liberlume-content-v3
lang: it
title: Bitcoin e quantum computing: i dati (luglio 2026)
summary: Quanta parte dei bitcoin ha già la chiave pubblica in vista, da quando, e con che ritmo continua a esporsi: 7,02 milioni di BTC, il 35% circa del circolante, di cui 5,08 milioni esposti dal riuso degli indirizzi e 1,93 milioni per costruzione (il P2PK delle origini e Taproot). Un censimento dell'UTXO set al blocco 957.301, condotto con un nodo qualunque e riproducibile fino all'impronta, letto tabella per tabella e figura per figura: la concentrazione per serratura, la curva per epoca di rivelazione, il ritmo del riuso anno per anno. Questo testo è un approfondimento del percorso che parte dal post sulla minaccia del quantum computing: là il ragionamento e considerazioni generali, qui i numeri e anche il metodo per verificarli.
btc-anchor: 961334,0000000000000000000055dac03a1a980589be6db0b21b0a29e8c91ef5b61664
prev: sha256:180ba9b35352551dc2d7c5a8f3c53d2273993f975eef1448f2fce3df12267443
--- body ---
Chi arriva dal [pezzo principale](/it/bitcoin-e-quantum-computing/) sa
già di che cosa si parla: una macchina che ancora non esiste, ma che il
giorno in cui esistesse saprebbe ricavare la chiave privata da una chiave
pubblica. Da quel giorno, ogni moneta la cui chiave pubblica è già visibile
sul registro diventa un bersaglio. La domanda naturale è: quante sono, oggi?
Anche se stime pubbliche a riguardo già esistono e si citano spesso, è stata
svolta una elaborazione per ricavare i dati, ottenendo conferme e spunti
interessanti che qui di seguito sono presentati.
Questo approfondimento è stato affrontato anche come un esercizio per
provare che con relativamente poche risorse (l'accesso a un nodo, il supporto
di un LLM e la possibilità di far girare un programma di poche centinaia di righe),
chiunque può accedere ai dati pubblici della time chain e fare i propri studi
e riflessioni: può essere il modo per confermare informazioni già lette o
per testare e validare delle proprie ipotesi.
In particolare inoltre, si è provato a reperire ed elaborare informazioni con
delle accortezze pensate affinchè le aggregazioni ed i conti siano facilmente
rieseguibili: ogni dato ha la sua impronta e il suo contratto di replica.
In questo testo sono presentati i numeri e una descrizione sintetica del metodo
impiegato. Gli specifici strumenti utilizzati, pronti ad essere riutilizzati,
sono pubblici: [github.com/amenano/nodsig](https://github.com/amenano/nodsig).
Tutti i numeri che seguono valgono all'istantanea dichiarata:
blocco 957.301, inizio luglio 2026.
## Le serrature, in breve
Prima dei numeri, la bussola. Ogni moneta sul registro sta dietro una
«serratura», lo script che dice a quali condizioni si può spendere; le
serrature sono di pochi tipi, e il tipo decide quando la chiave si mostra.
Questa tabella si consulta, non si studia: tornarci mentre si leggono le
figure è l'uso previsto.
| serratura | indirizzi | protocollo | protezione | vulnerabile al quantum computing… |
|---|---|---|---|---|
| **P2PK** (pay to public key) | — (output delle origini) | le origini (2009) | nessuna: la chiave è in chiaro | **sempre, per costruzione** |
| **P2PKH** (pay to public key hash) | `1…` | legacy (2009) | hash160 della chiave | **al riuso**: la prima spesa mostra la chiave |
| **P2SH** (pay to script hash) | `3…` | legacy (2012, BIP 16) | hash160 dello script | **al riuso dello script**: la spesa mostra copione e chiavi |
| **P2WPKH** (pay to witness public key hash) | `bc1q…` | SegWit v0 (2017) | hash160 della chiave | **al riuso**: come P2PKH |
| **P2WSH** (pay to witness script hash) | `bc1q…` (più lungo) | SegWit v0 (2017) | sha256 dello script | **al riuso dello script**: come P2SH |
| **P2TR** (pay to taproot) | `bc1p…` | Taproot / SegWit v1 (2021) | nessuna: la chiave (con tweak) è in vista | **sempre, per costruzione** |
Fuori tabella resta una polvere di vecchi output multifirma in chiaro (bare
multisig), esposti anch'essi per costruzione: pochi BTC, contati nel
pavimento del pezzo principale.
L'ultima colonna divide il registro in due famiglie, e le due famiglie
tornano in ogni figura di questo pezzo: le serrature esposte **per
costruzione**, che mostrano la chiave dal primo giorno, e quelle **protette
da un hash**, che la mostrano solo quando il riuso gliela fa mostrare.
