Abbiamo avuto il piacere di conoscere BitVault all’ultima edizione del PlanB Forum di Lugano nel 2025, evento che ha raccolto i nomi più influenti del Bitcoin europeo. BitVault è un wallet open source nativo Bitcoin che combina multisig miniscript con time delay programmabili (2 ore-15 giorni), progettato per proteggere gli HODLer da rapine fisiche e hack digitali. Non custodial, hardware-first e pronto per enterprise, si posiziona come layer universale di sicurezza. Sito ufficiale: bitvault.sv.
Ecco l’intervista a Francesco Madonna, CEO di BitVault.
BitVault nasce da una consapevolezza precisa: i wallet tradizionali non bastano più. Da dove arriva questa convinzione? C’è stato un episodio specifico che ti ha fatto capire che la sicurezza fisica degli HODLer di Bitcoin era ancora irrisolta?
Questa convinzione arriva da un’esperienza molto concreta, non da una teoria astratta. Io sono nel mondo Bitcoin da una decina d’anni e in tutto questo tempo ho visto di tutto: imbrogli, truffe, situazioni borderline, proposte ambigue e, più in generale, un livello di rischio che nel tempo si è solo evoluto, diventando più sofisticato. Una volta, soprattutto nei primi anni, si ragionava in un ambiente fatto di meetup, incontri informali, scambi tra persone spesso sconosciute. Oggi c’è l’ETF, c’è più istituzionalizzazione, ma i problemi di fondo non sono spariti, si sono soltanto spostati di livello. Nel mio caso l’episodio che mi ha davvero fatto scattare qualcosa nella testa risale al 2020-2021. Mi contattarono dei soggetti che si presentavano come investitori, ma in realtà erano una gang organizzata che stava cercando di individuare il bersaglio giusto da spennare. La cosa già puzzava da lontano, perché mi dissero che stavano arrivando da Dubai ma volevano vedermi a Roma, senza fare call, senza passaggi intermedi, senza nessun minimo di due diligence reciproca. E allora io, che comunque ero già abituato a fiutare certe situazioni, decisi di andarci ma con la massima prudenza: mi organizzai, pagai perfino una guardia armata che mi seguisse con la pistola, una scena quasi da film, ma purtroppo non così lontana dalla realtà del settore in quegli anni. L’incontro avvenne in un posto pubblico, con telecamere e con tutte le attenzioni del caso, e loro si presentarono come commercianti di diamanti svizzeri, con tanto di numero svizzero. Sembrava credibile, ma poi bastava osservare i dettagli per capire che qualcosa non tornava: anelli, abiti, atteggiamento, tutto lasciava intuire che fosse una messinscena. Alla fine arrivarono al punto: volevano che io mettessi circa 200.000 euro in un wallet, controllato da me ma indicato da loro, come parte di un investimento da un milione. Mi dissero persino che avrei dovuto scaricare il wallet su iPhone, come se bastasse questo a rendere tutto affidabile. Quella fu la prima vera sirena d’allarme. E la cosa che mi colpì davvero fu che il wallet in questione era famosissimo, ma non fully open source. Io poi, in quel momento, mi tirai indietro con una scusa classica, dicendo che il board non aveva ancora deciso. Però il dubbio era rimasto: o volevano veramente truffarmi, o volevano portarmi su un wallet legittimo per poi colpirmi fisicamente e prendermi i fondi. Non c’erano molte altre interpretazioni possibili. Solo mesi dopo, tra luglio e agosto del 2023, scoprii che avevo avuto ragione a preoccuparmi: uscì un blog post che poi venne cancellato, come spesso succede quando qualcuno paga per far sparire il passato, e lì si spiegava che proprio tra febbraio e marzo di quell’anno quel wallet aveva avuto un bug serio e alcune persone avevano perso i fondi. La lezione che ne ho tratto è stata molto semplice: non bisogna mai fidarsi di un wallet che non sia completamente open source. Quella è stata la vera origine di BitVault.
