Rapporto Cryptopolitan : quasi la metà dei nostri lettori pensa che la tecnologia quantistica renderà Bitcoin inutilizzabile entro il 2035

Abbiamo chiesto ai lettori della nostra newsletter se l'informatica quantistica sarebbe stata in grado di violare Bitcoin entro il 2035. La scorsa settimana, il 28 luglio, un modello di intelligenza artificiale non ancora reso pubblico ha individuato una falla in uno schema di firma post-quantistica che era sfuggita a due anni di revisione umana. Nessun computer quantistico è stato coinvolto in questo caso. Questo report analizza su cosa Bitcoin , la reale minaccia per BTC e perché quanto accaduto la scorsa settimana aggiunge una dimensione completamente nuova alla cronologia quantistica. 

Dove sono atterrati i nostri lettori

Aggiungendo coloro che hanno risposto "sì, probabilmente accadrà" al gruppo "prima del 2030", si ottiene che il 47% dei lettori vede la possibilità di una svolta quantistica per Bitcoin entro i prossimi nove anni. Ad oggi, la chiave a curva ellittica più grande mai decifrata su hardware quantistico reale è di 15 bit, un'impresa compiuta nell'aprile di quest'anno da un ricercatore che si è aggiudicato il premio Q-Day di Project Eleven. Per dare un'idea, le chiavi di Bitcoinsono a 256 bit e passare da uno a uno nell'arco di nove anni richiederà una straordinaria serie di innovazioni ingegneristiche. Circa un terzo di questo pubblico considera attualmente questa possibilità concreta. 

Cosa è realmente a rischio per il Bitcoin?

Prima di addentrarci nell'analisi approfondita dei risultati del sondaggio, è importante chiarire che Bitcoin non crittografa nulla. Non viene trasmesso alcun messaggio segreto e ogni transazione sulla rete è sempre stata pubblica sin dalla sua nascita. Bitcoin si limita a firmare e a eseguire l'hashing. Due funzioni diverse, due calcoli matematici differenti, due tempistiche quantistiche molto diverse. 

La fase di firma è la parte esposta e dove si trova la vulnerabilità. Quando si spendono Bitcoin, il portafoglio genera una firma che dimostra il possesso delle monete, e questo viene fatto tramite un algoritmo di crittografia a curve ellittiche chiamato secp256k1. Nel corso degli anni, Bitcoin ha utilizzato due metodi di firma: ECDSA fin dall'inizio e Schnorr dal 2021. La sicurezza di entrambi i metodi si basa su un presupposto, ovvero che sia impossibile derivare una chiave privata da una chiave pubblica. 

È qui che entra in gioco l'algoritmo di Shor, che mira a confutare tale presupposto. Con un computer quantistico sufficientemente potente, è possibile risalire da una chiave pubblica alla chiave privata che l'ha generata. A marzo di quest'anno, i ricercatori di Google hanno pubblicato delle stime che indicavano un fabbisogno inferiore a 1.200 qubit logici e inferiore a 500.000 qubit fisici. Un successivo studio del Caltech e di Oratomic ha ulteriormente ridotto il numero di qubit a soli 10.000, utilizzando un'architettura ad atomi neutri. Nessuno ha ancora realizzato nulla di simile. Tuttavia, in passato questi numeri si aggiravano sui milioni, e la direzione intrapresa è il motivo per cui Bitcoin hanno smesso di considerare questo un problema per il 2040. 

Il lato dell'hashing è in condizioni decisamente migliori. Bitcoin utilizza SHA-256 per il mining, per la generazione degli indirizzi e per collegare i blocchi. Il miglior attacco quantistico contro di esso è l'algoritmo di Grover, che offre solo un'accelerazione quadratica. In pratica, ciò riduce la sicurezza a 256 bit a qualcosa come 128 bit, che rimane ben oltre la portata di qualsiasi macchina progettata su carta. Il mining non è il punto debole, né lo è la struttura della blockchain.

Quindi, la definizione più precisa è più circoscritta rispetto a "la rivoluzione quantistica distrugge Bitcoin". Ciò che è a rischio sono le monete le cui chiavi pubbliche sono già presenti sulla blockchain, ben visibili. Questo accade quando un indirizzo è stato utilizzato in precedenza per effettuare transazioni, o quando i fondi si trovano in formati di indirizzo obsoleti che espongono la chiave per impostazione predefinita. La stima attuale si aggira tra i 6,5 e i 6,9 milioni di BTC, circa un quarto o un terzo dell'offerta totale, e questa cifra include circa 1,7 milioni di monete in indirizzi iniziali che si ritiene appartengano a Satoshi Nakamoto. 

Le monete detenute in indirizzi moderni da cui non è mai stata effettuata alcuna spesa non espongono affatto la chiave pubblica. In questi casi, un attaccante quantistico avrebbe a disposizione una finestra di tempo di pochi minuti, durante i quali una transazione rimane nella mempool in attesa di conferma. Un problema che vale comunque la pena risolvere, anche se molto meno rilevante di quanto suggerisca la cifra principale.

