Hai trovato online Esafevault Wallet e stai valutando se usarlo per conservare le tue criptovalute, oppure hai già digitato la tua recovery phrase sul sito e vuoi capire cosa comporta? Il nostro osservatorio ha condotto una verifica tecnica del sito esafevault.com, esaminando registrazione del dominio, hosting, pagine pubbliche e codice sorgente dell’applicazione. In questo articolo trovi i risultati di quella verifica, spiegati in modo chiaro anche per chi non ha competenze tecniche.
L’elemento più rilevante emerso riguarda il modo in cui la piattaforma gestisce la cosiddetta seed phrase (o recovery phrase), ossia la frase di recupero che in un wallet di criptovalute funge da chiave d’accesso ai fondi. Prima di entrare nel dettaglio, ricostruiamo il quadro completo: chi si presenta come gestore del servizio, da quanto tempo esiste il dominio, e cosa mostra effettivamente il sito a chi lo visita.
Cos’è Esafevault Wallet e come si presenta
Il sito esafevault.com è online e pienamente raggiungibile: risponde con codice HTTP 200 e un tempo di risposta di 190 millisecondi, segno di un’infrastruttura tecnica funzionante. La pagina iniziale, tuttavia, non contiene alcun testo descrittivo del servizio: l’intero contenuto testuale della home page si riduce a due parole (“Esafevault Wallet”) seguite da un modulo di accesso con i campi Username e Password, e due soli collegamenti: “Create new wallet” (crea nuovo wallet) e “Import Seed Phrase” (importa la frase di recupero).
Non compare alcuna spiegazione di cosa sia il servizio, quali criptovalute supporti, chi lo gestisca o quali garanzie offra a chi lo utilizza. Un sito che si propone come strumento di custodia di asset digitali senza fornire alcuna informazione descrittiva sulla propria home page è una configurazione atipica rispetto agli standard di trasparenza adottati dai wallet più diffusi.
Registrazione del dominio e identità del gestore
Il dominio esafevault.com risulta registrato il 14 novembre 2025 tramite il registrar NameSilo LLC, con scadenza fissata al 14 novembre 2026: alla data della verifica ha quindi un’età di 284 giorni, meno di un anno. I dati del registrante (nome, indirizzo, contatti) sono mascherati tramite il servizio di privacy proxy PrivacyGuardian.org, che sostituisce le informazioni reali con un indirizzo generico a Phoenix, in Arizona. Questo significa che, consultando il registro pubblico WHOIS, non è possibile risalire a chi ha effettivamente registrato il dominio.
Il sito è ospitato su un server con indirizzo IP 86.107.197.135, riconducibile all’AS202448 di MVPS LTD, con infrastruttura fisica nei Paesi Bassi (Dronten, Flevoland). Si tratta di un provider orientato alla riservatezza dell’intestatario dei contenuti ospitati, il che rende più complesso risalire a chi gestisce concretamente il servizio anche attraverso l’infrastruttura tecnica. Il certificato SSL del sito è un certificato di tipo DV (Domain Validation, cioè un certificato che attesta solo il controllo tecnico sul dominio, non l’identità del soggetto che lo gestisce), emesso da Let’s Encrypt e valido dal 22 agosto 2026: un dato tecnico neutro, dato che Let’s Encrypt è utilizzato anche da innumerevoli siti legittimi.
In nessuna pagina raggiungibile del sito compare una ragione sociale, un indirizzo fisico dell’operatore, un numero di licenza o autorizzazione, un contatto email o un recapito telefonico. Non risulta, in altre parole, alcuna identità societaria verificabile dietro il servizio.
Pagine informative assenti: chi siamo, termini, privacy, licenza
Un wallet che custodisce asset digitali dovrebbe normalmente fornire, come minimo, una pagina che spieghi chi lo gestisce, termini e condizioni d’uso, un’informativa sulla privacy e, se opera come servizio finanziario regolamentato, gli estremi della licenza. Nella verifica di esafevault.com nessuna di queste pagine risulta raggiungibile: le sezioni “Chi siamo”, “Licenza”, “Termini”, “Contatti” e “Privacy” restituiscono tutte errore HTTP 404 (pagina non trovata).
Per escludere che si trattasse semplicemente di percorsi diversi da quelli tentati automaticamente, è stata effettuata anche una verifica manuale su percorsi comuni: /about, /terms, /privacy, /contact, /faq, /support, oltre ai file tecnici /robots.txt e /sitemap.xml. Tutti restituiscono lo stesso errore 404. Il sito espone pubblicamente soltanto due percorsi funzionali: il modulo di login e le due pagine collegate ai pulsanti della home, /Account/Register e /Account/ForgotPassword.
