Bitcoin vulnerabile ai computer quantistici?

Nonostante titoli allarmistici, la minaccia dei computer quantistici per Bitcoin resta gestibile. L’idea che basti una nuova “super-macchina” per compromettere l’intera rete è una semplificazione: la tecnologia necessaria non esiste ancora, ma il tema è abbastanza concreto da richiedere pianificazione e lavori di transizione post-quantum.

Articolo pubblicato il 31 marzo 2026 e aggiornato a settembre 2026.

Due pilastri della sicurezza di Bitcoin

Si sente parlare sempre di più di calcolo quantistico, una nuova forma di computazione che sfrutta fenomeni della meccanica quantistica per risolvere alcune classi di problemi matematici molto più velocemente dei computer tradizionali. Proprio per questo, il calcolo quantistico può mettere in discussione parti importanti della crittografia usata per autenticarsi e proteggere servizi digitali (anche finanziari) e infrastrutture critiche.

Anche la sicurezza di Bitcoin poggia su due applicazioni crittografiche:

• Firme digitali delle transazioni (crittografia asimmetrica): servono a dimostrare che chi spende/trasferisce bitcoin ne ha il diritto.
• Mining (hashing e proof-of-work): rende costoso e difficile riscrivere la storia delle transazioni.

Entrambi, in teoria, potrebbero essere influenzati dal calcolo quantistico, ma con rischi e impatti molto diversi.

Mining: un impatto limitato

Cominciamo dal pilastro meno problematico. Sul mining lo scenario è tutto sommato rassicurante. L’algoritmo quantistico rilevante è Grover, che accelera la ricerca nelle funzioni di hash ma solo con un vantaggio quadratico: riduce i tentativi necessari, senza trasformare un problema difficile in uno banale.

In termini intuitivi: anche se Grover aiutasse, il mining resterebbe un’attività che richiede enorme potenza hardware, energia e infrastrutture. Inoltre, la rete può reagire regolando la difficoltà, attenuando parte del vantaggio competitivo.

Il punto più delicato: le firme digitali

Il tema centrale riguarda le firme digitali. Un computer quantistico sufficientemente potente potrebbe eseguire l’algoritmo di Shor, un algoritmo quantistico che rende “efficienti” problemi matematici oggi impraticabili e quindi risolvere il discrete logarithm problem alla base della crittografia a curva ellittica usata da Bitcoin.

In parole semplici: se Shor fosse implementabile su larga scala, potrebbe diventare possibile ricavare una chiave privata dalla corrispondente chiave pubblica. A quel punto, i bitcoin legati a chiavi pubbliche già note (ad esempio fondi associati a indirizzi pubblicamente riconducibili a Satoshi Nakamoto) sarebbero più esposti.

Per questo si raccomanda di non riutilizzare lo stesso indirizzo: quando si spende, alcuni dettagli tecnici vengono rivelati (tra cui, in molti casi, la chiave pubblica) e ridurre l’esposizione nel tempo è una buona pratica. Detto questo, resta vero che:

• esistono già casi in cui la chiave pubblica è nota; e
• durante la propagazione di una transazione, chi la vede prima della conferma osserva i dati necessari per validarla. In uno scenario quantistico maturo, un attore con capacità sufficiente potrebbe tentare di derivare la chiave privata entro la finestra temporale della conferma e pubblicare una transazione concorrente (un race attack/on-spend attack). Questo, però, presuppone sia capacità quantistica sia condizioni di rete favorevoli.

Cosa dicono gli sviluppi recenti (senza allarmismi)

Negli ultimi mesi la letteratura e le discussioni tecniche hanno reso più chiaro un punto: le stime sui requisiti per un attacco quantistico alle firme su curve ellittiche stanno scendendo rispetto alle valutazioni più vecchie. L’esempio più recente e autorevole è il whitepaper pubblicato il 31 marzo 2026 dal team Google Quantum AI: i ricercatori stimano che rompere l’ECDLP-256 — il problema matematico alla base della crittografia di Bitcoin ed Ethereum — potrebbe richiedere circa 1.200 qubit logici e meno di 500.000 qubit fisici, con una riduzione di circa 20 volte rispetto alle stime precedenti. Nello stesso giorno, un paper parallelo di Caltech e della startup Oratomic ha proposto stime ancora più basse, nell’ordine dei 10.000 qubit fisici, sebbene tutti gli autori siano azionisti della società — un conflitto di interessi da tenere presente nella valutazione. Questo non significa che l’attacco sia vicino, ma che è ragionevole accelerare la preparazione.

