Frasi seed: come funzionano, come conservarle e cosa non possono recuperare

Immagina una chiave universale che apre tutte le porte di un edificio: l’ingresso, l’ufficio, la cassaforte. Ora immagina che quella chiave sia insostituibile. Nessun fabbro può farne una copia e il responsabile dell’edificio non ne custodisce una di riserva. Nel mondo crypto, questa è una frase seed. Se la perdi, perdi tutto ciò che protegge. Se la affidi a qualcun altro, quella persona entra in possesso di tutto.

Questa guida raccoglie tutto quello che c’è da sapere: che cosa codificano davvero queste 12 o 24 parole, come si trasformano nelle chiavi di decine di blockchain, come conservarle, che cosa possono e non possono recuperare e quali problemi emergono solo quando ripristini il wallet. Se leggi un solo articolo sulla sicurezza dei wallet, scegli questo.

In parole semplici

Una frase seed (detta anche frase mnemonica o frase di recupero) è un elenco di 12 o 24 parole inglesi di uso comune, come correct horse battery staple, che insieme codificano il segreto principale alla base dell’intero wallet crypto. Non è una password che hai scelto tu. È la forma leggibile di un numero casuale così grande che indovinarlo è impossibile dal punto di vista computazionale.

Quando ripristini un wallet su un nuovo dispositivo, inserisci le parole nell’ordine giusto e ritrovi ogni indirizzo e chiave privata che quel wallet abbia mai generato. Nessun recupero dell’account, nessuna richiesta all’assistenza, nessuna attesa. È proprio questo il vantaggio, ma anche il rischio.

Che cos’è davvero una frase seed

Il processo è standardizzato dal BIP-39 (Bitcoin Improvement Proposal 39), che definisce come il software del wallet trasforma la casualità grezza in un elenco di parole.

1. Il wallet genera un numero casuale, detto entropia: 128 bit per una frase di 12 parole, 256 bit per una frase di 24 parole. In totale sono previste cinque lunghezze (128 bit corrispondono a 12 parole, 160 a 15, 192 a 18, 224 a 21, 256 a 24).
2. Viene aggiunto un breve checksum. Il wallet calcola l’hash SHA-256 dell’entropia e prende i primi bit del risultato: 4 bit per un’entropia di 128 bit, 8 bit per un’entropia di 256 bit.
3. L’entropia e il checksum vengono divisi in blocchi da 11 bit. Ogni blocco è un indice in un elenco fisso di 2.048 parole inglesi, quindi ogni parola codifica esattamente 11 bit. Per questo le frasi seed sono sempre composte da parole presenti nel dizionario, mai da stringhe arbitrarie.
4. Il risultato è una frase di 12 parole per 128 bit di entropia o di 24 parole per 256 bit.

Nella pratica contano due dettagli di progettazione. Le prime quattro lettere di ogni parola dell’elenco sono uniche, quindi è possibile abbreviare le parole senza ambiguità. Inoltre, il checksum permette di rilevare gli errori di battitura: se un wallet rifiuta una frase durante l’importazione, significa che il checksum non corrisponde. Di solito vuol dire che una parola è sbagliata o nell’ordine errato, non che i fondi siano spariti.

L’elenco di parole è lo stesso per tutti i wallet compatibili con BIP-39. Per questo puoi ripristinare una frase seed di Zelcore in altri wallet compatibili e viceversa.

Una frase di 12 parole offre 128 bit di sicurezza, lo stesso livello di una singola chiave privata Bitcoin. Una frase di 24 parole ne offre 256. Con l’hardware attuale o prevedibile, entrambe sono impossibili da violare con un attacco a forza bruta. La scelta dipende quindi dal tuo modello di rischio e da quante parole sei disposto a trascrivere, non dal fatto che una delle due sia «insicura».

Dalle parole al seed principale: PBKDF2 e la passphrase

Le parole non vengono usate direttamente come chiave: sono l’input di una funzione che rende più complessa la derivazione della chiave.

PBKDF2 prende la frase mnemonica come stringa e vi applica HMAC-SHA512 per 2.048 volte. Il salt è la parola mnemonic seguita da una passphrase facoltativa, talvolta chiamata venticinquesima parola. Il risultato è un valore di 512 bit detto seed principale. Questo passaggio rende costosi i tentativi a forza bruta, anche se un attaccante conosce quasi tutta la frase.

