Principi di Sicurezza

Design Non Custodiale

TZUR Wallet è completamente non custodiale. Le tue chiavi private non vengono mai conservate su server, e TZUR non ha alcuna capacità di accedere, congelare o spostare i tuoi fondi. Non ci sono account da creare, nessuna archiviazione cloud dei dati del portafoglio e nessuna registrazione lato server delle tue disponibilità in Bitcoin. Le tue chiavi esistono solo sul tuo computer, protette dalla sicurezza di Windows e, dove abilitato, dal TPM del tuo computer. Se i server di TZUR sparissero domani, i tuoi Bitcoin rimarrebbero pienamente accessibili. Puoi recuperare il tuo portafoglio utilizzando la tua frase di recupero e qualsiasi applicazione di portafoglio compatibile con BIP-39.

Generazione e Derivazione delle Chiavi

Le chiavi private sono generate localmente sul tuo computer. La casualità crittografica è fornita dal generatore di numeri casuali sicuro del sistema operativo (BCryptGenRandom su Windows). TZUR segue BIP-32 per la derivazione gerarchica deterministica delle chiavi, il che significa che l'intero portafoglio è derivato da un singolo seed master. Per la generazione degli indirizzi, TZUR implementa BIP-84 per produrre indirizzi Native SegWit (bech32) utilizzando il percorso di derivazione m/84'/0'/0'. Questo è completamente deterministico: lo stesso seed produrrà sempre la stessa sequenza di indirizzi. Nessun materiale di chiave viene mai generato su, o trasmesso a, un server remoto.

Sicurezza della Frase di Recupero

La tua frase di recupero di 12 parole è generata localmente secondo lo standard BIP-39. Questa frase di recupero è l'unico meccanismo di ripristino per il tuo portafoglio. TZUR non conserva, trasmette né ha alcun accesso alla tua frase di recupero. La frase viene mostrata una volta durante la creazione del portafoglio e può essere visualizzata nuovamente nelle Impostazioni a scopo di backup. Non viene mai inviata attraverso la rete, mai scritta nei log del server e mai inclusa nei dati di analisi. Se perdi la tua frase di recupero e il tuo computer, i tuoi Bitcoin non possono essere recuperati da nessuno, incluso TZUR.

Gestione della Memoria

Il materiale delle chiavi private è trattato come dato tossico. Le chiavi vengono caricate dall'archiviazione sicura solo quando necessario per la firma delle transazioni. Una volta firmata la transazione, tutto il materiale delle chiavi viene immediatamente cancellato dalla memoria. Le chiavi private non vengono mai memorizzate nella cache dello stato dell'applicazione, mai scritte in file temporanei, mai registrate nei log e mai conservate in archiviazione non protetta.

Archiviazione Sicura

I dati sensibili del portafoglio, incluso il seed cifrato, sono conservati in un file di segreti locale sigillato con Windows DPAPI (la Windows Data Protection API). DPAPI vincola i dati al tuo account utente Windows, così che non possano essere trasferiti su un'altra macchina o scambiati offline. Sui computer dotati di un Trusted Platform Module (TPM), puoi inoltre sigillare il seed cifrato al TPM. La chiave del TPM non è esportabile e non lascia mai l'hardware, così che un file di segreti copiato non possa essere attaccato offline su un'altra macchina, nemmeno con il PIN. L'applicazione è protetta da un PIN, rafforzato con PBKDF2-HMAC-SHA256 a 600.000 iterazioni, e, dove disponibile, da Windows Hello. TZUR non conserva dati sensibili in file in chiaro né in alcun meccanismo di archiviazione non protetto.

Blocco dell'App e Protezione dalla Cattura Schermo

TZUR si blocca dietro il tuo PIN (e Windows Hello, dove abilitato) all'avvio e dopo un periodo di inattività. L'intervallo di blocco automatico è configurabile (1 minuto, 10 minuti, 1 ora o 6 ore). L'applicazione abilita inoltre la protezione dalla cattura schermo sulle schermate sensibili per ridurre il rischio di shoulder-surfing e di malware che registrano lo schermo.

Modello di Fiducia di Rete ed Electrum

TZUR comunica con server Electrum pubblici per recuperare dati dalla blockchain. I server Electrum non sono considerati affidabili. Fungono solo da fornitori di dati. Tutta la costruzione e la firma delle transazioni avvengono localmente sul tuo computer. TZUR non invia mai chiavi private, frasi di recupero o dati personali attraverso la rete. Le connessioni utilizzano TLS. L'integrità delle transazioni è verificata utilizzando prove Merkle.

Analisi Rispettose della Privacy

TZUR Wallet può raccogliere dati anonimi sull'utilizzo per migliorare l'applicazione. Le analisi sono interamente facoltative e possono essere disattivate in qualsiasi momento nelle Impostazioni.

Le analisi non includono mai:

Indirizzi del portafoglio o chiavi pubbliche
Saldi degli account o dati UTXO
Importi, destinazioni o cronologia delle transazioni
Frasi di recupero o qualsiasi materiale di chiave
Chiavi private o percorsi di derivazione
Identità personale, nome o posizione

TZUR Wallet non include SDK pubblicitari, tecnologie di tracciamento di terze parti o librerie di fingerprinting. Non vendiamo, condividiamo né monetizziamo alcun dato degli utenti.

Divulgazione Responsabile

Se scopri una vulnerabilità di sicurezza in TZUR Wallet, ti preghiamo di segnalarla all'indirizzo contact@tzur.live. Prendiamo sul serio tutte le segnalazioni e risponderemo tempestivamente.

Ultimo Aggiornamento: 4/6/2026