Il tooling per React Native ha avuto un vero momento di gloria tra le nostre stelle GitHub tra metà agosto e metà settembre - quindi, invece di distribuirle nei soliti riepiloghi mensili, gli dedichiamo un post tutto loro. La maggior parte proviene dal team Margelo, che è silenziosamente diventato una delle forze più importanti dell'ecosistema dei moduli nativi per RN. Ecco le 10 librerie da aggiungere al tuo stack.

1. react-native-runtimes - Esegue componenti React Native pesanti e logica di business in runtime Hermes isolati, senza bloccare il thread JS principale. (562 stelle)
2. Nitro - Moduli nativi C++, Swift o Kotlin incredibilmente veloci, con un layer di binding compilato staticamente. (1.9k stelle)
3. react-native-worklets-core - Esegue funzioni JS ("Worklet") su thread separati. (791 stelle)
4. react-native-quick-crypto - Un'implementazione veloce del modulo crypto di Node, scritta in C/C++ tramite JSI. (1.1k stelle)
5. react-native-vision-camera - Una libreria per fotocamera potente e ad alte prestazioni per React Native. (9.6k stelle)
6. react-native-skia - Grafica React Native ad alte prestazioni, basata su Skia. (8.6k stelle)
7. react-native-continued-task - Task in background che continuano a essere eseguiti anche quando l'app è in secondo piano, per React Native ed Expo. (222 stelle)
8. react-native-mmkv - Lo storage chiave/valore più veloce per React Native, circa 30 volte più veloce di AsyncStorage. (8.5k stelle)
9. react-native-multithreading - Multithreading veloce e semplice per React Native tramite JSI. (1.2k stelle)
10. react-native-keychain - Accesso al keychain per React Native. (3.5k stelle)

Se nel 2026 stai rilasciando un'app React Native, questa lista è praticamente uno starter kit per il layer di performance nativa del tuo stack.

Le stelle di settembre si sono orientate verso classici di system design, infrastrutture per agenti AI e un paio di chicche UI. Ecco i 10 progetti open-source che si sono distinti di più finora questo mese (fino al 15). (Abbiamo anche dedicato un post a parte all'ondata di tooling per React Native che ha conquistato le nostre stelle in questa stagione.)

1. system-design-primer - La bibbia del system design: impara a progettare sistemi su larga scala e a prepararti per il colloquio. (370.1k stelle)
2. LocalSend - Alternativa open-source e cross-platform ad AirDrop, per inviare file tra qualsiasi dispositivo sulla stessa rete. (91.6k stelle)
3. Headroom - Comprime output di tool, log, file e chunk RAG prima che raggiungano l'LLM, con oltre il 20% di token in meno. (72.2k stelle)
4. crewAI - Framework per orchestrare agenti AI autonomi e con ruoli definiti che collaborano per portare a termine lavoro reale. (58.6k stelle)
5. Cobalt - "Il modo migliore per salvare ciò che ami": scarica video e audio dalle piattaforme social, senza pubblicità né tracciamento. (43.2k stelle)
6. changedetection.io - Rilevamento di modifiche ai siti web self-hosted, avvisi di ristock e monitoraggio. (34.2k stelle)
7. VSCodium - Release binarie di VS Code, private del branding, della telemetria e della licenza Microsoft. (33.2k stelle)
8. VoiceStudio - Alternativa open-source ed eseguita interamente in locale a ElevenLabs per clonazione vocale, doppiaggio e audiolibri. (30.1k stelle)
9. Coss - Il design system open-source ufficiale dietro l'interfaccia di Cal.com. (10.6k stelle)
10. transitions.dev - Una raccolta curata delle transizioni UI più essenziali per le web app. (4.2k stelle)

Questa è la lista di settembre (per ora) - torna a fine mese per il resto, più il riepilogo di ottobre.

August's stars leaned heavily on AI agent tooling and everyday dev-workflow essentials, with a couple of blockchain/wallet picks thrown in. Here are the 10 open-source projects that stood out the most this month. (Curious about React Native? We dedicated a whole post to this season's RN tooling wave.)

1. shadcn/ui - Composable, accessible UI components with thoughtful defaults, build your own component library on top of Radix and Tailwind. (123.8k stars)
2. FastAPI - High-performance Python web framework, easy to learn, fast to code, ready for production. (102.3k stars)
3. free-for-dev - A massive curated list of SaaS, PaaS and IaaS offerings with free tiers for developers and infra folks. (137.4k stars)
4. DeepSeek Harness - "Everything is a plugin": DeepSeek's own agent harness for building and running coding/AI agents. (224.8k stars)
5. Prisma ORM - Next-generation ORM for Node.js and TypeScript, supporting Postgres, MySQL, MariaDB, SQL Server and more. (47.6k stars)
6. Zustand - Minimal, unopinionated state management for React that just gets out of your way. (58.7k stars)
7. Dolt - "Git for Data": a SQL database you can fork, clone, branch, merge and diff like a Git repo. (24.4k stars)
8. WDK - Tether's modular plug-in framework for building multi-chain wallets, simplifying wallet development end to end.
9. oh-my-pi - A coding agent with the IDE wired directly in. (31.2k stars)
10. Starlight - Build beautiful, accessible, high-performance documentation sites with Astro. (9.2k stars)

That's a wrap for August - see you next month for the September roundup.

Nel 2026 uno dei trend più concreti dell'intero settore crypto non riguarda un nuovo meme coin, ma la tokenizzazione degli asset del mondo reale, i cosiddetti RWA (Real World Assets). Secondo i dati raccolti da CoinGecko, il valore complessivo degli RWA tokenizzati on-chain ha raggiunto circa 19,3 miliardi di dollari entro il primo trimestre 2026, con una crescita del 256,7% rispetto ai 5,42 miliardi di inizio 2025. Di questo totale, i buoni del Tesoro USA tokenizzati (T-Bills) da soli valgono circa 14,32 miliardi di dollari, il 67,2% del mercato, mentre le azioni tokenizzate, un segmento nato appena a metà 2025, hanno già superato i 487 milioni di dollari di controvalore.

In questo articolo vediamo come funzionano tecnicamente i T-Bills e le azioni tokenizzate, quali sono i provider più rilevanti del mercato e quali vantaggi concreti offrono rispetto all'acquisto tramite un broker o una banca tradizionale, senza tralasciare i rischi e i limiti da conoscere.

Cosa sono gli RWA e perché le istituzioni ci stanno entrando

Con RWA si intende la rappresentazione on-chain, tramite token, di un asset che esiste nel mondo reale: un titolo di stato, una quota di un fondo monetario, un'azione quotata, un immobile o persino una fattura commerciale. Tecnicamente, la maggior parte di questi token non è un semplice ERC-20 liberamente trasferibile a chiunque: si tratta spesso di token permissioned, costruiti su standard come ERC-3643, che integrano whitelist KYC/AML a livello di smart contract, così che il trasferimento avvenga solo tra wallet verificati e autorizzati dall'emittente.

Dietro ogni token c'è quasi sempre una struttura legale tradizionale: un fondo regolamentato, un broker-dealer o un custode che detiene fisicamente l'asset sottostante (i T-Bill, le azioni), mentre il token rappresenta il diritto economico su quella quota. La tokenizzazione, in altre parole, non elimina l'intermediazione regolamentata: la rende programmabile e trasferibile su blockchain pubbliche, riducendo attriti di settlement e aprendo l'accesso 24/7. È per questo che player come BlackRock, Franklin Templeton e Fidelity vi stanno investendo: non si tratta di un prodotto crypto nativo, ma di un nuovo layer di distribuzione per prodotti finanziari già esistenti.

Come funzionano i T-Bill tokenizzati

Un T-Bill tokenizzato è tipicamente la quota di un fondo (money market fund o fondo governativo a brevissima scadenza) che investe esclusivamente in buoni del Tesoro USA e liquidità equivalente. Esistono due modelli tecnici principali. I token rebasing, come BUIDL e BENJI, mantengono un prezzo fisso a 1 dollaro e distribuiscono il rendimento maturato accreditando periodicamente nuovi token nel wallet del detentore, in modo simile a un conto che matura interessi. I token yield-bearing, come USDY di Ondo, mantengono invece una quantità fissa di token ma il loro prezzo sale gradualmente nel tempo, incorporando il rendimento nel valore stesso del token: un approccio spesso più efficiente dal punto di vista fiscale per chi detiene a lungo termine, perché genera un solo evento di capital gain alla vendita invece di eventi imponibili ricorrenti.

Una volta emessi, questi token possono essere trasferiti tra wallet autorizzati, usati come collaterale in protocolli DeFi istituzionali o integrati direttamente nella tesoreria di una DAO o di un'azienda crypto-native, cosa impossibile con una quota di fondo monetario tradizionale.

I principali provider di T-Bill tokenizzati

Il mercato è dominato da pochi grandi player, con i primi sei fondi che controllano circa l'88% del totale degli asset tokenizzati.

