Un computer quantistico non potrà riscrivere il registro di Bitcoin. Probabilmente potrà, un giorno, aprire una parte delle sue serrature. Distinguere le due cose è quasi tutto quello che serve per capire il problema; il resto è darsi i numeri, con le date accanto

Due paure confuse in una

«Prima o poi il computer quantistico romperà Bitcoin.» La frase circola da anni e produce due reazioni uguali e contrarie: l'allarme di chi la prende come una condanna già scritta, il sorriso di chi ha smesso di ascoltarla perché la condanna viene rimandata da sempre. Sono due errori simmetrici, e nascono dallo stesso difetto. Il difetto non sta nelle risposte: sta nella domanda. Dentro quel «romperà» convivono due paure diverse, che vanno separate subito perché hanno nature diverse, tempi diversi e rimedi diversi.

La prima paura riguarda il registro: che una macchina abbastanza potente possa riscrivere la storia delle transazioni, cancellare pagamenti avvenuti, spendere due volte le stesse monete. Sarebbe la fine dell'accordo su un'unica verità condivisa, la cosa per cui Bitcoin esiste.

La seconda paura riguarda le serrature: che quella macchina possa ricavare, da informazioni già pubbliche sulla catena, le chiavi private di una parte dei portafogli, e quindi firmare al posto dei legittimi proprietari. Il registro resterebbe intatto, ordinato, condiviso; a cambiare sarebbero le mani in grado di muovere certe monete.

La prima paura è infondata, e non per ottimismo: per la natura del problema, come si vedrà tra poco. La seconda è fondata. Non ha una data, ma ha un perimetro sorprendentemente preciso: si sa già oggi quali monete sono esposte e quali no, al punto che il conteggio non va creduto sulla parola: lo abbiamo rifatto noi, in modo indipendente. Un pezzo compagno dedicato ai dati mostra i numeri per esteso, con le impronte per verificarli (gli strumenti pronti per rifarlo da zero seguiranno in un pezzo dedicato).

Da qui in avanti il testo prova a tenere i due piani separati, con tre regole dichiarate: distinguere ciò che è dimostrato da ciò che è proiettato; dare a ogni stima la sua fonte e la sua data; dichiarare la data del testo stesso, luglio 2026, perché su questo tema i numeri invecchiano in mesi e un quadro onesto deve dire quando è stato scattato.

L'immagine da portarsi dietro per tutto il percorso è una sola. Il quantum computing non produce strumenti per falsificare il libro mastro: produce strumenti per scassinare certe cassette di sicurezza, quelle la cui serratura è rimasta in vista.

Che cosa sa fare davvero una macchina quantistica

Per fortuna qui non serve capire come funzioni un computer quantistico; serve sapere che cosa saprebbe fare meglio di un computer «tradizionale». E la lista, per quanto riguarda l'ambito che tocca Bitcoin, è corta: due algoritmi, scoperti trent'anni fa, molto prima che esistessero macchine anche solo lontanamente in grado di eseguirli.

Il primo è l'algoritmo di Shor (1994). Risolve in fretta due problemi matematici che per un computer classico sono in pratica impossibili: la fattorizzazione dei grandi numeri e il logaritmo discreto. Non è un dettaglio da specialisti: su quei due problemi poggia quasi tutta la crittografia a chiave pubblica in uso, comprese le firme di Bitcoin. E il guadagno di Shor è esponenziale, che non significa «più veloce»: significa di un'altra categoria. Un calcolo che richiederebbe più dell'età dell'universo diventa questione di ore o di giorni, a una condizione: che esista una macchina abbastanza grande e stabile da eseguire l'algoritmo fino in fondo. Questa è la minaccia vera, ed è tutta qui.

Il secondo è l'algoritmo di Grover (1996). Accelera la ricerca a tentativi, il procedere per forza bruta, e il suo guadagno è solo quadratico: dimezza gli esponenti, non abbatte i muri. Contro SHA-256, la funzione hash che Bitcoin usa ovunque, Grover porta il costo di una ricerca da 2^256 a circa 2^128 passi quantistici. Ma dimezzare l'esponente di una montagna impossibile lascia una montagna impossibile: 2^128 resta fuori portata per qualunque orizzonte sensato, quantum o no.

Qui sta il punto che la divulgazione qualche volta perde per strada: «quantum computing» non significa onnipotente. Significa esponenzialmente più forte su una classe ristretta di problemi, e appena più forte su tutto il resto. La mappa della minaccia ricalca il confine di quella classe, ed è per questo che si può disegnare con precisione.

Un'ultima condizione di contorno, perché i numeri delle prossime sezioni abbiano un senso. Le macchine quantistiche si misurano in qubit, ma bisogna sempre chiedersi di quali qubit si sta parlando. I qubit fisici sono quelli che esistono nei laboratori: rumorosi, instabili, inclini all'errore; è in fisici che si annunciano le macchine. Per eseguire Shor su una chiave vera servono però qubit logici, affidabili, ottenuti raggruppando molti qubit fisici in codici di correzione d'errore: il rapporto tra fisici e logici, con le tecniche di oggi, si misura in centinaia o migliaia a uno. Le stime che si leggono in giro usano ora l'una ora l'altra unità, e confrontarle senza accorgersene è l'errore più comune del dibattito. È in quel rapporto, più che nel conteggio grezzo, che si gioca la distanza tra i laboratori e la minaccia. Lo stato dell'arte, con le date, arriva tra due sezioni.

La mappa: che cosa tocca e che cosa no

Serve un minimo di anatomia, tre pezzi in tutto. Chi «possiede bitcoin» possiede in realtà una chiave privata: un segreto che permette di produrre una firma digitale, la prova matematica che autorizza una spesa. Alla chiave privata corrisponde una chiave pubblica, con cui chiunque può verificare la firma senza poter firmare a sua volta. E sulla catena le monete sono chiuse da una piccola serratura scritta in un linguaggio di script, che dichiara che cosa serve per aprirle: nel caso più comune, una firma valida rispetto a una certa chiave.

