Nel gennaio 2025 alcuni uomini hanno portato David Balland fuori da casa sua. Balland ha cofondato Ledger, che produce hardware wallet, il che significa che fra tutte le persone al mondo era tra quelle che più probabilmente avevano pensato con attenzione a come custodivano i propri bitcoin.
Hanno preso anche sua moglie. Gli hanno tagliato un dito e lo hanno spedito, per far capire che la richiesta era seria. È stato liberato da un reparto d'élite della polizia nazionale francese. Sua moglie è stata liberata circa un giorno dopo. A quel punto un riscatto era già stato pagato, non da Balland ma da un suo socio, e la maggior parte è stata recuperata dopo perché una parte era passata per una stablecoin centralizzata il cui emittente poteva congelarla su richiesta. Qualcosa come il 5% non è mai tornato.
Una cosa in quel paragrafo è verificabile in modo indipendente. Un congelamento da parte dell'emittente lascia una traccia pubblica. Il resto, cioè chi ha pagato, quanto, e come è andato il recupero, poggia sui racconti delle parti, e io non ho modo di verificarli.
Cosa lo ha tirato fuori davvero
Fermati un attimo sulla forma della cosa, non sull'orrore.
Un difensore professionale dell'autocustodia è stato attaccato lo stesso, con presumibilmente il miglior assetto di autocustodia che denaro e competenza possano mettere insieme. La ricchezza non l'ha impedito. La notorietà non l'ha impedito. Una competenza proprio su questo problema, che quasi nessun altro ha, non l'ha impedito.
E quando è finita, le due cose che hanno riparato il danno sono state un reparto d'élite della polizia statale e un emittente centralizzato con un pulsante di congelamento. Nessuna delle due fa parte del credo. Entrambe sono, nella maggior parte dei giorni, cose che il credo esiste per aggirare.
È questo che rende il caso degno di essere scritto, ed è anche perché mette a disagio. Se difendi l'autocustodia, come faccio io, questo è il caso che devi riuscire a guardare senza distogliere lo sguardo.
La lezione non è che Balland ha sbagliato. Voglio essere preciso su questo, perché il riflesso di questo ambiente è leggere ogni episodio come una storia di competenza. Doveva usare il multisig, doveva trasferirsi, doveva starsene più zitto. Niente di quanto pubblicato suggerisce che abbia fatto qualcosa di sbagliato, e l'argomento qui non ne ha bisogno.
Cosa poteva e cosa non poteva toccare il suo assetto
Niente dell'assetto di autocustodia di Balland ha avuto peso sul fatto che degli uomini si presentassero a casa sua. La scelta del bersaglio gira su ciò che si vede da fuori: un nome, un'azienda, un ruolo pubblico, un archivio che qualcuno ha fatto trapelare. Nessuna configurazione di wallet tocca niente di tutto ciò.
E non ha nemmeno stabilito quanto tempo sono rimasti, ed è qui che chi porta questo argomento lo vende per più di quanto valga. Parti dall'impossibilità su cui si appoggiano entrambi i paper. Non puoi provare di aver dimenticato, quindi un attaccante nella stanza dà per scontato che ci sia di più, e lo dà per scontato qualunque cosa tu abbia costruito e qualunque cosa gli dica. Da lì in poi la durata dell'incontro è il suo calcolo e non il tuo: un'altra ora gli vale o non gli vale il rischio che costa. Un protocollo è un insieme di oggetti virtuali e di regole d'uso. Non ferma una chiave inglese.
Quello che si può pretendere da un progetto di autocustodia comincia prima di tutto questo, dal descrivere l'attaccante con onestà. Il modello con cui lavorano i paper mette una clausola in testa, prima di qualsiasi cosa su calcolo o budget: lui sa come funziona il tuo assetto. Leggere il manuale è gratis e il manuale è pubblico, quindi dai per scontato che l'abbia letto. È questo il terreno di cui parla The Denial Spiral, ed è lì che fallisce un'intera categoria di prodotto, perché esche, PIN di coercizione e storie imparate hanno tutte bisogno che lui non l'abbia letto. L'oscurità ha funzionato un tempo, ed è di questo che parla un testo precedente di questa serie: c'è stata una finestra in cui quasi nessuno ti cercava e nessuno sapeva distinguerti dalla folla, e lì dentro tacere era quasi una difesa completa. Vale la pena dire perché la cultura ci si attacca invece di prendere in giro chi lo fa. Ma la conoscenza si diffonde (Kerckhoffs), e un modello di business criminale che rende viene replicato (Mises). La finestra si è chiusa e non si riaprirà.
