sparrow-wallet.app Guida indipendente Compra e custodisci tu

Valutazione di sicurezza · verificato 2026-08-10

Sparrow Wallet è sicuro? Un'analisi onesta

In breve: il software è non custodial, open source con licenza Apache 2.0 e gratuito. Nulla di tutto questo, da solo, mette al sicuro i tuoi bitcoin. «Sicuro» lo decidono la configurazione che scegli e lo stato dei tuoi backup, e Sparrow ti lascerà costruire qualcosa di eccellente o qualcosa di avventato con la stessa disponibilità.

Confronta i prezzi attuali di bitcoin

  • Non custodial
  • Codice sotto Apache 2.0
  • Gratuito, finanziato da donazioni
  • File dei portafogli cifrati con Argon2
  • Nessun audit di terze parti pubblicato

Non ufficiale

La risposta diretta, prima dei dettagli

Sparrow non conserva monete. È un programma desktop che osserva indirizzi derivati da chiavi che controlli tu e costruisce le transazioni per spenderle. Non c'è nessun account, nessun saldo depositato sul server di qualcun altro e nessuna reimpostazione della password, perché su un server non c'è nulla da reimpostare. Questa struttura elimina un'intera categoria di rischio: l'azienda non può congelarti i fondi, non può perderli in un fallimento e non può subire una violazione con le tue monete dentro.

In cambio ti consegna tutti i rischi che un custode normalmente assorbe. Se il tuo computer è infetto, se installi una copia manomessa o se le tue parole di recupero finiscono in una galleria di fotografie, nessuna scelta di progettazione di Sparrow ti salva. Il portafoglio è onesto su questo punto, e lo è anche questa pagina: la domanda non è mai «l'app è sicura», è «la mia configurazione è sicura», e le due domande hanno risposte diverse.

Leggi quindi il resto della pagina per aggressori. La sicurezza non è un voto da uno a dieci: è un elenco di persone precise che provano cose precise, e di quali di quei tentativi la tua configurazione fermi davvero.

Modello di minaccia

Sei aggressori, e cosa fa Sparrow contro ciascuno

Gli elenchi di funzioni sono un modo sbagliato di giudicare la sicurezza. Gli aggressori sono un modo giusto. Ogni scheda qui sotto è qualcuno con una strada plausibile verso le tue monete, con quello che Sparrow blocca davvero e quello che non può fare.

1. Malware già presente sul tuo computer

Gli infostealer cercano i file dei portafogli, registrano quello che digiti e scambiano gli indirizzi bitcoin negli appunti nel momento in cui li incolli.

Sparrow aiuta
I file dei portafogli sono cifrati a riposo, e l'editor delle transazioni mostra gli indirizzi di destinazione e gli importi esatti prima della firma: se leggi, un indirizzo sostituito si vede.
Sparrow non può
Proteggere una chiave decifrata in memoria su una macchina controllata dall'aggressore. Un dispositivo hardware risolve il problema alla radice: mostra l'indirizzo sul proprio schermo.

2. Un download manomesso o falso

Annunci nei motori di ricerca e domini sosia distribuiscono installer modificati. È il modo più comune in cui sparisce il primo capitale, e all'aggressore costa quasi nulla da allestire.

Sparrow aiuta
Le release includono un manifest firmato con gli hash dei file. Verifica la firma contro l'impronta D4D0D3202FC06849A257B38DE94618334C674B40 e un binario sostituito non passa il controllo.
Sparrow non può
Impedirti di saltare la verifica. Nulla, nell'installer, ti avverte che lo hai preso dal dominio sbagliato. Come verificare un download come si deve.

3. Chi gestisce il server Electrum

I portafogli leggeri chiedono a un server quali transazioni riguardano i loro indirizzi. Chi gestisce quel server scopre l'intero insieme dei tuoi indirizzi e il tuo IP.

Sparrow aiuta
Il Tor integrato nasconde il tuo IP, e puoi puntare il portafoglio sul tuo nodo Bitcoin Core o su un server Electrum privato invece che su uno pubblico.
Sparrow non può
Far dimenticare a un server pubblico quello che gli hai già detto. È un problema di privacy, non di furto: chi lo gestisce non può spendere. Come funziona la fuga di indirizzi.