Le firme sono il bersaglio. Bitcoin firma su curve ellittiche (ECDSA e, dal 2021, anche Schnorr), e la sicurezza di queste firme poggia sul logaritmo discreto: esattamente il problema che Shor abbatte. Da una chiave pubblica, una macchina quantistica adeguata ricaverebbe la privata. Ma c'è un dettaglio che decide tutto, e che i titoli saltano sempre: serve la chiave pubblica in chiaro. E il protocollo, per come è cresciuto in quindici anni, non la mostra sempre. Ne esce una gerarchia di esposizione che vale la pena guardare da vicino, perché è la spina dorsale di tutto il resto del testo:

  • Esposte a lungo. Qui cadono due famiglie diverse, e la distinzione regge tutto il conteggio più avanti. Esposte per costruzione, cioè fin dal primo giorno: le monete dei primissimi anni, nel formato P2PK, dove la serratura è la chiave pubblica, scritta per esteso sulla catena, l'epoca di Satoshi; e le monete su Taproot, il formato più recente, dove la chiave sta nell'output per disegno del formato, una scelta fatta a occhi aperti, per altri benefici, quando la minaccia sembrava più lontana. Esposte dal riuso, cioè da una certa spesa in poi: le monete su indirizzi riusati, dove la prima spesa rivela la chiave al mondo e la catena non dimentica; ogni moneta rimasta o tornata su quell'indirizzo è esposta per sempre. E per rimanervi basta una spesa parziale: una transazione muove le monete che sceglie, non l'indirizzo intero, e ciò che lascia indietro resta chiuso da una chiave ormai in vetrina.
  • Esposte per minuti. Qualunque spesa, nel suo viaggio verso il blocco. Per essere verificata da tutti, una transazione deve allegare in chiaro le chiavi pubbliche degli indirizzi da cui preleva: la firma si controlla con la chiave, e la catena, per gli indirizzi protetti da un hash, conserva solo la sua impronta. E dal momento dell'invio la transazione si propaga di nodo in nodo all'intera rete in pochi secondi: la mempool, la sala d'attesa delle transazioni, è una piazza, non una busta chiusa. Fino al blocco che la include, in media una decina di minuti, quelle chiavi custodiscono ancora le monete in viaggio; dopo, restano scritte per sempre, ma il pericolo cessa perché le monete se ne sono andate su serrature nuove. Per le monete ben gestite, quelle della classe qui sotto, questa finestra è l'unica esposizione della loro intera vita: è la misura della minaccia residua quando ogni buona pratica è rispettata. Oggi è un'osservazione oziosa; smette di esserlo il giorno in cui una macchina sapesse ricavare la privata entro quella finestra. Le stime più recenti su questo punto (Google Quantum AI, marzo 2026, sezione 4) descrivono scenari idealizzati in cui il calcolo scenderebbe sotto il tempo di un blocco: assunzioni generose, nessuna capacità operativa, ma il segnale che la finestra dei dieci minuti non è un rifugio in linea di principio.
  • Protette finché non si spende. Le monete su indirizzi protetti da un hash e mai riusati. Lì sulla catena non c'è la chiave pubblica: c'è solo la sua impronta, il suo hash, e gli hash sono territorio di Grover, non di Shor. La chiave si mostra solo al momento della spesa; fino ad allora non c'è niente da attaccare.

A questa gerarchia vanno aggiunte due voci meno visibili. La prima sta sulla catena ma si mostra solo alla fine: le serrature incapsulate (P2SH e P2WSH, dove tipicamente vive il multisig) al momento della spesa rivelano l'intero script che contengono, comprese le chiavi pubbliche dei cofirmatari che quella transazione non l'hanno firmata. La seconda la catena non la registra affatto: le chiavi pubbliche condivise fuori catena. Chi ha consegnato a un servizio una chiave estesa (xpub: la chiave da cui un portafoglio deriva tutti i propri indirizzi, tipica dei servizi watch-only e dei custodi) ha esposto l'intero ramo, e nessuna analisi on-chain lo vede.

Gli hash reggono. SHA-256 è dappertutto in Bitcoin: nella proof-of-work, negli impegni, negli alberi con cui i blocchi riassumono le transazioni. Contro gli hash l'arsenale quantistico offre solo Grover, e si è visto quanto vale. Il mining, poi, non è nemmeno un bersaglio del tipo giusto: non è un problema da «rompere» ma una gara economica di tentativi al secondo per watt, contro hardware classico ottimizzato all'estremo; una macchina quantistica realistica, coi suoi qubit lenti, la correzione d'errore e un algoritmo che si parallelizza male, non sarebbe competitiva. La regola della catena con più lavoro non è in discussione.

L'accordo non è nemmeno attaccabile. Contro «vale la catena con più lavoro accumulato» non esiste un algoritmo quantistico, perché non è un problema matematico: è una convenzione economica. Non si rompe col calcolo ciò che non è un calcolo.

La sintesi della mappa, ed è la frase su cui poggia tutto il seguito: il quantum computing attacca il livello della proprietà, chi può spendere; non tocca il livello del consenso, quale storia vale. La barriera di costo che custodisce il passato resta in piedi. A cambiare, un giorno, sarà il costo di impersonare i proprietari.

Quanto è vicino: lo stato dell'arte, con date

Questa è la sezione che invecchierà più in fretta, ed è giusto che dichiari la propria data: la fotografia è di luglio 2026. Per scattarla onestamente conviene tenere separati tre piani che le cronache tendono a mescolare: che cosa le macchine hanno fatto, che cosa i calcoli dicono che servirebbe, che cosa i laboratori hanno.

Che cosa è stato fatto: giocattoli. Nel settembre 2025 una chiave a curva ellittica da 6 bit è stata rotta con l'algoritmo di Shor su una macchina IBM accessibile al pubblico; nell'aprile 2026 il primato è salito a 15 bit, premiato con un bitcoin dal Q-Day Prize di Project Eleven, un concorso nato apposta per misurare questi progressi. Bitcoin usa chiavi a 256 bit, e la scala non è lineare: ogni bit in più raddoppia all'incirca la difficoltà, quindi tra 15 e 256 non c'è un fattore diciassette, ci sono più di duecento raddoppi. Nessuna chiave reale è in pericolo oggi; su questo i due estremi del dibattito dovrebbero almeno concordare.

