Chi arriva dal pezzo principale sa già di che cosa si parla: una macchina che ancora non esiste, ma che il giorno in cui esistesse saprebbe ricavare la chiave privata da una chiave pubblica. Da quel giorno, ogni moneta la cui chiave pubblica è già visibile sul registro diventa un bersaglio. La domanda naturale è: quante sono, oggi? Anche se stime pubbliche a riguardo già esistono e si citano spesso, è stata svolta una elaborazione per ricavare i dati, ottenendo conferme e spunti interessanti che qui di seguito sono presentati.
Questo approfondimento è stato affrontato anche come un esercizio per provare che con relativamente poche risorse (l'accesso a un nodo, il supporto di un LLM e la possibilità di far girare un programma di poche centinaia di righe), chiunque può accedere ai dati pubblici della time chain e fare i propri studi e riflessioni: può essere il modo per confermare informazioni già lette o per testare e validare delle proprie ipotesi.
In particolare inoltre, si è provato a reperire ed elaborare informazioni con delle accortezze pensate affinchè le aggregazioni ed i conti siano facilmente rieseguibili: ogni dato ha la sua impronta e il suo contratto di replica. In questo testo sono presentati i numeri e una descrizione sintetica del metodo impiegato. Gli specifici strumenti utilizzati, pronti ad essere riutilizzati, sono pubblici: github.com/amenano/nodsig.
Tutti i numeri che seguono valgono all'istantanea dichiarata: blocco 957.301, inizio luglio 2026.
Le serrature, in breve
Prima dei numeri, la bussola. Ogni moneta sul registro sta dietro una «serratura», lo script che dice a quali condizioni si può spendere; le serrature sono di pochi tipi, e il tipo decide quando la chiave si mostra. Questa tabella si consulta, non si studia: tornarci mentre si leggono le figure è l'uso previsto.
| serratura | indirizzi | protocollo | protezione | vulnerabile al quantum computing… |
|---|---|---|---|---|
| P2PK (pay to public key) | — (output delle origini) | le origini (2009) | nessuna: la chiave è in chiaro | sempre, per costruzione |
| P2PKH (pay to public key hash) | 1… |
legacy (2009) | hash160 della chiave | al riuso: la prima spesa mostra la chiave |
| P2SH (pay to script hash) | 3… |
legacy (2012, BIP 16) | hash160 dello script | al riuso dello script: la spesa mostra copione e chiavi |
| P2WPKH (pay to witness public key hash) | bc1q… |
SegWit v0 (2017) | hash160 della chiave | al riuso: come P2PKH |
| P2WSH (pay to witness script hash) | bc1q… (più lungo) |
SegWit v0 (2017) | sha256 dello script | al riuso dello script: come P2SH |
| P2TR (pay to taproot) | bc1p… |
Taproot / SegWit v1 (2021) | nessuna: la chiave (con tweak) è in vista | sempre, per costruzione |
Fuori tabella resta una polvere di vecchi output multifirma in chiaro (bare multisig), esposti anch'essi per costruzione: pochi BTC, contati nel pavimento del pezzo principale.
L'ultima colonna divide il registro in due famiglie, e le due famiglie tornano in ogni figura di questo pezzo: le serrature esposte per costruzione, che mostrano la chiave dal primo giorno, e quelle protette da un hash, che la mostrano solo quando il riuso gliela fa mostrare.
E poiché la domanda «e quindi che cosa dovrei fare?» è legittima, la risposta sintetica sta qui, prima dei numeri; il pezzo principale la argomenta per esteso.
