Cos’è il rischio di custodia?
Il rischio di custodia (custody risk) è la probabilità che Lei perda l’accesso al valore — o che non lo recuperi mai — a causa di chi può autorizzare la spesa e di come quella autorità viene gestita. Il rischio di custodia non è «coin che spariscono dalla chain».
Definizione
Il rischio di custodia (custody risk) è la probabilità che Lei perda l’accesso al valore — o che non lo recuperi mai — a causa di chi può autorizzare la spesa e di come quella autorità viene gestita.
In parole semplici:
Il rischio di custodia non è «coin che spariscono dalla chain». È il rischio che la persona o il sistema che può muovere i Suoi coin fallisca, congeli, menta o sia ingannato — anche quando quella persona è Lei.
Prezzo e leva poggiano sulla collocazione. La custodia decide se lo stack può ancora muoversi quando Le serve. La seconda metà della definizione è il rischio di percorso: il mark-to-market può apparire a posto mentre la via di uscita off-platform è già spezzata.
In trading
La vera domanda di trading
Per questa esposizione, su questo orizzonte, sto assumendo un fallimento di delivery della controparte o un fallimento irreversibile dell’operatore — e la size regge ancora se quel percorso si materializza?
Risponda per esposizione. Torni a rispondere dopo i salti di size e dopo i near-miss. Un solo slogan per l’intero patrimonio netto è la trappola del solo riconoscimento che questa pagina lascia alle spalle.
Due poli: modalità di fallimento opposte
| Superficie custodiale | Superficie di autocustodia | |
|---|---|---|
| Cosa Lei detiene | Un credito sul ledger di un provider | Autorità di spesa diretta (o il segreto che la ricostruisce) |
| Chi può muovere | Stack di chiavi del provider / controlli interni | Lei (e chiunque ottenga il segreto o una sessione attiva) |
| Famiglia principale di fallimento | Solvibilità, frode, hack del provider, freeze di policy, halt dei prelievi, morte da ticket ops | Perdita della seed, phishing, firma sbagliata, invio sulla network sbagliata, restore mai testato, bus factor di una sola persona |
| Dopo un fallimento duro | Spesso creditore in un processo, non «aprire l’app e inviare» | La chain può ancora mostrare l’indirizzo; il controllo può essere sparito per sempre |
| Costo di secondo ordine | Perdere l’hedge o l’uscita della settimana mentre i saldi ancora «si visualizzano» | Nessun desk di chargeback per una firma valida maligna o sbagliata |
Nessuno dei due poli è sicuro. Si rompono su orologi diversi e lasciano residui diversi.
Orologi di stress (cosa «perdita» si sente)
Percorso custodiale. Segnale → coda mentre i saldi ancora si mostrano → lock / processo di claim → mesi o anni di forma di recovery che può non ripristinare lo stesso percorso di asset di cui Lei aveva bisogno durante il movimento che ha perso.
Percorso di autocustodia. Errore di azione o perdita del device → spesso un esito on-chain irreversibile in minuti → corsa che il supporto non può invertire se la firma era valida → perdita permanente se il segreto è sparito.
Usi gli orologi per dimensionare le esposizioni. Non valuti solo la reputazione del brand.
Spettro di collocazione (dove siedono i prodotti reali)
La maggior parte degli stack non è un binario puro. La collocazione è una linea:
Account pienamente custodiale → saldo custodiale basso in standing con prelievi esterni di routine → controllo spezzato da policy (multi-sig / regole di vault istituzionale) → venue wallet-first (Lei autorizza) → cold offline con un restore testato.
Muovere a destra di solito taglia il rischio classico di IOU dell’exchange e alza l’asticella sul Suo processo. Muovere a sinistra compra comodità ed esposizione di controparte. Multi-sig e policy di vault non sono un alone: scambiano il rischio di chiave unica per rischio di cerimonia e governance. Wallet-first non è zero: scambia il rischio da creditore per rischio di firma, phishing, sessione e contratto (tassonomia del contratto → Cos’è il rischio di smart contract?).
