[{"data":1,"prerenderedAt":25},["ShallowReactive",2],{"blog-content-it-always-on-dual-custody-wallet-explained":3},{"slug":4,"title":5,"excerpt":6,"description":7,"bodyHtml":8,"faqItems":9},"always-on-dual-custody-wallet-explained","Wallet dual-custody spiegato: è custodial, self-custody o multisig?","Dual-custody significa che firmare richiede due chiavi — la tua e quella del provider — sempre, per design. Ecco esattamente dove si colloca tra custodial, self-custody e multisig opzionale.","Wallet dual-custody spiegato: un modello a due chiavi sempre attivo che non è né custodial né self-custody classica, e come si differenzia dal multisig opzionale.","\u003Cp>Un wallet dual-custody è un wallet in cui autorizzare una transazione richiede sempre due chiavi — una che possiedi tu e una che possiede il provider — così nessuna delle due parti può muovere i fondi da sola. Non è custodial, perché il provider non può agire senza di te e non detiene mai i tuoi asset nel modo in cui lo fa un exchange. Non è nemmeno la classica self-custody a chiave singola, perché non sei l'unico firmatario. E non è la stessa cosa del multisig opzionale: in un modello dual-custody sempre attivo il requisito delle due chiavi è fisso e permanente, non una funzione che attivi. La risposta onesta a \"è self-custody o custodial?\" è che si colloca deliberatamente nel mezzo — un design two-of-two in cui l'utente è sempre uno dei due firmatari richiesti.\u003C\u002Fp> \u003Ch2>Risposta breve: dove si colloca il dual-custody nello spettro della custodia\u003C\u002Fh2> \u003Cp>La custodia non è un interruttore binario; è uno spettro definito da un'unica domanda — chi deve firmare perché i fondi si muovano. A un estremo, un servizio custodial firma interamente al posto tuo. All'altro, la self-custody pura significa che firmi da solo con una singola chiave derivata dalla tua seed phrase. Il dual-custody si colloca tra i due con una proprietà specifica e verificabile: \u003Cstrong>due chiavi separate devono firmare entrambe, e una di esse è sempre la tua\u003C\u002Fstrong>.\u003C\u002Fp> \u003Cp>È proprio questa singola proprietà a rendere la categoria facile da etichettare in modo errato. C'è chi la chiama \"custodial\" perché è coinvolta un'azienda, oppure \"self-custody\" perché si possiede una chiave — ma nessuna delle due etichette è precisa. La descrizione accurata è un requisito a due chiavi sempre attivo, in cui non puoi mai essere escluso dalle tue stesse transazioni e il provider non può mai agire da solo. Se preferisci prima la mappa più ampia, il nostro approfondimento sui \u003Ca href=\"\u002Fblog\u002Fcustodial-vs-non-custodial-wallet\">wallet custodial e non-custodial\u003C\u002Fa> illustra i due estremi tra cui si inserisce questo articolo.\u003C\u002Fp> \u003Ch2>Custodial vs self-custody: la base di partenza\u003C\u002Fh2> \u003Cp>Per collocare il dual-custody, hai bisogno che le due basi di partenza siano disegnate chiaramente, perché il dual-custody si definisce in base a come si differenzia da ciascuna di esse.\u003C\u002Fp> \u003Cp>\u003Cstrong>Custodial.\u003C\u002Fstrong> Un servizio custodial detiene le chiavi private che controllano le tue crypto. Il tuo saldo è di fatto una voce nel database dell'azienda — un credito verso il provider piuttosto che la proprietà diretta. Accedi con email e password, il provider firma per tuo conto e può congelare il tuo account, imporre limiti di prelievo o essere compromesso mentre i tuoi asset restano nei suoi registri. Questo è il significato di \"not your keys, not your coins\": detieni un pagherò, non l'asset.\u003C\u002Fp> \u003Cp>\u003Cstrong>Self-custody.