Tangem e Mitilena: vantaggi e svantaggi a confronto

Se portate la carta con voi, prima o poi la perderete. Con Tangem non si può aggiungere un’altra carta di riserva a distanza di tempo dall’acquisto. È tecnicamente impossibile. Con Mitilena, invece, si può fare in qualsiasi momento.

Se avete un Tangem, siete bloccati. Sì, a casa c’è la seconda carta del kit. Ma è rimasta solo quella. Non si può creare un duplicato: il chip è sigillato, il kit si configura una volta sola. Aggiungere una carta sostitutiva a un gruppo già configurato è tecnicamente impossibile. Da quel momento tutto il saldo dipende da un unico supporto: se si crepa perché viene piegato o si deteriora nel tempo, nessun laboratorio al mondo potrà ripristinare l’accesso.

Con Mitilena la perdita non esiste: avvicinate al telefono la carta NFC di riserva o l’adesivo e in dieci secondi avete copiato il wallet. Potete copiare il vostro wallet su carte NFC vergini compatibili, acquistabili anche vicino a casa. Per capacità di memoria serve almeno una NTAG216. Oppure potete ordinare quante carte volete, a un prezzo indicativo fra $2 e $5, e crearvi anche 10 backup.

Attaccate l’adesivo sotto il tavolo e il gioco è fatto. Quand’è stata l’ultima volta che avete perso un tavolo?

In Tangem il recupero del codice è attivo per impostazione predefinita: con la seconda carta dello stesso kit si può reimpostare la password della prima. Non occorre conoscere la password della seconda carta.

Per evitare che entrambe le carte finiscano nelle mani della stessa persona in caso di furto, bisogna conservarle separatamente, per esempio in appartamenti o case diversi. A nostro avviso, per un normale proprietario è un’assurda complicazione quotidiana: secondo la nostra valutazione, il 90% delle persone non ha la possibilità di affidare le proprie carte a qualcuno perché le custodisca a casa sua.

Inoltre, se consegnate una carta a una persona con cui non avete un contratto di custodia, la perderà dieci volte più in fretta di voi e non si sentirà nemmeno in colpa.

E se tenete due carte a casa, considerate che è come se fossero del tutto prive di password. Non serve conoscere la password di nessuna delle due. Se avete fisicamente due carte in casa e il recupero è attivo, potete reimpostare la password in qualsiasi momento.

In questo scenario, l’impossibilità di estrarre la chiave privata dal chip protetto non ha alcun senso, né pratico né teorico. Di fatto, la chiave non è protetta.

Un caso a parte, molto concreto: avete disattivato il reset della password e la ricordate quasi tutta, ma avete dimenticato uno o due caratteri alla fine o confuso maiuscole e minuscole. Con Tangem è un vicolo cieco: il chip chiuso non vi permette di verificare rapidamente nemmeno qualche centinaio delle vostre varianti. Con Mitilena, a un estraneo che non conosce la password servirebbero milioni di anni per trovarla per forza bruta, mentre il proprietario, che ricorda la base della propria password e la sua struttura, può recuperare in pochi minuti i caratteri dimenticati con l’utility desktop di recupero.

La storia di Tangem è questa: hanno preso un concetto di sicurezza già pronto e ci hanno sovrapposto le proprie scelte commerciali. Ma adottare un concetto intelligente non significa comprenderlo al livello di chi lo ha ideato. Alla fine, dopo il lancio, sono state proprio quelle aggiunte a dover essere riviste. È come dipingere un cappello sulla Gioconda: il problema non è il quadro di Leonardo, ma quello che ci avete dipinto sopra.

Per questo, nella nuova versione Tangem ha consentito di importare frasi seed e ha dato agli utenti la possibilità di disattivare la reimpostazione della password tramite un’altra carta, una funzione attiva per impostazione predefinita.

L’architettura di Mitilena viene ricondotta a uno sviluppatore dell’ecosistema dei wallet hardware classici, del calibro di Trezor. Qui il sistema è stato progettato fin dall’inizio da uno specialista che aveva trascorso anni nel settore e conosceva dall’interno problemi e modalità di attacco.

