Negli ultimi mesi, la storica preoccupazione di Bitcoin per la “resistenza ai quanti” è passata dalla curiosità accademica alla gestione pratica del rischio. Christopher Wood di Jefferies ha rimosso Bitcoin dal suo portafoglio modello di lungo periodo a causa del rischio quantistico.
Coinbase ha istituito un “Consiglio consultivo indipendente su calcolo quantistico e blockchain”. All’interno della comunità tecnica, la BIP 360 (un tipo di output resistente ai quanti) è stata inserita come bozza nel repository BIP ufficiale e Blockstream ha trasmesso le prime transazioni firmate post-quantum su una sidechain di produzione.
Da allora, la compressione delle tempistiche si è solo accelerata. Il 25 marzo 2026, Google ha annunciato che tutti i suoi sistemi devono migrare alla crittografia post-quantum entro il 2029. Tre articoli pubblicati tra maggio 2025 e marzo 2026 hanno ridotto il costo in qubit stimato per rompere la crittografia a chiave pubblica di circa tre ordini di grandezza, da ~20 milioni di qubit fisici a potenzialmente meno di 100.000.
Un articolo di Google Quantum AI del marzo 2026 ha stimato che la crittografia a curva ellittica potrebbe essere rotta con meno di 500.000 qubit fisici in pochi minuti; Google ha trattenuto i circuiti di attacco e ha pubblicato solo una prova a conoscenza zero del risultato. Un team Caltech/Oratomic ha suggerito che ~26.000 qubit atomici riconfigurabili potrebbero rompere ECC‑256 in circa dieci giorni. Il divario tra “curiosità di laboratorio” e “minaccia crittografica” si sta chiudendo da entrambe le direzioni, con la compressione algoritmica e la scalabilità dell’hardware in parallelo.
Per capire la minaccia, è utile guardare cosa i computer quantistici possono e non possono fare. Non “provano tutte le chiavi in parallelo”. L’algoritmo di Shor offre accelerazioni esponenziali per logaritmi discreti e fattorizzazione, i problemi su cui si basano la crittografia a curve ellittiche e RSA, mentre la crittografia simmetrica e le funzioni hash subiscono solo un’accelerazione di tipo radice quadrata tramite l’algoritmo di Grover, compensabile con parametri più grandi.
“Il quantistico rompe la crittografia” è allo stesso tempo vero e fuorviante: prende di mira primitive la cui sicurezza si riduce a problemi di struttura di gruppo, non è un miracolo di forza bruta indiscriminata. La crittografia post-quantum esiste già ed è distribuibile oggi; il NIST ha finalizzato standard (ML‑KEM, ML‑DSA, SLH‑DSA) esplicitamente per supportare la migrazione via da ECC/RSA.
In Bitcoin, nello specifico, il pericolo riguarda le firme: se un attaccante può vedere la tua chiave pubblica, l’algoritmo di Shor può recuperare la chiave privata. Per gli indirizzi con hash di chiave pubblica (P2PKH/P2WPKH), la chiave pubblica è esposta solo quando spendi; il rischio principale è il riutilizzo dell’indirizzo. Ma gli output Taproot (P2TR) e i vecchi output pay‑to‑pubkey espongono la chiave pubblica al momento della creazione, senza bisogno di spesa. La BIP 360, Pay‑to‑Merkle‑Root (P2MR), affronta direttamente questo punto: un tipo di output in stile Taproot che non mette mai una chiave pubblica on‑chain.
La priorità non è perfezionare sulla carta la narrativa post-quantum di Bitcoin; è iniziare ora la migrazione degli utenti. Lascia che gli utenti aggiungano un percorso di spesa post-quantum accanto a quello ellittico esistente. In tempo di pace continuano a usare Schnorr/ECDSA; la chiave post-quantum rimane inutilizzata. Se dovesse emergere un “pericolo chiaro e attuale”, la rete potrebbe deprecare le firme a curva ellittica senza aspettare anni per una migrazione di massa. Non deve essere lo schema definitivo: scegline uno conservativo ora, miglioralo poi. L’orologio della migrazione si misura nell’adozione, non nella difficoltà ingegneristica.
A mio avviso Bitcoin dovrebbe scegliere firme basate su hash per questa via di fuga. Non perché i reticoli (ML‑DSA) siano cattivi, ma perché le firme hash‑based sono la cosa più vicina che la crittografia abbia a “sicuro quanto basta”: struttura minima, poca magia, poco spazio per backdoor. Sono anche sorprendentemente facili da controllare e capire, in linea con l’etica di Bitcoin.
SPHINCS+ (SLH‑DSA) è la scelta standard, ma produce firme piuttosto grandi, ~8 kB per ottenere la “statelessness”. Bitcoin non ha davvero bisogno di quella proprietà. Il modello UTXO è intrinsecamente usa‑e‑getta; il riutilizzo sistematico degli indirizzi non è mai stato parte del design e l’infrastruttura lo gestisce bene. Schemi stateful come XMSS producono firme molto più piccole (~2,5 kB) e il modello di spesa di Bitcoin si adatta naturalmente a quel vincolo.
La costruzione SHRINCS di Blockstream Research offre entrambe le cose: una modalità primaria stateful con un fallback stateless SLH‑DSA se perdi lo stato. L’estensione SHRIMPS di Jonas Nick risolve la firma multi‑dispositivo. Entrambe sono puramente basate su hash e sono già operative su Liquid.
Se viene superata una soglia credibile di “Shor è qui”, il primo compito è fermare i furti irreversibili, non salvare ogni vecchio output. L’impostazione predefinita più sicura è un interruttore di blocco: rendere le firme a curva ellittica non spendibili a livello di consenso. Un blocco temporaneo è reversibile; un furto quantistico no. Per gli output in cui la chiave pubblica non è mai stata esposta, una prova ZK (per esempio uno STARK) potrebbe permettere al legittimo proprietario di dimostrare la conoscenza del testimone di sblocco senza rivelare la chiave. Per le chiavi già esposte, l’unico possibile salvataggio si basa su un segreto aggiuntivo come il seed di un wallet HD. Le monete senza nessuno dei due percorsi – monete dormienti, monete storiche, le monete di Satoshi – rimarrebbero bloccate. Meglio “ancora perse” che “ora rubate”.
Un articolo di StarkWare dell’aprile 2026 dimostra che transazioni Bitcoin sicure contro i quanti sono possibili oggi con le regole di consenso esistenti. È una costruzione davvero ingegnosa ma, purtroppo, la reazione che ha suscitato mette in luce un problema reale nella comunità Bitcoin. Questo trucco è ampiamente impraticabile e non sostituisce un soft fork, ma l’opposizione a “fare qualsiasi cosa” è talmente radicata che è già citato come motivo per non azionare “l’interruttore che aggiusta tutto facilmente”.
Date a tutti un giubbotto di salvataggio. Non complicate troppo le cose. La parte difficile non è la crittografia; è far migrare milioni di utenti e ogni wallet, custode, exchange e dispositivo di firma. È questo l’approccio che sta adottando Tezos: trattare la preparazione post-quantum su due binari (migrazione delle chiavi utente vs crittografia del protocollo), permettere agli utenti di allegare subito una chiave post‑quantum di backup e deprecare le firme a curva ellittica più tardi, se la minaccia si materializza. Avviate la migrazione sociale quando non c’è urgenza, perché è nell’urgenza che gli ecosistemi sbagliano. Prima i giubbotti di salvataggio, poi il dibattito sul design della barca.