\u003C\u002Fstrong> Un wallet non-custodial ti consegna le chiavi direttamente. Crearne uno genera una \u003Cstrong>seed phrase\u003C\u002Fstrong> che deriva ogni chiave privata, e chiunque possieda quella frase controlla i fondi — nessun altro, incluso il produttore del wallet, può accedervi o ripristinarli. Nessuna azienda può congelare il tuo saldo o bloccarti fuori, ma non esiste nemmeno un reset della password: perdi la frase e i fondi sono persi per sempre. La nostra analisi più approfondita su \u003Ca href=\"\u002Fblog\u002Fwhat-is-a-non-custodial-wallet\">cos'è un wallet non-custodial\u003C\u002Fa> copre i meccanismi. Il tratto distintivo della self-custody è l'autorità esclusiva: una sola parte — tu — firma, e un solo segreto contiene tutto.\u003C\u002Fp> \u003Cp>Tieni a mente questi due casi, perché il dual-custody prende in prestito il controllo dell'utente dalla self-custody eliminando la sua fragilità da single-point-of-failure, senza mai sconfinare in un custode che detiene i tuoi fondi.\u003C\u002Fp> \u003Ch2>Cos'è il dual-custody (chiave utente + chiave provider, sempre attivo)\u003C\u002Fh2> \u003Cp>Il dual-custody divide l'autorità di firma tra due chiavi distinte: una generata e detenuta da te, e una detenuta dal provider. Una transazione è valida solo quando \u003Cstrong>entrambe\u003C\u002Fstrong> le chiavi la firmano. È un'architettura two-of-two — entrambi i firmatari richiesti devono partecipare, ogni volta, senza sostituzioni di quorum.\u003C\u002Fp> \u003Cp>L'espressione che conta di più qui è \u003Cstrong>sempre attivo\u003C\u002Fstrong>. In un autentico design dual-custody il requisito delle due chiavi non è un'impostazione, un livello o un componente aggiuntivo che abiliti per maggiore sicurezza. È il modo in cui il wallet funziona in ogni istante, per ogni transazione. Non esiste una modalità in cui collassa su una singola chiave, e non esiste un interruttore per disattivare la seconda chiave. Descriverlo come una funzione che si attiva sarebbe un errore di categoria — l'intero punto è che il secondo firmatario è strutturalmente permanente.\u003C\u002Fp> \u003Cp>Ne derivano direttamente due conseguenze, ed è ciò che rende onesto il modello:\u003C\u002Fp> \u003Cul> \u003Cli>\u003Cstrong>Il provider non può agire da solo.\u003C\u002Fstrong> Detenendo solo una delle due chiavi richieste, il provider non può mai muovere i tuoi asset da solo, comunque venga pressato. È esattamente per questo che non è custodial.\u003C\u002Fli> \u003Cli>\u003Cstrong>Tu non puoi essere escluso.\u003C\u002Fstrong> Poiché la tua chiave è sempre uno dei due firmatari richiesti, nessuna transazione può avvenire senza di te. Non sei un passeggero; sei un co-firmatario permanente.\u003C\u002Fli> \u003C\u002Ful> \u003Cp>Lo scambio è esplicito: rinunci a essere l'\u003Cem>unico\u003C\u002Fem> firmatario in cambio di un secondo fattore che resiste a un singolo segreto fragile. C'è una controparte in ogni transazione — questo è il costo. Ciò che guadagni è che perdere o esporre una sola chiave non consegna i tuoi fondi a un attaccante.\u003C\u002Fp> \u003Ch2>Dual-custody vs multisig \u002F 2-of-3\u003C\u002Fh2> \u003Cp>Il dual-custody è una forma di multi-firma nel senso tecnico ampio — è richiesta più di una chiave — ma confonderlo con i wallet multisig che la maggior parte delle persone intende crea confusione, quindi vale la pena distinguerli con chiarezza.\u003C\u002Fp> \u003Cp>Il \u003Cstrong>multisig\u003C\u002Fstrong> classico è qualcosa che l'utente configura. Scegli una policy come 2-of-3 (due qualsiasi su tre chiavi possono firmare) o 3-of-5, decidi chi o cosa detiene ogni chiave, e puoi modificare la policy in seguito. È flessibile, opt-in e autogestito — l'intera configurazione è tua da progettare, e puoi detenere tu stesso ogni chiave se vuoi, il che lo mantiene saldamente nella self-custody.