Cosa la self-custody ti chiede davvero — la lista onesta

Il marketing della self-custody è una riga: sii la tua banca. La versione onesta è più lunga. Erediti responsabilità che un custodian assorbiva per te, e fingere il contrario è come si finisce con wallet vuoti e una storia che inizia con "credevo fosse salvato".

Questo è il quarto articolo della serie Self-Custody Fundamentals. Il precedente ha inventariato i sette modi di fallimento delle exchange custodial. Questo è la sua controparte onesta: ciò che la self-custody ti carica addosso. Leggilo prima di decidere che la self-custody sia "ovviamente" il modello giusto per tutto — per alcuni asset e alcuni utenti, i trade-off si capovolgono.

TL;DR

• La self-custody scambia un rischio di controparte con un rischio operativo che è tuo. I rischi non vanno a zero; cambiano forma.
• Il conto arriva in cinque categorie: backup, sicurezza operativa (opsec), gestione dei dispositivi, pianificazione del recovery e tempo e attenzione.
• Quasi tutti i fallimenti non sono drammatici — sono lenti, banali, e iniziano con passi saltati mesi prima (nessun backup scritto, seed fotografata per comodità, recovery mai testato).
• Un multisig 2-di-2 come SSP addolcisce molti di questi — perdere un dispositivo non è catastrofico, compromettere una chiave richiede entrambi i dispositivi — ma non li elimina.
• Il framing corretto non è "la self-custody è difficile". È: stai sostituendo la tua disciplina a quella del custodian. Pianifica quella sostituzione onestamente, oppure non farla.

Categoria 1 — Backup

Un custodian ti fa il backup — tenendo le chiavi di un saldo che traccia nel suo database. Non devi fare nulla per essere "backuppato".

La self-custody non ha quel ruolo. Il materiale di recovery è il wallet — che sia una seed phrase di 12/24 parole, una coppia di dispositivi 2-di-2 o una card di backup di una hardware wallet. Se quel materiale si perde o si distrugge, i fondi sono irrecuperabili. Non "più difficili da recuperare". Irrecuperabili.

Cosa significa concretamente:

• Scrivi la seed quando il wallet te lo chiede. Penna e carta, in quel momento. Non uno screenshot, non una nota in un password manager, non "lo faccio domani".
• Conserva almeno due copie, in luoghi fisicamente separati. Incendio, alluvione, furto o trasloco non devono spazzare via entrambe. Pattern comune: una a casa in una busta ignifuga, una con la famiglia o in una cassetta di sicurezza.
• Per importi significativi, usa un backup in metallo. La carta sopravvive un decennio se hai cura. Una piastra di metallo sopravvive alla maggior parte degli incendi domestici. Steelplate e Cryptosteel sono i prodotti comuni; il post sulle best practice della seed phrase copre le opzioni.
• Testa il recovery prima di fidarti. Ripristina la seed su un dispositivo pulito una volta, verifica che gli indirizzi coincidano, poi cancella e riconfigura. Un backup non testato è una speranza, non un backup.

Per SSP nello specifico, il modello 2-di-2 implica che la tua "seed" è divisa in due: la mnemonica master dell'estensione SSP più la mnemonica mobile di SSP Key. Entrambe seguono la stessa disciplina di backup — e nessuna delle due da sola basta per recuperare il wallet.

Categoria 2 — Sicurezza operativa (opsec)

Una volta che le chiavi esistono sui tuoi dispositivi, la superficie cambia. L'opsec di un custodian è un problema dei suoi dipendenti; nella self-custody è il tuo.

Le minacce realistiche per un utente tipico non sono avversari di livello statale. Sono:

• Malware — un sostitutore di appunti che scambia il tuo indirizzo di destinazione con quello dell'attaccante al momento dell'incolla, un infostealer che pesca un file di seed sbloccato, un'estensione del browser malevola che firma silenziosamente transazioni che non volevi.
• Phishing — email, DM e annunci search look-alike che portano a un sito che sembra un wallet di cui ti fidi ma non lo è. Una volta inserita la seed, è finita.
• Accesso fisico — chiunque legga il tuo foglio della seed, chiunque prenda in mano un telefono sbloccato, chiunque trovi un backup non cifrato sul desktop.
• Ingegneria sociale — telefonate o messaggi che ti guidano attraverso step di "verifica" che includono leggere la seed ad alta voce o installare software di controllo remoto.

Cosa ti richiede:

• Non scrivere mai la seed dove vive digitalmente. Niente email, niente Note, niente iCloud, niente password manager cloud. La seed è offline per design.
• Verifica la URL di qualunque sito wallet a cui accedi. Metti l'URL canonica nei preferiti una volta. Controllala a ogni visita. I lookalike costano pochissimo da produrre; l'unica difesa è la disciplina del preferito.
• Usa un profilo utente o un browser separato per la cripto se puoi. Riduce il raggio d'impatto di un'estensione malevola.
• Verifica l'indirizzo di destinazione su un secondo dispositivo. Il modello 2-di-2 di SSP lo rende naturale — l'app mobile SSP Key mostra l'indirizzo prima di firmare, così un sostitutore di appunti sul lato browser viene catturato.

Non ti serve disciplina militare. Ti servono abitudini costanti e noiose.

