I computer quantistici sono una minaccia per Bitcoin?

Ogni pochi mesi un titolo annuncia che i computer quantistici stanno per rompere Bitcoin, e pochi mesi dopo un altro annuncia che non lo faranno mai. Non possono avere ragione entrambi, e nessuno dei due è superficiale. Il disaccordo è reale, attraversa gruppi di ricerca seri e negli ultimi due anni si è fatto più netto anziché più tenue.

Ciò che rende la domanda in qualche modo rispondibile è che si scompone. Bitcoin non ha una sola esposizione crittografica al calcolo quantistico. Ne ha due, sono attaccate da due algoritmi diversi, e solo una è in pericolo reale. Quasi ogni affermazione confusa su questo tema nasce dal mescolare le due cose.

Due attacchi diversi, non uno

Bitcoin poggia su due tipi di matematica. Usa le funzioni di hash per comprimere i dati in impronte di lunghezza fissa, ed è tra queste che il mining cerca e da queste che sono costruiti gli indirizzi. E usa la crittografia a chiave pubblica per dimostrare la proprietà, che è ciò che fa una firma quando spendi una moneta.

Due algoritmi quantistici prendono di mira queste due famiglie, e non sono ugualmente pericolosi.

Peter Shor pubblicò il suo nel 1994. Risolve una classe specifica di problemi, incluso quello da cui dipende la crittografia a chiave pubblica, in modo esponenzialmente più veloce di qualsiasi metodo classico noto. Contro lo schema di firma di Bitcoin, l'algoritmo di Shor non è un'ottimizzazione. È una soluzione.

Lov Grover pubblicò il suo nel 1996. Cerca in uno spazio non strutturato e offre un'accelerazione pari alla radice quadrata. Una ricerca che richiederebbe a un computer classico 2^256 passi ne richiede circa 2^128 a un computer quantistico che esegue Grover. È un miglioramento enorme in termini matematici e quasi nullo in termini pratici, perché 2^128 resta ben oltre qualsiasi cosa sia calcolabile.

La risposta breve e onesta è quindi che i computer quantistici minacciano il modo in cui Bitcoin dimostra la proprietà, e sfiorano appena il modo in cui Bitcoin produce i blocchi.

Perché il mining non è il punto debole

Il mining è una ricerca. I miner provano quantità enormi di valori candidati, ne calcolano l'hash e cercano un risultato al di sotto di una soglia. È esattamente il tipo di ricerca non strutturata per cui è costruito l'algoritmo di Grover, ed è per questo che l'idea del mining quantistico suona plausibile.

Fallisce su due fronti, ed entrambi sono pratici anziché teorici.

Il primo è la velocità. L'accelerazione di Grover riguarda il numero di operazioni, non il tempo che ciascuna operazione richiede. I gate quantistici funzionano di molti ordini di grandezza più lentamente dei circuiti a funzione fissa dentro un chip di mining. Nel 2025 Chaincode Labs ha messo dei numeri su questo e ha stimato che un miner quantistico costruito su ipotesi ottimistiche raggiungerebbe circa 13,8 gigahash al secondo, più di mille volte più lento di un singolo ASIC moderno a circa 500 terahash al secondo.

Il secondo è che Grover si parallelizza male. Il mining classico scala quasi perfettamente aggiungendo macchine, perché ogni macchina cerca in una fetta indipendente dello spazio. Il vantaggio di Grover è sequenziale, e suddividere la ricerca tra molti computer quantistici erode gran parte del guadagno della radice quadrata.

Non è una conclusione nuova. Aggarwal, Brennen, Lee, Santha e Tomamichel vi erano arrivati in un articolo del 2017 pubblicato su Ledger, e la loro valutazione era che il proof of work di Bitcoin è "relativamente resistente a un'accelerazione sostanziale da parte dei computer quantistici nei prossimi 10 anni". Quella finestra è ormai in larga parte trascorsa, e la conclusione ha tenuto.

La funzione di hash stessa si trova nella stessa posizione. Grover ridurrebbe una ricerca di preimmagine su SHA-256 da 2^256 a circa 2^128 passi, il che non cambia nulla su cui qualcuno possa agire.

Perché le firme sono il punto debole

Lo stesso articolo del 2017 giungeva alla conclusione opposta sull'altra metà di Bitcoin. Lo schema di firma, scrivevano gli autori, "potrebbe essere completamente rotto da un computer quantistico già nel 2027, secondo le stime più ottimistiche".

