Una chiave privata è un numero segreto che dimostra che le criptovalute presenti a un determinato indirizzo sono tue e ti autorizza a spenderle. Chi la detiene controlla i fondi. Non esiste alcun reset della password. Nessun recupero dell'account, nessuna autorità che possa intervenire per annullarla.
Da qui l'espressione "not your keys, not your coins". La proprietà nelle criptovalute non è la registrazione del tuo nome accanto a un saldo. È il possesso di un numero.
Che cos'è concretamente una chiave privata
Un numero intero casuale molto grande. Su Bitcoin ed Ethereum arriva a 256 bit, di norma visualizzati come una stringa di 64 caratteri esadecimali che a guardarla non significa nulla.
La dimensione è la sicurezza. Esistono circa 10^77 chiavi private possibili, un numero vicino alla stima degli atomi presenti nell'universo osservabile. Indovinarne una non è difficile. È aritmeticamente impossibile.
Come funziona la catena delle chiavi
Tre elementi, derivati in una sola direzione.
- Chiave privata. Il numero casuale segreto.
- Chiave pubblica. Derivata dalla chiave privata tramite moltiplicazione su curva ellittica.
- Indirizzo. Derivato dalla chiave pubblica, di norma sottoponendola a hashing e aggiungendo un checksum.
In avanti ogni passaggio si esegue facilmente. All'indietro, per nulla. È proprio quell'asimmetria a rendere sicuro pubblicare un indirizzo crypto dove vuoi, mentre la chiave che sta dietro resta permanentemente segreta.
Come funziona la firma
Ecco la parte che spiega perché la chiave non deve mai essere condivisa.
Inviare una transazione fa sì che il tuo wallet produca una firma digitale sui dettagli di quella specifica transazione, utilizzando la chiave privata. La rete verifica poi la firma contro la tua chiave pubblica.
La verifica dimostra due cose contemporaneamente. Che il firmatario deteneva la chiave privata, e che la transazione non è stata alterata dopo la firma. In nessun caso rivela la chiave stessa.
Così la chiave resta sul tuo dispositivo. Solo la firma viaggia.
Dove risiedono le chiavi private
| Collocazione | Chi detiene la chiave | Compromesso |
|---|---|---|
| Hardware wallet | Tu, su un dispositivo offline dedicato | Autocustodia più solida, costa denaro, facile da perdere |
| Software wallet | Tu, su un telefono o un computer | Comodo, esposto al malware |
| Paper wallet | Tu, su carta stampata | Offline, fragile, scomodo da cui spendere |
| Exchange | L'exchange | Account recuperabile, rischio di piattaforma |
| Custodia MPC | Suddivisa tra più parti, nessun detentore unico | Nessun singolo punto di compromissione, richiede fiducia nella configurazione |
L'MPC, ovvero il multi-party computation, cambia la natura del problema. Anziché avere una sola chiave in un solo luogo, la capacità di firma viene suddivisa in quote detenute separatamente. Nessuna singola quota può firmare. Nessuna chiave completa viene mai ricomposta in alcun punto.
Chiave privata, frase di recupero e chiave pubblica
Tre termini che vengono costantemente confusi.
- Chiave privata. Controlla un indirizzo. Spende i fondi.
- Chiave pubblica. Derivata dalla chiave privata. Serve a verificare le firme.
- Frase di recupero. Il segreto principale da cui un wallet deriva molte chiavi private. Effettua il backup di tutto.
Una frase di recupero è quindi più sensibile di qualsiasi singola chiave privata, perché le sblocca tutte.
Come si perdono o si rubano le chiavi private
- Phishing. Falsi siti di wallet e finti addetti all'assistenza che ti chiedono di "verificare" una chiave. È di gran lunga la principale categoria di perdite.
- Malware. Dirottatori degli appunti e keylogger su un dispositivo infetto.
- Archiviazione digitale. Screenshot, note nel cloud e gestori di password si sincronizzano tutti da qualche parte.
- Hardware dismesso. Tra 3 e 4 milioni di bitcoin si trovano in wallet le cui chiavi non esistono più.