\u003C\u002Fp> \u003Cp>Il dual-custody sempre attivo differisce su tre assi:\u003C\u002Fp> \u003Ctable> \u003Cthead> \u003Ctr>\u003Cth>Proprietà\u003C\u002Fth>\u003Cth>Multisig opzionale (es. 2-of-3)\u003C\u002Fth>\u003Cth>Dual-custody sempre attivo (2-of-2)\u003C\u002Fth>\u003C\u002Ftr> \u003C\u002Fthead> \u003Ctbody> \u003Ctr>\u003Ctd>È opzionale?\u003C\u002Ftd>\u003Ctd>Sì — scegli tu di impostarlo\u003C\u002Ftd>\u003Ctd>No — è fisso e sempre attivo\u003C\u002Ftd>\u003C\u002Ftr> \u003Ctr>\u003Ctd>Policy di firma\u003C\u002Ftd>\u003Ctd>Quorum flessibile (2-of-3, 3-of-5, ecc.)\u003C\u002Ftd>\u003Ctd>Two-of-two fisso\u003C\u002Ftd>\u003C\u002Ftr> \u003Ctr>\u003Ctd>Chi detiene le chiavi\u003C\u002Ftd>\u003Ctd>Chiunque tu assegni; possono essere tutte tue\u003C\u002Ftd>\u003Ctd>Una chiave tu, una chiave il provider — sempre\u003C\u002Ftd>\u003C\u002Ftr> \u003Ctr>\u003Ctd>Può collassare su un solo firmatario?\u003C\u002Ftd>\u003Ctd>Puoi progettarlo per farlo, o detenere tu stesso un quorum\u003C\u002Ftd>\u003Ctd>No — entrambe le chiavi richieste devono firmare ogni volta\u003C\u002Ftd>\u003C\u002Ftr> \u003Ctr>\u003Ctd>Dove si colloca nella custodia\u003C\u002Ftd>\u003Ctd>Self-custody se detieni il quorum\u003C\u002Ftd>\u003Ctd>Il mezzo onesto — nessuna parte firma da sola\u003C\u002Ftd>\u003C\u002Ftr> \u003C\u002Ftbody> \u003C\u002Ftable> \u003Cp>Il modo più pulito per dirlo: il multisig 2-of-3 è una policy flessibile a cui \u003Cem>tu\u003C\u002Fem> aderisci e che potresti gestire interamente da solo; il dual-custody sempre attivo è una divisione two-of-two fissa tra te e uno specifico provider che non puoi disattivare. Una configurazione 2-of-3 può tollerare la perdita di una chiave e firmare comunque con le due rimanenti; uno stretto two-of-two non può, ed è lo scambio deliberato che il dual-custody compie in cambio della garanzia che nessuna parte sia mai l'unica autorità.\u003C\u002Fp> \u003Ch2>È self-custody o custodial? (il mezzo onesto)\u003C\u002Fh2> \u003Cp>Questa è la domanda che viene posta all'intera categoria, e la risposta onesta rifiuta entrambe le etichette.\u003C\u002Fp> \u003Cp>Non è \u003Cstrong>custodial\u003C\u002Fstrong>, secondo la definizione stretta: un custode può muovere i tuoi fondi per conto proprio, e un provider dual-custody che detiene una delle due chiavi richieste non può. Non può mai firmare da solo, congelare-e-sequestrare unilateralmente, o consegnare i tuoi asset a chiunque, perché matematicamente gli manca una firma ogni volta.\u003C\u002Fp> \u003Cp>Non è nemmeno \u003Cstrong>self-custody pura\u003C\u002Fstrong>, secondo la definizione stretta: la self-custody significa autorità esclusiva, e nel dual-custody non sei l'unico firmatario. Una controparte partecipa a ogni transazione. Chiamarlo \"self-custody\" senza riserve maschererebbe il fatto che una seconda parte è sempre coinvolta.\u003C\u002Fp> \u003Cp>Quindi l'inquadramento preciso è una posizione di mezzo deliberata: \u003Cstrong>non puoi mai essere escluso, e il provider non può mai agire da solo\u003C\u002Fstrong>. Rispetto a un custode guadagni un potere di veto su ogni transazione e la garanzia che nessuna singola entità controlli i tuoi fondi. Rispetto alla self-custody a chiave singola rinunci a essere l'unico firmatario e accetti una controparte, in cambio dell'eliminazione della fragilità del tutto-o-niente di un'unica seed phrase solitaria. Se quello scambio fa per te dipende da quale rischio preferisci portare — la stessa lente che la nostra guida ai \u003Ca href=\"\u002Fblog\u002Fcustodial-vs-non-custodial-wallet\">wallet custodial e non-custodial\u003C\u002Fa> applica ai due estremi. Il segno di un prodotto onesto è che dichiara questa posizione di mezzo in modo chiaro, anziché prendere in prestito l'etichetta più lusinghiera.