La sicurezza è una scelta architetturale: perché non custodiamo le vostre chiavi

La sicurezza è una scelta architetturale: perché non custodiamo le vostre chiavi

La protezione dei fondi comincia prima di una transazione. Comincia dal modo in cui viene progettata l’infrastruttura e da una scelta essenziale: chi deve poter disporre delle chiavi private.

Per BTCPay Server Italia, accompagnare le imprese nell’adozione dei pagamenti Bitcoin significa anche definire con chiarezza il confine tra servizio tecnologico e controllo dei fondi. La nostra posizione è precisa: sull’istanza pubblica non consentiamo agli utenti di configurare hot wallet. L’infrastruttura gestisce i pagamenti; le chiavi private devono rimanere sotto il controllo dei legittimi proprietari, al di fuori del server pubblico.

La sicurezza non si esaurisce in un aggiornamento

Gli avvisi di sicurezza pubblicati dal progetto BTCPay Server ricordano quanto sia importante mantenere aggiornato ogni componente di un’infrastruttura di pagamento. Il progetto ha documentato un incidente nel quale una vulnerabilità ha consentito di ottenere le credenziali amministrative di nodi LND collegati alle istanze interessate, con conseguente sottrazione di fondi ad alcuni utenti.

È importante distinguere i diversi ambiti: nell’avviso relativo alla versione 2.4.2, il rischio descritto riguarda le credenziali LND e non i wallet on-chain gestiti da BTCPay Server. La versione 2.4.7, rilasciata il 29 ottobre 2026, dichiara la correzione di 85 rilievi di sicurezza: 1 critico, 13 di gravità alta, 52 media e 19 bassa, secondo le classificazioni del rapporto originale. Le note di rilascio raccomandano l’aggiornamento, in particolare per i server condivisi da più esercenti.

Questi dati riguardano il software del progetto e non costituiscono un’attestazione della versione installata sulla nostra istanza. Nessun aggiornamento deve essere interpretato come una garanzia di invulnerabilità.

La lezione è più ampia di una singola versione software: aggiornare è indispensabile, ma ridurre preventivamente l’esposizione delle chiavi private è una scelta architetturale distinta e altrettanto importante.

La nostra scelta: nessun hot wallet sull’istanza pubblica

Un hot wallet conserva le chiavi private in un ambiente connesso a Internet. È una configurazione che può rispondere a specifiche esigenze operative, ma introduce un rischio che richiede valutazioni, controlli e responsabilità adeguati.

Quando le chiavi sono presenti su un server, la compromissione dell’infrastruttura o di un account con i privilegi necessari può esporre anche la capacità di spendere i fondi. Su un servizio condiviso, questa concentrazione di funzioni merita particolare attenzione.

Per questo abbiamo scelto di non rendere disponibile la configurazione di hot wallet sulla nostra istanza pubblica. Non è una limitazione commerciale: è il confine che abbiamo deciso di mantenere tra l’operatività dei pagamenti e la custodia delle chiavi.

Non custodial, watch-only e cold wallet: ruoli distinti

Non custodial significa che il controllo delle chiavi private rimane all’utente. Non significa, da solo, che un wallet sia offline. Anche un wallet gestito direttamente dal proprietario può essere un hot wallet.

Watch-only descrive invece una configurazione che utilizza informazioni pubbliche per osservare indirizzi e transazioni, senza possedere le chiavi private necessarie alla spesa. Cold wallet indica una configurazione nella quale le chiavi di firma sono mantenute offline. Watch-only e cold wallet non sono sinonimi: possono essere componenti complementari della stessa architettura.

Nel modello che promuoviamo, BTCPay Server utilizza sul server pubblico soltanto le informazioni pubbliche compatibili del wallet, mentre la firma rimane in un ambiente separato. La configurazione raccomandata mantiene le chiavi offline, attraverso un dispositivo di firma dedicato o un ambiente offline adeguatamente protetto.

Sparrow Wallet: osservare online, firmare separatamente

Tra gli strumenti che consigliamo per questo approccio c’è Sparrow Wallet. La sua documentazione distingue i wallet software che contengono chiavi private, i wallet xpub/watch-only e le configurazioni con hardware wallet connessi o air-gapped.

