La sicurezza crypto ora va oltre il wallet e arriva all’indirizzo del cliente

Una famiglia francese è stata tenuta legata per ore dagli aggressori dopo che questi hanno scoperto che possedeva criptovalute. La polizia non ha detto come gli aggressori abbiano scelto quella casa, ed è proprio in questa lacuna che si annida il problema dei dati del settore.

Verso le 4 del mattino del 20 settembre, quattro uomini incappucciati hanno fatto irruzione in una casa di famiglia nel nord della Francia. Hanno legato i genitori e i due figli con del nastro nero e costretto il padre a consegnare i codici di accesso e a trasferire 40.000 euro. 

Il padre è un dipendente IT del settore delle criptovalute. I procuratori non hanno ancora detto come gli aggressori lo abbiano identificato.

Un altro episodio, avvenuto nello stesso mese, ha mostrato quanto facilmente questo tipo di informazioni possa finire nelle mani sbagliate. Il 13 agosto, il produttore di hardware wallet Trezor ha comunicato a 13.689 clienti che una violazione presso uno dei suoi fornitori di servizi di spedizione aveva esposto dati sensibili sugli ordini. Il numero è poi salito a oltre 80.000.

Nulla collega i due casi, e non è necessario che vi sia un collegamento. Insieme, descrivono la stessa esposizione da entrambe le prospettive: un database che associa un indirizzo di casa alla prova del possesso di criptovalute, e ciò che accade quando qualcuno agisce sulla base di questa associazione.

BeInCrypto ha parlato con esperti di Hacken e Zama per capire cosa deve ai propri clienti un fornitore quando un subfornitore ne divulga l’identità, quali dati il settore dovrebbe smettere di conservare e come un cliente possa capire se un custode di criptovalute lo abbandonerà sotto coercizione.

Cosa non dice «Nessuna chiave compromessa»

Quando ad agosto Trezor ha annunciato la violazione, ha sottolineato ciò che non era accaduto. I suoi sistemi non erano stati compromessi, ha dichiarato, e i suoi dispositivi erano sicuri. 

Quelle rassicurazioni affrontavano il rischio che i wallet hardware sono progettati per prevenire: il furto di fondi.

Tuttavia, Dmytro Yasmanovych, responsabile GRC e delle operazioni di sicurezza di Hacken, ha spiegato che l’assenza di una chiave privata rubata non significa che i clienti siano fuori pericolo. 

«Chi conosce il tuo nome, il tuo indirizzo di casa e sa che possiedi un wallet hardware ha informazioni che può usare per prenderti di mira. Puoi sostituire una chiave compromessa in pochi minuti. Non puoi fare lo stesso con il tuo indirizzo di casa.»

Secondo Yasmanovych, è per questo che le informazioni in possesso delle aziende di consegna e di altri fornitori meritano la stessa attenzione riservata al wallet. Se un database associa un possessore di criptovalute alla sua abitazione, le conseguenze possono coinvolgere anche la sua famiglia, ha aggiunto.

«Un fornitore può quindi impedire a chiunque di accedere ai tuoi fondi e, al tempo stesso, lasciarti esposto in un modo molto più personale. La questione è se le sue misure di sicurezza proteggano il cliente, e non solo il wallet.»

I numeri francesi dietro l’allarme

La Francia mostra come si manifesta il problema. A fine giugno, il ministro dell’Interno Laurent Nuñez ha dichiarato che le autorità avevano registrato oltre 70 episodi violenti legati alle criptovalute dall’inizio dell’anno.

Chainalysis, che ha conteggiato i casi segnalati pubblicamente, ne ha registrati 30 in Francia fino a metà 2026, rispetto ai 19 dell’intero 2025.

L’azienda ritiene che la causa più probabile sia una violazione dei dati. Cita un caso del 2024 in cui un funzionario fiscale francese avrebbe sottratto fascicoli su possessori di criptovalute con patrimoni elevati, compresi indirizzi e numeri di telefono, e li avrebbe venduti a intermediari criminali. 

L’esposizione dei familiari descritta da Yasmanovych è visibile negli stessi dati. In Francia, oltre il 40% degli attacchi ha preso di mira un familiare anziché il possessore. Nel complesso, entro la metà del 2026 le incursioni nelle abitazioni rappresentavano il 37% degli attacchi documentati, rispetto al 26% del 2023.