• BUIDL — il BlackRock USD Institutional Digital Liquidity Fund, tokenizzato dalla piattaforma Securitize, è il fondo più grande del settore con oltre 2,9 miliardi di dollari di AUM e circa il 40% di market share, distribuito su sette blockchain (Ethereum resta la principale con circa il 93% degli asset)
• BENJI — il Franklin OnChain U.S. Government Money Fund di Franklin Templeton, con circa 700-750 milioni di dollari di AUM, distribuito su Stellar, Polygon, Ethereum e Avalanche, con una delle commissioni di gestione più basse del settore (circa lo 0,15%)
• OUSG e USDY — i due prodotti di Ondo Finance: OUSG (Ondo Short-Term U.S. Government Bond Fund, oltre 500 milioni di dollari, principalmente su Ethereum ed è tra l'altro il maggior detentore di BUIDL) e USDY (Ondo U.S. Dollar Yield Token, oltre 650 milioni, disponibile su Ethereum, Solana, Arbitrum e Aptos)
• USTB — il fondo di tesoreria a breve termine di Superstate, interamente su Ethereum, pensato per un'integrazione diretta con i protocolli DeFi

Le azioni tokenizzate: la nuova frontiera

Se i T-Bill tokenizzati sono ormai un mercato maturo, le azioni tokenizzate sono il fronte più giovane e in più rapida crescita: nate come segmento riconoscibile a metà 2025, hanno già superato i 487 milioni di dollari di controvalore on-chain. I titoli più scambiati in forma tokenizzata sono azioni molto note al grande pubblico: le azioni Circle (la società emittente di USDC, quotata dal 2025) da sole rappresentano circa il 35% del volume, seguite da Tesla, Nvidia e Alphabet.

Dal punto di vista tecnico, un token azionario può seguire due modelli molto diversi tra loro. Nel primo, l'emittente detiene realmente l'azione sottostante presso un broker-dealer regolamentato e il token è un certificato di proprietà 1:1 su quella quota (è il caso di xStocks e Dinari). Nel secondo, il token è uno strumento derivato che replica sinteticamente il prezzo del titolo senza che l'emittente possieda l'azione vera e propria (è il caso, ad esempio, dei prodotti Robinhood in Europa, strutturati come contratti derivati ai sensi di MiFID II). La differenza non è solo teorica: nel secondo caso il possessore del token non ha alcun diritto diretto sull'azione sottostante, né diritto di voto.

I principali provider di azioni tokenizzate

• xStocks di Backed Finance — disponibili su Solana, Ethereum e TON, con le azioni sottostanti custodite da broker regolamentati (Alpaca Securities negli USA, InCore Bank in Svizzera); i token sono liberamente prelevabili sul proprio wallet e utilizzabili in DeFi. Il volume on-chain complessivo ha superato gli 8 miliardi di dollari. Sono integrati anche su exchange come Kraken (oltre 50 xStocks, senza commissioni di trading)
• Ondo Global Markets — oltre 260 azioni ed ETF statunitensi tokenizzati, con tracking del rendimento totale (dividendi inclusi), backing detenuto presso un broker-dealer registrato negli USA; ha raggiunto 1 miliardo di dollari di TVL in meno di otto mesi dal lancio
• Dinari — con i suoi dShares, offre API e token per azioni ed ETF USA garantiti 1:1, pensati per essere integrati direttamente da altre app e wallet come infrastruttura white-label
• Robinhood EU — oltre 200 token di azioni ed ETF USA emessi su Arbitrum per i clienti europei, strutturati come contratti derivati e non come proprietà diretta del titolo
• Coinbase — ha annunciato il lancio di azioni tokenizzate per i clienti non statunitensi sulla propria rete Base a partire da agosto 2026

I vantaggi rispetto a un broker o una banca tradizionale

• Trading 24/7: un broker tradizionale opera negli orari di mercato (tipicamente 9:30-16:00 EST per Wall Street); i T-Bill e le azioni tokenizzate sono negoziabili in continuo, weekend inclusi, perché il regolamento avviene su una blockchain sempre attiva
• Regolamento quasi istantaneo: contro il T+1 (o T+2 in molti mercati) del sistema finanziario tradizionale, un trasferimento on-chain si conclude in pochi secondi o minuti, riducendo il rischio di controparte durante il settlement
• Accesso globale e frazionamento reale: chiunque abbia un wallet può accedere a questi prodotti senza dover aprire un conto presso un broker locale, spesso con importi minimi molto più bassi rispetto a un conto titoli tradizionale
• Composabilità con la DeFi: i token possono essere depositati come collaterale per un prestito, forniti come liquidità o integrati in strategie automatizzate, un livello di programmabilità impossibile per una quota di fondo o un'azione detenuta su un conto titoli classico
• Trasparenza on-chain: le riserve di molti fondi tokenizzati (come BUIDL) sono verificabili pubblicamente in tempo reale tramite proof of reserve, contro i report periodici e differiti tipici della finanza tradizionale
• Autocustodia: a differenza di una posizione detenuta presso un broker, un token può essere trasferito su un wallet non custodial di proprietà dell'utente, eliminando la dipendenza diretta dalla solvibilità dell'intermediario per la sola detenzione (resta però il rischio legato all'emittente del token, come spiegato più avanti)

Rischi e limiti da conoscere

Non tutto ciò che luccica è oro, ed è importante capire cosa si sta realmente comprando prima di paragonare questi prodotti a un conto titoli tradizionale.

• Accesso spesso riservato: molti dei principali fondi di T-Bill tokenizzati, tra cui BUIDL e OUSG, sono disponibili solo per investitori istituzionali o qualificati (accredited investors), non per il retail statunitense; la regolamentazione SEC su questo fronte si sta chiarendo proprio nel 2026, con un giro di vite sulla scrutiny delle azioni sintetiche
• Rischio emittente e controparte: il possesso di un token non elimina la dipendenza dall'entità che detiene l'asset sottostante; se l'emittente fallisce o non riesce a onorare i riscatti, il valore del token è a rischio indipendentemente dalla blockchain su cui gira
• Nessun diritto diretto in caso di modello sintetico: con prodotti strutturati come derivati (alcune azioni tokenizzate offerte fuori dagli USA), non si possiede l'azione reale, non si ha diritto di voto e non si partecipa alle assemblee societarie
• Rischio smart contract e custodia delle chiavi: un bug nel contratto o la perdita delle chiavi private del proprio wallet possono comportare la perdita totale dei fondi, senza le tutele tipiche di un conto presso un broker regolamentato
• Frammentazione normativa: le regole cambiano sensibilmente tra Stati Uniti (framework SEC in evoluzione), Unione Europea (MiCA e MiFID II) e altre giurisdizioni, e uno stesso prodotto può essere strutturato in modo diverso a seconda del mercato in cui viene offerto

Conclusione

Gli RWA rappresentano probabilmente il ponte più concreto costruito finora tra la finanza tradizionale e l'infrastruttura blockchain: non promettono di sostituire broker e banche, ma di renderne i prodotti più accessibili, trasferibili e componibili. I 19,3 miliardi di dollari di RWA tokenizzati nel 2026, trainati soprattutto dai T-Bill di BlackRock, Franklin Templeton e Ondo, mostrano che l'interesse istituzionale è reale e in forte crescita, mentre le azioni tokenizzate restano il segmento più giovane, promettente ma anche quello con la struttura legale più eterogenea da provider a provider. Prima di scegliere un prodotto RWA, vale sempre la pena verificare chi custodisce davvero l'asset sottostante, su quale base giuridica poggia il token e quali diritti effettivi garantisce a chi lo detiene.

Nel 2026 costruire una landing page non significa più scegliere tra "veloce" e "moderna": i framework open source più diffusi permettono entrambe le cose, a patto di scegliere lo stack giusto per il proprio caso d'uso. Una landing page ha esigenze molto specifiche rispetto a una web app: deve caricare in meno di due secondi, avere un punteggio Core Web Vitals impeccabile, essere facilmente indicizzabile dai motori di ricerca e, spesso, essere modificabile anche da chi non scrive codice tutti i giorni (marketing, growth).

In questo articolo analizziamo diversi stack tecnici, tutti basati su framework open source tra i più starrati su GitHub, con link diretti ai rispettivi repository ufficiali.

Cosa deve garantire lo stack di una landing page

• JavaScript minimo lato client, per non penalizzare LCP e TBT (le landing page raramente hanno bisogno di un intero framework SPA)
• Rendering statico o server-side per un First Contentful Paint immediato e per una SEO ottimale
• Un design system o una libreria di componenti pronta all'uso, per non reinventare bottoni e form ogni volta
• Un flusso di deploy semplice, idealmente con anteprime automatiche per ogni pull request
• La possibilità di separare i contenuti dal codice, quando la pagina va aggiornata spesso da chi non programma

Stack 1: Astro + Tailwind CSS + Alpine.js — il più performante

È lo stack da scegliere quando la priorità assoluta è la velocità. Astro è un framework che adotta l'architettura a "isole": per default genera HTML statico con zero JavaScript, e idrata solo i singoli componenti interattivi che servono davvero (un carosello, un form), lasciando il resto della pagina completamente statico. Il codice è open source ed è disponibile su withastro/astro su GitHub, uno dei repository più starrati nell'ambito dei meta-framework web.

