Come proteggere le cripto: 2FA e le abitudini che contano davvero
Due recenti incidenti di sicurezza e cosa insegnano agli utenti: sei abitudini che proteggono davvero le sue cripto e i suoi conti, a partire dall'autenticazione a due fattori.
In dieci giorni, due gravi incidenti di sicurezza hanno fatto notizia. Nessun utente comune avrebbe potuto evitarli. Entrambi restano però un buon promemoria di quanto si possa fare in prima persona.
Cosa è successo
PHP2Shell, 20-21 ottobre 2026. PHP è un linguaggio di programmazione che gira dietro molti siti web e servizi online. I dettagli di due falle critiche sono trapelati prima che fosse pronta una correzione; il 21 ottobre PHP ha pubblicato le versioni corrette. Secondo CERT-EU, ogni installazione PHP che risponde a richieste web era a rischio finché non veniva aggiornata. I gestori dei siti dovevano applicare la patch. Gli utenti potevano solo attendere.
Un attacco record a un exchange, 29 ottobre 2026. Binance ha confermato un attacco che ha interessato circa 6,3 miliardi di dollari, di cui circa 3 miliardi congelati. L'exchange ritiene che gli aggressori siano entrati tramite il laptop di un dipendente. Afferma di non aver trovato prove di una fuga di chiavi private e che coprirà tutte le perdite. Le cifre potrebbero ancora cambiare (Blick ha la copertura svizzera).
Due tipi di rischio
Il rischio di piattaforma riguarda ciò che accade nei sistemi di altri: un sito web, un exchange, un'app. Non può applicare patch ai loro server né proteggere i laptop dei loro dipendenti.
Il rischio di account riguarda il modo in cui qualcuno accede al suo conto o al suo wallet. Questa parte dipende in gran parte da Lei, ed è qui che le buone abitudini fanno la differenza più grande.
1. Attivare l'autenticazione a due fattori
L'autenticazione a due fattori (2FA) richiede, oltre alla password, una seconda prova: qualcosa che possiede, come il suo telefono o la sua impronta digitale. Il Centro nazionale per la cibersicurezza raccomanda di usarla ovunque sia possibile, e almeno per e-mail, online banking e social media.
Non tutte le 2FA sono uguali:
- La più forte: passkey o una chiave di sicurezza hardware. Funzionano solo sul sito web autentico, quindi una pagina di login falsa non può catturarle.
- Buona: un'app di autenticazione. Genera sul suo telefono codici che cambiano ogni pochi secondi.
- La più debole: i codici via SMS. Possono essere intercettati, ad esempio se qualcuno si impossessa del suo numero di telefono.
Inizi dal suo account e-mail. Chi controlla la sua casella di posta può reimpostare la maggior parte delle altre password. Conservi i suoi codici di backup offline.
2. Usare una password diversa ovunque
Quando un sito web viene violato, le password rubate vengono provate su altri siti. Falle come PHP2Shell sono esattamente il tipo che porta a queste violazioni. Un gestore di password rende semplici le password uniche: ne ricorda una, lui ricorda il resto.
3. Mantenere aggiornati i dispositivi
L'attacco all'exchange sarebbe iniziato, secondo quanto riferito, da un singolo laptop compromesso. A casa vale lo stesso: il suo telefono e il suo computer sono la porta d'ingresso ai suoi conti e al suo wallet. Installi gli aggiornamenti tempestivamente, usi un blocco schermo e installi app solo dagli store ufficiali.
4. Aspettarsi phishing dopo le grandi notizie
I truffatori sfruttano i titoli dei giornali. Dopo un grande attacco, è lecito aspettarsi messaggi falsi su «risarcimenti», «rimborsi» o «verifica dell'account».
- Non condivida mai la sua frase di recupero, la sua chiave privata o un codice 2FA. Nessun fornitore serio glieli chiederà mai.
- Apra il sito web o l'app da solo, invece di cliccare un link in un messaggio.