Categoria 3 — Gestione dei dispositivi

Ai custodian non importa da quale dispositivo accedi. Autenticano l'account, non il dispositivo. La self-custody inverte tutto: il dispositivo è il wallet. Ora gestisci dispositivi come un admin gestisce server.

Le responsabilità minime:

• Mantieni il sistema operativo e il software del wallet aggiornati. Le vecchie versioni accumulano vulnerabilità note. La latenza di 24 ore per le patch di sicurezza è reale; chiudila.
• Blocca il dispositivo. PIN o biometria su telefono e laptop, con auto-lock breve. La password del wallet è l'ultima linea, non la prima.
• Conosci il ciclo di vita. Quando dismetti un dispositivo, cancellalo prima di rivenderlo. Quando un dispositivo è perso, tratta il wallet su di esso come compromesso finché non hai migrato.
• Non conservare la seed sullo stesso dispositivo dove gira il wallet. I backup cloud cifrati delle foto del telefono sono come le seed finiscono sui server di Apple o Google.

Per il multisig 2-di-2 questa lista vale due volte — una per dispositivo. Vantaggio: perdere un dispositivo non è più istantaneamente catastrofico. Svantaggio: ora ci sono due dispositivi da tenere aggiornati.

Categoria 4 — Pianificazione del recovery

La cosa di maggior impatto che un utente di self-custody può fare e che quasi nessuno fa è pianificare il recovery prima di averne bisogno.

Pianificare il recovery significa rispondere, per iscritto, con le persone vere coinvolte:

• Cosa succede se perdo il dispositivo domani? Dov'è la seed, qual è il processo di ripristino, quanto ci vuole?
• Cosa succede se sono incapacitato o morto? La persona giusta riesce a trovare il materiale di recovery, sa a cosa serve, e il lato legale/successorio è allineato (un testamento che cita "holdings cripto" senza dire dove sono le chiavi è praticamente inutile)?
• Cosa succede se la seed è compromessa ma controllo ancora il wallet? La risposta è spostare immediatamente i fondi su un nuovo wallet con seed fresca. Esercitati una volta prima di doverlo fare sotto stress.

La serie Wallet Recovery Scenarios copre l'angolo successioni / accesso d'emergenza in dettaglio; la versione breve è che un piano nascosto non è un piano. Le persone che devono ritrovare il materiale di recovery devono poterlo trovare, in una forma che possano usare, senza che tu le guidi.

Per il setup 2-di-2 di SSP, questa storia è più indulgente rispetto ai wallet single-seed — perdere il browser non perde il wallet, il flusso wallet recovery della v1.38 lo gestisce — ma la successione richiede entrambi i set di backup, non uno. Pianifica per entrambi.

Categoria 5 — Tempo e attenzione

Il costo meno visibile e quello che si accumula. I custodian assorbono la tassa operativa di gestire un wallet — decidono quando ruotare le chiavi, quando applicare patch, quando aggiornare l'integrazione con la chain. Deleghi l'attenzione.

In self-custody ti riprendi quell'attenzione. Conto del tempo realistico per un utente con importi significativi:

• Setup iniziale: 1–2 ore fatto bene (scrivere la seed correttamente, testare il recovery su un secondo dispositivo, fare backup in due posti).
• Per mese: ~15 minuti di manutenzione — aggiornamenti del wallet, aggiornamenti OS, un controllo occasionale che il backup sia ancora dove l'hai lasciato.
• Per trimestre: 30 minuti — riverificare backup, controllare advisory sul software del wallet, rivedere qualunque nuovo dispositivo o indirizzo aggiunto.
• Per anno: 1–2 ore — revisione opsec completa (dispositivi, backup, piano di recovery, qualsiasi cosa abbia derivato dal tuo piano scritto).

Non è tanto. È però più di zero, e zero è quello che la gente di solito pianifica. Il pattern che danneggia gli utenti è trattare la self-custody come "imposta-e-dimentica" — visto che il wallet continua a funzionare, la disciplina si atrofizza, e il buco salta fuori la prima volta che qualcosa va storto.

Cosa significa per te

Tre take honest:

1. Il trade-off è reale ma non è infinito. Qualche ora di setup e qualche minuto al mese di manutenzione: questo è il costo reale per l'utente tipico. Il framing "la self-custody è troppo difficile" significa di solito "non so ancora qual è il lavoro" — una volta che lo sai, è gestibile.
2. Quasi tutti i fallimenti di self-custody sono banali. Seed perse, seed fotografate, backup non testati, "domani faccio il backup". Le cose drammatiche (attaccanti di stato, attacchi "$5 wrench") sono rare. Quelle banali sono costanti. Pianifica per le banali.
3. Il multisig 2-di-2 ammorbidisce i precipizi. Perdere un dispositivo, compromettere una chiave, fallimento di seed unico — non sono più catastrofici in un setup 2-di-2. Diventano incidenti recuperabili invece di eventi terminali. Questo è l'intento di design.

Il prossimo articolo della serie, self-custody without going to cold storage, guarda la via di mezzo tra lasciare i fondi su una exchange e andare in air-gap totale — e perché per la maggior parte degli utenti la risposta giusta vive in quel mezzo.