| serratura | condotta per la massima protezione possibile |
|---|---|
| P2PK | la serratura espone la chiave per costruzione: l'unica protezione è migrare le monete a un formato protetto da hash, cosa che chi ha ancora le chiavi può fare oggi |
| P2PKH / P2WPKH | mai riusare un indirizzo: uno nuovo per ogni ricezione (i portafogli moderni lo fanno da soli), e mai ricevere su un indirizzo che ha già speso |
| P2SH / P2WSH | come sopra, per lo script: ogni spesa mostra il copione e le chiavi dei cofirmatari → script nuovo a ogni ricezione, rotazione periodica per i depositi grandi |
| P2TR | la chiave è in vista per costruzione: non basta evitare il riuso, qui l'accortezza sull'indirizzo non compra nulla. In ottica quantum computing i valori grandi e fermi stanno meglio su un formato protetto da hash (bc1q… mai riusato) |
| tutte | l'accortezza compra tempo, non esenzione: la protezione vera sarà la migrazione alle firme post-quantum, e andrà fatta comunque |
I tre numeri
Il censimento si riassume in tre numeri. 5,08 milioni di BTC hanno la chiave già mostrata dal riuso: è la misura nuova di questo pezzo, contata e non stimata, su 8,78 milioni di serrature. 1,93 milioni di BTC sono esposti per costruzione: è il pavimento certo, che chiunque riproduce con un comando. La somma fa 7,02 milioni di BTC: il 35 per cento circa di tutte le monete esistenti ha la chiave in vista. Chi conosce le stime pubbliche riconoscerà il paesaggio: il testo di BIP-361 conta oltre il 34 per cento, l'analisi di Glassnode del maggio 2026 mette il pavimento a 1,92 milioni contro il nostro 1,93, il comitato consultivo di Coinbase parla di circa 7 milioni. Strade diverse, stesso posto. Con un'avvertenza che conviene dare subito, perché vale per ogni confronto di questo pezzo: quando i perimetri non coincidono, i totali non coincidono, e non è un disaccordo. Glassnode, per esempio, sul totale si ferma a 6,04 milioni, il 30,2 per cento: conta una data diversa dalla nostra e un perimetro diverso del riuso, dove noi contiamo anche gli script e i cofirmatari. I numeri si somigliano dove misurano la stessa cosa (il pavimento, appunto, dove la convergenza arriva al decimale) e si scostano dove la definizione cambia. Su questi totali il nostro contributo non è una scoperta ma una conferma: le stime pubbliche cadevano già nel punto giusto, e qui lo si può verificare da sé invece di prenderlo sulla fiducia. Dove il censimento aggiunge qualcosa di suo è più avanti, sulla concentrazione per serratura e sul ritmo.
La mappa del registro
La mappa qui sopra mette tutto il registro su una scala sola: una barra per tipo di serratura, la parte piena è il valore con la chiave in vista. Come si legge: la prima cosa che salta all'occhio è un apparente paradosso, i formati vecchi che sembrano messi meglio dei nuovi, con la barra piena del P2WPKH «moderno» più lunga di tutte. Ma in proporzione i tipi si somigliano: il P2PKH ha in vista il 26 per cento del proprio valore, il P2WPKH il 24, il P2SH il 33. Quello che cambia è dove il valore vive: il tipo P2WPKH è il più grande del registro, con 8,16 milioni di BTC, e a parità di percentuale esposta produce molti più BTC in vista. Le eccezioni vere sono due: il P2WSH, un tipo piccolo con quasi metà del valore in vista (se ne capirà il carattere tra poco), e le due barre tratteggiate, P2PK e Taproot, esposte al cento per cento per costruzione: lì non c'è accortezza che tenga, solo la migrazione.
Da qui in avanti il pezzo guarda i quattro tipi protetti dall'hash, e fa alle loro serrature tre domande: quanta parte, da quando, con che ritmo.
Il carattere dei tipi
Da qui in avanti, tabelle e figure guardano i soli quattro tipi protetti da un hash ed esposti dal riuso: P2PK e Taproot, esposti per costruzione, restano fuori. Il totale di riferimento non è più 7,02 milioni di BTC ma 5,08.
| serratura | BTC esposti (≥) | mediana/serratura | media | Gini |
|---|---|---|---|---|
P2WPKH bc1q… |
1,92 M | 0,00014 | 0,53 | 0,996 |
P2SH 3… |
1,28 M | 0,00014 | 1,11 | 0,998 |
P2PKH 1… |
1,19 M | 0,00012 | 0,30 | 0,996 |
P2WSH bc1q… (script) |
0,69 M | 0,00036 | 7,60 | 0,999 |
| tutte | 5,08 M | 0,00013 | 0,58 | 0,997 |
La prima cosa che la tabella dice, e che nessuna media da sola direbbe, è che l'esposizione è estremamente concentrata: la serratura esposta tipica, la mediana, tiene una manciata di dollari (poco più di diecimila satoshi), in ogni tipo. La media è molto più alta solo perché tirata su da pochissime serrature enormi; il Gini quasi 1 lo misura senza mezzi termini: l'indice vale 0 quando il valore è spartito in parti uguali e tende a 1 quando è quasi tutto in pochissime mani. Ogni tipo, in altre parole, è una lunga coda di polvere più un pugno di giganti.