Per lo styling, Tailwind CSS resta lo standard de facto: un framework utility-first che permette di costruire interfacce senza scrivere CSS custom, con un bundle finale minimo grazie alla purge automatica delle classi inutilizzate. Repository ufficiale: tailwindlabs/tailwindcss.

Dove serve un minimo di interattività (un menù mobile, un accordion, una validazione di form), invece di caricare React o Vue conviene usare Alpine.js, una libreria da pochi KB pensata proprio per aggiungere comportamento direttamente nell'HTML, in stile jQuery ma moderno. Repository: alpinejs/alpine.

Il deploy è immediato su piattaforme come Netlify, Vercel o Cloudflare Pages, tutte con anteprime automatiche per pull request. È lo stack ideale per landing page di prodotto, pagine di lancio ed eventi dove ogni centesimo di secondo di caricamento incide sul tasso di conversione.

Stack 2: Next.js + Tailwind CSS + shadcn/ui + Motion — il più completo per team React

È lo stack più diffuso tra i team che già lavorano in React e vogliono riutilizzare componenti tra landing page, dashboard e prodotto. Next.js, con l'App Router, offre rendering ibrido (statico, server-side, streaming) e resta il framework React più adottato in assoluto; repository ufficiale su vercel/next.js.

Sopra Tailwind CSS si aggiunge shadcn/ui, diventato negli ultimi anni lo standard per i design system React: non è una libreria da installare come dipendenza, ma un insieme di componenti (basati su Radix UI) di cui copi il codice sorgente direttamente nel progetto, restando così libero di modificarli senza vincoli. Repository: shadcn-ui/ui. I componenti primitivi non stilizzati su cui si basa provengono da Radix UI, fondamentale per l'accessibilità (focus management, ARIA, tastiera).

Per le animazioni, la libreria di riferimento è Motion (il progetto precedentemente noto come Framer Motion), che offre transizioni fluide e performanti per React e JavaScript vanilla. Il repository è stato spostato su motiondivision/motion.

Il deploy naturale è su Vercel, la piattaforma degli stessi creatori di Next.js, con build incrementali e anteprime per ogni branch. È lo stack più indicato per SaaS e prodotti B2B con landing page che condividono componenti con l'app vera e propria.

Stack 3: SvelteKit + Tailwind CSS — reattività con bundle minimi

SvelteKit è il framework applicativo costruito sopra Svelte, un compilatore che, a differenza di React o Vue, non porta un runtime pesante nel browser: il codice viene compilato in JavaScript vanilla altamente ottimizzato già in fase di build. Il risultato sono bundle sensibilmente più piccoli a parità di funzionalità. Repository ufficiale: sveltejs/kit. È uno stack particolarmente adatto a landing page con animazioni e micro-interazioni curate ma dove si vuole comunque restare leggeri, ed è costruito su Vite come build tool, garantendo tempi di sviluppo (hot reload) quasi istantanei.

Stack 4: Eleventy + htmx — il minimalista, senza framework JS pesanti

Quando la landing page è sostanzialmente contenuto statico con pochissima interattività, la scelta più radicale (e spesso la più veloce in assoluto) è non usare affatto un framework JavaScript lato client. Eleventy (11ty) è un generatore di siti statici agnostico rispetto al template engine, che produce puro HTML e non spedisce nulla al browser oltre a quello che serve davvero. Repository: 11ty/eleventy.

Per l'interattività residua (form, richieste asincrone, aggiornamenti parziali della pagina) si può aggiungere htmx, una libreria che estende l'HTML con attributi per fare richieste AJAX, gestire WebSocket e Server-Sent Events, senza scrivere una riga di JavaScript personalizzato. Repository: bigskysoftware/htmx. È lo stack ideale per landing page editoriali, siti vetrina e pagine di documentazione dove il contenuto conta più dell'interattività.

Stack 5: Nuxt + Tailwind CSS — la scelta per i team Vue

Chi lavora già con Vue trova nell'equivalente naturale di Next.js la propria casa: Nuxt offre rendering ibrido, routing basato su file system e un ecosistema di moduli molto maturo. Repository ufficiale: nuxt/nuxt. Anche qui Tailwind CSS resta la scelta più comune per lo styling, mentre per i componenti si può attingere a librerie basate su Radix, come Radix Vue, per ottenere la stessa qualità di accessibilità disponibile lato React.

Landing page gestite dal marketing: aggiungere un CMS headless

Quando la landing page va aggiornata di frequente da chi non scrive codice (nuove sezioni, testi, immagini, A/B test), conviene disaccoppiare i contenuti dal frontend con un CMS headless open source, mantenendo Astro o Next.js come motore di rendering. Payload è un CMS headless full TypeScript, costruito sopra Next.js, con pannello di amministrazione incluso: repository su payloadcms/payload. Un'alternativa molto diffusa è Sanity, con un editor di contenuti in tempo reale molto apprezzato dai team marketing: repository su sanity-io/sanity.

Analytics: alternative open source a Google Analytics

Per misurare le conversioni di una landing page senza appesantirla con script di tracking pesanti, due opzioni open source si sono affermate come standard. Plausible è un tool di web analytics privacy-first, cookieless, con uno script che pesa meno di 1KB: repository su plausible/analytics. PostHog va oltre il semplice analytics e integra session replay, feature flag ed esperimenti A/B in un'unica piattaforma open source: repository su PostHog/posthog. Entrambi sono self-hostabili, per chi vuole restare pienamente proprietario dei dati.

Quale stack scegliere

Per una landing page di prodotto o di lancio, dove le performance sono tutto, Astro con Tailwind CSS e Alpine.js resta la combinazione più difficile da battere. Se il team lavora già in React e la landing page condivide componenti con l'applicazione principale, Next.js con Tailwind, shadcn/ui e Motion è la scelta più naturale. Chi cerca animazioni curate mantenendo bundle ridotti può orientarsi su SvelteKit, mentre chi lavora in ambiente Vue trova in Nuxt l'equivalente. Per pagine sostanzialmente editoriali, Eleventy con htmx offre il massimo della semplicità e della velocità. Quando la pagina deve essere aggiornata spesso da un team marketing, vale la pena aggiungere un CMS headless come Payload o Sanity sopra uno qualsiasi di questi stack, e affiancare un tool di analytics open source come Plausible o PostHog per misurare i risultati senza compromessi sulla privacy.

Conclusione

Nel 2026 la scelta dello stack per una landing page non è più solo una questione di gusti personali: framework come Astro, Next.js, SvelteKit e Nuxt, insieme a librerie come Tailwind CSS, shadcn/ui e Alpine.js, offrono soluzioni open source, verificabili sul codice e sostenute da comunità enormi. La differenza tra uno stack e l'altro sta soprattutto nel bilanciamento tra performance pura, velocità di sviluppo e capacità di essere gestito da chi, in azienda, si occupa di contenuti e non di codice.

Introduzione

Nel 2026 il panorama dei wallet crypto è molto più maturo rispetto a pochi anni fa. La maggior parte degli utenti opera ormai su più blockchain contemporaneamente (Ethereum e i suoi layer 2, Solana, Bitcoin), e i wallet si sono evoluti da semplici gestori di chiavi private a veri e propri hub di sicurezza, con simulazione delle transazioni, rilevamento di phishing integrato e supporto nativo a standard come WalletConnect ed EIP-6963.

In questa guida analizziamo i wallet software (hot wallet) più affidabili del momento — Rabby, Rainbow, Phantom, Trust Wallet ed Exodus — oltre alle soluzioni hardware e multisig da considerare quando i capitali gestiti crescono.

Cosa cercare in un wallet crypto nel 2026

Prima di scegliere un wallet vale la pena valutarlo su alcuni parametri tecnici, non solo sull'interfaccia grafica.

• Codice open source e verificabile pubblicamente su GitHub
• Supporto multi-chain nativo (EVM, Solana, Bitcoin, layer 2)
• Simulazione della transazione prima della firma, per individuare drainer e approvazioni malevole
• Compatibilità con hardware wallet (Ledger, Trezor, Keystone)
• Supporto a WalletConnect v2 e allo standard EIP-6963 per il rilevamento multi-wallet nel browser
• Strumenti integrati per revocare le approvazioni ai contratti

I migliori hot wallet software del 2026

Rabby Wallet — il più sicuro per l'ecosistema EVM

Rabby, sviluppato dal team di DeBank, è diventato il punto di riferimento per chi opera su più chain EVM (Ethereum, Arbitrum, Optimism, Base, BNB Chain e decine di altre). Il suo punto di forza è il motore di sicurezza pre-transazione: prima di firmare, Rabby simula l'esito dell'operazione e mostra esattamente quali token e permessi verranno spostati o concessi, segnalando in anticipo eventuali drainer. Cambia automaticamente rete in base al dApp connesso, senza bisogno di farlo manualmente. Il codice è open source ed è consultabile sul repository ufficiale RabbyHub/Rabby su GitHub.

