Ogni portafoglio crypto poggia su una chiave privata e su una chiave pubblica, e quella privata è soltanto un numero. Una chiave privata di Bitcoin è, nelle parole della documentazione per sviluppatori di Bitcoin (in inglese), «semplicemente un numero a 256 bit». Scritta in esadecimale occupa 64 caratteri, fatti delle cifre da 0 a 9 e delle lettere da a a f. Non c’è altro: nessun nome, nessun conto, nessuna registrazione. La chiave pubblica, l’indirizzo che date a chi vi paga, la firma su ogni pagamento che inviate e perfino le 12 o 24 parole che pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">il portafoglio vi ha chiesto di annotare sono calcolate da quell’unico numero, oppure riportano a esso.
La chiave privata è il segreto che firma. La chiave pubblica è il valore corrispondente che chiunque può usare per verificare quelle firme, e l’indirizzo è una breve impronta della chiave pubblica. Il portafoglio sceglie la chiave privata a caso, nessuno la approva, e da lì in poi l’aritmetica corre in un solo senso.
Chi conosce il numero controlla le monete. Le sue forme derivate, la chiave pubblica e l’indirizzo, si possono mostrare a chiunque, perché nessuno sa tornare indietro. E se il numero va perso senza una copia, nessuno (né la rete, né chi ha prodotto il portafoglio, né un tribunale) può ricostruirlo. Per questo «perso è perso» nelle crypto è un fatto di aritmetica e non uno slogan.
Le idee generali che stanno dietro (funzioni di hash, cifratura, firme digitali) sono nella lezione precedente, che cos’è la crittografia e come la usano le blockchain. Qui restiamo su uno strumento solo: la coppia di chiavi. La stessa famiglia di matematica protegge anche il lucchetto del browser e le chiavi SSH degli sviluppatori, ed è per questo che chi cerca «chiave privata» finisce spesso su tutorial per server o per firma digitale e PEC. Tutto ciò che segue riguarda i portafogli crypto.
Cos’è la chiave privata: un numero molto grande scelto a caso
Bitcoin ed Ethereum costruiscono le loro coppie di chiavi sulla stessa curva ellittica, chiamata secp256k1. I suoi parametri sono stati pubblicati dallo Standards for Efficient Cryptography Group in SEC 2, versione 2.0 (2010) (in inglese), un documento che i portafogli Bitcoin seguono ancora alla lettera. Una chiave privata valida è un qualsiasi numero intero da 1 fino a poco sotto un limite fisso detto ordine della curva, indicato con n.
Quel limite vale circa 1,158 × 1077, un numero di 78 cifre. È così vicino a 2256 che la differenza non conta per nulla di ciò che un lettore farà mai, e quindi si dice semplicemente che una chiave privata è un numero a 256 bit. Sceglierne una equivale a lanciare 256 monete non truccate e a scrivere il risultato.
| Parametro di secp256k1 | Valore | Che cosa significa |
|---|---|---|
| Equazione | y2 = x3 + 7 | la curva su cui vivono le chiavi pubbliche |
| Dimensione del campo p | 2256 – 232 – 977 | le coordinate sono numeri interi minori di p |
| Ordine n | circa 1,158 × 1077 (78 cifre) | le chiavi private vanno da 1 a n – 1 |
| Cofattore h | 1 | ogni punto della curva si raggiunge a partire dal punto di partenza G |
| Livello di sicurezza | 128 bit | il miglior attacco noto richiede circa 2128 operazioni |
Fonte: SEC 2 versione 2.0, sezione 2.4.1 e tabella 1 (Certicom Research, 27 gennaio 2010). La dimensione del campo è lo stesso numero che SEC 2 scrive come 2256 – 232 – 29 – 28 – 27 – 26 – 24 – 1.
Chi sceglie il numero? Il vostro portafoglio, sul vostro dispositivo, con il suo generatore di numeri casuali. Nessun server lo assegna e non esiste un elenco delle chiavi già prese. Due persone potrebbero in teoria sceglierne la stessa; le cifre più avanti mostrano perché non succede. L’unica cosa che rende vostra una chiave è che siete voi a conoscerla.