La passphrase è la causa di molti problemi, quindi è bene essere precisi:

• Non viene conservata da nessuna parte: né nell’hardware wallet, né nell’app, né nel backup. Esiste solo nella tua memoria o in una registrazione scritta separata.
• Una passphrase diversa, anche vuota, genera un seed principale completamente diverso e quindi un wallet completamente diverso. Due wallet derivati dalle stesse parole ma da passphrase diverse non hanno alcun legame crittografico.
• Una passphrase vuota è valida e genera il wallet standard che usa la maggior parte delle persone.

Il modello di sicurezza prevede due fattori: chi ruba le parole ma non la passphrase accede al wallet predefinito, che può fungere da esca con un saldo ridotto. Il compromesso è significativo. Dimenticare la passphrase è irreversibile: non si può reimpostare e non c’è modo di chiedere assistenza. La venticinquesima parola spiega quando vale la pena usare questa funzione; in breve, chi è agli inizi dovrebbe prima imparare a gestire correttamente una normale frase seed.

Dal seed principale a ogni chiave: BIP-32 e BIP-44

Il seed principale da 512 bit viene passato a HMAC-SHA512 insieme alla stringa di chiave fissa Bitcoin seed. Il risultato si divide in due parti: i 256 bit a sinistra diventano la chiave privata principale, mentre i 256 bit a destra diventano il chain code, un valore di entropia usato in ogni passaggio successivo della derivazione. Insieme formano la radice di un wallet gerarchico deterministico (HD), come definito dal BIP-32.

Da quella radice il wallet deriva un albero virtualmente illimitato di chiavi figlie. A ogni passaggio, un’altra operazione HMAC-SHA512 combina la chiave del genitore, il chain code e un numero indice. Esistono due modalità:

• La derivazione hardened usa la chiave privata del genitore. Le chiavi figlie derivate in questo modo non possono essere calcolate nemmeno da chi possiede la chiave pubblica estesa del genitore (xpub). Così una xpub esposta non può provocare una fuga a catena di chiavi private.
• La derivazione normale usa la chiave pubblica del genitore. In questo modo i wallet di sola visualizzazione e gli exchange possono generare indirizzi di deposito senza mai accedere a una chiave privata.

Il BIP-44 standardizza la struttura dei percorsi per le diverse criptovalute:

m / 44' / coin_type' / account' / change / address_index

Il valore di coin_type cambia a seconda della blockchain: Bitcoin è 0, Ethereum è 60 e così via per centinaia di criptovalute registrate. Gli apostrofi nei primi tre livelli indicano una derivazione hardened e proteggono le chiavi a livello di account anche se viene esposta una xpub a livello di indirizzo. È così che una sola frase seed può eseguire il backup di un intero wallet multi-chain: ogni blockchain si trova in un percorso diverso sotto la stessa radice. È così che Zelcore deriva account per oltre 80 chain da una sola frase. Il problema della custodia multi-chain approfondisce l’argomento.

Poiché ogni passaggio è deterministico, lo stesso seed genera sempre le stesse chiavi. Conoscere soltanto la chiave privata principale non basta per ricavare tutte le chiavi figlie, perché ogni derivazione richiede anche il chain code. La frase seed, però, contiene entrambi. Chiunque abbia la frase seed ha tutto.

Perché perderla è definitivo

Le blockchain non prevedono il recupero della password. Nessuna azienda conserva una copia delle tue chiavi e nessun modulo di assistenza può recuperare i fondi persi. Quando firmi una transazione sulla blockchain, usi una chiave privata derivata dalla tua frase seed. Se la frase seed è persa, lo sono anche le chiavi e i fondi associati a quegli indirizzi restano bloccati per sempre.

Secondo le stime dei ricercatori, da 2.3 a 3.7 milioni di BTC sono inaccessibili per sempre. Gran parte di questi fondi è andata persa perché, nei primi anni di Bitcoin, le frasi seed e le chiavi private non venivano salvate correttamente.

Il PIN di un hardware wallet non ti protegge da questo rischio. Dopo troppi tentativi di inserimento errati, l’hardware wallet si cancella da solo. Il dispositivo non è più utilizzabile, ma la tua frase seed, custodita offline, ti permette di ripristinarlo su un nuovo dispositivo in pochi minuti. Senza la frase, possedere il dispositivo fisico non basta.