Rainbow — l'esperienza mobile-first per Ethereum e i layer 2

Rainbow è nato come wallet Ethereum-native pensato per il mobile, con un'interfaccia molto curata e un forte supporto agli NFT e ai layer 2 (Optimism, Arbitrum, Base, zkSync). Nel corso del 2025-2026 si è evoluto in una piattaforma più ampia, integrando anche mercati predittivi e trading con leva tramite protocolli come Hyperliquid, pur mantenendo il self-custody delle chiavi. L'estensione browser è open source ed è disponibile su rainbow-me/browser-extension, mentre l'app mobile ha il proprio repository su rainbow-me/rainbow.

Phantom — il riferimento multi-chain per Solana, Ethereum e Bitcoin

Nato come wallet dedicato a Solana, Phantom è oggi un wallet multi-chain a tutti gli effetti, con supporto nativo a Solana, Ethereum, Polygon, Base e Bitcoin, oltre a funzioni di swap, staking e gestione NFT integrate. Dichiara oltre 20 milioni di utenti attivi ed è self-custodial: le chiavi restano sul dispositivo dell'utente. Offre inoltre uno scanner di sicurezza che blocca automaticamente transazioni verso contratti sospetti e si integra con i wallet hardware Ledger.

Trust Wallet — il wallet mobile più diffuso al mondo

Trust Wallet, di proprietà di Binance ma utilizzabile in modo del tutto indipendente e non custodial, supporta un numero enorme di blockchain e milioni di asset diversi in un'unica app mobile. Il suo motore multi-chain, wallet-core, è open source e viene riutilizzato anche da altri progetti nell'ecosistema; il repository è consultabile su trustwallet/wallet-core. È una buona scelta per chi cerca un unico wallet mobile capace di gestire quasi qualsiasi asset senza passare da più app.

Exodus — semplicità, design e scambio integrato

Exodus punta su un'interfaccia estremamente curata, disponibile su desktop, mobile ed estensione browser, con un exchange integrato per scambiare asset senza uscire dall'app. Supporta decine di blockchain e si integra nativamente con i wallet hardware Trezor. Parte del codice è open source e pubblicato sull'organizzazione ExodusMovement su GitHub. È spesso la scelta consigliata a chi si avvicina per la prima volta al self-custody, grazie alla curva di apprendimento più dolce rispetto a wallet più tecnici come Rabby.

Una menzione d'obbligo: MetaMask

Non si può parlare di wallet EVM senza citare MetaMask, lo standard de facto per anni e ancora oggi tra i più usati per interagire con dApp Ethereum. Nel 2026 resta un'opzione solida, anche se molti utenti avanzati preferiscono Rabby per la simulazione delle transazioni più evoluta. Il codice dell'estensione è open source su MetaMask/metamask-extension.

Wallet hardware: la protezione consigliata per capitali importanti

Per importi rilevanti, nessun hot wallet software sostituisce un cold wallet: le chiavi private restano offline, su un dispositivo dedicato, e ogni transazione va confermata fisicamente sull'hardware. I due riferimenti del settore restano Ledger e Trezor, entrambi collegabili a Rabby, Rainbow, MetaMask, Trust Wallet e alla maggior parte dei wallet software citati sopra, sia via USB sia tramite WalletConnect. L'approccio consigliato nel 2026 è ibrido: un hot wallet per l'operatività quotidiana e le interazioni con le dApp, un hardware wallet per la riserva principale di lungo periodo.

Wallet multisig e smart contract: Safe

Per team, DAO o chiunque gestisca fondi condivisi, la soluzione standard è Safe (ex Gnosis Safe), un wallet smart contract multisig che richiede la firma di più chiavi indipendenti per autorizzare una transazione, eliminando il singolo punto di fallimento tipico di un wallet EOA. È open source, con codice pubblico sull'organizzazione safe-global su GitHub, ed è oggi lo standard de facto per la gestione di tesorerie on-chain.

Quale wallet scegliere in base al profilo d'uso

Chi opera intensamente in DeFi su chain EVM trova in Rabby lo strumento più sicuro grazie alla simulazione delle transazioni. Chi vive nell'ecosistema Solana, o comunque vuole un unico wallet realmente multi-chain con Bitcoin incluso, trova in Phantom la soluzione più completa. Chi cerca un'esperienza mobile elegante e ben integrata con i layer 2 di Ethereum può orientarsi su Rainbow. Chi vuole un solo wallet mobile per gestire praticamente qualsiasi asset, anche al di fuori dell'ecosistema EVM, trova in Trust Wallet la copertura più ampia. Chi si avvicina per la prima volta al self-custody e cerca semplicità trova in Exodus la curva di apprendimento più dolce. Per importi importanti, in ogni caso, la combinazione vincente resta hot wallet più hardware wallet; per fondi condivisi o di team, Safe rimane lo standard.

Best practice di sicurezza per il 2026

• Non condividere mai la seed phrase con nessuno, né digitarla su siti web: nessun wallet legittimo la richiede online
• Usa un hardware wallet per la parte più consistente dei tuoi fondi
• Verifica sempre il dominio ufficiale prima di collegare il wallet a una dApp o di scaricare un'estensione
• Rivedi ed eventualmente revoca periodicamente le approvazioni concesse ai contratti (tramite strumenti come Revoke.cash o le funzioni integrate in Rabby e Rainbow)
• Presta attenzione a malware clipper che sostituiscono l'indirizzo copiato negli appunti: verifica sempre le prime e ultime cifre dell'indirizzo prima di inviare fondi
• Attiva, dove disponibile, la simulazione delle transazioni prima di firmare

Conclusione

Non esiste un wallet universalmente "migliore" nel 2026: la scelta dipende da quali blockchain usi, quanto valore gestisci e quanto spesso interagisci con le dApp. Rabby, Rainbow, Phantom, Trust Wallet ed Exodus coprono profili diversi e complementari, e nulla vieta di usarne più di uno in parallelo — ad esempio un wallet leggero per l'operatività quotidiana e un hardware wallet per la riserva di lungo periodo. L'unica regola che vale per tutti è verificare sempre l'autenticità di siti e link ufficiali prima di scaricare qualsiasi wallet o di collegarlo a una dApp.

Il 22 settembre arriva nei negozi il nuovo Mac mini: chip base M6, e per la prima volta una variante M5 Pro che porta nel formato più piccolo della gamma Apple gli stessi Neural Accelerators visti sul MacBook Pro M5. È un aggiornamento che sulla carta sembra il solito giro di specifiche, ma per chi lavora con modelli linguistici locali cambia qualcosa di più profondo dell'ennesimo incremento di core: il rapporto tra capacità di calcolo e memoria disponibile.

Cosa c'è dentro, in cifre

M6: CPU 12 core (2 super core, 4 performance, 6 efficiency), GPU 12 core, Neural Engine doppio a 16 core, banda di memoria 153-170 GB/s a seconda della configurazione, memoria unificata fino a 32GB, prezzo da 899$.

M5 Pro: CPU fino a 18 core, GPU fino a 20 core con Neural Accelerators in ogni core GPU, memoria unificata fino a 64GB, banda 307GB/s, tre porte Thunderbolt 5 (120Gb/s), prezzo da 1699$.

Il dato che conta di più per chi fa inferenza o training locale non è il conteggio dei core, è la memoria unificata: CPU, GPU e Neural Engine condividono lo stesso pool fisico, senza copiare dati avanti e indietro tra RAM di sistema e VRAM dedicata come su un'architettura x86 con GPU discreta.

Perché la memoria unificata conta più dei TFLOPS

Su un PC con GPU NVIDIA, un modello che non entra nella VRAM va spezzato, offloadato su CPU o quantizzato in modo aggressivo, con perdite di velocità pesanti nel passaggio dati via PCIe. Sul Mac mini, un modello quantizzato che pesa ad esempio 40GB può essere caricato interamente nella memoria unificata di un M5 Pro da 64GB ed essere indirizzabile sia dalla GPU che dalla CPU senza copie intermedie.

Non è più veloce in senso assoluto di una A100 o di una H100: i 307GB/s di banda dell'M5 Pro restano lontani dai circa 3TB/s di banda HBM di una H100. Ma è disponibile sulla scrivania, silenzioso, consuma sotto i 100W e costa una frazione del prezzo di una workstation con GPU dedicata di pari capacità di memoria.

