Ogni attacco informatico di rilievo nella storia delle criptovalute presenta una caratteristica strutturale comune: è bastato che una sola chiave privata venisse compromessa. Una sola chiave — un unico punto di vulnerabilità — e i fondi sono stati trasferiti istantaneamente, in modo irreversibile, all’indirizzo dell’autore dell’attacco. I portafogli con firma multipla sono stati progettati proprio per risolvere questo specifico problema: richiedendo più approvazioni indipendenti prima che qualsiasi transazione possa essere eseguita, trasformano la compromissione della chiave da un evento catastrofico a un incidente gestibile. Nel 2026, con il Bitcoin a 91.210 dollari e il capitale istituzionale che entra nel mondo delle criptovalute a un ritmo record, comprendere la tecnologia multi-firma non è più facoltativo per gli investitori seri: è fondamentale. Questo articolo spiega esattamente come funzionano i portafogli multi-firma, perché sono importanti per la sicurezza della DeFi e come Assetara implementa l'architettura multi-firma per proteggere le risorse della piattaforma e i fondi degli utenti.
Il problema del singolo punto di errore
Un portafoglio di criptovalute standard è controllato da un'unica chiave privata — una stringa di caratteri a 256 bit che garantisce un controllo completo, immediato e irreversibile su tutto ciò che si trova nel portafoglio.
Il modello di sicurezza è binario: chi detiene la chiave controlla i fondi. Ciò dà origine a tre modalità di guasto che nessuna precauzione operativa può eliminare completamente:
- Furto della chiave: un hacker, un attacco di phishing o un malware compromettono la chiave privata; i fondi vengono prosciugati all'istante
- Perdita delle chiavi: la chiave va persa a causa di un guasto hardware, della dimenticanza della password o del decesso; i fondi diventano definitivamente inaccessibili
- Minaccia interna — un singolo membro del team o amministratore in possesso di diritti di accesso privilegiati agisce in modo doloso; nessun altro soggetto è in grado di impedire l'operazione
Nella finanza tradizionale, questi rischi vengono gestiti attraverso la separazione dei compiti: nessun dipendente può autorizzare da solo un bonifico di importo elevato. Un bonifico che superi una determinata soglia richiede due firme. Un movimento di tesoreria richiede l'approvazione del direttore finanziario e dell'amministratore delegato. Il doppio controllo è lo standard del settore finanziario da decenni proprio perché elimina il rischio legato all'intervento di una sola persona.
I portafogli multi-firma applicano lo stesso principio sulla blockchain — non attraverso una politica istituzionale, ma tramite il codice di uno smart contract che non può essere aggirato.
Come funzionano i portafogli multi-firma: il modello M-di-N
Un portafoglio multi-firma funziona secondo una configurazione M su N: prima che una transazione possa essere eseguita, sono necessarie M firme su un totale di N possibili firmatari.
- Configurazione: al momento della creazione del portafoglio multi-sig, il numero totale di detentori di chiavi (N) e la soglia di approvazione richiesta (M) vengono definiti e codificati nello smart contract. Configurazioni comuni: 2 su 3, 3 su 5, 4 su 7
- Avvio della transazione: qualsiasi possessore autorizzato della chiave può proporre una transazione, specificando l'indirizzo di destinazione, l'importo ed eventuali parametri aggiuntivi. La transazione entra in uno stato di attesa e non viene eseguita
- Raccolta delle firme: l'operazione proposta è visibile a tutti gli altri detentori di chiavi, i quali ne verificano autonomamente i dettagli e, se la approvano, la firmano con le proprie chiavi private
- Soglia di esecuzione: solo dopo aver raccolto M firme indipendenti lo smart contract trasmette la transazione alla blockchain. Fino a quel momento, non può procedere
- Applicazione on-chain: il requisito M-di-N non è una politica, ma è codice. Nessun singolo detentore di chiavi, nessun amministratore della piattaforma e nessuna parte esterna può aggirarlo
La proprietà fondamentale in termini di sicurezza: un malintenzionato che riesce a compromettere una chiave non ottiene alcun vantaggio. Per sottrarre fondi da un portafoglio multi-firma 3 su 5, deve compromettere contemporaneamente tre chiavi indipendenti, detenute da tre persone diverse, in tre luoghi diversi e su tre dispositivi diversi. La complessità dell'attacco aumenta in modo esponenziale con ogni firma aggiuntiva richiesta.
