Ethereum a Prova di Quantistica: La Rivoluzione del Blockchain Snello per un Futuro Sicuro

Gli sviluppatori di Ethereum si stanno preparando per un futuro in cui i computer quantistici potrebbero infrangere la crittografia di oggi. I ricercatori della blockchain, guidati da figure come Justin Drake della Fondazione Ethereum, stanno sostenendo una visione chiamata “Lean Ethereum” – uno sforzo concertato per semplificare l'architettura tecnica di Ethereum rendendola sicura contro i quantistici.

Questa iniziativa è sia una risposta alla minaccia imminente del calcolo quantistico sia una critica alla complessità di Ethereum. In termini pratici, significa ripensare tutto, da come vengono eseguiti i contratti intelligenti a come vengono verificati i blocchi, tutto con un occhio alla sicurezza post-quantistica. La spinta ha ottenuto il supporto della leadership di Ethereum, incluso il co-fondatore Vitalik Buterin, e riecheggia una più ampia realizzazione del settore: proteggere le criptovalute dagli attacchi quantistici sta diventando non solo prudente ma necessario.

In questo articolo analizzeremo perché la sicurezza quantistica sta emergendo nell'agenda delle blockchain e cosa sta facendo Ethereum al riguardo. Esploreremo i limiti dei metodi crittografici attuali (come le firme ellittiche che proteggono il tuo Bitcoin e Ether oggi) e come i futuri computer quantistici minaccino di svelarli. Approfondiremo quindi la crittografia post-quantistica – la nuova classe di algoritmi di crittografia progettati per resistere agli attacchi quantistici – e lo sforzo del National Institute of Standards and Technology (NIST) degli Stati Uniti per standardizzare questi strumenti. Da qui, esamineremo la proposta di Ethereum “Lean Ethereum” e i suoi principali componenti tecnici: macchine virtuali potenziate dalla prova a conoscenza zero, una tecnica chiamata campionamento della disponibilità dei dati, e un piano per ricostruire parti di Ethereum su un'architettura RISC-V snella. Presenteremo alcune delle persone chiave che guidano queste idee, come Drake, Buterin e il crittografo XinXin Fan, e guarderemo a come la roadmap di Ethereum per la prontezza quantistica si confronta con Bitcoin e altre blockchain. Infine, valuteremo i vantaggi, i compromessi e i rischi dell'implementazione degli aggiornamenti resistenti ai quantistici e considereremo cosa potrebbero significare questi cambiamenti a lungo termine per gli utenti quotidiani, gli sviluppatori, i validatori e l'industria delle criptovalute in generale. Traduzione:

In sostanza, il calcolo quantistico è come una chiave maestra che può aprire le serrature di RSA e ECDSA dato un numero sufficiente di qubit e un funzionamento stabile. Le stime variano su quanti qubit logici (qubit corretti da errori e affidabili) siano necessari per violare, ad esempio, la curva ellittica a 256 bit di Bitcoin. Un'analisi del team di ricerca della Ethereum Foundation suggerisce che circa 6.600 qubit logici potrebbero minacciare la curva secp256k1 (usata in Bitcoin/Ethereum), e circa 20.000 qubit logici potrebbero comprometterla completamente. A causa del sovraccarico della correzione degli errori, ciò corrisponde a milioni di qubit fisici, un traguardo che l'hardware quantistico potrebbe raggiungere in 15-20 anni se il progresso continua. È un bersaglio mobile, ma chiaramente la crittografia odierna ha una data di scadenza se non vengono apportate modifiche.

Un'altra limitazione dei metodi attuali è l'esposizione di chiavi e firme. Come detto, il riutilizzo degli indirizzi è pericoloso in un contesto quantistico, tuttavia molti utenti, per comodità, inviano più transazioni dallo stesso indirizzo, lasciando la loro chiave pubblica esposta sulla catena dopo la prima spesa. Ciò era storicamente comune nei primi giorni di Bitcoin (indirizzi pay-to-public-key che esponevano direttamente le chiavi), e anche dopo che le migliori pratiche sono migliorate, si stima che 2,5 milioni di BTC (oltre 130 miliardi di dollari) rimangano in tipi di indirizzi più vecchi particolarmente vulnerabili a una futura violazione quantistica. Ethereum, per design, espone le chiavi pubbliche solo dopo che sono state utilizzate, ma gli account Ethereum attivi riutilizzano regolarmente le chiavi. In breve, più a lungo le nostre reti funzionano con crittografia non sicura per il quantum, più "debito quantistico" si accumula, cioè, più risorse rimangono in forme che un computer quantistico potrebbe depredare una volta che sarà abbastanza potente.

Infine, la crittografia attuale non è stata costruita con agilità in mente. Protocolli come quello di Bitcoin sono codificati in modo rigido per ECDSA e funzioni di hash specifiche. Sostituirli con nuovi algoritmi non è semplice; richiede il consenso della comunità su un hard fork o un hack soft-fork ingegnoso. Ethereum è in qualche modo più flessibile (ha subito molteplici aggiornamenti e ha abbracciato concettualmente l’idea di astrazione dell'account, che potrebbe consentire l'uso di schemi di firma diversi sulla stessa rete), ma comunque, l'aggiornamento dei primitivi crittografici su larga scala è un territorio inesplorato. Le limitazioni dei metodi odierni si estendono quindi oltre la matematica - sono anche radicate nella governance e nel debito tecnico.

La buona notizia è che la comunità della crittografia lo ha previsto e ha sviluppato alternative. Quindi, come appare la prossima generazione di crittografia resistente al quantum, e può essere integrata nelle blockchain?

Crittografia Post-Quantum e Standard NIST

La crittografia post-quantum (PQC) si riferisce ad algoritmi di crittografia e firma progettati per essere sicuri contro gli attacchi quantistici. È importante notare che questi si basano per lo più su problemi matematici che si ritiene siano difficili sia per i computer quantistici che per quelli classici (a differenza della fattorizzazione o del logaritmo discreto). Durante la fine degli anni 2010 e l'inizio degli anni 2020, i ricercatori di tutto il mondo hanno proposto e analizzato dozzine di algoritmi candidati. Nel 2016, il National Institute of Standards and Technology (NIST) degli Stati Uniti ha lanciato un processo formale per valutare questi algoritmi e selezionare nuovi standard crittografici per l'era post-quantistica. Dopo diversi cicli di scrutinio (e alcune drammatiche sconfitte, come un algoritmo violato con mezzi classici durante la competizione), NIST ha annunciato il suo primo set di vincitori nel 2022.

Per le firme digitali, la principale raccomandazione del NIST è CRYSTALS-Dilithium, uno schema di firma basato su reticoli, con FALCON (anche basato su reticoli) come opzione per casi d'uso che richiedono firme più piccole, e SPHINCS+ (uno schema di firma basato su hash) come un'altra alternativa per coloro che desiderano una base di sicurezza completamente diversa. Per l'incapsulamento delle chiavi / scambio di chiavi, la scelta principale è CRYSTALS-Kyber (basato su reticoli), con alcuni altri come Classic McEliece (basato su codici) e BIKE/HQC (anche basati su codici o reticoli strutturati) come scelte alternative. Questi algoritmi dovrebbero essere formalmente standardizzati verso il 2024-2025 come i nuovi standard FIPS.

Cosa rende "sicuri per il quantum" questi algoritmi? Nel caso della crittografia basata su reticoli (la base di Dilithium e Kyber), la sicurezza deriva da problemi come il Problema del Vettore più Corto (SVP) o Learning With Errors (LWE) in un reticolo ad alta dimensione. Intuitivamente, è come trovare un ago in un pagliaio multidimensionale - anche i computer quantistici non possiedono metodi efficienti noti per risolvere questi problemi. Gli schemi basati su reticoli sono abbastanza efficienti su computer classici e hanno chiavi e firme di dimensioni ragionevolmente grandi (kilobyte anziché byte, che è più grande di ECDSA ma gestibile). Ad esempio, una firma Dilithium potrebbe essere di alcuni kilobyte e verificarsi rapidamente, e Kyber può effettuare l'accordo di chiavi con chiavi di ~1,5 KB di dimensione, con velocità paragonabili alla crittografia RSA/ECDSA odierna. Questa combinazione di velocità e dimensioni ridotte è il motivo per cui NIST ha gravitato verso gli algoritmi a reticoli per l'uso generale.

Altri approcci includono firme basate su hash (come SPHINCS+ o lo stato di XMSS). Questi si basano solo sulla sicurezza delle funzioni hash, che sono alcune delle primitive più resistenti al quantum che abbiamo (l'algoritmo di Grover può forzare la ricerca di preimmagini di hash con un'accelerazione quadratica, ma ciò è molto meno devastante dell'accelerazione polinomiale di Shor per la fattorizzazione). Le firme basate su hash sono estremamente sicure in teoria; tuttavia, hanno degli svantaggi: le firme possono essere enormi (decine di kilobyte), e alcuni tipi consentono solo un numero limitato di usi per chiave (gli schemi statuali richiedono di tracciare l’utilizzo delle chiavi monouso). Questo li rende meno pratici per transazioni frequenti o ambienti con banda limitata. Tuttavia, potrebbero essere utili in certi contesti blockchain, forse per multi-firme ad alta sicurezza o come misura temporanea.