Neural Accelerators: cosa cambia davvero con M5

La novità architetturale più rilevante di M5 (e quindi dell'M5 Pro) non è il numero di core GPU ma i Neural Accelerators integrati in ciascuno di essi: unità dedicate al calcolo matriciale, l'operazione core dei transformer. Apple li espone tramite MLX, il framework open source pensato per Apple Silicon, attraverso le nuove TensorOps del Metal Performance Primitives introdotte con Metal 4.

Il team ML Research di Apple ha pubblicato benchmark diretti: su modelli densi da 14B parametri quantizzati a 4 bit, il time-to-first-token scende sotto i 10 secondi, con uno speedup fino a 4x rispetto a M4 nella fase di prompt processing, quella compute-bound in cui i Neural Accelerators lavorano davvero (misurato 3.57x su Qwen 1.7B, 3.62x su Qwen 8B BF16, 4.06x su Qwen 14B 4-bit). Sulla generazione token per token, che è invece vincolata dalla banda di memoria più che dal calcolo puro, il guadagno è più modesto: 19-27% rispetto a M4, in linea con l'incremento di banda.

Questo distinguo tra fase di prompt processing (compute-bound) e fase di generazione (memory-bound) è la chiave per capire dove un Mac mini M5 Pro rende davvero: bene su prompt lunghi e batch di richieste, meno sulla pura velocità di generazione token per token rispetto a schede con più banda dedicata.

Training o fine-tuning? Chiariamo i termini

Qui serve onestà tecnica, perché il termine training viene usato con troppa leggerezza. Il pretraining di un LLM da zero, miliardi di parametri, trilioni di token, settimane su cluster di centinaia di GPU con banda aggregata di decine di TB/s, non è alla portata di un Mac mini, né lo sarà mai con questa classe di hardware. Chi scrive che il Mac mini M5 Pro allena LLM nel senso di un modello frontier lo sta raccontando male.

Quello che il Mac mini M5 Pro fa bene, e che nella pratica quotidiana è ciò che serve alla gran parte di chi lavora con LLM fuori dai laboratori dei grandi player, è: fine-tuning con LoRA e QLoRA su modelli da 1B a 30B parametri, continued pretraining su dataset di dominio specifico, distillazione di modelli più piccoli a partire da modelli più grandi, sperimentazione rapida di architetture su scala ridotta. Con 64GB di memoria unificata si può tenere in memoria un modello da 30B quantizzato a 4 bit, i suoi gradienti LoRA e l'ottimizzatore, tutto insieme, senza offload.

Un workflow reale con MLX-LM

Con la libreria mlx-lm (pip install mlx-lm) il fine-tuning LoRA di un modello locale si riduce a poche righe da terminale:

mlx_lm.lora --model Qwen/Qwen2.5-14B-Instruct --train --data ./dataset --iters 1000 --batch-size 4

MLX gestisce automaticamente la quantizzazione, la memoria unificata e il grafo di calcolo lazy tipico di Apple Silicon: le operazioni vengono composte ed eseguite solo quando serve il risultato, riducendo i picchi di memoria durante il training. È lo stesso principio che permette a MLX di fare fine-tuning di modelli che su un'architettura CUDA equivalente richiederebbero più VRAM per lo stesso batch size.

I limiti che vale la pena conoscere

Tre cose da tenere a mente prima di sostituire una workstation NVIDIA con un Mac mini. Primo, l'ecosistema: la maggior parte della ricerca, dei paper e dei repository pubblici gira su CUDA, e portare un training loop custom su MLX richiede comunque del lavoro di adattamento. Secondo, il tetto di memoria: 64GB bastano per LoRA su modelli fino a circa 30-40B parametri quantizzati, ma per modelli più grandi o fine-tuning completo (non LoRA) serve guardare al Mac Studio con M5 Max o M5 Ultra, che arriva fino a 512GB di memoria unificata. Terzo, il multi-nodo: non esiste oggi un equivalente maturo di NVLink o InfiniBand per collegare più Mac in un training distribuito reale, quindi la scalabilità orizzontale resta un punto debole.

Conclusione

Il Mac mini M5 Pro non è una GPU da training in miniatura, ed è bene non venderlo come tale. È però, per la prima volta in un fattore di forma da 900-1700 dollari, una macchina in cui memoria unificata, banda dedicata e acceleratori matriciali nella GPU si allineano abbastanza bene da rendere il fine-tuning locale di modelli fino a 30B parametri qualcosa che si fa su una scrivania, silenziosamente, senza bolletta cloud. Per chi sviluppa, sperimenta o fa ricerca applicata su LLM di dimensioni reali, non i modelli da laboratorio dei big lab, è probabilmente l'hardware locale più interessante uscito quest'anno.

Il Flipper Zero, è un dispositivo di piccole dimensioni simile a un tama-gotchi inizialmente promosso su una campagna Kickstarter.

E’ possibile definirlo come un multitool per appassionati di tecnologia e hacking. Flipper 0 supporta diverse frequenze RFID, Bluetooth, radio sub-1GHz, pin GPIO per il debugging, USB per eseguire attacchi BadUSB, porta infrarossi e persino un connettore per intercettare e impersonare le chiavi iButton.

Non è esattamente hacking come in Watch-Dogs, ma è simile a quanto accade nel videogame, con un po' di preparazione e qualche trucco puoi facilmente convincere i tuoi amici che è quasi magia.

E' possibile ad esempio effettuare l'apertura di porte di macchine usando l'interfaccia radio, in modalità replay. E' sufficiente prendere il tuo Flipper Zero, scegliere Sub-GHz > Read RAW, quindi premi il pulsante centrale per iniziare la registrazione Tieni premuto a quel punto il pulsante di sblocco sulla chiave radio per qualche secondo e assicurati di catturare il codice trasmesso. E questo è tutto. Potrai replicare il segnale catturato a tuo piacimento, di fatti come se avessi clonato il telecomando. Se vuoi usarlo immediatamente, avvicinati abbastanza alla macchina e premi il pulsante centrale per inviare il codice e sbloccarla a distanza. In alternativa puoi anche decidere di Salvare il codice in archivio, dandogli un nome, e puoi tornare in Sub-GHz > Saved, in seguito per trasmetterlo nuovamente.

Quindi, come funziona?

È una forma di attacco replay, riutilizzando un codice valido per sbloccare l'auto. Il trucco è che le auto moderne generalmente utilizzano codici a rotazione o salti per impedire alle persone di fare esattamente questo.
Normalmente l'auto accetterà solo ogni codice di sblocco una volta, quindi lo segnerà come utilizzato e rifiuterà di accettarlo in futuro. Poiché gli errori di digitazione possono accadere o i segnali potrebbero non funzionare la prima volta, una gamma di codici viene considerata valida per sbloccare.
Quello che hai fatto è rubare uno di quei codici validi, impedendogli di arrivare all'auto per essere contrassegnato come non valido. Una volta che l'hai usato, scoprirai che non funzionerà più per sbloccare l'auto, ognuno è usa-e-getta (anche se potresti registrare più codici per avere qualche utilizzo extra e fare lo stesso con i codici di blocco).
Potresti anche scoprire che se aspetti troppo tempo per usarlo, non funzionerà più perché sono stati utilizzati troppi tasti e quindi la gamma di codici validi è passata ad altri.
La stessa tecnica è stata utilizzata per anni per il furto di auto, utilizzando un jammer per impedire all'auto di ricevere un codice mentre lo si cattura utilizzando un ricevitore.

Ovviamente, poiché le auto diventano sempre "più intelligenti", diventa sempre più laborioso eseguire questa tipologia di attacchi.

La parola “wallet” in inglese significa “portafoglio” e, proprio come il portafoglio che teniamo in tasca, i crypto wallet servono a tenere sott’occhio e gestire le nostre criptovalute. Allo stesso tempo, la stragrande maggioranza dei wallet permette anche di scambiare le valute virtuali con valute tradizionali e, un po’ più raramente, anche di comprare diversi tipi di asset.

Come funziona un wallet

La differenza principale tra un crypto wallet e un portafoglio tradizionale è che il primo non contiene effettivamente la valuta ma, come detto, permette solo di gestirla. La sua funzione è doppia, oltre a quanto appena detto infatti, un crypto wallet serve anche a generare le informazioni che permettono di scambiare le valute attraverso la blockchain (sia in entrata che in uscita).

Lo scambio avviene grazie alle chiavi che vengono generate al momento della creazione del wallet: una pubblica e una privata. La chiave pubblica è quella che permette di ricevere le criptovalute e la sua funzione è identica a quella di un IBAN. Quella privata, invece, viene utilizzata per la gestione dei propri fondi.

Continuando il paragone con un portafoglio tradizionale, il motivo per il quale il wallet non contiene i soldi è che questi si trovano direttamente nella blockchain. In altre parole, il wallet funge da tramite tra noi e la blockchain, è uno strumento che abbiamo per scambiare informazioni.