In questa lezione non troverete un esempio di chiave privata. Una chiave stampata in un articolo smette di essere segreta nel momento in cui viene pubblicata, e chiunque potrebbe prendere le monete inviate a quell’indirizzo. Le chiavi reali compaiono in due forme scritte comuni: 64 caratteri esadecimali, oppure il più breve Wallet Import Format, che aggiunge un byte di versione e un controllo di errore ed è scritto in Base58, secondo la guida per sviluppatori di Bitcoin (in inglese). Su Ethereum, ethereum.org (in inglese) descrive anche la chiave privata come 64 caratteri esadecimali. La maggior parte delle persone non vede mai né l’una né l’altra, perché i portafogli moderni mostrano una seed phrase.
Chiave privata e chiave pubblica: che cosa fa ciascuna
La chiave pubblica si calcola dalla chiave privata con un’operazione fissa sulla curva. Si parte da un punto concordato G, uguale per tutti gli utenti del mondo, e lo si «somma» a sé stesso tante volte quante dice la chiave privata. Il risultato è un altro punto della curva, una coppia di coordinate (x, y), ed è quella la chiave pubblica. I computer non ripetono davvero l’addizione 1077 volte: raddoppiano e sommano, e per un numero a 256 bit bastano poche centinaia di passaggi. Per questo il telefono lo fa all’istante.
Scritta per esteso, una chiave pubblica occupa 65 byte nella vecchia forma non compressa (un prefisso più le due coordinate) oppure 33 byte nella forma compressa che quasi ogni portafoglio usa oggi: la coordinata x più un prefisso, 02 o 03, che indica quale dei due possibili valori di y le corrisponde. Il wiki di Bitcoin (in inglese) percorre la forma compressa byte per byte.
Un’immagine diffusa paragona la chiave pubblica a un lucchetto aperto che chiunque può chiudere e la chiave privata all’unica chiave che lo apre. L’immagine descrive la cifratura, ed è giusta a metà per le crypto. Bitcoin non cifra i vostri pagamenti: ogni transazione è pubblica. La coppia di chiavi serve a firmare, e la chiave pubblica va pensata piuttosto come un verificatore di firme che tutta la rete può usare, legato alle monete che protegge.
| Chiave privata | Chiave pubblica | Indirizzo | |
|---|---|---|---|
| Che cos’è | un numero casuale minore di n | un punto della curva, calcolato dalla chiave privata | un hash della chiave pubblica, con un controllo di errore |
| Dimensione tipica | 32 byte (64 caratteri esadecimali) | 33 byte compressa, 65 non compressa | 20 byte di hash su Bitcoin (formato legacy) ed Ethereum |
| Chi la conosce | solo voi (e la vostra copia di riserva) | chiunque, una volta che spendete da quell’indirizzo (nella maggior parte dei tipi di indirizzo) | chiunque paghi voi o sia pagato da voi |
| A che serve | firmare le transazioni | verificare le firme | ricevere monete |
| Si può condividere | mai | sì | sì, con un costo per la privacy |
Da chiave privata a indirizzo: una strada a senso unico
La catena va dalla chiave privata alla chiave pubblica e da questa all’indirizzo. Ogni freccia si calcola in un attimo. Nessuna si può percorrere all’indietro con un metodo noto, e le due frecce sono a senso unico per ragioni diverse.
La prima freccia, da chiave privata a chiave pubblica, è la moltiplicazione sulla curva descritta sopra. Tornare indietro significa trovare quante volte G è stato sommato per arrivare a un dato punto, un problema che i matematici chiamano logaritmo discreto sulla curva ellittica. Nessuno ha trovato una scorciatoia per curve come secp256k1. I migliori attacchi generali richiedono più o meno la radice quadrata del numero di chiavi, cioè circa 2128 operazioni, ed è per questo che SEC 2 valuta la curva a «128 bit» di sicurezza pur con chiavi lunghe 256 bit.