- Casualità inadeguata. Generatori di numeri casuali deboli hanno prodotto chiavi che sono state successivamente forzate. Ecco perché le chiavi devono provenire da un wallet, mai essere inventate a mano.
- Furto fisico. Una chiave scritta su carta che qualcun altro trova è un wallet che qualcun altro svuota, e non c'è alcun secondo fattore tra questi due eventi.
Nota cosa manca in quell'elenco. Nessuno ha mai violato per tentativi una chiave privata generata correttamente.
Regole che contano davvero
- Non condividerla mai. Non con l'assistenza, non con il team di un progetto, con nessuno.
- Non digitarla mai in un sito o in un'app che non hai avviato tu.
- Non conservarla mai in formato digitale, in nessuna forma.
- Generala all'interno di un wallet affidabile, mai scegliendo un numero da solo.
- Presumi che qualsiasi chiave entrata in contatto con un dispositivo connesso a internet possa essere compromessa.
Una sicurezza verificabile su mb.io
L'autocustodia scarica interamente su di te l'onere della gestione delle chiavi. Affidarla a un'istituzione sottoposta ad audit è un compromesso diverso, non necessariamente migliore in assoluto.
mb.io è un exchange spot di criptovalute regolamentato, sostenuto da MultiBank Group, un'istituzione finanziaria fondata nel 2005 che serve oltre 2 milioni di clienti in più di 100 Paesi.
- Custodia MPC di livello istituzionale basata su Fireblocks, quindi nessuna chiave completa esiste in un unico luogo
- Fondi dei clienti segregati
- Punteggio di sicurezza 10/10 da Hacken, revisore indipendente di sicurezza blockchain
- Regolamentato da VARA negli Emirati Arabi Uniti e da AUSTRAC in Australia
- Compra, vendi e scambia in tre passaggi, dalla registrazione all'acquisto
- Assistenza clienti 24/7, sul web e sulle app iOS e Android
Apri il tuo conto e inizia a fare trading su mb.io.
Domande frequenti
Cosa succede se qualcuno ottiene la mia chiave privata?
Può spendere immediatamente tutto ciò che si trova a quell'indirizzo, e le transazioni non possono essere annullate. Revocare una chiave compromessa è impossibile. Spostare i fondi a un nuovo indirizzo più rapidamente di quanto faccia l'attaccante è l'unica risposta possibile.
Una chiave privata può essere indovinata o violata?
No. Esistono circa 10^77 chiavi possibili, il che pone la forza bruta oltre la portata di qualsiasi hardware immaginabile. Ogni perdita documentata è derivata da phishing, malware, generazione debole delle chiavi o esposizione fisica.
Qual è la differenza tra una chiave privata e una frase di recupero?
Una chiave privata controlla un singolo indirizzo. Usata per derivare molte chiavi private e indirizzi, una frase di recupero è il segreto principale, il che la rende la più sensibile delle due.
La mia chiave privata è archiviata sulla blockchain?
No. Ciò che la blockchain registra sono indirizzi e transazioni. La tua chiave privata esiste solo sul tuo dispositivo o presso chi ne detiene la custodia per te.
Devo conoscere la mia chiave privata per usare le criptovalute?
In generale no. Dietro una frase di recupero, i wallet moderni gestiscono le chiavi, e gli exchange le custodiscono per te. La maggior parte degli utenti non vede mai una chiave privata in formato grezzo.
Che cos'è la custodia MPC?
Il multi-party computation, in cui la capacità di firma viene suddivisa in quote detenute da parti separate. Autorizzare una transazione richiede più di una quota, e nessuna chiave completa viene mai ricomposta in un unico luogo.
Posso cambiare la mia chiave privata?
No. Le chiavi sono fisse per il loro indirizzo. Cambiare chiave significa generare un nuovo indirizzo e trasferirvi i fondi.
Perché "not your keys, not your coins" è vero?
Perché il controllo della chiave è il controllo dell'asset. Su un exchange è la piattaforma a detenere la chiave, quindi il tuo accesso dipende dalla sua solvibilità e dalla sua condotta, non dalla crittografia.