Dentro questa forma comune, i tipi si distinguono per dove stanno i giganti. Il P2WSH è il caveau: poche serrature, ma la media più alta del registro (7,6 BTC), il profilo dei depositi multifirma, casseforti più che portafogli. Il P2PKH è la coda lunga storica, la media più bassa, il riuso di sempre. La media va letta così, «quanto è grande la whale che pesa su questo tipo», non «quanto tiene l'indirizzo comune»: quello, in ogni tipo, è polvere.
Qui serve la frase di cautela, per intero: questi dati non fanno attribuzioni. Non dicono chi riusa, non nominano nessuno, e non potrebbero: misurano una concentrazione, non un'identità. Dicono però una cosa precisa: il valore esposto non è disperso su una folla, si addensa su pochissimi indirizzi molto grandi, un profilo che non è quello dei portafogli personali. E qui c'è una convergenza che vale la pena notare: chi dispone di dati proprietari e le attribuzioni le fa arriva allo stesso profilo per strade tutte sue. L'analisi di Glassnode assegna alle sole exchange 1,66 milioni dei BTC esposti dal riuso, quattro su dieci; il comitato consultivo di Coinbase descrive i circa 5 milioni da riuso come «di utenti attivi, incluse grandi cold wallet di exchange note»; lo studio di Chaincode Labs indica exchange e portafogli istituzionali fra i più esposti proprio per via del riuso. Tre analisi indipendenti, con metodi e dati diversi, disegnano lo stesso profilo. La differenza di ruolo va detta con chiarezza. Quelle analisi dispongono di dati proprietari e arrivano ai nomi, ma non sono riproducibili da fuori. Il nostro conto fa il percorso opposto: non arriva ai nomi, ma la concentrazione che li fa sospettare è misurata su un nodo qualunque e rieseguibile fino all'impronta. Mostriamo il segnale in modo verificabile; i nomi, per chi li vuole, li mette chi li vende.
Le serrature, fascia per fascia
La distribuzione per intero: ogni serratura esposta collocata nella sua fascia di valore, per numero e per BTC.
| fascia (BTC) | serrature | BTC esposti | % del valore |
|---|---|---|---|
| 0 – 0,001 | 6.300.308 | 941 | 0,0 % |
| 0,001 – 0,01 | 1.318.119 | 4.668 | 0,1 % |
| 0,01 – 0,1 | 718.614 | 24.873 | 0,5 % |
| 0,1 – 1 | 342.278 | 106.460 | 2,1 % |
| 1 – 10 | 87.920 | 232.838 | 4,6 % |
| 10 – 100 | 13.072 | 357.429 | 7,0 % |
| 100 – 1000 | 3.439 | 1.058.748 | 20,8 % |
| ≥ 1000 | 614 | 3.298.768 | 64,9 % |
Come si legge: le prime tre fasce, oltre otto milioni di serrature (quasi tutte quelle esposte), valgono insieme lo 0,6 per cento del valore; le 4.053 serrature sopra i cento BTC valgono l'85,7 per cento. È la stessa forma vista tipo per tipo, ora su tutto il registro: una coda sterminata di polvere e un pugno di giganti.
Statistiche come queste non sono un verdetto, sono strumenti. Servono a dare corpo a un'ipotesi, a rafforzarla o a smentirla con numeri invece che con impressioni. Ed è qui il punto che conta più di ogni singola cifra: per calcolarle non serve un archivio privato né un permesso, bastano un nodo e un programma di poche centinaia di righe, con la pipeline e il contratto di replica in appendice. Già oggi il contratto dice esattamente che cosa deve tornare, e se un numero non convince, se un'ipotesi sembra tirata, chiunque potrà rifare il conto e spingerlo dove vuole. Tutto ciò che è scritto sulla catena è pubblico, e ciò che è pubblico è verificabile da chiunque, non solo da noi. I limiti restano quelli dichiarati: ciò che la catena non mostra, le chiavi condivise fuori catena, nessuno può contarlo, e questo vale per noi come per chiunque altro.
E vale oltre il caso di oggi: questo modo di procedere non riguarda solo la minaccia del quantum computing di cui ci stiamo occupando, ma qualunque domanda su dati o aspetti del protocollo che stiano scritti in pubblico. Dove l'informazione è esposta, l'analisi può essere di tutti.