Design delle esposizioni (un lavoro per casa)
| Esposizione | Lavoro | Bias di casa | Si rompe per prima quando… |
|---|---|---|---|
| Float di trading | Solo le prossime sessioni | Venue o wallet caldo, deliberatamente capped | Freeze, coda, phishing, approvazione sbagliata |
| Vault | Idle / multi-anno | Cold o autocustodia strettamente controllata | Segreto perso, distruzione in un solo luogo, restore mai testato |
| Buffer di ramp | Fiat in/out | Spesso rail custodiali per necessità | Hold di compliance, gap del wire nel weekend |
| Deposito di protocollo | Earn / esposizione strutturata | Contratti (+ a volte wrapper annidati) | Exploit, freeze di bridge, secondo custode nascosto |
L’ibrido riduce la concentrazione. Aggiunge un problema di coordinamento: vault a posto ma niente token di fee sul hot; venue congelato ma percorso di refill mai provato; cold intatto ma l’unica persona che può fare restore è offline. Tratti il coordinamento come parte del rischio di custodia, non come un ripensamento ops.
Size, orizzonte, maturità (le variabili che ribaltano il tradeoff)
| Variabile | Come cambia la matematica di custodia |
|---|---|
| Size | Un saldo di apprendimento può razionalmente assumersi un po’ di rischio di controparte. Una size che cambia la vita rende la coda di fallimento più costosa della disciplina del vault. |
| Orizzonte | L’intraday ha bisogno di uptime del percorso di uscita. Il multi-anno ha bisogno di durabilità del backup. Le settimane di evento hanno bisogno di una migrazione provata prima dell’evento. |
| Maturità di processo | Un restore mai provato significa che Lei non ha un vault. Una seed condivisa tra hot e vault significa che il vault è hot nella matematica di rischio. |
Ricalcoli quando qualsiasi variabile salta. I default scadono.
Scene lavorate (giudizio, non slogan)
A — Float di apprendimento su un venue.
Size capped che Lei potrebbe sopravvivere come un credito lungo. Razionale. Il fallimento è scalare quell’abitudine senza cambiare casa.
B — Stack idle che cambia la vita ancora dietro un login quotidiano.
Nessun lavoro di trading, orologio pieno di controparte. La correzione è un piano di migrazione calmo e una prova di restore — non un trasferimento di panico durante una corsa.
C — Vault solido, float compromesso.
Il cold non salva la settimana di trading a meno che esista un percorso di refill limitato che non trascini mai le chiavi del vault in ogni sessione del browser.
D — Float wallet-first firmato con la seed del vault.
Il rischio IOU è sceso; il rischio di rovina dell’operatore è tornato. L’architettura sembrava di autocustodia; il processo era ancora a un prompt di distanza dalla perdita totale.
Superfici residue sui venue wallet-first
I percorsi di autocustodia / wallet-first (inclusi venue come edgeX) riducono il rischio di «IOU sul saldo della società» quando è la Sua autorizzazione a muovere i fondi. Indicatori residui che contano ancora:
- payload sbagliato / firma alla cieca
- frontend clonato
- approvazioni permanenti e sessioni stale
- outage di host o di UX di matching che bloccano l’accesso anche quando le chiavi sono sane
- network o rail di bridge sbagliati mentre un’altra vista dell’explorer ancora «sembra funded»
- rischio di protocollo su qualsiasi gamba di deposito (handoff: rischio di smart contract)
Se la Sua checklist chiede solo «è un CEX?», Lei è ancora sul vecchio indicatore.
Monitoraggio (cosa falsificare)
Valuti ogni esposizione materiale contro fatti che Lei può controllare — non contro i badge.
| Monitor | Un pass appare così | Un fail appare così |
|---|---|---|
| Mappa dell’autorità di spesa | Lei può nominare chi può muovere questa esposizione | «L’app può, immagino» |
| Drill di uscita | Recente invio piccolo off-platform / restore su device pulito | Mai testato; basato sulla speranza |
| Lock vs libero | Lei conosce gli hold dopo i cambi di sicurezza | Saldo visibile = assunto liquido |
| PoR / brand / assicurazione | Trattati solo come segnali deboli | Trattati come make-whole |
| Yield su idle custodiale | Lei sa cosa stanno facendo gli asset | APY come prova di sicurezza |
| Separazione chiavi hot vs vault | Segreti diversi; vault offline di default | Una sola seed per tutto |
| Superficie di approvazione / sessione | Revoca periodica; minimo privilegio | Allowance unlimited per sempre |
| Policy / giurisdizione | Lei sa che il freeze è possibile anche da solvente | «Solvente significa che posso prelevare» |
| Bus factor | Cerimonia a due persone o documentata dove la size lo richiede | Un viaggiatore, un laptop |
| Coordinamento | Buffer di token di fee + ordine scritto dei movimenti sotto stress | Vault perfetto, float inutilizzabile |
Default condizionali (parta da qui, poi aggiusti)
- Se il saldo ferirebbe come un credito multi-anno → non lo lasci come float custodiale permanente.