Chainalysis ha stimato che nel primo semestre dell’anno gli attacchi violenti ai danni di possessori di criptovalute in tutto il mondo hanno fruttato oltre 30 milioni di dollari. Il dato considera solo gli attacchi in cui il possessore ha ceduto i fondi.

Il rapporto stima l’esposizione totale a 107 milioni di dollari, includendo richieste di riscatto, trasferimenti bloccati e fondi recuperati, pur precisando che anche questa cifra comprende solo i casi segnalati.

I dati dietro il bersaglio

Per sferrare questi attacchi serve un bersaglio, che può essere individuato grazie a un dato registrato da qualcuno. La conservazione dei dati rappresenta quindi un ulteriore problema di sicurezza per il settore delle criptovalute. 

Le aziende possono aver bisogno dei dati dei clienti per una specifica transazione o un determinato servizio. Tuttavia, conservarli a tempo indeterminato può creare un rischio distinto, nel caso in cui vengano esposti in seguito. Allora, quale dato dei clienti dovrebbe smettere di raccogliere il settore, o cancellare prima di quanto faccia oggi?

Yasmanovych indica il numero di telefono. Ha spiegato che un’azienda potrebbe averne bisogno per organizzare una consegna, ma questo non spiega perché dovrebbe conservarlo nel database dei clienti per anni.

Quindi, se il database viene violato, il numero può essere utilizzato per phishing, truffe telefoniche o tentativi di SIM swapping.

«Una volta completata la consegna e venuta meno la necessità aziendale di conservarlo, eliminerei il collegamento tra un ordine e un indirizzo fisico di consegna. L’azienda può conservare ciò che le serve ai fini fiscali e della garanzia senza mantenere un registro completo del luogo in cui è stato consegnato ogni ordine.»

Ha illustrato un altro problema: spesso la cancellazione dei dati si basa sulla parola di qualcuno che afferma di averla eseguita.

«In un caso, un’azienda aveva stabilito un periodo di conservazione di novanta giorni e ricevuto dal proprio partner logistico una conferma scritta della rimozione dei dati più vecchi. Eppure, nei loro sistemi erano ancora presenti anni di dati. Ecco perché vorrei prove dell’avvenuta cancellazione, non solo una policy di conservazione. Se nessuno verifica che la regola sia stata rispettata, offre ben poca protezione.»

La stessa responsabilità si estende a ciò che accade dopo l’esposizione delle informazioni dei clienti. Secondo Yasmanovych, oltre a inviare un’email di avviso, il fornitore deve spiegare esattamente quali informazioni sono state esposte.

«La fuga di una città è una cosa. Un nome, un indirizzo di casa e la prova del possesso di criptovalute comportano un livello di rischio diverso… Chi ha subito la divulgazione del proprio indirizzo potrebbe aver bisogno di aiuto per organizzare le consegne future senza doverlo condividere di nuovo… Quando la situazione richiede più di una FAQ standard, dovrebbe esserci una persona o un team da contattare direttamente.»

Ha affermato che anche il fornitore deve affrontare la questione di cosa abbia permesso che si verificasse l’esposizione dei dati. Se il fornitore conserva i dati oltre il periodo di conservazione concordato, i clienti dovrebbero essere informati su come si impedirà che ciò accada e su come verrà verificata l’eliminazione in futuro.

“Un’email di avviso è solo il punto di partenza. Le persone devono sapere che cosa è successo, che cosa possono fare ora e se l’azienda ha davvero corretto il processo che non ha funzionato.”

La risposta di Trezor alla propria violazione dei dati può essere valutata in base a questo elenco. Ha inviato un’email individuale ai clienti coinvolti, specificando se i loro dati erano stati esposti completamente o solo in parte, e li ha messi in guardia dal phishing e, a settembre, dai rischi per la sicurezza fisica.

Ha inoltre promesso un’opzione di consegna anonima con ritiro presso un locker, imballaggi senza marchio ed eliminazione automatica degli identificativi di spedizione.

La tecnologia per la tutela della privacy può colmare il divario?

Il problema non riguarda soltanto i dati che le aziende archiviano off-chain. Con il trasferimento di una quota crescente delle attività finanziarie sulle blockchain pubbliche, anche le transazioni stesse possono creare un ulteriore livello di esposizione.

Il CEO e cofondatore di Zama, il dott. Rand Hindi, ha affermato che l’incidente di Trezor mette in evidenza un problema di conservazione dei dati off-chain.

