sicuro: le chiavi private non lasciano mai il dispositivo, anche quando firmi una transazione. Se il dispositivo viene perso o distrutto, puoi recuperare tutto con la seed phrase su un nuovo dispositivo.
La self-custody richiede disciplina: proteggere la seed phrase da furti, incendi, occhi indiscreti. È la soluzione più sicura contro truffe esterne, ma introduce una responsabilità personale che molti sottovalutano. Chi perde la seed phrase senza backup perde i fondi per sempre — non esiste un numero verde da chiamare.
Custodia delegata a un exchange
Quando acquisti bitcoin su Coinbase, Binance o qualsiasi altro exchange e li lasci lì, stai usando la custodia delegata: l’exchange controlla le chiavi private, tu hai un credito nei confronti della piattaforma. È lo stesso principio del conto corrente bancario: la banca detiene il denaro, tu hai un diritto contrattuale. Exchange regolamentati e quotati in borsa come Coinbase offrono garanzie reali — assicurazioni sui depositi, audit, vigilanza — ma il rischio di controparte non scompare mai del tutto. Lo ha dimostrato il fallimento di FTX nel 2022, che ha lasciato centinaia di migliaia di utenti senza accesso ai fondi per mesi.
“Comprare bitcoin su un exchange regolamentato è legale e relativamente sicuro per importi medio-piccoli. Il problema nasce quando si lascia tutto lì per anni, o peggio quando ci si fida di piattaforme non regolamentate.”
Il portale finto: la truffa che sfrutta la custodia delegata
Nelle truffe più diffuse che seguiamo da anni, il meccanismo è sempre lo stesso. La vittima viene guidata a registrarsi su un exchange reale — spesso Coinbase, che è quotata in borsa e regolamentata — e a fare un bonifico. Fino a qui tutto è lecito e tracciabile.
Il passaggio decisivo avviene dopo: i fondi vengono spostati dal conto sull’exchange a un wallet esterno. Il truffatore, collegato da remoto al dispositivo della vittima tramite app come AnyDesk o TeamViewer, esegue il trasferimento — apparentemente “per conto” della vittima. Bitcoin o qualsiasi altra criptomoneta/ stablecoin lascia l’exchange e arriva in un indirizzo che il truffatore controlla.
Da quel momento la vittima vede su un portale numeri che crescono.
Ma quel portale non è collegato a nulla di reale: è una pagina web con valori inseriti manualmente.
I “guadagni” sono finzione pura.
I fondi reali sono già irrintracciabili sulla blockchain.
Nessun broker o consulente legittimo ha bisogno di collegarsi al tuo dispositivo per operare. Se qualcuno ti chiede di installare AnyDesk, TeamViewer o qualsiasi app di controllo remoto per “aiutarti” con un investimento, interrompi immediatamente. I fondi spostati da un exchange a un wallet esterno non sono recuperabili se il wallet è controllato da terzi.
La seed phrase: perché non va mai condivisa
Se la chiave privata è il padlock di un caveau, la seed phrase è la combinazione master che lo apre sempre, su qualsiasi dispositivo. Chiunque conosca le tue 12 o 24 parole può svuotare il wallet immediatamente e irreversibilmente — non importa dove ti trovi nel mondo, non importa quante conferme d’identità hai impostato.
Le truffe che girano attorno alla seed phrase sono molteplici. Alcune usano la leva dell’emergenza: “il tuo wallet è compromesso, inserisci la seed phrase su questo sito per metterlo in sicurezza.” Altre si travestono da assistenza tecnica di Ledger o Trezor. Altre ancora fanno trovare una seed phrase “già attiva” in un forum o su social — e promettono di condividere i fondi se la vittima paga una piccola fee per sbloccarli.
La seed phrase non va mai digitata su nessun sito web, non va mai comunicata a nessuna persona — neanche al supporto tecnico di Ledger, Trezor o di qualsiasi exchange. Nessun servizio legittimo la chiede mai. Mai.
Come verificare se una piattaforma è legale
Prima di trasferire qualsiasi somma su una piattaforma di investimento in criptovalute, tre controlli minimi sono irrinunciabili.
Il primo è verificare la presenza nell’elenco OAM (Organismo Agenti e Mediatori), che in Italia raccoglie i provider di servizi in valute virtuali registrati. Non è una garanzia assoluta, ma un exchange non registrato non può operare legalmente in Italia.
Il secondo è la trasparenza degli indirizzi on-chain: un exchange serio permette di verificare gli indirizzi dei propri wallet cold e hot su blockchain explorer pubblici come mempool.space o blockchain.com. Piattaforme che non mostrano mai indirizzi reali non hanno fondi reali.
Il terzo è il test del prelievo: prima di depositare somme significative, prova a depositare una cifra minima e a ritirarla. Se il prelievo incontra ostacoli, commissioni “fiscali” da pagare prima, o semplicemente non avviene, la piattaforma è quasi certamente fraudolenta.
Conclusione: la sovranità finanziaria si impara
Bitcoin è l’unico asset finanziario al mondo in cui la distinzione tra possesso reale e possesso nominale è assoluta e immutabile. Non esiste un giudice che può congelarti i fondi, ma non esiste nemmeno una banca che può restituirteli se li perdi. Questa è la sua forza e la sua responsabilità.
Capire dove sono le tue chiavi private — e chi le controlla — è il primo passo per usare Bitcoin in modo consapevole, e la prima difesa contro le truffe che ogni anno colpiscono migliaia di italiani.
Hai dubbi su dove sono finiti i tuoi fondi?
Se pensi di essere stato truffato, o vuoi capire se una piattaforma è affidabile prima di investire, possiamo analizzare la situazione insieme in una consulenza video di 45 minuti.