Il time delay transaction è la svolta. Multisig con delay personalizzabili da 2 ore a 15 giorni. Spiega in modo semplice come funziona e perché è un salto rispetto ai multisig classici. Cosa succede se qualcuno ti costringe fisicamente a firmare?
Per capire BitVault bisogna partire da un concetto semplice: in banca la sicurezza non si limita alla porta blindata o al caveau, ma comprende anche il tempo. I lingotti d’oro, o comunque i beni di grande valore, vengono custoditi in casseforti temporizzate, e questo non è un dettaglio secondario. È un principio di difesa che ha funzionato per decenni, inventato negli anni ’40 negli Stati Uniti, e che ha contribuito a ridurre in maniera drastica il numero delle rapine agli sportelli e ai caveau. Io ho voluto prendere quel concetto e portarlo on-chain, dentro Bitcoin, usando miniscript. Miniscript è una specie di linguaggio più leggibile, più sicuro e più robusto rispetto al classico Bitcoin Script, perché permette di costruire condizioni complesse in modo predefinito, compilato e verificabile. Quando si lavora con il Bitcoin Script puro, ogni errore di programmazione può diventare un problema enorme; con miniscript, invece, molte condizioni sono già codificate, quindi il margine di errore umano si riduce molto. BitVault utilizza questa logica per costruire quello che io chiamo una cassaforte temporizzata: hai due chiavi in mano all’utente e una terza chiave legata al convenient service. L’utente imposta un time delay che può andare da un minimo di due ore fino a un massimo di 15 giorni, e quel tempo diventa una protezione irreversibile. Una volta deciso, non si può più cambiare a piacimento, e soprattutto non si può bypassare. Questo significa che se una persona viene minacciata fisicamente e costretta a firmare una transazione, la firma può anche essere eseguita, ma i fondi non escono subito: restano bloccati fino alla scadenza del time delay. Durante quel periodo l’utente può attivare una notifica segreta su Telegram verso persone fidate, così da avvertirle in caso di coercizione o di rapimento, e nel frattempo anche l’attaccante vede sul device che il denaro non è disponibile immediatamente. Questo è cruciale, perché il sistema deve diventare evidente anche per chi prova ad attaccare: il principio di Kerckhoffs dice che la sicurezza non deve basarsi sul segreto del meccanismo, ma sulla sua robustezza pubblica. Il countdown visibile sull’iPhone, nel primo prodotto BitVault, serve proprio a questo: l’attaccante non deve fidarsi della parola della vittima, deve vedere lui stesso che il sistema blocca la transazione. A quel punto, il risultato più probabile è che si accontenti del decoy wallet, che è una strategia di distrazione utile proprio per salvare tempo e vite. Il risultato è che BitVault non promette solo non-custodial, ma introduce una vera deterrenza fisica e tecnica insieme. E in Bitcoin questo è fondamentale, perché dire a un utente che il suo asset è sicuro mentre nella realtà può perdere tutto in un istante, per hack o per coercizione, è una contraddizione che l’ecosistema non può più permettersi
BitVault si posiziona come layer aggiuntivo compatibile con hardware wallet come Jade Plus e Keystore, non come sostituto. Qual è la filosofia dietro questa scelta? State puntando a diventare uno strato di sicurezza universale sopra qualsiasi wallet air-gapped?