Da quando: la curva per epoca di rivelazione
Questa curva risponde alla domanda «da quando»: prende il valore oggi esposto e lo distribuisce per l'epoca in cui la chiave si è mostrata. Come si legge, in tre passi. Primo: la pendenza recente. Quasi metà del valore oggi in vista, il 48,1 per cento, ha rivelato la chiave dopo l'inizio del 2024, e il 34 per cento dopo l'inizio del 2025; la linea che domina la salita è quella del P2WPKH. L'esposizione da riuso non è un'eredità del passato ingenuo di Bitcoin: è recente, e per la parte più pesante recentissima. Secondo: i gradini. La curva non sale liscia, sale a scatti, e i singoli scatti si vedono a occhio nudo: nel novembre 2018 la linea del P2SH sale di 444.504 BTC in un intervallo di diecimila blocchi, con appena 12.867 serrature coinvolte: trentaquattro BTC e mezzo a serratura, la firma di pochi soggetti grandi, non di una folla. I cinque intervalli più ripidi, da soli, valgono un terzo di tutto il valore esposto; i primi venti, tre quarti. Terzo: che cosa questa curva non dice. È l'esposizione di oggi distribuita per epoca: le monete rivelate in passato e poi spese non ci sono più. Non è la storia del comportamento; è l'inventario del magazzino, con l'etichetta dell'anno su ogni scaffale. La storia del comportamento è nella figura che segue.
E la freschezza non è uniforme tra i tipi: del valore esposto P2WPKH, l'ottanta per cento si è rivelato dopo l'inizio del 2024; del P2WSH quasi metà; del P2SH un terzo; del P2PKH un sesto. Il gradiente segue l'età dei formati, ed è un altro modo di dire che il riuso non è un fossile, è una pratica spesso ancora diffusa.
| serratura | BTC esposti (≥) | serrature | quota del valore del tipo | di cui dopo inizio 2024 |
|---|---|---|---|---|
| P2WPKH | 1.924.332 | 3.612.318 | 23,6 % | 79,7 % |
| P2SH | 1.283.224 | 1.155.896 | 32,6 % | 32,8 % |
| P2PKH | 1.185.752 | 3.925.128 | 25,8 % | 15,3 % |
| P2WSH | 691.417 | 91.022 | 48,7 % | 44,7 % |
| totale | 5.084.725 | 8.784.364 | 28,1 % | 48,1 % |
Con che ritmo: il comportamento, anno per anno
Questa figura cambia domanda: non «quanto è esposto oggi», ma «quanto si rivela, anno per anno»: il costume, non l'inventario. La serie conta le impronte nuove che la catena vede per la prima volta, ciascuna nell'anno della sua prima apparizione, in media per blocco. Come si legge: il ritmo sale per oltre un decennio, fa picco nel 2021, quasi ottomila impronte nuove per blocco, e da allora cala ogni anno: nel primo semestre 2026 siamo poco sopra le quattromilaseicento, più del quaranta per cento in meno. Dentro il calo c'è una migrazione leggibile dai colori: gli script P2SH crollano (dai duemilaseicento del picco 2020 a meno di trecento per blocco: la rete ne sta uscendo), il P2WSH fa picco nel 2024 e scende, le chiavi calano più piano, da quasi tremilacinquecento a circa duemila. Il costume, in altre parole, migliora.
Serie di questa famiglia esistono già, ed è giusto dirlo: BitMEX Research pubblicò nel 2022 la quota di output che riusa indirizzi; un lavoro accademico del 2026 (Stütz et al.) conta, per trimestri e fino al marzo 2025, gli eventi di primo riuso di chiave. La nostra non è la prima serie del genere e non pretende di esserlo. Che cosa aggiunge, in concreto:
- conta anche gli script, non solo le chiavi. Alle chiavi P2PKH/P2WPKH affianca i copioni P2SH/P2WSH mostrati alla spesa: senza di essi la migrazione dei P2SH, il fatto più netto di questa figura, resterebbe invisibile.
- arriva a metà 2026, un anno oltre la serie accademica più recente, e mostra che il calo prosegue.
- si rifà da sé: l'appendice in coda contiene i comandi per ricostruire la stessa serie, impronte comprese. Non è un dato da prendere sulla fiducia.
In breve: non un fatto nuovo sul se il riuso cali, ma la stessa domanda misurata su più serrature, più a lungo, e in modo che chiunque rifaccia il conto.
Che cosa resta: l'età dell'esposizione
La figura che segue è la sorella di quella del ritmo, e le due guardano lo stesso fenomeno da due lati che è facile confondere. Quella del comportamento conta gli eventi: quante impronte nuove la catena ha visto per la prima volta, anno per anno, e ogni rivelazione pesa uno: una serratura svuotata il giorno dopo conta quanto una che custodisce migliaia di BTC. Questa pesa invece lo stato: prende il valore che oggi sta dietro chiavi in vista e lo data all'anno in cui la serratura si rivelò per la prima volta. Per questo possono divergere, ed è la divergenza a renderle interessanti insieme: un anno di rivelazioni fitte può non lasciare quasi nulla nell'esposizione di oggi, se quelle monete si sono poi mosse; un anno qualunque può dominarla, se il valore è rimasto fermo. Una racconta un'abitudine; l'altra, ciò che l'abitudine ha lasciato sul tavolo.
