Download di Sparrow Wallet, e come dimostrare che il file è autentico
La release attuale di Sparrow è la 2.5.3, firmata il
29 July 2026. C'è un solo posto da cui prenderla e una sola procedura che ti
dice se quello che è finito nella cartella dei download è davvero il software creato dallo
sviluppatore. Questa pagina copre entrambe le cose, poi entra nei dettagli
dell'installazione su Ubuntu, sulle altre distribuzioni Linux, su macOS e su Windows.
Immagine illustrativa. L'unica cosa che rende affidabile una build è una firma che hai
controllato tu.
Di quale file hai bisogno davvero?
Qui sotto trovi tutte le build pubblicate per la release 2.5.3, ognuna con il
nome esatto che porta nel manifest firmato. Scegli la scheda del computer su cui installi,
non di quello da cui stai navigando.
macOS (Apple silicon)Sparrow-2.5.3-aarch64.dmgMac con chip M
macOS (Intel)Sparrow-2.5.3-x86_64.dmgmacOS 11 o successivo
Verifica prima di installare
Tre comandi, in questo ordine. Cosa dimostra ciascuno di essi è spiegato per esteso nella guida qui sotto.
Importa la chiave di firma e controllane l’impronta carattere per carattere: gpg --recv-keys D4D0D3202FC06849A257B38DE94618334C674B40
Verifica la firma sul manifest, non sull’installer: gpg --verify sparrow-2.5.3-manifest.txt.asc sparrow-2.5.3-manifest.txt
Conferma che il tuo file corrisponda all’hash indicato nel manifest verificato: sha256sum -c sparrow-2.5.3-manifest.txt
I nomi dei file qui sotto sono quelli pubblicati nel manifest firmato di questa release. Se un sito ti propone una build con un nome diverso, non sei sulla pagina di download ufficiale.
L'installer è il file che esegui. Il manifest è un elenco firmato di hash che descrive
ogni installer della release. Prima verifichi il manifest, poi lo usi per giudicare
l'installer. Farlo nell'ordine inverso non dimostra niente.
Sparrow è software desktop: non esiste nessuna estensione per browser né una build per
dispositivi mobili da scaricare. Vedi
cosa fa l'applicazione desktop.
Leggi qui prima di fare una ricerca
È sulla pagina di download che il denaro viene rubato
Nessuno rompe la crittografia. Ti consegnano un portafoglio che era già malevolo prima che tu
vi digitassi la prima parola del seed. Tre strade coprono quasi tutti i casi.
Risultati di ricerca a pagamento
Gli annunci stanno sopra il risultato vero e possono puntare dove vogliono. Il download di
un portafoglio è esattamente la ricerca per cui un aggressore paga volentieri ogni clic:
una sola installazione riuscita ripaga l'intera campagna. Scorri oltre il blocco degli
annunci, ogni volta.
Domini sosia e typosquatting
I domini imitativi cambiano una lettera, aggiungono un trattino, ci infilano una parola
come «app», «wallet» o «official», oppure cambiano l'estensione finale. La pagina è una
copia pixel per pixel di quella vera, impronta e manifest compresi, che si verificano
perfettamente contro la chiave dell'aggressore.
Sconosciuti pronti ad aiutarti
Un link in un gruppo di chat, un commento, un messaggio privato di «assistenza», un codice
QR nella descrizione di un video. Chiunque ti mandi l'installer di un portafoglio, ancora
di più se lo fa mentre ti aiuta a risolvere un problema, va considerato ostile finché il
file non supera la verifica.
La regola
Arriva alla pagina di download digitando il dominio ufficiale nella barra degli indirizzi, o
da un segnalibro creato dopo averlo digitato. Mai da un annuncio, da un risultato di ricerca
letto di sfuggita o da un link che ti ha mandato qualcuno.
Il cuore della pagina
Verificare il download: prima la firma PGP, poi l'hash SHA-256
La prima volta richiede circa cinque minuti, dalla seconda meno di uno. È l'unico passaggio di
questa pagina che non si può saltare, perché è quello che stabilisce se il software che
custodisce le tue chiavi lo ha scritto lo sviluppatore o qualcun altro.