Esistono anche crittosistemi basati su codici (come McEliece, che ha chiavi pubbliche enormi ma ha resistito alla crittoanalisi dal 1970) e schemi quadratici multivariati. Questi offrono diversità – assunzioni di durezza diverse nel caso in cui i reticoli o gli hash abbiano debolezze impreviste - ma tendono ad avere dimensioni di chiave grandi o prestazioni più lente, rendendoli meno attraenti per l'uso con blockchain al momento. Gli esperti di sicurezza raccomandano spesso un portafoglio diversificato di algoritmi per scommettere, ma molto probabilmente, le blockchain favoriranno soluzioni basate su reticoli e forse alcune tecniche basate su hash per scopi specifici.

Standard NIST e Adozione nella Blockchain

La standardizzazione da parte del NIST è un grande affare perché fornisce un insieme concordato di algoritmi che molti settori (non solo blockchain) inizieranno ad adottare. Entro la fine del 2025, ci si aspetta che la documentazione degli standard formali per Dilithium, Kyber, ecc., venga pubblicata. Molti sviluppatori blockchain hanno seguito attentamente questo processo. I ricercatori di Ethereum, ad esempio, hanno già sperimentato schemi di firma basati su reticoli (come Dilithium) per vedere come si esibirebbero in pratica in una blockchain. L’obiettivo è che una volta finalizzati gli standard, la transizione possa iniziare con la certezza che gli algoritmi sono stati verificati.

Tuttavia, adottarli in una blockchain dal vivo non è operativo plug-and-play. Come discuteremo, gli algoritmi PQC di solito significano dimensioni di transazione più grandi e forse calcolo più intenso. Ma fondamentalmente, la crittografia post-quantum offre alle comunità blockchain una cassetta degli attrezzi per difendersi. Trasforma una minaccia apparentemente insormontabile in un problema di ingegneria risolvibile (seppur difficile): aggiornare la crittografia prima che i cattivi abbiano armi quantistiche. L’atteggiamento proattivo della comunità Ethereum – che spinge per la ricerca e l'integrazione precoce dei PQC – esemplifica come usare quella cassetta degli attrezzi. E infatti, l'iniziativa di Ethereum “Lean Ethereum” riguarda proprio l'intessitura della resistenza quantistica nel tessuto della blockchain, insieme ad altre semplificazioni.

Lean Ethereum: Semplificare per la Resilienza Quantistica

A metà del 2025, il ricercatore della Ethereum Foundation Justin Drake ha avanzato una proposta soprannominata “Lean Ethereum.” L'obiettivo è semplice da dichiarare ma ambizioso da realizzare: rendere il livello base di Ethereum il più semplice e robusto possibile, assicurando che possa resistere a futuri attacchi basati su tecnologie quantistiche. Questa visione deriva dalla consapevolezza che il protocollo di Ethereum, dopo anni di rapido sviluppo, è diventato piuttosto complesso. A differenza di Bitcoin – che si muove intenzionalmente lentamente e mantiene le cose semplici – Ethereum ha aggiunto strato su strato di nuove funzionalità (da smart contract ricchi di stato a vari aggiornamenti VM e costruzioni di layer 2). Tale complessità può generare bug, aumentare la barriera per nuovi sviluppatori, e persino introdurre rischi di sicurezza se parti oscure del sistema nascondono vulnerabilità. Drake e altri sostengono che ora è il momento di snellire il design di Ethereum, e che farlo va di pari passo con la preparazione per minacce quantistiche. Un Ethereum più snello potrebbe essere più facile da aggiornare con nuova crittografia e più facile per i nodi da proteggere e verificare.

Quindi, cosa comprende Lean Ethereum? La proposta prende di mira i tre pilastri principali di Ethereum – il layer di esecuzione (dove si eseguono gli smart contract), il layer dati (come i dati della blockchain vengono memorizzati e accessibili), e il layer di consenso (come vengono finalizzati i blocchi) – e suggerisce riforme in ciascuno:

Macchine Virtuali Potenziate da Zero-Knowledge

Per il layer di esecuzione, Drake propone di sfruttare le prove a zero conoscenza (ZK-proofs) per creare "macchine virtuali potenziate da zero knowledge". In termini semplici, una VM potenziata da ZK permetterebbe a Ethereum di dimostrare la correttezza delle computazioni on-chain senza rivelare tutti i dati sottostanti. Invece di ogni nodo che riesegue ogni istruzione dello smart contract (come avviene ora), un nodo potrebbe eseguire un lotto di transazioni e poi produrre una prova succinta che "queste transazioni sono state processate correttamente". Altri nodi verificherebbero solo la prova, il che è molto più veloce che rifare tutto il lavoro. Questa idea è già nell'aria grazie a zkRollup su Ethereum’s layer 2, ma la visione di Drake è di portarla nell'esecuzione del layer 1.

Crucialmente per la sicurezza quantistica, certi tipi di prove a zero-knowledge (specialmente quelle basate su hash criptografici)Skip translation for markdown links.

Content: o altri assunti a prova di quantistica) potrebbero rendere lo strato di esecuzione a prova di quantistica di default. Se non si rivelano dati sensibili o chiavi pubbliche su-chain e invece si verifica tramite ZK-proofs, si chiude parte della superficie d'attacco che un computer quantistico potrebbe prendere di mira. Anche se un computer quantistico provasse a falsificare una transazione, dovrebbe falsificare anche una prova di validità - il che, se il sistema di prova è a prova di quantistica (per esempio, un STARK, che si basa principalmente su hash e sicurezza teorico-informativa), l'attaccante non guadagnerebbe nessun vantaggio. In sostanza, le ZK VMs potrebbero "proteggere" lo strato di esecuzione. La proposta di Drake è in linea con una tendenza più ampia dell'industria di incorporare zk-SNARKs e zk-STARKs per scalabilità e privacy, e in questo caso funge anche da strato di sicurezza.

Il concetto potrebbe sembrare tecnico, ma il beneficio è intuitivo: Ethereum potrebbe diventare più snello non portando un carico di esecuzione su ogni nodo così pesante, e più sicuro utilizzando prove matematiche che anche i computer quantistici non possono falsificare facilmente. È una direzione di ricerca a lungo termine - trasformare l'Ethereum Virtual Machine (EVM) o un successore in un formato amico dei ZK - ma i lavori sono in corso. Ci sono già progetti che mirano a costruire VMs generatrici di ZK-proof (come Risc Zero e altri che utilizzano l'architettura RISC-V, di cui parleremo a breve). Il piano Lean Ethereum accelererebbe e coordinerebbe questi sforzi come parte della roadmap principale di Ethereum.

Data Availability Sampling

Un altro pilastro importante di Lean Ethereum è ridurre l'onere della disponibilità dei dati sui nodi. La blockchain di Ethereum, come qualsiasi altra, cresce nel tempo con tutti i dati delle transazioni e dei blocchi. Se ogni nodo deve scaricare e memorizzare ogni byte di ogni blocco per verificarlo, i requisiti per gestire un nodo aumentano costantemente. Questo può minacciare la decentralizzazione perché alla fine solo quelli con grandi capacità di archiviazione e larghezza di banda possono tenere il passo. Il campionamento della disponibilità dei dati (DAS) è un metodo intelligente per aggirare il problema. Invece di richiedere ai nodi completi di scaricare ogni blocco nella sua interezza, i nodi possono campionare pezzi casuali dei dati di ogni blocco per verificare che l'intero blocco sia disponibile e intatto.

Come funziona? Pensa ai codici di cancellazione o alle tecniche di codifica Reed-Solomon: i dati di un blocco possono essere codificati con ridondanza in modo tale che se si ispeziona casualmente, diciamo, l'1% dei pezzi e tutti sono presenti e corretti, c'è una probabilità molto alta (99,9999%+) che i dati dell'intero blocco siano disponibili da qualche parte. Se mancassero o fossero corrotti alcuni frammenti, un campionatore casuale lo individuerebbe con alta probabilità data un numero sufficiente di campioni. Questo concetto permette ai nodi di essere leggeri ma sicuri - possono fidarsi del fatto che l'intera comunità noterebbe se i dati di un blocco mancassero perché statisticamente il campione di qualcuno fallirebbe. I piani di sharding in arrivo di Ethereum già utilizzano il campionamento della disponibilità dei dati per la validazione dei blocchi shard. Il Lean Ethereum di Drake suggerisce di applicarlo in modo ampio: anche per lo strato di base, utilizzare DAS in modo che i nodi non debbano memorizzare tutto, ma solo ciò di cui hanno bisogno.

Il risultato del DAS è una grande semplificazione per gli operatori dei nodi. Invece di preoccuparsi che lo spazio su disco cresca senza limiti o di dover potare vecchi dati (e possibilmente fidarsi di altri per quei dati), i nodi potrebbero mantenere la sicurezza campionando. È come un audit: non controlli i dati di ogni transazione, ma solo un sottoinsieme casuale, e la matematica garantisce che sia sufficiente per essere sicuri. Questo preserva l'integrità della blockchain senza sovraccaricare ogni partecipante. Riducendo i requisiti delle risorse, Ethereum potrebbe rimanere decentralizzato (più persone possono gestire i nodi) e meglio preparato per il futuro. Aiuta anche indirettamente la sicurezza quantistica - se i nodi sono più facili da gestire, ce ne saranno di più, rendendo un attacco (quantistico o meno) più difficile a causa del numero puro di validatori.

