Grandi patrimoni in Bitcoin e cripto: come proteggerli e gestirli

Messaggio pubblicitario con finalità promozionale

Custodia, sicurezza, verificabilità, liquidità e successione: i criteri per scegliere un’infrastruttura all’altezza di un patrimonio rilevante

Quando il valore di un patrimonio in Bitcoin e cripto-attività diventa significativo, conservarlo non è più soltanto una questione di scelta di un wallet e di protezione di una seed phrase. Diventa un problema di gestione patrimoniale: occorre ridurre i rischi tecnici e personali, verificare la solidità di chi custodisce i fondi, pianificare liquidità e fiscalità, documentare la provenienza degli asset e assicurare continuità al patrimonio in caso di successione o incapacità.

Molti detentori partono da un’alternativa apparentemente semplice: conservare autonomamente le chiavi oppure affidare gli asset a un intermediario. In realtà, nessuna delle due scelte è sicura per definizione. La self-custody elimina il rischio di controparte, ma concentra responsabilità e vulnerabilità sul proprietario. La custodia professionale distribuisce tali responsabilità, ma è affidabile soltanto quando poggia su controlli verificabili, segregazione patrimoniale e un’architettura progettata per evitare singoli punti di fallimento.

Questa guida propone criteri applicabili alla valutazione di qualsiasi operatore e mostra, per ciascuno, come vengono tradotti nella pratica da CheckSig. L’obiettivo è capire come costruire una protezione proporzionata al valore, alla complessità e all’orizzonte temporale del patrimonio.

I due rischi della self-custody

Il primo è il rischio tecnico. Gestire da soli le proprie chiavi private significa dipendere da un dispositivo, dal suo firmware e dalla fonte di entropia utilizzata per generare le chiavi. Se una di queste componenti presenta un difetto, il patrimonio può essere esposto senza che il proprietario se ne accorga fino a quando è troppo tardi.

Il 30 luglio 2026, un difetto di entropia nel firmware di dispositivi Coldcard ha permesso, secondo le ricostruzioni pubblicate dal produttore e da analisti indipendenti, la sottrazione di circa 70 milioni di dollari da indirizzi a firma singola: non un attacco esterno nel senso tradizionale, ma un difetto del firmware che ha reso ricostruibili le chiavi generate dai dispositivi interessati.

Il secondo è il rischio fisico legato all’esposizione personale.

Cos’è un wrench attack. È un’aggressione fisica, spesso accompagnata da minacce o violenza diretta, finalizzata a costringere il detentore di cripto-attività a cedere le proprie chiavi o l’accesso ai fondi. Il nome deriva da una vignetta diventata proverbiale nel settore: nessuna crittografia, per quanto solida, protegge da una chiave inglese puntata contro chi la possiede.

Più il patrimonio cresce, più aumenta la probabilità che qualcuno sappia o intuisca che una persona detenga cripto-attività di valore rilevante e tenti di estorcergliele. Il fenomeno segue una tendenza documentata: oltre 260 episodi noti dal 2014 (fonte: Jameson Lopp), con una recente accelerazione, 52 casi nel primo semestre 2026 contro 39 nello stesso periodo del 2025 (fonte: CertiK), e una quota europea passata dal 22% a oltre il 40% del totale globale. La geografia del rischio si sta spostando verso l’Europa proprio mentre cresce il numero di detentori con patrimoni rilevanti nel continente.

Questi due rischi condividono una caratteristica: non si risolvono soltanto con una maggiore prudenza individuale. Richiedono un’architettura capace di ridurre l’esposizione a singoli punti di fallimento, tecnici o umani.

Come valutare l’architettura di un custode

La domanda da porsi non è “questo custode è sicuro?”, domanda alla quale qualunque operatore risponderà affermativamente. Quella utile è: quali componenti strutturali rendono un singolo cedimento insufficiente a compromettere il patrimonio?

Tre criteri permettono di valutare l’architettura di qualsiasi custode in modo oggettivo.