Configurazioni M-di-N più comuni e relativi casi d'uso
| Configuration | M Required | N Total | Best For |
|---|---|---|---|
| 2-of-3 | 2 | 3 | Personal high-value wallets, small teams |
| 3-of-5 | 3 | 5 | Protocol treasuries, DeFi admin functions |
| 4-of-7 | 4 | 7 | Large institutional treasuries |
| N-of-N | All | All | Maximum security, unanimous consent required |
Le migliori pratiche di sicurezza per i portafogli multi-firma a livello di protocollo raccomandano un sistema "3 su 5" per le operazioni di tesoreria, in cui ciascun firmatario utilizzi un portafoglio hardware (Ledger o Trezor), situato in organizzazioni o località geografiche diverse, e con un intervallo di tempo compreso tra le 24 e le 72 ore tra l'approvazione e l'esecuzione delle transazioni critiche.
Perché la firma multipla è fondamentale per la DeFi nel 2026
Il panorama delle vulnerabilità della DeFi nel 2026 rende l'implementazione della firma multipla non solo una best practice, ma un requisito minimo di sicurezza per qualsiasi protocollo che gestisca risorse di rilievo.
La superficie di attacco di un protocollo DeFi che opera senza firma multipla (multi-sig) per le sue funzioni amministrative è enorme: una sola chiave amministrativa compromessa può aggiornare gli smart contract a versioni dannose, prosciugare i fondi di cassa, modificare i parametri delle commissioni o disabilitare le funzionalità di sicurezza — il tutto in un'unica transazione, prima che qualsiasi sistema di monitoraggio possa reagire.
Costo effettivo dei guasti a singolo componente nel 2026:
L'attacco hacker da 293 milioni di dollari ai danni di una piattaforma DeFi, segnalato nell'aprile 2026 — e trattato in dettaglio da Assetara — ha messo in luce l'esatto schema dell'attacco: una chiave di amministratore è stata compromessa tramite un attacco di ingegneria sociale ai danni di un membro del team, e l'autore dell'attacco ha eseguito operazioni di prosciugamento del tesoro prima che il team potesse reagire. Un'architettura multi-firma con una soglia di 3 su 5 e un blocco temporale di 48 ore avrebbe reso questo attacco strutturalmente impossibile: l'autore avrebbe dovuto compromettere tre firmatari indipendenti contemporaneamente e poi attendere 48 ore, durante le quali il team avrebbe individuato e annullato la transazione.
Gnosis Safe (Safe{Wallet}) è l'implementazione multi-sig più diffusa nel settore DeFi, che attualmente protegge oltre 100 miliardi di dollari in asset nei principali protocolli. La sua adozione da parte di tutti i principali protocolli DeFi — Uniswap, Aave, Compound, MakerDAO — riflette il consenso del settore sul fatto che la multi-sig non sia un'opzione facoltativa per la sicurezza dei protocolli su larga scala.
Come funziona la firma multipla su Assetara: tre livelli di implementazione
Assetara implementa un'architettura multi-firma su tre livelli distinti della piattaforma, ciascuno dei quali svolge una specifica funzione di sicurezza:
Livello 1: Tesoreria della piattaforma con firma multipla
Tutte le risorse detenute nella tesoreria della piattaforma Assetara — compresi i pool di ricompense da staking, il capitale del motore di intelligenza artificiale e i proventi delle ICO — sono custodite in portafogli multisignatura con controllo distribuito. Nessun singolo membro del team di Assetara, amministratore o detentore di chiavi può avviare o completare una transazione di tesoreria in modo unilaterale.
Il modello di controllo distribuito implica che nemmeno la compromissione totale delle credenziali di un membro del team — tramite phishing, compromissione del dispositivo o azione da parte di un insider — possa comportare movimenti di fondi. Gli altri firmatari dovrebbero approvare autonomamente qualsiasi transazione, e la loro approvazione richiederebbe una compromissione indipendente che un singolo attacco non è in grado di ottenere.
