Frase segreta di recupero MetaMask: come trovarla, usarla e proteggerla

La frase segreta di recupero di MetaMask (Secret Recovery Phrase, SRP) è composta dalle 12 parole inglesi che MetaMask genera al momento della creazione di un wallet. È la chiave master di quel wallet: ogni account derivato da essa può essere ripristinato a partire da quelle parole su qualsiasi dispositivo, in MetaMask o in un altro wallet compatibile, insieme ai token e agli NFT che quegli indirizzi detengono sulla blockchain. La password di MetaMask è un’altra cosa. Protegge una singola installazione, e modificarla non cambia né la frase né gli account che la frase genera.

Per un wallet creato con una frase, è l’unico backup che MetaMask non può sostituire, perché MetaMask non ne conserva alcuna copia. Se la frase va persa mentre il wallet è bloccato, le possibilità si riducono rapidamente: la trascriva quindi finché ha ancora accesso al wallet.

Che cos’è la frase segreta di recupero di MetaMask?

MetaMask genera la frase segreta di recupero, chiamata anche frase di recupero o frase mnemonica, nel momento in cui viene creato un nuovo wallet. Non è né una password né il nome di un account. Secondo lo standard BIP-39, le parole codificano un numero casuale molto grande, e il wallet le trasforma nel seed crittografico da cui deriva la chiave privata di ogni account. Il processo funziona in un solo senso: il seed e le chiavi derivano dalle parole, mai il contrario.

Le 12 parole provengono da un elenco standard di 2.048 parole inglesi. Ogni parola corrisponde a un numero da 0 a 2.047, quindi nel complesso le 12 parole codificano 132 bit: 128 bit casuali più una somma di controllo di 4 bit calcolata a partire da questi. Questa somma di controllo permette a MetaMask di individuare la maggior parte degli errori. MetaMask rifiuta qualsiasi parola che non figuri nell’elenco, e una parola sbagliata o scambiata di posto di solito invalida la somma di controllo, per cui la frase viene respinta. Una somma di controllo di 4 bit, però, non può intercettare tutto. Circa un errore casuale su 16 le sfugge, e la frase apre allora un wallet diverso, vuoto, al posto del Suo.

Poiché la frase segue lo standard BIP-39, non è esclusiva di MetaMask. La guida ufficiale di MetaMask all’importazione tratta le frasi esportate da wallet come Rabby, Trust Wallet, Phantom e Coinbase Wallet, e una frase MetaMask funziona allo stesso modo in altri wallet che supportano BIP-39 e derivano gli account Ethereum lungo lo stesso percorso. I Suoi account derivati appartengono alla frase, non a una singola installazione del software.

Quanto è lunga una frase di recupero MetaMask?

Per impostazione predefinita, MetaMask genera una frase di 12 parole. Dodici parole contengono 128 bit casuali, il che consente circa 2¹²⁸ frasi valide, ossia 3,4 × 10³⁸. Nessun computer può esaminarne così tante, ed è per questo che una frase andata completamente persa non può essere indovinata.

Altri wallet usano frasi più lunghe, e MetaMask le accetta in fase di importazione: 12, 15, 18, 21 o 24 parole, le lunghezze definite da BIP-39. Una frase di 24 parole rappresenta 256 bit ed è la lunghezza usata dai dispositivi Ledger. Se un wallet è stato creato con 24 parole, le inserisca tutte e 24. Le prime 12 da sole vengono di solito respinte e, nel raro caso in cui sfuggano alla somma di controllo, aprono un wallet diverso, vuoto.

Come trovare la Sua frase segreta di recupero in MetaMask

Se MetaMask si sblocca ancora e Lei ne conosce la password, può visualizzare la frase in qualsiasi momento. Lo faccia prima di reimpostare, reinstallare o sostituire qualsiasi cosa. Se MetaMask contiene più frasi, parta da un account associato alla frase di cui vuole fare il backup. La guida di MetaMask alla visualizzazione della frase descrive due percorsi per ciascuna piattaforma.