1. Quorum multi-firma

   Nessuna operazione dovrebbe dipendere da una sola chiave o da una sola persona. Un’architettura solida distribuisce l’autorizzazione fra più soggetti e più stadi, così che un singolo compromesso - furto, errore o coercizione - non sia sufficiente a movimentare i fondi.

2. Segregazione cold e frozen

   I fondi non operativi dovrebbero essere isolati su più livelli disconnessi da internet, non concentrati in un unico cold wallet generico. Livelli separati riducono la superficie d’attacco e consentono di applicare policy diverse ai fondi in base alla loro urgenza di accesso.

   
   

   Cos’è un time lock. È un meccanismo che introduce un ritardo obbligatorio tra l’avvio di un trasferimento dai livelli più protetti di un wallet e la sua esecuzione. Non impedisce l’operazione: la rallenta abbastanza da consentire di intercettare un tentativo non autorizzato prima che si completi.

3. Entropia indipendente dal dispositivo

   È il punto critico emerso nel caso Coldcard: se la generazione delle chiavi dipende da un solo hardware, un difetto in quell’hardware può compromettere l’intero sistema. Generare l’entropia attraverso fonti esterne indipendenti e combinare hardware di produttori diversi con firmware proprietari riduce questo rischio sistemico.

Il protocollo di custodia di CheckSig prevede tre stadi autorizzativi a firma multipla, undici chiavi distribuite fra soggetti e luoghi diversi, due livelli di cold storage disconnessi da internet (Frozen e Cold wallet), un time lock che impedisce il trasferimento immediato dal livello cold ed entropia generata da fonti esterne indipendenti dal dispositivo, con hardware di produttori diversi e firmware proprietari.

Come verificare le dichiarazioni di un custode

Sapere che un custode dichiara di adottare una certa architettura non basta. Occorre poterlo verificare senza dipendere esclusivamente dalla parola dell’operatore.

Due strumenti rispondono a questa esigenza:

• Prova-delle-Riserve. È una dimostrazione, ripetuta con cadenza regolare, che i fondi dichiarati da un custode esistono e sono detenuti nella misura promessa. Ha valore quando è pubblico e periodico: un’istantanea isolata, prodotta una tantum per rassicurare il mercato in un momento di tensione, non offre la stessa forza probatoria.
• Audit indipendenti. Verificano che i controlli operativi e di sicurezza dichiarati siano effettivamente in funzione e non soltanto descritti in un documento commerciale.

La verificabilità conta più della promessa perché sposta l’onere della prova dall’operatore a evidenze controllabili e a soggetti terzi. È la differenza tra fidarsi di ciò che un custode afferma e poter verificare ciò che fa.

CheckSig pubblica mensilmente la Prova-delle-Riserve dal 2020, prima azienda al mondo ad aver introdotto questo processo, e riceve da una società Big four le attestazioni SOC 1 e SOC 2 Type II (Type I dal 2021, Type II basate su audit continuo dal 2022), unica società cripto in Italia ad averle.

Cosa succede se il custode fallisce o subisce un attacco

Nessuna architettura, per quanto solida, azzera il rischio. La domanda corretta non è se un evento avverso possa accadere, ma quali protezioni entrino in gioco quando accade.

Tre elementi rispondono a questa domanda.

• La segregazione patrimoniale mantiene i fondi dei clienti distinti dal patrimonio dell’azienda custode, così che un dissesto dell’operatore non travolga automaticamente ciò che detiene per conto terzi.
• L’assicurazione può coprire determinati attacchi o cedimenti operativi che compromettano i fondi in custodia, entro condizioni e limiti che devono essere verificati.
• Il quadro regolamentare (in Europa MiCAR) impone requisiti di capitale, governance e controllo ai quali un operatore non regolamentato non è soggetto.

Vale la pena considerare anche un caso recente che riguarda un fornitore hardware, non un custode: una violazione dei dati presso il fornitore logistico ShipMonk (caso Trezor-ShipMonk), resa nota da Trezor il 13 agosto 2026, ha esposto identità e indirizzi di circa 14.000 clienti, senza compromettere le chiavi private.

