Wallet Solana: cos'è e come creare Phantom

Cos'è un wallet crypto (e cosa non è)

Partiamo dall'equivoco più comune: un wallet crypto non è un borsellino con dentro i soldi. I token non stanno "dentro" l'app sul tuo telefono: stanno registrati sulla blockchain, un registro pubblico distribuito. Quello che il wallet custodisce sono le chiavi private, cioè la prova crittografica che quei token sono tuoi e che solo tu puoi muoverli. Perdere il telefono non significa perdere i token: finché hai la recovery phrase, puoi rigenerare le chiavi su qualsiasi altro dispositivo. Perdere la recovery phrase (e tutti i dispositivi configurati), invece, sì.

La seconda distinzione fondamentale è tra wallet custodial e non-custodial. Se tieni criptovalute su un exchange o dentro un'app come Revolut, il wallet è custodial: le chiavi le custodisce l'azienda, tu hai un saldo a schermo, un po' come con una banca. È comodo (password dimenticata? si recupera), ma sei vincolato alle regole e alla solidità di chi custodisce. Con un wallet non-custodial come Phantom, invece, tu sei l'unico custode: le chiavi esistono solo sui tuoi dispositivi e sulla carta dove hai scritto la recovery phrase. Più libertà — nessuno può congelarti i fondi — ma anche piena responsabilità: non esiste un "ho dimenticato la password" dell'ultima istanza. Se la frase sparisce, i fondi sono irrecuperabili, e non per cattiveria di qualcuno: proprio la documentazione ufficiale di Phantom dichiara che l'azienda non conserva alcuna copia della tua frase e non può ripristinarla.

Perché serve per Grass.io e UpRock

Delle cinque app passive recensite su questo sito, tre (Honeygain, JumpTask e EarnApp) pagano in dollari via PayPal o simili, e per quelle un wallet crypto non serve. Grass.io e UpRock, invece, pagano rispettivamente in token GRASS e UPT, entrambi emessi sulla blockchain Solana. Per ricevere, custodire e poi eventualmente vendere quei token serve un indirizzo Solana, cioè un wallet — e Phantom è il più usato dell'ecosistema, oltre a essere quello che uso io.

Un punto che ho già sottolineato nelle guide dei due servizi e che ripeto volentieri: il wallet non serve per iniziare. Sia Grass sia UpRock accumulano punti sul tuo account anche senza wallet collegato; il wallet entra in gioco solo al momento della conversione o del prelievo. Crearlo prima non fa guadagnare nulla di più, e tenerlo collegato senza motivo aggiunge solo una superficie di rischio in più. La sequenza sensata è: accumula, e quando hai un motivo concreto per prelevare, crea il wallet seguendo i passaggi qui sotto.

Nota a margine: un solo wallet basta per entrambe le piattaforme. Un indirizzo Solana può ricevere qualsiasi token di quella rete, quindi non servono due wallet separati per GRASS e UPT (anche se separare i wallet per usi diversi resta una buona pratica di sicurezza, come vedremo più avanti).

Phantom: le due strade per creare il wallet

Phantom è gratuito ed esiste in due forme: estensione browser (Chrome, Firefox, Edge e altri) e app mobile (iOS e Android). Io uso entrambe: l'estensione sul PC, che è la più comoda da collegare a servizi web come Grass, e l'app su iPhone per avere il saldo sotto controllo. Prima regola, che vale più di tutte le altre messe insieme: si scarica solo da phantom.com/download, mai da risultati sponsorizzati nei motori di ricerca, mai da link ricevuti via chat o social. Le estensioni contraffatte che imitano Phantom esistono e servono a un unico scopo: farti inserire la seed phrase per rubartela.

A luglio 2026 la documentazione ufficiale prevede due modalità di creazione del wallet, e c'è un dettaglio che molte guide in giro non riportano perché superate: la creazione classica con recovery phrase è oggi disponibile solo nell'estensione browser. Sull'app mobile un wallet nuovo si crea con account Google o Apple; la frase si può comunque importare o esportare in un secondo momento.

