Mettere d'accordo degli estranei che non si fidano su un'unica verità, senza un arbitro e su un canale dove i messaggi si perdono o si falsificano, è un problema vecchio di decenni. Bitcoin lo risolve, e il suo valore sta lì.

Un problema, prima che una moneta

Di Bitcoin si parla quasi sempre per quello che fa discutere: il prezzo che sale e scende, la libertà che promette o l'energia che consuma, le implicazioni economiche, monetarie, geopolitiche. Sono temi legittimi, ma qui restano fuori dalla porta. Perché sotto la moneta c'è una cosa diversa e altrettanto interessante: un problema che per decenni si è ritenuto, in quella forma, senza soluzione. E Bitcoin, prima di essere una valuta, è la risposta a quel problema.

In questo racconto conviene partire da lì, dal problema, e arrivare alla moneta solo alla fine. Perché è guardando il problema che si capisce dove stia davvero il valore di questa tecnologia.

Le chiavi di lettura non mancano, ciascuna con le sue conseguenze: quella libertaria e cypherpunk, quella economica, quella monetaria, quella geopolitica. Sono tutte legittime, e ognuna coglie qualcosa di vero. Ma vengono dopo, e stanno in piedi solo se poggiano su quello che le precede: la tecnologia, e il problema che risolve. Farsi un'idea delle implicazioni senza aver capito il meccanismo vuol dire costruirla su un fondamento mai esaminato.

Va detto senza giri: Bitcoin, il protocollo e non il gettone, non si capisce di sfuggita. Richiede studio, tempo, attenzione, e uno sguardo insieme critico e aperto, lontano tanto dalla fede di chi lo tratta come una scommessa quanto dal rifiuto di chi lo liquida senza averlo mai letto. Il percorso dentro tutto ciò che questa tecnologia ha poi messo in moto è troppo lungo e vario per un solo scritto, e con le «criptovalute» c'entra solo di striscio. Qui interessa il punto di partenza: per capire Bitcoin, si può cominciare da qui.

I generali intorno alla città

Il problema ha un nome che sembra uscito da un racconto: il problema dei generali bizantini. La scena è questa. Diversi eserciti circondano una città, ognuno con il suo generale, accampati su versanti diversi. Possono vincere solo a una condizione: attaccare tutti insieme, nello stesso momento. Se attaccano in pochi mentre gli altri si ritirano, vengono respinti e perdono.

Devono quindi mettersi d'accordo su una cosa sola: attaccare all'alba, oppure ritirarsi. Ma non c'è un comandante in capo, nessuno ha l'autorità di imporre la decisione agli altri. E l'unico modo di comunicare è mandarsi messaggeri a cavallo, che per raggiungere l'altro accampamento devono attraversare il territorio nemico. Un messaggero può essere catturato, il messaggio può perdersi per strada, può arrivare in ritardo, può persino arrivare alterato.

C'è di peggio. Qualcuno dei generali potrebbe essere un traditore. Un traditore non si limita a non collaborare: può mandare «attacchiamo» a metà degli alleati e «ritiriamoci» all'altra metà, apposta per spaccare il fronte e far perdere tutti. Dall'esterno è indistinguibile da un generale onesto.

La domanda è secca: i generali leali possono arrivare a una decisione comune, nonostante i messaggi inaffidabili e i traditori in mezzo a loro?

Lo stesso problema, dappertutto

Tolta la scenografia delle armate, resta un problema puro, e sorprendentemente comune. Ogni volta che tante parti che non si fidano l'una dell'altra devono accordarsi su un'unica versione dei fatti, senza un arbitro che tutte accettano e su un canale dove i messaggi si possono perdere o falsificare, si ricade nello stesso problema dei generali.

Non è una metafora pittoresca: è un problema preciso, studiato dall'informatica fin dai primi anni Ottanta, e da allora si chiama proprio così. Riguarda chiunque debba tenere un registro condiviso e veritiero tra soggetti che non hanno motivo di credersi a vicenda. Chi possiede cosa. Chi ha parlato per primo. Quale, tra due versioni in conflitto, è quella vera. Tutte domande che si danno per scontate solo perché, di solito, sono delegate a qualcuno.

La scorciatoia: un arbitro di cui fidarsi

La soluzione che la società usa da sempre è una sola: mettere in mezzo un terzo di cui tutti si fidano. Una banca tiene il registro di chi ha quanto. Un notaio certifica. Un server centrale custodisce l'unica versione buona e fa fede. Funziona, e funziona bene.