4. Furto fisico del file o del portatile

Una macchina rubata consegna il file del portafoglio, le etichette che hai scritto e tutto il tuo storico delle transazioni.

Sparrow aiuta
La cifratura Argon2 rende costoso ogni tentativo di indovinare la password, e una passphrase BIP39 fa sì che le sole parole del seed non bastino a ricostruire il portafoglio.
Sparrow non può
Salvare una password debole. Un aggressore offline ha tentativi illimitati, senza alcun limite di frequenza oltre alla matematica.

5. La costrizione, o qualcuno che sa che hai delle monete

Il caso scomodo. La cifratura non serve a niente quando l'aggressore può semplicemente pretendere la password, ed è vantarsi in pubblico che crea il bersaglio.

Sparrow aiuta
Il multisig distribuisce il potere di spesa su più luoghi, così nessuna singola conversazione sposta i fondi. Portafogli separati ti permettono di tenere un saldo piccolo e credibile lontano dai risparmi.
Sparrow non può
Fare nulla contro il fatto che hai parlato. Non esiste nessuna cancellazione sotto costrizione e nessuna modalità di emergenza nascosta. Il multisig, passo per passo.

6. Tu, e la frase di recupero

L'aggressore che vince più spesso di tutti. Una frase fotografata «per un attimo», salvata in una nota nel cloud, digitata su un sito, oppure scritta una volta sola e conservata dove un allagamento l'ha trovata.

Sparrow aiuta
Mostra le parole una volta, sulla tua macchina, e non le trasmette mai. Puoi provare il ripristino mentre il saldo è ancora a zero.
Sparrow non può
Recuperarle. Non c'è nessuna reimpostazione, nessuna verifica d'identità, nessun custode di riserva. Configurazione di seed e passphrase.

Fonte: sparrowwallet.com — best practices

Sparrow è un portafoglio caldo o freddo?

È la domanda più cercata su Sparrow e quella con le risposte peggiori. Sparrow non è né l'uno né l'altro per natura. È un programma che firma e costruisce transazioni, e la risposta dipende interamente da dove si trova la chiave privata mentre il programma è in esecuzione.

Valutazione di questo sito, basata sulle opzioni di keystore e di firma documentate dal progetto Sparrow.
Come lo configuriDove sta la chiave privataCosa raggiunge un aggressore su quel computerEtichetta corretta
Keystore software sul portatile che usi ogni giornoFile del portafoglio cifrato, sullo stesso discoIl file del portafoglio, più tutto quello che digiti mentre è sbloccatoPortafoglio caldo
Keystore software su una macchina che usi raramenteFile del portafoglio cifrato, sbloccato molto meno spessoIl file a riposo, inutile senza la passwordCaldo, con attrito
Dispositivo hardware collegato via USBDentro il dispositivo di firma, mai esportataI tuoi indirizzi e una transazione non firmata. Per firmare serve premere un tasto sul dispositivoChiavi fredde, scrivania online
Dispositivo air-gapped via codici QR o scheda SDSu un dispositivo che non ha mai toccato una reteNiente di firmabile. I dati attraversano lo spazio solo quando li porti tuFreddo
Portafoglio watch-only da una xpubNon su questo computer, in nessun modoSaldo, storico e indirizzi futuri, senza alcun potere di spesaNessuna chiave presente

Cosa significa davvero «watch-only» in questo contesto

Un portafoglio watch-only si costruisce da una chiave pubblica estesa — una xpub — o da un output descriptor, cioè una breve ricetta testuale che descrive come vengono derivati gli indirizzi. In entrambi i casi Sparrow può generare tutti gli indirizzi su cui riceverai, controllare i saldi e assemblare una spesa, senza contenere il segreto necessario ad autorizzarla.

È per questo che una configurazione air-gapped funziona. Il computer online ha un portafoglio watch-only e produce una PSBT: una transazione bitcoin parzialmente firmata, un formato di file standard che porta con sé tutto quello che il firmatario deve sapere e nulla che debba restare segreto. Sposti la PSBT sul dispositivo offline con un codice QR o una scheda SD, il dispositivo la firma e la versione firmata torna indietro. La chiave non attraversa mai lo spazio d'aria.

Una xpub, però, non è innocua. Chi la possiede vede tutto il tuo storico delle transazioni e ogni indirizzo futuro, per sempre. Trattala come un'informazione sensibile, anche se non può spendere nemmeno un satoshi.