Come si legge: l'esposizione è giovane. Poco più di un terzo del valore oggi esposto, il 34,3 per cento, si è rivelato nel 2025-26: 1,74 milioni di BTC, di cui 1,23 nel solo 2025; dal 2023 in poi si supera la metà, il 55,4 per cento. Solo il 6,2 per cento è in vista da più di dieci anni. Il picco isolato del 2018, l'11,3 per cento, è l'evento P2SH già annotato sotto la curva per epoca. Il confronto con la sorella si fa a colpo d'occhio, stesso asse: il 2018 compare in entrambe; il 2025, che nel ritmo è un anno di calo, qui da solo vale quasi un quarto del totale, perché il valore rivelato di recente è ancora quasi tutto al suo posto. E il perimetro è lo stesso, il peso no: la figura del ritmo conta anche serrature oggi vuote, questa solo ciò che oggi custodisce valore.
La doppia lettura
Le ultime due figure sembrano contraddirsi, e conviene dirlo apertamente: la serie del ritmo migliora dal 2021, meno riuso ogni anno; l'età dell'esposizione, appena vista, è invece dominata dal valore rivelato di recente, e la curva per epoca dice lo stesso. Come possono valere insieme «il riuso cala» e «l'esposizione è recente»? Tenerle d'accordo è, a nostro avviso, la lettura più istruttiva dell'intero censimento: le serie citate misurano il flusso, mentre qui il flusso si legge insieme alla giacenza esposta e alla concentrazione per serratura, ed è questo incrocio a sciogliere la contraddizione.
La differenza è tra due grandezze:
- un flusso — quanti eventi di rivelazione accadono ogni anno (la serie del ritmo): rallenta;
- una giacenza — quanto valore rivelato è ancora spendibile oggi (la curva per epoca): non cala, perché registra solo ciò che nel frattempo è stato speso.
La chiave è la sopravvivenza degli output. Il valore rivelato negli anni lontani è stato in gran parte già speso e, uscendo dal registro, è uscito dal conto; quello recente giace ancora lì. Perciò un comportamento che migliora non svuota la giacenza esposta: la fa crescere più piano e, lo dice la prima tabella, con serrature sempre più ricche, meno eventi ma più valore per evento. Per la minaccia del quantum computing conta la giacenza, non il ritmo; e la giacenza cresce.
Che cosa i numeri lasciano dire sulla minaccia
La concentrazione vista sopra permette un passo che le sole stime non consentono, e conviene farlo con prudenza, perché è un'ipotesi, non una misura. La forma dell'esposizione è netta: poche centinaia di indirizzi giganti tengono la maggior parte del valore in vista. Le cento serrature esposte più grandi valgono il 47 per cento dei 5,08 milioni esposti dal riuso; le prime mille, il 70 per cento; bastano 614 serrature, quelle sopra i mille BTC, per quasi due terzi del totale. Il resto è una coda di milioni di serrature che, sommate, non pesano quasi nulla.
Un valore così concentrato non ha il profilo dei piccoli risparmiatori: somiglia a poche entità grandi (exchange, custodi, tesorerie), lo stesso profilo a cui arrivano, con dati che noi non abbiamo, le analisi citate. E attori di quella taglia hanno una proprietà che il singolo distratto non ha: sono informati, o possono esserlo. Se la minaccia passasse da remota a concreta, sarebbero tra i primi a saperlo, e c'è un fatto concreto: spostare qualche centinaio di indirizzi coprirebbe gran parte del valore a rischio; la difesa, per la parte più pesante, è alla portata di pochi.
Questo taglia in due direzioni, ed è il motivo per cui i dati sono un antidoto agli slogan. Da un lato tempera l'allarme: il grosso dell'esposizione non è polvere sparsa fra milioni di ignari, è concentrato dove chi può muoversi è in grado di farlo in fretta. Dall'altro non autorizza a minimizzare: la stessa concentrazione rende il bottino appetibile (poche serrature rotte varrebbero moltissimo), nulla garantisce che la reazione arrivi in tempo, e, avvertenza da non tacere, non tutti quei giganti sono presidiati: un indirizzo enorme con la chiave in vista può essere un tesoro dimenticato, monete perse da anni che nessuno migrerà mai. Concentrazione di indirizzi non è concentrazione di custodi vigili.