La risposta di Bitcoinal problema quantistico

L'11 febbraio 2026, BIP-360 è stato integrato nel repository ufficiale Bitcoin BIP, diventando la prima proposta formale di resistenza ai computer quantistici della rete a raggiungere tale traguardo. Introduce un nuovo tipo di output chiamato Pay-to-Merkle-Root, o P2MR, ideato da Hunter Beast, Ethan Heilman e Isabel Foxen Duke.

P2MR è essenzialmente Taproot senza la spesa tramite percorso chiave. Taproot effettua il commit sia su una chiave pubblica interna che su una radice Merkle di script, il che significa che la chiave è sempre derivabile da ciò che si trova sulla blockchain. P2MR effettua il commit solo sulla radice Merkle. Nessuna chiave pubblica appare finché non si effettua effettivamente la spesa, e anche in quel caso solo sulla foglia utilizzata. Questo elimina il problema della lunga esposizione.

Una proposta complementare, la BIP-361, è arrivata il 14 aprile con un piano in tre fasi per eliminare completamente le spese ECDSA e Schnorr. È questa la proposta che sta suscitando polemiche, perché la terza fase di fatto congela le monete che non migrano mai.

Ecco la parte su cui vale la pena soffermarsi. La stima di Heilman è di sette anni dal momento in cui si forma il consenso alla piena resilienza quantistica, e lui stesso la definisce ottimistica. Due anni e mezzo per la revisione e i test. Sei mesi per l'attivazione. Poi altri cinque anni prima che circa il 90% dei wallet, dei custodi, dei nodi Lightning e dei software di tesoreria siano effettivamente aggiornati. In particolare, BIP-360 non include affatto le firme post-quantistiche. Queste sono state rimosse nel luglio 2025 e rinviate a una proposta futura. Lo schema Bitcoin adotterà alla fine sarà molto probabilmente ML-DSA o SLH-DSA, gli algoritmi che il NIST ha già finalizzato.

Il che ci porta alla settimana scorsa.

Un progetto post-quantistico è fallito e non ha coinvolto alcun computer quantistico

Il 28 luglio, il Frontier Red Team di Anthropic ha pubblicato una scoperta relativa a Claude Mythos Preview, un modello non disponibile al pubblico. Operando in modo semi-autonomo in un ambiente agentico, ha individuato un attacco precedentemente sconosciuto contro HAWK, uno dei nove finalisti della competizione NIST per le firme post-quantistiche aggiuntive e l'unico schema basato su reticoli ad essere passato al terzo round a maggio.

L'attacco ha sfruttato una simmetria nella struttura reticolare di HAWK che nessuno aveva mai utilizzato prima. Per il set di parametri HAWK-256, ha ridotto il lavoro stimato per il recupero della chiave da circa 2^64 operazioni a circa 2^38. In parole semplici, questa è la differenza tra "nessun attaccante al mondo è in grado di farlo" e "un team ben finanziato potrebbe plausibilmente provarci"

Ora veniamo ai dettagli che rendono la situazione inquietante. HAWK aveva già superato due cicli di revisione umana da parte di esperti nell'arco di due anni. Il modello aveva individuato la falla in circa 60 ore, con un costo di circa 100.000 dollari in spese API. Il ricercatore che supervisionava il progetto aveva una formazione in informatica teorica e non era uno specialista in crittografia reticolare.

Sophie Schmieg, crittografa post-quantistica di Google, ha riassunto la situazione in cinque parole: "In pratica, con questo articolo, HAWK è morto". Il team di HAWK ha ritirato il progetto dalla valutazione del NIST il giorno successivo, osservando che le soluzioni più ovvie, come raddoppiare i parametri o passare a moduli di rango superiore, lo avrebbero reso non competitivo rispetto alle alternative.

Nessun computer quantistico è stato coinvolto in alcun momento. Il problema è stato causato dalla crittografia post-quantistica, e un classicmodello di intelligenza artificiale l'ha violato nel giro di un lungo fine settimana.

Cosa ha rivelato realmente il sondaggio 

Ogni opzione nel nostro sondaggio poneva la stessa domanda di fondo: quando arriverà l'hardware quantistico? I lettori si sono divisi in modo ragionevole su questo punto, e il 47% che prevede l'arrivo entro nove anni è un'interpretazione plausibile, considerando l'evoluzione delle stime sui qubit quest'anno.

Ma il risultato di HAWK suggerisce che la tempistica hardware potrebbe non essere il vincolo determinante. Il 33% che ha votato "non così presto" o "solo dopo il 2050" ha scommesso sull'ingegneria quantistica, e potrebbe benissimo avere ragione. Questa scommessa, tuttavia, non li protegge da un attacco di intelligenza artificiale classicall'algoritmo di sostituzione.

Quel 20% che ha risposto "non ne ho idea" merita un riconoscimento. In un pubblico che segue da vicino questo argomento, il fatto che uno su cinque si rifiuti di rispondere non è indice di apatia. Sembra piuttosto una valutazione accurata di quante incognite si sovrappongano: i progressi dell'hardware, la selezione degli algoritmi, le tempistiche per il raggiungimento del consenso e, ora, la crittanalisi assistita dall'IA che si muove più velocemente del processo di revisione predisposto per individuarla.