Nell’estensione del browser

1. Faccia clic sul selettore degli account nella parte superiore di MetaMask, poi sui tre puntini accanto a un account associato alla frase.
2. Faccia clic su Dettagli Account, poi su Secret Recovery Phrase.
3. Risponda alle due brevi domande sull’autocustodia.
4. Inserisca la password e faccia clic su Avanti.
5. Tenga premuto Hold to reveal SRP.

L’altro percorso passa dal menu: Impostazioni > Security and password > Manage wallet recovery. Selezioni la frase e faccia clic su Reveal.

Nell’app mobile

1. Tocchi il selettore degli account in alto nella schermata del wallet, poi i tre puntini accanto all’account.
2. Tocchi Account details, poi Secret Recovery Phrase.
3. Inserisca la password, tocchi Next e tenga premuto il pulsante per visualizzare le parole.

L’app offre l’opzione anche in Settings > Security and privacy > Reveal Secret Recovery Phrase.

Trascriva la frase

Scriva le parole su carta, nell’ordine, non appena compaiono, e le confronti una per una con lo schermo. Non faccia screenshot, non salvi la frase in un’app per le note e non se la invii per e-mail. Qualsiasi copia digitale può essere rubata tramite un malware, un account cloud compromesso o una violazione di dati. Al termine, chiuda la visualizzazione della frase.

Se non riesce a sbloccare MetaMask

Senza la password, MetaMask non può mostrare la frase, e nessuno di MetaMask può reimpostare la password al posto Suo. Su un computer desktop, la frase si trova ancora nel vault cifrato di MetaMask, tra i dati delle estensioni del browser, e il vault si apre solo con quella password. Consulti la guida sulla password MetaMask dimenticata e, più avanti, la sezione sulla perdita della frase.

Come inserire la Sua frase segreta di recupero

Per ripristinare un wallet con la frase, installi MetaMask da metamask.io o dallo store ufficiale del Suo browser o del Suo telefono. Su una nuova installazione, scelga I have an existing wallet, poi Import using Secret Recovery Phrase, inserisca le parole e imposti una nuova password per quel dispositivo. Se MetaMask è già installato con un altro wallet, aggiunga la frase dal selettore degli account con Add wallet > Import a wallet invece di reimpostare MetaMask, perché una reimpostazione cancella tutti i wallet e gli account di quell’installazione. La guida di MetaMask al ripristino copre entrambi i casi.

Digiti ogni parola nell’ordine esatto in cui Le è stata fornita, in minuscolo, con un solo spazio tra una parola e l’altra. Lavori partendo dalla Sua copia scritta e controlli il risultato parola per parola. MetaMask importa solo frasi in inglese, quindi una frase creata con l’elenco di parole BIP-39 di un’altra lingua non può essere importata.

Se MetaMask rifiuta la frase, verifichi queste cause, indicate anche dalla guida di MetaMask alla risoluzione dei problemi:

• Una parola scritta o letta male. Ogni parola deve corrispondere esattamente all’elenco BIP-39: «account» vi figura, «acount» no; «abandon» vi figura, «abandonn» no. Se una parola del Suo backup non è nell’elenco, cerchi quella più simile nell’elenco completo di parole BIP-39.
• Parole scambiate. L’ordine conta. Due parole scambiate di solito fanno fallire la somma di controllo e, se per caso le sfuggono, aprono un wallet diverso.
• Un numero di parole sbagliato. Un wallet creato con 24 parole le richiede tutte e 24. Se ne inserisce solo 12, di solito la frase viene respinta; altrimenti si apre un wallet vuoto.

Per una diagnosi più completa di una frase che MetaMask non accetta, consulti la guida su come ripristinare una frase mnemonica non valida.