Il modello da promuovere è preciso: BTCPay Server in modalità watch-only sull’infrastruttura pubblica; Sparrow su una postazione dell’utente per la gestione operativa; chiavi private conservate nel dispositivo o nell’ambiente di firma offline. Anche Sparrow può essere configurato con sole informazioni pubbliche, senza importare il seed.

In una configurazione air-gapped, i dati necessari alla firma vengono scambiati tramite i metodi supportati dal dispositivo, per esempio codici QR o scheda SD. La transazione viene autorizzata dal dispositivo che custodisce le chiavi, non dal server pubblico.

Sparrow non diventa un cold wallet per il solo fatto di essere installato. Se le chiavi sono conservate e utilizzate su un computer connesso a Internet, rimangono esposte ai rischi di quell’ambiente. La protezione dipende dalla configurazione concreta, non dal nome del software.

Il seed di recupero non deve essere inserito sul server pubblico. Anche le informazioni pubbliche estese del wallet richiedono attenzione: non consentono, da sole, di spendere i fondi, ma possono rivelare informazioni sensibili sull’attività finanziaria.

Ridurre il rischio non significa dichiarare immunità

Mantenere le chiavi fuori dal server riduce uno specifico rischio: che una compromissione dell’istanza renda direttamente disponibili anche le chiavi necessarie a sottrarre i fondi già ricevuti dal wallet.

Non elimina le vulnerabilità dell’istanza, gli accessi non autorizzati, i rischi relativi ai dati o le interruzioni del servizio. Un’infrastruttura compromessa potrebbe inoltre alterare le informazioni mostrate o gli indirizzi utilizzati per i pagamenti futuri. L’assenza di chiavi private sul server non rende quindi irrilevante la fiducia nel gestore.

La verifica degli indirizzi tramite un dispositivo fidato, la protezione degli account e il monitoraggio restano parte integrante di un uso consapevole. Allo stesso modo, la sicurezza del dispositivo di firma e dei backup rimane determinante per la protezione del wallet.

Un’infrastruttura di pagamento, non un deposito di Bitcoin

Utilizzare un’infrastruttura esterna per ricevere pagamenti non dovrebbe essere confuso con affidarle la custodia dei propri Bitcoin. Il nostro modello mantiene distinte queste responsabilità: il servizio supporta i processi di pagamento; l’utente conserva il controllo delle chiavi e delle operazioni di firma.

Per le imprese, il valore di questa impostazione è la chiarezza: sapere quali funzioni svolge il servizio, quali responsabilità rimangono interne e dove si trova effettivamente il potere di autorizzare una transazione.

La sicurezza come disciplina continua

Un’architettura prudente è un punto di partenza, non un traguardo definitivo. Un’infrastruttura di pagamento richiede aggiornamenti tempestivi, privilegi amministrativi limitati, controllo delle autorizzazioni, riduzione dei servizi non necessari e attenzione costante agli eventi rilevanti per la sicurezza.

Allo stesso modo, chi utilizza un wallet deve proteggere il seed, predisporre backup adeguati e verificare le procedure di recupero prima di affidare alla configurazione importi significativi.

La scelta di escludere gli hot wallet dalla nostra istanza pubblica si inserisce in questa visione: limitare il materiale sensibile presente sul server e mantenere separati i ruoli che non è necessario concentrare nello stesso ambiente.

Sovranità digitale, responsabilità concreta

Bitcoin offre alle imprese la possibilità di ripensare il rapporto tra pagamenti, controllo e autonomia. Rendere questa possibilità operativa richiede competenze tecniche, processi comprensibili e scelte esplicite sul rischio.

BTCPay Server Italia si propone come partner italiano per questa adozione concreta: infrastruttura, integrazione e supporto, senza confondere l’assistenza tecnologica con la custodia delle chiavi private.

Non promettiamo un’infrastruttura immune da ogni attacco. Scegliamo invece un modello che riduce l’esposizione delle chiavi e rende più chiaro il confine delle responsabilità.

Le chiavi restano tue. Sempre.

È il principio della nostra scelta non custodial: il servizio non deve detenere le tue chiavi private. Non è una promessa di assenza di rischio, ma un impegno sul modello di custodia che promuoviamo.

BTCPay Server Italia
Infrastruttura, integrazione e supporto per l’adozione di Bitcoin nelle imprese.

La sovranità digitale comincia dal controllo delle proprie chiavi.

Fonti e approfondimenti

Torna al blog