Modellalo così e viene fuori qualcosa di sgradevole. Certi assetti, messi davanti a un attaccante che sa esattamente cosa sono, gli danno un motivo per ucciderti che altrimenti non avrebbe avuto. È questo che The Deadly Race mette a prezzo: quando il percorso che ha in mano funziona ancora ma non è concluso, chi viene rilasciato è un concorrente per gli stessi soldi, e un concorrente a portata costa meno rimuoverlo che batterlo in corsa. Balland è stato rilasciato vivo, quindi quella mossa qui non è mai arrivata. Il punto è che alcuni progetti la fabbricano, e il nome che The Deadly Race dà a questa classe è peggio che inutile. L'espressione è stretta di proposito: uno schema che consegna tutto in modo pulito batte uno schema che lascia un divario. Prima di provare ad aiutare, non fare danni.
Solo con quei due punti in mano vale la pena fare la domanda da cui partono tutti, cioè quanta parte del malloppo si può mettere fuori portata, e la seconda metà di quella domanda è la parte che si salta: senza comprare quella riduzione al prezzo di una corsa.
Quello che questo compra è più piccolo della versione che la gente vorrebbe, e stabilirne la misura esatta è ciò che resta da fare a questo testo.
Niente di tutto questo è un argomento contro l'autocustodia, e sarebbe un argomento da poco se lo fosse. È un argomento sull'ordine in cui si fanno le cose in autocustodia: descrivi l'attaccante come qualcuno che ha già letto il tuo manuale, guarda quali delle cose che potresti costruire metterebbero un prezzo sulla tua stessa morte, e solo allora comincia a chiederti quanto puoi mettere fuori portata.
Perché nessuna ricerca finisce
I due paper ragionano su un attaccante deliberatamente poco lusinghiero. Sa come funziona il tuo assetto, ha un budget di tempo e di rischio, e dà per scontato che ci sia sempre dell'altro. Chiamalo l'attaccante idealizzato. Un progetto deve sopravvivergli, perché un progetto che sopravvive solo a un avversario distratto non è sopravvissuto a niente.
Per lui c'è una domanda a cui non sa rispondere e che non riesce a smettere di fare.
C'è un'altra copia?
Non puoi dimostrare di aver dimenticato. E non puoi nemmeno dimostrare che non esista un backup, e il motivo non è che l'attaccante sia stupido o sadico. È che la cosa che dovrebbe escludere è minuscola e può stare ovunque. Una scheda SD. Note steganografiche in un libro su uno scaffale. Login e password imparati a memoria di una casella di posta che contiene un file cifrato. Una qualunque di queste basta a ricostituire l'accesso, e nessuna si esclude rivoltando una casa.
Così dà per scontato che ne esista una, qualunque cosa tu dica e in qualunque modo la dica. È la posizione razionale, non quella paranoica.
Fai un passo in più e arrivi dove The Deadly Race non si tira indietro. Per essere certo che non resti nessuna copia, dovrebbe stabilire cosa c'è e cosa non c'è nella tua memoria. Orwell ha dato la misura dell'ultimo luogo privato: niente era tuo tranne i pochi centimetri cubi dentro il tuo cranio. Un attaccante in grado di leggerlo supererebbe l'estremo letterario del potere di sorveglianza, che il cranio lo concedeva espressamente.
È la fine della strada su cui il progetto ti mette, per quell'attaccante. Tieniti la precisazione, perché lavora più di quanto sembri.
Chi si portano via non è sempre chi detiene
Ha pagato un socio. Non Balland, e non dall'assetto di Balland stesso. Quel dettaglio si legge di sfuggita ed è il secondo argomento del caso.
Codificato a mano dal registro di Jameson Lopp: in 12 dei 351 episodi, il 3,4%, la persona presa non era un detentore ma un parente preso per costringere qualcun altro. Un genitore, un coniuge, un figlio adulto. Lo screening ha tirato fuori sedici candidati e quattro sono stati scartati alla lettura, incluso uno in cui «figlio di» indicava in realtà un autore e non una vittima, quindi i dodici sono verificati e non abbinati per parola chiave.
Due cose di questo sottoinsieme contano più della sua dimensione.
È recente e si sta concentrando. Undici dei dodici cadono nel 2023 o dopo, e nove sono in Francia, dove gli episodi registrati sono passati da circa uno all'anno fino al 2024 a 22 nel 2025 e 34 ad agosto 2026. Qualunque sia la parte di quell'aumento che è incidenza reale e non attenzione della stampa francese, questa non è dispersione storica. La tattica sta venendo adottata.
E il 3,4% è un pavimento, non una stima. La codifica legge un titolo di una riga, quindi un episodio che per caso non nomina un parente non è prova che non ce ne fosse uno. Il numero può solo essere sottostimato.
