IonQ, 20.000 qubit e Bitcoin: cosa significa davvero la stima sull’algoritmo di Shor

Il comunicato di IonQ dell’8 settembre 2026 contiene un’affermazione forte, ma condizionata: un futuro computer quantistico a ioni intrappolati, fault-tolerant e basato sull’architettura proposta dall’azienda potrebbe risolvere in poco meno di 26 giorni il problema del logaritmo discreto su curva ellittica alla base di secp256k1. È la curva usata dal sistema di firme di Bitcoin; definirla «crittografia a 256 bit» è una semplificazione diffusa, ma il rischio concreto riguarda autenticazione e firma delle transazioni. 19

La stima, in numeri semplici

Secondo IonQ, l’operazione richiederebbe:

• 19.397 qubit fisici;
• 1.457 qubit logici;
• circa 39 milioni di porte Toffoli;
• circa 25,7 giorni per tentativo.

Sono parametri riferiti a una macchina in cui la correzione degli errori quantistici è già inclusa. I qubit logici sono le unità di calcolo affidabili necessarie all’algoritmo; per ottenerli servono molti più qubit fisici, cioè gli elementi hardware effettivi. IonQ arrotonda quindi il requisito a un sistema da 20.000 qubit fisici. 19

Il bersaglio è il problema del logaritmo discreto su curva ellittica di secp256k1. Se un aggressore riuscisse a risolverlo per una chiave pubblica, potrebbe ricavare la corrispondente chiave privata e produrre una firma valida. Nel caso di Bitcoin, ciò potrebbe consentire spese non autorizzate da fondi la cui chiave pubblica rilevante è già esposta: non significherebbe «decrittare» retroattivamente la blockchain. 112

Perché IonQ parla di un progetto end-to-end

Il punto centrale non è un nuovo attacco dimostrato contro un wallet reale. È una stima delle risorse, specifica per un’architettura, che porta un’implementazione ottimizzata dell’algoritmo di Shor fino ai meccanismi di correzione degli errori fault-tolerant e alla pianificazione sull’architettura a ioni intrappolati Walking Cat di IonQ. 19

Questo livello di compilazione conta perché un algoritmo quantistico descritto ad alto livello può apparire molto meno oneroso dell’hardware fault-tolerant necessario per eseguirlo davvero. Il numero finale di qubit fisici e il tempo di esecuzione dipendono da ipotesi su tassi d’errore, correzione degli errori, velocità delle operazioni, connettività, decodifica e capacità di costruire e gestire un sistema su vasta scala.

Per questo, la soglia di 19.397 qubit non va letta come un valore universale per violare ogni sistema a curva ellittica da 256 bit. È la stima di IonQ per una precisa implementazione algoritmica e per un determinato modello hardware. 19

Non è una violazione di Bitcoin, né un Q-Day imminente

IonQ dichiara esplicitamente che si tratta della stima di risorse per un computer che non è stato ancora costruito. L’azienda afferma che nessuna piattaforma crittografica o asset digitale in uso è stato coinvolto dalla ricerca e di aver seguito pratiche di divulgazione responsabile, condividendo copie anticipate con interlocutori governativi e industriali. 12

La distinzione è decisiva: il solo numero di qubit fisici non dimostra una capacità crittografica operativa. La macchina dovrebbe anche mantenere nel tempo la tolleranza agli errori e le prestazioni assunte nella stima. IonQ indica come obiettivo della propria roadmap un sistema fault-tolerant da 10.000 qubit fisici nel 2027: resta un piano aziendale, non un risultato già dimostrato indipendentemente. 1

Con Q-Day si indica il momento in cui i computer quantistici potranno superare, nella pratica, la crittografia a chiave pubblica largamente adottata. Questo studio delinea più precisamente una possibile strada ingegneristica, ma non stabilisce la data del Q-Day.

Quale crittografia sarebbe esposta

L’algoritmo di Shor minaccia gli schemi a chiave pubblica basati sulla fattorizzazione di interi o sui logaritmi discreti. Rientrano in questa categoria RSA, Diffie-Hellman, Diffie-Hellman su curve ellittiche, ECDSA, le firme Schnorr e sistemi analoghi di autenticazione basati su curve ellittiche.

Per chi usa blockchain, il punto chiave sono le firme: il possibile attacco consiste nel ricavare una chiave privata da una chiave pubblica e poi falsificare una firma. La stessa preoccupazione riguarda anche certificati, firma del codice, VPN, SSH e infrastrutture di identità che dipendono dall’autenticazione a chiave pubblica.

Le firme post-quantum sono progettate per non basarsi sui problemi matematici presi di mira da Shor. Tuttavia, adottare una primitiva post-quantum non elimina rischi ordinari come errori di implementazione, furto delle chiavi, canali laterali o procedure di migrazione insicure.

Il possibile percorso di migrazione di Bitcoin: BIP-360

La proposta BIP-360 per Bitcoin introduce Pay-to-Merkle-Root (P2MR), un tipo di output pensato per rimuovere da Taproot il percorso di spesa basato sulla chiave, vulnerabile in prospettiva ai computer quantistici, e usare invece un impegno a un albero di script. Il progetto è concepito come un nuovo tipo di output SegWit v2 attivabile tramite soft fork. 17

È un importante elemento per una migrazione, non una soluzione automatica:

• proteggerebbe i fondi solo dopo l’eventuale adozione della proposta e il trasferimento volontario degli utenti nel nuovo tipo di output;
• non sposterebbe automaticamente le monete detenute in output legacy;
• l’attivazione su mainnet e il supporto diffuso dei wallet richiedono ancora revisione tecnica, implementazione e accordo dell’ecosistema. 18

Ecco perché una stima di attacco nell’ordine delle settimane non si trasforma in un conto alla rovescia lineare per Bitcoin. Proteggere un grande ecosistema crittografico richiede standard, software verificato, aggiornamenti dei wallet, supporto degli exchange, migrazione degli utenti e, soprattutto nelle reti decentralizzate, consenso su come gestire i fondi legacy esposti.

Il punto pratico

IonQ non ha dichiarato di aver violato Bitcoin, sottratto una chiave o costruito un computer quantistico capace oggi di eseguire l’attacco. Ha presentato una stima ingegneristica dettagliata e fault-tolerant secondo cui la sua futura architettura a ioni intrappolati potrebbe eseguire l’algoritmo di Shor contro secp256k1 con circa 20.000 qubit fisici in approssimativamente 25,7 giorni. 19

La risposta utile non è né il panico né il disinteresse. Lo studio rafforza la necessità di censire la crittografia utilizzata, progettare sistemi crypto-agili e pianificare una migrazione graduale verso meccanismi di autenticazione resistenti al quantistico, prima che esista un computer quantistico realmente rilevante sul piano crittografico.