Ecco perché, quando configuri un wallet, devi scrivere subito la frase e verificarla prima di depositare anche una sola moneta.

Cosa recupera la frase seed e cosa no

«Ho la mia frase seed, quindi sono a posto» è vero per gli account standard, ma non per alcune cose che si pensa di poter recuperare.

Cosa puoi recuperare con la sola frase seed:

• I saldi on-chain e lo storico delle transazioni di ogni account BIP-44 standard
• Tutti gli indirizzi derivati su tutte le blockchain supportate
• La possibilità di spendere i fondi da ciascuno di questi indirizzi

Cosa non puoi recuperare con la frase seed:

• I PIN degli hardware wallet, le etichette personalizzate degli account e i contatti della rubrica degli indirizzi. Sono metadati salvati solo sul dispositivo.
• Lo stato dei canali della Lightning Network. Lightning è off-chain; per recuperare i saldi dei canali aperti serve anche un file static channel backup (SCB) oltre alla frase seed.
• Le configurazioni di wallet di sola lettura che usano percorsi di derivazione non standard.
• I dati specifici delle app, come le etichette del portafoglio, gli avvisi sui prezzi e gli endpoint RPC personalizzati. In Zelcore, dopo il ripristino dovrai ricreare i contatti e le impostazioni; i tuoi saldi non cambiano.

Il ripristino di un hardware wallet è completo se la frase seed è intatta e hai dimenticato solo il PIN. Se hai perso anche la frase seed, il dispositivo diventa un mattone.

Come conservare la frase seed

Una volta capito cos’è la frase, le regole sono chiare.

Da fare:

• Scrivila su carta, nell’ordine corretto, appena compare durante la configurazione.
• Completa la verifica richiesta dal wallet, poi prova davvero a ripristinarlo prima di depositare somme importanti.
• Conserva almeno due copie in luoghi sicuri e fisicamente separati: una cassaforte ignifuga, una cassetta di sicurezza o un luogo esterno fidato.
• Per conservare fondi a lungo termine, incidi la frase su una piastrina di metallo per il backup. L’acciaio o il titanio resistono alle temperature di un tipico incendio domestico e agli allagamenti. La carta no.

Da non fare mai:

• Non fotografarla. Nella maggior parte dei telefoni, le foto vengono sincronizzate automaticamente con i servizi cloud.
• Non inserirla in app, estensioni o siti web, a meno che tu non stia ripristinando volontariamente un wallet; anche in quel caso, verifica la provenienza del software.
• Non inviarla via e-mail e non salvarla in un’app per appunti, in un documento cloud o in un gestore di password online.
• Non condividerla con nessuno. Nessun fornitore di wallet, exchange o addetto all’assistenza te la chiederà mai. Chi lo fa sta cercando di rubarti i fondi. L’assistenza di Zelcore non ti chiederà mai la frase seed.

Scegli il supporto in base ai rischi che corri

La domanda non è «qual è il backup migliore?», ma «da cosa mi sto proteggendo?». Per la maggior parte delle persone, i rischi realistici non sono gli attacchi mirati, ma gli incendi domestici, le alluvioni, i furti e il dimenticare dove si trova il backup.

• Carta: costa poco ed è leggibile, ma si deteriora col tempo e non resiste al fuoco o all’acqua.
• Metallo: resiste a entrambi, ma costa di più e richiede più tempo per essere preparato. Quando perdere i fondi sarebbe un problema, il metallo è la scelta pratica.
• Copie digitali (foto, archiviazione cloud, note nei gestori di password): basta una violazione di un account per perdere tutto. Non sono consigliate per la frase seed.

Dividere la frase è una trappola

Conservare metà delle parole in un luogo e l’altra metà in un altro è una pratica diffusa che riduce la sicurezza. Trovare metà di una frase di 12 parole restringe abbastanza lo spazio di ricerca da rendere possibile un attacco di forza bruta. Se vuoi distribuire il rischio tra più luoghi, conserva copie complete separate oppure usa Shamir's Secret Sharing (SLIP-39). Questo metodo divide il segreto in N quote, di cui ne bastano M per ricostruirlo senza indebolire le singole quote. Trezor supporta SLIP-39; il supporto non è universale negli altri wallet.

