Compromissione della private key: cosa significa e cosa puoi fare?

Cos'è una private key compromessa (private key compromise)?

Una private key compromessa significa che qualcun altro ha la tua chiave segreta, può usarla oppure che non sei più sicuro che sia ancora segreta. Con una private key puoi dimostrare di avere il controllo di un certo indirizzo crypto e firmare transazioni da quell'indirizzo. Chiunque abbia la chiave in mano può quindi, di solito, spostare anche la crypto che può essere spesa tramite quell'indirizzo.

Puoi vedere una private key come la chiave con cui dimostri il controllo del tuo crypto wallet e dei tuoi indirizzi. La password della tua app wallet è un'altra cosa: spesso protegge solo l'app o il file wallet criptato sul tuo dispositivo. La private key è in definitiva la chiave crittografica con cui le transazioni vengono firmate sulla blockchain.

Molti wallet funzionano anche con una seed phrase, chiamata a volte Secret Recovery Phrase o SRP. Si tratta di una serie di parole di recupero da cui un wallet può derivare più private keys e indirizzi. La tua frase di recupero è trapelata? Allora non rischia solo un singolo indirizzo, ma potenzialmente tutti i wallet e gli indirizzi derivati da quella seed phrase.

Con la self-custody gestisci tu stesso le private key. Questo ti dà il pieno controllo, ma anche la responsabilità di conservarle in modo sicuro. Se usi un crypto exchange che gestisce le private key per tuo conto, un account dell'exchange violato è una cosa diversa da una private key rubata. Entrambi sono problemi seri, ma i rischi e i passi di recupero sono diversi.

In breve

• Una private key è la chiave segreta con cui vengono firmate le transazioni da un indirizzo crypto.
• Chi ha la tua private key può di solito spostare la crypto sull'indirizzo collegato.
• Una seed phrase può dare accesso a più account all'interno dello stesso crypto wallet.
• La password del wallet non è la stessa cosa di una private key.
• Con la self-custody gestisci tu le chiavi, mentre un crypto exchange le gestisce normalmente in un account custodial.

Come può essere compromessa una private key?

Di solito una private key viene compromessa perché qualcuno ti inganna, il tuo dispositivo viene infettato oppure un backup finisce nelle mani sbagliate. Il phishing è un metodo molto noto. Per esempio, potresti finire tramite un link su una pagina falsa di wallet, exchange o supporto e inserire lì la tua seed phrase o private key.

Attenzione: il supporto legittimo non chiede mai la tua seed phrase, private key, password o codice 2FA. Nemmeno se qualcuno si spaccia per un dipendente di un'azienda crypto, di un crypto exchange, di un influencer o di un'altra parte fidata.

Il malware è un altro rischio. Pensa a software che legge i tasti premuti, estrae dati dal browser, controlla il clipboard o installa una falsa estensione. Un'estensione del browser infetta o un wallet falso possono, per esempio, inviare seed phrase, private key o altri dati sensibili direttamente a un attaccante.

Anche un backup online può creare problemi. Uno screenshot della tua frase di recupero può sembrare comodo, ma può finire automaticamente nello storage cloud. Lo stesso vale per le parole di recupero in email, messaggi chat o file non protetti. Anche l'accesso fisico a un foglietto visibile, a un dispositivo non protetto o a un backup non sicuro può bastare per mettere a rischio il tuo wallet.

Distinzione importante: un'autorizzazione dannosa a smart contracts non è automaticamente la stessa cosa di una private key compromessa. Con una di queste approval dai a una dApp il permesso di spostare determinati token per tuo conto. Questo può causare molti danni, ma la tua private key non deve per forza essere stata rubata.

Nel caso di una approval dannosa, revocare quel permesso può essere sufficiente per evitare altri danni. Con una private key trapelata è diverso: devi partire dal presupposto che l'attaccante possa avere il pieno controllo di quella chiave e spostare il prima possibile la tua crypto residua verso un nuovo wallet con nuove private key.

Quali segnali indicano una private key compromessa?

Transazioni in uscita sconosciute da un indirizzo self-custody sono un importante campanello d'allarme. È successo qualcosa che tu non hai eseguito consapevolmente. Questo può indicare una private key o una seed phrase trapelata, ma un token può anche essere stato spostato tramite una approval data in precedenza.

Controlla quindi prima di tutto cosa è successo esattamente sulla blockchain. Guarda l'attività del wallet e i dettagli della transazione in un blockchain explorer. Fai attenzione a transazioni sconosciute, approval e interazioni con smart contract.

Un segnale forte di una private key compromessa è che partano direttamente dal tuo indirizzo transazioni firmate che tu non hai eseguito. In quel caso un attaccante potrebbe usare la chiave o la seed phrase per inviare transazioni a tuo nome.

Un altro segnale evidente è il cosiddetto ‘’sweeper bot’’. Immagina di inviare nuova crypto a un vecchio indirizzo e che il saldo venga quasi subito svuotato di nuovo. In quel caso un bot potrebbe monitorare attivamente l'indirizzo e spostare automaticamente i nuovi fondi appena arrivano. Questo può indicare che un attaccante ha il controllo della private key o della seed phrase.