È un promemoria importante: anche quando la tecnologia regge, l’esposizione di dati personali associati al possesso di cripto-attività costituisce un rischio autonomo e può aumentare la vulnerabilità ai wrench attack descritti in apertura.

CheckSig è il primo operatore cripto italiano con licenza MiCAR rilasciata da CONSOB e l’unica società cripto in Italia con una copertura assicurativa sui fondi in custodia, fornita da una compagnia con rating AA di S&P.

Gestire un patrimonio, non soltanto custodirlo

Un patrimonio cripto rilevante pone esigenze che vanno oltre la sicurezza delle chiavi: fiscalità, liquidità e documentazione della provenienza dei fondi.

Sul piano della fiscalità, la scelta tra gestione automatica delegata e gestione autonoma con report annuale dipende dalla residenza fiscale e dalla complessità della posizione. Nessuna delle due opzioni è migliore in assoluto, ma la seconda richiede una preparazione documentale più accurata in caso di controllo.

Sul fronte della liquidità, una necessità frequente è ottenere disponibilità in euro senza vendere i propri Bitcoin e cripto, e quindi senza uscire dall’esposizione di mercato né realizzare, di per sé, la plusvalenza fiscale legata alla vendita, salvo liquidazione della garanzia.

Un prestito garantito da cripto può rispondere a questa esigenza come strumento di liquidità, ma comporta costi e il rischio che la garanzia venga liquidata se il suo valore si riduce. È però essenziale distinguere chi eroga il prestito da chi custodisce la garanzia: spesso si tratta di soggetti diversi, con responsabilità differenti e la distinzione deve essere verificata prima di sottoscrivere l’accordo.

Quanto alla provenienza dei fondi, chi ha accumulato posizioni su più piattaforme nel tempo può doverne documentare l’origine a un istituto di credito, un notaio o a un’autorità fiscale. La ricostruzione documentale di un patrimonio pregresso e multipiattaforma è un servizio distinto dalla custodia, ma sempre più rilevante per chi possiede patrimoni di valore elevato.

Il servizio di custodia per prestiti di CheckSig prevede una collateralizzazione pari al 200% del capitale, corrispondente a un LTV del 50%, un tasso decrescente all’aumentare della garanzia e un importo minimo di 10.000 euro, senza un massimale predefinito, a fronte di una commissione aggiuntiva definita nel contratto per monitoraggio delle soglie, chiamata ai margini e liquidazione.

CheckSig agisce esclusivamente come custode delle cripto poste a garanzia: non eroga il prestito, non svolge mediazione creditizia, non valuta il merito creditizio e non garantisce la solvibilità di alcuna parte. Il contratto di prestito è concluso direttamente tra mutuatario e prestatore, che ne assumono i rischi, ferme le responsabilità di CheckSig quale custode ai sensi della normativa applicabile e del contratto di custodia. Il valore delle cripto-attività può ridursi fino a determinare la liquidazione della garanzia, con perdita totale o parziale, e il mutuatario resta obbligato per l’eventuale debito residuo. Percentuali e soglie indicate sono esemplificative e non costituiscono un’offerta al pubblico finanziari o di credito, consulenza, raccomandazione, promessa di rendimento o proposta contrattuale.

Il Digital Gold Institute, società controllata da CheckSig, produce il Crypto Portfolio Report per documentare patrimoni pregressi distribuiti su più piattaforme. Sul fronte fiscale, CheckSig offre sia il regime amministrato sia quello dichiarativo ed è, dal 2024, il primo sostituto d’imposta cripto in Italia.

Pianificare il lungo periodo

Un patrimonio rilevante richiede una pianificazione che superi l’orizzonte del singolo investitore. Che cosa accade in caso di cointestazione con un partner, incapacità improvvisa o trasmissione agli eredi? Sono domande che raramente vengono poste finché non diventano urgenti: proprio per questo, devono essere affrontate in anticipo.