Che cosa servirebbe: sempre meno, ed è questa la notizia. Le stime di risorse, cioè i conti su quanta macchina serva per eseguire Shor su una chiave vera, stanno cadendo a una velocità che i numeri raccontano da soli:

  • per fattorizzare RSA-2048, che non è il problema di Bitcoin ma è il metro storico di queste stime: da circa 20 milioni di qubit fisici rumorosi (Gidney ed Ekerå, 2019) a meno di un milione (Gidney, maggio 2025). Venti volte meno in sei anni, e non per progressi delle macchine: per progressi degli algoritmi e della correzione d'errore, cioè su carta;
  • per il logaritmo discreto a 256 bit, il problema di Bitcoin: Google Quantum AI (marzo 2026, con la Ethereum Foundation e Dan Boneh tra gli autori) stima circuiti da meno di 1.200 qubit logici e, su un'architettura superconduttiva con tasso d'errore di uno su mille, un'esecuzione in minuti con meno di 500.000 qubit fisici. È il paper da cui viene il «sotto il tempo di un blocco» citato una sezione fa, ed è lo stesso paper a dichiararne le assunzioni: porte logiche a microsecondi, correzione d'errore matura, precomputazione già svolta. Un ordine di grandezza, non una capacità operativa;
  • più in basso ancora: un gruppo Caltech-Harvard (stesso mese; tra gli autori Preskill, Endres e Bluvstein, nomi di primo piano del settore) calcola che su atomi neutri riconfigurabili, con codici di correzione più efficienti, Shor a scala crittograficamente rilevante diventerebbe possibile con appena 10.000 qubit fisici; per una chiave a 256 bit, in pratica, circa 26.000 e qualche giorno di calcolo. Anche qui, e lo scrivono gli autori stessi: una stima teorica di risorse con notevoli sfide ingegneristiche davanti, non una macchina;
  • perfino il numero «da manuale» dei qubit logici necessari continua a scendere: 2.124 nelle stime di riferimento del decennio scorso, 1.333 in un lavoro dell'aprile 2026.

Che cosa c'è: macchine da centinaia o poche migliaia di qubit fisici, rumorosi. Tra ciò che esiste e ciò che servirebbe restano ordini di grandezza, ed è la ragione per cui le dimostrazioni pratiche sono ferme ai giocattoli. Ma il quadro va letto in movimento: le macchine crescono e le richieste calano, e le due curve si stanno cercando. Il dato nuovo del 2025-2026 non è la vicinanza, che non c'è; è la velocità con cui il divario si restringe, e il fatto che si restringe da entrambi i lati.

A questa fotografia vanno aggiunte due considerazioni che non invecchiano, perché non dipendono dai numeri.

La prima: il tempo della difesa va sottratto al tempo dell'attacco. Migrare Bitcoin su firme nuove non è un aggiornamento software: è un consenso da costruire sulle regole, più una migrazione volontaria di milioni di detentori, e la storia del protocollo dice che i tempi si misurano in anni (a questo sono dedicate le tre sezioni che seguono). Il confronto giusto non è «quando arriverà la macchina» ma «quando arriverà, meno quanto ci vuole a traslocare». È l'aritmetica che spiega perché il tema sia già in agenda senza una minaccia immediata: chi aspettasse di vedere la macchina avrebbe già perso il tempo che serviva.

La seconda: per Bitcoin, la raccolta è già avvenuta. Nel mondo delle comunicazioni cifrate si parla di «harvest now, decrypt later»: registrare oggi il traffico per decifrarlo quando la macchina esisterà. Per le chiavi pubbliche già scritte in catena non serve nemmeno questo passo: sono raccolte, ordinate, replicate su decine di migliaia di nodi, per sempre. L'archivista più paziente che si possa immaginare è il registro stesso. L'immutabilità, che altrove in questo sistema è la garanzia, qui lavora contro i suoi utenti.

Le monete che aspettano: quanta parte del registro è esposta

Quanto pesa, allora, la classe delle monete a chiave visibile? Le stime pubbliche, con le loro date. Deloitte, in un'analisi del 2019-2020, contava circa 4 milioni di BTC vulnerabili, un quarto della circolazione di allora: circa 2 milioni nel formato P2PK delle origini più circa 2,5 milioni su indirizzi riusati. Il testo di BIP-361, la proposta di migrazione di cui si parlerà più avanti, con dato al 1° marzo 2026 alza l'asticella: oltre il 34% di tutti i bitcoin ha una chiave pubblica già rivelata in catena.

Perché due stime così lontane? Non solo perché il tempo passa. Il grosso del conteggio sta nel riuso, e il riuso non si legge da una fotografia del presente: per sapere se la chiave di un indirizzo è già stata mostrata bisogna riavvolgere l'intera storia delle transazioni, e ogni analisi la riavvolge con criteri propri. È lì che i numeri pubblici divergono, ed è lì che una parte del conteggio va presa sulla fiducia.

Una parte, però, no. I numeri che seguono non li abbiamo presi sulla parola da altri: li abbiamo ricalcolati per conto nostro. All'inizio di luglio 2026 (blocco 957.301) un censimento dell'UTXO set, l'insieme di tutte le monete spendibili in quel momento, condotto per questo pezzo su un nodo proprio con un programma di poche centinaia di righe, dà questo quadro:

  • le monete esposte per costruzione, quelle la cui serratura mostra la chiave senza bisogno di storia (il P2PK delle origini, Taproot, più una polvere di vecchi script multifirma in chiaro), sono 1,93 milioni di BTC, il 9,64% di tutte le monete esistenti. È un limite inferiore certo e riproducibile: chiunque rifaccia il conto alla stessa altezza di blocco deve ottenere esattamente gli stessi numeri;
  • dentro quel limite, le due popolazioni principali non potrebbero essere più diverse. Il P2PK vale 1,72 milioni di BTC ed è un fossile: il 97% di quelle monete è nato prima del blocco 100.000, cioè all'incirca prima della fine del 2010. Taproot è l'opposto: 54 milioni di serrature ma appena 217.000 BTC, tutto recente e frazionato.