E poiché la domanda «e quindi che cosa dovrei fare?» è legittima, la
risposta sintetica sta qui, prima dei numeri; il pezzo principale la
argomenta per esteso.
| serratura | condotta per la massima protezione possibile |
|---|---|
| P2PK | la serratura espone la chiave per costruzione: l'unica protezione è **migrare le monete** a un formato protetto da hash, cosa che chi ha ancora le chiavi può fare oggi |
| P2PKH / P2WPKH | **mai riusare un indirizzo**: uno nuovo per ogni ricezione (i portafogli moderni lo fanno da soli), e mai ricevere su un indirizzo che ha già speso |
| P2SH / P2WSH | come sopra, per lo script: ogni spesa mostra il copione **e le chiavi dei cofirmatari** → script nuovo a ogni ricezione, rotazione periodica per i depositi grandi |
| P2TR | la chiave è in vista per costruzione: **non basta evitare il riuso**, qui l'accortezza sull'indirizzo non compra nulla. In ottica quantum computing i valori grandi e fermi stanno meglio su un formato protetto da hash (`bc1q…` mai riusato) |
| *tutte* | l'accortezza **compra tempo, non esenzione**: la protezione vera sarà la migrazione alle firme post-quantum, e andrà fatta comunque |
## I tre numeri
Il censimento si riassume in tre numeri. **5,08 milioni di BTC** hanno la
chiave già mostrata dal riuso: è la misura nuova di questo pezzo, contata e
non stimata, su 8,78 milioni di serrature. **1,93 milioni di BTC** sono
esposti per costruzione: è il pavimento certo, che chiunque riproduce con un
comando. La somma fa **7,02 milioni di BTC: il 35 per cento circa di tutte
le monete esistenti ha la chiave in vista**. Chi conosce le stime pubbliche
riconoscerà il paesaggio: il testo di BIP-361 conta oltre il 34 per cento,
l'analisi di Glassnode del maggio 2026 mette il pavimento a 1,92 milioni
contro il nostro 1,93, il comitato consultivo di Coinbase parla di circa 7
milioni. Strade diverse, stesso posto. Con un'avvertenza che conviene dare
subito, perché vale per ogni confronto di questo pezzo: quando i perimetri
non coincidono, i totali non coincidono, e non è un disaccordo. Glassnode,
per esempio, sul totale si ferma a 6,04 milioni, il 30,2 per cento: conta
una data diversa dalla nostra e un perimetro diverso del riuso, dove noi
contiamo anche gli script e i cofirmatari. I numeri si somigliano dove
misurano la stessa cosa (il pavimento, appunto, dove la convergenza
arriva al decimale) e si scostano dove la definizione cambia. Su questi
totali il nostro contributo
non è una scoperta ma una conferma: le stime pubbliche cadevano già nel punto
giusto, e qui lo si può verificare da sé invece di prenderlo sulla fiducia.
Dove il censimento aggiunge qualcosa di suo è più avanti, sulla concentrazione
per serratura e sul ritmo.
## La mappa del registro
Tutto il circolante, tipo per tipo: la lunghezza della barra è il valore custodito dal tipo, la parte piena quella con la chiave in vista (tratteggio = esposta per costruzione). Blocco 957.301. Tutti e sei i tipi di serratura, compresi i due esposti per costruzione.
La mappa qui sopra mette tutto il registro su una scala sola: una barra per
tipo di serratura, la parte piena è il valore con la chiave in vista. Come
si legge: la prima cosa che salta all'occhio è un apparente paradosso, i
formati vecchi che sembrano messi meglio dei nuovi, con la barra piena del
P2WPKH «moderno» più lunga di tutte. Ma in proporzione i tipi si somigliano:
il P2PKH ha in vista il 26 per cento del proprio valore, il P2WPKH il 24, il
P2SH il 33. Quello che cambia è dove il valore vive: il tipo P2WPKH è il più
grande del registro, con 8,16 milioni di BTC, e a parità di percentuale esposta
produce molti più BTC in vista. Le eccezioni vere sono due: il P2WSH, un
tipo piccolo con quasi metà del valore in vista (se ne capirà il carattere
tra poco), e le due barre tratteggiate, P2PK e Taproot, esposte al cento per
cento per costruzione: lì non c'è accortezza che tenga, solo la migrazione.
Da qui in avanti il pezzo guarda i quattro tipi protetti dall'hash, e fa
alle loro serrature tre domande: quanta parte, da quando, con che ritmo.
## Il carattere dei tipi
Da qui in avanti, tabelle e figure guardano i soli quattro tipi protetti da un
hash ed esposti dal riuso: P2PK e Taproot, esposti per costruzione, restano
fuori. Il totale di riferimento non è più 7,02 milioni di BTC ma 5,08.
| serratura | BTC esposti (≥) | mediana/serratura | media | Gini |
|---|---|---|---|---|
| P2WPKH `bc1q…` | 1,92 M | 0,00014 | 0,53 | 0,996 |
| P2SH `3…` | 1,28 M | 0,00014 | 1,11 | 0,998 |
| P2PKH `1…` | 1,19 M | 0,00012 | 0,30 | 0,996 |
| P2WSH `bc1q…` (script) | 0,69 M | 0,00036 | 7,60 | 0,999 |
| **tutte** | **5,08 M** | **0,00013** | **0,58** | **0,997** |
La prima cosa che la tabella dice, e che nessuna media da sola direbbe, è che
l'esposizione è **estremamente concentrata**: la serratura esposta *tipica*,
la mediana, tiene una manciata di dollari (poco più di diecimila satoshi), in
ogni tipo. La media è molto più alta solo perché tirata su da pochissime
serrature enormi; il Gini quasi 1 lo misura senza mezzi termini: l'indice vale
0 quando il valore è spartito in parti uguali e tende a 1 quando è quasi tutto
in pochissime mani. Ogni tipo, in altre parole, è una lunga coda di polvere più
un pugno di giganti.