La seconda freccia, da chiave pubblica a indirizzo, è un hash. Su Bitcoin un indirizzo classico si costruisce facendo passare la chiave pubblica per SHA-256 e poi per RIPEMD-160, il che dà un’impronta di 160 bit, a cui si aggiungono un byte di versione e un controllo di errore. Su Ethereum, ethereum.org spiega che l’indirizzo è «gli ultimi 20 byte dell’hash Keccak-256 della chiave pubblica», scritto con 0x davanti. Un hash non si può invertire nel senso consueto: scarta informazione, quindi più ingressi potrebbero in teoria dare la stessa uscita, e trovarne uno qualsiasi è difficile quanto tirare a indovinare.
«A senso unico» significa dunque «nessun modo efficiente noto per tornare indietro», un’affermazione più forte di quanto sembri ma non una dimostrazione di impossibilità. ethereum.org riassume il risultato pratico con chiarezza: dalla chiave privata si possono derivare nuove chiavi pubbliche, «ma non si può derivare una chiave privata dalle chiavi pubbliche».
Perché aggiungere il passaggio dell’hash? Rende l’indirizzo più corto della chiave pubblica e, su Bitcoin, aggiunge un secondo lucchetto. Con il formato classico pay-to-public-key-hash, la guida per sviluppatori di Bitcoin (in inglese) spiega che la rete vede solo l’hash della vostra chiave pubblica fino alla prima volta in cui spendete da quell’indirizzo. In quel momento dovete mostrare la chiave pubblica intera, insieme a una firma, perché i nodi possano verificarla. Prima, un attaccante dovrebbe rompere sia l’hash sia la curva. La costruzione dettagliata di ciascun formato di indirizzo, con i suoi sette passaggi su Bitcoin, è nella nostra lezione su che cos’è un indirizzo crypto.
Firmare invece di inviare una password
Una banca confronta la vostra password con una copia che conserva. Una blockchain non ha la copia di nessun segreto. Quando inviate monete, il portafoglio costruisce la transazione (quali monete, a quale indirizzo, quanto, con quale commissione) e calcola una firma a partire da due ingredienti: quei dati esatti e la vostra chiave privata. La firma è una coppia di numeri che solo chi possiede la chiave poteva produrre per quei dati.
Ogni nodo che riceve la transazione esegue poi una verifica con tre elementi che ha già o che riceve: i dati della transazione, la firma e la chiave pubblica. Se la verifica riesce, il titolare della chiave ha approvato proprio questa transazione. La chiave privata non viaggia mai. Su un portafoglio hardware non esce nemmeno dal dispositivo: il computer manda dentro la transazione non firmata e ne esce soltanto la firma.
Due proprietà rendono il sistema più sicuro di una password. Una firma è legata ai dati che firma, quindi cambiare una cifra dell’importo o un carattere della destinazione la fa fallire. E la firma di un pagamento è inutile per un altro, perché il pagamento successivo contiene dati diversi. Chi copia la vostra firma dalla blockchain non ha copiato nulla di riutilizzabile.
Satoshi Nakamoto vedeva anche un lato di riservatezza in questo disegno. Poiché le chiavi non portano nomi, la sezione 10 del white paper di Bitcoin (2008, in inglese) consiglia che «una nuova coppia di chiavi dovrebbe essere usata per ogni transazione, per evitare che siano ricondotte a un proprietario comune». I portafogli moderni lo fanno in automatico, come mostra la sezione sulla seed phrase. Come la transazione firmata arrivi poi in un blocco è spiegato in come funzionano le transazioni crypto.