Importare una frase di 24 parole in MetaMask

MetaMask accetta frasi di 24 parole generate da altri wallet. Gli account che ne deriva corrispondono a quelli del wallet originale solo se le due app usano lo stesso percorso di derivazione, cioè la strada che un wallet segue dal seed fino a ciascun account. Per una frase importata, MetaMask supporta solo il percorso BIP-44 predefinito, m/44'/60'/0'/0, e non offre alcuna impostazione per cambiarlo. Un wallet che numera i propri account lungo un altro percorso mostra indirizzi diversi a partire dalle stesse parole, per cui quegli account sembrano vuoti in MetaMask anche se i fondi sono intatti sulla blockchain.

Le frasi degli hardware wallet richiedono un’attenzione particolare:

• Ledger. I dispositivi Ledger usano una frase di 24 parole. L’app di Ledger, Ledger Wallet (in precedenza Ledger Live), numera i propri account Ethereum lungo un percorso diverso da quello di MetaMask, quindi coincide solo il primo account. MetaMask può mostrare gli altri account se Lei collega direttamente il dispositivo Ledger: la schermata di connessione offre i percorsi Ledger Live, Legacy (MEW / MyCrypto) e BIP44 Standard.
• Trezor. Gli standard di backup di Trezor variano a seconda del modello. Per impostazione predefinita, il Trezor Model One crea un backup BIP-39 di 24 parole, mentre il Model T e i Safe 3 anteriori a giugno 2024 ne creano uno di 12 parole. I Safe 5 e Safe 7, così come i Safe 3 più recenti, usano per impostazione predefinita un backup SLIP-39 di 20 parole, uno standard diverso che l’importazione della frase di MetaMask non accetta.

C’è anche un motivo di sicurezza per non digitare affatto in MetaMask la frase di un hardware wallet. I consigli di sicurezza di Ledger indicano di non inserire mai una frase di recupero su un computer o uno smartphone, perché la ragion d’essere del dispositivo è proprio tenere le chiavi lontane da essi. Per usare un Ledger o un Trezor con MetaMask, colleghi invece il dispositivo. Ogni transazione richiede allora la Sua approvazione sul dispositivo.

Che cosa ripristina la frase segreta di recupero

Conservi l’installazione e i dati originali finché non avrà verificato gli indirizzi ripristinati. Un profilo del browser separato permette di provare il ripristino senza reimpostare l’originale.

MetaMask controlla in ordine gli account derivati dalla frase e li aggiunge automaticamente finché contengono ETH sulla mainnet di Ethereum. Si ferma al primo account senza ETH, quindi gli account successivi possono mancare. Continui ad aggiungere account finché non arriva a quelli mancanti: tornano nell’ordine in cui sono stati creati, con gli stessi indirizzi. Con Backup and sync attivo, MetaMask può anche ripristinare gli account che Lei ha creato con quella frase. Le reti e i token aggiunti manualmente vanno aggiunti di nuovo, quindi controlli la rete e la visualizzazione dei token prima di concludere che un saldo è sparito.

La frase non comprende chiavi importate separatamente, account di un’altra frase o un hardware wallet collegato. Per questi servono il relativo backup o il dispositivo.

Se il wallet era collegato a un accesso con Google, Apple o Telegram

Un wallet MetaMask può anche essere creato con un accesso Google, Apple o Telegram. MetaMask genera comunque una frase, ma ne salva online un backup cifrato, e per ripristinarla servono sia quell’accesso sia la Sua password MetaMask. Questo percorso ripristina anche gli account importati collegati a quell’accesso; gli hardware wallet richiedono comunque il dispositivo.

Un indirizzo e-mail da solo non crea questo collegamento e non sostituisce la password originale. Se invece ripristina con una SRP, valgono i limiti di quella frase: gli account importati separatamente richiedono i propri backup.

Che cosa succede se perde la Sua frase segreta di recupero?

Se MetaMask è ancora installato e Lei conosce la password, sostituire una copia cartacea persa è semplice: sblocchi MetaMask, visualizzi la frase e la trascriva di nuovo. La frase si trova ancora nel vault di quel dispositivo.