- Se il restore non è mai stato provato → non scali l’esposizione di vault.
- Se hot e vault condividono una seed → li prezzi come una sola superficie hot.
- Se wallet-first ha sostituito un IOU di CEX → aggiunga monitor di approvazione e phishing nella stessa settimana.
- Se la size è salita con forza → rifaccia lo split anche se i prodotti non sono cambiati.
- Se una sola persona può muovere capitale di vault a size che cambia la vita → il bus factor è nel prezzo del rischio.
Mosse di design
- Nomini il lavoro dell’esposizione prima di scegliere la casa.
- Limiti ogni casa a un fallimento che Lei può sopravvivere (storia di claim vs storia di wipe).
- Provi restore e un piccolo prelievo esterno prima di scalare.
- Tenga le chiavi del vault fuori dai prompt quotidiani di connect.
- Preferisca wallet-first per il capitale di trading attivo quando può sostenere l’igiene di firma e il venue si adatta allo stile.
- Tenga un buffer di ramp deliberato così la disciplina del vault non collide con bisogni fiat improvvisi.
- Scriva una volta, da calmo, un breve ordine di operazioni sotto stress; lo aggiorni dopo incidenti e cambi di size.
Non confonda con
- Rischio di prezzo — il mark può muoversi mentre il controllo resta intatto; il controllo può morire mentre il mark è a posto.
- Rischio di smart contract — adiacente sui depositi di protocollo; indicatore diverso.
- Rischio di liquidità — non poter uscire dalla size sul mercato ≠ non poter autorizzare un movimento; correlati, non identici.
- KYC — policy di accesso; può interagire con i freeze; non è la definizione di custodia.
- Badge PoR / assicurazione — segnali e contratti con tetti, non prova di un prelievo personale tempestivo.
- Marketing «non-custodial» — verifichi se la Sua chiave autorizza ancora la spesa, o se un ledger interno resta tra Lei e il settlement.
- Multi-sig / policy di vault — un design di custodia con rischio di cerimonia, non sicurezza automatica.
- Wallet-first — cambia quale fallimento Lei assume; non cancella l’indicatore.
Condividi
%22%3E%0A%3Cg%20id%3D%22Vector%22%3E%0A%3C%2Fg%3E%0A%3Cpath%20id%3D%22Vector_2%22%20d%3D%22M16.019%200.266683H19.0858L12.3853%208.17352L20.2669%2018.9334H14.0959L9.26187%2012.407L3.7315%2018.9334H0.661664L7.82766%2010.4758L0.266927%200.266683H6.59486L10.9643%206.23078L16.0179%200.266683H16.019ZM14.941%2017.0376H16.6404L5.67179%202.06208H3.8479L14.941%2017.0376Z%22%20fill%3D%22%23808080%22%2F%3E%0A%3C%2Fg%3E%0A%3Cdefs%3E%0A%3CclipPath%20id%3D%22clip0_0_97%22%3E%0A%3Crect%20width%3D%2219.2%22%20height%3D%2219.2%22%20fill%3D%22white%22%2F%3E%0A%3C%2FclipPath%3E%0A%3C%2Fdefs%3E%0A%3C%2Fsvg%3E%0A)
Articoli correlati
Pronto per il prossimo passo?
Continua alla registrazione o al trading da questa pagina usando i link ufficiali.
Disclaimer
Questo contenuto ha solo scopo educativo e non costituisce consulenza in materia di investimenti. Il trading di asset digitali e derivati comporta rischi. Assicurati di comprendere i prodotti e valuta la tua situazione prima di fare trading.
