Seed phrase Bitcoin: backup sicuro e prova di recupero

Che cos'è una seed phrase?

Una seed phrase, chiamata anche mnemonic sentence o frase di recupero, è una rappresentazione leggibile di entropia casuale. BIP-39 converte la mnemonic in una seed binaria; BIP-32 o protocolli simili usano poi quella seed per derivare gerarchie di chiavi. La specifica BIP-39 definisce lunghezze, checksum, wordlist e conversione; la guida Bitcoin Developer sui portafogli ricorda che un ripristino coerente richiede anche impostazioni HD compatibili.

La seed non sostituisce la chiave privata: permette di derivarla. Due wallet compatibili mostrano gli stessi indirizzi solo usando la stessa mnemonic, l'eventuale stessa passphrase e gli stessi parametri di rete, percorso e tipo di script. Le chiavi così ricostruite permettono di spendere gli UTXO Bitcoin associati: una foto sul cloud o un copia-incolla in chat possono quindi esporre i fondi presenti e futuri.

Quanta entropia c'è davvero in una frase?

La lunghezza della mnemonic dipende dall'entropia iniziale scelta dal generatore casuale del portafoglio. La tabella tratta da BIP-39 mostra il legame fra bit di entropia, bit di checksum e numero di parole.

Entropia (bit)	Checksum (bit)	Totale (bit)	Parole
128	4	132	12
160	5	165	15
192	6	198	18
224	7	231	21
256	8	264	24

Il checksum, pari a ENT / 32 bit, è la prima porzione dello SHA-256 dell'entropia. Consente al software di riconoscere molti errori di trascrizione, ma non corregge le parole e non intercetta ogni sequenza errata. Una frase a 12 parole ha 128 bit di entropia, una a 24 parole ne ha 256: se generate con casualità affidabile, entrambe sono fuori portata per la forza bruta. Ventiquattro parole offrono più entropia; dodici sono più semplici da trascrivere. Nessuna lunghezza compensa un generatore debole o un backup esposto.

Come si genera una mnemonic valida?

Il processo è deterministico ma parte da entropia casuale raccolta da una sorgente considerata affidabile dal portafoglio. I passaggi, secondo la specifica, sono quattro:

1. Generare ENT bit casuali da una fonte fidata.
2. Aggiungere CS = ENT / 32 bit di checksum calcolati come primi bit di SHA-256(ENT).
3. Dividere la sequenza risultante in gruppi da 11 bit, mappandoli a indici nella wordlist (2.048 voci per la lista inglese).
4. Concatenare le parole ottenute separate da spazi, nell'ordine previsto.

La frase non è quindi una password scelta dall'utente: è la codifica di casualità generata dal wallet. Cambiare una parola a caso non "sposta" i fondi: produce una frase non valida oppure una mnemonic valida che deriva un portafoglio diverso e non ricostruisce quello originale. La specifica strongly discourages l'uso di wordlist diverse dall'inglese perché la maggior parte dei wallet BIP-39 supporta soltanto quella inglese.

Che cosa fa la passphrase BIP-39?

La frase da sola ricostruisce sempre la stessa seed binaria. BIP-39 prevede però una passphrase opzionale: la mnemonic è la password di PBKDF2-HMAC-SHA512, mentre la stringa mnemonic seguita dalla passphrase forma il sale; la derivazione usa 2.048 iterazioni. Cambiando passphrase cambia l'intero albero delle chiavi. La guida Bitcoin Developer sui portafogli chiarisce che il software non può dimostrare che la password inserita sia quella desiderata.

Ogni passphrase genera infatti una seed valida: quella sbagliata apre un portafoglio diverso, normalmente vuoto. Un portafoglio decoy esiste soltanto se è stato creato e finanziato deliberatamente. La proprietà consente strategie di negazione plausibile, ma aggiunge un rischio netto: dimenticare anche un solo carattere rende inaccessibile il portafoglio atteso. Se un attaccante conosce la mnemonic, può inoltre provare passphrase deboli offline. Non esiste un reset centralizzato: recupero e robustezza dipendono dai propri backup.

Dove va custodita una seed phrase?

La regola di base è una sola: chi possiede la seed possiede i fondi. Questo principio rende la custodia molto diversa da una password bancaria, perché non c'è un operatore che possa resettare o sbloccare. La scelta del supporto e dell'ambiente è quindi una decisione personale che dipende da minacce, competenze e valore esposto.

• Carta o metallo, offline. Supporti non elettronici eliminano attacchi remoti e deterioramenti digitali, ma restano vulnerabili a incendio, acqua, smarrimento, lettura da terzi e copie non tracciate. I supporti metallici resistono meglio al fuoco e alla corrosione, ma costano di più e vanno verificati nella leggibilità prima dell'uso.
• Dispositivo hardware dedicato. Un cold wallet Bitcoin può generare e usare le chiavi firmando senza inviarle al computer; alcuni modelli impiegano componenti protetti, altri architetture diverse. Vanno verificati modello, firmware, provenienza e procedura di inizializzazione, non soltanto il marketing.
• Custodia geografica distribuita. Conservare la stessa frase in più luoghi indipendenti riduce il rischio di perdita totale, ma moltiplica quello di furto. La regola pratica è valutare il compromesso e, in caso di importi rilevanti, passare a soluzioni multisignature.
• Cartella cifrata o password manager. Possono essere accettabili come secondo livello (per esempio per conservare la passphrase separata dalla mnemonic), ma sono un duplicato digitale con i rischi di un qualunque file: furto, backup non aggiornato, software compromesso.