Che cosa si può condividere e che cosa mai
La regola discende dalla strada a senso unico: ciò che sta a valle della chiave privata si può mostrare, ciò che riporta a essa no. Nella pratica vi verrà chiesto un indirizzo in continuazione e una chiave pubblica quasi mai.
| Elemento | Si può condividere? | Perché |
|---|---|---|
| Indirizzo di ricezione | Sì | è fatto per essere dato; il costo è la privacy, perché chiunque può seguirne la storia |
| Chiave pubblica | Sì | non rivela nulla che permetta di firmare; i portafogli la chiedono di rado |
| ID della transazione (hash) | Sì | rimanda a un registro pubblico |
| Un messaggio firmato da voi | Sì | dimostra che controllate un indirizzo senza muovere fondi |
| Chiave pubblica estesa (xpub) | Solo con cautela | mostra tutti gli indirizzi di un conto; insieme a una sola chiave privata figlia trapelata può esporre il resto (BIP32) |
| Chiave privata | Mai | chi la possiede può firmare e muovere le monete |
| Seed phrase | Mai | ricostruisce ogni chiave privata del portafoglio |
| Foto o copia in cloud dell’una o dell’altra | Mai | una copia è la chiave; chiunque la legga possiede le monete |
La chiave pubblica estesa merita un secondo sguardo. È la chiave pubblica madre di un conto del portafoglio, e permette alle app di sola lettura e agli strumenti contabili di vedere tutti i vostri indirizzi. BIP32 (in inglese), lo standard che la definisce, avverte che conoscere una chiave pubblica estesa più una qualsiasi chiave privata non «hardened» derivata da essa equivale a conoscere la chiave privata madre. Trattatela come un’informazione riservata, anche se da sola non può firmare. Gli indirizzi e le semplici chiavi pubbliche hanno un costo minore: ogni pagamento verso di essi resta leggibile, e i pagamenti si possono collegare tra loro e, passando dagli exchange, alla vostra identità.
Sull’altro lato del tavolo la regola non ha eccezioni. Nessun exchange, produttore di portafogli, operatore dell’assistenza, sito di airdrop o modulo di «convalida» ha mai bisogno della vostra chiave privata o della vostra seed phrase. La richiesta dell’una o dell’altra è per definizione una truffa, qualunque sia il logo sul messaggio. La nostra guida su come evitare le truffe crypto elenca le forme che queste richieste assumono.
La seed phrase: una sola copia per un intero albero di chiavi
Se una chiave privata è un solo numero, perché i portafogli vi danno 12 o 24 parole? Perché le parole conservano qualcosa un livello più in alto: un numero casuale da cui il portafoglio deriva ogni chiave che userà. Due standard di Bitcoin, oggi usati dalla maggior parte dei portafogli su Bitcoin e su molte altre reti, definiscono come.
Dai bit casuali alle parole (BIP39)
BIP39 (in inglese) parte da 128-256 bit casuali, detti entropia, a passi di 32. Aggiunge un breve controllo di errore preso dall’hash SHA-256 di quell’entropia, un bit ogni 32 bit. Il totale viene tagliato in gruppi di 11 bit, e ogni gruppo sceglie una parola da un elenco fisso di 2.048 parole (211 = 2.048). Quindi 128 bit più 4 di controllo fanno 132 bit, cioè 12 parole; 256 bit più 8 fanno 264 bit, cioè 24 parole. L’ultima parola porta in parte il controllo, ed è così che il portafoglio si accorge di un errore di battitura quando ripristinate.
Le parole vengono poi allungate in un seme di 512 bit con una funzione chiamata PBKDF2, eseguita 2.048 volte con HMAC-SHA512 e con la parola «mnemonic» (più un’eventuale passphrase) come sale. Quel passaggio lento rende più costoso provare a indovinare una passphrase.
Da un seme a molte chiavi (BIP32)
BIP32 trasforma il seme in una chiave madre: un altro HMAC-SHA512, con chiave il testo «Bitcoin seed», si divide in una chiave privata madre di 32 byte e in un «chain code» di 32 byte. Da questa coppia il portafoglio deriva chiavi figlie, poi figlie delle figlie, come un albero. Ogni ramo può produrre miliardi di chiavi e di indirizzi, ed è così che il portafoglio vi propone un indirizzo nuovo a ogni pagamento senza chiedervi di salvare altro. I rami «hardened» interrompono il legame di cui parla l’avvertenza sulla xpub qui sopra.