Il motivo è strutturale. Quando possiedi bitcoin, ciò che possiedi davvero è una chiave privata. Da quella chiave privata il software deriva una chiave pubblica attraverso un'operazione a senso unico su una curva ellittica chiamata secp256k1. A senso unico significa che andare avanti costa poco e tornare indietro è, per un computer classico, impossibile in qualsiasi senso utile. Recuperare una chiave privata da una chiave pubblica su questa curva è un problema chiamato problema del logaritmo discreto su curva ellittica, e non si conosce alcuna scorciatoia classica.

L'algoritmo di Shor è quella scorciatoia. Data una chiave pubblica, un computer quantistico sufficientemente grande potrebbe calcolare la chiave privata corrispondente, e chiunque detenga una chiave privata può spendere le monete che essa controlla. Nel processo non viene infranta alcuna regola di consenso. Il furto sembrerebbe una transazione ordinaria e perfettamente valida, ed è proprio questo a renderlo pericoloso.

Entrambi gli schemi di firma di Bitcoin poggiano sulla stessa curva. ECDSA, usato dal 2009, e Schnorr, introdotto con Taproot nel 2021, differiscono nel modo in cui costruiscono una firma e non nella matematica che protegge la chiave. Passare dall'uno all'altro ha portato a Bitcoin molte cose. La resistenza quantistica non era tra queste.

Una chiave pubblica è a rischio solo quando è visibile

È il punto che la maggior parte della copertura mediatica salta, ed è la differenza tra una catastrofe e un problema gestibile.

L'algoritmo di Shor ha bisogno di una chiave pubblica come input. Non può lavorare a partire da un indirizzo, perché la maggior parte dei tipi di indirizzo Bitcoin non contiene una chiave pubblica. Contiene l'hash di una chiave. La chiave pubblica resta privata fino al momento in cui spendi, e solo allora compare nei dati witness della tua transazione, in modo permanente.

Questo produce due modelli di minaccia molto diversi, e BIP-360 dà loro un nome.

Un attacco a esposizione lunga prende di mira una chiave pubblica che si trova già sulla catena, in piena vista. L'attaccante ha tempo illimitato. Non c'è nulla da fare in fretta, nulla da intercettare, e il proprietario non ha modo di sapere che sta accadendo.

Un attacco a esposizione breve prende di mira la breve finestra in cui una transazione è stata trasmessa ma non ancora confermata. La chiave pubblica è visibile nel mempool, e l'attaccante deve derivare la chiave e far confermare per primo una transazione concorrente, tutto dentro quella finestra. È molto più difficile, e richiede un attacco misurato in minuti anziché in giorni.

Quale modello si applichi a una data moneta dipende interamente dal tipo di output. Gli output Pay-to-Public-Key dei primi anni di Bitcoin contengono la chiave pubblica grezza. Anche gli output Taproot espongono una chiave per progettazione. Qualsiasi indirizzo usato più di una volta ha pubblicato la propria chiave alla prima spesa e ha lasciato esposto il resto. Gli output Pay-to-Public-Key-Hash standard a uso singolo e gli output SegWit nativi non pubblicano nulla finché non si muovono.

Quanti bitcoin sono davvero esposti

Poiché l'esposizione dipende dal tipo di output e dal comportamento degli utenti, può essere misurata. Nel maggio 2026 Glassnode Research ha pubblicato la misurazione pubblica più accurata finora, definendo esposta una moneta se "la chiave pubblica necessaria a spenderla è già visibile on-chain".

Il loro risultato, al 20 maggio 2026:

Due cose saltano all'occhio. La quota maggiore del problema è comportamento anziché progettazione del protocollo, il che significa che buona parte di esso può essere risolta dagli utenti senza alcuna modifica a Bitcoin. E quasi il settanta per cento di tutti i bitcoin non è affatto esposto a riposo.

Esistono altre misurazioni e non concordano, cosa che vale la pena capire anziché sorvolare. Nel marzo 2026 il gruppo di ricerca di Google ha riferito che "poco più di 1,7 milioni di bitcoin (quasi il 9% di tutti i bitcoin) è protetto da locking script P2PK", e ha stimato fino a 2,3 milioni le disponibilità dormienti vulnerabili al quantistico su tutti i tipi di script. Nell'aprile 2026 il Coinbase Quantum Advisory Council ne ha stimati 6,9 milioni. BIP-361 afferma che "oltre il 34% di tutti i bitcoin ha rivelato una chiave pubblica on-chain".