In sintesi, il campionamento della disponibilità dei dati è un modo per snellire la verifica. È un po' come l'equivalente blockchain del non dover mangiare l'intera torta per sapere che ha un buon sapore; un piccolo campione può rappresentare statisticamente l'intero. In pratica, Ethereum attuerebbe questo spezzando i blocchi in pezzi con codici di correzione degli errori e facendo sì che i nodi controllino casualmente i pezzi. Se anche un solo pezzo non può essere ottenuto, la rete tratterà il blocco come non valido (poiché ciò potrebbe significare che qualcuno ha trattenuto parte dei dati del blocco). Questo concetto è fondamentale nel pianificato aggiornamento danksharding di Ethereum e si integra perfettamente con l'etica di minimalismo di Lean Ethereum.

Embracing RISC-V for Secure Consensus

La terza tappa del Lean Ethereum riguarda lo strato di consenso - la parte di Ethereum che arriva a un accordo sulla catena, che in proof-of-stake include le regole di scelta del fork, doveri dei validatori, gadget di finalità, ecc. Questo strato coinvolge anche i nodi nell'interpretazione dei messaggi di rete e potenzialmente nell'esecuzione di codice di basso livello (ad esempio, verificare firme, hashing, ecc.). La proposta di Drake è di adottare un framework RISC-V nel consenso di Ethereum, cioè utilizzare RISC-V come base per qualsiasi calcolo relativo al protocollo. RISC-V è uno standard aperto per un'architettura di computer a set di istruzioni ridotte - fondamentalmente un set minimalista di istruzioni macchina che i computer possono eseguire. Perché ciò dovrebbe importare per una blockchain? Semplicità e sicurezza. Un set di istruzioni più piccolo e ben compreso è più facile da analizzare e meno incline a bug nascosti o backdoor. Se le regole di consenso di Ethereum e qualsiasi macchina virtuale a livello di consenso fossero espresse in RISC-V (o compilate in RISC-V), potrebbe essere eseguito e verificato con maggiore fiducia.

In termini pratici, ciò potrebbe significare che i client di Ethereum (il software che i nodi eseguono) utilizzano una macchina virtuale RISC-V per eseguire la logica critica del consenso, piuttosto che linguaggi di alto livello che potrebbero introdurre complessità. Alcuni hanno persino immaginato che la funzione di transizione dello stato di Ethereum fosse definita in modo così deterministico a basso livello. La motivazione è che RISC-V è estremamente leggero e progettato per la verificabilità. Non ha parti proprietarie (a differenza dei chip x86, ad esempio, che sono complessi e chiusi) e ha un design modulare in cui si includono solo le estensioni necessarie. I sostenitori sostengono che ciò riduce la superficie d'attacco - ci sono semplicemente meno parti mobili dove qualcosa potrebbe andare storto o essere sfruttato.

Per la resistenza quantistica, in che modo RISC-V aiuta? Non si tratta direttamente di algoritmi quantistici, ma è legato a rendere Ethereum più agile e robusto. Se hai bisogno di sostituire algoritmi crittografici (come l'introduzione di uno schema di firma post-quantistico), farlo in un sistema basato su un'architettura pulita e uniforme potrebbe essere più semplice. Inoltre, alcuni algoritmi post-quantistici potrebbero beneficiare di hardware specializzati; l'apertura di RISC-V potrebbe permettere di aggiungere acceleratori o istruzioni personalizzate senza rompere la compatibilità, perché è uno standard estensibile. Vitalik Buterin è stato un forte sostenitore dell'esplorazione di RISC-V per Ethereum. In effetti, nell'aprile 2025, Buterin ha delineato un piano in quattro fasi per la transizione di Ethereum a un'architettura basata su RISC-V, sperando di migliorare sia la velocità che la sicurezza della rete.

Il passaggio a RISC-V è un progetto a lungo termine - non è qualcosa che si attiva dall'oggi al domani in una blockchain live. Ma l'idea è che nei prossimi anni, Ethereum potrebbe spostarsi verso di esso incrementando. Possibilmente prima avendo un'implementazione client alternativa in RISC-V, o utilizzando RISC-V internamente per certe operazioni, e alla fine rendendolo cuore di come Ethereum funziona. Questo è in linea con i tentativi di Ethereum di imparare dal conservatorismo di Bitcoin senza sacrificare l'innovazione. La semplicità di Bitcoin (ad esempio, nell'uso di opcode di base per le transazioni) è ammirata da Buterin; vuole che Ethereum alleggerisca parte del peso in modo che possa essere "semplice come quella di Bitcoin" entro cinque anni. Adottare un'architettura ultra-leggera come RISC-V è parte di quella filosofia.

Community Support and Developer Insights

L'iniziativa Lean Ethereum di Justin Drake non è emersa nel vuoto. Sfrutta un sentimento crescente tra gli sviluppatori di Ethereum: che la complessità del protocollo debba essere controllata per il bene della sicurezza e della sostenibilità. La forza stessa di Ethereum - la sua flessibilità e la rapida evoluzione - ha anche portato a "spese eccessive di sviluppo, tutti i tipi di rischio di sicurezza, e insularità della cultura R&D, spesso alla ricerca di benefici che si sono rivelati illusori", come ha recentemente affermato Vitalik Buterin. I commenti pubblici di Buterin a metà 2025 hanno chiarito che condivide il desiderio di semplificare. Ha dichiarato esplicitamente l'intenzione di semplificare la pila tecnologica di Ethereum nei prossimi cinque anni, mirando a renderla più simile al design diretto (seppur limitato) di Bitcoin. Quelle parole dal co-fondatore di Ethereum hanno un peso: è essenzialmente un via libera per sforzi come Lean Ethereum che privilegiano la pulizia e l'ingegneria attenta piuttosto che introdurre nuovi fronzoli.

Il supporto di Vitalik si estende anche all'aspetto della sicurezza quantistica. Ha discusso l'astrazione degli account e l'agilità crittografica come componenti chiave della roadmap a lungo termine di Ethereum. L'astrazione degli account, in particolare, permetterebbe agli account di Ethereum di utilizzare diversi algoritmi di firma o addirittura più algoritmi contemporaneamente. Ad esempio, il tuo portafoglio potrebbe avere una chiave pubblica post-quantistica oltre alla tradizionale chiave ECDSA, e il protocollo potrebbe accettare una firma dall'una o dall'altra (o richiederle entrambe). Questa tipo di flessibilità è cruciale per una migrazione agevole - gli utenti potrebbero passare gradualmente a chiavi sicure quantistiche senza che l'intero sistema cambiato d'un colpo. Buterin e altri hanno proposto che Ethereum implementi questo in modalità "opt-in" inizialmente. Nell'"Endgame" previsto di Ethereum (un termine utilizzato per il suo stato di scala finale), la crittografia resistente alla quantistica è infatti parte del piano, destinata all'introduzione una volta che tecnologie come lo sharding e i rollup sono completamente implementati.

Al di fuori della Fondazione Ethereum, il più ampio ecosistema degli sviluppatori sta anche contribuendo con idee per la sicurezza quantistica. Una voce notevole è quella del Dr. XinXin Fan, responsabile della crittografia presso IoTeX (una piattaforma blockchain focalizzata sull'Internet delle Cose). XinXin Fan ha co-autore di un documento di ricerca nel 2024关于for improved usability, though it continues to keep an eye on the evolving quantum landscape. Other blockchains, such as Cardano, have expressed interest in integrating quantum-resistant cryptography, but their work is mostly in early research phases or theoretical discussions.

Overall, while some blockchains were designed with quantum resistance in mind from the start, most are starting to grapple with how to adapt to the potential rise of quantum computing. Ethereum stands out for its proactive efforts to future-proof the network, while many others are more cautious or wait-and-see. The paths these projects take will shape the broader crypto ecosystem’s resilience to quantum threats, marking significant chapters in the technology’s evolution.

Traduzione: Migrare Ethereum alla sicurezza post-quantistica e ha vinto un premio "Best Paper" per questo. La sua proposta si concentra sull'uso delle prove a zero conoscenza basate su hash per proteggere le transazioni di Ethereum. In un'intervista, il dottor Fan ha spiegato che si potrebbe aggiungere una piccola prova a zero conoscenza a ciascuna transazione dimostrando che la firma (ECDSA) è valida senza rivelare la firma stessa. Il trucco è progettare quella prova in un modo resistente ai quanti (usando tecniche basate su hash, come zk-STARKs). Il risultato: anche se ECDSA diventasse vulnerabile, un attaccante non potrebbe falsificare la prova senza rompere lo schema basato su hash, e gli utenti non avrebbero nemmeno bisogno di cambiare immediatamente i loro portafogli. In termini più semplici, il metodo di Fan aggiunge un ulteriore strato di validazione sicura ai quanti alle transazioni, in modo invisibile all'utente. "Il modo in cui stiamo implementando questo consente all'utente di utilizzare il proprio portafoglio attuale, ma alleghiamo a ciascuna transazione una prova a zero conoscenza che è sicura ai quanti", ha detto. Questo approccio enfatizza l'usabilità – punta a una transizione senza soluzione di continuità in cui gli utenti non devono gestire nuove chiavi o indirizzi, almeno inizialmente.

Tali idee dimostrano che la comunità degli sviluppatori non si affida esclusivamente a una strategia. Gli sviluppatori principali di Ethereum stanno semplificando e costruendo percorsi di aggiornamento, mentre i ricercatori in ambito accademico e in altri progetti stanno inventando patch intelligenti e aggiunte che potrebbero migliorare la resilienza ai quanti. È una mentalità di "difesa in profondità": se un approccio si rivela troppo lento o insufficiente, un altro potrebbe colmare il divario.