Non è consigliabile fotografare la frase, salvarla nel cloud, inviarla via chat o email, o digitarla su un sito web per "verificarla". Va inserita soltanto nell'interfaccia fidata del wallet durante conferma del backup o ripristino. Un sito, un modulo di assistenza o una persona che la richiede ottiene la capacità di spendere i fondi.

Come verificare il backup senza esporre la seed

Un checksum valido non prova da solo che il backup ricostruisca il portafoglio atteso. La prima scelta è la funzione di controllo backup offerta dal wallet. In alternativa si può usare un secondo dispositivo hardware fidato e compatibile, inizializzato appositamente; importare la seed in un software generico o in un computer connesso aumenta invece la superficie di attacco.

1. Usare il controllo integrato del wallet oppure un secondo dispositivo compatibile, fidato, resettato e tenuto offline durante la prova.
2. Inserire mnemonic ed eventuale passphrase soltanto sul dispositivo e impostare la stessa rete, il medesimo tipo di script e il percorso di derivazione previsto.
3. Confrontare almeno tre indirizzi Bitcoin di ricezione già noti, senza fidarsi di indirizzi mostrati da un computer non verificato. Il dispositivo di prova può poi essere cancellato secondo la procedura del produttore.

Per controllare saldo e transazioni senza collegare il dispositivo di prova si può usare un descrittore watch-only già verificato o il proprio full node Bitcoin. Non è necessario inviare fondi per dimostrare che la derivazione è corretta: la corrispondenza degli indirizzi prova che il materiale di backup e i parametri scelti ricostruiscono lo stesso ramo.

Errori irreversibili che ricorrono nelle guide

• Conservare la frase su un dispositivo connesso. Ogni computer o telefono può essere compromesso; una mnemonic su disco è una mnemonic esposta.
• Credere che un servizio possa indovinare la frase mancante. Un backup cifrato predisposto in anticipo è diverso dal "recupero" di una mnemonic sconosciuta. Chi chiede la seed completa o promette di ricostruirla senza dati sufficienti va trattato come un rischio.
• Modificare l'ordine delle parole "per ricordarla meglio". Cambiare l'ordine cambia la sequenza e l'albero derivato. Non è una cifratura.
• Affidarsi a screenshot o copie automatiche dei telefoni. Backup su cloud, app di galleria e screenshot finiscono in percorsi non controllati e spesso indicizzati.
• Dimenticare la passphrase o custodirla insieme alla seed. Le due componenti vanno gestite in modo indipendente, altrimenti si annulla il vantaggio della passphrase.

Quando serve un piano che va oltre la singola seed

Per importi rilevanti o per una custodia che deve sopravvivere all'incapacità o alla morte del titolare, una singola mnemonic può non offrire il giusto equilibrio. Un piano multisignature distribuisce la firma su più dispositivi e richiede un quorum per spendere. Riduce alcuni rischi di furto o perdita singola, ma introduce coordinamento, backup dei descrittori e nuove prove di ripristino. Per chi inizia, una configurazione semplice e verificata è spesso più sicura di una struttura avanzata non compresa.

Checklist operativa di seed phrase

1. Generare la mnemonic con un wallet affidabile e una sorgente casuale adeguata; non inventare le parole.
2. Numerare e trascrivere le parole nell'ordine esatto su un supporto non digitale, al riparo da telecamere e copie automatiche.
3. Se si usa una passphrase, documentarne separatamente l'esistenza e conservarne il valore lontano dalla mnemonic.
4. Completare la conferma backup del wallet; il solo checksum segnala molti errori, non il portafoglio corretto.
5. Eseguire una prova su funzione integrata o dispositivo compatibile offline, confrontando più indirizzi noti.
6. Custodire la copia in un luogo fisico appropriato al valore esposto, valutando copie multiple indipendenti.
7. Non fotografare la frase, non salvarla in cloud, non digitarla su siti web.
8. Ripetere la verifica se cambiano passphrase, parametri di derivazione, configurazione multisig o supporto fisico; le normali transazioni non cambiano la seed.

Prossima azione utile

Per costruire una custodia coerente conviene partire dalla verifica integrata del backup o da una prova offline su un dispositivo compatibile e fidato, prima di spostare importi significativi. Il percorso per principianti sopra la guida collega, nell'ordine, wallet, indirizzi, UTXO, custodia offline e verifica autonoma: ogni passaggio aggiunge una sola competenza e riduce il rischio di affidarsi a una procedura non compresa.

Conoscere la seed phrase non significa sapere come proteggere il portafoglio: serve una procedura ripetibile, una verifica indipendente e la consapevolezza che la passphrase aggiunge potenza e rischio. Se dispositivo e backup diventano entrambi inaccessibili, non esiste un'autorità che possa reimpostare mnemonic o passphrase.

Fonti e data di verifica

Contenuto verificato il 31 agosto 2026 sulle specifiche BIP-39, BIP-32 e BIP-380, oltre alla guida Bitcoin Developer sui portafogli. Entropia, checksum, PBKDF2 e derivazione delle chiavi sono dati di specifica; supporti, distribuzione geografica e frequenza delle prove sono raccomandazioni operative da adattare al proprio profilo di rischio. Nessuna parte costituisce consulenza finanziaria.