La guida per sviluppatori di Bitcoin riassume il vantaggio: un seme radice «di appena 128 bit è l’unico dato che l’utente deve salvare» per derivare tutte le chiavi che un dato programma di portafoglio crea con le sue impostazioni. Una sola frase copre ogni indirizzo che avete usato e ogni indirizzo che userete.
Dagli standard discendono tre dettagli. Una frase di 12 parole contiene 128 bit di entropia, quindi esistono 2128 frasi possibili, lo stesso livello di sicurezza che SEC 2 assegna alla curva: 12 parole non sono più deboli di 24 nella pratica. La passphrase facoltativa, a volte chiamata la 25ª parola, cambia l’intero albero; BIP39 afferma che ogni passphrase produce un seme valido, perciò una passphrase digitata male apre un portafoglio diverso e vuoto, senza alcun errore. E una frase copre soltanto le chiavi derivate da essa: una chiave privata importata a parte, o un file di portafoglio molto vecchio, non sta dentro l’albero.
Come annotare la frase, dove conservarla e quali truffe la prendono di mira sono temi della nostra guida alla sicurezza della seed phrase. Per questa lezione basta un punto: la frase è le chiavi private, in una forma che un essere umano può copiare. Chiunque la legga può ricostruirle tutte.
Quanto è grande 2256: perché la forza bruta non funziona
«Perso è perso» poggia su un’affermazione sola: nessuno può trovare una chiave privata davvero casuale provando numeri finché uno combacia. Le dimensioni in gioco sono difficili da sentire, quindi le mettiamo a confronto con il più grande sforzo di calcolo che esista, la rete di mining di Bitcoin.
Il 23 ottobre 2026 mempool.space (in inglese) stimava la rete a circa 1,05 × 1021 hash al secondo, più o meno mille miliardi di miliardi di tentativi di hash ogni secondo. Supponiamo, in modo molto generoso, che le stesse macchine possano provare una chiave privata veloce quanto calcolano un hash. In realtà provare una chiave costa una moltiplicazione sulla curva, molto più pesante, e i chip da mining sono costruiti solo per SHA-256 e non possono farlo affatto.
| Grandezza | Valore | Fonte o metodo |
|---|---|---|
| Chiavi private possibili (ordine n) | circa 1,158 × 1077 | SEC 2 v2.0 (2010) |
| Lavoro del miglior attacco noto alla curva | circa 2128, cioè 3,4 × 1038 operazioni | SEC 2, livello 128 |
| Seed phrase da 12 parole possibili | 2128 | BIP39, entropia a 128 bit |
| Hash rate della rete Bitcoin, 23 ott. 2026 | circa 1,05 × 1021 al secondo | mempool.space |
| Tempo per provare ogni chiave a quel ritmo | circa 3,5 × 1048 anni | nostro calcolo, una chiave per hash |
| Tempo medio per centrare una chiave scelta | circa 1,7 × 1048 anni | metà della riga sopra |
| Età dell’universo | circa 13,8 miliardi di anni | NASA |
| Rapporto tra i due | circa 2,5 × 1038 | nostro calcolo |
Con un universo di circa 13,8 miliardi di anni, secondo la NASA (in inglese), una ricerca completa durerebbe circa 2,5 × 1038 volte la sua età, e questo con le macchine immaginarie descritte sopra.
Una versione onesta dell’argomento deve usare anche il numero più piccolo. Per gli attacchi a radice quadrata già citati, il lavoro reale per rompere una chiave pubblica è circa 2128 operazioni, non 2256. A una operazione per hash, l’intera rete di mining impiegherebbe circa 10 miliardi di anni, vicino all’età dell’universo, per una sola chiave, e con hardware che non sa eseguire quel calcolo. Quel margine di 128 bit è il livello che SEC 2 assegna, e nessun computer esistente gli si avvicina.
La stessa aritmetica copre il timore delle collisioni, cioè due persone che finiscono sulla stessa chiave. Con circa 1077 chiavi possibili, anche miliardi di portafogli creati ogni giorno per milioni di anni riempirebbero una quota dello spazio troppo piccola per essere scritta senza decine di zeri. Non abbiamo trovato alcun caso documentato di una chiave casuale generata correttamente scoperta con una ricerca. È l’assenza di prove nella nostra ricerca, non una dimostrazione, ma coincide con i numeri.