Quali sono i tipi di wallet disponibili?

Canonicamente, si differenziano tre diversi tipi di wallet in base alla loro composizione: software, hardware e carta. Come è facile immaginare, solo i primi due sono effettivamente utilizzati mentre la carta è stata definitivamente messa da parte in quanto, oltre ad essere scomodo scrivere a mano le lunghissime chiavi blockchain, è anche poco affidabile.

Per quanto riguarda i wallet software e hardware, l’opinione comunemente accettata è che i primi sono più user friendly mentre i secondi più sicuri. Ovviamente non è sempre così e dipende da wallet a wallet.

I wallet software

I wallet basati su un software sono sicuramente i più comuni e facili da usare. Come tutti i software, hanno un’interfaccia che ci guida attraverso le varie funzioni. Le migliori, solitamente contengono diverse opzioni utili, tra tutte la possibilità di tenere d’occhio il cambio Bitcoin. Questo permette di potersi informare e fare trading direttamente sulla stessa piattaforma.

Questo tipo di wallet si divide a sua volta in due categorie: “hot” e “cold” (caldi e freddi). Questa differenza è basata sul poter utilizzare il software con o senza connessione a internet. I tipi più comuni sono gli “hot wallet” che includono software per PC, per cellulare e i cosiddetti “web wallet” che sono piattaforme online.

I wallet hardware

I wallet hardware hanno in qualche modo la fama di essere più sicuri ma anche molto più complicati da utilizzare. In genere, soprattutto chi è alle prime armi, preferisce utilizzare i software in quanto di più facile utilizzo. Ad ogni modo, chi sa il fatto suo sia in materia di blockchain che di tecnologia non troverà i wallet hardware difficili da utilizzare.

In conclusione

Come visto ci sono numerosi tipi di wallet adatti a tutte le esigenze e livello di esperienza. Non è un caso infatti che il numero di wallet presenti al mondo sia abbastanza importante e in molti trovino la loro gestione più facile di quello che si possa pensare.

Sicuramente, la soluzione più pratica per chi è alle prime armi è quella di affidarsi ad un web wallet nei quali solitamente si trovano informazioni di tutti i tipi, incluso materiale educativo, interfacce chiare e relativa facilità di utilizzo.

Chi è già più esperto, sia di trading che degli strumenti collegati a questo campo, potrebbe optare per soluzioni che richiedono maggiori conoscenze ma che permettono anche un maggiore controllo quali i “cold wallet” o gli “hardware wallet”.

T-Mobile, Sprint e AT&T stanno vendendo l'accesso ai dati di posizione dei loro clienti, e questi dati stanno finendo nelle mani dei cacciatori di taglie e altre persone non autorizzate, che riescono in questo modo a rintracciare la maggior parte dei telefoni del paese.

Ho dato a un cacciatore di taglie un numero di telefono. Si era offerto di geolocalizzare un telefono per me, usando un servizio losco, poco chiaro, non destinato ai poliziotti, ma a privati e imprese. Armato solo con il numero di telefono e qualche centinaio di dollari, ha detto che poteva trovare la posizione attuale della maggior parte dei telefoni negli Stati Uniti.

Il cacciatore di taglie ha mandato il numero al suo stesso contatto, che avrebbe tracciato il telefono. Il contatto ha risposto con uno screenshot di Google Maps, contenente un cerchio blu che indica la posizione attuale del telefono, approssimativa di qualche centinaio di metri.

Più nello specifico, lo screenshot ha mostrato una location in un particolare quartiere solo a un paio di isolati da dove si trovava l'obiettivo. Il cacciatore aveva trovato il telefono e ha fatto tutto questo senza schierare uno strumento di hacking o avere una conoscenza precedente del luogo in cui si trova il telefono. Lo strumento di monitoraggio si basa sui dati di localizzazione in tempo reale venduti ai cacciatori di taglie che in definitiva provenivano da alcune società, tra cui t-Mobile e Sprint. Queste capacità di sorveglianza vengono talvolta vendute attraverso reti di passaparola.

Considerando che le agenzie delle forze dell'ordine possono rintracciare i telefoni con un mandato per i fornitori di servizi, o fino a poco tempo fa tramite altre aziende che vendono dati di localizzazione come uno chiamato Securus, almeno una società, chiamata microbilt, sta vendendo la geolocalizzazione del telefono con poca supervisione a una diffusione di diverse industrie private, che vanno dai venditori di auto e dai gestori di proprietà ai garanti della cauzione e ai cacciatori di taglie, secondo fonti familiari con i prodotti dell'azienda e i documenti aziendali ottenuti dalla scheda madre. Questa capacità di spionaggio viene anche rivenduta ad altri sul mercato nero a persone che non sono autorizzati dall'azienda ad usarlo.

L' indagine mostra come le reti mobili esposte e i dati che generano siano, lasciando loro aperti alla sorveglianza da cittadini comuni, stalker e criminali. L' inchiesta dimostra anche che un'ampia varietà di aziende può accedere ai dati della localizzazione del cellulare, e che le informazioni non vengono salvaguardate per proteggere quei dati.

Il tuo cellulare è in costante comunicazione con le torri cellulari vicine, quindi il tuo provider di telecomunicazioni sa dove effettuare le chiamate e i testi. Da questo, le aziende di Telecom lavorano anche per conoscere la posizione approssimativa del telefono in base alla sua vicinanza a quelle torri.

Anche se molti utenti potrebbero non essere a conoscenza della pratica, le aziende di Telecom negli Stati Uniti vendono l'accesso ai dati della posizione dei loro clienti ad altre aziende, chiamate location aggregatori, che poi la vendono a clienti e industrie specifiche. L' anno scorso, un aggregatore di location chiamato locationsmart ha affrontato aspre critiche per la vendita di dati che alla fine sono finiti nelle mani di securus, un'azienda che ha fornito il tracking telefonico a forze di basso livello senza richiedere un mandato. Locationsmart ha esposto anche gli stessi dati che stava vendendo attraverso un pannello del sito web di buggy, significa che chiunque potrebbe geolocalizzare quasi qualsiasi telefono negli Stati Uniti.

C'è una catena di fornitura complessa che condivide alcuni dei dati più sensibili degli utenti del cellulare americano, con i classifiche potenzialmente inconsapevoli di come i dati vengono utilizzati dall'utente finale. Le aziende finanziarie usano i dati della localizzazione telefonica per individuare le frodi; le aziende di assistenza stradale lo usano per localizzare clienti bloccati. At&T, ad esempio, ha detto alla scheda madre che l'utilizzo dei dati dei suoi clienti da parte dei cacciatori di taglie va esplicitamente contro le politiche dell'azienda, sollevando domande su come la società ha permesso la vendita a questo scopo in primo luogo.

Nel caso del telefono che abbiamo rintracciato, sei entità diverse avevano un potenziale accesso ai dati del telefono. T-mobile condivide i dati di localizzazione con un aggregatore chiamato Zumigo, che condivide informazioni con microbilt. Microbilt ha condiviso quei dati con un cliente usando il tracciamento del cellulare. Il cacciatore di taglie ha poi condiviso queste informazioni con una fonte dell'industria della cauzione, che l'ha condivisa con la scheda madre.

Il CTIA, un gruppo di commercio di telecomunicazioni di cui At & T, sprint, e T-Mobile sono membri, ha linee guida ufficiali per l'utilizzo dei cosiddetti " servizi basati sulla localizzazione " che " si basano su due principi fondamentali: avviso utente e Consenso,". Le aziende di Telecom e gli aggregatori di dati richiedono ai propri clienti di ottenere il consenso dalle persone che vogliono rintracciare, ma è chiaro che questo non sempre avviene.

Microbilt acquista l'accesso ai dati di localizzazione da un aggregatore chiamato Zumigo e poi lo vende ad un numero vertiginoso di settori, tra cui i padroni di casa per portata i potenziali affittuari; i venditori di veicoli a motore, e altri che stanno conducendo controlli di credito. Armato di solo un numero di telefono, il prodotto "Mobile device verifica" di microbilt può restituire il nome e l'indirizzo completo di un target, geolocalizza un telefono in un caso individuale, oppure operare come servizio di monitoraggio continuo. Puoi impostare il monitoraggio con il controllo delle settimane, dei giorni e anche delle ore che la location su un dispositivo è controllata così come le date di inizio e fine del monitoraggio.

In posa come potenziale cliente, la scheda madre ha esplicitamente chiesto ad un microbilt customer support staff se l'azienda ha offerto la geolocalizzazione telefonica per i garanti della cauzione. Poco dopo, un altro membro del personale inviato con una lista di prezzi-localizzare un telefono può costare poco di 4.95 $ ciascuno se alla ricerca di un numero basso di dispositivi. Quel prezzo diventa ancora più economico, in quanto il cliente acquista la capacità di rintracciare più telefoni. Ottenere aggiornamenti in tempo reale sulla posizione di un telefono può costare intorno ai 12.95. Dollari.