Un download non verificato non è il download di un portafoglio
È un programma sconosciuto a cui stai per affidare le parole del tuo seed. Il file può
essere autentico, e di solito lo è. Non hai modo di saperlo finché non controlli, e quando
una build manomessa ti ha già mostrato un indirizzo di ricezione è troppo tardi: un
portafoglio modificato può generare indirizzi che appartengono all'aggressore, oppure
copiare in silenzio il seed che ti ha appena fatto trascrivere.
Cosa dimostra ogni comando
Molti eseguono questi comandi senza sapere che cosa stabiliscono, ed è per questo che un sito
falso può guidarli passo passo in una «verifica» fatta contro la propria chiave. La logica è
una catena di tre anelli. L'impronta identifica la chiave che ti aspetti abbia firmato
la release. La firma dimostra che il manifest è stato prodotto da chi possiede quella
chiave e non è stato modificato da allora. L'hash dimostra che il file sul tuo disco è
byte per byte quello descritto dal manifest. Rompi un anello qualsiasi e gli altri due non
valgono più niente.
Ecco perché l'impronta merita attenzione. Confrontala con la pagina di download ufficiale e,
se possibile, con una copia che avevi salvato da una release precedente o trovata in una
seconda fonte indipendente. Leggere l'impronta sulla stessa pagina che ti ha servito
l'installer è un controllo debole, ma resta infinitamente meglio di nessun controllo.
Installa GnuPG, se non lo hai già
Per controllare una firma serve GnuPG. Su Debian o Ubuntu esegui sudo apt install gnupg; su Fedora sudo dnf install gnupg2; su macOS usa Homebrew (brew install gnupg) o il pacchetto GPG Suite; su Windows installa Gpg4win, che ti mette a disposizione il comando gpg in PowerShell.
Prima di andare avanti controlla che funzioni con gpg --version.
Importa la chiave con cui è firmata la release
Prendi la chiave da un keyserver: gpg --recv-keys D4D0D3202FC06849A257B38DE94618334C674B40. Poi stampa quello che hai davvero importato: gpg --fingerprint D4D0D3202FC06849A257B38DE94618334C674B40.
Confronta i 40 caratteri con l’impronta pubblicata sulla pagina di download ufficiale. Su un keyserver chiunque può caricare una chiave con qualunque nome, quindi il keyserver è un canale di distribuzione, non un’autorità. L’unica parte che conta è l’impronta, e chi firma questa release è Craig Raw .
Scarica l’installer, il manifest e la firma
Dalla pagina di download ufficiale prendi tre file: la build per la tua piattaforma, il manifest sparrow-2.5.3-manifest.txt e la sua firma separata sparrow-2.5.3-manifest.txt.asc. Mettili tutti e tre nella stessa cartella e apri un terminale al suo interno.
Non mescolare le fonti. Un manifest preso da una parte e un installer preso da un’altra non dimostrano assolutamente nulla.
Devi ottenere una riga Good signature from "Craig Raw " («firma valida»), seguita da un’impronta della chiave primaria identica a quella del passaggio due. Un WARNING: This key is not certified with a trusted signature alla fine è normale fino a quando non firmi la chiave in locale: significa «non ho detto a GnuPG che mi fido di questa identità», non «la firma non è valida». Quello che non deve mai comparire è BAD signature. Se compare, cancella tutti i file e ricomincia dal dominio ufficiale.
Confronta il tuo file con gli hash contenuti nel manifest
Il manifest è un semplice elenco di hash SHA-256, e a questo punto hai la prova che arriva da chi ha firmato. Su Linux esegui sha256sum --ignore-missing -c sparrow-2.5.3-manifest.txt e cerca OK accanto al tuo file. Su macOS esegui shasum -a 256 Sparrow-2.5.3-aarch64.dmg e confronta il risultato con la riga corrispondente del manifest. Su Windows esegui certutil -hashfile Sparrow-2.5.3.msi SHA256 e fai lo stesso confronto, ignorando maiuscole e minuscole.
Con gli hash non esistono mezze misure: un carattere diverso significa un file diverso.
Installa, poi conserva l’impronta
Solo adesso lancia l’installer. Salva l’impronta in un posto che controlli tu, per esempio una nota nel gestore di password: alla release successiva confronterai il valore con un tuo appunto invece che con quello che una pagina web ti mostra in quel momento.