Dentro questa forma comune, i tipi si distinguono per *dove* stanno i giganti.
Il P2WSH è il caveau: poche serrature, ma la media più alta del registro (7,6
BTC), il profilo dei depositi multifirma, casseforti più che portafogli. Il
P2PKH è la coda lunga storica, la media più bassa, il riuso di sempre. La
media va letta così, «quanto è grande la whale che pesa su questo tipo», non
«quanto tiene l'indirizzo comune»: quello, in ogni tipo, è polvere.
Qui serve la frase di cautela, per intero: questi dati non fanno
attribuzioni. Non dicono chi riusa, non nominano nessuno, e non potrebbero:
misurano una concentrazione, non un'identità. Dicono però una cosa precisa: il
valore esposto non è disperso su una folla, si addensa su pochissimi indirizzi
molto grandi, un profilo che non è quello dei portafogli personali. E qui c'è
una convergenza che vale la pena notare: chi dispone di dati proprietari e le
attribuzioni le fa arriva allo stesso profilo per strade tutte sue. L'analisi
di Glassnode assegna alle sole exchange 1,66 milioni dei BTC esposti dal
riuso, quattro su dieci; il comitato consultivo di Coinbase descrive i circa 5
milioni da riuso come «di utenti attivi, incluse grandi cold wallet di
exchange note»; lo studio di Chaincode Labs indica exchange e portafogli
istituzionali fra i più esposti proprio per via del riuso. Tre analisi
indipendenti, con metodi e dati diversi, disegnano lo stesso profilo. La
differenza di ruolo va detta con chiarezza. Quelle analisi dispongono di dati
proprietari e arrivano ai nomi, ma non sono riproducibili da fuori. Il nostro
conto fa il percorso opposto: non arriva ai nomi, ma la concentrazione che li
fa sospettare è misurata su un nodo qualunque e rieseguibile fino all'impronta.
Mostriamo il segnale in modo verificabile; i nomi, per chi li vuole, li mette
chi li vende.
## Le serrature, fascia per fascia
La distribuzione per intero: ogni serratura esposta collocata nella sua
fascia di valore, per numero e per BTC.
Le otto fasce di valore come treemap: l'area di ogni riquadro è il valore esposto nella fascia, non il numero di serrature. Blocco 957.301. Solo i quattro tipi protetti da un hash: P2PK e Taproot, esposti per costruzione, non sono in questa figura.
| fascia (BTC) | serrature | BTC esposti | % del valore |
|---|---|---|---|
| 0 – 0,001 | 6.300.308 | 941 | 0,0 % |
| 0,001 – 0,01 | 1.318.119 | 4.668 | 0,1 % |
| 0,01 – 0,1 | 718.614 | 24.873 | 0,5 % |
| 0,1 – 1 | 342.278 | 106.460 | 2,1 % |
| 1 – 10 | 87.920 | 232.838 | 4,6 % |
| 10 – 100 | 13.072 | 357.429 | 7,0 % |
| 100 – 1000 | 3.439 | 1.058.748 | 20,8 % |
| ≥ 1000 | 614 | 3.298.768 | 64,9 % |
Come si legge: le prime tre fasce, oltre otto milioni di serrature (quasi
tutte quelle esposte), valgono insieme lo 0,6 per cento del valore; le 4.053
serrature sopra i cento BTC valgono l'85,7 per cento. È la stessa forma vista
tipo per tipo, ora su tutto il registro: una coda sterminata di polvere e un
pugno di giganti.
Statistiche come queste non sono un verdetto, sono strumenti. Servono a dare
corpo a un'ipotesi, a rafforzarla o a smentirla con numeri invece che con
impressioni. Ed è qui il punto che conta più di ogni singola cifra: per
calcolarle non serve un archivio privato né un permesso, bastano un nodo e un
programma di poche centinaia di righe, con la pipeline e il contratto di
replica in appendice. Già oggi il contratto dice esattamente che cosa deve
tornare, e se un numero non convince, se un'ipotesi sembra tirata, chiunque
potrà rifare il conto e spingerlo dove vuole. Tutto ciò che è scritto sulla
catena è pubblico, e ciò che è pubblico è verificabile da chiunque, non solo
da noi. I limiti restano quelli dichiarati: ciò che la catena non mostra, le
chiavi condivise fuori catena, nessuno può contarlo, e questo vale per noi
come per chiunque altro.
E vale oltre il caso di oggi: questo modo di procedere non riguarda solo la
minaccia del quantum computing di cui ci stiamo occupando, ma qualunque domanda su dati
o aspetti del protocollo che stiano scritti in pubblico. Dove l'informazione è
esposta, l'analisi può essere di tutti.