Altri segnali di avviso sono per esempio:

• Hai inserito la tua seed phrase o private key in un sito web o l'hai condivisa con qualcun altro.
• Scopri approval sconosciute di token o interazioni con smart contract.
• Il tuo dispositivo o l'estensione del wallet risultano infetti o sostituiti da malware.
• Vedi transazioni dal tuo wallet che non hai firmato tu.

Quindi un'approval sconosciuta non significa automaticamente che la tua private key sia stata rubata. Un'approval dà a uno smart contract solo certi diritti su token specifici. Se il problema è solo l'approval, revocarla può limitare ulteriori danni.

Se invece vedi transazioni sconosciute firmate direttamente dal tuo account, oppure i nuovi depositi spariscono automaticamente tramite uno sweeper bot, allora è più probabile che la private key o la seed phrase stessa sia stata compromessa.

Con un crypto exchange la situazione è diversa. Un login sconosciuto, impostazioni di sicurezza cambiate o un prelievo possono indicare un account dell'exchange violato, ma non significa automaticamente che la tua private key sia stata rubata. In un custodial exchange infatti l'exchange gestisce quelle chiavi per tuo conto.

Quali sono le conseguenze di una private key compromise?

Con una private key compromessa, un attaccante può firmare transazioni a nome del tuo indirizzo. In questo modo può, per esempio, spostare coin, token e NFT oppure eseguire altre azioni collegate a quell'indirizzo.

La tua seed phrase è trapelata? Allora il rischio è spesso più alto. Un attaccante può potenzialmente raggiungere più account e indirizzi derivati da quella stessa frase di recupero. Creare un nuovo account all'interno della stessa seed phrase non aiuta, perché anche quell'account dipende ancora dallo stesso segreto esposto.

La maggior parte delle transazioni eseguite su blockchain pubbliche non si può semplicemente annullare. Un wallet self-custody non può stornare con facilità una transazione inviata. Se recuperi la crypto rubata dipende allora, per esempio, dalla collaborazione volontaria del destinatario oppure, in casi eccezionali, dall'intervento delle piattaforme coinvolte, degli emittenti dei token o delle autorità competenti.

Alcuni asset richiedono attenzione extra. Un token spesso puoi inviarlo direttamente a un nuovo wallet, ma una posizione DeFi, una posizione di staking o un ruolo dentro uno smart contract non sempre si spostano automaticamente. Controlla quindi per ogni blockchain e protocollo quali asset e diritti sono ancora collegati al vecchio indirizzo.

Una conseguenza meno visibile è che un attaccante può anche firmare messaggi come se provenissero da te. Pensa per esempio a un login firmato, a un'azione di governance o ad altre autorizzazioni crittografiche. Una volta che una private key è compromessa, non puoi più fidarti automaticamente delle nuove firme create con quella chiave.

Cosa devi fare in caso di private key compromessa?

Tratta subito una private key o una seed phrase presumibilmente trapelata come permanentemente non sicura. Cambiare solo la password, reinstallare il wallet o creare un nuovo account all'interno della stessa seed phrase non risolve il problema. Una chiave copiata non torna segreta.

Agisci con attenzione, ma fallo in fretta. Questi sono i passaggi più importanti:

1. Smetti di usare il vecchio indirizzo. Non depositare più nuova crypto nel vecchio wallet e non creare nuovi account con la stessa seed phrase.

2. Usa un ambiente pulito. Lavora da un dispositivo aggiornato e controllato per malware, oppure usa un dispositivo o un profilo browser separato che non sia stato esposto al sospetto attacco.

3. Crea un crypto wallet completamente nuovo. Usa una nuova seed phrase o nuove private key che non siano collegate in alcun modo alla vecchia frase di recupero.

4. Mappa tutto. Controlla quali token, NFT, posizioni DeFi, approval ed eventuali ruoli di smart contract sono ancora collegati al vecchio indirizzo.

5. Conserva le prove. Annota indirizzi, hash delle transazioni, importi, data e ora. Conserva anche screenshot e comunicazioni con il presunto truffatore.

6. Metti in sicurezza gli account collegati. Controlla il tuo dispositivo e proteggi anche email, telefono e account presso un crypto exchange. Cambia le password rilevanti e rinnova il 2FA quando serve.

Come sposti la crypto verso un wallet sicuro?

Sposta la crypto residua solo verso un wallet completamente nuovo con una nuova seed phrase o nuove private key. Non importare la vecchia seed phrase o private key nel nuovo wallet, perché altrimenti ti porti dietro lo stesso problema.

Procedi passo dopo passo:

1. Crea un nuovo wallet in un ambiente sicuro. La nuova seed phrase o private key deve essere completamente separata dal vecchio wallet.

2. Controlla l'indirizzo di ricezione. Verifica bene di usare l'indirizzo corretto del nuovo wallet e di essere sulla blockchain giusta.