Nulla ha mostrato questo abisso tra un architetto specializzato in sicurezza crypto e un normale sviluppo su commissione meglio della vicenda dell’aggiunta delle frasi seed in Tangem. Quando, su richiesta del mercato, nell’app sono state innestate la creazione e l’importazione della frase seed, è emerso l’incredibile: nella versione di produzione dell’app Tangem le chiavi private degli utenti, al momento dell’attivazione della carta, venivano scritte in chiaro in un file di log diagnostico interno sul telefono. E se entro sette giorni l’utente contattava l’assistenza tramite il pulsante nell’app, quel log — completo di frase seed — veniva allegato automaticamente al messaggio e spedito via normale posta elettronica ai server del supporto Tangem e al sistema di ticket Zendesk: l’azienda ha dovuto ammetterlo ufficialmente nel proprio rapporto sull’incidente dopo che il caso è esploso su Cointelegraph.

Nello sviluppo professionale di wallet hardware un errore del genere è inconcepibile persino a livello di idea. Qualsiasi ingegnere cresciuto in una scuola del calibro di Trezor conosce per riflesso il tabù fondamentale: la frase seed non deve mai incrociare il sottosistema di logging e nell’applicazione di un cold wallet non può esistere, per principio, un pulsante che invii automaticamente i dump interni delle sessioni all’e-mail dell’assistenza.

Come ha potuto un comportamento simile superare il design di prodotto, la code review e il rilascio? Solo quando il prodotto viene costruito come un normale progetto d’investimento secondo gli schemi del software aziendale di massa: un manager assegna il compito di «rendere comodo l’invio dei log al supporto», uno sviluppatore mobile assunto ad hoc scrive un logger universale di tutti i comandi, subito dopo ci innestano l’importazione della frase seed e, in tutta la catena dal programmatore alla direzione, non c’è una sola persona che viva di sicurezza crypto e capisca che hanno appena costruito con le proprie mani un meccanismo per spedire via e-mail le chiavi dei clienti.

Livello «Trust»: protezione da soci, forze dell’ordine ed estorsori

Nell’ecosistema Mitilena esiste un ulteriore livello, il massimo della sicurezza collettiva: Mitilena Trust (basato sulla condivisione del segreto di Shamir, disponibile nell’app offline Air).

Il principio è semplice: la frase seed viene suddivisa matematicamente fra più carte indipendenti (per esempio 3 o 5), e per inviare fondi occorre avvicinare al dispositivo la maggioranza delle carte (per esempio 2 su 3 o 3 su 5).

Una singola carta non contiene la chiave: da sola non permette nemmeno di conoscere saldo o indirizzo. Questo risolve il problema del «fattore umano»: né un direttore disonesto, né un collega d’ufficio, né dei rapinatori possono prendere il denaro finché non riuniscono il quorum dei titolari delle carte.

La redazione considera assurdo il concetto stesso per cui, con un normale wallet personale di criptovalute, si debba escogitare dove mettere la seconda copia per evitare che venga usata per reimpostare la password.

Se non avete disattivato il recupero del codice tramite la seconda carta, attivo per impostazione predefinita, chiunque viva con voi e abbia accesso a entrambe le carte può reimpostare il codice e spendere i vostri soldi.

Che cosa cerca un ladro quando svaligia un appartamento? Che cosa cerca un doganiere scrupoloso o un agente durante un controllo dei vostri bagagli alla frontiera? Cercano deliberatamente i segni riconoscibili di un appassionato di crypto: scatole Ledger, i caratteristici portachiavi Trezor o le vistose carte Tangem con il logo che occupa tutta la superficie. Il semplice ritrovamento di un oggetto simile vi rende immediatamente bersaglio di interrogatori, estorsioni o coercizione fisica per costringervi a sbloccare il wallet.

Mitilena Trust offre la firma multipla fisica: per trasferire fondi occorre avvicinare al dispositivo le carte di più partecipanti. Per esempio, la cassa dell’azienda è ripartita fra tre direttori o contabili, e due qualunque dei tre possono firmare un trasferimento. In questo caso non consegnate a un altro partecipante una carta di riserva con pieno accesso al denaro, ma soltanto una parte della chiave comune.