Questi numeri non sono in conflitto. Misurano cose diverse. Esposizione strutturale, esposizione dormiente, esposizione totale a riposo e totale delle chiavi mai rivelate sono quattro domande diverse con quattro risposte diverse. Qualsiasi articolo che ne citi uno senza dire quale grandezza sta misurando ti dice meno di quanto sembri.

Che cos'è un logical qubit, e perché il numero è così piccolo

I computer quantistici vengono di solito venduti in base al numero di qubit fisici, e quel numero è quasi privo di significato per la crittografia.

I qubit fisici sono fragili. Perdono il proprio stato interagendo con l'ambiente, e i loro gate commettono errori a tassi che nell'informatica classica sarebbero impensabili. Eseguire un calcolo lungo su qubit fisici grezzi produce rumore, non risposte.

La soluzione è la correzione quantistica degli errori, che distribuisce l'informazione di un affidabile logical qubit su molti qubit fisici e rileva e corregge continuamente gli errori. Il rapporto è l'overhead, ed è tutto ciò che conta. Il bivariate bicycle code di IBM racchiude 12 logical qubits in 288 qubit fisici, circa 24 a uno. I surface code, l'approccio dietro la maggior parte delle stime sui superconduttori, sono considerevolmente più costosi per logical qubit ma meglio compresi.

La domanda significativa non è quindi mai quanti qubit abbia una macchina. È quanti logical qubits corretti dagli errori riesca a mantenere, in entanglement, per la durata di un calcolo lungo.

Misurato così, lo stato dell'arte è modesto. Il sistema Helios di Quantinuum, lanciato il 5 novembre 2025 con 98 qubit fisici, ha dimostrato 48 logical qubits pienamente corretti dagli errori a un tasso di codifica di due a uno. È stato un balzo notevole rispetto ai 12 che l'azienda aveva dimostrato nel settembre 2024, che era a sua volta un balzo rispetto ai 4 dell'aprile 2024. La roadmap pubblicata da IBM punta a Starling nel 2029, una macchina destinata a eseguire 100 milioni di gate su 200 logical qubits.

Quanto computer quantistico richiederebbe l'attacco

A fronte di quei numeri, ecco cosa la ricerca pubblicata dice che richiederebbe un attacco alla curva di Bitcoin. Le cifre si sono mosse parecchio.

Pubblicazione	Fonte	Logical qubits	Toffoli gates
Giugno 2017	Roetteler, Naehrig, Svore, Lauter	2.330	1,26 x 10^11
Marzo 2026	Babbush et al., variante a pochi gate	1.450	7 x 10^7
Marzo 2026	Babbush et al., variante a pochi qubit	1.200	9 x 10^7
Luglio 2026	Luo et al.	835	circa 1,66 x 10^9

L'ultima riga merita una cautela. Luo e coautori hanno ridotto la larghezza del circuito scambiandola con il numero di gate, usando circa venti volte più operazioni dei progetti concorrenti, e il loro articolo non indica né la profondità del circuito né una compilazione fisica. Meno qubit non significa una macchina più facile se ciascuno di essi deve lavorare molto più a lungo.

Le stime sulle risorse fisiche si sono mosse nella stessa direzione. Nel 2019 Craig Gidney e Martin Ekerå stimavano che fattorizzare un numero RSA a 2048 bit avrebbe richiesto 20 milioni di qubit rumorosi e otto ore. La revisione dello stesso Gidney del 2025 la collocava sotto il milione di qubit e sotto la settimana. Nel marzo 2026 il gruppo guidato da Google ha stimato meno di mezzo milione di qubit fisici superconduttori specificamente per la curva di Bitcoin, e un gruppo separato che includeva John Preskill ha stimato che 26.000 qubit riconfigurabili ad atomi neutri potrebbero calcolare un logaritmo discreto P-256 in pochi giorni.

Una cifra dell'articolo di Google conta più delle altre per Bitcoin. L'attacco, una volta che la macchina è stata preparata con il precalcolo, richiederebbe all'incirca da nove a dodici minuti. È meno del tempo medio tra un blocco e l'altro, il che significa che un attacco a esposizione breve dal mempool smette di essere teorico.