Un'impostazione predefinita che funziona

Tieni un piccolo portafoglio caldo per le spese e un portafoglio separato, appoggiato a un dispositivo hardware, per i risparmi. Convivono in una sola installazione di Sparrow come schede distinte. Quando il saldo dei risparmi supera quello che porteresti in contanti, quelle chiavi devono stare su un dispositivo dedicato.

Quali dispositivi di firma supporta Sparrow descrive le modalità USB, QR e scheda SD marca per marca.

Cosa ti dà davvero la cifratura

Sparrow cifra i file dei portafogli con Argon2, l'algoritmo che ha vinto la Password Hashing Competition nel 2015, e il progetto lo calibra deliberatamente perché derivare la chiave dalla tua password richieda almeno 500 millisecondi su hardware moderno. Argon2 è anche memory-hard, la proprietà che impedisce a un aggressore di ottenere un'accelerazione enorme semplicemente spostando il lavoro sulle schede grafiche.

In pratica: ogni tentativo dell'aggressore costa mezzo secondo di lavoro reale. Contro una password con vera entropia — cinque o sei parole casuali, o una stringa lunga generata da un gestore di password — il numero di tentativi necessari è tale che mezzo secondo ciascuno porta il totale fuori da qualunque budget. È per questo che un file di portafoglio cifrato su un portatile rubato di solito non è la fine della storia.

Cosa invece non ti dà

Argon2 rallenta i tentativi; non trasforma una password scadente in una buona. Gli aggressori non provano tutte le combinazioni, provano gli elenchi: i dieci milioni di password più comuni, i dump di credenziali trapelate, le parole del dizionario con le sostituzioni prevedibili. Qualcosa come bitcoin2026 o Satoshi!23 è già in quegli elenchi. Mezzo secondo per tentativo, distribuito su cento processi in parallelo, divora un elenco da dieci milioni di voci in meno di un giorno. Il costo per tentativo aiuta soltanto quando i tentativi da fare sono astronomicamente tanti.

L'altro limite è il perimetro. La cifratura del file protegge il file. Non fa nulla quando il portafoglio è aperto su una macchina compromessa, e non fa assolutamente nulla per il backup del seed, che per definizione è in chiaro. Una piastra metallica in un cassetto non è cifrata da Argon2 né da altro.

Fotografia macro di chiavi metalliche, a illustrare che la password del portafoglio protegge il file e non il backup del seed

Scegli la password così

Cinque o più parole casuali estratte con i dadi da un elenco, oppure una lunga stringa generata e conservata in un gestore di password. Non una frase che hai inventato tu, non un nome con un anno, e mai la stessa password usata altrove. Le parole di recupero vanno scritte su carta a parte: la password protegge il file, le parole ricostruiscono il portafoglio.

Fonte: sparrowwallet.com — cifratura Argon2

Verificato, o soltanto verificabile?

Quasi tutte le pagine sui portafogli trattano «open source» come sinonimo di «controllato dagli esperti». Non lo è, ed è nello spazio fra queste due espressioni che vive parecchia fiducia mal collocata.

Quello che di Sparrow è vero davvero: il codice sorgente completo è pubblicato con licenza Apache 2.0, il tracker dei problemi e lo storico dei commit sono pubblici, le release sono coperte da un manifest firmato con gli hash dei file e, poiché il codice è pubblico, una build può essere riprodotta in modo indipendente invece di essere accettata per fede. Chiunque abbia le competenze e il tempo può leggere esattamente come le chiavi vengono derivate, conservate e usate, e può confrontare un binario scaricato con quello che il codice avrebbe dovuto produrre.

Quello che non possiamo dirti: che una società di sicurezza di terze parti, con nome e cognome, abbia pubblicato un rapporto di audit su Sparrow. A noi non risulta, e non inventeremo una società, una data o un numero CVE per far sembrare questa pagina più autorevole. Non esiste nemmeno un programma di bug bounty che possiamo indicarti. Se trovi in giro l'affermazione che Sparrow ha superato un audit, chiedi il rapporto: un audit vero è un documento con un perimetro, una data e un elenco di risultati, non un bollino su una pagina di marketing.