Ma a guardarla da vicino, questa soluzione non risolve il problema: lo aggira. Non supera la sfiducia, la delega. I generali non si sono messi d'accordo tra loro, hanno semplicemente accettato un re che decide per tutti. E quel re ha un costo. Può sbagliare, può essere corrotto, può decidere lui chi sta dentro e chi sta fuori, può non essere raggiungibile il giorno in cui serve. Tutta la fiducia che non ci si scambia tra pari finisce concentrata in un unico punto, che diventa anche l'unico punto in cui tutto può rompersi.

Eppure una soluzione senza arbitro l'informatica l'aveva trovata: esistono da decenni protocolli che permettono ai generali leali di accordarsi, purché i traditori non siano troppi. Ma reggono tutti sulla stessa condizione: i partecipanti sono noti e contati in anticipo, ognuno con la sua identità, e la verità emerge mettendo gli onesti in maggioranza. In una rete aperta e anonima quella condizione crolla: se entrare non costa nulla, chiunque può presentarsi con mille identità di comodo e vincere da solo qualunque conteggio. Tra anonimi contare le teste non serve, perché le teste si fabbricano. Per questo, in quella forma, il problema si è ritenuto a lungo irrisolvibile: si poteva spostare la fiducia, non eliminarla.

La mossa di Bitcoin: rendere la menzogna costosa

Nel 2008 arriva una risposta diversa. L'idea, ridotta all'osso, è elegante: se il problema è che non ci si può fidare di nessun messaggero e di nessuna identità, allora non si fa dipendere l'accordo da chi parla, ma da qualcosa che non si può falsificare a buon mercato. Quel qualcosa è il lavoro: un nome nuovo non costa nulla, il lavoro sì.

Per aggiungere una pagina al registro condiviso non basta dichiararlo: bisogna spendere lavoro vero, una grande quantità di calcolo, come risolvere a forza bruta un rompicapo che costa tempo ed energia. Fatta la fatica, chiunque può verificare in un istante che è stata fatta. E tutti seguono una regola sola: la storia valida è quella che porta con sé più lavoro accumulato.

Da qui discende tutto. Per riscrivere il passato, per far credere a una versione falsa, un traditore dovrebbe rifare tutto quel lavoro e per giunta correre più veloce di tutti gli altri messi insieme. Gli costerebbe più di quanto potrebbe guadagnarci. La certezza che ne nasce non è quella di un teorema, che vieta una volta per tutte: è una barriera di costo, e ogni pagina aggiunta la rialza. Così mentire non viene vietato: viene reso sconveniente. Comportarsi da onesti diventa la strategia più economica.

C'è un dettaglio in questa costruzione che regala più di quanto sembri. Ogni pagina porta dentro l'impronta della precedente: il registro non è un mucchio di fogli, è una catena con un verso, e una pagina non si può sfilare né infilare in mezzo senza rifare tutto il lavoro che viene dopo. Così l'accordo non fissa soltanto chi possiede cosa: fissa che cosa viene prima e che cosa viene dopo. Non è un orologio che segna le ore; è una freccia che mette in fila gli eventi, e la domanda «chi ha parlato per primo» trova risposta per costruzione. Non a caso nel primo codice la catena si chiamava time chain, catena del tempo, e nelle nove pagine che hanno presentato Bitcoin al mondo la parola blockchain non compare mai: compare invece, fin dal sommario, un servizio distribuito di marca temporale.

Non c'è un comandante in capo, non c'è un messaggero di cui fidarsi, non c'è bisogno di sapere chi sono gli altri generali né di fare l'appello degli onesti. La catena con più lavoro dietro è l'accordo. Ed è qui l'efficienza vera: un problema che sembrava senza uscita trasformato in una semplice regola economica, dove gli incentivi fanno da soli il lavoro che prima toccava a un'autorità centrale. A vigilare non è un re, è la convenienza.

C'è ancora un fondo, sotto la convenienza. Il lavoro speso non è il valore in sé: è ciò che lega l'accordo a qualcosa di fisico. L'informazione scritta nel registro pesa perché è costata energia, ed è quel costo a renderla difficile da riscrivere. Dove sembra esserci fiducia, a ben guardare, c'è energia. Che l'informazione abbia un peso fisico non è un'invenzione di Bitcoin: è un fatto della natura, e merita un discorso a parte.

Due dilemmi che si sfiorano

Vale la pena fermarsi un momento, perché a questo punto due problemi diversi rischiano di sovrapporsi. Sono distinti, e vanno tenuti separati.

Il dilemma del prigioniero. Due complici finiscono in manette e vengono interrogati in celle separate, senza potersi parlare. A ciascuno viene proposto lo stesso patto: chi accusa l'altro avrà la pena più lieve. Se tacciono tutti e due, se la cavano con poco; se uno accusa e l'altro tace, chi ha accusato esce libero e chi ha taciuto paga per due; se si accusano a vicenda, pagano cari entrambi, più di quanto avrebbero pagato tacendo insieme, ma meno di chi tace da solo. Conti alla mano, per ciascuno, qualunque cosa faccia l'altro, accusare conviene sempre un po' più che tacere. Ragionando ognuno per sé, si tradiscono e perdono entrambi, pur sapendo benissimo come stanno le cose. L'informazione è completa; a mancare è la convenienza a cooperare. È un problema di volontà.