Il confronto coi numeri pubblici va letto per quello che è: non tre stime in gara sulla stessa grandezza, ma tre perimetri diversi. Il 9,64% conta la sola esposizione per costruzione, ed è stretto di proposito: è la parte del quadro che non richiede criteri, solo un conteggio, e per questo si può pretendere che torni al satoshi. Le stime pubbliche abbracciano anche il riuso, e lì i perimetri si allargano ciascuno a modo suo: Deloitte scriveva nel 2019-2020, quando Taproot non esisteva ancora, e sommava il P2PK delle origini al riuso che la sua scansione riconosceva; BIP-361 conta al 2026 ogni chiave già rivelata in catena, Taproot compreso. La differenza tra il pavimento e il 34% misura quanto del quadro poggia sulla metodologia altrui: circa un quarto delle monete, quasi tutto riuso.

Il pavimento si verifica con un comando. Il riuso, per questo pezzo, non è rimasto una stima: la stessa scansione che si può rifare da sé ha ripercorso l'intera catena due volte, per due strade indipendenti che devono dare, e hanno dato, lo stesso identico numero, fino all'impronta. Al blocco 957.301 le monete protette dall'hash ma con la chiave già mostrata dal riuso sono almeno 5,08 milioni di BTC, su 8,78 milioni di serrature: un minimo, come ogni cifra di questo pezzo.

Sommando il pavimento: 7,02 milioni di BTC, il 35 per cento circa di tutte le monete esistenti, ha la chiave in vista. È la terza strada che arriva nello stesso posto. Il testo di BIP-361 conta oltre il 34 per cento; l'analisi di Glassnode di maggio 2026, con dati proprietari, mette il pavimento a 1,92 milioni contro il nostro 1,93; il comitato consultivo di Coinbase parla di circa 7 milioni. La differenza è che questa strada si può ripercorrere: il contratto di replica e le impronte sono nell'appendice del pezzo compagno, e la parte del quadro che prima poggiava sulla metodologia altrui ora l'abbiamo misurata noi.

In sintesi, al blocco 957.301:

chiavi già in vista BTC del circolante
esposte per costruzione (P2PK, Taproot, multisig in chiaro) 1,93 M 9,6 %
esposte dal riuso (chiave mostrata da una spesa passata) 5,08 M ~25 %
totale con la chiave in vista 7,02 M ~35 %

E conviene dire anche in che direzione sbagliano, questi numeri, se sbagliano: per difetto. Nessun conteggio in catena, il nostro compreso, vede le chiavi condivise fuori catena, le xpub consegnate a servizi e custodi di cui si è detto nella mappa dell'esposizione. Se il quadro vero si scosta dal 35 per cento misurato qui, è più facile che si scosti verso l'alto.

Dentro il fossile P2PK sta il caso simbolo dell'intera questione: il milione circa di BTC attribuito a Satoshi Nakamoto, fermo dai primissimi anni. Nessuno può migrare quelle monete se non chi ne possiede le chiavi, e nulla indica che qualcuno le possieda ancora. Se un giorno si muovessero «da sole», l'osservatore esterno non avrebbe modo di decidere che cosa sta guardando: il ritorno del proprietario legittimo o il primo furto della storia via quantum computing. Una firma dimostra il possesso della chiave, non l'identità di chi la usa; il giorno in cui la chiave si può ricavare, la prova smette di distinguere. Conviene tenere a mente questa indecidibilità: il discorso ci torna sopra, tra le monete che nessuno può più muovere.

Un'ultima nota, per pesare lo scenario senza caricarlo. La vulnerabilità non è binaria né simultanea: anche il giorno in cui la macchina esistesse, sarebbe scarsa, lenta e costosa, e un attaccante razionale metterebbe in fila i bersagli, i più grossi e dormienti per primi, non milioni di portafogli in una notte. E prima ancora dei furti arriverebbero le notizie: la prima dimostrazione credibile che le chiavi si possono ricavare si scaricherebbe sulla fiducia, e quindi sul prezzo, molto prima che l'attacco scali. Lo scenario economico precede quello tecnico; la minaccia non è un interruttore che spegne il sistema, è un incentivo che monta.

Come quel valore si è esposto nel tempo è una storia a sé: quali serrature, in che anni, con che ritmo, e perché l'esposizione cresce mentre il costume del riuso migliora. Ha un pezzo dedicato, il compagno di questo: la storia del riuso, letta dai dati.

Le soluzioni tecniche: firme nuove, indirizzi nuovi

La parte facile della risposta esiste già, almeno sulla carta. Nell'agosto 2024 il NIST, l'ente di standardizzazione americano che di fatto detta gli standard crittografici del mondo, ha pubblicato le firme post-quantum: ML-DSA (FIPS 204), costruita sui reticoli, una famiglia di problemi matematici che nessun algoritmo quantistico noto sa abbattere, e SLH-DSA (FIPS 205), costruita interamente su funzioni hash. La seconda ha una proprietà che a questo punto del testo suona familiare: non chiede di credere in nessuna ipotesi nuova, poggia soltanto sugli hash, il territorio dove il quantum computing guadagna poco o nulla. Firme così non sono ricerca di frontiera: sono ingegneria pubblicata, con specifiche, implementazioni e certificazioni. Il problema non è farle esistere. È dove metterle.

Perché queste firme sono grandi, e su una catena dove ogni byte si compra la grandezza non è un dettaglio tecnico: è il prezzo. I numeri, presi dalle tabelle dei due standard:

schema categoria NIST chiave pubblica firma da esibire per spendere
Schnorr (BIP-340), oggi curve ellittiche 32 byte 64 byte 96 byte
ML-DSA-44 2 1.312 2.420 3.732 (~39×)
ML-DSA-87 5 2.592 4.627 7.219 (~75×)
SLH-DSA-128s 1 32 7.856 7.888 (~82×)
SLH-DSA-128f 1 32 17.088 17.120 (~178×)

(La categoria NIST misura il margine di sicurezza dichiarato: la 1 equivale a forzare AES-128, la 5 ad AES-256. Le sigle finali raccontano il compromesso interno: la «s» di small firma corta ma lenta da produrre, la «f» di fast il contrario.)

Tradotto in peso, con lo sconto che il protocollo concede oggi ai dati di sblocco e a parità di struttura della transazione (è un conto nostro, e va dichiarato per quello che è: nessuno di questi schemi sta nel protocollo, i numeri servono all'ordine di grandezza): un input Taproot che oggi pesa sui 58 vbyte ne peserebbe circa 980 con ML-DSA-44, diciassette volte tanto, e circa 2.000 con SLH-DSA-128s, trentacinque volte. Le commissioni si pagano al byte, quindi spendere costerebbe in proporzione; e nello stesso spazio di blocco entrerebbero da quindici a trentacinque volte meno spese. La resistenza al quantum computing non si inventa: si compra, e la valuta è lo spazio.

