Q-Day per BTC: cosa succede se un computer quantistico compromette Bitcoin?

​Le chiavi pubbliche di oltre 6 milioni di BTC sono già state esposte, rendendo queste monete potenzialmente vulnerabili. Un computer quantistico sufficientemente potente potrebbe, in teoria, ricavare le corrispondenti chiavi private, mettendo a rischio centinaia di miliardi di dollari. Cosa accadrebbe a Bitcoin se una tecnologia del genere emergesse prima che la rete possa passare a una crittografia resistente ai computer quantistici?

Non si tratta di uno scenario in cui la blockchain smette improvvisamente di produrre blocchi o qualcuno riesce a violare la funzione hash crittografica SHA-256. In questo caso, la minaccia principale riguarda le firme digitali.

Oggi solo il titolare di una chiave privata può firmare validamente una transazione BTC, mentre la rete verifica la firma utilizzando la chiave pubblica. L'algoritmo di Shor consente, in teoria, a un computer quantistico sufficientemente potente di ricavare una chiave privata dalla corrispondente chiave pubblica, permettendo a un attaccante di spendere le monete di qualcun altro.

Bitcoin potrebbe quindi continuare a funzionare anche dopo l'inizio dell'«attacco del secolo».

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

I miner continuerebbero a produrre blocchi e i nodi a convalidare le transazioni, ma le firme digitali non dimostrerebbero più in modo affidabile la proprietà di determinate monete. Il problema andrebbe ben oltre i singoli wallet: Bitcoin è già detenuto in ETF, riserve aziendali e altri prodotti finanziari tradizionali.

Come potrebbe essere hackerato Bitcoin?

Oggi indovinare una chiave privata usando un computer tradizionale è praticamente impossibile. Questa difficoltà computazionale è alla base della sicurezza di ECDSA e Schnorr, i due schemi di firma digitale utilizzati in Bitcoin, entrambi basati sulla crittografia a curve ellittiche secp256k1.

I computer quantistici cambiano questa equazione. L'algoritmo di Shor può risolvere il problema matematico alla base di questa crittografia in modo fondamentalmente più rapido. Se un computer quantistico diventasse sufficientemente potente, a un attaccante basterebbe ottenere una chiave pubblica, ricavare la corrispondente chiave privata e firmare una transazione per trasferire i BTC di qualcun altro.

Per la rete, una transazione del genere sembrerebbe valida. La blockchain non sa chi controllasse originariamente la chiave: verifica soltanto la firma matematica.

Dopo un attacco quantistico riuscito, il protocollo attuale non avrebbe quindi modo di distinguere il legittimo proprietario da un attaccante.

Tuttavia, non tutti i wallet sono vulnerabili allo stesso modo. Secondo Glassnode, a maggio 2026 le chiavi pubbliche di circa 6,04 milioni di BTC erano state esposte in modo permanente, pari al 30,2% dell'offerta emessa. La proposta BIP-361 fornisce una stima più alta, superiore al 34%, ma le metodologie differiscono, quindi i dati non sono direttamente confrontabili.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Sono particolarmente vulnerabili i vecchi output P2PK, che rappresentano registrazioni di saldi spendibili, e gli output Taproot P2TR, in cui la chiave pubblica è direttamente disponibile nella struttura dell'output. Sono a rischio anche le monete associate a indirizzi le cui chiavi pubbliche sono state esposte nel corso di transazioni precedenti.

Un wallet del genere potrebbe essere attaccato in anticipo, senza dover agire nei pochi minuti tra la trasmissione di una transazione e la sua conferma. Per gli output le cui chiavi pubbliche restano nascoste dietro un hash, la finestra di attacco si apre solo quando le monete vengono spese. Una volta pubblicata la transazione, l'attaccante deve ricavare la chiave privata e creare una transazione concorrente prima che quella originale venga confermata.

