Recensione del wallet Xverse: sicurezza, recupero e il gap di audit

Xverse è un wallet Bitcoin self-custodial di Secret Key Labs Limited, una società di Hong Kong, disponibile come estensione Chrome e come app per iOS e Android. Il wallet non applica alcuna commissione di installazione o di custodia e non aggiunge alcun costo per un normale invio di Bitcoin. I provider terzi stabiliscono i prezzi di acquisti, swap e servizi cross-chain. Il pool STX stacking di Xverse trattiene una commissione di gestione dalle ricompense.

La copertura di Xverse su Bitcoin è ampia. Oltre a BTC, gestisce Ordinals, Runes e token BRC-20, oltre a Stacks, Starknet, Spark e Lightning, e crea indirizzi di pagamento separati e indirizzi Taproot per ridurre il rischio che inscriptions o rare sats vengano selezionati come input Bitcoin ordinari.  

Profilo di test

Cosa abbiamo testato e cosa no

Abbiamo installato l’estensione Chrome su Windows, creato un wallet da zero, esaminato le schermate Invia, Ricevi, Compra e Vendi, registrato i preventivi dei provider offerti per un acquisto con carta, quindi rimosso l’estensione, reinstallata e ripristinato il wallet dalla frase di recupero.

Non abbiamo completato un acquisto con carta, eseguito un pagamento cross-chain, usato la web app di swap esterna, associato un hardware wallet o testato le app mobili. Insieme alla sessione, abbiamo letto il report di audit pubblicato, le pagine su sicurezza e privacy, la knowledge base di supporto e i repository pubblici GitHub. Qualsiasi informazione tratta da questi e non dal nostro utilizzo è contrassegnata come tale.

Xverse in sintesi

Come configurare Xverse

La configurazione richiede quattro schermate e termina in meno di un minuto.  

Testato sulla versione 2.7.3, il 19 agosto 2026.

Passo 1. Crea un nuovo wallet o ripristina uno esistente

L’estensione si apre con due pulsanti.

Screenshot: estensione Chrome di Xverse 

Passo 2. Leggi l’avviso sulla raccolta dati

L’app avverte che raccoglierà dati anonimi di utilizzo per comprendere meglio gli utenti e migliorare l’app, e indica che l’impostazione può essere modificata.  

Screenshot: avviso sulla raccolta dati

Passo 3. Imposta e conferma la password

La password crittografa le chiavi private sul dispositivo.

Screenshot: impostazione della password

Passo 4. Il wallet viene creato — senza backup

A questo punto il wallet esiste e può ricevere fondi. Xverse non offre di mostrare o fare il backup della recovery phrase durante la configurazione e non richiede di annotarla prima che il wallet diventi utilizzabile.

Screenshot: finalizzazione della creazione del wallet 

Il prompt di backup arriva dopo

Alla successiva apertura dell’estensione, Xverse propone di fare il backup della seed phrase.  

Screenshot: promemoria di backup

Come Xverse organizza gli indirizzi

La schermata Ricevi mostra due indirizzi Bitcoin: un indirizzo Native SegWit e un indirizzo Nested SegWit.

Screenshot: schermata Ricevi di Xverse

Secondo la documentazione di Xverse, il wallet separa le famiglie di asset in base al tipo di indirizzo e tiene Ordinals, Runes e token BRC-20 su un indirizzo Taproot distinto da quelli che contengono bitcoin spendibili. Un wallet che raggruppa ogni satoshi in un unico saldo può selezionare come input di un pagamento ordinario un satoshi che contiene un’inscription di valore, e l’artefatto viene perso nel resto. La derivazione separata rende ciò strutturalmente difficile.

Come Xverse riceve e invia bitcoin

La sezione Invia contiene tre schede.

Invia a indirizzo richiede un indirizzo del destinatario, un importo e una fee di rete. La fee è regolabile, con livelli di priorità Media e Alta selezionabili per una conferma più rapida.

Il materiale di supporto di Xverse spiega che le fee sono quotate in satoshi per byte virtuale e vanno ai miner, mentre Secret Key Labs afferma di non controllarle né trarne profitto. 

La dimensione della transazione, e quindi il costo, dipende da quanti input e output richiede un pagamento, quindi un saldo composto da molti piccoli pezzi costa di più da spostare rispetto alla stessa somma detenuta in un unico importo. 

Xverse osserva inoltre che alcuni wallet esprimono lo stesso tasso in satoshi per unità di peso, dove 1 sat/vB equivale a 0,25 sat/WU — un tasso copiato tra wallet senza conversione è errato di un fattore quattro.