Ed è qui che la vicenda della proposta principale sul tavolo si fa istruttiva, perché il suo percorso pubblico racconta il problema meglio di qualunque riassunto. BIP-360 nasce a fine 2024 col nome P2QRH e le firme post-quantum a bordo: tre schemi, tabelle, tutto insieme. Poi il registro delle revisioni, pubblico anche lui, documenta la dieta: a gennaio 2025 esce SQIsign, troppo costoso da verificare; a luglio 2025 escono le firme stesse, su cui gli autori dichiarano la ricerca ancora aperta; a febbraio 2026 il progetto prende il nome definitivo, Pay-to-Merkle-Root (P2MR). Oggi (giugno 2026, versione 0.12.0, status Draft) BIP-360 propone una cosa sola, piccola e precisa: un Taproot senza la sua vulnerabilità al quantum computing. Si è visto, disegnando la mappa, che Taproot mette la chiave nell'output per costruzione; P2MR è lo stesso disegno con quella via di spesa rimossa: sulla catena resta soltanto una radice di Merkle, un hash, e gli hash reggono. Una nuova versione di SegWit, indirizzi che comincerebbero per bc1z, e nessuna chiave in vetrina.

Conviene dire con precisione che cosa comprerebbe e che cosa no. Comprerebbe la protezione delle monete a riposo: l'esposizione lunga, quella appena misurata, per le monete migrate sparirebbe. Non compra, da solo, la protezione al momento della spesa: quando uno script di P2MR si rivela per essere eseguito, le chiavi che contiene sono ancora chiavi su curve ellittiche, e la finestra dei minuti resta quella che è. Le firme post-quantum della tabella qui sopra entrerebbero in un secondo tempo, dentro lo stesso disegno, come nuovi linguaggi di foglia. È una strategia riconoscibile: prima la presa, poi la spina. E la si può leggere in due modi, entrambi veri: come prudenza di chi non vuole cementare nel protocollo uno standard che potrebbe invecchiare male, e come la misura di quanto il problema sia meno maturo di un annuncio.

Per la sezione che segue vanno tenute due proprietà. La prima: P2MR sarebbe un soft fork, un restringimento opt-in delle regole; aggiunge serrature nuove accanto alle vecchie e non ne chiude nessuna: la migrazione resta a carico di chi ha le chiavi. La seconda: il repertorio tecnico attorno è più ricco di quanto sembri, nelle discussioni circolano firme usa-e-getta costruite sui soli hash (Lamport, Winternitz) come ripiego d'emergenza e schemi commit-reveal che proteggerebbero perfino la spesa sotto attacco alla mempool: la finestra dei dieci minuti, volendo, ha contromisure. Quello che manca non è l'ingegneria. È ciò che nessuna ingegneria produce da sola: la decisione su che cosa fare delle monete che nessuno migrerà mai.

Nel frattempo: che cosa può fare chi ha un portafoglio

Le firme nuove arriveranno coi loro tempi, che non dipendono da chi legge. Ma una difesa esiste già oggi, e non è tecnica: è condotta. Per capirla basta tornare alle serrature. Un indirizzo moderno, nella forma che i portafogli propongono per prima, è protetto dall'impronta di una chiave e non dalla chiave stessa: finché riceve soltanto, la chiave non è mai comparsa da nessuna parte. Compare al momento della spesa, dentro la transazione che sblocca le monete, e vale per quella sola serratura, perché ogni indirizzo di un portafoglio moderno nasce da una chiave diversa. Da qui la regola, che è una sola: un indirizzo nuovo per ogni ricezione, e mai più nulla su un indirizzo che ha già speso. I portafogli lo fanno da soli da anni, perfino col resto delle transazioni, che torna sempre a un indirizzo vergine. Il riuso, oggi, è quasi sempre una scelta operativa, non un destino: e i numeri del censimento dicono quanto è ancora praticata.

Questa protezione ha tre limiti, e conviene vederli in fila.

Il primo: a ogni spesa la protezione si interrompe per qualche minuto. Tra l'invio di una transazione e la sua conferma la chiave è pubblica e le monete sono ancora lì. È una finestra che peserebbe soltanto in uno scenario in cui esistesse già una macchina matura e abbastanza veloce da sfruttarla; ma è un limite reale, e resta anche quando ogni altra accortezza è rispettata.

Il secondo: la protezione copre solo quello che non si è già consegnato ad altri. Un portafoglio moderno è un albero: da un seme nascono i conti, da ogni conto le chiavi, una per indirizzo. Quel che esce di casa decide quanto si espone:

  • un indirizzo: espone una chiave sola, e solo quando quell'indirizzo spende;
  • una xpub, la chiave pubblica estesa di un conto, quella che si consegna ai servizi di sola lettura e ad alcuni custodi: espone in blocco le chiavi pubbliche di tutti gli indirizzi di quel conto, presenti e futuri. Per la minaccia di cui parliamo equivale ad aver già riusato ogni indirizzo di quel conto;
  • il seme: qui il discorso cambia natura. Chi ha il seme ha le chiavi private, e può spendere oggi, senza bisogno di nessuna macchina quantistica. Non è un gradino più largo della stessa scala: è dove la scala finisce.

I primi due gradini spiegano anche perché i conteggi del censimento sbagliano per difetto: le xpub consegnate non si vedono da fuori.

Il terzo, ed è il più importante: l'accortezza compra tempo, non esenzione. Quando la migrazione alle firme nuove arriverà, andrà fatta comunque.

Una precisazione su Taproot, il formato più recente, quello che comincia per bc1p. Lì la chiave è in vista per costruzione, e la regola dell'indirizzo nuovo non la nasconde: è il caso in cui l'accortezza non compra nulla. Conviene però ridimensionare: Taproot non è oggi il formato più diffuso, né quello che la maggior parte dei portafogli propone per primo. Lo dicono i numeri già visti: sotto Taproot stanno 217.000 BTC, mentre il grosso del valore vive ancora sui formati protetti da un'impronta. Chi usa Taproot, di solito, l'ha scelto, per proprietà che gli servono. Vale allora la pena che la scelta comprenda anche questo: in ottica quantum computing, e solo in questa, un valore grande e destinato a stare fermo è più al riparo su un formato protetto da un'impronta, un bc1q… mai riusato, che su Taproot, dove la chiave è visibile fin dal primo giorno.