Tra i criteri da valutare in una custodia cripto rientrano la possibilità di aprire rapporti cointestati, la nomina formale di un esecutore, l’esistenza di un percorso strutturato per il passaggio generazionale e la disponibilità di un referente stabile che conosca la storia del cliente, anziché di un’assistenza anonima.

CheckSig offre un referente dedicato, l’apertura di rapporti cointestati, la nomina di un esecutore e un percorso strutturato per il passaggio generazionale.

Checklist: le domande da porre a qualsiasi custode

Prima di affidare un patrimonio cripto rilevante a un operatore è opportuno porre domande precise e pretendere risposte verificabili, non semplici promesse:

• L’autorizzazione ai trasferimenti dipende da una singola chiave o da un quorum distribuito fra più soggetti?
• I fondi non operativi sono separati su più livelli disconnessi da internet?
• È previsto un time lock che rallenti i trasferimenti dai livelli più protetti?
• L’entropia utilizzata per generare le chiavi dipende da un solo dispositivo o da più fonti indipendenti?
• La Prova-delle-Riserve è pubblica e periodica oppure consiste in un’istantanea isolata?
• Esistono attestazioni di audit indipendenti, come SOC 1 e SOC 2? Chi le rilascia e con quale frequenza?
• I fondi dei clienti sono giuridicamente segregati dal patrimonio dell’azienda?
• Esiste una copertura assicurativa sui fondi in custodia? Quali rischi copre ed entro quali limiti?
• L’operatore è regolamentato, in Europa ai sensi di MiCAR, oppure opera al di fuori di un regime di vigilanza?
• Se offre soluzioni di liquidità, è chiaro chi eroga il finanziamento e chi custodisce la garanzia?
• Esistono un referente stabile e procedure definite per la cointestazione, l’incapacità e il passaggio generazionale?

Domande frequenti

Cosa distingue un custode istituzionale da un exchange o da un wallet personale?

Un exchange è progettato principalmente per l’operatività e il trading, non per la conservazione a lungo termine di grandi patrimoni. Un wallet personale concentra sul proprietario i rischi tecnici e operativi della self-custody descritti in apertura. Un custode istituzionale come CheckSig separa invece l’architettura di sicurezza - quorum, time lock ed entropia distribuita - dalla gestione del rapporto e dagli obblighi regolamentari, aggiungendo forme di verifica esterna come audit e la Prova-delle-Riserve.

Un patrimonio cripto può essere assicurato?

Sì, ma non tutti gli operatori offrono questa copertura. Occorre verificare chi fornisce la polizza, il rating della compagnia, i massimali, le esclusioni e ciò che viene effettivamente coperto. L’assicurazione sui fondi in custodia, per esempio, non protegge dalle perdite dovute all’andamento del mercato.

Cosa cambia con MiCAR per chi detiene un grande patrimonio cripto?

MiCAR impone agli operatori regolamentati requisiti di capitale, governance e controllo che un operatore non vigilato non è tenuto a rispettare. Per il detentore del patrimonio, verificare l’autorizzazione dell’operatore costituisce quindi un primo elemento di verifica, che non equivale a una garanzia di sicurezza né di assenza di rischio, da affiancare alla valutazione dell’architettura tecnica e delle altre protezioni.

È possibile ottenere liquidità senza vendere le proprie cripto-attività?

Sì, tramite un prestito garantito dalle cripto-attività stesse, che restano in custodia come collaterale. Prima di procedere, è necessario verificare se chi custodisce la garanzia sia lo stesso soggetto che eroga il prestito o un soggetto distinto. Inoltre, l’eventuale liquidazione può portare alla realizzazione della plusvalenza fiscale associata alla vendita.

Cosa succede al patrimonio cripto in caso di successione?

Dipende dagli strumenti predisposti in anticipo. Senza un percorso strutturato – nomina di un esecutore, eventuale cointestazione e passaggio generazionale pianificato - l’accesso al patrimonio può diventare complesso o persino impossibile per gli eredi. È un tema da affrontare con il custode prima che diventi urgente, non dopo.