Per capire questi numeri serve distinguere:

• Qubit logici: qubit “ideali” e stabili, come se l’errore fosse già risolto.
• Qubit fisici: qubit reali dell’hardware. Per ottenere un singolo qubit logico servono tipicamente molti qubit fisici, perché la correzione d’errore quantistica (fault tolerance) ha overhead elevato.

Gran parte delle analisi più “ottimistiche” (cioè più preoccupanti per la sicurezza) assumono progressi significativi su: tassi di errore, correzione d’errore, architetture e parallelismo. È quindi corretto parlare di rischio in avvicinamento, ma non di rischio immediato.

Perché non è un rischio imminente

Il punto cruciale rimane la scala tecnologica richiesta: servirebbe un computer fault-tolerant (con correzione d’errore quantistica) capace di sostenere calcoli complessi entro tempi compatibili con gli scenari d’attacco (ad esempio “on-spend”). Anche se le stime si sono ridotte, restano ben oltre ciò che l’hardware quantistico contemporaneo può fare in modo affidabile.

Questo sposta la minaccia su un orizzonte di medio-lungo periodo. L’orizzonte temporale esatto è incerto (dipende dai progressi hardware), ma la direzione è chiara: prepararsi oggi è razionale.

Un segnale coerente con questa lettura è che grandi attori tecnologici stanno pianificando migrazioni post-quantum su roadmap pluriennali: non perché il rischio sia “domani”, ma perché la transizione richiede anni di lavoro e coordinamento. Google, che dispone delle risorse di ricerca quantistica più avanzate al mondo, ha fissato al 2029 la propria scadenza interna per migrare i servizi di autenticazione alla crittografia post-quantum — un orizzonte che vale come riferimento per l’intero settore, cripto incluso.

Le contromisure esistono già (e stanno maturando)

La buona notizia è che la ricerca è attiva da anni. Esistono già standard e candidati per crittografia post-quantum, inclusi schemi di firma e linee guida operative (ad esempio gli standard NIST come ML-DSA/Dilithium e SLH-DSA/SPHINCS+), progettati proprio per sostituire la crittografia a curva ellittica in scenari ad alto rischio.

In modo simile a quanto accaduto con Schnorr/Taproot (l’aggiornamento di Bitcoin che ha introdotto firme e script più efficienti e più “privacy-friendly”), è plausibile che anche su questo fronte la comunità Bitcoin contribuisca in modo significativo a selezione, implementazione e standardizzazione di soluzioni quantum-resistant, perché gli incentivi economici sono enormi.

Cosa si sta discutendo in Bitcoin oggi

Bitcoin non ha ancora attivato modifiche “quantum-resistant” a livello di consenso, ma la direzione più pragmatica discussa è una transizione graduale:

• ridurre l’esposizione delle chiavi nel tempo (ad esempio la proposta BIP-360, che in sintesi mira a evitare l’esposizione del key-path spend rendendo l’approccio più “script-spend only”); BIP-360 ha già una testnet sperimentale attiva: non una soluzione definitiva, ma un segnale concreto che l’ecosistema si sta muovendo nella direzione giusta;
• integrare firme realmente post-quantum (es. ML-DSA/Dilithium, SLH-DSA/SPHINCS+) tramite nuove regole/script;
• introdurre nuovi tipi di output/indirizzi compatibili con queste firme (area SegWit v3).

Due problemi diversi: mettere in sicurezza il futuro e mettere in sicurezza il passato

Qui conviene fermarsi, perché sotto l’etichetta “migrazione post-quantum” si nascondono due problemi che non c’entrano quasi nulla l’uno con l’altro.

Il primo è mettere in sicurezza il futuro: dare a Bitcoin indirizzi e firme resistenti ai computer quantistici, e poi spostarci sopra i propri bitcoin. È un problema tecnico e di coordinamento, ma sostanzialmente risolvibile: servono uno standard, un soft fork, wallet aggiornati e qualche anno di tempo. Chi ha le chiavi e segue la vicenda migrerà i suoi fondi, come già in passato si è passati dagli indirizzi “legacy” a SegWit e poi a Taproot.

Il secondo è mettere in sicurezza il passato, ed è un problema di natura completamente diversa: i bitcoin la cui chiave pubblica è già scritta sulla blockchain, alla luce del sole. Nessuno può metterli al riparo al posto del loro proprietario: l’unico modo per proteggerli è che chi ha le chiavi li sposti su un indirizzo quantum-resistant. E se quel proprietario non c’è più, o non segue la questione, o ha perso le chiavi, quei bitcoin restano esposti per sempre.

