Password manager e cripto: cosa salvare e cosa mai

Un password manager è un buon posto per le password degli exchange e dell’email, ma non è il posto per seed phrase o chiavi private: queste devono restare offline, perché chiunque le ottenga controlla le tue cripto per sempre. Usato correttamente, un password manager rende i tuoi account cripto molto più sicuri; usato come contenitore per tutto, può diventare un single point of failure.

La maggior parte dei furti di cripto inizia con la presa di controllo di un account o con un segreto rubato, non con una blockchain violata. Questa guida spiega come gli attaccanti prendono di mira i vault delle password e i segreti che contengono, cosa salvare e cosa tenere fuori, e cosa fare se qualcosa va storto.

Cosa salvare e cosa mai

Il principio guida: il password manager protegge l’accesso ad account che hanno altre tutele (ritardi sui prelievi, 2FA, team di assistenza). Una seed phrase non ha alcuna tutela. Leggi cos’è una seed phrase e come funzionano le frasi di recupero per capire perché.

Come gli attaccanti prendono di mira vault e segreti

Capire i vettori di attacco spiega le regole qui sopra:

1. 1Malware infostealer. Un’app falsa, un software craccato o un’estensione del browser malevola copia i dati del browser, le password salvate e i file dal tuo computer. Se il tuo vault è sbloccato, o se la tua seed phrase si trova in una nota, può essere sottratta in pochi secondi.
2. 2Phishing della password principale. Una pagina di accesso falsa o una falsa email di “avviso di sicurezza del vault” ti chiede di accedere al tuo password manager.
3. 3Violazioni del fornitore. Alcune aziende di password manager hanno subito violazioni in cui sono stati copiati dati cifrati dei vault. La cifratura ti protegge solo finché la tua password principale è abbastanza robusta da resistere ai tentativi di indovinarla.
4. 4Dirottamento degli appunti. Un malware sorveglia gli appunti e sostituisce un indirizzo di wallet copiato con quello dell’attaccante, oppure cattura una seed phrase che copi.
5. 5Ricerca di parole chiave nei vault. Una volta dentro un vault, gli attaccanti cercano parole come “seed”, “mnemonic”, “wallet” o “private key”.

Un esempio ipotetico

Quello che segue è un caso composito a scopo illustrativo, non un caso reale. Immagina che Alex salvi tutto in un unico password manager, compresa una nota intitolata “MetaMask seed”. Alex installa un’estensione gratuita di “monitoraggio dei prezzi cripto” che si rivela malevola. Cattura la password principale mentre Alex la digita ed esporta il vault. L’attaccante cerca “seed”, importa il wallet e lo svuota nel giro di un’ora. L’account di Alex sull’exchange si salva solo perché i prelievi richiedono una chiave di sicurezza hardware. La differenza tra i due esiti è stata dove era conservato ciascun segreto.

Segnali d’allarme che il tuo vault o i tuoi account sono presi di mira

• Email che ti chiedono di “verificare” o “risincronizzare” il tuo password manager o il tuo account sull’exchange.
• Avvisi di accesso o richieste 2FA che non hai attivato tu.
• Il tuo password manager si rifiuta di compilare automaticamente su un sito che pensi sia il tuo exchange.
• Nuove estensioni del browser che non ricordi di aver installato.
• Email inattese di reimpostazione della password del tuo account email.

Come configurare in sicurezza un password manager per le cripto

1. 1Scegli un manager affidabile con un modello di sicurezza pubblicato e crittografia end-to-end, scaricato solo dal sito ufficiale o dallo store delle app.
2. 2Crea una passphrase principale robusta composta da diverse parole casuali che non usi da nessun’altra parte, e annotala per il recupero d’emergenza in un luogo sicuro.
3. 3Attiva un’autenticazione a due fattori robusta per il vault, idealmente una chiave di sicurezza hardware o un’app di autenticazione anziché gli SMS.
4. 4Genera password uniche per ogni exchange, account email e servizio cripto. Dai la priorità alla tua email, perché permette di reimpostare tutto il resto.
5. 5Usa la compilazione automatica come controllo anti-phishing. Se non propone le tue credenziali, esamina l’URL prima di digitare qualsiasi cosa.
6. 6Tieni fuori i segreti dei wallet. Conserva le seed phrase offline. Se vuoi un promemoria nel vault, scrivi solo dove si trova un backup, non cosa contiene.
7. 7Blocca il vault automaticamente dopo un breve periodo di inattività e quando il dispositivo va in standby.

Per una routine più completa, consulta la nostra guida per creare una solida routine di sicurezza cripto e quella sulla sicurezza dell’account email per chi usa le cripto.

Cosa fare se il tuo vault viene compromesso

1. 1Considera esposto ogni segreto al suo interno. Se c’era una seed phrase, sposta immediatamente i fondi su un nuovo wallet con una nuova seed phrase; segui cosa fare subito se il tuo wallet è compromesso.
2. 2Cambia prima la password della tua email, poi quelle degli exchange, da un dispositivo pulito.
3. 3Reimposta l’autenticazione a due fattori e revoca sessioni e chiavi API sconosciute sugli exchange.
4. 4Controlla le whitelist degli indirizzi di prelievo alla ricerca di indirizzi che non hai aggiunto tu.
5. 5Esegui una scansione o reinstalla il dispositivo colpito prima di usarlo di nuovo.
6. 6Segnala i siti di phishing e gli indirizzi truffaldini al servizio interessato e tramite il nostro modulo di segnalazione truffe.

In sintesi

Un password manager è uno dei migliori strumenti di sicurezza che chi usa le cripto possa avere, a patto che contenga le cose giuste. Usalo per password uniche degli account e come controllo anti-phishing tramite la compilazione automatica, proteggilo con una passphrase robusta e un’autenticazione a due fattori basata su hardware, e conserva seed phrase e chiavi private offline, dove malware e violazioni non possono raggiungerle.