Cos'è la custodia di criptovalute? Tipologie, rischi e funzionamento.

Nell'arco di sole 24 ore, gli hacker hanno sottratto 1.5 miliardi di dollari dall'exchange Bybit, con sede a Dubai, realizzando il più grande furto singolo nella storia delle criptovalute.

Secondo Chainalysis, si trattava del pezzo forte di un furto più ampio di beni digitali per un valore complessivo di 3.4 miliardi di dollari, avvenuto nel corso del 2025.

Ogni possessore di criptovalute prima o poi si imbatte nella stessa domanda: se qualcosa va storto, un attacco hacker, la perdita della password, il crollo di un exchange, chi è responsabile del recupero dei miei soldi? 

Nella maggior parte dei casi, non c'è nessuno. Non esiste un'autorità centrale in grado di annullare una transazione o recuperare i fondi rubati se la chiave viene persa; i beni sono persi per sempre.  

Questo singolo fattore rende la custodia la decisione più importante su cui la maggior parte dei possessori di criptovalute non riflette mai attentamente. Che il rischio, simile a quello di un caso Bybit, ricada personalmente su di te dipende quasi interamente da come vengono custodite le tue criptovalute.

Non c'è alcuna Call To Action con l'ID #0.

Key Takeaway

• La custodia implica il controllo, non la proprietà formale. Chiunque detenga la chiave privata controlla i fondi; non c'è modo di annullare o recuperare una transazione persa.
• Ogni modello sacrifica il controllo in favore della comodità. L'autocustodia offre il pieno controllo senza alcuna rete di sicurezza; la custodia presso terzi offre supporto ma comporta un rischio di controparte.
• La regolamentazione statunitense è ancora in ritardo. Gli enti regolatori non hanno rispettato la scadenza del 18 luglio 2026 prevista dal GENIUS Act per la definizione delle norme definitive sulle stablecoin. 
• Gli attacchi informatici stanno diventando più frequenti, non meno rischiosi. Nel primo semestre del 2026 si è registrato un numero record di 207 incidenti, nonostante le perdite totali siano diminuite rispetto al 2025. 
• Non esiste un'unica opzione "migliore". La scelta di custodia più adatta dipende dalla dimensione del portafoglio, dalla propensione al rischio e dal livello di controllo che si desidera esercitare.

Che cos'è la custodia di criptovalute? 

La custodia di criptovalute è la pratica di conservare e gestire in modo sicuro le chiavi private che controllano l'accesso alle criptovalute, ovvero chi detiene le chiavi e con quale livello di protezione sono protette.

Chiavi pubbliche vs. chiavi private

Per comprendere la custodia, è necessario comprendere il sistema a due chiavi che regola il possesso delle criptovalute.

La chiave pubblica è un indirizzo crittografico derivato dalla chiave privata. È visibile sulla blockchain e viene utilizzata per ricevere fondi.

Chiunque può vederlo e chiunque può inviarvi criptovalute. Non c'è alcun rischio nel condividerlo, è come dare a qualcuno il proprio numero di conto bancario.

La chiave privata è una stringa di caratteri generata crittograficamente che autorizza le transazioni e dimostra la proprietà dei beni.

Funziona come unica autorità di firma per il portafoglio. Chiunque possieda questa chiave può trasferire i fondi, senza bisogno di controlli d'identità o di secondi pareri. E a differenza di una password bancaria, non esiste un link "password dimenticata".

Tipi di custodia di criptovalute

Non tutti gli accordi di custodia sono uguali, e questo influisce su chi può trasferire il tuo denaro, cosa succede se qualcosa va storto e se hai effettivamente qualche possibilità di ricorso. Ecco come funzionano i principali modelli.

Autodistruzione

L'autocustodia è ciò che la maggior parte delle persone immagina quando pensa al "possedere criptovalute" nel senso più puro del termine. Il proprietario del portafoglio gestisce le proprie chiavi private utilizzando infrastrutture proprietarie o portafogli hardware come Ledger, con il pieno controllo ma anche con la piena responsabilità operativa e il rischio legato alla chiave.

Nessuno può congelare i tuoi fondi, chiederti un documento d'identità o impedirti l'accesso, ma nessuno verrà nemmeno a salvarti se qualcosa va storto.