Se MetaMask è stato disinstallato o i dati del browser sono stati cancellati, e la frase non è mai stata trascritta, la situazione è grave. MetaMask non può recuperare la frase al posto Suo. Per un wallet creato con una frase, l’unica copia che MetaMask abbia mai conservato era il vault cifrato sul Suo dispositivo. Senza quel vault o un backup scritto, nessuno, né MetaMask né Crypto Recovers, può ricavare la frase dal nulla. Né un indirizzo pubblico né un indirizzo e-mail possono ricrearla.

Esiste però una via di mezzo, per quanto stretta. Una copia del vault può sopravvivere in un backup del computer o in un profilo del browser mai rimosso, e la stessa guida di MetaMask sul vault suggerisce di provare il suo metodo su un backup di questo tipo. Per un’estensione desktop che non si apre, MetaMask descrive un metodo di decifratura offline che richiede la password del vault. Non è un metodo generale per qualsiasi telefono o backup nel cloud: MetaMask dichiara che il recupero del vault su Android e iOS al momento non è possibile. Deve comunque esistere qualcosa su cui lavorare, come il dispositivo originale, il profilo del browser, un backup o un’immagine del disco. Conservi i dati originali del browser e tutti i backup, e non cominci reinstallando o ripulendo il computer. La guida al recupero di MetaMask spiega come preservarli.

Se la password del vault è sconosciuta, serve una valutazione separata, e un vault superstite non significa che la password si possa ritrovare. Descriva l’installazione e i backup di cui dispone, senza caricare il vault né alcuna credenziale tramite un modulo di contatto. Se la password del vault viene recuperata, è Lei ad aprire il wallet e a trasferire i fondi su un nuovo wallet creato da Lei; Crypto Recovers non li detiene mai. Il compenso concordato si paga separatamente, secondo il contratto.

Se la Sua frase segreta di recupero è incompleta

Una frase con parole mancanti o illeggibili è un caso diverso da una frase andata perduta. Crypto Recovers lavora con frasi a cui mancano fino a quattro parole. Ogni caso dipende da quante parole mancano, dal fatto che se ne conoscano le posizioni e dal fatto che si conosca un indirizzo usato dal wallet, così da poter verificare ogni frase candidata rispetto a quell’indirizzo. La guida su come ritrovare le parole mancanti di una frase di recupero illustra il metodo, e la pagina del servizio di recupero MetaMask spiega come funziona una valutazione. Crypto Recovers applica il principio «no cure, no pay», e una valutazione non richiede mai le parole stesse.

Come conservare in sicurezza la Sua frase segreta di recupero

Conservi la frase in forma fisica, in un luogo sotto il Suo controllo, e mai in formato digitale. Scriva le parole su carta e le riponga in un posto sicuro, come una cassaforte ignifuga o una cassetta di sicurezza bancaria. Con una seconda copia in un altro luogo, un singolo incendio, allagamento o furto non può distruggere tutte le copie. Per la conservazione a lungo termine, una piastra di backup in acciaio resiste al fuoco e all’acqua meglio della carta.

Non conservi la frase in un servizio cloud, in un gestore di password, in un’app per le note, in una bozza di e-mail o in una galleria fotografica. La guida alla sicurezza di MetaMask avverte che l’archiviazione online e i gestori di password sono vulnerabili agli attacchi informatici. Se divide la frase tra più luoghi, si assicuri di poterla ancora ricomporre: un sistema che non ricorda più vale quanto una frase persa.

Non condivida mai la frase. MetaMask non Gliela chiederà mai, nemmeno tramite il suo team di supporto, e chiunque Gliela chieda, via e-mail, chat o sito web, sta cercando di derubarLa. Non la inserisca mai in un sito web, in uno strumento di «sincronizzazione del wallet» o in una chat di assistenza.