È già abbastanza brutto che l'accesso ai dati di geolocalizzazione del telefono altamente sensibili sia già venduto ad una vasta gamma di industrie e imprese. Ma c'è anche un mercato sotterraneo che la scheda madre ha usato per geolocalizzare un telefono-uno in cui i clienti microbilt rivendono il loro accesso ad un profitto, e con una minima supervisione.

"Blade Runner, l'iconico film sci-FI, è ambientato nel 2019. Ed eccoci qui: c'è un mercato nero non regolamentato dove i cacciatori di taglie possono acquistare informazioni su dove siamo, in tempo reale. Non c'è bisogno di essere un replicante per avere paura delle conseguenze," Thomas Rid, professore di studi strategici presso la Johns Hopkins University, ha raccontato in una chat online.

La fonte dell'industria della cauzione ha detto che il suo intermediario ha usato microbilt per trovare il telefono. Questo intermediario ha addebitato 300 dollari, un notevole markup sul solito prezzo microbilt. Lo screenshot di google maps fornito alla scheda madre della posizione del telefono target comprendeva anche le sue coordinate approssimative di longitudine e latitudine, e una gamma di quanto è accurata la geolocalizzazione del telefono: 0.3 km, o poco meno di 500 metri. Potrebbe non essere necessariamente sufficiente per geolocalizzare qualcuno in un edificio specifico in una zona popolata, ma può certamente individuare un particolare borgo, città, o quartiere.

In altri casi di geolocalizzazione telefonica si fa tipicamente con il consenso dell'obiettivo, forse inviando un messaggio di testo l'utente deve rispondere deliberatamente a, segnalando che accettano la loro posizione in seguito. Questo può essere fatto nel precedente esempio di assistenza stradale o quando un'azienda monitora la sua flotta di camion. Ma quando la scheda madre ha testato il servizio di geolocalizzazione, il telefono target non ha ricevuto nessun avviso che sia stato rintracciato.

La fonte di cauzione che in origine ha allertato microbilt alla scheda madre ha detto che i cacciatori di taglie hanno usato servizi di geolocalizzazione telefonica per scopi non lavorativi, come il tracking delle loro fidanzate. La scheda madre non è stata in grado di identificare un caso specifico di questo accaduto, ma gli stalker domestici hanno ripetutamente usato la tecnologia, come il malware del cellulare, per rintracciare i coniugi.

Un portavoce Microbilt ha dichiarato che l'azienda richiede che chiunque utilizzi i suoi servizi di verifica del dispositivo mobile per la prevenzione delle frodi deve prima ottenere il consenso del consumatore. Microbilt ha anche confermato di aver trovato un esempio di abuso sulla sua piattaforma-il nostro telefono ping.

"La richiesta è arrivata tramite un'agenzia di stato sotto licenza che scrive in circa 100 milioni di dollari in obbligazioni all'anno e passata tutta davanti credentialing sotto la pretesto che la location era stata verificata per mitigare l'esposizione finanziaria legata ad un prestito obbligazionario in esame per il presentato Consumatore," microbilt ha detto in una dichiarazione di posta elettronica. In questo caso, "Agenzia Statale autorizzata" si riferisce ad una società privata di Bond Bond, scheda madre confermata.

"Di conseguenza, microbilt non era a conoscenza del fatto che le sue condizioni d'uso fossero state violate dall'individuo canaglia che ha presentato la richiesta sotto falso pretesto, non approva tali casi di uso, e ha una chiara politica che tali violazioni si tradurrà in perdita di accesso A tutti i servizi microbilt e terminazione dell'accordo di fine utente della parte richiedente," microbilt aggiunto. " dopo aver indagato sul presunto abuso e sull'apprendimento della violazione del nostro contratto, abbiamo chiuso l'accesso del cliente ai nostri prodotti e non saranno ammissibili al reinserimento in base a questa violazione."

Zumigo ha confermato che è stata l'azienda che ha fornito la sede del telefono a microbilt e ha difeso le sue pratiche. In una dichiarazione, zumigo non sembrava aver preso in considerazione la pratica di fornire dati che alla fine sono finiti con cacciatori di taglie autorizzati, ma ha scritto, " L' accesso illegale ai dati è un evento sfortunato in quasi ogni industria che si occupa dei dati dei consumatori o dei dipendenti, Ed è impossibile rilevare un frodatore, o un cliente canaglia, che chiede i dati di localizzazione dei propri dispositivi mobili, quando viene fornito il consenso richiesto. Tuttavia, zumigo prende provvedimenti per proteggere la privacy fornendo una misura di distanza (circa 0.5-1.0 km) da un indirizzo effettivo." zumigo ha detto alla scheda madre che ha tagliato l'accesso ai dati di microbilt. Nel caso della scheda madre, il telefono geolocalizzato con successo era su t-Mobile.

"Prendiamo molto sul serio la privacy e la sicurezza delle informazioni dei nostri clienti e non tolleriamo nessun uso abusivo dei dati dei nostri clienti," un portavoce t-Mobile ha detto in una dichiarazione di posta elettronica. "Mentre t-Mobile non ha un rapporto diretto con microbilt, il nostro venditore zumigo stava lavorando con loro e ha confermato con noi che hanno già chiuso tutta la trasmissione dei dati t-Mobile. T-Mobile ha anche bloccato l'accesso ai dati della posizione del dispositivo per qualsiasi richiesta presentata da zumigo per conto di microbilt come precauzione aggiuntiva." La documentazione del prodotto di microbilt suggerisce che il servizio di localizzazione telefonica funziona su tutte le reti mobili, comunque l'intermediario non è stato in grado o non è disposto a condurre una ricerca di un dispositivo .

Sprint ha detto in una dichiarazione che "Proteggere la privacy e la sicurezza dei nostri clienti è una priorità assoluta, e siamo trasparenti su questo nella nostra normativa sulla privacy [...] sprint non ha un rapporto diretto con microbilt. Se si determina che qualcuno dei nostri clienti fa e ha violato i termini del nostro contratto, faremo un'azione adeguata in base a quei risultati." sprint non sarebbe i contorni del suo rapporto con microbilt.

Queste dichiarazioni mi sembrano molto familiari. Quando il New York Times e il senatore Ron Wyden hanno pubblicato i dettagli di securus l'anno scorso, lo studio che stava offrendo geolocalizzazione alle forze dell'ordine di basso livello senza un mandato, il classifiche ha detto che stavano prendendo misure extra per assicurarsi che i dati dei loro clienti non venissero maltrattati Di nuovo. Verizon ha annunciato che stava per limitare l'accesso ai dati alle aziende che non lo usano per scopi legittimi. T-Mobile, sprint, e a & T seguito tuta poco dopo con promesse simili.

Dopo la pressione di Wyden, il ceo di t-Mobile John Legere ha twittato nel giugno dello scorso anno "Ho valutato personalmente questo problema e ho promesso che @tmobile non venderà i dati della localizzazione dei clienti a loschi intermediari." "Sembra che queste promesse siano state poco più che spam senza valore nelle caselle di posta dei loro clienti."

L' anno scorso, la scheda madre ha riferito su un'azienda che in precedenza offriva la geolocalizzazione telefonica ai cacciatori di taglie; qui microbilt sta operando anche dopo un'ondata di sdegno da parte dei decisori politici. Nella sua dichiarazione alla scheda madre di lunedì, T-Mobile ha detto che ha quasi finito il processo di chiusura dei suoi accordi con gli aggregatori di location. "Ogni grande vettore wireless si è impegnato a porre fine a questo tipo di condivisione dei dati dopo che ho esposto questa pratica l'anno scorso. Ora sembra che queste promesse siano state poco più che spam senza valore nelle caselle di posta dei loro clienti," Wyden ha detto alla scheda madre in una dichiarazione. Wyden sta proponendo una normativa per salvaguardare i dati personali. A causa dello spegnimento del governo in corso, la Commissione Federale per le comunicazioni (fcc) non è stata in grado di fornire una dichiarazione.

Continua la vendita dei dati di localizzazione, un incubo per la sicurezza nazionale e la sicurezza personale di chiunque con un telefono, aggiunge Wyden.

Quando gli stalker, le spie, e i predatori sanno quando una donna è sola, o quando una casa è vuota, o dove un funzionario della casa bianca si ferma dopo il lavoro, le possibilità di abuso sono infinite."

Scopri come localizzare i profili anonimi su Grindr

Revenge Porn, quando i ricatti si fanno in rete

Se sei un imprenditore che gestisce un business online, le tue proprietà digitali tra cui il tuo sito web, i social media account e le email sono il fulcro delle tue operazioni aziendali. Devi assicurarti che i tuoi dati siano protetti dagli hacker e che le tue proprietà digitali siano al riparo da minacce esterne o disturbi.