- Tratti l'urgenza come un segnale d'allarme. I fornitori seri non le danno dieci minuti per agire.
5. Sapere chi detiene le sue chiavi
Con un servizio in custodia (custodial), il fornitore detiene le chiavi delle sue cripto. Può aiutarla se perde l'accesso, ma i suoi fondi dipendono da quanto bene protegge i propri sistemi.
Con un servizio non in custodia (non-custodial), è Lei a detenere le chiavi. Una violazione dei sistemi del fornitore non consegna le sue chiavi agli aggressori, ma il backup della sua frase di recupero è compito suo.
Nessun modello è privo di rischi. Ciò che conta è sapere quale utilizza e cosa significa per Lei.
6. Controllare ogni indirizzo e fare prima un test
I trasferimenti di cripto non possono essere annullati. Controlli l'indirizzo del destinatario per intero, non solo i primi e gli ultimi caratteri, perché i truffatori creano indirizzi molto simili. Per importi maggiori, invii prima una piccola transazione di prova.
La sua checklist
- 2FA sulla sua e-mail, idealmente con una passkey o un'app di autenticazione
- 2FA su ogni conto cripto e bancario
- Una password unica per ogni conto, salvata in un gestore di password
- Telefono e computer aggiornati
- Frase di recupero salvata offline, mai come foto o nel cloud
- Segnalibri per i siti che utilizza, invece di link dai messaggi
La sicurezza non è mai una singola impostazione. Sono poche abitudini, mantenute nel tempo.
Fonti ufficiali
Centro nazionale per la cibersicurezza (Svizzera): proteggere doppiamente i propri accessi
CERT-EU Security Advisory 2026-018: vulnerabilità critiche in PHP (in inglese)
Ultima revisione: 30 ottobre 2026. Questo articolo non costituisce consulenza in materia di investimenti.
Domande frequenti
- Che cos'è l'autenticazione a due fattori (2FA)?
- La 2FA richiede, oltre alla password, una seconda prova di identità, di solito un codice da un'app o un tocco sul telefono. Anche se qualcuno ruba la sua password, non può accedere senza quel secondo fattore.
- La 2FA via SMS è meglio di niente?
- Sì, decisamente. I codici via SMS possono essere intercettati, quindi un'app di autenticazione o una passkey è più forte, ma qualsiasi 2FA è molto meglio della sola password.
- Che cos'è una passkey?
- Una passkey sostituisce la password con una chiave memorizzata sul suo dispositivo, sbloccata con impronta digitale, volto o PIN. Funziona solo sul sito per cui è stata creata, quindi una pagina di login falsa non può usarla.
- La 2FA mi avrebbe protetto nell'attacco all'exchange?
- No. Quell'attacco è avvenuto all'interno dei sistemi dell'exchange, non tramite i login dei clienti. La 2FA protegge il suo conto da chi tenta di accedere al suo posto.
- Ho cliccato su un link sospetto. Cosa devo fare?
- Cambi la password del conto interessato da un altro dispositivo affidabile e chiuda tutte le sessioni attive. Se ha inserito la sua frase di recupero da qualche parte, consideri quel wallet compromesso e sposti subito i suoi fondi in un nuovo wallet.
- Dove dovrei conservare la mia frase di recupero?
- Offline: scritta su carta o incisa su metallo, in un luogo sicuro. Mai come foto, in una cartella cloud, nella sua e-mail o in un'app di note, e non la condivida con nessuno.
- Cosa succede se perdo il telefono che uso per la 2FA?
- Usi i codici di backup che ha salvato quando ha configurato la 2FA. Se non li ha, contatti il supporto del fornitore, che dovrà verificare la sua identità prima di ripristinare l'accesso.
Letture correlate
Investire in cripto-attività comporta rischi significativi. Il valore delle cripto-attività può salire e scendere e si potrebbe perdere l'intero capitale investito. Eti-Tech AG è membro dell'OAD VQF (VASP). Questo non costituisce consulenza in materia di investimenti.
Crypto. In stile svizzero.