È un esempio piccolo di una cosa più generale. Il registro pubblico, che per un attaccante è un vantaggio (le chiavi esposte sono lì da leggere), è anche una risorsa per chi vuole capire: rende la minaccia misurabile invece che raccontabile. E qui il metodo si è rivoltato contro le sue stesse tentazioni: la media per serratura suggeriva «attori grandi che riusano»; la distribuzione, guardata davvero, dice una cosa più precisa e meno comoda: pochissimi giganti su un oceano di polvere. Il pezzo principale separa le due paure e mette in guardia dai due errori simmetrici, l'allarme e il sorriso di sufficienza; questi numeri danno a quella via di mezzo un terreno di fatti, non di aggettivi.
I confini di questi numeri
Ogni cifra di questo pezzo è un minimo, e la direzione dell'errore è una sola: per difetto. Il conteggio vede solo ciò che la catena mostra; le chiavi pubbliche condivise fuori catena, le xpub consegnate a servizi, app di sola lettura, custodi, non lasciano traccia sul registro e non entrano nel conto. Il perimetro è dichiarato: quattro tipi protetti da hash, riuso di chiavi e di script, cofirmatari compresi; le esclusioni (transazioni non confermate, script P2SH mai spesi) sono elencate in appendice. Le date delle figure vengono dai timestamp dei blocchi. E la serie del comportamento conta ogni impronta una volta, nell'anno della sua prima apparizione: misura quante serrature si rivelano, non quante volte vengano poi riusate.
Appendice: rifare i conti
Il principio è quello del sito: ciò che è verificabile è di tutti. Qui c'è da dove si parte, che strada fa il conto, e quali impronte deve ritrovare chi lo rifà.
Si parte da una fotografia: lo snapshot dell'insieme delle monete non spese, preso a un'altezza dichiarata. Da lì si distillano le «serrature», cioè gli UTXO di quel momento con il tipo di ciascuno: sono il metro contro cui si misurerà ogni chiave trovata. Poi la catena si rilegge dall'inizio, blocco per blocco, in cerca delle chiavi già rivelate.
Quella rilettura l'abbiamo fatta due volte, e le due letture sono diverse apposta, perché producono cose diverse.
| passata 1 | passata 2 | |
|---|---|---|
| mentre scorre la catena | confronta ogni chiave con le serrature e tiene il conto | archivia ogni rivelazione con la sua provenienza |
| che cosa lascia | i numeri e la curva: pochi megabyte | un archivio interrogabile: decine di gigabyte |
| che cosa se ne ricava qui | quanto è esposto, di che dimensione, da quando | con che ritmo il riuso è cambiato negli anni |
| e poi | finisce lì | risponde anche a domande non ancora fatte |
La provenienza è dove la chiave si è vista: nella firma di chi spendeva, nel witness, oppure dentro uno script rivelato, che è il caso in cui compaiono anche le chiavi dei cofirmatari. Annotarla serve a questo: il perimetro del conteggio (contare o no i cofirmatari, quali tipi includere) si applica in lettura, quando la domanda arriva, senza dover riscorrere la catena.
La prima passata è il modo economico di arrivare a quei conti, e finisce lì. La seconda, mentre scorre, non conta niente: archivia, e i numeri li ricava dopo, rileggendo l'archivio. Costa molto di più, e in questo pezzo si ripaga con la serie del ritmo, che si legge dall'archivio e non dalla prima passata. Che poi le due strade debbano arrivare allo stesso numero è una verifica che, fatte le due passate, non costa niente in più: non condividendo l'aggregazione, un errore nell'una non si ripeterebbe uguale nell'altra, e il controllo incrociato esige che coincidano fino all'impronta. È la controprova, pagata una volta, della fiducia in tutto il resto.
Chi rifà i conti non deve pagarla di nuovo: la via documentata è la passata unica (la scansione che archivia, i numeri derivati in lettura dall'archivio), e la controprova resta a disposizione come verifica.