Se parliamo di rapinatori, anche con un coltello alla gola, la vostra carta da sola non basta a trasferire i fondi. Serve anche la carta di un altro partecipante, che fisicamente non avete. Lo stesso sistema si può organizzare per un patrimonio familiare importante: parti diverse della chiave sono in mano a parenti diversi.

Se temete un’estorsione ai danni dei vostri risparmi personali, una delle parti necessarie può essere custodita da un parente stretto. E non serve per forza consegnargli una carta separata da proteggere e di cui ricordare il nascondiglio. Si può sistemare un adesivo in modo discreto: per esempio, sotto un ripiano all’interno di un armadio.

Un adesivo costa circa $2, quindi si possono creare più copie di quella parte: una sotto il ripiano a casa di un parente, un’altra nell’auto di vostro padre, una terza sotto la sella della bicicletta nel ripostiglio. Cambiate l’armadio o vendete la bicicletta? Restano le altre copie.

Quasi tutti i wallet hardware di criptovalute, Tangem compreso, con il loro aspetto gridano letteralmente: «Sono un wallet crypto». Anche la carta e l’adesivo Mitilena hanno una grafica di marca. Ma l’adesivo è molto più difficile da notare: è una sottile etichetta grande quanto una moneta, che si può applicare agli oggetti più diversi.

Il punto centrale è che il wallet Mitilena non è vincolato a un supporto di marca. Poiché la carta funge da archivio protetto, potete comprare una carta NFC vergine compatibile e senza stampa, almeno NTAG216 per capacità di memoria, e registrarvi il vostro wallet. Una carta del genere costa circa $3 e dall’esterno non rivela nulla del proprio contenuto.

Può anche essere un portachiavi con lo stesso chip, identico nell’aspetto a una normale chiave elettronica del parcheggio o del portone. Non riporta il nome del wallet, un logo o altri indizi del fatto che al suo interno sia custodito l’accesso alle criptovalute.

È uno degli scenari più comuni di furto di criptovalute: scaricate un file infetto o prendete un trojan su un sito di phishing. Il virus scandaglia il computer in cerca di chiavi private, in chiaro o in file cifrati con una password debole.

Sia Tangem sia Mitilena proteggono da questa ricerca di chiavi nei file: le chiavi private sono sulle carte, quindi sul disco del computer il virus non trova nulla.

Questi attacchi vengono preparati per una persona specifica: siete già un bersaglio rilevante e i malintenzionati vogliono arrivare proprio a voi. Qualcuno della vostra cerchia può indicarvi come bersaglio e raccontare del vostro denaro e delle vostre abitudini.

È un attacco molto costoso: il budget di un’operazione complessa con una vulnerabilità zero-day parte dalle centinaia di migliaia di dollari. Eppure questi attacchi sono assolutamente reali e vengono messi in pratica.

La carta Tangem non ha uno schermo proprio. Inserite indirizzo e importo sullo smartphone, che passa la transazione alla carta per la firma. Un telefono infetto può mostrarvi «Trasferimento di 100 USDT alla mamma», ma inviare al chip un trasferimento di tutti i $50 000 al wallet dell’hacker.

Il chip firmerà diligentemente il trasferimento. La chiave non ha lasciato la carta, la crittografia ha funzionato alla perfezione: solo che i soldi sono finiti ai criminali. È la firma alla cieca. Qui la protezione del chip funziona come il bloccasterzo di un’auto rubata: il volante è bloccato, ma l’auto è stata semplicemente caricata su un carro attrezzi.

Mitilena Air sposta la firma su un telefono separato, senza internet e con il proprio schermo. La richiesta passa tramite codice QR o segnale audio. Sullo schermo di quel telefono controllate l’indirizzo del destinatario e l’importo, poi avvicinate la carta. Se lo smartphone principale ha sostituito i dati nella richiesta, vedrete l’indirizzo estraneo e non firmerete il trasferimento. La transazione firmata torna al telefono principale per essere inviata alla rete.

Il laboratorio Ledger Donjon ha mostrato pubblicamente un attacco laser a Tangem: i ricercatori hanno impostato sulla carta una nuova password senza conoscere quella vecchia e senza una seconda carta. Dopo l’attacco, la carta consentiva di firmare trasferimenti. È un risultato di laboratorio già pubblicato e riprodotto.