Le stime scendono più in fretta di quanto l'hardware cresca

Metti le due serie di numeri una accanto all'altra e compare uno schema che è facile non vedere quando gli articoli si leggono uno alla volta.

Tra il 2017 e il 2026 i logical qubits ritenuti necessari sono scesi da 2.330 a 1.200, poco meno della metà. Nello stesso periodo il numero di gate è sceso da 1,26 x 10^11 a 9 x 10^7, un fattore di circa 1.400. Nel frattempo il numero di logical qubits corretti dagli errori che qualcuno abbia effettivamente dimostrato è passato da praticamente zero a 48.

Entrambe le curve si muovono. La stima si muove più in fretta della macchina.

È la cosa più importante da capire sulla tempistica, ed è anche il motivo per cui i ricercatori onesti si rifiutano di dare una data. La distanza rimanente non è un bersaglio fisso a cui l'hardware si avvicina a un ritmo misurabile. È un bersaglio che continua a farsi incontro all'hardware man mano che gli algoritmi migliorano, e nessuno sa di quanto ancora possa avvicinarsi.

Allo stesso tempo, il bilancio pratico fa riflettere. Una rassegna del 2025 di ciò che è stato effettivamente dimostrato ha rilevato che "solo interi molto piccoli N ≤ 35 sono stati fattorizzati con successo con l'algoritmo di Shor su un QC digitale", e ha liquidato le affermazioni più ambiziose come fondate su semplificazioni che le rendono "equivalenti al lancio di una moneta". Nell'aprile 2026 Project Eleven ha pagato un bitcoin per il più grande attacco quantistico alla crittografia a curva ellittica realizzato finora. La chiave violata era lunga 15 bit. Quelle di Bitcoin sono da 256.

Che cosa Bitcoin sta costruendo contro tutto questo

Il lavoro procede su due fronti distinti, e rispondono a domande diverse.

Il primo fronte è la firma sostitutiva. Gli standard di riferimento esistono già. Il 13 agosto 2024 il NIST ha pubblicato FIPS 203, 204 e 205, e FIPS 205 standardizza SLH-DSA, uno schema stateless basato su hash derivato da SPHINCS+. Le firme basate su hash sono interessanti per Bitcoin perché poggiano soltanto sulla sicurezza delle funzioni di hash, che è la parte della crittografia di Bitcoin che il calcolo quantistico non minaccia in modo significativo.

Il problema è la dimensione. Le firme Schnorr di Bitcoin sono da 64 byte. Le firme SLH-DSA arrivano a diverse migliaia. Ogni byte compete per lo stesso spazio limitato nel blocco, quindi una sostituzione ingenua costerebbe a Bitcoin gran parte della sua capacità di transazione.

È il problema che SHRINCS è costruito per risolvere. Mikhail Kudinov e Jonas Nick di Blockstream Research l'hanno proposto nel dicembre 2025 e il 27 agosto 2026 hanno pubblicato una bozza di BIP per un opcode OP_CHECKSHRINCS. Combina SPHINCS+ per la firma stateless con una costruzione XMSS sbilanciata per la firma stateful, e la chiave pubblica è un hash di entrambe. Il percorso stateful produce firme di circa 580 byte. Se lo stato va perduto, la stessa chiave ripiega sul percorso stateless, tra circa 4.300 e 4.500 byte.

Il punto critico è che cosa significhi "stateful" nella pratica. Una chiave basata su hash con stato può firmare una sola volta da ciascuna posizione interna, e il wallet deve ricordare quali posizioni ha usato. Ripristinare un vecchio backup riporta quel contatore a un valore già consumato, e firmare di nuovo da lì può compromettere la chiave. Nick descrive la modalità di guasto senza giri di parole: un contatore riportato indietro significa che "una firma successiva riutilizza quello stato, il che può compromettere i fondi dell'utente". È uno scostamento reale dal modo in cui funziona oggi il ripristino tramite seed phrase, dove un backup ripristina tutto ciò che serve e non è richiesto nient'altro.

Il secondo fronte è la migrazione, e non è affatto un problema di crittografia. Due proposte in bozza lo inquadrano.

BIP-360, redatto da Hunter Beast, Ethan Heilman e Isabel Foxen Duke, è il passo conservativo. Definisce un nuovo tipo di output chiamato Pay-to-Merkle-Root che rimuove la spesa tramite key path di Taproot, vulnerabile al quantistico. Non specifica deliberatamente alcuno schema di firma post-quantistico, si descrive come un primo passo e rinvia la questione della firma a una proposta successiva.