## Da quando: la curva per epoca di rivelazione
BTC oggi spendibili la cui chiave è stata rivelata entro il blocco in ascissa, per tipo di serratura. Blocco 957.301; date dai timestamp dei blocchi. Solo i quattro tipi protetti da un hash: P2PK e Taproot, esposti per costruzione, non sono in questa figura.
Questa curva risponde alla domanda «da quando»: prende il valore oggi
esposto e lo distribuisce per l'epoca in cui la chiave si è mostrata. Come
si legge, in tre passi. Primo: la pendenza recente. Quasi metà del valore
oggi in vista, il 48,1 per cento, ha rivelato la chiave dopo l'inizio del
2024, e il 34 per cento dopo l'inizio del 2025; la linea che domina la
salita è quella del P2WPKH. L'esposizione da riuso non è un'eredità del
passato ingenuo di Bitcoin: è recente, e per la parte più pesante
recentissima. Secondo: i gradini. La curva non sale liscia, sale a scatti, e
i singoli scatti si vedono a occhio nudo: nel novembre 2018 la linea del
P2SH sale di 444.504 BTC in un intervallo di diecimila blocchi, con appena
12.867 serrature coinvolte: trentaquattro BTC e mezzo a serratura, la firma
di pochi soggetti grandi, non di una folla. I cinque intervalli più ripidi,
da soli, valgono un terzo di tutto il valore esposto; i primi venti, tre
quarti. Terzo: che cosa questa curva non dice. È l'esposizione *di oggi*
distribuita per epoca: le monete rivelate in passato e poi spese non ci sono
più. Non è la storia del comportamento; è l'inventario del magazzino, con
l'etichetta dell'anno su ogni scaffale. La storia del comportamento è
nella figura che segue.
E la freschezza non è uniforme tra i tipi: del valore esposto P2WPKH,
l'ottanta per cento si è rivelato dopo l'inizio del 2024; del P2WSH quasi
metà; del P2SH un terzo; del P2PKH un sesto. Il gradiente segue l'età dei
formati, ed è un altro modo di dire che il riuso non è un fossile, è una
pratica spesso ancora diffusa.
| serratura | BTC esposti (≥) | serrature | quota del valore del tipo | di cui dopo inizio 2024 |
|---|---|---|---|---|
| P2WPKH | 1.924.332 | 3.612.318 | 23,6 % | 79,7 % |
| P2SH | 1.283.224 | 1.155.896 | 32,6 % | 32,8 % |
| P2PKH | 1.185.752 | 3.925.128 | 25,8 % | 15,3 % |
| P2WSH | 691.417 | 91.022 | 48,7 % | 44,7 % |
| **totale** | **5.084.725** | **8.784.364** | **28,1 %** | **48,1 %** |
## Con che ritmo: il comportamento, anno per anno
Impronte uniche per anno della loro prima apparizione nella catena, medie per blocco (2026: primo semestre). Chiavi = hash di chiave pubblica (P2PKH/P2WPKH); script = copioni P2SH / P2WSH mostrati alla spesa. Solo i quattro tipi protetti da un hash: P2PK e Taproot, esposti per costruzione, non sono in questa figura.
Questa figura cambia domanda: non «quanto è esposto oggi», ma «quanto si
rivela, anno per anno»: il costume, non l'inventario. La serie conta le
impronte nuove che la catena vede per la prima volta, ciascuna nell'anno
della sua prima apparizione, in media per blocco. Come si legge: il ritmo
sale per oltre un decennio, fa picco nel 2021, quasi ottomila impronte nuove
per blocco, e da allora cala ogni anno: nel primo semestre 2026 siamo poco
sopra le quattromilaseicento, più del quaranta per cento in meno. Dentro il
calo c'è una migrazione leggibile dai colori: gli script P2SH crollano (dai
duemilaseicento del picco 2020 a meno di trecento per blocco: la rete ne
sta uscendo), il P2WSH fa picco nel 2024 e scende, le chiavi calano più
piano, da quasi tremilacinquecento a circa duemila. Il costume, in altre
parole, migliora.
Serie di questa famiglia esistono già, ed è giusto dirlo: BitMEX
Research pubblicò nel 2022 la quota di output che riusa indirizzi; un
lavoro accademico del 2026 (Stütz et al.) conta, per trimestri e fino al
marzo 2025, gli eventi di primo riuso di *chiave*. La nostra non è la prima
serie del genere e non pretende di esserlo. Che cosa aggiunge, in concreto:
- **conta anche gli script, non solo le chiavi.** Alle chiavi P2PKH/P2WPKH
affianca i copioni P2SH/P2WSH mostrati alla spesa: senza di essi la
migrazione dei P2SH, il fatto più netto di questa figura, resterebbe
invisibile.
- **arriva a metà 2026**, un anno oltre la serie accademica più recente, e
mostra che il calo prosegue.
- **si rifà da sé:** l'appendice in coda contiene i comandi per ricostruire
la stessa serie, impronte comprese. Non è un dato da prendere sulla fiducia.
In breve: non un fatto nuovo sul *se* il riuso cali, ma la stessa domanda
misurata su più serrature, più a lungo, e in modo che chiunque rifaccia il
conto.