Non installare «solo per questa volta». Una firma che non passa ha tre cause plausibili: un
download interrotto, l'abbinamento sbagliato tra i file, oppure una build che non è quello
che dichiara. Le prime due si escludono gratis scaricando di nuovo. Se anche un download
fresco dal dominio digitato a mano continua a non passare, fermati e considera sospetti sia
il computer sia la rete che stai usando.
La regola in due righe
Le tue 12 o 24 parole di recupero sono il wallet. Scrivile su carta, mai in una foto, in una nota sul cloud o in un gestore di password, e non digitarle mai su un sito, in una chat o a un finto "assistente": nessuno di legittimo te le chiederà.
L'installazione, piattaforma per piattaforma
Le differenze sono piccole, ma ognuna ha il suo modo di far inciampare le persone. Verifica
prima, poi segui le note del tuo sistema.
Ubuntu, Debian e derivate
Installa il pacchetto con apt, così dipendenze e voce nel menu vengono gestite per te:
sudo apt install ./sparrowwallet_2.5.3-1_amd64.deb su x86-64, oppure
./sparrowwallet_2.5.3-1_arm64.deb su ARM64.
Il ./ conta. Senza di esso apt interpreta l'argomento come il nome di un
pacchetto nei repository configurati, non lo trova e ti dice che il pacchetto non
esiste. Quel singolo errore è la domanda più frequente su come installare Sparrow su
Ubuntu.
Dopo l'installazione l'applicazione compare nel menu. Per aggiornare si usa lo stesso
comando con il file più recente, dopo aver verificato anche quello.
Fedora, RHEL e openSUSE
Usa l'rpm: sudo dnf install ./sparrowwallet-2.5.3-1.x86_64.rpm, oppure l'rpm
aarch64 su hardware ARM64. Sui sistemi senza dnf,
sudo rpm -i funziona allo stesso modo.
Come per il deb, indica al gestore dei pacchetti il file locale e non il nome di un
repository. Non c'è nessun repository di terze parti da aggiungere per questo programma.
Il tarball Linux portatile
Estrai con tar xzf sparrowwallet-2.5.3-x86_64.tar.gz ed esegui il launcher dentro la
cartella estratta. Nulla viene scritto fuori da quella directory e non serve alcun
accesso da amministratore.
È la build da usare su un computer che non amministri, su una distribuzione immutabile,
o quando vuoi tenere due versioni affiancate mentre provi un aggiornamento.
macOS: Apple silicon o Intel
Due immagini disco separate. I Mac con Apple silicon (serie M) prendono il
.dmgaarch64; i Mac Intel più vecchi quello
x86_64. Se hai dubbi, controlla la riga del chip in
menu Apple › Informazioni su questo Mac.
Apri l'immagine e trascina l'applicazione in Applicazioni, come al solito. Il minimo è
macOS 11. La build Intel gira anche su Apple silicon per traduzione, ma non c'è motivo
di accettarne la penalizzazione.
Windows: installer o versione portatile
Il .msi è un normale installer ed è la scelta predefinita giusta su Windows
10 o successivi. Lo .zip è la stessa applicazione senza installer: lo
scompatti dove vuoi e lo esegui lì, comodo su computer bloccati dalle policy e su unità
rimovibili.
Per controllare l'hash su Windows non serve nessun software aggiuntivo:
certutil -hashfile <file> SHA256 è già incluso nel sistema.
ARM64 e Raspberry Pi
Le build ARM64 esistono in tutti e tre i formati Linux, quindi un Raspberry Pi 4 o 5 a
64 bit o un server ARM eseguono lo stesso portafoglio di un desktop.
Il motivo più comune è mettere il portafoglio sulla macchina che già fa girare il tuo
nodo, eliminando il salto di rete fra i due. Vedi
come collegare Sparrow al tuo nodo.
Requisiti di sistema, detti con onestà
Per gli standard dei portafogli Sparrow chiede poco, perché non valida la catena da sé.
Domanda a un server con protocollo Electrum la storia dei tuoi indirizzi e da quella
costruisce la sua idea del tuo saldo: è questo che «client leggero» significa in
pratica.
Da qui derivano due conseguenze. L'installazione resta piccola e si avvia in pochi
secondi anche su hardware modesto. E chi gestisce il server vede quali indirizzi hai
chiesto, quindi il punto d'arrivo per chi tiene alla privacy è Sparrow che parla con un
nodo tuo, passando da Tor se lo desideri.