Screenshot: schermata Invia di Xverse

Lightning presenta una singola riga di indirizzo.

Screenshot: schermata di pagamento Lightning

Cross-chain passa da una stablecoin all’altra su reti diverse e mostra un avviso che il pagamento è gestito tramite Flashnet.

Screenshot: schermata di pagamento cross-chain

Tre schede, tre modelli di regolamento, un solo pulsante Invia. On-chain attende i blocchi, Lightning si regola off-chain, e il percorso cross-chain dipende da una terza parte di cui la maggior parte degli utenti non avrà mai sentito parlare e che non ha scelto.  

Come acquistare bitcoin con carta in Xverse

Xverse non vende bitcoin direttamente. Presenta diverse opzioni per acquistare crypto, una delle quali è un trasferimento con carta di credito, e quel percorso ti consente di scegliere da un elenco di provider disponibili.

Screenshot: schermata Buy di Xverse

I wallet che integrano un unico on-ramp nascondono quanto sarebbe costata l’alternativa; un wallet che elenca provider concorrenti trasforma la scelta in una decisione, e negli acquisti ripetuti quella decisione si accumula. Ogni provider in quell’elenco prezza il proprio servizio, e il wallet funge da una sorta di vetrina.

La schermata Buy offre un’alternativa etichettata Paga con crypto, e selezionandola verrai reindirizzato a portfolio.xverse.app/swap, dove colleghi un wallet per avviare una transazione.

Screenshot: app Swap di Xverse

La documentazione di supporto di Xverse indica Changelly come provider dietro gli swap cross-chain, con tolleranza di slippage fissata al 10% e non regolabile.

Come incassare

La schermata Vendi sposta BTC o stablecoin su una carta bancaria o tramite trasferimento SEPA.

Screenshot: schermata Vendi di Xverse

Entrambe le direzioni passano tramite terze parti. Anche la disponibilità di SEPA implica un corridoio europeo, il che significa che il set di opzioni cambia quasi certamente in base alla regione.

Come fare swap 

Xverse ha una schermata swap, e funziona senza reindirizzarti altrove. Non converte tra ecosistemi. Le coppie offerte restano sulla chain di Bitcoin, coprendo un insieme definito di asset nativi di Bitcoin. Ethereum, Solana e altre reti non compaiono come opzioni, quindi chi si aspetta di scambiare ETH con SOL qui non troverà la coppia.

Screenshot: schermata Swap di Xverse

Uno swap limitato a una sola chain sposta valore solo all’interno di Bitcoin. Chi vuole detenere altro deve comunque scambiare Bitcoin (BTC) tramite un servizio esterno, e Xverse offre un percorso per farlo tramite exchange di terze parti (attraverso Changelly). 

Reti e asset supportati

Xverse copre il layer base di Bitcoin e una serie di chain costruite attorno ad esso: BTC, Ordinals, Runes, token BRC-20 e Rare Sats su Bitcoin stesso, poi Stacks con i suoi token SIP-10, Starknet, Spark, sBTC e Lightning. Il supporto alle stablecoin copre USDC e USDB, e la scheda cross-chain della schermata Invia sposta stablecoin tra reti diverse.

Tre precisazioni contano.

Gli asset di altri ecosistemi arrivano tramite conversione, non tramite custodia. Detenere Solana (SOL) o Ethereum (ETH) in forma nativa richiede comunque un secondo wallet.

I layer si regolano in modo diverso tra loro. Bitcoin attende i blocchi, Lightning si chiude off-chain, e Stacks e Starknet seguono ciascuno il proprio modello di conferma. Un’unica interfaccia copre diversi insiemi di regole su quando il denaro sia effettivamente arrivato.

E l’elenco continua a crescere. Xverse aggiunge layer con costanza, quindi controlla l’app anziché qualsiasi insieme pubblicato, compresa questa recensione.

Cos’altro c’è nell’app

Xverse è andato ben oltre la semplice custodia, e la maggior parte delle aggiunte coinvolge una parte esterna:

• Prodotti Earn, che comprendono lo staking di Stacks tramite il pool Xverse, lo staking nativo WBTC tramite il validator Xverse e lo staking BTC tramite Lombard. Il sito di Xverse afferma che i tassi di rendimento sono variabili e mai garantiti.
• Xverse Cash, una scheda per stablecoin e pagamenti su Spark e Starknet.
• Strumenti per sviluppatori: una API pubblica, un servizio Bitcoin RPC, la libreria Sats Connect e un agent wallet per l’uso programmatico.