## Che cosa resta: l'età dell'esposizione
La figura che segue è la sorella di quella del ritmo, e le due guardano lo
stesso fenomeno da due lati che è facile confondere. Quella del
comportamento conta gli eventi: quante impronte nuove la catena ha visto
per la prima volta, anno per anno, e ogni rivelazione pesa uno: una
serratura svuotata il giorno dopo conta quanto una che custodisce migliaia
di BTC. Questa pesa invece lo stato: prende il valore che oggi sta dietro
chiavi in vista e lo data all'anno in cui la serratura si rivelò per la
prima volta. Per questo possono divergere, ed è la divergenza a renderle
interessanti insieme: un anno di rivelazioni fitte può non lasciare quasi
nulla nell'esposizione di oggi, se quelle monete si sono poi mosse; un anno
qualunque può dominarla, se il valore è rimasto fermo. Una racconta
un'abitudine; l'altra, ciò che l'abitudine ha lasciato sul tavolo.
BTC oggi spendibili la cui serratura si è rivelata per la prima volta nell'anno in ascissa, per tipo. Blocco 957.301; 2026: primo semestre. Solo i quattro tipi protetti da un hash: P2PK e Taproot, esposti per costruzione, non sono in questa figura.
Come si legge: l'esposizione è giovane. Poco più di un terzo del valore
oggi esposto, il 34,3 per cento, si è rivelato nel 2025-26: 1,74 milioni
di BTC, di cui 1,23 nel solo 2025; dal 2023 in poi si supera la metà, il
55,4 per cento. Solo il 6,2 per cento è in vista da più di dieci anni. Il
picco isolato del 2018, l'11,3 per cento, è l'evento P2SH già annotato
sotto la curva per epoca. Il confronto con la sorella si fa a colpo
d'occhio, stesso asse: il 2018 compare in entrambe; il 2025, che nel ritmo
è un anno di calo, qui da solo vale quasi un quarto del totale, perché il
valore rivelato di recente è ancora quasi tutto al suo posto. E il
perimetro è lo stesso, il peso no: la figura del ritmo conta anche
serrature oggi vuote, questa solo ciò che oggi custodisce valore.
## La doppia lettura
Le ultime due figure sembrano contraddirsi, e conviene dirlo apertamente:
la serie del ritmo migliora dal 2021, meno riuso ogni anno; l'età
dell'esposizione, appena vista, è invece dominata dal valore rivelato di
recente, e la curva per epoca dice lo stesso. Come possono valere insieme «il riuso cala» e «l'esposizione è
recente»? Tenerle d'accordo è, a nostro avviso, la lettura più istruttiva
dell'intero censimento: le serie citate misurano il flusso, mentre qui il
flusso si legge insieme alla giacenza esposta e alla concentrazione per
serratura, ed è questo incrocio a sciogliere la contraddizione.
La differenza è tra due grandezze:
- un **flusso** — quanti eventi di rivelazione accadono ogni anno (la serie
del ritmo): rallenta;
- una **giacenza** — quanto valore rivelato è ancora spendibile oggi
(la curva per epoca): non cala, perché registra solo ciò che nel frattempo
è stato speso.
La chiave è la sopravvivenza degli output. Il valore rivelato negli anni
lontani è stato in gran parte già speso e, uscendo dal registro, è uscito dal
conto; quello recente giace ancora lì. Perciò un comportamento che migliora
non svuota la giacenza esposta: la fa crescere più piano e, lo dice la prima
tabella, con serrature sempre più ricche, meno eventi ma più valore per
evento. Per la minaccia del quantum computing conta la giacenza, non il ritmo; e la
giacenza cresce.
## Che cosa i numeri lasciano dire sulla minaccia
La concentrazione vista sopra permette un passo che le sole stime non
consentono, e conviene farlo con prudenza, perché è un'ipotesi, non una
misura. La forma dell'esposizione è netta: **poche centinaia di indirizzi
giganti** tengono la maggior parte del valore in vista. Le cento serrature
esposte più grandi valgono il 47 per cento dei 5,08 milioni esposti dal riuso;
le prime mille,
il 70 per cento; bastano 614 serrature, quelle sopra i mille BTC, per quasi
due terzi del totale. Il resto è una coda di milioni di serrature che,
sommate, non pesano quasi nulla.
Un valore così concentrato non ha il profilo dei piccoli risparmiatori:
somiglia a poche entità grandi (exchange, custodi, tesorerie), lo stesso
profilo a cui arrivano, con dati che noi non abbiamo, le analisi citate. E
attori di quella taglia hanno una proprietà che il singolo distratto non ha:
sono informati, o possono esserlo. Se la minaccia passasse da remota a
concreta, sarebbero tra i primi a saperlo, e c'è un fatto concreto: spostare
qualche centinaio di indirizzi coprirebbe gran parte del valore a rischio; la
difesa, per la parte più pesante, è alla portata di pochi.
