Portafogli HD spiegati: come BIP32 trasforma un seed in un albero di chiavi

Un portafoglio gerarchico deterministico (HD) deriva un numero illimitato di chiavi da un singolo seed. Capire il meccanismo conta per il recupero: spiega perché un solo seed può produrre molti portafogli dall’aspetto valido, e perché il percorso di derivazione e l’indice di account decidono quali indirizzi custodiscono le Sue coin.

La chiave maestra

BIP32 parte da un seed binario (spesso derivato da una frase BIP-39). Il seed passa per HMAC-SHA512 con una chiave fissa («Bitcoin seed»), producendo 64 byte: i primi 32 diventano la chiave privata maestra, gli ultimi 32 il chain code maestro. Entrambi sono necessari per derivare i figli — ecco perché una chiave estesa contiene una chiave più un chain code.

Chiavi figlie e chain code

Ogni chiave figlia è derivata deterministicamente dal suo genitore:

• Derivazione normale: HMAC-SHA512 della chiave pubblica genitore, del chain code genitore e di un indice. Chiunque abbia un xpub (la chiave pubblica estesa) può derivare figli — è ciò che fa funzionare i portafogli watch-only.
• Derivazione rinforzata (l’apostrofo, es. m/44'): HMAC-SHA512 della chiave privata genitore, del chain code e dell’indice. Può farla solo chi possiede la chiave privata, e isola il ramo dalla chiave pubblica del genitore.

Il chain code è un valore aggiuntivo usato dalla derivazione. Non è segreto in una chiave pubblica estesa: un xpub contiene infatti la chiave pubblica e il chain code necessari a derivare i figli non rinforzati. Deve però restare associato alla chiave e al ramo corretti.

I livelli di purpose (BIP43, BIP44, BIP49, BIP84, BIP86)

BIP43 ha riservato il primo livello dell’albero a un purpose. I purpose comuni sono:

• BIP44 — m/44'/coin_type'/account'/change/index — indirizzi legacy (1...)
• BIP49 — m/49'/coin_type'/account'/change/index — SegWit annidato in P2SH (3...)
• BIP84 — m/84'/coin_type'/account'/change/index — native SegWit (bc1q...)
• BIP86 — m/86'/coin_type'/account'/change/index — Taproot (bc1p...)

Sotto il purpose ci sono il coin type (0' Bitcoin, 60' Ethereum, ecc.), l’account, il ramo di change (0 = ricezione, 1 = change) e infine l’indice di indirizzo. Ogni livello è un ramo dell’albero; lo stesso seed sotto due purpose diversi produce due insiemi di indirizzi completamente diversi.

Deterministico contro non deterministico

• Portafogli HD: un seed, un albero, ripristinabile ovunque con il percorso giusto.
• Portafogli non HD (primi Bitcoin Core, MultiBit Classic): le chiavi erano generate in un file keypool; senza quel file (o il suo backup), un seed non può ricostruirle. Ecco perché contano i vecchi file di portafoglio.

Cosa significa per il recupero

• Un seed corretto è solo metà della risposta: il percorso di derivazione e l’indice di account decidono quali indirizzi vengono controllati.
• Un percorso o account errato produce indirizzi validi ma vuoti, non un errore.
• Un xpub consente al software di derivare i figli non rinforzati e gli indirizzi senza spendere. Include profondità e metadati del nodo, ma il percorso di origine completo richiede informazioni separate; non consente di ricostruire le chiavi private.
• I gap limit e gli indirizzi di change sono le conseguenze pratiche di questa struttura ad albero: i portafogli analizzano una finestra limitata di indirizzi inutilizzati.

Il riferimento dei percorsi elenca i default pratici; questa pagina è il meccanismo che li sostiene.