Vale anche la pena sapere che Sparrow è un'applicazione Java/JavaFX e che nonostante
questo non installi mai Java. Ogni build include il proprio runtime, quindi non c'è
nessun JDK da gestire e nessuna incompatibilità di versione da risolvere.
Ricavato dalle build per piattaforma e dal supporto di sistema pubblicati dal progetto Sparrow.
Requisito
Cosa serve
Dettaglio
Windows
Windows 10 o successivo
Installer .msi, oppure uno .zip portatile da eseguire da una cartella
macOS
macOS 11 (Big Sur) o successivo
Due .dmg distinti, uno per Apple silicon e uno per Intel
Linux
x86-64 o ARM64
.deb, .rpm e un tarball autonomo per ciascuna architettura
Runtime Java
Nulla da installare
Sparrow è un’applicazione Java/JavaFX, ma ogni build pubblicata include il proprio runtime. Non devi installare nessun JDK.
Spazio su disco
Contenuto
È un client leggero: salva il file del portafoglio e una cache delle transazioni, non la blockchain.
Rete
Un server con protocollo Electrum
Server pubblici per impostazione predefinita, oppure il tuo Bitcoin Core / server Electrum. Collega il tuo nodo.
Licenza
Apache 2.0
Software libero, senza account, senza versioni a pagamento, finanziato dalle donazioni
Cosa consigliamo
Digita il dominio ufficiale. Prendi la build che corrisponde al tuo hardware reale. Verifica
la firma sul manifest e l'hash del tuo file prima di lanciare l'installer. Poi conserva
l'impronta fra i tuoi appunti, così alla release successiva il confronto avviene con
qualcosa che un aggressore non può modificare.
Se tutta questa liturgia ti sembra eccessiva per un programma gratuito, guardala da un altro
lato: non stai proteggendo il download, stai proteggendo tutto quello che ci metterai
dietro. L'abitudine alla verifica costa un minuto per release ed elimina l'attacco di
maggior successo contro chi pratica l'autocustodia.
La release attuale è la 2.5.3, firmata il 29 July 2026 secondo la pagina di download ufficiale. I numeri di versione cambiano, quindi tratta qualsiasi cifra letta su un sito di terze parti (compreso questo) come un’indicazione, e verificala sul manifest ufficiale della build che stai per eseguire.
Dov’è il download ufficiale di Sparrow Wallet?
Un solo dominio: sparrowwallet.com/download/. Il progetto pubblica anche il codice sorgente e gli artefatti di release su GitHub, sotto sparrowwallet/sparrow. Digita il dominio a mano, invece di seguire un annuncio pubblicitario, un link su un forum o il messaggio di uno sconosciuto.
Come si installa Sparrow Wallet su Ubuntu?
Scarica il .deb ARM64 o x86-64 adatto al tuo computer, verificalo, poi esegui sudo apt install ./sparrowwallet_2.5.3-1_amd64.deb dalla cartella che contiene il file. Il ./ iniziale non è facoltativo: senza di esso apt cerca un pacchetto con quel nome nei repository e non lo trova. Debian, Linux Mint e Pop!_OS si comportano allo stesso modo.
Devo installare prima Java?
No. Sparrow è scritto su Java e JavaFX, ma ogni build pubblicata porta con sé il proprio runtime. Installare un JDK di sistema è inutile e non cambia il runtime che l’applicazione usa.
Sparrow funziona su un Raspberry Pi?
Esistono build ARM64 in tutti e tre i formati Linux, quindi un Raspberry Pi 4 o 5 a 64 bit o un server ARM lo eseguono senza problemi. Di solito il motivo per farlo è affiancarlo a un nodo che gira sulla stessa macchina.
Sparrow scarica tutta la blockchain?
No. È un client leggero: chiede a un server la storia dei tuoi indirizzi. Questo mantiene l’installazione piccola, ma è anche un compromesso sulla privacy, perché chi gestisce il server scopre quali indirizzi ti interessano. Per questo l’obiettivo consigliato è arrivare a usare un nodo tuo.
Esiste un download per Android o iPhone?
No. Sparrow è software solo per desktop, e le app che compaiono negli store per dispositivi mobili con il suo nome sono imitazioni. Prima di installare qualcosa su un telefono leggi com’è la situazione delle app mobili.