Livello 2: Autorizzazione alle operazioni degli utenti di alto valore
Per le operazioni di alto valore all'interno della piattaforma Assetara — tra cui attivazioni di staking di grandi dimensioni, richieste di prelievo significative e azioni amministrative a livello di contratto — l'autorizzazione tramite firma multipla è obbligatoria a livello di protocollo.
Ciò significa che le operazioni degli utenti che superano le soglie definite non vengono eseguite tramite una singola chiamata di sistema, ma richiedono una verifica indipendente da parte di più punti di autorizzazione all’interno dell’architettura degli smart contract della piattaforma. L’effetto pratico: un malintenzionato che comprometta un elemento della catena di autorizzazione non può eseguire unilateralmente operazioni di alto valore — i restanti requisiti di autorizzazione fungono da interruttore automatico.
Livello 3: Controlli per l'aggiornamento degli smart contract
Le funzioni di aggiornamento degli smart contract di Assetara — ovvero le funzionalità amministrative che consentono di apportare miglioramenti al protocollo — sono controllate tramite un'architettura multi-sig con tempi di attesa prestabiliti. Qualsiasi modifica alla logica di base del contratto richiede approvazioni multiple indipendenti e un periodo di attesa obbligatorio prima dell'esecuzione.
Questa è l’applicazione più critica della firma multipla in qualsiasi protocollo DeFi: la funzione di aggiornamento rappresenta l’obiettivo di maggior valore per gli aggressori, poiché consente la sostituzione del codice legittimo del contratto con codice dannoso. La multi-sig con timelock sull'autorità di aggiornamento significa che anche un attacco sofisticato che ottiene l'approvazione da un firmatario non può eseguire immediatamente un aggiornamento: il periodo di timelock consente al team di sicurezza e alla comunità di rilevare, verificare e annullare le proposte dannose prima che vengano eseguite.
Portafoglio multi-firma vs portafoglio standard: un confronto in termini di sicurezza
| Property | Standard Single-Key Wallet | Multi-Signature Wallet |
|---|---|---|
| Keys required to transact | 1 | M of N (e.g., 3 of 5) |
| Single key compromise | Funds lost immediately | No impact — M-1 keys still insufficient |
| Key loss | Funds permanently inaccessible | Remaining M-1 keys can recover access |
| Insider threat | No defence | Requires M independent bad actors |
| Attack complexity | Compromise 1 key | Compromise M independent keys simultaneously |
| Operational complexity | Simple | Higher — requires M signers to coordinate |
| Best for | Personal small holdings | Treasuries, protocols, high-value assets |
Il compromesso in termini di complessità operativa è reale: i portafogli multi-sig richiedono un coordinamento tra più firmatari per ogni transazione, introducono ritardi nelle operazioni che necessitano dell'approvazione di detentori di chiavi distribuiti geograficamente e comportano il rischio di una paralisi operativa qualora troppi firmatari diventino contemporaneamente irreperibili. Questi sono i motivi per cui gli utenti privati utilizzano in genere portafogli standard per i propri averi personali: per la maggior parte dei casi d’uso personali, l’onere di coordinamento supera i vantaggi in termini di sicurezza.
Per la gestione della tesoreria a livello di protocollo, il controllo delle funzioni amministrative e le operazioni istituzionali di alto valore — ovvero i casi d’uso che definiscono la sicurezza della piattaforma — le proprietà di sicurezza della firma multipla superano decisamente i relativi costi operativi.