Questo taglia in due direzioni, ed è il motivo per cui i dati sono un antidoto
agli slogan. Da un lato tempera l'allarme: il grosso dell'esposizione non è
polvere sparsa fra milioni di ignari, è concentrato dove chi può muoversi è in
grado di farlo in fretta. Dall'altro non autorizza a minimizzare: la stessa
concentrazione rende il bottino appetibile (poche serrature rotte varrebbero
moltissimo), nulla garantisce che la reazione arrivi in tempo, e, avvertenza
da non tacere, non tutti quei giganti sono presidiati: un indirizzo enorme con
la chiave in vista può essere un tesoro **dimenticato**, monete perse da anni
che nessuno migrerà mai. Concentrazione di indirizzi non è concentrazione di
custodi vigili.
È un esempio piccolo di una cosa più generale. Il registro pubblico, che per
un attaccante è un vantaggio (le chiavi esposte sono lì da leggere), è anche
una risorsa per chi vuole capire: rende la minaccia misurabile invece che
raccontabile. E qui il metodo si è rivoltato contro le sue stesse tentazioni:
la media per serratura suggeriva «attori grandi che riusano»; la
distribuzione, guardata davvero, dice una cosa più precisa e meno comoda:
pochissimi giganti su un oceano di polvere. Il [pezzo principale](/it/bitcoin-e-quantum-computing/)
separa le due paure e mette in guardia dai due errori
simmetrici, l'allarme e il sorriso di sufficienza; questi numeri danno a quella
via di mezzo un terreno di fatti, non di aggettivi.
## I confini di questi numeri
Ogni cifra di questo pezzo è un minimo, e la direzione dell'errore è una
sola: per difetto. Il conteggio vede solo ciò che la catena mostra; le
chiavi pubbliche condivise fuori catena, le xpub consegnate a servizi,
app di sola lettura, custodi, non lasciano traccia sul registro e non
entrano nel conto. Il perimetro è dichiarato: quattro tipi protetti da
hash, riuso di chiavi e di script, cofirmatari compresi; le esclusioni
(transazioni non confermate, script P2SH mai spesi) sono elencate in
appendice. Le date delle figure vengono dai timestamp dei blocchi.
E la serie del comportamento conta ogni impronta una volta, nell'anno della
sua prima apparizione: misura quante serrature si rivelano, non quante volte
vengano poi riusate.
## Appendice: rifare i conti
Il principio è quello del sito: ciò che è verificabile è di tutti. Qui c'è
da dove si parte, che strada fa il conto, e quali impronte deve ritrovare
chi lo rifà.
Si parte da una fotografia: lo snapshot dell'insieme delle monete non
spese, preso a un'altezza dichiarata. Da lì si distillano le «serrature»,
cioè gli UTXO di quel momento con il tipo di ciascuno: sono il metro
contro cui si misurerà ogni chiave trovata. Poi la catena si rilegge
dall'inizio, blocco per blocco, in cerca delle chiavi già rivelate.
Quella rilettura l'abbiamo fatta due volte, e le due letture sono diverse
apposta, perché producono cose diverse.
| | passata 1 | passata 2 |
|---|---|---|
| mentre scorre la catena | confronta ogni chiave con le serrature e tiene il conto | archivia ogni rivelazione con la sua provenienza |
| che cosa lascia | i numeri e la curva: pochi megabyte | un archivio interrogabile: decine di gigabyte |
| che cosa se ne ricava qui | quanto è esposto, di che dimensione, da quando | con che ritmo il riuso è cambiato negli anni |
| e poi | finisce lì | risponde anche a domande non ancora fatte |
La provenienza è *dove* la chiave si è vista: nella firma di chi spendeva,
nel witness, oppure dentro uno script rivelato, che è il caso in cui
compaiono anche le chiavi dei cofirmatari. Annotarla serve a questo: il
perimetro del conteggio (contare o no i cofirmatari, quali tipi includere)
si applica **in lettura**, quando la domanda arriva, senza dover riscorrere
la catena.
La prima passata è il modo economico di arrivare a quei conti, e finisce lì.
La seconda, mentre scorre, non conta niente: archivia, e i numeri li ricava
dopo, rileggendo l'archivio. Costa molto di più, e in questo pezzo si ripaga
con la serie del ritmo, che si legge dall'archivio e non dalla prima
passata. Che poi le due strade debbano
arrivare allo stesso numero è una verifica che, fatte le due passate, non
costa niente in più: non
condividendo l'aggregazione, un errore nell'una non si ripeterebbe uguale
nell'altra, e il controllo incrociato esige che coincidano fino
all'impronta. È la controprova, pagata una volta, della fiducia in tutto il
resto.
Chi rifà i conti non deve pagarla di nuovo: la via documentata è la
passata unica (la scansione che archivia, i numeri derivati in lettura
dall'archivio), e la controprova resta a disposizione come verifica.
Un'idea del costo, perché «rieseguibile» non voglia dire «gratis». Il passo
lungo è la rilettura della catena, e non dipende dalla potenza del
calcolatore: dipende da quanto in fretta i blocchi arrivano dal nodo. Su un
portatile di fascia media, col nodo raggiungibile in rete locale, la passata
unica richiede un paio di giorni di macchina, interrompibili: lo scanner
riprende dall'ultimo checkpoint. A noi è costata di più, perché di passate ne
abbiamo fatte due.