Mitilena dispone di una modalità di archiviazione protetta che funziona con le proprie carte DESFire EV3 certificate EAL5+. Questa modalità è disattivata per impostazione predefinita. Quando viene attivata, i dati sono protetti su due livelli.

Il primo livello è l’autenticazione hardware del chip stesso della carta. Il file del wallet è bloccato a livello del file system del chip DESFire EV3: a qualsiasi tentativo di leggere semplicemente la memoria con un normale lettore NFC, la carta risponde con un rifiuto di accesso hardware e non trasmette nell’etere nemmeno un byte. Perché il chip consenta la lettura, il telefono deve superare un handshake crittografico reciproco basato su una sfida casuale monouso generata dal chip stesso. Il secondo livello è la frase seed cifrata al suo interno. Anche dentro il file protetto i dati non sono in chiaro, ma sotto forma di testo cifrato AES-256 (PBKDF2-SHA256 con 100 mila iterazioni), creato ancor prima della scrittura sul supporto.

Così, anche se in un laboratorio costoso si riesce a mettere fuori gioco con un laser o un picco di tensione il controllo di accesso hardware del chip DESFire, la frase seed non si rivela da sola. Tutto ciò che l’attaccante ottiene dalla memoria del chip è il secondo strato corazzato: testo cifrato AES-256 per cui serve comunque la password.

Con Tangem, dopo un simile aggiramento, non serve una decifratura separata: è la carta stessa a firmare le transazioni. L’aggressore non deve nemmeno estrarre la chiave privata. In Mitilena la carta si limita a conservare dati cifrati: poterli leggere non significa ancora poter firmare un trasferimento.

Per violare il wallet nello scenario descritto, devono verificarsi contemporaneamente due condizioni nella vostra vita:

1. Qualcuno deve raggiungere fisicamente la vostra carta, prenderla dalla tasca o dal tavolo e copiarne il contenuto cifrato.
2. Queste persone devono disporre della potenza di calcolo necessaria per provare tutte le combinazioni su quei dati. Nel nostro esempio ipotetico, una farm di cento potenti schede video.

In Mitilena si può impostare una password in russo o in un’altra lingua, usando numeri ed emoji di qualsiasi tipo. Maiuscole e minuscole sono distinte. La lunghezza massima è di 12 caratteri visibili. Si possono mescolare alfabeti diversi ed emoji nella stessa password.

Per verificare ogni possibile password, il programma esegue 100 mila iterazioni di calcolo: è così che funziona il PBKDF2-SHA256 utilizzato da Mitilena. Questo rallenta ogni tentativo.

Supponiamo che la stessa persona che ha accesso alla vostra carta fisica, per un’incredibile coincidenza, quasi da favola, abbia anche a disposizione cento schede video RTX 5090 per attività illecite. Per una normale situazione quotidiana sembra un’assurdità, ma ammettiamolo.

Per tutte le cento RTX 5090 assumiamo una velocità complessiva stimata di 10 milioni di verifiche di password al secondo. La stima ricavata dal benchmark RTX 5090 è stata ricalcolata per cento schede e 100 mila iterazioni di PBKDF2-SHA256, con una distribuzione ideale del lavoro.

• 12 caratteri casuali fra lettere inglesi e cifre, distinguendo maiuscole e minuscole: in media oltre 5 milioni di anni di tentativi.
• 12 caratteri casuali fra lettere inglesi, russe e cifre, sempre distinguendo maiuscole e minuscole: in media oltre 30 miliardi di anni.

E questo senza ancora contare emoji e altri alfabeti, anch’essi utilizzabili nella password.

E se attivate il formato protetto DESFire EV3 prima di scrivere la carta, tutta quell’immaginaria farm di cento RTX 5090 resta semplicemente senza lavoro. Per mettere le schede video a provare password, l’attaccante deve prima leggere il file cifrato dalla carta. Ma il chip DESFire EV3 non consegna nemmeno un byte del file finché non si completa l’autenticazione hardware reciproca. Intercettare lo scambio radio e «parsarlo» per un attacco offline è altrettanto impossibile: in ogni sessione il chip genera internamente una sfida casuale monouso che non contiene né un testo cifrato fisso né una struttura di dati verificabile su GPU. L’unico modo per provare anche un solo candidato di password è inviare fisicamente un comando tramite il canale radio al chip stesso della carta e aspettarne la risposta.