• Portafogli hardware (ad esempio, Ledger, Trezor): dispositivi fisici che memorizzano le chiavi private offline, firmando le transazioni senza esporre le chiavi a Internet.
• Portafogli software/mobili: le app che memorizzano le chiavi su un dispositivo connesso sono comode, ma più esposte a malware e attacchi informatici.
• Frasi di recupero e rischio di perdita: la frase di recupero è l'unico backup; se la perdi, i fondi saranno persi, senza possibilità di ripristino.

PRO:

• Nessuna piattaforma di scambio o custode può congelare, perdere o gestire in modo improprio i vostri fondi.
• Nessun rischio di controparte, niente che possa fallire se non la tua configurazione.
• Controllo completo e diretto su quando e come vengono trasferiti i fondi.

Contro:

• Nessun meccanismo di recupero se la frase di recupero viene persa o distrutta.
• La piena responsabilità della sicurezza ricade esclusivamente su di te.
• Gli errori (indirizzo errato, approvazione fraudolenta, phishing) non possono essere annullati né rimborsati.

Custodia di terzi (custodiale)

La custodia da parte di terzi ribalta il compromesso. Un fornitore regolamentato archivia e gestisce le chiavi private per conto del proprietario, il che significa che si rinuncia al controllo diretto in cambio di comodità e, idealmente, di una sicurezza di livello professionale. 

Non tutti i servizi di custodia presso terzi sono uguali, sebbene la gamma sia molto ampia, da un semplice conto di scambio a infrastrutture di custodia create appositamente per le istituzioni.

• Custodia centralizzata su exchange: il percorso più semplice per acquistare, detenere e scambiare criptovalute in un unico conto, senza bisogno di configurare un wallet. Il rovescio della medaglia è che le tue criptovalute si trovano nei wallet dell'exchange, non nei tuoi, quindi sei esposto in caso di attacco hacker, cattiva gestione o insolvenza dell'exchange.

• Custodi istituzionali dedicati (Fireblocks, Anchorage, BitGo, Copper, Cobo, ChainUp): questi fornitori esistono esclusivamente per la custodia, non per il trading, e sono strutturati attorno a conti segregati, approvazione multi-firma e registri di controllo, pensati per aziende e fondi piuttosto che per i trader al dettaglio.

• Servizi di custodia offerti dalle banche (BNY Mellon, Standard Chartered, ingresso di Citi nel 2026): le banche tradizionali che offrono servizi di custodia portano con sé relazioni normative e bilanci consolidati, il che risulta attraente per i clienti istituzionali che desiderano un'esposizione alle criptovalute all'interno di un rapporto bancario familiare, piuttosto che tramite una piattaforma nativa per le criptovalute.

Non c'è alcuna Call To Action con l'ID #0.

Modelli di custodia ibridi

La custodia ibrida esiste perché l'autocustodia e la custodia presso terzi risolvono ciascuna un problema, creandone però un altro. Un'azienda, ad esempio, desidera l'infrastruttura di sicurezza di un custode istituzionale senza che un singolo dipendente o un singolo dispositivo violato possa spostare tutti i fondi. I modelli ibridi suddividono il controllo anziché concentrarlo.

PRO:

• Infrastruttura di sicurezza di livello professionale, spesso con copertura assicurativa.
• Non è necessario gestire personalmente le frasi di recupero o le chiavi private.
• Procedure di onboarding, recupero dell'account e assistenza clienti semplificate in caso di problemi.

Contro:

• Non sei tu a controllare le chiavi private, le controlla il fornitore.
• Esposizione al rischio di controparte qualora il fornitore subisca un attacco informatico, sia gestito in modo inadeguato o diventi insolvente.
• I prelievi possono essere ritardati o bloccati dalle politiche interne del fornitore. Il crollo di Mt. Gox e FTX rimangono un monito significativo: la comodità comporta un rischio di controparte.

Leggi anche: Portafogli con custodia vs portafogli senza custodia nel mondo delle criptovalute: qual è la differenza?