Lo sforzo collettivo si sta anche formalizzando in gruppi collaborativi. Ad esempio, è stata formata una coalizione del settore chiamata Cryptocurrency Quantum Resistance Alliance (CQRA), che riunisce team di oltre una dozzina di progetti blockchain per coordinarsi su standard e ricerca. Il loro obiettivo è evitare un risultato frammentato dove diverse catene implementano soluzioni quantistiche completamente diverse che non interoperano. Ethereum fa parte di queste conversazioni, così come sviluppatori di Bitcoin e vari altcoin.

In sintesi, lo sforzo di Ethereum per un design snello e sicuro ai quanti è supportato sia dalla sua leadership sia dalla comunità in generale. Drake potrebbe aver coniato "Lean Ethereum", ma i suoi temi risuonano ampiamente. La cultura di Ethereum è spesso all'avanguardia dell'innovazione tecnica nel campo delle criptovalute, e anche in questo caso sembra assumere un atteggiamento proattivo: meglio iniziare ora il duro lavoro di proteggere dai quanti, piuttosto che affannarsi sotto stress in seguito. Successivamente, confronteremo come la posizione di Ethereum si confronta con quella di Bitcoin e di altre reti, per vedere chi altro sta avanzando - e chi potrebbe essere in ritardo - nella corsa per la sicurezza quantica.

Ethereum vs. Bitcoin (e Altri) sulla Prontezza Quantistica

Come si confronta la roadmap di Ethereum per la sicurezza quantistica rispetto a quella di Bitcoin, o rispetto ad altri progetti blockchain? Il contrasto è notevole. Bitcoin, com'è consuetudine, è stato estremamente cauto e lento in questo campo. A partire dal 2025, non esiste nessuna proposta ufficiale di miglioramento di Bitcoin (BIP) approvata o implementata per la crittografia post-quantistica. Il tema della resistenza ai quanti viene discusso nei circoli di Bitcoin, ma principalmente in termini teorici. Parte del motivo è culturale: i sviluppatori principali di Bitcoin prioritizzano la stabilità e i cambiamenti minimi, specialmente a componenti fondamentali come lo schema di firma. Un'altra ragione è che ogni cambio richiederebbe probabilmente un hard fork - un cambiamento coordinato a livello di rete - che la comunità di Bitcoin generalmente è riluttante a fare a meno che non sia assolutamente necessario.

Sono state presentate alcune proposte nei forum di Bitcoin. Ad esempio, lo sviluppatore Agustin Cruz ha introdotto un'idea chiamata QRAMP (Quantum-Ready Address Migration Proposal) che prevede un hard fork per migrare tutti i bitcoin ad indirizzi sicuri ai quanti. In pratica, suggerisce di dare ad ogni titolare di BTC una finestra per spostare le loro monete a nuovi indirizzi protetti da una firma post-quantum (forse qualcosa come XMSS o Dilithium), e alla fine rendendo gli indirizzi vecchi basati su ECDSA invalidi. È un piano drammatico ma che garantisce che non vi siano monete lasciate in forma vulnerabile. Tuttavia, QRAMP è lontano dall'essere implementato; è più un esperimento di pensiero in questa fase, proprio perché romperebbe la compatibilità all'indietro e richiede un consenso schiacciante. Suggerimenti più modesti per Bitcoin includono l'introduzione di nuovi tipi di indirizzo che sono quantisticamente resistenti (così gli utenti potrebbero optare per la sicurezza) o usando swap cross-chain per passare a una sidechain sicura ai quanti. Nessuna di queste idee ha avanzato oltre discussioni o ricerche preliminari.

La realtà è che, se il calcolo quantistico diventasse una minaccia imminente, Bitcoin avrebbe di fronte un difficile dilemma: come fare un aggiornamento una volta nella vita rapidamente senza dividere la rete. Una transizione graduale con supporto a doppia firma (accettare transazioni che abbiano sia una firma ECDSA che una firma post-quantum durante una lunga fase di transizione) è un’idea. Un'altra è un hard fork di emergenza, essenzialmente un evento di tutto o niente se viene rilevato un hack quantistico. Ma fino a quando non ci sarà un pericolo chiaro, l'inerzia di Bitcoin è probabilmente destinata a continuare. La lezione dall'aggiornamento Taproot – che è stato un miglioramento relativamente minore richiedente anni di dibattito e coordinamento per l'attivazione nel 2021 – è che un cambiamento guidato dalla quantistica sarebbe ancora più controverso e complesso. E infatti, Taproot, pur migliorando privacy e flessibilità, non ha fatto nulla per affrontare le vulnerabilità quantistiche nella crittografia di Bitcoin.

Una misura molto concreta dell'esposizione di Bitcoin viene da BitMEX Research, che ha sottolineato che circa 2.5 milioni di BTC sono detenuti in indirizzi noti come Pay-to-Pubkey (P2PK) dove la chiave pubblica è direttamente sulla blockchain (un artefatto delle transazioni Bitcoin iniziali, inclusi i coini di Satoshi). Queste monete, del valore di decine di miliardi, potrebbero essere immediatamente rubate da un computer quantistico che può rompere ECDSA – non aspettando che il proprietario transi, poiché le chiavi pubbliche sono già là fuori. C'è una comprensione informale che, se una minaccia quantistica diventasse urgente, i sviluppatori di Bitcoin potrebbero dare l'allarme e provare qualcosa di drastico per proteggerle, possibilmente tramite un rapido hard fork che "blocca" le vecchie uscite. Ma quello scenario si avvicina a un territorio che i bitcoiner evitano di contemplare: violare alcune delle regole sacrosante del ledger per salvarlo. Sottolinea la sfida della governance: la più grande forza di Bitcoin (governance decentralizzata, conservativa) potrebbe essere una debolezza nel reagire rapidamente alle minacce quantistiche.

Ethereum, al contrario, ha dimostrato di poter evolversi quando necessario. La transizione dalla prova di lavoro alla prova di partecipazione nel 2022–2023 (il Merge) è un esempio lampante di un rinnovamento tecnico importante e coordinato che ha avuto successo. La cultura di Ethereum è più aperta ad aggiornare e iterare. Detto ciò, anche Ethereum richiede consenso per grandi cambiamenti e affronta il pericolo di divisioni (ricordiamo che Ethereum stesso si divise in ETH ed Ethereum Classic nel 2016 a seguito dell'incidente DAO). L'approccio che Ethereum sta adottando verso la prontezza quantistica è di incorporarla nella roadmap anticipatamente. Vitalik Buterin ha indicato che dopo l'attuale serie di miglioramenti scalabili (sharding, rollup, ecc.), gli aggiornamenti "Endgame" probabilmente includeranno il passaggio dalla crittografia a metodi quantisticamente resistenti. Si stanno già facendo lavori nei testnet e nella ricerca per valutare l'impatto sulle prestazioni. Ad esempio, esperimenti dimostrano che sostituire l'ECDSA di Ethereum con Dilithium (firme post-quantum) gonfierebbe le dimensioni delle transazioni di circa 2.3 KB e aumenterebbe i costi di gas del 40-60% circa per un trasferimento base. È un sovraccarico notevole, ma non insormontabile, date le altre piani di scalabilità di Ethereum (come Proto-Danksharding, che aumenta massicciamente il throughput dei dati). La comunità di Ethereum potrebbe potenzialmente assorbire tali costi, specialmente se c’è di mezzo la sicurezza quantistica.

Il concetto di agilità crittografica di Ethereum - la capacità di cambiare algoritmi crittografici con un’interruzione minima - è probabilmente fondamentale. Questo potrebbe coinvolgere cambiamenti a livello di contratto (come nuovi contratti precompilati o opcode per la verifica delle firme PQ) e supporto a livello di client per algoritmi multipli in parallelo. In effetti, si potrebbe immaginare un hard fork di Ethereum in cui per un periodo, ogni transazione necessiti due firme: una dallo schema vecchio e una da quello nuovo. In tal modo, anche se uno viene rotto, l'altro si erge come rete di sicurezza. Tali approcci ibridi sono discussi nei circoli di ricerca di Ethereum e rispecchierebbero ciò che alcuni esperti di sicurezza raccomandano (ad esempio, la NSA degli Stati Uniti ha promosso per anni l'"agilità crittografica" nei protocolli, anticipando transizioni come queste).