Il senso di tutto questo non è l'ansia della mossa giusta. È che la condotta è l'unica difesa, in questa storia, che non delega fiducia a nessuno: non al protocollo che verrà, non a un custode, non ai tempi della decisione collettiva. Chi la pratica non ha risolto il problema; ha comprato la cosa che nella sezione seguente manca a tutti: il tempo di decidere consapevolmente, qualunque cosa i generali decidano. Tra subire una questione e presidiarla, la differenza è quasi tutta qui.

Il punto importante: le monete che non possono migrare da sole

Tutto il discorso sulle soluzioni ha però un presupposto silenzioso: che dietro ogni moneta ci sia qualcuno in grado di muoverla. Per quelle monete il problema è risolvibile con tempo e incentivi: le serrature nuove arrivano, i portafogli si aggiornano, chi ha le chiavi migra. Ma il registro conserva anche le monete di chi non può rispondere: chiavi perdute, proprietari scomparsi, fortune dormienti da quindici anni. Il censimento ha misurato il fossile: 1,7 milioni di BTC nel solo P2PK, quasi tutti fermi da prima del 2011, col milione attribuito a Satoshi in mezzo. Nessun incentivo li sposterà, perché non c'è nessuno da incentivare. E così, man mano che la minaccia si avvicinasse, la rete si troverebbe davanti una domanda che nessun algoritmo può assorbire: che cosa sono, queste monete?

Le uscite sono due, ed è onesto dirle subito entrambe sgradevoli.

La prima: lasciarle spendibili. Vuol dire accettare che, il giorno in cui la macchina esistesse, il primo ad arrivarci se le prenda: una redistribuzione di ricchezza enorme e silenziosa verso chi vince la corsa alla capacità di quantum computing, governi o laboratori o chiunque altro. Con due aggravanti. Le monete rubate sarebbero perfettamente valide: firme corrette, transazioni regolari, nessuna regola violata; un registro inondato di refurtiva indistinguibile dal denaro legittimo. E l'indecidibilità vista due sezioni fa farebbe il resto: la rete non potrebbe nemmeno dire con certezza che un furto è avvenuto, perché una firma prova il possesso della chiave, non l'identità di chi la usa.

La seconda: congelarle. Vuol dire che la rete, a una data annunciata, smette di accettare le vecchie firme, e con ciò rende non spendibili monete di altri senza il consenso dei proprietari. Per un sistema costruito attorno a «not your keys, not your coins» è un tabù quasi costituzionale: sarebbe la prima violazione deliberata della proprietà a livello di protocollo, per quanto a fin di bene, decisa da chi c'è a spese di chi non c'è. Se il proprietario delle monete dormienti esiste ancora, da qualche parte, il congelamento lo espropria per proteggerlo.

BIP-361, «Post Quantum Migration and Legacy Signature Sunset», firmato da Jameson Lopp con altri cinque autori e in bozza dal febbraio 2026, imbocca la seconda strada, e i suoi stessi autori la presentano come una proposta «radicalmente diversa da qualunque altra nella storia di Bitcoin, come radicalmente diversa è la minaccia». Il disegno è in due fasi. La fase A, circa tre anni dopo l'attivazione: si smette di poter inviare monete verso gli indirizzi vulnerabili, così il problema smette almeno di crescere. La fase B, altri due anni dopo, cinque in tutto: le vecchie firme smettono di bastare da sole. Non un muro cieco, nella versione attuale del testo: l'idea è vincolare le spese legacy a «protocolli di salvataggio» fondati su un'asimmetria di conoscenza, qualcosa che il legittimo proprietario sa e che una macchina capace di derivare la chiave privata dalla pubblica comunque non saprebbe. L'esempio più concreto: la gran parte dei portafogli moderni deriva le chiavi da un seme (BIP-32), e chi possiede il seme può dimostrarlo con una prova crittografica senza esporre nulla di attaccabile; la ricerca su come farlo in modo efficiente (prove a conoscenza zero, schemi commit-reveal) è dichiarata aperta nel testo stesso. Resta scoperto proprio il fossile: per il P2PK delle origini non esiste asimmetria possibile, la chiave pubblica è tutto ciò che c'è mai stato, e lì gli autori rimandano a un'eventuale proposta complementare di spesa contingentata. Il congelamento, insomma, si è raffinato in una gradazione: salvabile chi può provare qualcosa in più della chiave, contingentato o fermo ciò che non può provare nulla.

Va detto con la stessa chiarezza che cosa BIP-361 non è, perché qui i resoconti hanno spesso forzato la mano. Lopp lo ha scritto senza giri di parole: «so che non piace; non piace nemmeno a me; l'ho scritta perché l'alternativa mi piace ancora meno». E nello stesso intervento ha precisato che non si tratta di una specifica pronta né di una proposta di attivazione: è l'abbozzo di un piano di emergenza, che richiede altra ricerca, e che l'autore spera non serva mai. Si può leggere questo come una debolezza. È più onesto leggerlo per quello che è: la comunità sta scrivendo il piano B in anticipo e in pubblico, con anni di margine, sapendo che all'emergenza non si vuole arrivare impreparati né si può improvvisare un consenso.

Il dissenso, intanto, si è organizzato in proposte, non in tifo. La più strutturata è di BitMEX Research (aprile 2026), e rovescia la filosofia: nessun congelamento preventivo, ma un sistema di allerta. Si costruisce un indirizzo vulnerabile la cui chiave privata è dimostrabilmente sconosciuta a chiunque (esiste un modo standard di farlo: si genera il punto sulla curva da una costante pubblica, cosicché nessuno può averne il logaritmo), ci si depositano fondi come taglia, e lo si osserva: è il canarino nella miniera. Finché il canarino canta, le monete vulnerabili restano spendibili; se qualcuno svuota quell'indirizzo, la capacità di quantum computing è dimostrata nel modo più pubblico possibile, e il congelamento scatta allora, automaticamente, con una finestra di sicurezza per gestire la transizione. Gli argomenti: la custodia dei fondi è responsabilità di chi li possiede, non del protocollo; un congelamento preventivo danneggia la resistenza alla censura che dà a Bitcoin il suo valore; e la minaccia, a oggi, resta una proiezione. Il documento ammette da sé i punti deboli, e l'ammissione vale quanto la proposta: la taglia potrebbe essere troppo piccola per tentare chi ha la macchina, che potrebbe preferire bersagli veri tacendo la propria capacità; e il meccanismo è più arbitrario e complesso di un semplice congelamento. Sono esattamente le obiezioni della parte avversa, e il fatto che stiano scritte nel documento stesso dice che il disaccordo è nel merito, tra persone che si prendono sul serio.