BIP-361, redatto da Jameson Lopp e cinque coautori e creato l'11 febbraio 2026, è quello aggressivo. Propone una dismissione a fasi. Circa tre anni dopo l'attivazione, l'invio a indirizzi vulnerabili al quantistico sarebbe vietato. Circa due anni dopo, le firme legacy smetterebbero di essere validate, e qualsiasi bitcoin non migrato resterebbe congelato in modo permanente.

È in quella seconda fase che la questione tecnica diventa politica, perché significa decidere che cosa accade a diversi milioni di bitcoin i cui proprietari quasi certamente non torneranno. Adam Back ha sostenuto la tesi opposta, e cioè che aggiornamenti facoltativi e circa un decennio di migrazione volontaria siano più sicuri di una scadenza fissata, perché gli sviluppatori di Bitcoin sanno coordinarsi in fretta se la minaccia accelera. Nessuna delle due posizioni ha il consenso, e sarà la questione di come Bitcoin cambia a deciderla.

Quello che ancora nessuno sa

Restano tre incertezze oneste, e puntano in direzioni diverse.

La prima è se l'hardware arriverà. Ogni stima qui sopra presuppone che i logical qubits corretti dagli errori possano essere scalati da 48 a oltre mille restando in entanglement per tutto un calcolo di decine di milioni di gate. Nessuno ha dimostrato che sia possibile. Le roadmap dicono di sì, e in questo campo le roadmap hanno una lunga storia di slittamenti.

La seconda è se esista un tetto. Nel marzo 2026 il fisico di Oxford Tim Palmer ha pubblicato su PNAS una teoria secondo cui lo spazio degli stati della meccanica quantistica è finemente discreto anziché continuo, il che limiterebbe il numero di qubit utilmente in entanglement a circa 200 per i punti quantici, 300 per i qubit fotonici, 400 per le trappole ioniche, e intorno al migliaio come limite superiore assoluto. Sopra quel tetto, sostiene, gli algoritmi che dipendono dal distribuire un calcolo sull'intero spazio degli stati perdono il loro vantaggio. Se la teoria è corretta, la fattorizzazione di grandi numeri non avverrà mai.

Tre cose al riguardo meritano di essere dette chiaramente. L'articolo è sottoposto a revisione paritaria, il che è più di quanto possa dire la maggior parte delle affermazioni controcorrente in questo ambito. Propone anche uno scostamento dalla meccanica quantistica standard, quindi è una posizione minoritaria e non la visione consolidata, e Palmer la presenta come falsificabile entro circa cinque anni. E l'articolo non menziona Bitcoin da nessuna parte. Il suo oggetto è RSA-2048.

Accanto a essa viene spesso citato un argomento più vecchio. Nel 2007 il fisico Paul Davies ricavò un limite di circa 400 particelle in entanglement dal contenuto informativo totale dell'universo osservabile. Quello che di solito si tralascia è che Davies definì subito la propria analisi "eccessivamente semplicistica", e indicò l'algoritmo di Shor come la probabile eccezione, perché il suo stato di input è "algoritmicamente semplice per definizione". Letto per intero, l'argomento sostiene un tetto rigido molto meno di quanto suggerisca il suo riassunto abituale.

La terza incertezza è se Bitcoin riesca a muoversi in tempo. La migrazione si misura in anni anche sotto ipotesi ottimistiche, e richiede che wallet, exchange, custodi e singoli utenti agiscano. I regolatori hanno avviato il proprio orologio. Le linee guida di transizione del NIST dichiarano ECDSA deprecato dopo il 2030 e non più ammesso dopo il 2035, il che fissa una data per il movimento del mondo più ampio, indipendentemente da ciò che Bitcoin deciderà.

Nulla di tutto questo si risolve in un sì o in un no. Si risolve in una forma: un'esposizione specifica e ben compresa in una parte del sistema, una popolazione misurabile di monete a rischio, una difesa progettata ma non ancora messa in campo, e una macchina che non esiste e che forse si potrà costruire, forse no. L'analisi più estesa di come si muovono quei numeri ripercorre che cosa le linee di tendenza sostengano davvero, e un saggio a parte pone la domanda che sta sotto tutto, e cioè se sostituire uno schema di firma cambierebbe Bitcoin.