Quest’ultimo punto merita una recensione perché è una scelta di progettazione, non un bug. Ogni pop-up allena l’utente a chiudere una finestra modale senza leggerla, e un wallet spende la sua credibilità residua sulle modali che contano di più — quelle che chiedono una firma. L’abitudine è economica da costruire e costosa da disimparare.

Nota cosa costa l’ampiezza altrove. Ogni integrazione è un punto in cui codice che Xverse non ha scritto chiede un’approvazione, e la postura di sicurezza del wallet è buona solo quanto il più debole di questi. È il compromesso che il prodotto fa deliberatamente, ed è ragionevole, ma va affrontato a occhi aperti.

Cosa puoi verificare da solo

Qui il marketing e le prove prendono strade diverse.

• Codice sorgente. Secret Key Labs pubblica su GitHub l’estensione browser, la libreria core e Sats Connect. Non abbiamo trovato repository pubblici per le applicazioni iOS o Android. Per l’estensione browser, il codice sorgente è disponibile sotto una licenza custom non commerciale.
• Audit — uno, del 2021. Abbiamo trovato un solo audit pubblico di terze parti: la review 2021 di Least Authority dell’allora wallet mobile Stacks corrente. Non abbiamo trovato alcun report pubblicato che copra l’attuale estensione, gli asset nativi Bitcoin, Starknet, Spark, Lightning, gli swap o l’aggregazione dei provider.
• Privacy — parzialmente verificabile. La pagina sicurezza di Xverse afferma che il servizio non traccia indirizzi di account o saldi. La sua privacy policy è più ampia: consente la raccolta di indirizzi wallet, dettagli delle transazioni, dati di utilizzo, identificatori del dispositivo, indirizzi IP, dati del browser e del sistema operativo e informazioni elaborate da funzionalità di terze parti. Queste due descrizioni ufficiali non sono pienamente coerenti.

Nulla di questo rende il wallet insicuro. Significa che le due garanzie su cui un utente attento si appoggia di più sono più deboli di quanto sembrino.

Incidenti di sicurezza

Un incidente divulgato è un breve record pubblico, e Xverse lo ha gestito emettendo un avviso di prima parte che indicava la causa, le versioni interessate, le condizioni di esposizione e la correzione, pubblicato entro un giorno.

Il guasto non stava nella crittografia, ma in un’ipotesi sull’ambiente sottostante: una funzione password che funzionava come progettato mentre il browser scriveva comunque il segreto su disco. Xverse ha notato che l’esposizione richiedeva una macchina già compromessa.

Recupero: il backup funziona?

Un backup che nessuno ha testato è una speranza. Abbiamo rimosso l’estensione Chrome, reinstallata su una macchina Windows e ripristinato dalla recovery phrase, conservata nel modo in cui una recovery phrase dovrebbe essere conservata.

Il flusso di ripristino chiede quale wallet recuperare invece di presumere che ce ne sia uno solo.

Screenshot: schermata di ripristino del wallet

Xverse usa il selettore del wallet sorgente per scegliere il percorso di derivazione usato dal client originale. Selezionare la sorgente sbagliata può produrre indirizzi inattesi o un saldo vuoto anche quando la recovery phrase è corretta.

Gli indirizzi coincidono carattere per carattere, e con loro sono tornati anche saldo e storico. Questo è il risultato che vuoi, ed è importante dirlo chiaramente perché la sezione che conta di più in qualsiasi recensione di wallet è quella che dimostra che l’uscita funziona.

Una nota che il test non copre: abbiamo verificato l’indirizzo Native SegWit. Chiunque detenga Ordinals, Runes o token BRC-20 dovrebbe verificare separatamente l’indirizzo Taproot dopo un ripristino, poiché è lì che risiedono tali asset, e un saldo BTC corrispondente non dice nulla su di essi.

Dove l’interfaccia ci ha confusi

Il wallet esiste prima del backup. La configurazione termina, il wallet può ricevere fondi e la recovery phrase non è ancora stata mostrata. Il prompt arriva al lancio successivo e può essere ignorato. Nel frattempo, niente nel flusso segna il wallet come non salvato, e la sequenza ribalta silenziosamente la regola che ogni guida sui wallet insegna.

Le modali promozionali competono con i prompt di sicurezza. I pop-up compaiono abbastanza spesso durante l’uso normale da diventare rumore di fondo.