\u003C\u002Fp> \u003Cp>Una precisazione mantiene pulita l'analisi: la custodia riguarda \u003Cem>chi deve firmare perché i fondi si muovano\u003C\u002Fem>, e nient'altro. È indipendente da come si pagano le fee, da come si gestisce il recupero, o da quali chain sono supportate. Mescolare questi aspetti è il modo più comune in cui il linguaggio sulla custodia si confonde.\u003C\u002Fp> \u003Ch2>WATS usa il dual-custody? No, e la differenza è istruttiva\u003C\u002Fh2> \u003Cp>Vale la pena usare \u003Ca href=\"\u002Fhot-wallet\">WATS\u003C\u002Fa> come esempio concreto proprio perché è facile da etichettare in modo errato. WATS non usa il dual-custody in nessuno dei suoi prodotti. La self-custody vale in tutta la gamma: nell'estensione Chrome, nell'app mobile e nell'Hot Wallet di WATS generi e detieni le tue chiavi e la tua seed phrase, sei l'unico firmatario, e WATS non detiene mai una chiave. Non c'è un secondo firmatario richiesto né alcuna architettura two-of-two da nessuna parte nella lineup. L'argomentazione più ampia per quel modello è in \u003Ca href=\"\u002Fblog\u002Fwhat-is-a-non-custodial-wallet\">cos'è un wallet non-custodial\u003C\u002Fa>.\u003C\u002Fp> \u003Cp>Ciò che WATS offre invece è un \u003Cem>livello di autenticazione fisica\u003C\u002Fem> — un asse del tutto diverso. Ogni WATS NFC Metal Card porta un ID univoco. La prima volta che la avvicini al telefono nell'app mobile di WATS, la carta si abbina a quello specifico dispositivo; da quel momento funziona solo con quel telefono abbinato, agendo come secondo fattore tap-to-authenticate. La carta non memorizza alcuna chiave privata, e una carta separata dal telefono a cui è abbinata non autentica nulla.\u003C\u002Fp> \u003Cp>Riportare questo al quadro di questo articolo mantiene pulite le categorie:\u003C\u002Fp> \u003Cul> \u003Cli>\u003Cstrong>Il dual-custody è un design di custodia.\u003C\u002Fstrong> Risponde a \"chi deve firmare perché i fondi si muovano\": due chiavi, una delle quali detenuta dal provider.\u003C\u002Fli> \u003Cli>\u003Cstrong>L'abbinamento carta-dispositivo è un design di autenticazione.\u003C\u002Fstrong> Risponde a \"cosa deve essere fisicamente presente per l'accesso\": la carta e il telefono abbinati. L'autorità di firma non lascia mai l'utente.\u003C\u002Fli> \u003C\u002Ful> \u003Cp>Quindi, sullo spettro della custodia che questo articolo traccia, WATS si colloca all'estremo della self-custody pura, con un fattore hardware sovrapposto per il controllo degli accessi. La funzione single-fee-token dell'Hot Wallet, dove ogni azione viene pagata in un unico token chiamato ATS, è allo stesso modo indipendente dalla custodia: riguarda \u003Cem>quale token paga la fee di rete\u003C\u002Fem>, non chi detiene le tue chiavi, e cambia il token di pagamento anziché rendere il gas più economico. \u003Ca href=\"\u002Fblog\u002Fats-fee-model-explained\">Il modello di fee ATS spiegato\u003C\u002Fa> copre quel lato per conto suo. Tenere custodia, autenticazione e fee in scatole separate è esattamente il tipo di precisione che ti permette di giudicare qualsiasi wallet con chiarezza.