E per quanto riguarda altre blockchain oltre a Bitcoin ed Ethereum? C'è un ventaglio di approcci:

• Alcuni progetti più piccoli sono stati quantisticamente resistenti fin dall'inizio. Il più notevole è il Quantum Resistant Ledger (QRL), lanciato nel 2018 specificatamente per affrontare la minaccia quantistica. QRL utilizza uno schema di firma basato su hash (XMSS – eXtended Merkle Signature Scheme) per tutte le transazioni. Ciò significa che i suoi indirizzi e le sue firme sono al sicuro dai quanti per progettazione. Il progetto ha dimostrato che una blockchain del genere può funzionare, sebbene non senza compromessi. Le firme di QRL sono in media circa 2.5 KB ciascuna (rispetto ai ~72 byte di Bitcoin), rendendo le transazioni più grandi e la blockchain crescere più rapidamente in termini di dimensioni. Infatti, la catena di QRL cresce circa 3.5 volte più velocemente per transazione rispetto a quella di Bitcoin a causa di questo sovraccarico. Finora, QRL ha prodotto milioni di blocchi senza problemi di sicurezza, dimostrando che la crittografia basata su hash è praticabile nella pratica. Ma le sue esigenze relativamente grandi di risorse e il suo status di nicchia significano che non è stata ampiamente adottata al di fuori della sua comunità.
• Altre reti consolidate hanno sperimentato la sicurezza quantistica. IOTA, ad esempio, propagandava inizialmente firme resistenti ai quanti (usava una variante delle firme di Winternitz One-Time). Tuttavia, ciò ha introdotto complessità - gli utenti non potevano riutilizzare gli indirizzi in sicurezza, il che ha portato a molta confusione e persino vulnerabilità quando li riutilizzavano accidentalmente. In seguito, IOTA si è spostata indietro sulle Ed25519classiche per migliorare l'usabilità, anche se continua a tenere d'occhio il paesaggio quantico in evoluzione. Altre blockchain, come Cardano, hanno espresso interesse nell'integrare la crittografia resistente ai quanti, ma il loro lavoro è per lo più in fasi di ricerca iniziali o discussioni teoriche.Content: firme in un aggiornamento (Chrysalis) per migliorare le prestazioni e l'esperienza utente, essenzialmente posticipando la questione quantistica. Hanno in programma di reintrodurre PQC (probabilmente seguendo gli standard NIST) in un futuro aggiornamento Coordicide una volta che sarà più maturo. Il percorso di IOTA è istruttivo: mostra la tensione tra idealismo della sicurezza e fruibilità pratica.
• Alcune piattaforme più recenti pubblicizzano la resistenza quantistica come punto di forza. QANplatform è una di quelle che afferma di integrare algoritmi basati su lattice (Kyber e Dilithium, proprio come le scelte di NIST) in una piattaforma di smart contract. Funziona con un modello ibrido che consente sia algoritmi classici che PQ, il che potrebbe agevolare la migrazione. Questi progetti sono ancora relativamente piccoli, ma fungono da bancoprova per come il PQC si comporta in ambienti blockchain. Incoraggiante è il fatto che QANplatform ha riferito che le loro transazioni basate su lattice impiegano circa 1,2 secondi per convalidarsi, il che è in linea con le velocità normali della blockchain. Ciò suggerisce che il divario di prestazioni, seppur reale, può essere gestito anche ai livelli tecnologici attuali.

Vale la pena menzionare che anche alcune blockchain "tradizionali" stanno iniziando a riconoscere il problema nei documenti ufficiali e nelle dichiarazioni. BlackRock, il più grande gestore di asset del mondo, ha esplicitamente citato il calcolo quantistico come un potenziale rischio per Bitcoin in una dichiarazione alla SEC per un ETF Bitcoin proposto. Quando istituzioni che gestiscono trilioni segnalano il quantum come fattore di rischio, si sottolinea che questa preoccupazione si è spostata oltre le discussioni accademiche; sta entrando nella coscienza mainstream della finanza.

In sintesi, Ethereum si distingue per essere relativamente proattivo sulla sicurezza quantistica, integrandola nei suoi piani futuri e mobilitando gli sforzi degli sviluppatori in anticipo. Bitcoin è consapevole ma statico, improbabile che agisca fino a quando non sarà costretto (sperando che quel giorno arrivi più tardi piuttosto che prima). I progetti più piccoli stanno innovando con criptovalute sicure quantistiche ora, dimostrando la tecnologia e rivelando le sfide, ma mancano della scala di Bitcoin o Ethereum. E molte blockchain devono ancora affrontare seriamente il tema del tutto, un potenziale punto cieco mentre ci dirigiamo verso gli anni 2030. L'approccio di Ethereum, in particolare con l'etica di semplificazione e preparazione di Lean Ethereum, potrebbe servire da modello per gli altri se avrà successo. Mostra un percorso di indurimento graduale e opzionale della rete, idealmente evitando scambi precipitosi. Ma ci sono ostacoli significativi da superare, che esamineremo successivamente quando guarderemo ai compromessi e ai rischi di questi aggiornamenti.

Vantaggi, Compromessi e Rischi degli Aggiornamenti Resistenti al Quantum

Aggiornare una blockchain per essere resistente al quantum non è un compito banale e comporta sia chiari vantaggi che significativi compromessi. Analizziamo i pro, i contro e i potenziali rischi coinvolti nel passaggio alla crittografia sicura quantistica, utilizzando i piani di Ethereum come punto di riferimento.

I Vantaggi di Diventare Sicuri Quantum Prima

Il vantaggio più ovvio dell'implementazione della crittografia resistente ai quanti è la sicurezza a lungo termine. Capisce il nucleo della blockchain contro gli attacchi quantistici, garantendo che gli asset e le transazioni rimangano al sicuro anche con il miglioramento dei computer quantistici. Questo preserva la fiducia degli utenti - le persone possono possedere BTC o ETH senza temere che improvvisamente un hacker quantistico svuoti i portafogli nella rete. Per un sistema costruito su garanzie di sicurezza senza fiducia, mantenere queste garanzie è essenziale. C'è anche un aspetto economico: la prima grande blockchain che si proteggerà robustamente quantisticamente potrebbe essere vista nel 2030 come un deposito di valore più sicuro, potenzialmente attirando capitali da chi è nervoso riguardo al problema quantistico.

Un altro vantaggio è che un aggiornamento quantistico può essere utilizzato come un'opportunità per ripulire e migliorare il protocollo in altri modi. Lo vediamo nell'iniziativa Lean di Ethereum: affrontando la sicurezza quantistica, stanno anche semplificando l'architettura, riducendo i requisiti dei nodi e migliorando la scalabilità. È un'occasione per ristrutturare sistemi che sono diventati complessi. Allo stesso modo, adottare nuove crittografie può abilitare nuove funzionalità. Ad esempio, alcuni schemi basati su lattice possiedono proprietà interessanti: si potrebbero eseguire firme aggregabili (più firme combinate in una) più facilmente, o utilizzare prove a conoscenza zero in modo nativo. La crittografia resistente al quantum potrebbe sbloccare capacità di privacy o smart contract migliorate che non erano fattibili con ECDSA. In sostanza, rispondere a una minaccia può spingere l'innovazione che lascia la rete più forte e più versatile di prima.

C'è anche un vantaggio di coordinamento: farlo presto, quando non si è sotto pressione, significa poter progettare meccanismi di migrazione ponderati. Gli stakeholder (exchange, provider di portafogli, custodi) possono essere coinvolti, e gli utenti possono essere educati e forniti di strumenti con largo anticipo. Questo approccio misurato si contrappone a una ipotetica corsa post-attacco, dove regnerebbero caos e confusione. Come alcuni nel settore hanno sottolineato, non agire fino a quando un disastro non colpisce è lo scenario peggiore, che potrebbe frantumare la fiducia da un giorno all'altro. Quindi, anche se c'è un costo nell'aggiornamento (di cui parleremo più avanti), il vantaggio è in gran parte evitare un costo molto maggiore in futuro.

I Compromessi e i Costi

I compromessi nel passaggio agli algoritmi post-quantum riguardano principalmente prestazioni, efficienza e complessità. Gli algoritmi PQC di oggi sono semplicemente più "pesanti" di quelli che utilizziamo ora, in diversi modi:

• Chiavi e Firme Più Grandi: Una transazione Bitcoin o Ethereum oggi potrebbe avere una firma di circa 64 byte. Una firma post-quantum come Dilithium dell'ordine di alcuni kilobyte. Ciò significa che le transazioni diventano più voluminose. I blocchi possono trasportarne di meno a meno che non si aumentino le dimensioni dei blocchi o i limiti del gas (che ha proprie implicazioni per la propagazione e l'archiviazione). Se Ethereum adottasse firme da 2,3 KB, ad esempio, si tradurrebbe in un aumento delle dimensioni delle firme di circa 30–50 volte, trasformandosi in blocchi più grandi o meno tx per blocco. Ciò influirebbe sullo spazio dei blocchi e sulle commissioni – gli utenti potrebbero pagare di più per coprire i byte aggiuntivi, o la rete potrebbe aumentare la capacità e sollecitare di più i nodi. Allo stesso modo, le chiavi pubbliche potrebbero essere più grandi (sebbene alcuni schemi come Dilithium abbiano chiavi pubbliche non molto più grandi dei 33 byte di ECDSA; varia).

• Carico Computazionale Maggiore: Gli algoritmi post-quantum richiedono in genere più calcoli. Verificare una firma basata su lattice, ad esempio, comporta molte operazioni su matrici e passaggi di randomizzazione. Le firme basate su hash coinvolgono il calcolo di molte funzioni hash. Queste cose possono essere ottimizzate (e infatti la ricerca è in corso per velocizzarle), ma attualmente un nodo blockchain potrebbe verificare facilmente alcune centinaia di firme ECDSA per secondo, mentre verificare lo stesso numero di firme PQ potrebbe spingere l'hardware attuale ai suoi limiti. La ricerca di Ethereum indica che con qualche ottimizzazione, la verifica delle firme su lattice potrebbe essere portata entro 2-3 volte il costo dell'ECDSA, il che sarebbe un rallentamento gestibile. Ma è comunque un aumento, il che significa che i nodi devono fare più lavoro e i produttori di blocchi devono avere hardware più potente per non rimanere indietro. Nelle catene ad alto throughput, questo è particolarmente preoccupante: se si punta a migliaia di transazioni al secondo, la crittografia più pesante potrebbe essere un collo di bottiglia.