Opzione A — Estensione browser, wallet con recovery phrase

È il percorso classico, quello che dà il controllo più diretto. I passaggi ufficiali:

Opzione B — Account Google o Apple (mobile ed estensione)

Dal 2024 Phantom permette di creare il wallet accedendo con un account Google o Apple — è quello che la documentazione chiama wallet "seedless" o "email wallet". Sull'app mobile: tocca Continue with Google o Continue with Apple, accedi, e se richiesto imposta un PIN di 4 cifre; puoi poi attivare Face ID o impronta per lo sblocco del dispositivo. Sull'estensione il percorso equivalente è Create a New Wallet → Continue with Email. Il wallet resta non-custodial: secondo la documentazione ufficiale nessuno — nemmeno Phantom — può decifrarlo senza il tuo account e il tuo PIN, e la recovery phrase esiste comunque e puoi esportarla quando vuoi dalle impostazioni.

Due avvertenze che vengono direttamente dalle FAQ ufficiali e che è bene sapere prima: dopo 7 tentativi di PIN sbagliati il backup criptato sul dispositivo viene cancellato (recuperi il wallet solo se hai un altro dispositivo già connesso o se avevi esportato la recovery phrase); e l'account Google/Apple usato alla creazione non si può cambiare. Il tuo account Google o Apple diventa di fatto parte delle chiavi di casa: proteggilo con una password seria e l'autenticazione a due fattori.

Quale scegliere? Per chi parte da zero e vuole la strada più semplice, l'Opzione B è onestamente più a prova di errore: niente foglio di carta da custodire subito, recupero legato a un account che già usi. Per chi preferisce il controllo pieno e indipendente da Google/Apple, l'Opzione A resta il percorso di riferimento. In entrambi i casi il wallet è non-custodial, e in entrambi i casi la regola sulla seed phrase che segue vale identica.

La seed phrase: le regole non negoziabili

La recovery phrase è una sequenza di 12 parole inglesi generate alla creazione del wallet secondo lo standard aperto BIP-39 (Phantom può anche importare frasi da 24 parole create altrove). Da quelle 12 parole si ricostruiscono matematicamente tutte le chiavi del wallet: chi le possiede, possiede i fondi. Da qui discendono le regole, tutte confermate dalla documentazione ufficiale:

• Non condividerla mai con nessuno. Non esiste un solo caso legittimo in cui qualcuno debba chiederti la seed phrase. Il banner in cima al sito di supporto di Phantom lo dice testualmente: il supporto ufficiale non ti scriverà mai in privato e non ti chiederà mai la frase. Chiunque lo faccia — "supporto" di Grass, "supporto" di Phantom, un admin Telegram, un sito che promette airdrop — è un truffatore, senza eccezioni.
• Solo su carta, mai in digitale. Niente file, foto, screenshot, email a te stesso, gestori di note sul cloud. Un malware che trova la frase in un file di testo svuota il wallet in secondi.
• Phantom non può recuperarla. Nessuna copia sui server: se la perdi (e non hai dispositivi ancora connessi), il wallet è perso. Non è un difetto, è il prezzo del non-custodial.
• Non si può cambiare. La frase è generata una volta sola e non è sostituibile. Se sospetti che qualcuno l'abbia vista, crea subito un wallet nuovo e trasferisci i fondi.
• La password e il PIN non sono la seed phrase. La password dell'estensione sblocca solo quel browser; il PIN serve al recupero con account Google/Apple. L'unico backup universale del wallet è la frase.

Siti-clone e finti airdrop: come funziona la truffa tipo

Questo è il rischio numero uno, e non è teorico: nella pagina sicurezza del cluster Grass ho documentato l'esistenza di siti fraudolenti che imitano il progetto ufficiale, con pagine di finto "voto" o "airdrop straordinario" che chiedono di collegare il wallet per svuotarlo. Il copione è sempre lo stesso, e vale per qualsiasi progetto crypto o DePIN di un certo successo: arriva un messaggio via Telegram, Discord, email o social che promette un bonus improvviso, un airdrop "in scadenza", una "verifica del wallet" necessaria per sbloccare ricompense. Il link porta a un sito che copia il design dell'originale in modo quasi identico, cambiando pochi caratteri nel dominio. Lì ti viene chiesto di collegare il wallet e firmare una transazione — o peggio, di inserire la seed phrase. In entrambi i casi, il contenuto del wallet sparisce.