Non è un dettaglio marginale. Si stima che circa 6,5 milioni di bitcoin — quasi un terzo di quelli esistenti — si trovino oggi su indirizzi con chiave pubblica già visibile. Di questi, circa 1,7 milioni sono in output P2PK (pay-to-public-key), il formato usato agli albori, nel 2009-2010, che scriveva la chiave pubblica direttamente nella transazione, senza nemmeno il passaggio intermedio dell’hash. In quella categoria ricadono anche il milione e passa di bitcoin attribuiti a Satoshi Nakamoto, mai mossi da allora.

Un problema etico, prima ancora che tecnico

Il punto è che quei bitcoin non possono essere messi in sicurezza da nessuno, perché chi li possiede tace da quindici anni. E allora la comunità Bitcoin si trova davanti a una scelta scomoda, in cui entrambe le opzioni tradiscono qualcosa.

Non fare nulla. Il giorno in cui esistesse un computer quantistico all’altezza — il cosiddetto Q-day — il primo che ci mette le mani sopra si prende quei bitcoin. Non sarebbe solo un furto, per quanto enorme: sarebbe uno shock sistemico. Milioni di bitcoin che non si muovevano da tre lustri finirebbero sul mercato tutti insieme, una singola entità si ritroverebbe una quota gigantesca dell’offerta, e la credibilità stessa della scarsità di Bitcoin ne uscirebbe ammaccata.

Congelarli o bruciarli. Si mette la rete al riparo, ma si toglie qualcosa a chi magari quelle chiavi ce le ha ancora e semplicemente non si è fatto vivo. E soprattutto si viola la promessa fondativa di Bitcoin: se hai la chiave, spendi, e nessuno può impedirtelo. Chi critica queste proposte usa senza mezzi termini la parola “confisca”. In più, congelare o bruciare significa che i 21 milioni non sono più davvero 21 milioni.

Nessuna delle due strade è comoda, ed è per questo che la discussione va avanti da anni senza approdare a nulla. Ma vale la pena dirlo con chiarezza: anche non decidere è una decisione, e ha conseguenze precise.

La novità del 2026: attestare la proprietà prima del Q-day

Nel corso del 2026 è emersa un’idea che prova a scardinare questo dilemma, ed è tanto semplice quanto elegante: se non puoi spostare i tuoi bitcoin adesso, almeno dimostra adesso — finché i computer quantistici non esistono ancora — di avere le chiavi. Poi metti una marca temporale su quella dimostrazione.

Il trucco sta tutto lì. Dopo il Q-day chiunque potrà produrre una firma valida per quegli indirizzi, quindi una firma non proverà più nulla. Ma una firma datata prima del Q-day sì: un attaccante, per quanto potente, non può tornare indietro nel tempo a fabbricarla. L’attestazione diventa il discrimine tra il legittimo proprietario e chi si è limitato ad avere la macchina giusta al momento giusto.

Le proposte concrete su questo fronte sono due, e sono complementari.

I PACT (Provable Address-Control Timestamps), proposti da Dan Robinson di Paradigm il 1° maggio 2026. Il proprietario firma un messaggio con la chiave del proprio indirizzo (usando BIP-322, lo standard che permette di firmare senza spendere), ci aggiunge un dato segreto casuale e ancora il tutto alla blockchain con OpenTimestamps. Non serve una transazione, non si paga una commissione, non si rivela né l’indirizzo né l’importo, e nessuno sa che l’attestazione esiste. Se un domani Bitcoin dovesse congelare i fondi vulnerabili, il proprietario presenterebbe una prova a conoscenza zero (una STARK proof) che dice, in sostanza: “avevo un’attestazione valida prima della data X” — e riotterrebbe i suoi bitcoin senza rivelare quali. È l’unica strada che funziona anche per i P2PK: non richiede altro che una firma fatta in tempo utile. In teoria, anche Satoshi — o chiunque abbia ancora quelle chiavi — potrebbe usarla, oggi, senza muovere un satoshi e senza dire una parola.