Screenshot: pop-up promozionali di Xverse 

Punti di forza

• Indirizzi separati per i pagamenti Bitcoin e Taproot riducono il rischio di spendere accidentalmente inscriptions e rare sats.
• Il recupero testato ha ripristinato indirizzo Native SegWit, saldo e storico in meno di un minuto.
• I preventivi di acquisto vengono confrontati tra più provider invece di essere nascosti dietro una sola integrazione.
• Il wallet supporta asset nativi Bitcoin insieme a Stacks, Starknet, Spark, Lightning e percorsi di pagamento in stablecoin.
• Xverse ha pubblicato un avviso dettagliato di prima parte e la correzione dopo il problema dell’estensione nel 2023.

Limitazioni

• L’estensione e la libreria core sono source-available sotto una licenza non commerciale restrittiva, non open source.
• Non è stato trovato alcun repository pubblico ufficiale per il client mobile.
• L’unico audit pubblico di terze parti trovato risale al 2021 e precede la maggior parte delle funzioni attuali.
• Il marketing sulla privacy di Xverse e la privacy policy descrivono la raccolta dati in modo diverso.
• Le funzioni di swap, pagamento, Lightning, acquisto, vendita e rendimento dipendono da diversi provider esterni.
• La configurazione consente al wallet di diventare utilizzabile prima che la recovery phrase sia stata salvata.

A chi si adatta Xverse e a chi no

Se possiedi Ordinals, Runes o Rare Sats

La derivazione Taproot separata è una protezione strutturale proprio per questi asset. Un wallet che raggruppa tutti i satoshi può spendere un’inscription di valore come parte di una fee, e nessuna attenzione al momento dell’invio lo impedisce in modo affidabile.

Se compri Bitcoin con carta regolarmente

Tredici opzioni con confronto tra provider fanno qualcosa che la maggior parte dei wallet non fa: ti permettono di vedere i preventivi delle alternative invece di nasconderli dietro un’unica integrazione. Negli acquisti ripetuti, questa visibilità vale più della rifinitura dell’interfaccia.

Se leggi il codice prima di fidarti

Le app mobili non hanno alcun repository pubblico che siamo riusciti a trovare, e l’unico audit pubblicato risale al 2021 e copre un prodotto che non assomiglia più a questo. L’estensione è l’unica build che puoi ispezionare.

Se vuoi una superficie d’attacco ridotta

Acquisti, vendite, staking, pagamenti cross-chain, un’app di swap esterna e un agent wallet la ampliano tutti, e le frequenti modali promozionali allenano esattamente il riflesso su cui si basa un prompt malevolo. Un wallet che invia e riceve solo bitcoin ti offre meno punti in cui approvare qualcosa che non hai letto fino in fondo.

Se questo fosse il tuo primo wallet

L’ordine di configurazione lo sconsiglia. Un wallet che diventa spendibile prima di mostrarti la recovery phrase scarica il peso dell’accorgersi su qualcuno che ancora non sa cosa deve notare.

Verdetto

Xverse è più forte per gli utenti che gestiscono attivamente Bitcoin, Ordinals, Runes e altri asset nativi Bitcoin da un’unica interfaccia. Il suo flusso di recupero ha funzionato bene nello scenario testato da Xverse a Xverse, ma la sua storia di verifica è più debole di quanto suggerisca il marketing “open source e regolarmente auditato”. È un wallet ricco di funzioni per l’uso attivo, non la scelta più chiara per chi dà priorità a una superficie d’attacco minima, al codice client completamente aperto e a copertura di audit recente.

Alternative

• Exodus — tiene Bitcoin insieme a dozzine di altri asset, con un on-ramp con carta e supporto chat live nell’app. La sua applicazione principale è closed source, quindi il compromesso rispetto a Xverse va nella direzione opposta: copertura più ampia e aiuto più rapido, meno da ispezionare. Scegli Exodus al posto di Xverse se hai un portafoglio misto e dai valore alla rapidità del supporto più che alla gestione di asset nativi Bitcoin.
• Trust Wallet — copre Bitcoin, Ethereum, Solana e altri da una sola recovery phrase, con acquisti con carta nell’app. Non offre supporto per Ordinals, Runes o BRC-20, quindi chi detiene artefatti nativi Bitcoin perde la separazione degli indirizzi su cui Xverse è costruito. Vale la pena notare che l’estensione browser di Trust Wallet ha subito un compromesso confermato nel dicembre 2025, interessando la versione 2.68 e risolto nella 2.69 — una categoria di evento che il record pubblico di Xverse non contiene ancora.
• Rabby — costruito esclusivamente per le reti EVM, senza alcun supporto Bitcoin, quindi è un complemento più che un sostituto per la maggior parte degli utenti di Xverse. Il motivo per citarlo qui è la postura sugli audit: Rabby pubblica una serie di report di terze parti datati, che è lo standard rispetto al quale leggere l’unico documento del 2021 di Xverse. Scegli Rabby se i tuoi asset sono solo EVM e la verificabilità conta più dell’ampiezza degli asset.