Vale la pena guardare l'asse su cui il dibattito si muove, perché non è tecnico. Da un lato la sicurezza dell'insieme: lasciar rubare milioni di monete inquina la fiducia di tutti, anche di chi ha migrato per tempo. Dall'altro il principio di proprietà: un protocollo che congela monete altrui a fin di bene ha stabilito che può farlo, e questo precedente resta. Entrambe le parti argomentano dai principi di Bitcoin: è un conflitto tra due letture della stessa costituzione, non tra chi la difende e chi la attacca. Il testo di questa sezione non sceglie, di proposito: il lettore ha ora gli elementi per pesare da sé. Quello che nessuna delle due parti contesta è il punto che porta alla prossima sezione: una decisione andrà presa, riguarderà monete di persone che non possono partecipare alla decisione, e il protocollo, da solo, non ha nessun meccanismo per prenderla.

I generali tornano al tavolo

Il problema da cui Bitcoin è nato porta un nome d'accademia: il problema dei generali bizantini, mettere d'accordo estranei che non si fidano, su un canale che nessuno controlla, sapendo che qualcuno può mentire. Per quindici anni la soluzione ha funzionato così bene da sembrare definitiva: la regola della catena con più lavoro produce, ogni dieci minuti, un accordo planetario su quale storia del registro valga, senza che nessuno decida e senza che nessuno debba fidarsi di nessuno. Ma conviene guardare con precisione che cosa quel meccanismo produce, perché qui la precisione decide tutto: produce consenso sulla storia del registro, dentro regole date. Non produce, e non può produrre, consenso sulle regole stesse. La proof-of-work sa scegliere tra due storie concorrenti; non sa scegliere tra due versioni di sé.

Come cambiano, allora, le regole? Nel modo più antico che ci sia: qualcuno propone, gli altri discutono. I documenti maneggiati fin qui, BIP-360 e BIP-361, sono esattamente questo, Bitcoin Improvement Proposals: proposte scritte, pubbliche, numerate, sottoposte a una revisione aperta di cui si è potuto leggere il registro delle modifiche come un diario. Poi il software: qualche implementazione le traduce in codice. E infine l'attivazione, che non assomiglia a un voto: le regole nuove valgono nella misura in cui chi fa girare un nodo sceglie di farle girare. Non c'è una soglia scritta, non c'è un quorum, non c'è un'assemblea che delibera; c'è un coordinamento informale tra sviluppatori, minatori e utenti, ognuno con un pezzo di potere e nessuno con l'ultima parola. E chi dissente conserva sempre l'uscita estrema: restare sulle regole vecchie, o scriverne di proprie, cioè biforcare, portandosi via una copia del registro identica fino al punto della separazione e diversa da lì in poi.

Questa governance senza nome ha già superato prove vere. La più dura finora, tra il 2015 e il 2017: una disputa in apparenza tecnica sulla dimensione dei blocchi divenne uno scontro pluriennale tra due visioni del sistema, e finì nel modo previsto dal disegno, non nel modo temuto: la parte che voleva blocchi più grandi biforcò, il registro si sdoppiò, e gli estranei che trattano un registro come l'unica versione dei fatti si concentrarono in larghissima parte da un lato solo. Ma tutte le prove superate finora, compresa quella, avevano una proprietà comoda: non fare niente era un esito vivibile. Taproot, l'ultima modifica importante (2021), era una miglioria opzionale: chi la ignora non perde nulla. E in una governance dove cambiare richiede un consenso larghissimo mentre non cambiare non richiede nessuno, lo status quo parte sempre vincente; per un sistema il cui pregio è non farsi riscrivere, questa inerzia non è un difetto, è il carattere.

Il quantum computing è la prima domanda che toglie all'inerzia la sua innocenza. Non è una miglioria opzionale: è manutenzione obbligata, con scadenza ignota. Non decidere resta possibile, ma la sezione precedente ha mostrato che non è neutro: lasciare tutto com'è coincide con una delle due uscite, quella che consegna le monete dei silenziosi al primo arrivato. Quando il non fare coincide con una delle opzioni in gara, lo status quo smette di essere un rifugio: l'inerzia, che finora custodiva il sistema, diventa una scelta con vincitori e vinti, presa senza che nessuno la firmi.

E c'è lo scenario che nessuna delle parti augura a sé stessa: che la convergenza non arrivi. Una comunità spaccata sulla migrazione produrrebbe due registri, uno che congela e uno che lascia spendere, ciascuno chiamandosi Bitcoin, con la refurtiva perfettamente valida su uno e inesistente sull'altro: il ritorno del problema di partenza, tante verità e nessuna, per mano del tentativo di risolverne uno nuovo. Non è una profezia, è il prezzo scritto sul cartello: ed è proprio la visibilità di quel prezzo, che nessun partecipante ha interesse a pagare, la forza più seria che spinge verso una decisione comune.

Tutto questo non rovescia la cornice con cui il testo è partito: la affina. La barriera di costo custodisce davvero il passato del registro, la sua unicità, le sue regole; ma le custodisce dentro le ipotesi crittografiche su cui è costruita, e le ipotesi non si mantengono da sole. Finché reggono, il sistema è quello che promette: regole senza governanti, accordo senza fiducia. Quando una invecchia, e prima o poi una invecchia, rinnovarla non è un calcolo che qualche macchina possa eseguire: è un atto di coordinamento tra persone, con tutto ciò che ne segue, il dibattito, le fazioni, il peso di chi parla, la fiducia in chi scrive il codice. La fiducia, cacciata dalla porta del protocollo, riprova a entrare dalla finestra delle decisioni umane. Non è un tradimento del disegno: è il suo perimetro, visto da vicino. «Regole senza governanti» non significa regole senza manutenzione; significa che la manutenzione richiede il consenso di quasi tutti, ed è insieme la garanzia del sistema e la sua lentezza.