Cosa considerare quando si valuta la sicurezza multi-sig di una piattaforma DeFi
Nel valutare l'architettura di sicurezza di qualsiasi piattaforma DeFi, la qualità dell'implementazione della firma multipla (multi-sig) è uno degli indicatori verificabili più importanti:
- Configurazione delle soglie: per le operazioni di tesoreria è preferibile un sistema "3 su 5" o un sistema migliore? Un sistema "2 su 3" con due firmatari appartenenti alla stessa organizzazione offre una protezione inferiore rispetto a un sistema "3 su 5" con firmatari indipendenti distribuiti geograficamente
- Indipendenza dei firmatari: i firmatari sono realmente indipendenti — persone diverse, organizzazioni diverse, hardware diverso? Un sistema “5 su 5” con cinque chiavi sullo stesso laptop non è più sicuro di una singola chiave
- Portafogli hardware: i firmatari utilizzano portafogli hardware (Ledger, Trezor) anziché chiavi software? I portafogli hardware non possono essere compromessi da remoto — una caratteristica fondamentale per la sicurezza dei firmatari in contesti multi-sig
- Blocco temporale sulle funzioni di aggiornamento: esiste un ritardo obbligatorio tra l'approvazione multi-sig e l'esecuzione di operazioni critiche? In assenza di un blocco temporale, un gruppo di firmatari compromessi potrebbe sferrare attacchi prima che vengano individuati
- Verificabilità on-chain: è possibile verificare la configurazione multi-sig in modo indipendente sulla blockchain tramite un block explorer? Le piattaforme che dichiarano di utilizzare la firma multi-sig ma non sono in grado di fornire una verifica on-chain dovrebbero essere considerate con scetticismo
L'implementazione multi-sig di Assetara è verificabile su Etherscan, BscScan e Tronscan: la stessa trasparenza on-chain che consente la verifica indipendente degli audit degli smart contract, dell'offerta di token e dei piani di vesting del team.
Il Multi-Sig nel contesto dell'architettura di sicurezza completa di Assetara
I portafogli multi-firma costituiscono uno dei cinque livelli del modello di sicurezza di Assetara e operano in combinazione con:
- Verifiche degli smart contract prima del lancio — Verifiche effettuate da CyberScope e Hacken prima della distribuzione
- Verifiche periodiche — ogni 3–6 mesi, per esaminare eventuali modifiche contrattuali alla ricerca di nuove vulnerabilità
- Architettura senza bridge — eliminazione del vettore di vulnerabilità dei bridge cross-chain responsabile di perdite per centinaia di milioni nel settore DeFi
- Modello utente non custodito — le risorse degli utenti rimangono sempre nei loro portafogli; gli smart contract di Assetara non detengono mai le chiavi private degli utenti
- Controlli amministrativi e di tesoreria con firma multipla — l’aspetto approfondito in questo articolo
Ogni livello affronta un diverso vettore di attacco. La firma multipla (multi-sig) affronta i vettori di minaccia interna e di compromissione delle chiavi. Gli audit affrontano il vettore di vulnerabilità degli smart contract. L’architettura non custodiale affronta il vettore di rischio di controparte legato alla custodia. L’architettura senza bridge affronta il vettore di exploit cross-chain. Nessun singolo livello è sufficiente da solo — e nessuna piattaforma a cui manchi uno di questi livelli può vantare una sicurezza di livello istituzionale, indipendentemente da quanto bene implementi gli altri.
Punti chiave:
- Un portafoglio multi-firma richiede M approvazioni indipendenti da parte di N detentori di chiavi in totale prima che qualsiasi transazione possa essere eseguita — rendendo la compromissione di una singola chiave strutturalmente insufficiente per trasferire fondi e trasformando il requisito dell'attacco dalla compromissione di una singola chiave alla compromissione simultanea di M chiavi indipendenti
- Le casse dei protocolli DeFi, le funzioni amministrative e le autorità di aggiornamento degli smart contract protette da chiavi singole rappresentano il vettore di attacco più comune nel 2026: l’attacco hacker di aprile da 293 milioni di dollari e decine di eventi precedenti condividono tutti questa falla strutturale; Una firma multi-sig 3 su 5 con portafogli hardware, firmatari distribuiti e ritardi di timelock rappresenta lo standard istituzionale minimo
- Assetara implementa un'architettura a firma multipla su tre livelli: gestione della tesoreria della piattaforma (controllo distribuito, nessun accesso unilaterale), autorizzazione delle operazioni degli utenti per importi elevati (applicazione degli smart contract a più punti) e controllo delle funzioni di aggiornamento con timelock obbligatori — tutti verificabili in modo indipendente su Etherscan, BscScan e Tronscan
Vuoi verificare di persona l'architettura di sicurezza di Assetara? Consulta la documentazione completa sulla sicurezza ed esplora l'ecosistema di smart contract sottoposto a revisione prima di aprire la tua prima posizione.