La pagina “Import Seed Phrase” e cosa succede quando inserisci la tua recovery phrase
Il punto centrale della verifica riguarda la pagina raggiungibile all’indirizzo /Account/ForgotPassword, intitolata “Import” e presentata sul pulsante della home come “Import Seed Phrase”. La pagina mostra una griglia di 12 campi di testo numerati da 1 a 12, predisposta per l’inserimento di una recovery phrase in formato BIP-39: uno standard tecnico diffuso nel settore delle criptovalute in cui una sequenza di 12 (o 24) parole in lingua inglese funge da chiave crittografica master, ovvero da codice che permette di ricostruire integralmente un wallet e movimentarne i fondi. Il codice della pagina riconosce anche l’incollaggio automatico di 12 parole separate da spazi, un comportamento tipico delle interfacce pensate specificamente per raccogliere questo tipo di frase.
Lo script che gestisce la pagina, /Assets/CustomJs/ForgotPassword.js, scaricato direttamente dal sito il 24 agosto 2026, contiene una funzione (checkRecovery()) che raccoglie i 12 valori digitati dall’utente, li unisce in un’unica stringa e la invia tramite una richiesta POST a un indirizzo del server, /Account/ValidateMnemonic. A seconda della risposta ricevuta dal server, lo script mostra poi all’utente un modulo per impostare una nuova password (se il server riconosce la frase come appartenente a un account esistente) oppure un modulo per creare un nuovo account (se non la riconosce), riutilizzando in entrambi i casi la stringa già trasmessa. Un secondo endpoint, /Account/ResetPasswordWithMnemonic, riceve poi la nuova password scelta dall’utente.
Perché questo comportamento si discosta dagli standard dei wallet non-custodial
I wallet di criptovalute si dividono principalmente in due categorie. I wallet custodial (letteralmente “con custode”) sono gestiti da un intermediario che detiene materialmente le chiavi crittografiche per conto dell’utente, in modo simile a una banca che custodisce il denaro dei clienti. I wallet non-custodial, come MetaMask, Trust Wallet o i dispositivi Ledger, sono invece progettati perché la chiave privata e la recovery phrase restino esclusivamente sul dispositivo dell’utente, generate e conservate in locale, senza mai transitare su un server esterno: è l’utente, e soltanto lui, a detenere il controllo effettivo dei fondi.
Questo principio — non digitare mai la propria recovery phrase su un sito web né trasmetterla a terzi — è ribadito in modo esplicito dai produttori stessi dei wallet non-custodial più diffusi ed è oggetto di raccomandazioni pubbliche anche da parte di enti come l’Agenzia per la Cybersicurezza Nazionale, proprio perché chiunque riceva quella sequenza di 12 parole ottiene, tecnicamente, la stessa capacità di movimentare i fondi del titolare originale, senza bisogno di altre credenziali.
Esafevault Wallet si presenta come un “wallet”, ma la sua funzione “Import Seed Phrase” richiede esplicitamente di digitare la recovery phrase in un modulo web e la trasmette a un server remoto per la validazione. Questo è un dato tecnico osservabile nel codice sorgente pubblico della pagina, non un’illazione: e rappresenta una discrepanza sostanziale tra la funzione dichiarata dal sito (importare un wallet esistente) e la prassi di sicurezza che il settore raccomanda per operazioni di questo tipo.
Profilo di rischio: riepilogo degli elementi osservati
La verifica condotta il 24 agosto 2026 ha rilevato i seguenti elementi, ciascuno ancorato a una fonte verificabile:
- Dominio recente:
esafevault.comè stato registrato il 14 novembre 2025, con un’età di soli 282 giorni al momento dell’analisi. - WHOIS anonimizzato: i dati del registrante sono mascherati tramite un servizio di privacy proxy, con un indirizzo generico non riconducibile a una persona o società identificabile.
- Hosting orientato alla riservatezza: il sito è ospitato su un provider (MVPS LTD, Paesi Bassi) noto per politiche che rendono difficile risalire all’operatore reale.
- Assenza totale di pagine informative: nessuna pagina “Chi siamo”, “Licenza”, “Termini”, “Privacy” o “Contatti” è raggiungibile, né tra le varianti tentate né tramite verifica manuale su percorsi standard.
- Nessuna identità societaria dichiarata: nessuna ragione sociale, indirizzo fisico, numero di licenza o recapito compare in alcuna pagina del sito.
- Raccolta della seed phrase tramite modulo web: la pagina “Import Seed Phrase” richiede la digitazione della recovery phrase e il relativo script la invia a un endpoint del server per la validazione, un comportamento tecnicamente distinto dalla prassi standard dei wallet non-custodial.
La combinazione di questi elementi — dominio anonimizzato e registrato da meno di un anno, hosting privacy-oriented, totale assenza di identità societaria e documentazione legale, e una funzione che raccoglie la recovery phrase dell’utente trasmettendola a un server remoto — costituisce un profilo di rischio che consiglia la massima prudenza prima di inserire dati sensibili o fondi su questa piattaforma.