Quando le chiavi non sono casuali, si trovano
Ogni chiave della sezione precedente era supposta davvero casuale. È su questa ipotesi che avvengono i furti reali. Una chiave prodotta da una fonte debole di casualità appartiene a uno spazio molto più piccolo, e uno spazio piccolo si può esplorare.
Nell’agosto 2013 bitcoin.org ha avvertito (in inglese) che un componente di Android incaricato di generare numeri casuali sicuri «contiene debolezze critiche», per cui qualsiasi portafoglio generato da un’app Android poteva essere esposto al furto. La soluzione era aggiornare l’app, creare nuovi indirizzi con il generatore riparato, spostarvi i fondi e comunicare i nuovi indirizzi a chi aveva pagato i vecchi. L’avviso era datato 11 agosto 2013 e aggiornato il 13 agosto.
Dieci anni dopo, i ricercatori di Milk Sad (in inglese) hanno mostrato che il comando bx seed di Libbitcoin Explorer 3.x ricavava il materiale delle chiavi da Mersenne Twister, un generatore pensato per le simulazioni e non per i segreti. La falla è registrata come CVE-2023-39910, e i ricercatori datano al 12 luglio 2023 il furto dai portafogli colpiti.
Questo mese ha offerto un caso recente. Tra le 23:42 UTC del 17 ottobre e le 01:26 UTC del 18 ottobre 2026, 1.404 portafogli sulla rete Qubic sono stati svuotati perché il suo portafoglio web open source aveva generato i seed con Math.random() di JavaScript, una funzione mai pensata per la crittografia, come abbiamo raccontato nel servizio sullo svuotamento dei seed Qubic. Il progetto è passato a un generatore crittografico il 18 ottobre.
Le chiavi possono anche trapelare dopo essere state create correttamente. Il 21 ottobre 2026 la Polkadot Community Foundation ha dichiarato che le versioni 3.0.1, 3.0.3, 3.0.4 e 3.0.5 dell’estensione per browser Fearless Wallet inviavano la chiave privata al server di un attaccante quando il portafoglio veniva sbloccato; otto utenti avevano segnalato trasferimenti non autorizzati per 17.286 DOT, come abbiamo riferito nell’articolo sulla fuga di chiavi di Fearless Wallet. Il consiglio era di creare una nuova chiave e di spostarvi i fondi, perché reinstallare l’app non serve a nulla per una chiave che è già uscita.
In nessuno di questi casi la curva è stata rotta. L’aritmetica ha tenuto ogni volta, e a cedere è stato il software: come era stato scelto il numero, o dove era stato inviato. È la ragione pratica per creare le chiavi solo in portafogli o dispositivi hardware molto diffusi e verificati, e mai con uno script fatto in casa, un sito «generatore di chiavi» o un lancio di dadi che non si comprende fino in fondo. Gli attacchi alle blockchain in sé, e non alle chiavi degli utenti, sono l’argomento di una lezione successiva.
Chiavi perse nella vita reale: un disco bloccato, una discarica e un exchange
L’altro modo di perdere le monete è perdere voi stessi la chiave, o lasciare che una sola persona ne sia l’unica copia.
Stefan Thomas, un programmatore, detiene le chiavi di 7.002 bitcoin che gli furono pagati più di dieci anni fa per un video che spiegava Bitcoin, secondo il New York Times. Le chiavi stanno su un IronKey, un disco cifrato che consente 10 tentativi di password prima di cifrare per sempre il contenuto. Nel gennaio 2021 TechSpot, citando il Times (in inglese), riferì che aveva usato otto tentativi e perso il foglio con la password. A rigore il suo è il problema di una password dimenticata che protegge una chiave, non di una chiave persa: se il disco si apre, le monete ci sono.