Gli sviluppatori definiscono questi scenari esposizione prolungata ed esposizione breve. Nel primo caso, la chiave pubblica è nota in anticipo, dando all'attaccante molto più tempo. Nel secondo, la finestra limitata aumenta drasticamente la potenza di calcolo necessaria.

Le monete più vecchie presentano un altro problema. Una parte significativa dei BTC attribuiti a Satoshi Nakamoto è custodita in output iniziali le cui chiavi pubbliche sono già state esposte.

Se queste monete iniziassero a muoversi per la prima volta dopo decenni, in seguito all'avvento di un computer quantistico in grado di compromettere la crittografia, il mercato non saprebbe subito se fosse tornato il legittimo proprietario o se qualcuno avesse ricavato le chiavi private.

Le prime ore: dai wallet a Wall Street

La blockchain stessa potrebbe continuare a produrre blocchi. La crisi non inizierebbe con un'interruzione della rete, bensì con la perdita di fiducia nel fatto che una firma digitale appartenga davvero a un determinato utente.

Una delle prime reazioni delle principali piattaforme di trading sarebbe probabilmente imporre restrizioni alle transazioni Bitcoin. Gli exchange e i custodi dovrebbero stabilire quali output fossero già stati compromessi, se fosse possibile spostare le riserve in sicurezza e se la trasmissione di una transazione esponesse le monete a ulteriori rischi.

Allo stesso tempo, i detentori inizierebbero a trasferire i fondi da indirizzi vulnerabili. Se milioni di utenti tentassero di spostare BTC contemporaneamente, la mempool potrebbe congestionarsi gravemente, facendo impennare le commissioni di transazione.

Con un computer quantistico sufficientemente potente, alcuni di questi trasferimenti creerebbero a loro volta una breve finestra di attacco subito dopo la rivelazione della chiave pubblica.

La perdita di fiducia nella proprietà dei Bitcoin avrebbe rapidamente ripercussioni sui prodotti finanziari che detengono l'asset per conto degli investitori. Gli ETF spot su Bitcoin statunitensi detengono circa 1,5 milioni di BTC. Dal punto di vista legale, le quote di questi fondi non scomparirebbero, ma la loro operatività dipende dalla capacità dei custodi di conservare e trasferire l'asset sottostante in sicurezza.

Un attacco quantistico potrebbe compromettere la creazione e il rimborso delle quote degli ETF. Se un custode non potesse trasferire in sicurezza le riserve o garantirne il controllo, il meccanismo di arbitraggio che collega il valore di Bitcoin ai prezzi degli ETF potrebbe interrompersi.

I fondi probabilmente dovrebbero limitare le operazioni finché non fossero in grado di verificare la sicurezza dei propri asset.

Le società quotate si troverebbero ad affrontare problemi simili. Strategy detiene oltre 848.000 BTC: un forte calo dei prezzi o la compromissione di una parte delle sue riserve avrebbe ripercussioni ben più ampie del solo bilancio.

Anche le azioni ordinarie, i titoli privilegiati, le obbligazioni e gli altri strumenti attraverso cui gli investitori ottengono un'esposizione indiretta a Bitcoin subirebbero pressioni.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Anche i derivati continuerebbero a esistere. Un contratto future del CME non scomparirebbe solo perché la fiducia nelle firme digitali è venuta meno. Tuttavia, l'affidabilità del prezzo di riferimento dell'asset sottostante sarebbe messa sotto pressione se diverse piattaforme di trading iniziassero a limitare le transazioni in BTC.

Anche il mining non si fermerebbe necessariamente. Un computer quantistico in grado di attaccare le firme digitali non avrebbe lo stesso vantaggio contro SHA-256. Ma se il prezzo di Bitcoin crollasse, alcune attrezzature di mining diventerebbero non redditizie, l'hashrate diminuirebbe e l'economia del mining metterebbe sotto pressione la sicurezza della rete.