Problemi di ripristino di cui nessuno ti avverte

Questi problemi emergono solo al momento del ripristino, quando la posta in gioco è più alta.

Passphrase dimenticata. Le parole vengono inserite correttamente, ma il wallet genera indirizzi senza saldo. Non compare alcun messaggio di errore. I fondi restano nel wallet protetto dalla passphrase, a cui non puoi più accedere. È il problema irreversibile più comune tra chi attiva una passphrase e la affida solo alla memoria.

Percorso di derivazione errato. Se ripristini un wallet che usa BIP-49 (SegWit incapsulato) o BIP-84 (SegWit nativo) in un’app che usa BIP-44 come impostazione predefinita, la stessa frase seed genera indirizzi diversi. I saldi sembrano scomparsi. Se sai dove cercare, puoi risolvere il problema modificando il percorso di derivazione nelle impostazioni avanzate della nuova app.

Incompatibilità del wallet. Non tutti i wallet supportano tutte le lingue BIP-39 o tutti i tipi di moneta. Se ripristini il wallet con un software che non supporta il percorso della blockchain originale, non vedrai nulla. I fondi non sono persi: sono solo invisibili finché non usi un software che supporta quella blockchain.

Canali Lightning senza un file SCB. La frase seed ripristina il saldo on-chain. Per chiudere in modo collaborativo i canali aperti serve il file SCB. Senza, i canali potrebbero essere chiusi forzatamente e un backup obsoleto potrebbe permettere alla controparte di reclamare una transazione di penalità.

Backup leggibili da una fotocamera. Un codice QR con la frase seed o una foto in una galleria sincronizzata con il cloud può causare la perdita totale dei fondi se viene violato un account. La frase seed non dovrebbe mai trovarsi in un formato che una fotocamera o una cattura dello schermo possa inviare a un server.

Errori più comuni

• Salvataggio digitale. Screenshot, app per appunti, bozze e documenti cloud possono essere raggiunti da malware e violazioni dei dati. La frase seed va tenuta offline.
• Manipolazione psicologica. Le richieste di assistenza di «verificare» o «ripristinare» l’account comunicando la frase sono sempre fraudolente. La tua superficie di attacco elenca le varianti.
• Una sola copia. Una copia cartacea in un solo luogo basta perché un incendio, un’alluvione o un furto causino una perdita permanente.
• Saltare il ripristino di prova. Cinque minuti adesso possono evitarti di perdere tutto più avanti.
• Confondere la frase seed con la chiave privata. Una chiave privata controlla un solo indirizzo. La frase seed li genera tutti. Perdere una chiave è doloroso; perdere la frase seed significa perdere tutto.

Cosa fare adesso

• Verifica oggi il tuo backup. Trova la frase e controlla che ogni parola sia leggibile.
• Annota il percorso di derivazione se il tuo wallet ne usa uno non standard. Se usa il BIP-44 standard, non è necessario specificarlo.
• Conserva la passphrase separatamente e provala. Se ne usi una, esegui almeno un ripristino completo con entrambe.
• Conserva un backup statico dei canali se usi Lightning, in un luogo diverso da quello della frase seed e aggiornato dopo ogni apertura o chiusura di un canale.
• Scegli il supporto in base alla somma. Carta per piccole somme in luoghi a basso rischio; metallo quando i fondi diventano importanti.
• Prepara un piano di custodia. Il tuo piano personale di custodia trasforma queste regole in soglie concrete che puoi seguire; la guida Backup e ripristino del tuo wallet mostra i passaggi esatti in Zelcore.

In sintesi

• Una frase seed è una codifica leggibile della master entropy che genera tutte le chiavi del tuo wallet, standardizzata da BIP-39, BIP-32 e BIP-44.
• 12 parole corrispondono a 128 bit di entropia, 24 parole a 256 bit. Entrambe le combinazioni sono impossibili da indovinare.
• Perdere la frase significa perderla per sempre, senza possibilità di recupero. Lo stesso vale se dimentichi la passphrase.
• La frase seed ripristina i saldi e gli indirizzi. Non ripristina i PIN, le etichette, i canali Lightning o i percorsi non standard.
• Conserva almeno due copie offline in luoghi sicuri e separati; per importi consistenti, preferisci il metallo. Non dividere mai le parole e non inserirle mai in luoghi raggiungibili da una fotocamera o da internet.