James Howells, a Newport, in Galles, sostiene che un disco rigido con le chiavi di oltre 7.500 bitcoin fu gettato per errore nel 2013 e finì nella discarica della città. Nel gennaio 2025 il giudice Andrew Keyser KC ha respinto la sua causa contro il Newport City Council, che chiedeva 495 milioni di sterline di risarcimento e l’accesso al sito, ritenendola priva di «fondati motivi» («no reasonable grounds»), come ha riferito The Block (in inglese), citando la BBC. Qui l’unica copia della chiave era un oggetto fisico, ed è sparita.
QuadrigaCX, un exchange canadese, ha chiuso nel febbraio 2019 dopo la morte del fondatore, Gerald Cotten, descritto come l’unica persona a controllare i suoi cold wallet. Nel dicembre 2022 il curatore, Ernst & Young, ha dichiarato che le chiavi private di quei portafogli «non sono state localizzate nonostante l’esame dettagliato», come ha riferito Decrypt (in inglese), proprio mentre circa 104 bitcoin uscivano da cinque portafogli collegati all’exchange. EY ha detto di non aver «avviato i trasferimenti». Secondo Decrypt, indagini ufficiali accertarono poi che la maggior parte del denaro dei clienti non era mai arrivata nel cold storage. Il punto sulle chiavi resta: una persona sola, nessuna copia.
In tutti e tre i casi le monete non sono svanite. Sono ancora registrate sulla blockchain, visibili a chiunque, e nessuno può muoverle senza la chiave. Quanti bitcoin siano persi in questo modo non si sa. Le stime contano le monete ferme da anni, che non è la stessa cosa di una prova di perdita, e variano molto a seconda della definizione usata.
Si può recuperare una chiave privata persa?
Solo da una copia. Se avete ancora la seed phrase, una copia del file del portafoglio con la sua password, un secondo dispositivo con lo stesso portafoglio o una copia scritta della chiave, potete ricostruire tutto in pochi minuti in qualsiasi portafoglio compatibile. Senza alcuna copia, no. La chiave non si può indovinare, come mostrano le cifre qui sopra, e nessuna azienda, nessun miner e nessuno sviluppatore ne tiene una di scorta.
Una password dimenticata è un problema diverso e più piccolo. Se la chiave sta dentro un file o un dispositivo cifrato, lo spazio di ricerca è la password, non la chiave. Le password brevi o prevedibili si possono a volte trovare provando candidati, ed è per questo che a Stefan Thomas fu offerto aiuto. I dispositivi che contano i tentativi, come il suo IronKey, limitano questa strada.
Diffidate di chi si offre di «recuperare» un portafoglio perso a pagamento. Un vero servizio di recupero può lavorare solo su un problema di password, e solo con i vostri file. Chiunque dica di poter ricavare una chiave privata da un indirizzo o da una chiave pubblica descrive qualcosa che nessun metodo noto sa fare, e simili offerte sono una truffa frequente. I computer quantistici oggi non cambiano la situazione.
Computer quantistici e chiavi, a ottobre 2026
Un computer quantistico abbastanza grande che eseguisse l’algoritmo di Shor potrebbe, in linea di principio, risolvere il problema del logaritmo discreto sulla curva ellittica e ricavare una chiave privata da una chiave pubblica. È l’unica domanda seria di lungo periodo sulla strada a senso unico. Le chiavi più esposte sarebbero quelle la cui chiave pubblica è già visibile sulla catena, per esempio gli indirizzi che hanno già speso.
Una macchina simile non esiste. Google Quantum AI ha pubblicato il 30 marzo 2026 un articolo sul rischio quantistico per le criptovalute a curva ellittica e il 15 ottobre 2026 ha riferito un ulteriore risultato hardware, che il nostro servizio sul risultato Willow di Google legge come tale da non mettere oggi a rischio alcun bitcoin. Gli sviluppatori di Bitcoin discutono proposte per output resistenti al quantistico, come BIP 360. Per chi legge oggi il consiglio pratico non cambia: il rischio per le vostre chiavi viene dai software deboli e da chi ve le chiede.