La teoria dei giochi, che di questo dilemma ha fatto il suo esempio da manuale, dà nomi precisi ai suoi esiti. L'esito in cui entrambi accusano è un equilibrio di Nash: nessuno dei due, cambiando mossa da solo, migliorerebbe la propria sorte, e per questo è l'esito stabile, quello su cui il gioco si posa da sé. L'esito in cui entrambi tacciono è invece un ottimo paretiano: non ne esiste un altro che migliori la posizione di uno senza peggiorare quella dell'altro. Sono due misure diverse, e non è detto che vadano d'accordo: l'equilibrio dice che cosa regge, non che cosa conviene a tutti; l'ottimo dice che cosa converrebbe a tutti, non che cosa regge. Il dilemma sta tutto in questo divario: l'unico esito stabile è il peggiore, e quello buono non sta in piedi da solo, perché ciascuno ha convenienza a sfilarsene.

l'altro tace accusa uno tace accusa 1 e 1 poco, per entrambi 10 e 0 chi accusa esce libero 0 e 10 chi tace paga per due 5 e 5 cari, per entrambi ottimo paretiano: il migliore per entrambi, ma instabile equilibrio di Nash: stabile, ma peggiore per entrambi
Le pene dei due complici, in anni: in ogni casella prima quella di «uno» (le righe), poi quella dell'altro (le colonne). Le frecce seguono la convenienza del singolo: entrano nella casella che migliora la sorte di chi cambia mossa da solo. Dall'ottimo paretiano ne escono due, una per ciascuno: l'esito migliore per entrambi non si regge. Dall'equilibrio di Nash non ne esce nessuna: cambiare mossa da soli peggiora, e il gioco si posa lì.

I generali bizantini. Sono quelli di prima: molti alleati che vogliono già la stessa cosa, vincere insieme, ma non riescono ad accordarsi su un'unica mossa perché il canale perde o altera i messaggi e qualcuno mente apposta. La volontà comune c'è già; a mancare è l'informazione affidabile su cui accordarsi. È un problema di verità.

La differenza che conta non è quanti sono i protagonisti, ma cosa manca: di là l'incentivo, di qua la certezza. Uno chiede perché cooperare, l'altro su cosa.

C'è anche una differenza di provenienza, e vale la pena dirla perché aiuta a non confonderli. Il dilemma del prigioniero è un oggetto classico della teoria dei giochi: giocatori razionali, una posta, una scelta che conviene o no. Il problema dei generali nasce altrove, nell'informatica dei sistemi distribuiti, dove i traditori non sono giocatori che inseguono un guadagno, ma guasti che si assume facciano, nel caso peggiore, qualunque danno. Due discipline a lungo separate. Ed è nel punto esatto in cui si incontrano che si colloca la mossa di Bitcoin: fare dell'onestà la scelta razionale sposta il problema dei generali dal terreno dei guasti a quello degli incentivi, cioè dentro la teoria dei giochi.

I due non vanno confusi soprattutto perché, nella storia di Bitcoin, entrano in due momenti diversi e in quest'ordine:

  1. Il problema di partenza sono i generali. Bitcoin affronta una questione di verità: far concordare molti estranei su un unico registro, malgrado il canale inaffidabile e i bugiardi.
  2. La mossa è convertirlo in incentivi. Le soluzioni classiche fanno emergere la verità contando gli onesti e mettendoli in maggioranza, ma tra anonimi, si è visto, il conteggio non regge. Bitcoin non conta nessuno: sposta la domanda da «chi dice il vero?» a «a chi conviene mentire?».
  3. A quel punto è un dilemma del prigioniero, ma truccato. Tra estranei egoisti barare sarebbe la mossa individualmente conveniente, la solita trappola. Bitcoin ne riscrive la matrice: col lavoro da spendere e la ricompensa a chi segue le regole, cooperare diventa la scelta che conviene al singolo. Nei termini di prima: l'equilibrio di Nash viene spostato sull'esito buono, e ciò che è stabile e ciò che è desiderabile tornano a coincidere. Il dilemma non viene vinto, viene disinnescato: cambiate le convenienze, non è più un dilemma.