• Archiviazione e Larghezza di Banda: Dati più grandi significano che i nodi hanno bisogno di maggiore capacità di archiviazione e larghezza di banda per scaricare i blocchi. La dimensione della blockchain aumenterebbe più rapidamente. Nel corso degli anni, ciò potrebbe portare a un minor numero di persone che gestiscono nodi completi, a meno che non vengano adottate soluzioni come il pruning o l'expiry dello stato. Ci sono mitigazioni: le tecniche come l'aggregazione delle firme (combinare molte firme in una) potrebbero alleviare il sovraccarico. Ethereum sta già esplorando l'aggregazione delle firme BLS per il suo consenso; qualcosa di simile potrebbe essere applicato alle transazioni se si usa uno schema compatibile. Inoltre, spostare parte della verifica delle firme a layer-2 o off-chain e inviare solo prove on-chain è un'altra idea (ad esempio, far gestire ai rollup la crittografia pesante e pubblicare una prova al livello 1).

• Considerazioni sull'Usabilità: Alcuni schemi post-quantum sono stateful (come le firme XMSS o Merkle) significando che è necessario fare attenzione a non riutilizzarle troppe volte. Questo è un mal di testa per utenti e sviluppatori – è quello con cui IOTA ha avuto difficoltà inizialmente. Quindi il compromesso è potenzialmente aggiungere più complessità alla gestione dei portafogli. La buona notizia è che le scelte NIST (Dilithium, Falcon, ecc.) sono stateless, quindi si comportano più come le firme attuali (nessun problema di riutilizzo). Ma se una blockchain scegliesse di implementare qualcosa come XMSS per la sua forte prova di sicurezza, dovrebbe gestire chiavi usa-e-getta e quell'attrito per l'utente.

• Incentivi Economici e Coordinazione: Un compromesso meno tangibile è che non tutti vedranno il beneficio immediato dell'aggiornamento, mentre i costi (come le commissioni più grandi o l'elaborazione più lenta) si sentono immediatamente. Ciò può causare problemi di coordinazione. Se, ad esempio, Ethereum offrisse "indirizzi resistenti al quantum" come opzionali, alcuni utenti potrebbero evitarli perché sono più grandi/più costosi, spostando il problema più avanti. Questo potrebbe lasciare parti della rete protette e altre no. È un compromesso tra sicurezza ed efficienza che potrebbe creare un ambiente biforcato se l'adozione è irregolare. Ad esempio, gli individui ricchi o gli exchange potrebbero adottare indirizzi sicuri quantisticamente presto (specialmente se ci sono incentivi o sconti sulle commissioni per farlo), mentre altri si attaccherebbero a quelli vecchi fino a essere costretti. Durante quel periodo, gli indirizzi "legacy" sarebbero punti deboli, e un attaccante quantico potrebbe concentrarsi su di essi. Si finisce con un paesaggio di sicurezza disomogeneo: alcune monete ultra-sicure, altre molto fragili. Questa frammentazione stessa è rischiosa, poiché potrebbe minare la fiducia se una parte degli utenti viene colpita da furti quantici mentre altri stanno bene.

Rischi e Sfide

Il processo di aggiornamento alla crittografia sicura quantistica comporta diversi rischi:

1. Rischio di Governance e Sociale: Spingere cambiamenti importanti può causare divisioni nella comunità. Abbiamo visto comunità blockchain dividersi per meno (dibattiti sulle dimensioni dei blocchi, rollback di contratti intelligenti, ecc.). Un aggiornamento quantistico controverso potrebbe in teoria portare a un fork della catena, con un campo insistente per ensitreSure! Below is the translation of the provided content into Italian, with the markdown links kept in English as instructed:

2. Aggiornamenti controversi: uno sta aggiornando e un altro rifiuta di abbandonare il classico crypto. Se ciò accadesse, sarebbe caotico – quale catena è il "vero" Bitcoin o Ethereum? Vince quella aggiornata o il valore si divide? Gli attaccanti potrebbero persino sfruttare la confusione. Evitare questo richiede un accordo quasi unanime o una pianificazione e comunicazione molto attenta. Il vantaggio di Ethereum è che la sua comunità è generalmente orientata alla tecnologia e probabilmente si riunirà attorno a un aggiornamento ragionevole se la necessità è chiara. Il rischio di una divisione di Bitcoin potrebbe essere maggiore poiché c'è un forte sentimento di "non cambiare ciò che non è rotto" fino a quando non è assolutamente necessario.

3. Bug delle nuove tecnologie: introdurre nuove crittografie e protocolli comporta la possibilità di bug di implementazione. Gli algoritmi crittografici di per sé possono essere sicuri, ma il modo in cui sono integrati potrebbe avere difetti. L'abbiamo visto storicamente: le prime implementazioni delle nuove cripto (anche i candidati post-quantum) a volte avevano perdite di canale laterale o bug di memoria. In una blockchain, un bug nella convalida delle firme o nel parsing degli indirizzi potrebbe essere disastroso (immagina se qualcuno trovasse un modo per falsificare una firma PQ a causa di un bug software – potrebbe portare a furti o problemi di consenso sulla catena). Test rigorosi, controlli e magari rollout progressivi (a partire da testnet, poi facoltativi su mainnet, ecc.) sono cruciali per mitigare questo.

4. Incertezza algoritmica: mentre gli algoritmi PQC scelti da NIST sono stati sottoposti a molta scrutinio, non è impossibile che in futuro venga trovata una debolezza. La storia della crittografia è piena di algoritmi che sono stati fidati per un po' e poi sono stati spezzati (ad esempio, alcuni schemi a reticolo o multivariati sono caduti per progressi matematici avanzati o addirittura miglioramenti della forza bruta). Se la blockchain scommette su un algoritmo e si rivela inferiore, bisognerebbe tornare indietro. Questo è il motivo per cui gli esperti consigliano la diversità crittografica – non mettere tutte le uova nello stesso paniere algoritmico. La nozione di agilità di Ethereum e il supporto di più algoritmi possono mitigare questo rischio. Ma fare più algoritmi significa anche più codice e complessità, che di per sé è un rischio. È un equilibrio difficile.

5. Misure parziali vs. soluzioni complete: alcune soluzioni temporanee (come i "quantum vaults" o avvolgere chiavi in strati sicuri quantisticamente) potrebbero dare un falso senso di sicurezza se la gente assume che il problema sia risolto quando non è a livello di sistema. Ad esempio, un custode potrebbe mettere in sicurezza il suo grande portafoglio a freddo con un sistema sicuro quantisticamente, ma la rete nel suo insieme è ancora sulla vecchia crittografia. Questo va bene – protegge quel custode – ma se gli osservatori pensano "oh, Bitcoin sta gestendo il quantistico ora", potrebbe ritardare l'azione più ampia necessaria. Inoltre, quelle soluzioni a livello utente possono creare disparità in termini di sicurezza, come menzionato. Rischia di lasciare esposti i giocatori più piccoli, il che è un problema sia etico che pratico.

6. Tempistica e compiacenza: forse il rischio maggiore è la tempistica. Muoversi troppo presto, e si incorrono costi e complessità forse inutili (se i computer quantistici di larga scala impiegano più di 20 anni, c'è stato più tempo per far evolvere la tecnologia). Ma muoversi troppo tardi, e ovviamente si è nei guai. C'è anche lo scenario di un avanzamento furtivo nella tecnologia quantistica: cosa succede se un governo o un'azienda ottiene un progresso in segreto? La comunità crittografica potrebbe non saperlo fino a quando improvvisamente gli indirizzi iniziano a essere prosciugati. Questo è lo scenario da incubo perché il tempo di risposta sarebbe vicino allo zero. È improbabile (la maggior parte crede che i progressi nel quantico saranno visibili attraverso tappe accademiche e industriali), ma non impossibile. Questa incertezza porta alcuni a sostenere che gli aggiornamenti siano meglio prima che poi. Ma è difficile da vendere al pubblico quando la minaccia sembra ancora astratta per molti. Si potrebbe dire che c'è una sfida di comunicazione: come trasmettere l'urgenza del rischio quantico senza causare paure ingiustificate o allontanare le persone dalla crittografia? Deve essere inquadrato come un problema di ingegneria solubile e attivo - che è esattamente come Ethereum lo sta trattando.

Nel valutare tutto questo, è chiaro che non ci sono risposte semplici, ma la strategia di Ethereum tenta di massimizzare i vantaggi e minimizzare i rischi facendo le cose gradualmente e in modo tecnicamente aperto. Non scommettono su un'unica soluzione miracolosa, ma su una combinazione (semplificare il sistema, aggiungere PQC, usare prove ZK, ecc.). Questo approccio a più punte potrebbe diluire alcuni compromessi (ad esempio, se le ZK-proofs alleviano il carico, possono compensare firme più pesanti). Sta anche diffondendo la transizione nel corso di anni, il che potrebbe ridurre lo shock. Al contrario, se una crisi colpisse, Bitcoin potrebbe dover fare un compromesso rapido e pesante (come "tutti si muovono nei prossimi 6 mesi o le tue monete vengono bruciate") – efficace se funziona, ma estremo socialmente e tecnicamente.

Ora, assumendo che questi aggiornamenti avvengono con successo, e poi? Guardiamo a cosa significa un Ethereum resistente ai quanti (e all'industria crittografica) per i vari partecipanti e per l'ecosistema nel suo complesso.

