Bitcoin si prepara alla minaccia quantistica, ma la difesa non è ancora attiva

La preparazione di Bitcoin a una possibile minaccia quantistica segue due strade: ridurre, dove le regole attuali lo consentono, l’esposizione delle chiavi pubbliche e valutare modifiche al protocollo che offrano protezioni più ampie. Nessuna delle due rende oggi Bitcoin resistente ai computer quantistici in ogni situazione. La sfida è anche trovare un accordo sull’aggiornamento e dare ai detentori il tempo di trasferire i fondi. 137

Qual è il bersaglio del rischio quantistico

La preoccupazione riguarda la crittografia a curve ellittiche usata per firmare le transazioni di Bitcoin. In teoria, un computer quantistico abbastanza potente potrebbe ricavare la chiave privata partendo da quella pubblica. Il livello di esposizione dipende da quando la chiave pubblica diventa visibile: alcuni tipi di output la mostrano sulla blockchain fin dall’inizio, mentre in altri può essere rivelata quando i fondi vengono spesi. Perciò alcune monete potrebbero restare esposte a lungo, mentre per altre il rischio si concentrerebbe attorno al momento della transazione. 35

Una stima del 2026 calcola che un attacco rapido a una chiave già esposta richiederebbe circa 1.200–1.450 qubit logici. In base alle ipotesi dello studio, ciò corrisponderebbe a meno di 500.000 qubit fisici su hardware a superconduttori. Si tratta di risorse stimate in un modello, non di una previsione su quando sarà costruita una macchina del genere. A settembre 2026, le notizie disponibili riferivano che non esisteva un computer quantistico capace di compromettere le firme di Bitcoin su scala crittografica. 12

Le stime dei BTC associati a chiavi pubbliche esposte variano: un’analisi ne indica circa 6,99 milioni, un’altra circa 6,04 milioni. Metodi e definizioni non coincidono, quindi le cifre danno un’idea della scala del fenomeno, non un conteggio esatto. E l’esposizione, da sola, non significa che quei fondi possano essere sottratti con i computer di oggi. 45

Cosa possono fare gli exchange con le regole attuali

Prima di un eventuale aggiornamento della rete, gli exchange e gli altri custodi possono puntare a limitare l’esposizione non necessaria delle chiavi pubbliche. Tra le misure riportate ci sono ridurre il riutilizzo degli indirizzi, verificare dove sono custoditi i fondi e rivedere le procedure di custodia e prelievo. Quando è praticabile, trasferire fondi da output con chiavi esposte può ridurne l’esposizione nel tempo. Non introduce però un nuovo sistema di firme e non protegge ogni moneta in ogni scenario di spesa. 1

Gli sviluppatori discutono anche soluzioni più circoscritte a livello di transazione, tra cui tecniche di commit-and-reveal e modalità per usare firme basate su hash in specifici processi di recupero o migrazione. Non sostituiscono in modo universale le regole di firma esistenti: l’efficacia dipende dalla tecnica adottata e dalle ipotesi su cui si basa. 4647

Cosa propone BIP-360 — e cosa non fa

BIP-360 propone Pay-to-Merkle-Root (P2MR), un tipo di output simile a Taproot che elimina la possibilità di spendere tramite il cosiddetto key path. Al suo posto, l’output si basa su un albero di script: l’obiettivo è ridurre l’esposizione prolungata di una chiave pubblica sempre visibile. La proposta è pensata per contrastare gli attacchi che sfruttano un’esposizione di lunga durata, non ogni possibile esposizione durante una spesa. 37

Un punto importante: BIP-360 non introduce di per sé un algoritmo di firma post-quantistico. Propone una nuova struttura per gli output; scegliere e attivare firme resistenti ai computer quantistici è una questione separata. Per entrare in vigore, la proposta richiederebbe un soft fork, cioè un aggiornamento compatibile con le regole precedenti. La sua pubblicazione non significa che la modifica sia già attiva su Bitcoin. 71721

BIP-360 può quindi essere un tassello di una transizione, non un piano completo per rendere Bitcoin immune agli attacchi quantistici. I fondi esistenti non verrebbero trasferiti automaticamente al nuovo tipo di output: chi volesse usare una destinazione più sicura dovrebbe poter migrare le proprie monete. 117

Perché accordo e migrazione sono la parte difficile

La difesa di Bitcoin non è solo un problema di crittografia: i partecipanti devono valutare le modifiche proposte, concordare sul loro funzionamento e decidere se adottarle. Anche un aggiornamento che introduca una destinazione più sicura non può trasferirvi da solo le monete inattive o inaccessibili. Le scelte sulla migrazione sono quindi importanti quanto il progetto tecnico. 3721

Le stime rendono sensata la preparazione, ma non fissano una scadenza. Il quadro più chiaro è questo: esistono misure per ridurre alcune esposizioni già oggi e proposte per interventi più ampi, ma né le pratiche attuali né BIP-360 costituiscono una difesa post-quantistica completa e attiva su tutta la rete. 123