Nel corso degli anni i protocolli di sicurezza internet sono diventati molto più severi rispetto a quelli di una volta. Purtroppo, negli ultimi anni, gli hacker malevoli e i pirati criminali sono cresciuti sempre di più e hanno sviluppato nuove tattiche in grado di violare anche i sistemi più efficienti.

Anche i grandi giganti aziendali e i siti di governo non sono stati in grado di tenersi completamente al sicuro da tali attacchi. Le fughe di dati sono ancora un problema enorme per molte grandi imprese. In tali circostanze, un imprenditore di piccola scala non può rischiare un attacco informatico o un attacco hacker che possa eventualmente mettere fine alla sua attività. Se possiedi un business online, ecco 5 consigli che ti aiuteranno a mantenere al sicuro il tuo business dagli hacker.

Aggiornamenti automatizzati

La debolezza più grande della maggior parte dei piccoli imprenditori è che tendono ad evitare gli aggiornamenti di sistema e gli hacker ne sono consapevoli. Di conseguenza, diventano un bersaglio facile di tali attacchi. È importante non solo aggiornare i vostri sistemi operativi ma anche aggiornare software, applicazioni, plugin del sito web e qualsiasi altro servizio ancillare che potrebbe richiedere un aggiornamento.

Gli aggiornamenti aiutano a rimuovere i malware e a rendere più sicure le tue proprietà digitali. Una mossa ancora più intelligente è impostare le impostazioni del sistema per gli aggiornamenti automatizzati. In questo modo il tuo sistema verrà aggiornato automaticamente non appena verrà rilasciato un aggiornamento, anche se non sei tu a farlo manualmente.

Sicurezza multi strato

Ottenere l'accesso al pannello di controllo del tuo sito web è uno dei modi più comuni che i cyber criminali usano. Se perdi il controllo dell'accesso del tuo sito web, non c’è molto che tu possa fare e potresti  facilmente perdere il controllo sulla tua attività. E’ quindi necessario inasprire il controllo dell'accesso.

Aggiungi la sicurezza multi-strato e rendi le password più difficili da indovinare. Le password alfanumeriche più sono lunghe e difficili, meglio è. Limita il numero di accessi tentati per un ulteriore livello di sicurezza.

Proteggi la Seo del tuo sito web

Se hai un business online, devi essere consapevole di quanto sia importante la seo per il tuo successo aziendale e per la generazione delle entrate. È proprio la seo del tuo sito web che aiuta il tuo business a rimanere in alto e a tenerlo su nel rating di Google. Se il tuo sito web è attaccato, Google può rivedere le sue valutazioni in quanto potrebbe giudicare il tuo sito come non sicuro per gli utenti. Quindi fai molta attenzione perché potresti perdere entrambi, i tuoi clienti e le tue valutazioni di Google.

Come imprenditore di un business online, non puoi correre questo rischio. Inoltre, molti imprenditori online non sono molto tecnologici e usano servizi cms di terze parti come Wordpress per operare con i loro siti web. Questo limita il tuo controllo sul sito web e lo rende più vulnerabile ai cyber attacchi.

Da imprenditore, potresti non essere abbastanza esperto di tecnologia per affrontare questi problemi e sarebbe saggio assumere una società seo professionale che possa aiutarti a proteggerti. Chiedi alla tua azienda seo o allo sviluppatore del sito web di aggiungere un certificato ssl sul tuo sito web per proteggerlo dai malware.

Protezione antifrode

Se gestisci un business online, una frode con carta di credito associata al tuo business potrebbe essere il tuo peggior incubo. Potrebbe essere molto difficile riuscire a rilevare transazioni fraudolente con carta di credito perché hacker e cyber criminali usano diversi metodi di pagamento fraudolenti.

Per fortuna ci sono strumenti di protezione delle frodi di pagamento che possono individuare transazioni sospette con carta di credito e proteggere la tua attività da una violazione dei dati o da una grave perdita finanziaria. Gli strumenti per la protezione dei pagamenti possono aiutarti in molti modi. Questi strumenti contrassegnano attività di pagamento sospette come le informazioni di pagamento non corrispondenti, ordini ripetuti dagli stessi clienti che usano carte di credito diverse e frodi chargeback con carta di credito.

Disabilita l'inserimento automatico

La convenienza del riempimento automatico non può essere compromessa. Riempire le stesse informazioni su più siti web può essere molto fastidioso e può mettere fuori uso gli utenti. Per questo motivo molte persone preferiscono usare l'opzione di riempimento automatico.

Tuttavia, può essere molto rischioso se un computer o un dispositivo viene rubato e una persona non autorizzata ottiene l'accesso alle tue informazioni di riempimento automatico. Un esempio recente è il difetto di Linkedin che mette a rischio i dati personali di milioni di utenti. E’ quindi molto più sicuro fare uno sforzo in più invece di essere pigro con le compilazioni automatiche e correre il rischio.

Dropshipping: cos’è e come guadagnare col tuo negozio online

Investimenti: le 7 truffe più comuni

Parti

Assemblaggio 

La notizia arriva direttamente dalla BBC: migliaia di adolescenti stanno guadagnano migliaia di euro a settimana rubando account di Fortnite e rivendendoli ad altri utenti. Fortnite è uno dei giochi più chiacchierati dell’ultimo periodo, e nonostante si tratti di un game gratuito, si stima che abbia fatturato in totale più di 1 miliardo di sterline attraverso la vendita di “Skin”, che possono cambiare l’aspetto dei personaggi e altre caratteristiche.

Gli hacker dunque possono rivendere gli account dei giocatori per poco più di 25 pounds o anche centinaia di pounds, a seconda di quali e quante caratteristiche hanno. Esiste un mercato nero dietro Fortnite fatto di attività illecite, frodi e attività illecite da parte di adolescenti che rubano gli account tramite attività di hacking. Questi account vengono poi rivenduti sul mercato nero del web e possono far fruttare anche migliaia di sterline. La BBC ha recentemente intervistato un giovane hacker che ha raccontato tutti i retroscena di queste attività illecite, il ragazzo in questione ha ammesso però di aver smesso con l’attività.

Come avviene il furto degli account Fortnite?

La procedura del furto di account in realtà è molto semplice: basta impossessarsi di un account che appartiene a giocatori ignari che non hanno attivato l’autenticazione a due fattori. A questo punto basta rivenderlo su determinati siti che hanno a che fare con il mercato nero, ad un prezzo compreso tra le 30 e le centinaia di sterline.
Il livello di desiderabilità di un account dipende dal numero e dalle quantità di skin presenti: gli account con il maggior numero di skin possono valere anche centinaia di sterline, e ovviamente sono i più ambiti. Non solo, anche i costumi appartenenti alle prime tre stagioni del Battle Royale di Epic Games sono particolarmente richiesti. Secondo i dati emersi da BBC ogni giorno si possono hackerare migliaia di account, che tra l’altro sono visibili in rete perché i profili hackerati vengono messi in vendita su Facebook e Twitter con una descrizione molto accurata degli oggetti sbloccati e delle varie skin.

I giovani Hacker hanno tra i 14 e i 20 anni

Queste attività illecite su Fortnite avvengono per opera di giovani hacker, che hanno un’età compresa tra i 14 e i 20 anni. L’unico problema è che chi ruba l’account non può sapere prima le caratteristiche specifiche, o quanto sia appetibile quel determinato account. La quantità e la tipologia di skin si può conoscere solamente dopo che si ha avuto accesso all’account.

Nonostante quest’ aspetto un po’ incerto il guadagno mensile e le entrate di questi giovani hacker raggiungono sempre cifre molto alte, anche migliaia di sterline. Un altro hacker intervistato dalla BBC ha spiegato che molti utenti sono disposti a pagare per questi account a causa dell’esclusività di questi, o per il semplice motivo che magari hanno degli aggiornamenti speciali che altri non hanno. Dai dati emersi inoltre si evince che la maggior parte dei pirati informatici si sente protetta e sicura, e sa che non sarà individuata, nonostante la National Crime Agency abbia spiegato più volte che l’hackeraggio è un crimine punibile con la prigione, e moltissimi hacker sono già stati individuati in passato.

Come difendere il proprio account Fortnite?

I giovani hacker tendono a prendere di mira gli account Fortnite che non hanno attivato l’autenticazione a due fattori. Dunque se non lo avete ancora fatto, siete ancora in tempo per attivare questa procedura di sicurezza. Basta andare su Impostazioni Account e poi sulla voce “Password e sicurezza“.

Premendo sulla scheda “Autenticazione a Due Fattori”, vi si aprirà una nuova finestra e dovrete cliccare su “Attiva l’App Authenticator o Abilita Autenticazione Email”. Una volta completata l’operazione riceverete anche in regalo l’emote Boogiedown da utilizzare nella Battaglia Reale.

Come sviluppare un videogame anni 90′ con Processing

Stable Coins: sono davvero i successori del Bitcoin?