Assolutamente sì, ma con molta prudenza. Nella prima release BitVault non può e non deve affidarsi alle mobile keys del telefono come se bastassero da sole, perché su importi importanti io non mi fiderei mai di una chiave privata generata e conservata su smartphone. Anche con le migliori protezioni, come la lockdown mode, il telefonino resta comunque un ambiente molto più fragile rispetto a un hardware wallet con display e conferma visiva del destination address. Per questo l’iPhone app, nella nostra prima implementazione, non è il custode dei fondi ma il coordinatore del sistema: si collega agli hardware wallet, organizza il flusso e lascia che la firma vera avvenga lì. Abbiamo scelto Jade Plus e Keystore perché sono soluzioni open source, Bitcoin only, air-gapped via QR e con verifica diretta sul display. Sono le due opzioni più solide per chi vuole un setup veramente serio. Jade la sconsigliamo nella versione vecchia, mentre Jade Plus ha una camera molto migliore. La logica è semplice: BitVault non deve sostituire la sicurezza già esistente, ma mettersi sopra, come livello aggiuntivo che rende la custodia più resistente a coercizione, errori e pressione fisica. E il bello è che questa architettura può diventare universale, perché il nostro SDK in Rust è pensato per integrarsi facilmente in contesti diversi, dai wallet ai servizi B2B.
Il vostro tier enterprise include HSM self-hosted, API access e opzioni white label. Chi è il cliente istituzionale ideale per BitVault oggi? State già lavorando con aziende, family office o fondi che gestiscono Bitcoin in tesoreria?
Sì, e il punto è proprio questo: quando i fondi diventano importanti, anche la sicurezza deve alzarsi di livello. Il cliente ideale per noi è un family office, un financial advisor, una struttura para-bancaria o comunque un soggetto che già oggi gestisce Bitcoin in modo professionale e ha bisogno di offrirlo ai clienti con un livello di protezione superiore. Per loro il semplice Umbrel non basta, perché serve qualcosa di più robusto, come un HSM, AWS Nitro o altre secure enclave, a seconda della dimensione dell’operazione. Noi infatti stiamo già parlando con family office svizzeri, anche con operatività in Italia, e la cosa interessante è che hanno capito subito il valore della proposta. Il loro incentivo è chiaro: se io posso offrire un servizio di sicurezza invece di limitarmi a consigliare un ETF, posso anche monetizzarlo, creare una fee, costruire una relazione più forte con il cliente. E questo, paradossalmente, allinea gli incentivi del mondo tradizionale con quelli del self-custody. Invece di incentivare la custodia centralizzata, li spingiamo a promuovere la custodia personale ma in modo professionale. È la prima volta che vedo una tecnologia che rende conveniente per un intermediario lavorare davvero per Bitcoin e non contro la sua logica originaria.
La scelta del dominio .sv è un omaggio a El Salvador. Quanto ha influito questa geografia simbolica nel progetto e come vedi il rapporto con l’ecosistema Bitcoin che ruota attorno al paese di Bukele?
Il dominio .sv è un omaggio, prima di tutto. A Bukele, alla community e a un paese che in pochi anni ha fatto più di tanti altri per l’adozione di Bitcoin. El Salvador e Lugano, per me, sono due fari: uno in America e uno in Europa. Sono due luoghi che hanno dato un messaggio forte, molto concreto, sul fatto che Bitcoin non è solo teoria, ma può essere anche infrastruttura reale, politica economica, cultura. Il nostro motto, ‘beyond keys protect humans’, prende forma anche lì, perché in certi contesti il problema della sicurezza fisica non è teorico, è reale. E se una soluzione come BitVault può aiutare una persona a custodire meglio i propri fondi in un ambiente più delicato, allora il collegamento con El Salvador non è solo simbolico, è coerente con la missione. Non abbiamo altri legami strutturali con il paese, ma il richiamo è importante: è un modo per dire che la sicurezza non è un accessorio del Bitcoin, è parte della sua adozione.
Francesco Madonna non ha semplicemente progettato un wallet, ma ha provato a riscrivere il rapporto tra sicurezza, paura e possesso nel mondo di Bitcoin, portando il self-custody a un livello in cui la deterrenza non è più solo digitale ma anche psicologica e fisica. Se il mercato comprenderà davvero la portata di questa intuizione, BitVault potrebbe diventare uno di quei prodotti che non si limitano a risolvere un problema: cambiano il modo stesso in cui il problema viene percepito. E a quel punto, per chi prova ad attaccare un holder, il conto non sarà più soltanto economico, ma anche strategico.
