Usiamo Google Analytics per le statistiche sul traffico. I cookie analitici vengono impostati solo se accetti. Senza consenso, le statistiche sono stimate a partire da segnali che non usano cookie. Cookie Policy.
Safe · Self-custody
Gli hot wallet perdono fondi in pochi secondi. Con Safe ogni prelievo richiede 24 ore, due guardiani e un indirizzo noto: tre barriere indipendenti che un attaccante deve superare.
Una richiesta di prelievo avvia un conto alla rovescia di 24 ore, visibile a te e ai tuoi guardiani. Un prelievo legittimo richiede un giorno di pazienza; uno fraudolento dà un giorno di preavviso, tempo più che sufficiente per annullare una richiesta che non hai mai fatto.
Solo destinazioni approvate — un nuovo indirizzo attende 48h prima del primo utilizzo. · Un tocco e si ferma tutto — annullare è immediato, approvare no.
I fondi si muovono solo con l'approvazione di 2 guardiani su 3, e solo verso indirizzi già presenti nella whitelist. Anche aggiungere un nuovo indirizzo è un'operazione protetta e soggetta a time-lock: l'attaccante non può semplicemente inserirsi nella whitelist per primo.
Tre modi per rientrare — seed, guardiani, hardware e una prova per esercitarsi.
Funzionalità
La schermata della cassaforte mostra €48.210 in cold storage tra Bitcoin, Ethereum e USD Coin — chiavi offline, air-gapped. Tutte e tre le protezioni stanno nella stessa schermata: time-lock attivo, guardian 2 su 3, solo whitelist. Nulla della sicurezza si nasconde in una pagina di impostazioni.
La richiesta WD-3A18 sposta 0,10 BTC — circa €6.124 — e la schermata mostra ogni livello al lavoro: 18:42:07 allo sblocco delle chiavi, una delle due approvazioni richieste già data, destinazione verificata sulla whitelist. Annulla resta a un tap per tutto il tempo.
Tre guardian, due devono approvare — la policy sta in cima alla schermata, non scritta in piccolo. Il quorum della demo mescola di proposito i tipi di chiave: questo telefono, la chiave sul telefono di una seconda persona e una chiave hardware vista l'ultima volta il 14 luglio. Anche modificare il quorum è soggetto a un time-lock di 48 ore.
Quattro destinazioni con etichetta su Base, Bitcoin, Ethereum e Solana — tre attive, una ancora in conto alla rovescia. I prelievi possono andare solo a indirizzi presenti in questa lista, e una nuova voce attende 48 ore prima del primo utilizzo, con tutti i guardian avvisati nel momento in cui viene aggiunta.
Il prelievo in questa schermata proviene dall'account di un guardian su un nuovo dispositivo — esattamente la richiesta che vuoi poter fermare. Un tap la annulla: gli 0,10 BTC restano in cold storage, tutti e tre i guardian vengono avvisati e chi l'ha richiesta non può riavviarla senza un nuovo quorum. Nessuna commissione, nessuna attesa, registrato per tutti.
Tre vie di rientro configurate: un backup del seed verificato su piastra d'acciaio, il recovery tramite guardian in cui 2 su 3 ripristinano l'accesso da qualsiasi dispositivo e una chiave hardware sigillata custodita off-site. Le chiavi riemesse attendono un time-lock di 72 ore, e un drill esegue l'intero flusso con chiavi di test — guardian inclusi, senza spostare nulla.
Ogni prelievo avvia un conto alla rovescia di 24 ore prima dello sblocco delle chiavi. Un prelievo legittimo costa un giorno di pazienza; un telefono rubato regala all'attaccante un giorno di avvisi invece dei tuoi fondi.
Annullare non richiede quorum né attese: fermare il denaro è sempre più semplice che spostarlo. Qualsiasi guardian può bloccare una richiesta in un qualunque momento delle 24 ore, e l'annullamento viene registrato per tutti.
Aggiungere un indirizzo è a sua volta un'operazione con time-lock: 48 ore prima del primo utilizzo, con tutti i guardian avvisati all'istante. L'attacco più ovvio, prima whitelistarsi e poi prelevare, costringe a superare due volte lo stesso percorso a ostacoli.
Le voci della whitelist hanno etichette leggibili (wallet principale, hardware vault, tesoreria dello studio) accanto a indirizzi e reti. La rimozione di un indirizzo è immediata; solo le aggiunte attendono.
Una chiave hardware può fare da guardian: basta collegarla per approvare. Un'approvazione resta del tutto fuori dallo smartphone, così un dispositivo compromesso non può esprimere due voti.
I guardian confermano di essere raggiungibili ogni 90 giorni, e il vault mostra quando ciascuno è stato verificato l'ultima volta. Scoprire che un guardian non risponde più è un fatto che emerge a scadenza programmata, non durante un'emergenza.
Ogni richiesta di prelievo avvisa subito tutti i guardian, non solo i due che devono approvare. L'allarme è collettivo per progettazione: un tentativo di furto lo vedono in tre, non in uno.