Un'idea del costo, perché «rieseguibile» non voglia dire «gratis». Il passo lungo è la rilettura della catena, e non dipende dalla potenza del calcolatore: dipende da quanto in fretta i blocchi arrivano dal nodo. Su un portatile di fascia media, col nodo raggiungibile in rete locale, la passata unica richiede un paio di giorni di macchina, interrompibili: lo scanner riprende dall'ultimo checkpoint. A noi è costata di più, perché di passate ne abbiamo fatte due.
dal nodo ──► utxos.dat la fotografia (dumptxoutset)
dal nodo ──► block_dates_<h>.csv i timestamp dei blocchi,
per le date delle figure
utxos.dat ┬─► census ───────► census_<h>.csv
│ il pavimento: P2PK e Taproot
│
└─► reuse prepare ───────► locks_<h>/
le «serrature»: gli UTXO non
spesi a quell'altezza
│
┌─────────────────────┴─────────────────────┐
│ │
PASSATA 1 PASSATA 2
confronta mentre scorre archivia tutto e deriva
e non archivia nulla i numeri dopo
│ │
▼ ▼
reuse scan archive scan
blocchi dal nodo blocchi dal nodo
│ │
▼ ▼
checkpoint/ utxo_reveal/
├ curve.csv └ runs/… ──► merge
└ hits_<tipo>.bin │
│ │ ▼
│ └─► reuse stats manifest.json
│ └ reuse_stats_<h>.json (impronta canonica)
│ concentrazione e fasce │
└──────────► crosscheck ◄───────────────────┘
PASS / FAIL
Il nodo serve in quattro momenti soltanto: la fotografia dell'insieme delle monete, i timestamp dei blocchi e le due riletture della catena. Tutto il resto (il censimento, le serrature, la distribuzione, la fusione, il controllo incrociato) si calcola sugli artefatti già ottenuti, senza tornare a interrogarlo.
| Il pezzo | Che cos'è | A che serve |
|---|---|---|
snapshot UTXO (utxos.dat) |
la fotografia di tutte le monete non spese a quell'altezza, presa dal nodo con dumptxoutset |
è il punto di partenza comune: chi parte dalla stessa fotografia deve arrivare agli stessi numeri |
i timestamp (block_dates_…csv) |
la data di 96 altezze, chieste al nodo con getblockheader e interpolate in mezzo |
è quello che mette gli anni sotto le due figure temporali |
il censimento (census_…csv) |
quante monete esistono per ciascun tipo di serratura, letto dal solo snapshot, senza nodo | dà il pavimento: l'esposto per costruzione, cioè il P2PK delle origini e Taproot |
le serrature (locks_…) |
distillato dello snapshot: che cosa è «chiuso», e da che tipo di serratura | è il metro: ogni chiave trovata nella catena si confronta con queste |
la curva (curve.csv) |
quanto valore risulta riusato, blocco dopo blocco | dà la storia e non solo il totale: è la figura dell'esposizione per epoca |
lo schedario (utxo_reveal) |
le chiavi e gli script che la catena ha già rivelato, con la loro provenienza; la fusione periodica (merge) ne fissa la forma canonica |
è l'archivio interrogabile: da qui i numeri si derivano senza riscansionare la catena |
la distribuzione (reuse_stats_…json) |
come il valore esposto si ripartisce fra le serrature: si ricava dalle serrature e dai riscontri della passata 1 (hits_…), senza rileggere la catena |
è quello che regge mediana, media e Gini, le fasce della treemap e le quote dei più grandi |
il controllo incrociato (crosscheck) |
rilegge lo schedario contro le serrature e rifà il conto per l'altra strada | è la prova: due strade indipendenti devono dare lo stesso numero, fino all'impronta |
E poiché il senso di tutto questo è che i conti si possano rifare, conviene dire quale numero di questo pezzo poggia su quale pezzo della catena.
| viene da | che cosa regge in questo pezzo |
|---|---|
| il censimento, dal solo snapshot | il pavimento di 1,93 milioni, cioè P2PK e Taproot |
| la passata 1 | i 5,08 milioni esposti dal riuso, le barre piene della mappa del registro, la curva per epoca |
la passata 1, riletta da stats |
le dimensioni per serratura: mediana, media, Gini, le fasce della treemap, le quote dei più grandi |
| la passata 2 | il ritmo del riuso anno per anno |
| i timestamp dei blocchi | le date sotto le due figure temporali |
| passata 1 contro passata 2 | il controllo incrociato |
Il contratto di replica ha due livelli, che si controllano in modi diversi.
Il primo è l'input, e lo verifica già oggi chiunque, con un nodo qualunque e senza il nostro codice. Serve partire dalla nostra identica fotografia della catena:
- altezza di taglio 957.301: il suo block hash si ottiene con
getblockhash 957301; - stesso snapshot dell'insieme delle monete non spese:
txoutset_hash ec79aed99b8d22d7315c76488fe09975ef9258039ee5583c7e8c7b6dc8d4cc58. Questo hash lo calcola Bitcoin Core da sé (gettxoutsetinfo, odumptxoutset): chi al blocco 957.301 rifàgettxoutsetinfoe ritrova lo stessotxoutset_hashha la nostra identica fotografia di partenza, e nessuno deve fidarsi che non abbiamo scelto i dati comodi; - stesso perimetro, dichiarato nei flag dello scanner: i quattro tipi protetti da hash, riuso di chiavi e di script, cofirmatari compresi.