Cosa fare se hai già digitato la tua seed phrase su Esafevault Wallet
Se hai già inserito la tua recovery phrase nel modulo di Esafevault Wallet, è opportuno agire con rapidità, perché quella frase va considerata compromessa da quel momento in poi:
- Trasferisci subito i fondi residui verso un nuovo wallet, generato con una recovery phrase completamente nuova e mai digitata su alcun sito web.
- Non riutilizzare la vecchia frase per nessun motivo, nemmeno temporaneamente: chiunque l’abbia ricevuta può disporre dei fondi collegati ad essa in qualsiasi momento.
- Verifica i movimenti dell’indirizzo associato al vecchio wallet tramite un block explorer pubblico, per capire se sono già stati effettuati trasferimenti non autorizzati.
- Conserva la documentazione: screenshot delle pagine, orari di utilizzo del sito, eventuali comunicazioni ricevute e gli hash delle transazioni sospette. Questi elementi sono utili per un’eventuale valutazione legale successiva.
Il quadro normativo di riferimento
La sottrazione di fondi ottenuta attraverso l’acquisizione non autorizzata di credenziali o chiavi d’accesso può integrare, a seconda delle circostanze concrete, la fattispecie di frode informatica prevista dall’art. 640-ter del codice penale. Sul piano civilistico, il Codice del Consumo tutela il consumatore contro le pratiche commerciali scorrette e ingannevoli, comprese quelle realizzate tramite un sito web che ometta informazioni essenziali sull’identità del gestore del servizio.
È orientamento consolidato che l’assenza di trasparenza informativa e di dati identificativi verificabili da parte di chi eroga un servizio online rilevi anche ai fini della valutazione della responsabilità di eventuali soggetti terzi coinvolti nella catena dei pagamenti, come istituti bancari o gestori di gateway, a seconda delle circostanze del caso concreto.
Quando rivolgersi a un avvocato
Valuta di approfondire la tua situazione con un supporto legale specializzato se ti trovi in una di queste condizioni: hai digitato la tua recovery phrase su Esafevault Wallet e hai riscontrato movimenti non autorizzati sui tuoi fondi; hai trasferito criptovalute o denaro verso la piattaforma e non riesci più ad accedere al servizio; oppure vuoi semplicemente capire quali passi intraprendere prima che la situazione peggiori. Un legale può valutare, caso per caso, le concrete possibilità di tutela in base alla documentazione disponibile e al metodo con cui hai operato, senza promettere risultati che non possono essere garantiti in anticipo.
Se anche tu hai digitato la tua recovery phrase su Esafevault Wallet o hai riscontrato difficoltà nell’accesso ai tuoi fondi, fissa subito una consulenza gratuita e valuteremo insieme quali passi intraprendere per tutelare il tuo patrimonio digitale.
Domande frequenti
Esafevault Wallet è un wallet non-custodial?
Si presenta come un wallet di criptovalute, ma il comportamento osservato nella funzione “Import Seed Phrase” — che richiede di digitare la recovery phrase in un modulo web e la trasmette a un server remoto — è tecnicamente distinto dalla prassi dei wallet non-custodial, in cui la chiave d’accesso resta sempre e soltanto sul dispositivo dell’utente.
Perché Esafevault Wallet chiede di inserire la recovery phrase in un modulo web?
Dal codice sorgente pubblico della pagina risulta che i 12 valori digitati vengono raccolti e inviati tramite richiesta POST a un endpoint del server (/Account/ValidateMnemonic) per una validazione lato server. Nei wallet non-custodial questa operazione avviene sempre in locale, sul dispositivo, senza che la frase lasci mai il dispositivo dell’utente.
Cosa rischio se ho già digitato la mia seed phrase su Esafevault Wallet?
Chiunque entri in possesso della tua recovery phrase può, tecnicamente, ricostruire il tuo wallet e disporre di tutti i fondi ad esso collegati, senza bisogno di ulteriori credenziali. Se hai digitato la frase su un sito web, conviene considerarla compromessa e trasferire subito i fondi residui verso un nuovo wallet con una nuova frase, mai inserita altrove.
Esafevault Wallet è registrato o autorizzato da qualche authority?
Nella verifica effettuata non è emersa alcuna pagina del sito che dichiari una licenza, un’autorizzazione o un ente di vigilanza di riferimento. Non compare inoltre alcuna ragione sociale né alcun dato identificativo del soggetto che gestisce il servizio.
Cosa devo controllare prima di usare un wallet di criptovalute trovato online?
Verifica sempre che il sito dichiari chiaramente chi lo gestisce, con ragione sociale e contatti verificabili; controlla se esistono pagina “Termini” e “Privacy” effettivamente raggiungibili; e soprattutto assicurati che nessuna funzione del servizio richieda di digitare la tua recovery phrase in un modulo web. In un wallet non-custodial legittimo, quella frase non lascia mai il tuo dispositivo.