Ha sostenuto che, con il passaggio su blockchain su larga scala dei capitali istituzionali, la riservatezza on-chain smette di essere una funzionalità e diventa una condizione necessaria per partecipare. Hindi ha citato una stima di BCG secondo cui, entro il 2035, gli asset digitali del mondo reale potrebbero arrivare a rappresentare circa il 16% degli asset globali investibili.

Ha affermato che gli istituti regolamentati non possono operare su un registro pubblico in cui ogni posizione e relazione con le controparti è visibile. Il dirigente ha indicato la crittografia completamente omomorfica (FHE) come una possibile soluzione, senza rinunciare alla conformità normativa.

«La FHE consente di eseguire calcoli direttamente su dati crittografati: una transazione viene eseguita, una soglia AML viene verificata, l’idoneità viene accertata, tutto su testo cifrato, senza che alcun validatore o block explorer possa mai vedere un saldo o altri dati sensibili. Quando un’autorità di regolamentazione richiede l’accesso, un quorum autorizzato di titolari delle chiavi (il team di conformità) autorizza la decrittazione, che viene applicata a livello di protocollo e non tramite una policy.»

La tecnologia per la tutela della privacy può anche limitare la quantità di informazioni che le aziende devono divulgare, senza rendere impossibile la verifica.

Yasmanovych ha affermato che le prove a conoscenza zero possono consentire a un exchange di dimostrare di detenere attività sufficienti a coprire i saldi dei clienti, senza pubblicare il saldo di ciascun cliente.

L’exchange può quindi condividere prove della propria posizione complessiva senza esporre le informazioni dei singoli conti. L’esperto ha aggiunto che ciò non significa che le informazioni diventino inaccessibili.

A seconda di come è progettato il sistema, un investigatore autorizzato può comunque esaminare le prove e i registri sottostanti attraverso un audit appropriato o una procedura legale.

Ha aggiunto che la divulgazione selettiva si basa su un principio simile quando si condividono informazioni sull’identità. Un servizio potrebbe dover verificare che una persona soddisfi un determinato requisito senza ricevere l’intero documento d’identità o il profilo cliente.

«Nessuno dei due approcci risolve il problema dei dati personali conservati al di fuori della blockchain. Gli importi delle transazioni, i tempi e i collegamenti tra wallet possono rimanere visibili, mentre i documenti d’identità e gli indirizzi di casa continuano a essere archiviati nei database di exchange, servizi di consegna e sistemi di pagamento.»

Yasmanovych ha spiegato che la lacuna è piuttosto evidente. Un’azienda può migliorare la privacy della transazione in sé, lasciando però esposte altrove le informazioni necessarie per effettuare e supportare quella transazione.

Quando le credenziali sono autentiche, ma il cliente non è libero

La distinzione tra privacy delle transazioni e sicurezza personale diventa ancora più importante quando un cliente è costretto ad autorizzare un trasferimento. Un fornitore di servizi di custodia può disporre di un’infrastruttura sicura e di solidi controlli degli accessi. 

Ma queste misure di protezione sono messe alla prova in modo diverso quando un cliente è costretto a cedere i propri asset. 

Yasmanovych ha affermato che un audit tecnico può dimostrare che il sistema funziona come previsto. È meno utile per capire cosa succede quando qualcuno è costretto a cedere i propri asset.

«Metterei alla prova la procedura di prelievo in una situazione di questo tipo. Per esempio, un cliente con credenziali valide richiede un trasferimento ingente mentre qualcuno lo costringe a farlo. Il provider è in grado di riconoscere la situazione, sospendere il prelievo o coinvolgere un’altra persona prima che il denaro venga trasferito?»

I controlli che ritiene necessari sono la presenza di una seconda persona autorizzata e un ritardo obbligatorio per i trasferimenti ingenti, senza che il cliente possa disattivare nessuna delle due misure durante la stessa sessione. Yasmanovych ha sottolineato che lo scopo è dare al provider la possibilità di intervenire quando un accesso valido non significa necessariamente che il cliente stia agendo liberamente.

«Chiederei anche di vedere la procedura in azione. Una policy può prevedere una seconda approvazione, ma questo non dice se l’approvazione sia davvero indipendente o se il personale possa aggirarla. Una prova dal vivo farebbe emergere queste debolezze molto più rapidamente di un altro audit tecnico senza problemi.»

Un sistema di custodia può funzionare esattamente come previsto e fallire comunque la persona che lo utilizza. L’ultimo passaggio dipende sempre da un essere umano, e un essere umano può essere minacciato.

Fonte: BeInCrypto