Il secondo livello è il risultato, e lo si riproduce con il codice, che è
pubblico: github.com/amenano/nodsig. Da
quell'input, l'elaborazione produce le due impronte canoniche su cui poggia
tutto quello che si è letto qui. La ricetta non ha nulla di nostro: chi rifà
la costruzione alla stessa altezza, con il codice del tag v1.0.0, deve
atterrare sulle stesse stringhe fino all'ultimo byte — stessa catena, stessa
altezza, stessa impronta, su qualunque macchina e chiunque la faccia. Non c'è
margine per ritoccare un risultato a posteriori: un byte diverso cambia la
stringa per intero.
- impronta delle serrature colpite:
5fd579dbc6190f5bf08e35947ab77a55e067aa366acd13bd49fa30d3ba9d0ee7 - impronta canonica dell'archivio delle rivelazioni:
aacaf02dca2fc5ba8532e54fa75159041fc99051efa68eb63e59bc9537369ced
Una terza impronta, a parte, e nessuna cifra di questo pezzo ne dipende. La
stessa scansione può co-emettere un grafo delle transazioni, spento di
default perché costa centinaia di gigabyte; noi lo abbiamo emesso. Ne
pubblichiamo l'impronta canonica
a014f787256e1831c90290e04c2adbcf1fe00cfc3f2d26bb668bff491aa54190
non perché qualcosa qui sopra vi si appoggi, ma perché è un impegno preso
oggi su un materiale che servirà dopo, quando l'esposizione si potrà
ri-derivare epoca per epoca. Chi rifà i conti di questo pezzo non ha
bisogno di generarlo.
In breve: l'input si controlla subito, con un nodo; le due impronte del risultato si riproducono con il codice.
Riferimenti
- BIP-361, Post Quantum Migration and Legacy Signature Sunset, status Draft, febbraio 2026 (il dato «oltre il 34%» al 1° marzo 2026): github.com/bitcoin/bips/blob/master/bip-0361.mediawiki
- Deloitte, Quantum computers and the Bitcoin blockchain, analisi 2019-2020 (circa 4 milioni di BTC vulnerabili, un quarto della circolazione di allora): deloitte.com/nl/en/services/consulting-risk/perspectives/quantum-computers-and-the-bitcoin-blockchain.html
- Glassnode, Measuring Bitcoin's Quantum-Exposed Supply, 20 maggio 2026 (dati proprietari: pavimento strutturale 1,92 milioni di BTC, totale 6,04 milioni con perimetro proprio, attribuzione per exchange — 1,66 milioni ricondotti a exchange, quattro decimi dell'esposto da riuso): research.glassnode.com/measuring-bitcoins-quantum-exposed-supply
- Coinbase Quantum Advisory Council, position paper del 21 aprile 2026 con aggiornamento del giugno 2026 (circa 7 milioni di BTC: ~1,7 in P2PK, ~5 da riuso di utenti attivi, incluse cold wallet di exchange note): coinbase.com/blog/coinbase-quantum-advisory-council-publishes-position-paper…
- A. Milton, C. Shikhelman (Chaincode Labs), Bitcoin and Quantum Computing: Current Status and Future Directions, maggio 2025 (4-10 milioni di BTC, 20-50%; circa il 69% da riuso, con exchange e portafogli istituzionali fra i più esposti): chaincode.com/bitcoin-post-quantum.pdf
- BitMEX Research, Bitcoin Address Re-use Statistics, febbraio 2022 (la quota di output che riusa indirizzi, a conteggio e non pesata per valore): bitmex.com/blog/bitcoin-address-re-use-statistics
- R. Stütz, N. Stifter, M. Dragaschnig, B. Haslhofer, A. Judmayer, Reuse of Public Keys Across UTXO and Account-Based Cryptocurrencies, 2026 (serie trimestrale degli eventi di primo riuso di chiave, con codice; dati al 31 marzo 2025): arxiv.org/abs/2601.19500
- Il ragionamento di cui questo pezzo porta i numeri sta nel pezzo principale, «Bitcoin e quantum computing».
- Codice e strumenti di questo pezzo: un approfondimento dedicato seguirà più avanti.