Frase segreta di recupero e chiave privata: le differenze

La frase segreta di recupero e una chiave privata sono collegate, ma non intercambiabili. La frase è la chiave master: genera la chiave privata di ogni account derivato da essa. Una chiave privata controlla un account specifico, un singolo indirizzo Ethereum. Esportare una chiave privata Le fornisce un backup di quel solo account, mentre la frase fa da backup a tutti gli account derivati da essa.

Se perde la frase ma aveva esportato singole chiavi private, può ripristinare quegli account, ma non il wallet nel suo insieme. Se ha la frase, non Le servono le chiavi private degli account derivati, perché la frase le rigenera tutte. Fanno eccezione gli account importati con una chiave privata: la frase non li ha mai contenuti, quindi conservi anche le loro chiavi.

Documentazione ufficiale

• Come visualizzare in sicurezza la frase segreta di recupero
• Come ripristinare il wallet con la frase segreta di recupero
• Come aggiungere gli account MetaMask mancanti dopo il ripristino con la frase segreta di recupero
• Come ritrovare la frase segreta di recupero
• Come reimpostare la password di MetaMask
• Come collegare o importare un wallet esistente in MetaMask

FAQ: frase segreta di recupero di MetaMask

Posso cambiare la mia frase segreta di recupero di MetaMask?

No. MetaMask non consente di modificare o cambiare una frase: gli account derivano da essa, quindi una frase diversa significa account diversi. Cambiare la password di MetaMask lascia invariata la frase. Se desidera una nuova frase, ad esempio perché qualcun altro potrebbe aver visto quella vecchia, crei un nuovo wallet con una nuova frase e vi trasferisca personalmente i Suoi asset.

La mia frase di recupero MetaMask è la stessa del mio Ledger?

Solo se ha usato la stessa frase per entrambi. MetaMask e Ledger usano entrambi BIP-39, quindi tecnicamente la frase di 24 parole di un Ledger può essere digitata in MetaMask, ma Ledger raccomanda di non inserirla mai su un computer o un telefono, perché così si espongono le chiavi che il dispositivo protegge. Anche con la stessa frase, coincide solo il primo account Ethereum: l’app di Ledger deriva gli account successivi lungo un percorso diverso, e MetaMask non ha alcuna impostazione per cambiare il percorso di una frase importata. Colleghi invece il Ledger a MetaMask e scelga il percorso Ledger Live per vedere quegli account.

Che cosa succede se la mia frase segreta di recupero contiene una parola sbagliata?

Di solito MetaMask rifiuta la frase perché la somma di controllo non risulta valida; circa una frase errata su 16 sfugge comunque al controllo e apre invece un wallet vuoto. Se sa quale parola è sbagliata, le parole candidate per quella posizione sono al massimo 2.048. Se non lo sa, bisogna provare ogni posizione, il che resta una ricerca modesta per un computer. In entrambi i casi, ogni candidata va verificata rispetto a un indirizzo usato dal wallet, quindi deve conoscerne almeno uno. Con quell’indirizzo, una singola parola sbagliata rientra tra i casi di recupero relativamente semplici.

La frase segreta di recupero ripristina gli account importati?

No. Ripristina solo gli account derivati da essa. Gli account importati con una chiave privata o un file JSON, gli account di un’altra frase e gli account di hardware wallet vanno aggiunti di nuovo dal relativo backup o dispositivo. Fa eccezione un wallet creato con un accesso Google, Apple o Telegram: effettuando lo stesso accesso e inserendo la Sua password MetaMask si ripristinano anche gli account importati collegati, ma non gli hardware wallet.

MetaMask può ritrovare la mia frase segreta di recupero?

No. MetaMask si basa sull’autocustodia e non può ritrovare una frase persa al posto Suo. Se MetaMask si sblocca ancora con la Sua password, può visualizzare la frase da sé. Se su un computer desktop non si sblocca, il vault cifrato potrebbe contenere ancora la frase, e questo si apre con la password del vault. Senza una copia scritta, un vault o un backup superstite, o un accesso Google, Apple o Telegram funzionante con la relativa password, la frase non può essere ricreata.