Il signature lifting, portato dalla ricerca di Alon Sattath e Robert Wyborski a un prototipo funzionante da Project Eleven insieme a Jim Posen (il manutentore di Binius) nel luglio 2026. Qui si dimostra, sempre a conoscenza zero, di conoscere la chiave “genitore” da cui l’indirizzo è stato derivato nell’albero BIP-32 dei wallet moderni. Un computer quantistico sa risalire dalla chiave pubblica a quella privata, ma non sa risalire l’albero di derivazione: la chiave genitore resta fuori portata. Il pregio è che non richiede all’utente di fare nulla in anticipo. Il limite è speculare: funziona solo per chiavi generate da un wallet gerarchico. E i vecchi P2PK del 2009, generati uno alla volta senza alcun seme comune, un genitore non ce l’hanno — proprio i fondi più esposti restano fuori.

Le proposte sul tavolo, e cosa cambia per chi ha bitcoin

Attorno a questi mattoni si sta ricomponendo la discussione sulle scadenze. BIP-361 (Post Quantum Migration and Legacy Signature Sunset), presentato da Jameson Lopp e altri nell’aprile 2026, propone un calendario in due fasi: dopo circa tre anni dall’attivazione non si potrebbe più inviare bitcoin a indirizzi vulnerabili; dopo altri due anni le vecchie firme ECDSA/Schnorr verrebbero sottoposte a vincoli che impediscono il furto, lasciando però aperta la via di recupero tramite le prove crittografiche appena descritte.

Per i P2PK, dove le prove di recupero non funzionano, la proposta di riferimento è diversa e più leggera: Hourglass non congela nulla, ma limita a una sola transazione P2PK per blocco. Se il Q-day arrivasse, quei bitcoin non potrebbero riversarsi sul mercato in poche ore — al massimo circa 7.200 al giorno — dando a mercato e rete il tempo di reagire. Non risolve il problema etico: lo rende gestibile.

Nulla di tutto questo è deciso, e su ogni singola proposta la comunità è divisa. Ma due cose sono cambiate nel 2026. La prima è che la discussione si è spostata dal “se” al “come”. La seconda, più concreta, riguarda chiunque abbia bitcoin: se la strada dell’attestazione si consolida, c’è qualcosa che si può fare solo prima del Q-day, perché dopo non varrebbe più niente. È il raro caso in cui l’azione corretta è gratuita, privata, non pregiudica nulla — e ha senso solo se fatta per tempo.

Una transizione gestibile: due paragoni utili (millennium bug + ban del mining in Cina)

La situazione ricorda più il ”millennium bug” che un collasso improvviso: un rischio potenzialmente serio, ma con un orizzonte temporale tale da permettere audit, standard, aggiornamenti e migrazione — se si lavora per tempo. Gli sviluppi recenti non cambiano la sostanza di questa valutazione: avvicinano l’orizzonte, ma non lo rendono immediato.

Allo stesso tempo, Bitcoin ha già mostrato in passato una resilienza notevole di fronte a shock concreti. Un esempio è il ban del mining in Cina nel 2021: in poche settimane una quota enorme dell’hashrate globale si spense, e molti titoli parlarono di “fine di Bitcoin”. In realtà la rete si adattò automaticamente: la difficoltà di mining scese, i miner si spostarono in altri paesi e, nel giro di mesi, l’hashrate tornò su livelli elevati. Quello che sembrava un colpo letale si rivelò una dimostrazione di robustezza del sistema.

Il punto è che il quantum computing, per quanto più “profondo” sul piano crittografico, è una sfida più lenta e prevedibile di un ban improvviso: non arriva dall’oggi al domani e lascia tempo per pianificare una transizione post-quantum. Se Bitcoin ha saputo assorbire uno shock esogeno rapido e brutale sulla propria infrastruttura di mining, ha anche il tempo e gli strumenti per affrontare una migrazione crittografica annunciata con anni di anticipo — purché si inizi per tempo e con metodo.

Conclusione

Le preoccupazioni sul quantum computing come minaccia “immediata” per Bitcoin restano esagerate rispetto allo stato reale della tecnologia. Gli ultimi lavori tecnici — incluso il whitepaper Google del 31 marzo 2026 — sono un aggiornamento significativo delle stime e un legittimo campanello d’allarme per accelerare la preparazione, ma non un annuncio di pericolo imminente.

L’hardware necessario non esiste ancora. La vulnerabilità, per quanto più vicina che in passato, resta teorica. Le soluzioni post-quantum sono già standardizzate e implementabili. Il vero nodo non è la matematica, ma cosa fare dei bitcoin che nessuno può più mettere al sicuro: ed è lì che si gioca la partita più delicata, perché tocca l’etica del sistema prima ancora della sua tecnica. Il calcolo quantistico è la prossima grande prova per la crittografia moderna: non un motivo di panico, ma un invito a prepararsi con anticipo e con metodo.