Domande frequenti

Quanto costa Xverse?

Nulla da installare e nulla per detenere asset, e Secret Key Labs non trattiene alcuna percentuale sulle operazioni del wallet. Paghi le fee di rete Bitcoin on-chain, con livelli di priorità regolabili nella schermata di invio. Oltre a questo, le terze parti stabiliscono i propri costi: il provider di acquisto per un buy con carta e Flashnet per un pagamento cross-chain.

Xverse è sicuro da usare?

È self-custodial, e Xverse afferma di non poter congelare o accedere ai fondi. Un incidente è presente nel record pubblico, del giugno 2023, quando le recovery phrase sono arrivate in un log Chrome non crittografato; non sono state riportate perdite ed è stato corretto entro pochi giorni. Il nostro test di recupero è andato a buon fine. I punti più deboli riguardano la verifica più che gli incidenti.

Xverse è open source?

Lo è in parte. L’estensione browser, la libreria core e Sats Connect appaiono su GitHub, e il security notice del 2023 di Xverse limita l’affermazione all’estensione. Non abbiamo trovato repository pubblici per le app iOS o Android, quindi gli utenti mobili non possono ispezionare il codice che eseguono. Xverse presenta il prodotto come open source, mentre i due principali repository pubblici del wallet usano una licenza custom restrittiva.

Xverse è stato auditato?

Una volta, pubblicamente. Least Authority ha completato un report il 27 agosto 2021, relativo a quella che ha descritto come un’applicazione wallet mobile per la blockchain Stacks. Non abbiamo trovato alcun report pubblicato che copra Ordinals, Runes, aggregazione dei provider o qualsiasi layer Bitcoin aggiunto da allora. L’espressione “regolarmente auditato” si basa su quel singolo documento vecchio di cinque anni.

Perché Xverse mi mostra due indirizzi Bitcoin?

La schermata Ricevi elenca un indirizzo Native SegWit e un indirizzo Nested SegWit. Xverse separa le famiglie di asset per tipo di indirizzo, e la sua documentazione colloca Ordinals, Runes e token BRC-20 su un indirizzo Taproot separato dai bitcoin spendibili, così un’inscription di valore non viene mai selezionata come input di un pagamento ordinario e persa come resto.

Posso fare swap di coin all’interno di Xverse?

Xverse ha diversi percorsi di conversione e pagamento piuttosto che un unico motore di swap universale. Gli swap BTC-to-STX avvengono nel wallet tramite Changelly. Gli swap di Runes confrontano diversi marketplace e liquidity provider. Una web app separata gestisce le conversioni da ecosistemi esterni come Ethereum o Solana, mentre il percorso cross-chain della schermata Invia è un flusso di pagamento in stablecoin che coinvolge Flashnet.

Xverse richiede la verifica dell’identità?

No, per creare o detenere un wallet — la configurazione richiede una password, e nient’altro. Comprare o vendere è diverso, perché queste operazioni passano tramite provider terzi che applicano i propri controlli prima di rilasciare fondi o denaro. Xverse lo afferma sul proprio sito invece di lasciartelo scoprire da solo.

La recovery phrase ripristina tutto?

Nel nostro test, sì per Bitcoin. Abbiamo reinstallato l’estensione su Windows, inserito la frase e l’indirizzo Native SegWit corrispondeva carattere per carattere, con saldo e storico intatti in meno di un minuto. Chi detiene Ordinals o Runes dovrebbe verificare separatamente l’indirizzo Taproot, poiché un saldo BTC corrispondente non prova nulla su questi asset.

Fonti

Tutti i link verificati il 19.08.2026.

• Sito ufficiale di Xverse, pagina sicurezza e FAQ
• Pagina sicurezza e audit di Xverse
• Audit di Least Authority su Secret Key Labs Xverse Wallet, 27 agosto 2021
• Indice degli audit pubblicati di Least Authority
• Avviso di sicurezza Xverse: problema di crittografia dell’estensione Chrome, 7 giugno 2023
• Repository pubblici di Secret Key Labs
• Supporto Xverse: come fare swap da ETH o SOL a BTC
• Supporto Xverse: saldo insufficiente includendo la fee di transazione
• Supporto Xverse: come vengono stimate le fee di transazione
• Documentazione per sviluppatori di Xverse
• Xverse sul Chrome Web Store