```
dal nodo ──► utxos.dat la fotografia (dumptxoutset)
dal nodo ──► block_dates_.csv i timestamp dei blocchi,
per le date delle figure
utxos.dat ┬─► census ───────► census_.csv
│ il pavimento: P2PK e Taproot
│
└─► reuse prepare ───────► locks_/
le «serrature»: gli UTXO non
spesi a quell'altezza
│
┌─────────────────────┴─────────────────────┐
│ │
PASSATA 1 PASSATA 2
confronta mentre scorre archivia tutto e deriva
e non archivia nulla i numeri dopo
│ │
▼ ▼
reuse scan archive scan
blocchi dal nodo blocchi dal nodo
│ │
▼ ▼
checkpoint/ utxo_reveal/
├ curve.csv └ runs/… ──► merge
└ hits_.bin │
│ │ ▼
│ └─► reuse stats manifest.json
│ └ reuse_stats_.json (impronta canonica)
│ concentrazione e fasce │
└──────────► crosscheck ◄───────────────────┘
PASS / FAIL
```
Il nodo serve in quattro momenti soltanto: la fotografia dell'insieme delle
monete, i timestamp dei blocchi e le due riletture della catena. Tutto il
resto (il censimento, le serrature, la distribuzione, la fusione, il
controllo incrociato) si calcola sugli artefatti già ottenuti, senza tornare
a interrogarlo.
| Il pezzo | Che cos'è | A che serve |
|---|---|---|
| **snapshot UTXO** (`utxos.dat`) | la fotografia di tutte le monete non spese a quell'altezza, presa dal nodo con `dumptxoutset` | è il punto di partenza comune: chi parte dalla stessa fotografia deve arrivare agli stessi numeri |
| **i timestamp** (`block_dates_…csv`) | la data di 96 altezze, chieste al nodo con `getblockheader` e interpolate in mezzo | è quello che mette gli anni sotto le due figure temporali |
| **il censimento** (`census_…csv`) | quante monete esistono per ciascun tipo di serratura, letto dal solo snapshot, senza nodo | dà il pavimento: l'esposto per costruzione, cioè il P2PK delle origini e Taproot |
| **le serrature** (`locks_…`) | distillato dello snapshot: che cosa è «chiuso», e da che tipo di serratura | è il metro: ogni chiave trovata nella catena si confronta con queste |
| **la curva** (`curve.csv`) | quanto valore risulta riusato, blocco dopo blocco | dà la storia e non solo il totale: è la figura dell'esposizione per epoca |
| **lo schedario** (`utxo_reveal`) | le chiavi e gli script che la catena ha già rivelato, con la loro provenienza; la fusione periodica (`merge`) ne fissa la forma canonica | è l'archivio interrogabile: da qui i numeri si derivano senza riscansionare la catena |
| **la distribuzione** (`reuse_stats_…json`) | come il valore esposto si ripartisce fra le serrature: si ricava dalle serrature e dai riscontri della passata 1 (`hits_…`), senza rileggere la catena | è quello che regge mediana, media e Gini, le fasce della treemap e le quote dei più grandi |
| **il controllo incrociato** (`crosscheck`) | rilegge lo schedario contro le serrature e rifà il conto per l'altra strada | è la prova: due strade indipendenti devono dare lo stesso numero, fino all'impronta |
E poiché il senso di tutto questo è che i conti si possano rifare, conviene
dire quale numero di questo pezzo poggia su quale pezzo della catena.
| viene da | che cosa regge in questo pezzo |
|---|---|
| il censimento, dal solo snapshot | il pavimento di 1,93 milioni, cioè P2PK e Taproot |
| la passata 1 | i 5,08 milioni esposti dal riuso, le barre piene della mappa del registro, la curva per epoca |
| la passata 1, riletta da `stats` | le dimensioni per serratura: mediana, media, Gini, le fasce della treemap, le quote dei più grandi |
| la passata 2 | il ritmo del riuso anno per anno |
| i timestamp dei blocchi | le date sotto le due figure temporali |
| passata 1 contro passata 2 | il controllo incrociato |
Il contratto di replica ha due livelli, che si controllano in modi diversi.
Il primo è **l'input, e lo verifica già oggi chiunque, con un nodo qualunque
e senza il nostro codice**. Serve partire dalla nostra identica fotografia
della catena:
- **altezza di taglio 957.301**: il suo block hash si ottiene con
`getblockhash 957301`;
- **stesso snapshot dell'insieme delle monete non spese**: `txoutset_hash
ec79aed99b8d22d7315c76488fe09975ef9258039ee5583c7e8c7b6dc8d4cc58`. Questo hash
lo calcola Bitcoin Core da sé (`gettxoutsetinfo`, o `dumptxoutset`): chi al
blocco 957.301 rifà `gettxoutsetinfo` e ritrova lo stesso `txoutset_hash` ha
la nostra identica fotografia di partenza, e nessuno deve fidarsi che non
abbiamo scelto i dati comodi;
- **stesso perimetro**, dichiarato nei flag dello scanner: i quattro tipi
protetti da hash, riuso di chiavi e di script, cofirmatari compresi.