Cosa delimita
L'assetto delegato è una risposta vera alla coercizione, e la cosa onesta è dirlo prima di togliergli qualcosa. È anche il punto in cui l'autocustodia smette silenziosamente di essere autocustodia. Metti il potere di sbloccare i fondi in mano a qualcuno lontano che ti dirà di no, e un attaccante nel tuo salotto non ha nessuno che gli convenga far soffrire. Supera il criterio. Il testo gemello lo dice chiaramente.
Quello che questo caso mette a prezzo sono le clausole in piccolo. Quell'assetto funziona solo finché il delegato è davvero fuori portata, e il delegato che una persona vera nomina è un coniuge, un genitore, un figlio adulto, un socio fidato. Che è esattamente l'elenco che questo sottoinsieme mostra mentre viene preso.
Quindi un delegato raggiungibile non è un secondo corridore. È una seconda vittima.
La strada non è confutata, è delimitata: le serve un'irraggiungibilità strutturale, non presunta, e la maggior parte di chi crede di averla l'ha solo presunta. Chiediti chi nomineresti davvero, e poi se quella persona potrebbe essere trovata in un pomeriggio da qualcuno che ha già trovato te.
L'attaccante del modello non è l'attaccante nella stanza
L'attaccante idealizzato non si ferma mai, ed è esattamente a questo che serve. Quelli veri si fermano in continuazione, per ragioni ordinarie: un budget, un rischio di essere preso che cresce di ora in ora, un'aritmetica sull'ora successiva e non sull'intero bottino.
Un attaccante vero può anche essere informato, cosa di cui l'idealizzato non ha mai bisogno. Tre cose che può arrivare a sapere, e nessuna gli chiede di credere alla persona che ha davanti:
- Che una costruzione del genere esiste. Non è un'affermazione della vittima, è un fatto pubblico su cosa è disponibile per costruire.
- Che chi detiene molto plausibilmente la usa, e i suoi familiari pure, per il grosso di quello che hanno messi insieme.
- Quindi il valore atteso di un'altra ora scende, e con esso il valore atteso di cominciare.
Non è una promessa, e la precisazione resta in piedi: chi è abbastanza ricco ha comunque una porzione più piccola, più sciolta, meno custodita, e nel calcolo dell'attaccante quella da sola può già coprire il rischio del reato. Quello che si muove è il calcolo sul grosso. Un Balland ipotetico la cui autocustodia passasse tutti e tre poteva comunque essere individuato, poteva comunque essere portato via, e i suoi familiari potevano comunque pagare quello che era a portata. Quello che cambierebbe è ciò che i suoi attaccanti potrebbero finire per accertare: che il resto è fuori portata operativa come proprietà della costruzione, e non come una storia che lui sta raccontando loro.
Progetta per l'attaccante che non si ferma mai. La deterrenza passa da quello che si ferma.
Cosa resta
Contro un attaccante deciso e disposto a tenerti a lungo, le opzioni oggi in vendita si riducono a due: un salvataggio dello Stato e un emittente disposto a congelare. Qui hanno funzionato entrambe. Nessuna delle due è autocustodia, e nessuna delle due è qualcosa che puoi richiedere quando ti serve. Un credo il cui piano di riserva sono le istituzioni degli altri non è la cosa autosufficiente che ti vendono.
L'alternativa che vale la pena costruire non è un recupero migliore a fatto compiuto. È togliere la leva prima: nessun dispositivo pronto da sequestrare, nessun token che funzioni da ostaggio, nessun delegato in posizione di pagare. Se sia raggiungibile è l'affermazione che i paper fanno e difendono, e dovresti leggerli con scetticismo invece di prenderla da un post di blog.
Balland ha riavuto quasi tutti i suoi soldi e si è tenuto la vita. Il dito non l'ha riavuto. È la voce di bilancio che nessuno congela.
Il caso, il sottoinsieme delle vittime interposte, la verifica che c'è dietro e l'argomento della durata stanno in The Denial Spiral, accesso aperto, senza registrazione. Il suo gemello, The Deadly Race, è dove l'impossibilità che rende una smentita non verificabile, e il test che ne deriva, sono sviluppati per bene.
Dettagli del caso da DL News, archiviato. Conteggi degli episodi dal registro di Jameson Lopp, un campione giornalistico che perde ciò che non viene denunciato. Niente qui va oltre quanto pubblicato.
Se è valso il tuo tempo. Mandalo a chi ti ha detto che un hardware wallet era la fine del problema. Una ⭐ su Great Wall, sulla ricerca o su questi testi non ti costa nulla e rende il lavoro trovabile. E se vuoi finanziarlo, support accetta ⚡ Lightning e on-chain, senza registrazione, senza livelli e senza nulla in cambio.