\u003C\u002Fp> \u003Ch2>In sintesi\u003C\u002Fh2> \u003Cp>Il dual-custody sempre attivo è un modello di firma two-of-two: una transazione necessita sia della tua chiave sia di quella del provider, ogni volta, senza opzione per disattivare il secondo firmatario. Non è custodial, perché il provider non può mai agire da solo. Non è la classica self-custody a chiave singola, perché non sei l'unico firmatario. E non è multisig opzionale, perché il requisito delle due chiavi è fisso anziché un quorum flessibile che configuri. Il posto accurato e onesto in cui collocarlo è il mezzo dello spettro della custodia — definito da due garanzie valide in ogni momento: non puoi mai essere escluso, e il provider non può mai agire unilateralmente. WATS, dal canto suo, non è un'istanza di quel design: ogni prodotto WATS è self-custody, e l'abbinamento a un solo dispositivo della NFC Metal Card aggiunge un fattore di autenticazione fisica anziché una seconda chiave. Sapere esattamente dove un wallet si colloca su questo spettro — e scegliere il compromesso in modo consapevole — è tutto ciò che conta.\u003C\u002Fp>",[10,13,16,19,22],{"q":11,"a":12},"Un wallet dual-custody è custodial o self-custody?","Nessuno dei due, in senso stretto. Non è custodial, perché il provider detiene solo una delle due chiavi richieste e non può mai muovere i tuoi fondi da solo. Non è nemmeno self-custody pura, perché non sei l'unico firmatario — una controparte partecipa a ogni transazione. La descrizione accurata è una posizione di mezzo deliberata: un modello two-of-two in cui non puoi mai essere escluso e il provider non può mai agire unilateralmente.",{"q":14,"a":15},"Cosa significa dual-custody \"sempre attivo\"?","Significa che il requisito delle due chiavi è fisso e permanente, non un'impostazione che abiliti o un livello di sicurezza a cui esegui l'upgrade. Ogni transazione necessita sia della tua chiave sia di quella del provider, in ogni momento, senza alcuna modalità che collassi su un singolo firmatario. Chiamarlo opzionale, o qualcosa a cui aderisci, sarebbe un errore di categoria, perché il secondo firmatario permanente è l'intero punto del design.",{"q":17,"a":18},"In cosa il dual-custody è diverso dal multisig 2-of-3?","Il multisig classico come 2-of-3 è una policy flessibile a cui aderisci e che configuri — scegli il quorum, assegni le chiavi, e potresti persino detenerle tutte tu stesso, il che lo mantiene nella self-custody. Il dual-custody sempre attivo è una divisione two-of-two fissa tra te e uno specifico provider che non puoi disattivare. Una configurazione 2-of-3 può firmare ancora dopo aver perso una chiave; uno stretto two-of-two non può, ed è lo scambio che compie per garantire che nessuna parte firmi mai da sola.",{"q":20,"a":21},"Il provider può muovere i miei fondi senza di me in un wallet dual-custody?","No. In un autentico modello dual-custody il provider detiene solo una delle due chiavi richieste per firmare, quindi gli manca sempre una firma e non può mai muovere i tuoi asset da solo. Per la stessa logica, nemmeno tu puoi essere escluso, perché la tua chiave è sempre uno dei due firmatari richiesti. È questo vincolo reciproco a collocare il modello tra custodial e self-custody.",{"q":23,"a":24},"WATS usa il dual-custody sempre attivo in qualcuno dei suoi prodotti?","No. Ogni prodotto WATS — l'estensione Chrome, l'app mobile e l'Hot Wallet — è self-custody: detieni le tue chiavi e la tua seed phrase, e WATS non detiene mai una chiave. Il livello di sicurezza fisica che WATS offre è di natura diversa: ogni NFC Metal Card porta un ID univoco e si abbina a un solo dispositivo nell'app mobile di WATS, funzionando solo con quel telefono abbinato come secondo fattore tap-to-authenticate. È un design di autenticazione, non di custodia — l'autorità di firma resta interamente a te. È anche separato dal modello single-fee-token ATS dell'Hot Wallet, che riguarda quale token paga le fee, non chi detiene le tue chiavi.",1784634298823]