Per questo, con il formato protetto DESFire attivato in Mitilena, per proteggervi dai tentativi diretti potete usare una password più semplice: la velocità dei tentativi è limitata senza sconti dalla fisica della carta stessa. Calcolando 30 ms per tentativo, il tempo medio per trovare una password composta da caratteri scelti casualmente fra lettere inglesi e cifre, distinguendo maiuscole e minuscole, è di oltre mille miliardi di anni per 12 caratteri, circa 27 anni per 6 caratteri. La modalità è supportata dalle carte blu con marchio Mitilena e dalle DESFire EV3 compatibili senza marchio.

Chi garantisce che nel chip non ci sia una backdoor? Quando la fabbrica produce Tangem, produce un wallet crypto riconoscibile. Reparto di assemblaggio, confezionamento, magazzino logistico, dogana, corriere: in tutte queste fasi il prodotto e l’imballaggio rivelano che si tratta di un dispositivo su cui le persone conserveranno migliaia e milioni di dollari.

Nell’ottobre 2026 il mercato crypto è stato scosso da uno scandalo Ledger: in un wallet acquistato da CryptoBilis è stato trovato un modulo hardware nascosto. Secondo la stima di Bitquery, i clienti di quel rivenditore hanno perso oltre $100 milioni. Subito dopo sono arrivate segnalazioni su un Ledger sospetto acquistato da MediaMarkt, una delle catene di elettronica più grandi e affidabili d’Europa. Non una bancarella poco raccomandabile, ma un negozio dove milioni di persone comprano tecnologia senza pensarci due volte. E questo è solo ciò che è già venuto a galla. I numeri non sono definitivi, e nessuno sa dove altro siano finiti dispositivi simili. Ne abbiamo approfondito i dettagli nell’articolo sull’impianto hardware nei Ledger.

In Tangem la carta è sigillata nella plastica e il firmware è chiuso. Non potete neppure ispezionare la scheda elettronica senza aprire la carta. Al compratore resta solo fidarsi del produttore e del fatto che il dispositivo abbia attraversato tutta la catena di fornitura senza manomissioni.

Mitilena funziona in modo radicalmente diverso.

Qui il supporto funziona come una cassaforte: non genera le chiavi del wallet e non firma transazioni, ma conserva dati che avete già cifrato.

Mitilena usa chip NFC industriali di largo consumo, NTAG216 e DESFire EV3: le stesse famiglie impiegate per badge, biglietti e altre attività comuni. Il supporto, da solo, non rivela che intendete conservarvi un wallet.

Ma soprattutto, la chiave non viene generata in una fabbrica altrui né dentro la carta. La frase seed nasce sul vostro dispositivo: se volete una sicurezza da paranoici, potete crearla tramite Mitilena Air su un dispositivo separato, offline e senza internet. Sulla carta vengono scritti dati cifrati con AES-256 usando un salt casuale univoco e la vostra password personale.

In Mitilena tutta la crittografia poggia su librerie JS aperte popolarissime. Ci girano le app bancarie, le app di messaggistica e i browser di miliardi di persone. Sono collaudate.

E ora il chip chiuso di Tangem. Il suo codice si scrive da zero oppure si mette insieme con un set di strumenti molto limitato per la programmazione a basso livello, con cui lavora lo 0,1% di tutti i programmatori. Non ci sono miliardi di utenti che segnalano bug, e nemmeno migliaia di ricercatori, perché il codice è blindato da un NDA.

Google e Apple verificano ogni versione di Mitilena prima della pubblicazione. Non vi fidate nemmeno di loro? Scaricate l’APK separato, smontatelo con un disassembler ed eseguitelo dietro un firewall: vedrete da soli che cosa fa e a cosa si collega.

In Mitilena Air la frase seed viene creata localmente secondo lo standard aperto BIP39 con la libreria JS più diffusa e collaudata, che usa l’entropia del vostro browser e, se non basta, lancia un errore e non lascia creare la chiave. In più, Air vive su un telefono separato senza internet, e su Android la rete è disattivata direttamente nei permessi dell’app. Le transazioni passano tramite codici QR o suono. Anche l’APK di Air potete smontarlo da soli.