Il secondo livello è **il risultato, e lo si riproduce con il codice**, che è
pubblico: [github.com/amenano/nodsig](https://github.com/amenano/nodsig). Da
quell'input, l'elaborazione produce le due impronte canoniche su cui poggia
tutto quello che si è letto qui. La ricetta non ha nulla di nostro: chi rifà
la costruzione alla stessa altezza, con il codice del tag `v1.0.0`, deve
atterrare sulle stesse stringhe fino all'ultimo byte — stessa catena, stessa
altezza, stessa impronta, su qualunque macchina e chiunque la faccia. Non c'è
margine per ritoccare un risultato a posteriori: un byte diverso cambia la
stringa per intero.
- impronta delle serrature colpite:
`5fd579dbc6190f5bf08e35947ab77a55e067aa366acd13bd49fa30d3ba9d0ee7`
- impronta canonica dell'archivio delle rivelazioni:
`aacaf02dca2fc5ba8532e54fa75159041fc99051efa68eb63e59bc9537369ced`
Una terza impronta, a parte, e nessuna cifra di questo pezzo ne dipende. La
stessa scansione può co-emettere un grafo delle transazioni, spento di
default perché costa centinaia di gigabyte; noi lo abbiamo emesso. Ne
pubblichiamo l'impronta canonica
`a014f787256e1831c90290e04c2adbcf1fe00cfc3f2d26bb668bff491aa54190`
non perché qualcosa qui sopra vi si appoggi, ma perché è un impegno preso
oggi su un materiale che servirà dopo, quando l'esposizione si potrà
ri-derivare epoca per epoca. Chi rifà i conti di questo pezzo non ha
bisogno di generarlo.
In breve: l'input si controlla subito, con un nodo; le due impronte del
risultato si riproducono con il codice.
## Riferimenti
- BIP-361, *Post Quantum Migration and Legacy Signature Sunset*, status Draft,
febbraio 2026 (il dato «oltre il 34%» al 1° marzo 2026):
[github.com/bitcoin/bips/blob/master/bip-0361.mediawiki](https://github.com/bitcoin/bips/blob/master/bip-0361.mediawiki)
- Deloitte, *Quantum computers and the Bitcoin blockchain*, analisi 2019-2020
(circa 4 milioni di BTC vulnerabili, un quarto della circolazione di
allora): [deloitte.com/nl/en/services/consulting-risk/perspectives/quantum-computers-and-the-bitcoin-blockchain.html](https://www.deloitte.com/nl/en/services/consulting-risk/perspectives/quantum-computers-and-the-bitcoin-blockchain.html)
- Glassnode, *Measuring Bitcoin's Quantum-Exposed Supply*, 20 maggio 2026
(dati proprietari: pavimento strutturale 1,92 milioni di BTC, totale 6,04
milioni con perimetro proprio, attribuzione per exchange — 1,66 milioni
ricondotti a exchange, quattro decimi dell'esposto da riuso):
[research.glassnode.com/measuring-bitcoins-quantum-exposed-supply](https://research.glassnode.com/measuring-bitcoins-quantum-exposed-supply/)
- Coinbase Quantum Advisory Council, position paper del 21 aprile 2026 con
aggiornamento del giugno 2026 (circa 7 milioni di BTC: ~1,7 in P2PK, ~5 da
riuso di utenti attivi, incluse cold wallet di exchange note):
[coinbase.com/blog/coinbase-quantum-advisory-council-publishes-position-paper…](https://www.coinbase.com/blog/coinbase-quantum-advisory-council-publishes-position-paper-on-quantum-computing-and-blockchain)
- A. Milton, C. Shikhelman (Chaincode Labs), *Bitcoin and Quantum Computing:
Current Status and Future Directions*, maggio 2025 (4-10 milioni di BTC,
20-50%; circa il 69% da riuso, con exchange e portafogli istituzionali fra
i più esposti): [chaincode.com/bitcoin-post-quantum.pdf](https://chaincode.com/bitcoin-post-quantum.pdf)
- BitMEX Research, *Bitcoin Address Re-use Statistics*, febbraio 2022 (la
quota di output che riusa indirizzi, a conteggio e non pesata per valore):
[bitmex.com/blog/bitcoin-address-re-use-statistics](https://www.bitmex.com/blog/bitcoin-address-re-use-statistics)
- R. Stütz, N. Stifter, M. Dragaschnig, B. Haslhofer, A. Judmayer, *Reuse of
Public Keys Across UTXO and Account-Based Cryptocurrencies*, 2026 (serie
trimestrale degli eventi di primo riuso di chiave, con codice; dati al 31
marzo 2025): [arxiv.org/abs/2601.19500](https://arxiv.org/abs/2601.19500)
- Il ragionamento di cui questo pezzo porta i numeri sta nel pezzo
principale, [«Bitcoin e quantum
computing»](/it/bitcoin-e-quantum-computing/).
- Codice e strumenti di questo pezzo: un approfondimento dedicato seguirà più
avanti.