Salvare Bitcoin significa decidere il destino delle monete più vecchie

Esistono già strumenti per prepararsi a questo scenario. Gli esperti del NIST hanno standardizzato schemi di firma digitale post-quantistici, mentre gli sviluppatori di Bitcoin discutono di come preparare il protocollo alla transizione verso una nuova crittografia.

Per esempio, BIP-360 propone un passaggio intermedio: un nuovo tipo di output P2MR senza il percorso della chiave Taproot, vulnerabile agli attacchi quantistici. Consentirebbe di creare output resistenti agli attacchi basati su un'esposizione prolungata e di preparare l'infrastruttura alla possibile introduzione di firme post-quantistiche. Tuttavia, questo approccio da solo non proteggerebbe dal recupero rapido delle chiavi private dopo la trasmissione di una transazione.

Inoltre, introdurre un nuovo formato di output non sarebbe sufficiente. Milioni di monete resterebbero in output più datati, ed è qui che inizia la questione più controversa.

La bozza BIP-361 propone una migrazione in due fasi. Circa tre anni dopo l'attivazione, i fondi conservati negli output legacy potrebbero essere trasferiti solo verso output post-quantistici. Altri due anni più tardi, le regole per spendere le monete ancora protette da ECDSA e Schnorr diventerebbero molto più restrittive.

Per alcuni wallet, gli autori propongono speciali meccanismi di recupero che consentirebbero ai legittimi proprietari di dimostrare la titolarità senza fare affidamento sulle firme vulnerabili attualmente in uso.

Questo approccio proteggerebbe la rete dagli attaccanti, ma creerebbe un altro problema. Se un proprietario non riuscisse a migrare in tempo, perdesse l'accesso alle informazioni di backup o avesse un wallet troppo datato per supportare il recupero, i suoi BTC potrebbero di fatto essere congelati dalle regole del protocollo.

L'alternativa è ancora più drastica: lasciare invariate le regole e consentire a chiunque riesca per primo a ottenere un computer quantistico sufficientemente potente di sottrarre le monete vulnerabili. Per i Bitcoin perduti o gli output iniziali di Satoshi, la rete non avrebbe alcun modo automatico per stabilire chi sia il legittimo proprietario e chi abbia ricavato la chiave decenni dopo.

Visualizza il post su X Caricamento...

Il tweet è stato eliminato dall’autore.

Ma abbiamo salvato tutto 🙂.

Gli sviluppatori stanno discutendo attivamente questa scelta. Alcuni sostengono che le funzionalità resistenti agli attacchi quantistici vadano introdotte in anticipo, evitando però congelamenti obbligatori. Altri sono favorevoli a una scadenza rigida per la migrazione, ritenendo che, quando emergerà un computer quantistico davvero potente, non ci sarà più tempo per un aggiornamento ordinato.

Si stanno valutando anche proposte di recupero più complesse.

Nel 2026, Project Eleven ha presentato un prototipo che utilizza prove a conoscenza zero per dimostrare la titolarità di un vecchio wallet senza fare affidamento sul suo schema di firma esistente. L'approccio è tuttavia ancora sperimentale e non risolve il problema per tutti gli indirizzi iniziali, in particolare quelli creati prima dell'avvento delle moderne frasi seed e dei metodi standardizzati di recupero dai backup.

Un computer quantistico, quindi, non dovrebbe necessariamente mandare Bitcoin fuori uso. Lo scenario ben più pericoloso è che i blocchi continuino a essere generati, ma che le firme digitali esistenti non possano più garantire che le monete siano spese dai rispettivi legittimi proprietari.

Se la transizione alla crittografia post-quantistica iniziasse per tempo, la rete avrebbe modo di migrare gradualmente. Se invece il primo furto di grandi proporzioni avvenisse prima della transizione, un problema tecnico si trasformerebbe immediatamente in una questione finanziaria e politica: Bitcoin dovrebbe decidere non solo come proteggere le nuove transazioni, ma anche chi ha diritto a milioni di BTC già esistenti.