Qui il filo del testo si chiude. Il quantum computing non rompe il consenso: costringe a usarlo, al livello dove è più difficile, quello delle regole, sulla domanda più scomoda, che cosa fare della proprietà di chi non c'è, e con al tavolo dei posti vuoti che nessuno può riempire. Una macchina che non esiste ancora ha già ottenuto qualcosa che nessun attacco informatico aveva ottenuto: costringere il sistema nato per fare a meno delle decisioni umane a prepararne una, in pubblico, con anni di anticipo. Che è poi il modo migliore di prenderla.

In sintesi

Nove sezioni e parecchi nomi tecnici dopo, è giusto rimettere in fila le risposte per chi ha seguito fin qui. Cinque domande, e le risposte senza una sigla.

Che cosa potrà fare davvero una macchina quantistica? Aprire una parte delle serrature: ricavare la chiave segreta dalla chiave pubblica, là dove la pubblica è visibile. Non potrà riscrivere il registro né falsificarne la storia: l'accordo su ciò che è accaduto poggia su impronte e lavoro accumulato, e lì il vantaggio quantistico non basta, a nessun orizzonte sensato.

Quando? Nessuno lo sa, e le date precise lasciano il tempo che trovano. A luglio 2026 le dimostrazioni pratiche sono giocattoli lontanissimi dalle chiavi vere, ma le risorse richieste calano di anno in anno mentre le macchine crescono: il divario si chiude dai due lati. E dal tempo dell'attacco va sottratto il tempo della difesa, che qui si misura in anni: per questo se ne discute adesso.

Quali monete rischiano? Quelle la cui chiave pubblica è già in piazza: le più antiche, scritte in chiaro quando sembrava innocuo, con le monete attribuite a Satoshi in mezzo, e tutte quelle rimaste su un indirizzo che ha già speso almeno una volta. Col proprio nodo se ne conta come pavimento certo circa un decimo del totale; mettendo in conto il riuso, le stime superano il terzo.

Che cosa si può fare? Le firme resistenti esistono già, standardizzate: più ingombranti, ma pronte; gli indirizzi che le ospiteranno sono in lavorazione, e chi ha le chiavi potrà migrare. Il punto duro non è tecnico: sono le monete di chi non può più muoverle, lasciarle al primo che arriva o fermarle d'ufficio, e i piani per entrambe le strade si stanno scrivendo ora, in pubblico, con anni di anticipo.

Chi decide? Nessuno da solo, ed è il carattere del sistema: le regole cambiano solo se chi fa girare un nodo sceglie di adottarle, dopo proposte pubbliche e dibattito aperto, e chi dissente può sempre andarsene con una copia del registro. Il meccanismo produce accordo automatico sulla storia, non sulle regole: su quelle decidono le persone. Quella decisione è già in preparazione, ed è la notizia migliore dell'intero quadro.

La stessa domanda, su scala piccola

Dopo aver pesato le serrature altrui, l'onestà chiede di guardare le proprie. In coda a ogni testo di questo sito c'è una verifica, fatta di tre promesse: un'impronta del contenuto (è questo, non è stato toccato), un ancoraggio temporale al registro di Bitcoin (esisteva prima di questo blocco), una firma d'autore (viene da qui). La mappa disegnata nel pezzo si applica tale e quale, in miniatura.

Le prime due promesse reggono. L'impronta è un hash, e contro gli hash il vantaggio quantistico dimezza l'esponente senza abbattere il muro: chi ricalcola l'impronta di una pagina potrà dirne l'integrità anche il giorno in cui la macchina esistesse. L'ancoraggio è fatto di impronte dentro altre impronte, fino a quelle che il registro custodisce sotto la sua barriera di costo: l'orologio continua a fare fede.

La terza invecchia. La firma d'autore di queste pagine usa la stessa famiglia matematica delle firme di Bitcoin, le curve ellittiche che Shor rompe; e la chiave pubblica che serve a verificarla è pubblicata per definizione, deve esserlo, o nessuno potrebbe controllare nulla. È esattamente la condizione delle monete delle origini: esposta per costruzione, non per errore. Il giorno in cui l'algoritmo girasse su una macchina vera, quella firma smetterebbe di provare l'autore: chiunque potrebbe firmare a nome di questo sito.

E la soluzione è la stessa vista per le monete, in miniatura: pre-impegnare oggi la chiave di domani, pubblicandone soltanto l'impronta. Un impegno fatto di soli hash non offre nulla all'algoritmo che rompe le firme; quando servirà, la chiave nuova verrà rivelata e chiunque potrà controllare che era stata promessa da prima, in una catena mai spezzata. Scrivere questo pezzo è stata l'occasione per smettere di rimandarlo: la chiave di riserva esiste, è custodita offline, ed è una firma post-quantum costruita sui soli hash (la famiglia di cui si è detto tra le soluzioni). Sulla pagina della verifica se ne trova oggi l'impronta, insieme allo schema dichiarato: il giorno in cui la firma attuale smettesse di provare qualcosa, ci sarà da rivelare una chiave, non da chiedere fiducia.

Il senso di questa coda non è l'aneddoto. È che il metodo del pezzo, separare ciò che poggia su impronte da ciò che poggia su chiavi esposte e dare a ogni ipotesi la sua scadenza, non è tifo per Bitcoin: si applica a qualunque sistema di prove crittografiche, compreso uno artigianale come questo. Le ipotesi non si mantengono da sole, e saperlo per tempo è l'unico vantaggio disponibile. Anche questa pagina, come il registro di cui parla, dichiara la propria data.

Per rifare i conti di questo pezzo: istantanea dell'UTXO set al blocco 957.301 (txoutset_hash ec79aed9…cc58); impronta delle serrature colpite 5fd579db…0ee7; impronta canonica dell'archivio delle rivelazioni: aacaf02d…9ced. Le impronte per intero, il contratto di replica e la pipeline sono nell'appendice del pezzo dei dati; il codice completo in un approfondimento dedicato, più avanti.

Riferimenti