Perché la distinzione ti riguarda

Verificabile significa che il difetto prima o poi verrà trovato da qualcuno e che chi distribuisce il software non può nasconderlo. Verificato significa che una squadra precisa ha guardato in una data precisa e ha messo per iscritto quello che ha trovato. L'open source ti dà la prima garanzia, la più durevole delle due ma anche la più lenta. I portafogli a codice chiuso con un audit pubblicato hanno il profilo opposto: un'istantanea di controllo, e poi niente che tu possa verificare da solo.

In pratica questo significa che la tua fiducia in Sparrow deve poggiare su cose che puoi verificare oggi — che il download corrisponda al manifest firmato, che il codice sia pubblico, che il progetto rilasci con costanza da anni e documenti con onestà i propri limiti — e non su un certificato che non esiste.

Fonte: github.com/sparrowwallet/sparrow — codice sorgente e tracker dei problemi

Sparrow Wallet è stato violato?

Non ci risulta alcuna compromissione del software Sparrow in sé: nessun episodio in cui l'applicazione distribuita abbia rubato chiavi, fatto uscire seed o contenuto una backdoor. Se questo cambierà, sarà visibile in un repository pubblico e in un tracker pubblico dei problemi, non sepolto da qualche parte.

Le perdite associate al nome Sparrow arrivano da un posto completamente diverso, e la distinzione conta perché ti dice dove spendere la tua prudenza. Le persone sono state derubate da app imitative e finti siti di download: software che ha preso in prestito nome, logo e descrizione, e poi ha chiesto una frase di recupero. Il portafoglio non è stato scassinato. Alla vittima è stato consegnato un falso convincente, e ci ha digitato dentro le sue parole.

È per questo che «Sparrow è sicuro» è la prima domanda sbagliata per la maggior parte delle persone. Il momento pericoloso è il download, e su mobile non esiste nessun download sicuro, perché non esiste nessuna build ufficiale per telefono da trovare. Leggi com'è la situazione delle app mobili: è la ricerca più rischiosa che si possa fare su questo portafoglio.

Sparrow Wallet è una truffa?

No, e il motivo per cui se lo chiedono è istruttivo. Un portafoglio gratuito che non chiede né account né documenti d'identità sembra sospetto a chi è abituato alle app finanziarie di consumo, e le versioni false negli store alimentano attivamente quel sospetto. Il progetto vero non prende in custodia nessun fondo, non vende nulla e pubblica il proprio codice sorgente. La truffa è tutto ciò che indossa il suo nome e ti chiede di digitare dodici parole in un modulo.

Non esiste nessun numero di assistenza di Sparrow Wallet

Questo merita un titolo tutto suo, perché il volume di ricerca che ci sta dietro è pericoloso. Non esiste nessuna linea telefonica di Sparrow. Nessun widget di chat dal vivo. Nessuna email di assistenza in grado di consultare il tuo portafoglio. Nessun messaggio privato ufficiale su nessuna piattaforma social. Nessuna sessione di assistenza remota.

Non è una dimenticanza. Un portafoglio non custodial non ha nulla da assistere nel senso tradizionale: non c'è un account da sbloccare, non c'è un saldo da correggere e non c'è una password da reimpostare. Nessuno nel progetto può vedere il tuo portafoglio, quindi nessuno può ripristinarlo.

Il che significa che ogni «operatore dell'assistenza Sparrow» che compare quando pubblichi un problema è un ladro. Lo schema è sempre lo stesso: rispondono pochi minuti dopo una lamentela pubblica, sono disponibili e tranquilli, e alla fine hanno bisogno della tua frase di recupero per «validare il portafoglio», o di una sessione di desktop remoto per «controllare la sincronizzazione», o di un piccolo pagamento per «sbloccare» i tuoi fondi. Tutte e tre le cose sono furti travestiti da aiuto.

L'aiuto vero esiste solo sui canali del progetto — la documentazione, le FAQ e il tracker pubblico dei problemi collegati dal sito ufficiale — ed è pubblico, lento e non riguarda mai le tue parole.

Il verdetto

Sparrow è uno dei software più affidabili della sua categoria, e questo giudizio poggia sulla struttura più che sulla reputazione: non prende in custodia nulla, pubblica il codice sotto Apache 2.0, firma le proprie release, cifra i file dei portafogli con un algoritmo scelto bene ed è insolitamente diretto su quello che non farà per te. Non esiste un audit di terze parti pubblicato, e preferiamo dirlo piuttosto che mascherare l'assenza.