Le regole pratiche per non caderci:

• Collega il wallet solo ai domini ufficiali digitati o verificati da te (per Grass: grass.io e app.grass.io; per UpRock: uprock.com) — mai da link ricevuti in chat
• Controlla l'indirizzo esatto nella barra del browser prima di ogni collegamento o firma
• Diffida per principio di qualsiasi urgenza: "airdrop in scadenza", "verifica entro 24 ore" sono leve psicologiche, non procedure reali
• Nessun sito legittimo chiede mai la seed phrase per "collegare" il wallet: il collegamento avviene sempre tramite l'estensione o l'app, senza digitare la frase
• Leggi cosa stai firmando: prima di approvare una transazione, Phantom mostra cosa autorizzi — se non lo capisci, non firmare
• Se possibile, usa un profilo browser o un wallet dedicato alle app passive, separato da quello dove tieni eventuali fondi più importanti: se sbagli, limiti il danno

Un paradosso da tenere a mente: più un progetto diventa popolare, più attira cloni e phishing. L'ondata di truffe a tema Grass è, a suo modo, un segnale della popolarità del progetto — ma resta un rischio concreto da gestire con metodo, non da liquidare con "tanto io me ne accorgerei".

Hardware wallet: quando ha senso pensarci

Un hardware wallet è una piccola chiavetta dedicata che custodisce le chiavi private in un chip isolato: le transazioni si firmano fisicamente sul dispositivo, così le chiavi non toccano mai il PC o il telefono, e un malware sul computer non può rubarle. Phantom supporta nativamente i dispositivi Ledger, sia dall'estensione browser sia dall'app mobile: il wallet hardware si collega e si gestisce dall'interfaccia di Phantom, con la sicurezza aggiuntiva della firma fisica.

Serve a chi inizia con Grass o UpRock? Onestamente, no: per dei punti in accumulo che valgono pochi euro, un hardware wallet da 60-80€ non ha senso economico. Il momento giusto per pensarci è quando nel wallet arriva un importo che ti farebbe davvero male perdere — la soglia esatta è personale, ma il principio che ho scritto anche nella guida Grass è: se un domani i token convertiti diventassero una cifra significativa, il posto giusto dove spostarli è un wallet fisico, non un'estensione browser lasciata collegata a tempo indefinito.

Gli errori più comuni

• Salvare la seed phrase in digitale. Screenshot, file, note sul telefono, email a se stessi: è l'errore che alimenta la maggior parte dei furti. Carta, e basta.
• Installare l'estensione dal posto sbagliato. Gli annunci sponsorizzati sui motori di ricerca sono stati usati più volte per distribuire estensioni contraffatte. Si parte sempre da phantom.com, digitato a mano.
• Digitare la seed phrase su un sito. La frase si inserisce solo dentro l'app o l'estensione ufficiale di Phantom, e solo quando sei tu a voler ripristinare il wallet. Qualsiasi sito che la chieda è una truffa.
• Confondere password, PIN e seed phrase. Password ed eventuale PIN sono sblocchi locali o di recupero; la frase è l'unico backup vero. Proteggere la password e perdere la frase non salva nulla.
• Trascurare l'account Google/Apple del wallet seedless. Se il wallet è legato a quell'account, chi entra nel tuo account email è a metà strada dai tuoi fondi. Password robusta e 2FA non sono optional.
• Creare il wallet "per prepararsi" e lasciarlo collegato ovunque. Per Grass e UpRock il wallet serve solo alla conversione: crearlo in anticipo e collegarlo a servizi a caso aggiunge rischio senza aggiungere un centesimo.
• Firmare transazioni senza leggerle. L'approvazione distratta di una transazione malevola è l'equivalente crypto di firmare un foglio in bianco.

La nota fiscale (breve, ma dovuta)

I token che un giorno dovessi ricevere e custodire su un wallet come Phantom sono cripto-attività, e come tali hanno una rilevanza fiscale: per i residenti in Italia è previsto il monitoraggio nel quadro RW (o quadro W del 730) e, dal 2023, un'imposta sul valore delle cripto-attività, oltre alla tassazione delle eventuali plusvalenze al momento della vendita. Le regole sono diverse da quelle dei conti esteri e sono cambiate più volte negli ultimi anni: questa guida si ferma qui di proposito. Per il quadro generale sul monitoraggio fiscale (a cosa serve, come funziona il quadro RW, cosa rischia chi non dichiara) ti rimando alla guida Dichiarare un IBAN estero; per la tua situazione specifica sulle cripto-attività, il consiglio è uno solo: parlane con il tuo commercialista, portandogli lo storico delle operazioni.

Domande frequenti

Guide correlate

• 🌱 Guida Grass.io
• 🌱 Grass.io: come iniziare
• 🪨 Guida UpRock
• 🪨 UpRock: come iniziare
• ⚖️ Dichiarare un IBAN estero