3. Fai l'inventario dei tuoi asset. In un EVM wallet possono esserci, per esempio, crypto native, token ERC-20, NFT, posizioni di liquidità e ruoli negli smart contract.

4. Invia subito gli asset trasferibili. Leggi tutti i dettagli della transazione prima di firmare e tieni conto di commissioni di rete sufficienti.

5. Controlla separatamente le posizioni particolari. Per alcune posizioni di staking, DeFi o ownership di contratti valgono passaggi diversi. Inviare solo un token non sposta automaticamente questi diritti.

6. Non usare più il vecchio indirizzo dopo. Evita tutti gli account e gli indirizzi collegati alla seed phrase compromessa.

Esempio: hai ETH e alcuni token su un indirizzo esposto, allora li mandi al tuo nuovo wallet sulla stessa chain. Se hai anche una posizione DeFi, devi controllare a parte come chiudere o migrare quella posizione.

Pensi che ci sia uno sweeper bot attivo? Allora non depositare semplicemente altra ETH o altra crypto nativa sul vecchio indirizzo per pagare le gas fees. Uno sweeper bot può spostare subito quel deposito prima che tu abbia la possibilità di trasferire altri asset.

Quando devi avvisare un exchange o un'altra parte?

Avvisa subito un crypto exchange se il tuo account dell'exchange potrebbe essere stato preso in mano da qualcun altro. Pensa a login sconosciuti, impostazioni di sicurezza modificate o richieste di prelievo che non hai fatto tu. Usa solo il canale di supporto ufficiale che trovi da solo, non un numero di telefono o un link arrivato in un messaggio inatteso.

Avvisare un exchange o un altro servizio custodial può essere utile anche quando vedi che la crypto rubata è stata inviata a un indirizzo di deposito di quel servizio. In quel caso fornisci quante più informazioni utili possibile:

• la blockchain usata;
• l'hash della transazione;
• l'indirizzo di origine e quello di destinazione;
• l'importo e il tipo di crypto;
• data e ora della transazione.

Denuncia il furto anche alla polizia competente o all'ente nazionale per il cybercrime o le frodi del tuo paese. Conserva bene tutti i dati e le comunicazioni. Segnalare in fretta può aiutare nelle indagini e nel tracciamento, ma non garantisce che una piattaforma possa bloccare gli asset o che i tuoi soldi vengano recuperati.

Con un wallet self-custody, il fornitore del wallet di solito non può annullare una transazione già eseguita, perché non gestisce la tua private key. Contattarlo può comunque essere utile per segnalare phishing o ricevere aiuto nell'uso sicuro del wallet.

Come prevenire una private key compromise?

Prevenire una private key compromise significa soprattutto tenere la seed phrase e le private key segrete e, per quanto possibile, offline. Considera questi dati come la chiave di una cassaforte: chi li ottiene può potenzialmente accedere alla tua crypto.

Alcune abitudini fanno una grande differenza:

• Non condividere mai la tua private key o seed phrase con nessuno. Nessun operatore del supporto, sito web, dApp o persona in chat ne ha bisogno.
• Non conservare le parole di recupero come screenshot, in email, chat o file cloud non protetti.
• Per importi più grandi che vuoi tenere a lungo, usa un hardware wallet o un'altra forma di firma offline. In questo modo la private key resta normalmente sul dispositivo protetto.
• Scarica software wallet ed estensioni del browser solo tramite canali ufficiali verificati.
• Leggi le transazioni prima di firmare. Non dare agli smart contract un'autorizzazione illimitata se basta una approval più limitata.
• Per l'uso quotidiano tieni solo una somma limitata in un hot wallet.
• Usa password uniche e forti e una multifactorauthentication robusta per email, telefono e account presso i crypto exchange.

Un hardware wallet riduce soprattutto il rischio che la tua private key venga esposta a un dispositivo online. Non ti protegge se sei tu a condividere la seed phrase, a firmare una transazione dannosa o a inviare crypto all'indirizzo sbagliato.

Anche i backup offline richiedono attenzione. Riduccono il rischio online, ma possono comunque andare persi, bruciare, essere rubati o essere letti da qualcun altro. Per questo serve un metodo di backup che limiti sia i rischi digitali sia quelli fisici.

Conclusione

Una private key compromise è uno dei rischi più gravi nella self-custody. Se la tua private key o seed phrase potrebbe essere trapelata, devi trattare il vecchio wallet come permanentemente non sicuro. Crea in un ambiente pulito un wallet completamente nuovo e sposta, dove possibile, gli asset residui verso nuovi indirizzi.

Inoltre, fai sempre distinzione tra una private key trapelata, una token approval dannosa e un account preso in mano su un crypto exchange. Tutti e tre possono portare a perdite, ma richiedono passi di recupero diversi.

La protezione più importante resta semplice: tieni segrete seed phrase e private key, controlla ciò che firmi e fai molta attenzione a link, messaggi e software inattesi.