Il rischio in una configurazione Sparrow quasi mai è il codice. È un download che non hai verificato, un computer di cui non puoi garantire la pulizia, una password uscita dalla tua testa e una frase di recupero che esiste in un solo posto — o, peggio, in una fotografia. Sistema queste quattro cose e la tua posizione di autocustodia è davvero solida. Ignorale e non c'è portafoglio al mondo che possa aiutarti.

Se vuoi il passo successivo più utile e più breve: verifica la tua copia contro il manifest firmato, poi configura il seed come si deve mentre il saldo è ancora a zero.

Domande sulla sicurezza di Sparrow Wallet

Sparrow Wallet è sicuro da usare?

Il software in sé è una scelta ragionevole: è non custodial, il codice sorgente è pubblico sotto licenza Apache 2.0, le release sono coperte da un manifest firmato e i file dei portafogli sono cifrati con Argon2. Che la tua configurazione sia sicura dipende da tre cose che Sparrow non controlla: se il tuo computer è pulito, se hai verificato il download e se le tue parole di recupero esistono solo su carta. Quasi tutte le perdite risalgono a questi tre punti, non al codice del portafoglio.

Sparrow Wallet è open source?

Sì. Sparrow è distribuito con licenza Apache 2.0 e l’intero codice sorgente è pubblicato su GitHub, quindi chiunque può leggerlo, compilarlo e confrontare la propria build con la release. Questo lo rende verificabile, che non è la stessa cosa che dire che è stato verificato: vedi la sezione sull’audit più sopra per capire perché la distinzione conta.

Sparrow Wallet ha superato un audit di sicurezza?

Non ci risulta l’esistenza di un rapporto di audit di sicurezza pubblicato da terze parti su Sparrow che possiamo indicarti, e non facciamo finta del contrario. Al suo posto ci sono codice aperto, un manifest di release firmato, un tracker pubblico dei problemi e anni di scrutinio da parte di persone che lo usano con denaro reale. Considera «open source» come sinonimo di verificabile, non di verificato.

Sparrow Wallet è un portafoglio caldo o freddo?

Entrambe le cose, a seconda di come lo configuri. Un keystore software su un computer collegato a internet è un portafoglio caldo. Abbina Sparrow a un dispositivo hardware via USB, oppure usalo in modo completamente air-gapped con codici QR o una scheda SD, e le tue chiavi private non esisteranno mai sulla macchina online: Sparrow diventa la metà watch-only, quella che costruisce le transazioni, di una configurazione di cold storage.

Sparrow Wallet è non custodial ed è davvero gratuito?

Sì a entrambe le domande. Sparrow non detiene mai le tue monete e non ha account, saldi su un server o reimpostazione della password, perché non esiste nessun database con i tuoi fondi dentro. È software libero, finanziato da donazioni volontarie, senza versioni a pagamento e senza acquisti nell’app. Il rovescio della medaglia è che nessuno può ridarti l’accesso.

Sparrow Wallet è mai stato violato?

Non ci risulta alcuna compromissione del software Sparrow in sé. I furti che portano il nome di Sparrow arrivano dagli imitatori: finte app per dispositivi mobili e siti di download sosia che raccolgono le frasi di recupero di chi credeva di installare l’originale. Prima di installare qualcosa che si chiama Sparrow su un telefono, leggi com’è la situazione delle app mobili.

Qual è il numero di assistenza di Sparrow Wallet?

Non esiste. Nessun numero di telefono, nessuna chat dal vivo, nessun servizio ticket, nessun messaggio privato ufficiale. Chiunque ti dia un numero dell’«assistenza Sparrow», o ti contatti per primo offrendoti aiuto, sta mettendo in scena un furto. L’aiuto legittimo vive nella documentazione del progetto e nel tracker pubblico dei problemi, e non riguarda mai le tue parole di recupero né l’accesso remoto al tuo schermo.

L'autocustodia comincia dopo l'acquisto

Compra su una piattaforma regolamentata, preleva subito verso chiavi che controlli tu e tieni il saldo di lungo periodo dietro un dispositivo hardware invece che dietro il login di un exchange.

Guarda i prezzi attuali di bitcoin