Il quadro normativo statunitense per la custodia di criptovalute nel 2026

Le regole sulla custodia non sono immutabili: nuove leggi e quadri normativi stanno attivamente ridefinendo chi può detenere asset digitali e in che modo. Ecco qual è la situazione attuale della normativa statunitense e quali sono gli aspetti ancora da definire.

Il GENIUS Act

Il Guiding and Establishing National Innovation for US Stablecoins Act è il quadro normativo che disciplina chi può emettere stablecoin di pagamento negli Stati Uniti, a quali condizioni e a quale costo.

Il regolamento affida la competenza in materia di regolamentazione a sei agenzie federali: l'OCC, la Federal Reserve, la FDIC, la NCUA, il Dipartimento del Tesoro e il FinCEN, con particolare riferimento alla composizione delle riserve, ai requisiti patrimoniali, alla conformità alle normative antiriciclaggio, agli obblighi di rimborso e agli standard di licenza.

Scadenza per la conformità e rischio di implementazione: 18 luglio 2026

La scadenza del 18 luglio 2026 prevista dal GENIUS Act per la finalizzazione delle norme sulle stablecoin è trascorsa senza che si sia giunti ad alcuna decisione. Gli enti regolatori avevano proposto dieci norme tra il Dipartimento del Tesoro, l'OCC, la FDIC e la NCUA, ma nessuna è stata finalizzata e la legge non prevede alcuna clausola di salvaguardia in caso di mancato rispetto della scadenza.

Ciò significa che emittenti e depositari operano sulla base di bozze anziché di norme definitive. Il quadro normativo entrerà comunque in vigore entro il 18 gennaio 2027, ovvero 120 giorni dopo la pubblicazione delle norme definitive, ma fino ad allora permane l'incertezza.

Rischi e punti critici nella custodia di criptovalute

Ogni modello di affidamento ha un punto debole; la domanda non è mai "è sicuro?" ma "cosa nello specifico può andare storto e chi ne subisce le conseguenze in tal caso?".

Rischi dell'autoaffidamento

• Materiale di recupero smarrito o distrutto

La frase di recupero è l'unico backup di un portafoglio self-custody. Se la chiave viene persa, i fondi sono persi per sempre (BitMEX): non esiste un servizio di assistenza clienti da contattare né un modo per ripristinare l'accesso.

• Phishing e approvazioni di contratti intelligenti dannosi

Un sito falso o una richiesta di "approvazione" contraffatta possono indurre qualcuno a cedere volontariamente l'accesso. La chiave non viene mai tecnicamente rubata, ma semplicemente consegnata.

• Punto singolo di guasto (nessun meccanismo di ripristino)

Un errore, una frase dimenticata, una firma estorta, un clic sbagliato possono essere decisivi. Non c'è un secondo firmatario né un ufficio antifrode in grado di annullare la firma.

Rischi legati all'affidamento a terzi

• Rischio di controparte

I crolli di Mt. Gox e FTX rimangono un potente monito che la comodità comporta un rischio di controparte: i vostri fondi sono al sicuro solo nella misura in cui lo sono la solvibilità e l'integrità del fornitore.

• Ritardi nei prelievi e blocchi della piattaforma

Durante periodi di volatilità o incidenti di sicurezza, possono verificarsi ritardi nell'accesso ai servizi di custodia degli exchange, e gli utenti non hanno alcun controllo su quando l'accesso verrà ripristinato.

• Nessun controllo diretto sui tasti

Dipendi completamente dalle pratiche di sicurezza e dai controlli interni del fornitore; una violazione o una cattiva gestione da parte loro si traduce anche in una perdita per te.

Rischi della custodia ibrida

• Maggiore complessità operativa

Dividere i propri investimenti tra la custodia personale e un conto presso terzi significa dover gestire più elementi, effettuare più accessi, utilizzare più dispositivi e, di conseguenza, commettere più errori di configurazione.

• Mancanza di coordinamento negli accordi di co-firma

Se un processo di approvazione delegato o multipartitico non è impostato correttamente, può causare ritardi o situazioni di stallo nel momento in cui i fondi devono effettivamente essere trasferiti.

• Esposizione parziale ai punti deboli di entrambi i modelli

Le configurazioni ibride riducono la concentrazione del rischio, ma non la eliminano: la parte autocustodita comporta comunque il rischio di perdita delle chiavi, e la parte custodita comporta comunque il rischio di controparte.