Implicazioni a lungo termine per utenti, sviluppatori e industria crittografica

Se Ethereum e altre blockchain eseguono bene una transizione sicura quantisticamente, la prospettiva a lungo termine per l'ecosistema crittografico rimane forte – forse più forte di prima. Ecco alcune implicazioni chiave per i diversi stakeholder:

Per utenti e possessori quotidiani

L'esito ideale è che gli utenti sperimentano l'aggiornamento quantistico come un non-evento nel loro uso quotidiano. Potrebbero notare alcuni cambiamenti – forse nuovi formati di indirizzo o commissioni di transazione leggermente più alte a causa di transazioni più grandi – ma altrimenti continuano a transare normalmente. Raggiungere quella sensazione senza soluzione di continuità richiederà lavoro: il software del portafoglio dovrà gestire la nuova crittografia sotto il cofano senza costringere gli utenti a fare passi complicati. Nel caso di Ethereum, l'astrazione dell'account potrebbe consentire a un portafoglio di gestire più tipi di chiavi in modo che l'utente non debba pensare se sta usando una chiave ECDSA o una chiave Dilitium – "funziona e basta". Gli utenti potrebbero eventualmente essere invitati a migrare i fondi su un nuovo indirizzo (come un aggiornamento di sicurezza una tantum), ma con istruzioni chiare e magari strumenti che automatizzano la maggior parte del processo, il processo può essere user-friendly. Pensala come quando HTTPS è diventato la norma sui siti web – sotto il cofano c'è stato un grande cambiamento crittografico (le chiavi simmetriche sono diventate più lunghe, i certificati sono diventati più forti), ma gli utenti hanno visto solo un'icona di blocco nel loro browser e forse hanno dovuto aggiornare alcuni software.

Un pezzo di consiglio che sta già emergendo per i detentori di cripto è praticare una buona "igiene delle chiavi" anche prima che il quanto colpisca. Ciò include cose come evitare il riuso degli indirizzi – non continuare ad usare lo stesso indirizzo per migliaia di transazioni; generare nuovi periodicamente in modo che la tua chiave pubblica non sia costantemente esposta. Inoltre, la rotazione delle chiavi – spostare fondi su indirizzi nuovi di tanto in tanto (che implicitamente significa nuove chiavi) – potrebbe mitigare alcuni rischi, perché un indirizzo vecchio che non è stato usato da anni con una chiave esposta è più vulnerabile di uno nuovo. I portafogli multisignature sono un altro salvaguardia; anche se una chiave fosse violata, l'attaccante avrebbe bisogno di altre per spostare i fondi. E ovviamente, il cold storage (tenere monete in indirizzi le cui chiavi non hanno mai toccato un dispositivo online) rimane una pratica consigliata; le chiavi pubbliche di quelle monete non sono rivelate finché non effettui una transazione, il che non dà agli avversari quantistici alcun bersaglio finché non decidi di spostarle. Queste sono misure che gli utenti possono prendere ora, e molti le fanno già come sicurezza di base. Accadono anche di allinearsi bene con la riduzione dell'esposizione quantistica. A lungo termine, dopo gli aggiornamenti, gli utenti potrebbero non avere più bisogno di preoccuparsi tanto, ma è un'abitudine salutare in ogni caso.

Se l'industria gestisce male la questione, gli utenti potrebbero affrontare impatti più drammatici: per esempio, essere costretti a convertire manualmente tutti i loro beni in nuovi formati sotto pressione temporale, o persino perdere fondi se le scadenze passano. Ma data la consapevolezza che vediamo, è probabile che ci saranno ampi avvertimenti e periodi di tolleranza. Un'implicazione positiva è che gli utenti potrebbero diventare più educati sulla crittografia dietro i loro beni. La discussione quantistica può stimolare una più ampia conoscenza pubblica di come funzionano effettivamente le cripto. Abbiamo visto un po' di questo quando la comunità ha imparato su diversi schemi di firma e tipi di indirizzo; il quantum potrebbe spingere le persone a imparare circa la crittografia a reticolo o perché un indirizzo è più sicuro di un altro. Quella demistificazione può essere potenziante e ridurre la dipendenza da pochi esperti.

Per sviluppatori e ingegneri di protocollo

Per gli sviluppatori – sia quelli che lavorano su protocolli di base sia quelli che costruiscono applicazioni – un futuro resiliente ai quanti significa nuovi strumenti e nuovi paradigmi. I sviluppatori principali dovranno essere competenti nell'implementare e ottimizzare gli algoritmi post-quantum. Potremmo vedere un aumento della domanda di esperti di crittografia nello spazio blockchain (già una tendenza). Le librerie che gestiscono firme, generazione di chiavi, hashing, ecc., saranno rinnovate, quindi i programmatori che mantengono client blockchain o scrivono contratti intelligenti che verificano firme (pensa a contratti complessi che fanno multisig o roba crypto personalizzata) dovranno aggiornare il loro codice.

Una grande implicazione è l'importanza dell'agilità crittografica nel design del sistema, che abbiamo menzionato. Gli sviluppatori probabilmente progetteranno sistemi con la crittografia aggiornabile in mente. Questo potrebbe significare progettare contratti intelligenti o protocolli che non sono rigidi su un solo algoritmo. È un cambiamento di mentalità da "ECDSA ovunque" a "forse l'algoritmo di quest'anno è X, ma potremmo inserire Y più tardi." Vediamo già un po' di questo: ad esempio, il movimento verso l'astrazione degli account di Ethereum può consentire agli sviluppatori di specificare logica di verifica alternativa per le transazioni (ad esempio, un portafoglio a contratto potrebbe richiedere una firma Dilithium invece di una firma ECDSA). Questo tipo di flessibilità sarà inestimabile e probabilmente diventerà una best practice nei nuovi design di blockchain.

Per gli sviluppatori di applicazioni (come quelli che creano dApp o servizi), i cambiamenti potrebbero essere sottili. Potrebbero fare affidamento sulle librerie blockchain o dei portafogli sottostanti per gestire i dettagli crittografici. Ma dovrebbero essere consapevoli di vari aspetti, come i cambiamenti delle dimensioni delle transazioni (forse...nell’adeguamento dei limiti del gas nelle loro applicazioni) e potenzialmente anche nuovi tipi di transazioni o opcode. La documentazione e l'educazione dovranno essere aggiornate. Dal lato positivo, una volta completato il lavoro pesante a livello di protocollo, gli sviluppatori di applicazioni ottengono una base più sicura con relativamente poco sforzo aggiuntivo.

Un'altra implicazione riguarda gli ambienti di test e sviluppo: probabilmente vedremo testnet dedicate alla crittografia post-quantistica (alcune esistono già) dove gli sviluppatori possono sperimentare le transazioni PQ. Familiarizzarsi con questi aspetti in anticipo renderà la transizione più fluida. Anche gli strumenti per sviluppatori (come i portafogli hardware, ad esempio) evolveranno – molti portafogli hardware utilizzano chip a elemento sicuro ottimizzati per certi algoritmi. Dovranno essere aggiornati per supportare la PQC, o potrebbero emergere nuovi dispositivi. Questa è sia una sfida che un'opportunità per l'industria dell'hardware crittografico.

Per i Validatori e gli Operatori di Nodo

I validatori (in sistemi PoS come Ethereum) e i miner (in sistemi PoW come Bitcoin, anche se l'estrazione potrebbe essere meno rilevante in un futuro PQ perché il PoW stesso potrebbe affrontare problemi) dovranno soddisfare nuovi requisiti. Il software del nodo potrebbe diventare più esigente – richiedendo più potenza della CPU o persino hardware specializzato per gestire efficientemente la crittografia post-quantistica. Questo potrebbe centralizzare le cose se non gestito correttamente (ad esempio, se solo coloro che possono permettersi un server di fascia alta o un certo acceleratore possono validare alla velocità richiesta). Tuttavia, sforzi come quelli di Ethereum per semplificare e ridurre l'overhead in altre aree mirano a compensare questo. È un gioco di equilibrio: non si vuole scambiare un vettore di centralizzazione (vulnerabilità quantistica) con un altro (solo i grandi attori possono gestire i nodi a causa di requisiti pesanti).

A lungo termine, potremmo vedere l'accelerazione hardware diventare comune. Proprio come alcuni minatori oggi usano ASIC per il hashing, forse i validatori utilizzeranno hardware che accelera l'aritmetica a reticolo o la generazione di firme basate su hash. Se diventassero prodotti di massa, il costo dovrebbe diminuire e potrebbero persino essere integrati nei dispositivi consumer. RISC-V, di cui abbiamo discusso, potrebbe svolgere un ruolo se vengono aggiunte istruzioni crittografiche personalizzate che tutti possono usare a basso costo. Questo potrebbe effettivamente democratizzare l'accesso alla crittografia sicura in un certo senso, se fatto bene – immagina ogni laptop che ha un modulo crittografico quantum-safe integrato che è open-source e standardizzato.

Un'altra implicazione per i validatori è la complessità del protocollo nel consenso. Se si considerano scenari di emergenza (come un aggiornamento rapido se viene rilevato un attacco quantistico), i validatori potrebbero dover adattarsi rapidamente. Potrebbero esserci nuove regole di consenso come "se vediamo che succede X (ad esempio, molte firme non valide), fare Y". Questi tipi di contingenze potrebbero essere scritti nei protocolli o almeno pianificati (alcuni hanno suggerito di avere un meccanismo di hard fork "red button" se il quantum si muove più velocemente del previsto). I validatori come gruppo avrebbero bisogno di buoni canali di comunicazione per coordinarsi in tali eventi, il che implica un governo più attivo. È un po' paradossale: la minaccia del quantum potrebbe costringere ancora più coordinamento sociale in reti famose per essere decentralizzate. Ma avere quella valvola di sicurezza potrebbe essere importante.

