2FA e passkey per gli account cripto

Per la 2FA su un account cripto, usa una passkey o una chiave di sicurezza hardware dove il servizio le offre, un'app di autenticazione dove non le offre, e i codici via SMS solo come ultima risorsa. La differenza è il phishing: una passkey o una chiave di sicurezza è legata al sito vero e semplicemente non funziona su uno falso, mentre un codice a sei cifre si può digitare in una pagina falsa con la stessa facilità che in quella vera.

L'autenticazione a due fattori, in ordine di forza

Codici SMS — i più deboli. Un codice inviato via SMS può essere rubato con un SIM swap, in cui un attaccante convince il tuo operatore telefonico a spostare il tuo numero sulla sua SIM. Chi possiede cripto ne è uno dei bersagli preferiti. L'SMS è meglio di niente, ma non dovrebbe proteggere nulla che ti dispiacerebbe perdere.

App di autenticazione (TOTP) — buone. Un'app genera un nuovo codice a sei cifre ogni 30 secondi a partire da un segreto conservato sul telefono. Non è coinvolto alcun operatore, quindi i SIM swap non funzionano. Una password rubata da sola non basta più, ma un sito falso può comunque chiedere il codice e girarlo a quello vero entro quei 30 secondi. Salva offline i codici di configurazione: se perdi il telefono, sono il modo per rientrare.

Chiavi di sicurezza hardware — forti. Una piccola chiave USB o NFC che tocchi per accedere, con lo standard FIDO2. La chiave controlla quale sito sta chiedendo, quindi un dominio sosia non ottiene nulla. Registra due chiavi e tieni quella di riserva in un posto sicuro.

Passkey — forti, e più semplici. Una passkey è la stessa idea FIDO custodita dal telefono, dal computer o dal password manager, sbloccata con impronta, volto o PIN del dispositivo. Può sostituire del tutto la password, è legata al dominio del sito vero, e non c'è niente da digitare in una pagina falsa. La FIDO Alliance spiega come funzionano. Se un servizio offre le passkey, usale.

Le impostazioni che contano altrettanto

• Whitelist degli indirizzi di prelievo. Molti exchange ti permettono di consentire i prelievi solo verso indirizzi aggiunti in precedenza, spesso con un periodo di attesa per quelli nuovi. Se qualcuno entra nell'account, non può mandarsi subito le monete.
• Il tuo account email. I reset delle password arrivano alla tua email, quindi le serve la stessa protezione: una password forte e unica e una passkey o una chiave di sicurezza.
• Codice anti-phishing. Alcuni exchange ti permettono di impostare una parola che compare in ogni loro email autentica. Un'email senza quella parola non viene da loro.
• Password uniche. Usa un password manager e una password diversa ovunque, così un sito violato non apre tutti gli altri.
• Chiavi API. Se hai creato chiavi API di un exchange per un bot o un tracker, elimina quelle che non usi più, e non darne mai una con diritti di prelievo.

Configurarla, nell'ordine

• Prima l'email. Dai al tuo account email una password forte e unica e una passkey o una chiave di sicurezza, perché ogni altro reset passa da lì.
• Poi ogni exchange. Aggiungi una passkey o una chiave di sicurezza dove disponibili, altrimenti un'app di autenticazione.
• Salva i codici di backup che ogni servizio ti mostra, su carta, insieme agli altri backup offline.
• Togli l'SMS come metodo di riserva quando un metodo più forte funziona, dove il servizio lo consente.
• Attiva la whitelist dei prelievi e aggiungi gli indirizzi dei tuoi wallet.

Che cosa non protegge la 2FA

La 2FA protegge gli account: exchange, email, tracker. Non fa nulla per un wallet che controlli tu, dove la seed phrase è l'unica chiave che conta — come conservarla. E non ti impedisce di approvare un trasferimento a cui sei stato indotto con l'inganno; le truffe cripto più comuni descrive i trucchi.

Questa guida spiega come funzionano le cose. Non è consulenza finanziaria, d'investimento o fiscale. Qualcosa non torna? Scrivi a hi@perly.io e lo correggeremo.