Chiavi perse, custodia e imposte per chi legge dall’Italia
Nel Regno Unito l’HMRC ha messo per iscritto come tratta una chiave persa. Il suo Cryptoassets Manual, pagina CRYPTO22400 (in inglese) dice che «smarrire la chiave non costituisce una cessione ai fini dell’imposta sulle plusvalenze» (Capital Gains Tax), perché i token esistono ancora sul registro. Se si può dimostrare che non c’è alcuna prospettiva di recuperare la chiave o di raggiungere i token, il titolare può presentare una richiesta per valore trascurabile (negligible value claim); se l’HMRC la accetta, il titolare è trattato come se avesse ceduto i token e li avesse riacquistati, il che permette di registrare la perdita. La pagina è stata aggiornata l’ultima volta il 28 novembre 2025.
Negli Stati Uniti l’IRS non ha pubblicato, per quanto abbiamo potuto trovare al 23 ottobre 2026, indicazioni sulle chiavi private perse. Le sue domande frequenti sulle valute virtuali (in inglese; ultima revisione del 30 giugno 2026) nominano le chiavi private solo come parte del modo in cui un portafoglio identifica i beni. Un bene che non si riesce più a raggiungere non è stato venduto in un’operazione imponibile, ma la pagina non chiarisce se la perdita sia deducibile. Chiedete a un professionista prima di dichiarare qualsiasi cosa; sono informazioni generali, non consulenza fiscale.
Per chi risiede in Italia valgono le regole dell’Agenzia delle Entrate, non quelle di HMRC o IRS: le due schede qui sopra servono solo a mostrare come altri Paesi hanno affrontato la questione. Il trattamento fiscale delle cripto-attività per i contribuenti italiani è oggetto di una lezione successiva di questo percorso.
Sul lato della tutela del consumatore, i supervisori europei sono netti. In un avvertimento del 2025 sulle cripto-attività, pubblicato in Italia dalla Consob, le Autorità europee di vigilanza (ESA) scrivono: «La perdita delle chiavi private delle cripto-attività comporta la perdita permanente e irreversibile dell’accesso a tali strumenti e alla loro proprietà».
La custodia cambia chi porta questo rischio. Quando le monete le tiene un exchange, è l’exchange a tenere le chiavi, e la vostra protezione è la sicurezza di quell’exchange e le regole a cui è soggetto, dalle licenze statali americane al regime MiCA dell’Unione europea. In Italia, dal 1° luglio 2026 i fornitori di servizi per le cripto-attività sono autorizzati dalla Consob e dalla Banca d’Italia ai sensi di MiCA, al posto del vecchio registro dell’OAM; la nostra guida a MiCA spiega che cosa cambia per chi usa una piattaforma. QuadrigaCX mostra che cosa può significare questa dipendenza. Quando le chiavi le tenete voi, in autocustodia, nessuno può bloccarle o perderle al posto vostro, e nessuno può nemmeno restituirvele.
Cinque cose da ricordare prima del prossimo portafoglio
- Una chiave privata è un numero casuale; chi lo conosce possiede le monete che controlla.
- La chiave pubblica e l’indirizzo si calcolano da essa e nessuno sa tornare indietro, quindi potete condividere entrambi, con un costo per la privacy.
- Una seed phrase ricostruisce tutte le vostre chiavi private in una volta, e quindi merita la stessa protezione delle chiavi.
- La forza bruta non trova una chiave creata bene e a caso; generatori deboli, fughe di dati e copie mancanti sono il modo in cui le chiavi si perdono davvero.
- Nessuno di legittimo chiede mai la vostra chiave privata o la seed phrase, e nessuno può recuperare una chiave che non ha copie.
La prossima lezione di questo percorso sulla crittografia mette a confronto cifratura simmetrica e asimmetrica; quelle successive approfondiscono le curve ellittiche, gli schemi di firma, i percorsi di derivazione dei portafogli e la questione quantistica. Per ora il test è semplice: davanti a qualsiasi cosa mostri il vostro portafoglio, dovreste saper dire se sta prima o dopo la strada a senso unico.