Per l'Industria e l'Ecosistema Cripto Più Ampi

A livello industriale, il passaggio alla sicurezza quantistica potrebbe favorire più collaborazione e definizione di standard di quanto abbiamo visto nel competitivo spazio crittografico. Alleanze come il CQRA mostrano progetti che lavorano insieme su un problema comune. Potremmo vedere standard cross-chain (ad esempio, concordare un formato di indirizzo quantum-resistente comune o un modo universale di codificare le nuove chiavi nei portafogli) in modo che gli scambi e i portafogli multi-catena possano implementare una volta sola e supportare molte reti. Questo tipo di cooperazione rafforza l'industria nel suo complesso e stabilisce precedenti per affrontare collettivamente altre grandi sfide.

C'è anche una dimensione geopolitica/regolatoria. I governi e i regolatori, che sono stati principalmente preoccupati della crittografia in termini di stabilità finanziaria e conformità, potrebbero iniziare a prestare attenzione all'infrastruttura di sicurezza una volta che il calcolo quantistico sarà più vicino. Alcuni governi potrebbero persino imporre che le istituzioni finanziarie (e possibilmente di riflesso le reti blockchain che usano) implementino la crittografia resistente ai quantum entro una certa data, simile a come alcuni standard bancari vengono aggiornati. Ad esempio, se entro il 2030 gli Stati Uniti o l'UE dicono "tutti i custodi di risorse digitali devono usare la PQC nella gestione delle chiavi", questo accelererà l'adozione anche nelle criptovalute. Politiche a lungo raggio potrebbero incoraggiare l'industria ad aggiornarsi prima che colpiscano le crisi. C'è un precedente: agenzie come NIST stanno già offrendo orientamenti, e persino i dipartimenti di difesa stanno esaminando la sicurezza delle blockchain per i propri usi.

Economicamente, un'industria crittografica resiliente al quantum potrebbe aprire la porta a nuovi investimenti da parte di entità che erano in forse. Alcuni investitori istituzionali citano il rischio tecnologico (incluso il quantum) come motivo per essere cauti con la crittografia. Se Ethereum, per esempio, può dire "abbiamo implementato la crittografia quantum-safe standard di NIST", rimuove un'obiezione potenziale e segnala maturità. Al contrario, se l'industria fosse percepita come noncurante della minaccia, potrebbe scoraggiare del capitale cauteloso.

Si potrebbe anche immaginare l'emergere di nuovi prodotti e servizi: soluzioni di custodia sicure al quantum (alcune startup sono già in questo spazio, offrendo "caveau quantistici" con crittografia ibrida), prodotti assicurativi per il rischio quantistico e società di consulenza specializzate nell'aggiornamento dei sistemi blockchain. Un intero mini-settore dei "servizi blockchain post-quantum" potrebbe fiorire nel prossimo decennio.

Infine, nell'arco lungo della storia, se le criptovalute riescono a navigare con successo la transizione quantistica, sarà una prova della loro resilienza. Gli scettici spesso dicono, "E il quantum? Non ucciderà la crittografia?" La risposta potrebbe essere: no, ci siamo adattati e siamo diventati ancora più forti. Infatti, le reti potrebbero emergere più decentralizzate (grazie a nodi più leggeri da cose come il DAS), più scalabili (se le prove ZK e altri guadagni di efficienza vengono realizzati) e più sicure di sempre. Rinforzerebbe l'idea che le blockchain, come organismi viventi, possono evolversi in risposta alle minacce e continuare a fornire transfer di valore resistenti alla censura e minimizzati nella fiducia in nuove epoche tecnologiche.

In conclusione, la spinta di Ethereum per un design semplificato e sicuro dal punto di vista quantistico esemplifica lo spirito proattivo e innovativo necessario per affrontare questa sfida. L'arrivo del calcolo quantistico non deve essere una crisi per la criptovaluta – può essere un punto di inflessione che guida l'ecosistema verso migliori ingegnerie e una cooperazione più ampia. Investendo ora in soluzioni, Ethereum e i suoi simili mirano a garantire che la finanza decentralizzata e le risorse digitali rimangano robuste anche contro i computer più potenti di domani. Il cammino verso la sicurezza quantistica richiederà un'accurata navigazione dei compromessi e sforzi collettivi, ma la destinazione – un mondo cripto sicuro nell'era quantistica – vale bene il viaggio.

Conclusione: Abbracciare il Futuro Sicuro dal Punto di Vista Quantistico

Lo spettro del calcolo quantistico, una volta una teoria lontana, sta rapidamente diventando una realtà tangibile per l'industria blockchain. Ma il messaggio generale dall'approccio di Ethereum e dalla risposta crittografica più ampia è uno di ottimismo misurato piuttosto che di rovina. Sì, i computer quantistici potrebbero sconvolgere le assunzioni di sicurezza su cui facciamo affidamento – ma abbiamo gli strumenti e il tempo, se usati saggiamente, per prevenire uno scenario peggiore. Le attuali proiezioni suggeriscono che probabilmente abbiamo dell'ordine di 5–10 anni prima che le macchine quantistiche siano abbastanza potenti da minacciare seriamente la crittografia mainstream. Questo è un prezioso intervallo di tempo per la preparazione. Significa che la comunità può testare metodicamente le soluzioni post-quantum, costruire un consenso sugli aggiornamenti e eseguirli con cura. Nel caso di Ethereum, gli sviluppatori stanno già trattando questa tempistica essenzialmente come la scadenza per avere in atto la resistenza quantistica.

Una lezione chiave è l'importanza di non mettere tutta la propria fiducia in una singola soluzione. Diversificando le difese crittografiche – usando una combinazione di schemi a reticolo, tecniche basate su hash e qualsiasi altra cosa solida – le blockchain possono creare uno scudo stratificato. Se un algoritmo cede, un altro resiste. Questo concetto di diversità crittografica potrebbe diventare una norma. Le blockchain future potrebbero impiegare più tipi di firma contemporaneamente o consentire agli utenti la scelta dell'algoritmo, rendendo il sistema nel suo insieme più robusto. È simile a come la natura valorizza la biodiversità per la resilienza; l'ecosistema crittografico può evitare una monocoltura nella crittografia.

C'è anche un lato positivo: la spinta per la sicurezza quantistica sta stimolando un'innovazione che porta benefici ausiliari. Le tecnologie di privacy, i miglioramenti di efficienza e le nuove capacità dei contratti intelligenti stanno sbocciando dalla stessa ricerca che affronta le minacce quantistiche. Ad esempio, le prove a conoscenza zero e la crittografia a reticolo non solo proteggono dagli attacchi quantistici, ma aprono le porte a transazioni più scalabili e private. In questo senso, la "paura quantistica" sta catalizzando un'evoluzione positiva nei protocolli di blockchain. Potremmo finire con reti non solo più sicure, ma anche più veloci e ricche di funzionalità, rispetto a quelle che abbiamo ora.

La transizione verso una crittografia sicura dal punto di vista quantistico diventerà probabilmente un capitolo definente nella storia della maturazione della blockchain. Testerà le strutture di governance – le comunità decentralizzate possono agire nel loro interesse a lungo termine nonostante le inconvenienze a breve termine? Testerà la collaborazione tra progetti – i rivali possono coordinarsi sugli standard per il bene maggiore della sicurezza? E testerà la fiducia degli utenti – gli utenti continueranno a sostenere le piattaforme attraverso i cambiamenti, comprendendo che sono per il bene maggiore? Se le risposte sono affermative, la navigazione riuscita della minaccia quantistica potrebbe cementare la fiducia nelle tecnologie decentralizzate per decenni a venire.

Gli sforzi precoci e sinceri di Ethereum offrono un modello: riconoscere presto la minaccia, sfruttare la ricerca esperta (come il lavoro di NIST), coinvolgereContenuto: integrare soluzioni nella roadmap prima che la crisi colpisca. Bitcoin e altri tracceranno ciascuno il proprio percorso, ma l'obiettivo finale è condiviso: garantire che la promessa fondamentale delle criptovalute, il trasferimento di valore senza fiducia e resistente alla censura, perduri nell'era quantistica. Il lavoro che si sta facendo ora è essenzialmente per garantire che quella promessa rimanga valida indipendentemente da ciò di cui saranno capaci i computer del futuro.

In conclusione, sebbene il calcolo quantistico rappresenti una sfida reale, è una sfida che il mondo delle criptovalute è sempre più pronto ad affrontare direttamente. Con un'ingegneria pragmatica, un dialogo aperto e un'azione tempestiva, le blockchain possono emergere dall'altra parte della transizione quantistica non solo indenni ma rinvigorite - conquistando ancora una volta un problema "impossibile". La storia dell'iniziativa agile e quantisticamente sicura di Ethereum riguarda in definitiva la resilienza e la lungimiranza. È un promemoria che la decentralizzazione non è un ideale statico ma un sistema vivente che può adattarsi alle minacce e continuare a servire i propri utenti in sicurezza. Man mano che ci spingiamo in questo nuovo confine, l'industria delle criptovalute sta dimostrando di poter effettivamente abbracciare il futuro senza paura, trasformando la crittografia avanzata e lo sforzo collettivo nelle fondamenta di un mondo finanziario sicuro per i quanti.