Dati e tendenze sui furti nel periodo 2025-2026

Chainalysis ha registrato furti per un valore di 3.4 miliardi di dollari da gennaio ai primi di dicembre 2025, di cui quasi 1.5 miliardi di dollari in un solo giorno a causa dell'attacco di Bybit del 21 febbraio 2025.

Gli hacker nordcoreani allineati allo stato sono stati responsabili di danni per 2.02 miliardi di dollari nel 2025, con un aumento del 51% rispetto all'anno precedente. Analizzando gli incidenti più gravi, i tre attacchi più importanti hanno causato complessivamente il 69% delle perdite di servizi registrate nel 2025.

Altri strumenti di monitoraggio con una portata più ampia, che includono anche le truffe, indicano cifre più elevate: l'analisi di PeckShield stima le perdite totali nel settore delle criptovalute a 4.04 miliardi di dollari per il 2025, di cui 2.67 miliardi dovuti ad attacchi hacker e un aumento del 64% delle truffe rispetto al 2024.

Scegliere la soluzione di custodia di criptovalute più adatta

Ogni opzione di affidamento comporta un diverso compromesso tra controllo, comodità e rischio, quindi la scelta "giusta" non è universale, dipende da cosa si vuole effettivamente ottimizzare. Ecco come porsi le domande giuste e trovare una soluzione adatta alla propria situazione specifica.

Chi controlla le chiavi?

Questa è la domanda più importante in assoluto: determina se hai il controllo diretto o se ti affidi a qualcun altro. Tutto il resto, in merito alla decisione sull'affidamento, dipende dalla risposta.

Quali sono le opzioni di recupero?

Informatevi su cosa succede in caso di smarrimento del dispositivo, dimenticanza della password o cessazione del rapporto di lavoro di un dipendente con accesso all'azienda. L'autogestione solitamente non prevede alcuna clausola di questo tipo; i fornitori terzi offrono servizi molto diversi tra loro.

Il fornitore è regolamentato/assicurato?

Regolamentazione e assicurazione non garantiscono la sicurezza, ma segnalano responsabilità e offrono un risarcimento in caso di problemi. Chiedete nello specifico cosa è coperto e a quali condizioni.

Qual è la procedura di prelievo e ci sono periodi di tempo in cui è possibile richiedere un rimborso?

Alcuni fornitori elaborano i prelievi istantaneamente; altri prevedono periodi di verifica o blocchi di più giorni. È importante saperlo prima di dover trasferire fondi con urgenza, non dopo.

Segnali d'allarme da tenere d'occhio in un fornitore di servizi di custodia.

Alcuni segnali di allarme meritano di essere considerati motivi di esclusione piuttosto che semplici avvertenze. Prestate attenzione a risposte vaghe su dove e come vengono effettivamente conservate le chiavi, alla riluttanza a spiegare in termini specifici le procedure di audit o la copertura assicurativa, a rendimenti insolitamente elevati sugli asset in custodia e a qualsiasi fornitore che non sia disposto a descrivere per iscritto in dettaglio la procedura di prelievo e i tempi di attesa tipici.

Non c'è alcuna Call To Action con l'ID #0.

Conclusione 

In definitiva, ogni modello di custodia risponde alla stessa domanda: chi detiene la chiave privata e cosa succede se qualcosa va storto? Nel mondo delle criptovalute non esiste un'autorità centrale in grado di annullare una transazione o recuperare i fondi rubati; l'unica cosa che conta è la chiave. 

Non esiste un'unica opzione "corretta". L'autocustodia offre il pieno controllo ma nessuna rete di sicurezza. La custodia da parte di terzi o di istituzioni offre supporto e conformità, ma i crolli di Mt. Gox e FTX ci ricordano che la comodità comporta un rischio di controparte.

I modelli ibridi esistono perché la maggior parte degli investitori più esperti finisce per evitare di concentrare tutto il rischio in un unico luogo. La scelta più sicura è quella di abbinare la soluzione di custodia alla propria tolleranza al rischio e alla dimensione del portafoglio, anziché optare per la soluzione più semplice.

DOMANDE FREQUENTI