Le persone cambiano telefono e si perdono di vista, quindi la sostituzione è un flusso a pieno titolo: time-lock di 48 ore e due approvazioni del quorum esistente. Un attaccante non può cambiare i tuoi guardian di nascosto.
Una richiesta da un dispositivo che il vault non ha mai visto viene segnalata come tale, direttamente nella schermata di approvazione. I guardian valutano la richiesta con questo contesto davanti.
Le chiavi sono tue: generate e custodite da te, mai da Protocore. Safe aggiunge processo attorno alle tue chiavi, ma non ne assume la custodia.
Un unico vault custodisce BTC, ETH e USDC: nella demo 0.42 BTC, 12.4 ETH e 1,150 USDC. Spostare fondi su Safe è una sola azione, e ogni asset eredita le stesse tre protezioni.
Un prelievo in sospeso indica il proprio controvalore in valuta fiat prima che venga rilasciato qualsiasi importo, e la schermata della richiesta lo scrive in chiaro. Ciò che esce dal vault non è mai una sorpresa espressa solo in coin.
Il backup del seed non è una casella da spuntare: riporta una data di verifica, e quello della demo è stato confermato su una piastra d'acciaio. Un backup dimostrato vale più di un backup di cui si è convinti.
Il recupero riemette le chiavi su un nuovo dispositivo solo dopo un time-lock di 72 ore, tre volte la finestra di prelievo. Prendere il controllo di un vault è molto più lento che svuotarlo, e svuotarlo richiede un giorno più due guardian.
Esegui l'intero recupero con chiavi di test: i guardian partecipano, nulla si muove. Nella demo l'ultima simulazione risale a 118 giorni fa, e la schermata lo dice; un recupero già provato è un recupero che si sa eseguire sotto stress.
Aggiunte, rimozioni, annullamenti, approvazioni: il vault tiene a schermo gli ultimi 30 giorni e conserva ogni evento a registro, con l'autore di ciascuna azione. I guardian verificano il vault semplicemente scorrendo.
Ogni richiesta, annullamento e modifica di policy è visibile a tutti e tre i guardian, non solo alle parti coinvolte. Un quorum può proteggere solo ciò che vede.
Safe porta ai privati il modello di custodia che Protocore Chain adotta per le tesorerie: firma a quorum, time-lock e destinazioni note. Un'unica filosofia di sicurezza, su scala personale.
Safe si può usare in modalità standalone o come vault dentro il tuo prodotto: il tuo brand sulle schermate, con sotto lo stesso time-lock, lo stesso quorum e la stessa whitelist. Il cold storage diventa una funzione che offri, non un'azienda da costruire.
FAQ
Perdere una chiave non ti blocca: il quorum è 2 su 3, quindi bastano due chiavi su tre per muovere i fondi. Il recupero avviene in tre modi: backup del seed, recupero tramite 2 guardiani su 3 e una chiave hardware sigillata custodita altrove. Ognuno ha una prova pratica, così scopri che funziona prima di averne bisogno.
No. Ogni prelievo è soggetto a un time-lock di 24 ore, richiede l'approvazione di 2 guardiani su 3 e può essere inviato solo a un indirizzo in whitelist. Inoltre, una richiesta che non hai fatto si annulla all'istante finché il conto alla rovescia è in corso. Un solo dispositivo rubato non ne supera nessuna.
Tu. Safe è self-custody: le chiavi sono generate e conservate da te e dai tuoi guardiani, mai da noi. Noi non possiamo muovere i tuoi fondi, e non può farlo nemmeno chi comprometta un singolo dispositivo.
Volutamente no. Aggiungere un indirizzo alla whitelist è a sua volta una modifica protetta e soggetta a time-lock (48 ore nella demo): così un attaccante non può aggiungere il proprio indirizzo e prelevare verso di esso. L'attrito è la protezione.
Un giorno. Il time-lock di 24 ore è l'allarme: un prelievo reale è un giorno di pazienza, uno fraudolento è un giorno di preavviso. Annullare è immediato, anche se approvare non lo è: l'asimmetria favorisce il proprietario.
Valuta
Percorriamo un prelievo end to end — il time-lock di 24 ore, l'approvazione di 2 guardiani su 3 e la whitelist — compreso l'annullamento di una richiesta che non hai mai fatto.
Un vault di test in cui il tuo team può impostare i guardiani, aggiungere un indirizzo in whitelist, avviare e annullare un prelievo con time-lock.
Registra dispositivi di test come guardiani per vedere in pratica il quorum 2 su 3 e le modifiche alla whitelist soggette a time-lock.
Valutalo come vault standalone o come vault whitelabel dentro il tuo prodotto — sempre in self-custody.
Disponibile standalone o come vault whitelabel dentro il tuo prodotto.
Safe applica su scala personale il modello di custodia della tesoreria di Chain — quorum, time-lock, destinazioni note — e protegge ciò con cui opera Wallets.
Tutto ciò che vedi sopra gira in demo di produzione che possiamo mostrarti dal vivo: standalone, whitelabel o come un'unica piattaforma. Raccontaci cosa stai costruendo e ti mostreremo la via più breve per arrivarci.