In questa mossa c'è anche una preferenza di fondo, che dice molto del disegno. Tra estranei anonimi vale soltanto ciò che si sostiene da sé: un ottimo che non sia anche un equilibrio è una speranza, non un accordo, perché basta il primo che devia a disfarlo. Per questo il protocollo non chiede mai ai partecipanti di scegliere l'esito migliore per tutti: lavora perché l'esito migliore sia quello che ciascuno sceglie per sé. E quando stabilità ed efficienza non si possono avere insieme, la scelta cade sulla stabilità.

Anche qui, però, vale la cautela di prima: è una barriera di costo, non un teorema. La letteratura l'ha messa alla prova. Nel 2014 Eyal e Sirer hanno mostrato che un gruppo di minatori, come si chiamano gli attori che forniscono la potenza di calcolo e fanno la fatica di aggiungere le pagine al registro, con in mano una frazione abbastanza grande del totale (sotto certe condizioni basta un terzo, in teoria anche meno) potrebbe guadagnare più della sua parte deviando dalla strategia prevista: trattenere i blocchi trovati e pubblicarli al momento giusto per rendere vano il lavoro degli altri, una strategia nota come selfish mining. A rigore, dunque, l'onestà non è un equilibrio di Nash esatto in ogni condizione: lo è finché nessuno concentra troppo potere, che è poi la stessa condizione da cui dipende tutto il resto. Il disegno non promette che barare sia impossibile; rende il barare abbastanza costoso, e abbastanza poco redditizio, perché per quasi tutti e quasi sempre non ne valga la pena.

Così i due si sfiorano senza sovrapporsi. I generali sono il problema che Bitcoin eredita; il dilemma del prigioniero è la forma in cui lo traduce per poterlo sciogliere. L'accordo del gruppo non nasce dalla buona volontà, ma dal fatto che, per ciascuno, rispettare le regole rende più che infrangerle.

Dove sta davvero il valore

Di solito Bitcoin si misura con il prezzo del suo gettone. Ma se per un momento si toglie il prezzo, e con esso tutte le discussioni che qui restano fuori, quello che resta è la cosa che è stata davvero inventata: un modo per far concordare degli estranei che non si fidano su un'unica verità, senza nessuno al comando e su un canale che nessuno controlla.

Per la prima volta, e su larga scala, si è fabbricata fiducia dove non ce n'era, senza doverla affidare a un terzo. Il problema dei generali bizantini, nella sua forma più ostile, quella tra anonimi che non possono credersi, ha smesso di essere irrisolvibile.

La moneta è solo la prima applicazione di questa capacità, quella più visibile e più chiacchierata. Del resto le nove pagine che l'hanno presentato al mondo si intitolano «Bitcoin: A Peer-to-Peer Electronic Cash System»: non si può nascondere che sia quello il fine per cui è stato pensato e costruito. Ma il valore, quello che sta sul fondo, è nel problema che il protocollo ha risolto: se lo spazio su quel registro è prezioso, è proprio per questo; se il gettone che compra quello spazio e passa di mano vale qualcosa, è proprio per questo.

Prima di chiudere, un'obiezione onesta va affrontata. Il registro è software, e il software si copia: chiunque può aprirne un altro domattina, con gettoni nuovi di zecca. Si può, ed è successo. Ma la copia prende le regole, non l'accordo: un registro appena nato non ha dietro né il lavoro accumulato né, soprattutto, gli estranei che lo trattano come l'unica versione dei fatti. E un accordo così vale proprio perché è uno: dividersi su tanti registri vuol dire tornare al problema di partenza, tante verità e nessuna, e non conviene a nessuno dei partecipanti. Lo stesso vale per le regole del gioco, compresa quella che fissa una volta per tutte quanti gettoni esisteranno: la scarsità non è la promessa di qualcuno, è scritta nel protocollo, e chi riscrive quella riga non cambia l'accordo, ne esce, ritrovandosi su un registro suo con l'onere di convincere tutti gli altri a seguirlo. La convenienza che custodisce il passato del registro ne custodisce anche l'unicità e le regole.

C'è un'ultima cosa da notare, ed è il modo stesso in cui si è arrivati fin qui. Questo racconto ha descritto le fondamenta del protocollo, l'impostazione, i principi, senza toccare una riga di crittografia, di matematica, di dettagli d'ingegneria. Non è una lacuna: è una conferma. Bitcoin è prima di tutto un disegno, un'impostazione di regole che reggono senza nessuno che le imponga, regole senza governanti (rules without rulers, come dice una formula cara a chi lo studia). I dettagli tecnici servono tutti, e meritano lo studio che si diceva; ma stanno al servizio del disegno, e al disegno ci si può avvicinare, come si è fatto qui, senza partire da loro.

Resta la fiducia resa possibile tra chi non si fida. Tutto il resto, comprese le implicazioni che qui non sono state toccate, viene dopo, e parte da lì.

Riferimenti