La minaccia quantistica per Bitcoin viene misurata con lo strumento sbagliato

Il modo standard di seguire la minaccia quantistica per Bitcoin è guardare il numero di qubit. Ogni annuncio di un nuovo chip viene letto come un passo verso un traguardo, e la domanda implicita è sempre la stessa: quanto manca ancora.

Quello strumento misura la cosa sbagliata. Negli ultimi nove anni il numero che si è mosso di più non è la dimensione di una macchina. È la stima di quanto grande una macchina dovrebbe essere, ed è caduta di oltre tre ordini di grandezza. Tre articoli pubblicati tra marzo e luglio 2026 l'hanno spostata di nuovo, e uno di essi è firmato anche da persone che non vendono affatto hardware quantistico.

Se il traguardo cammina verso il corridore, contare i passi del corridore dice ben poco.

Tre articoli in sei mesi

Prendete lo stato delle conoscenze pubblicate a inizio 2026 e confrontatelo con quello di agosto.

Il 30 marzo 2026 un gruppo guidato da Ryan Babbush a Google Quantum AI, che comprende Craig Gidney e ha tra i coautori Dan Boneh e Justin Drake, ha pubblicato stime di risorse specifiche per la curva di Bitcoin. I loro numeri: 1.200 logical qubits e non più di 90 milioni di Toffoli gates nella variante parsimoniosa in qubit, oppure 1.450 logical qubits e non più di 70 milioni di gate in quella parsimoniosa in gate. Sul piano fisico, meno di mezzo milione di qubit superconduttori con un tasso di errore fisico di 10^-3.

Lo stesso giorno un gruppo distinto, che comprende John Preskill, Manuel Endres e Dolev Bluvstein, ha pubblicato una stima per una famiglia di hardware diversa. Su atomi neutri riconfigurabili, sostengono, l'algoritmo di Shor diventa possibile con appena 10.000 qubit fisici, e un logaritmo discreto su P-256 potrebbe girare in pochi giorni su 26.000.

Il 15 luglio 2026 Han Luo e i suoi coautori hanno pubblicato un circuito che calcola lo stesso logaritmo discreto usando 835 logical qubits, scambiando larghezza contro profondità.

Ora il confronto. Nel 2017 Martin Roetteler, Michael Naehrig, Krysta Svore e Kristin Lauter hanno pubblicato quella che è rimasta la stima di riferimento per quasi un decennio: 2.330 logical qubits e 1,26 x 10^11 Toffoli gates per una curva a 256 bit.

Pubblicazione	Logical qubits	Toffoli gates
Giugno 2017, Roetteler et al.	2.330	1,26 x 10^11
Marzo 2026, Babbush et al., pochi gate	1.450	7 x 10^7
Marzo 2026, Babbush et al., pochi qubit	1.200	9 x 10^7
Luglio 2026, Luo et al.	835	circa 1,66 x 10^9

Il fabbisogno di qubit si è all'incirca dimezzato. Il numero di gate è caduto di un fattore di circa 1.400.

Gli algoritmi sono diventati più economici, la fisica no

Questa è la parte che si perde quando i numeri vengono riportati uno alla volta come singole svolte.

Nulla nella fisica di fondo è cambiato tra il 2017 e il 2026. Nessuna nuova particella, nessun nuovo regime di coerenza, nessuna scoperta che i qubit siano più facili da mantenere di quanto si pensasse. Quello che è cambiato è che le persone sono diventate più brave a scrivere il circuito. La progressione di Gidney lo rende insolitamente leggibile, perché ha rivisto il proprio lavoro e non quello di un altro. Nel 2019 lui e Martin Ekerå stimavano che fattorizzare un numero RSA a 2048 bit avrebbe richiesto 20 milioni di qubit rumorosi e otto ore. A maggio 2025 ha collocato lo stesso compito sotto il milione di qubit e sotto la settimana, una riduzione di venti volte, e ha indicato le ragioni: aritmetica approssimata sui residui, surface codes accoppiati per lo stoccaggio inattivo e coltivazione di magic state. Tutte e tre sono ingegneria del calcolo, non della macchina.

Il risultato di Luo è lo stesso fenomeno spinto al limite, e arriva con un avvertimento che il numero da titolo nasconde. Il loro circuito usa circa venti volte più Toffoli gates della concorrenza ottimizzata nello spazio, e l'articolo non fornisce né la profondità del circuito né una compilazione fisica. Un circuito più stretto che deve girare molto più a lungo non è ovviamente una macchina più facile da costruire. Riportare 835 contro 1.200 come se fossero lo stesso tipo di numero è un errore di categoria, ed è lo stesso che abbiamo trovato dentro il modello di prezzo più citato di Bitcoin, dove il corridoio che tutti citano si è rivelato adattato separatamente rispetto al modello a cui viene attribuito. Un numero che viaggia bene non è la stessa cosa di un numero che significa quello che chi lo trasporta crede.

Messo tutto insieme, il riassunto onesto è che l'attacco è diventato più economico da descrivere. Se sia diventato più vicino al possibile è una domanda separata, e dipende da una curva che si è mossa molto meno.

Due curve, e solo una di esse è una macchina

Mettete la stima a confronto con ciò che qualcuno ha davvero costruito.

I logical qubits corretti dagli errori sono l'unità giusta, perché il numero grezzo di qubit non dice nulla sul fatto che un calcolo lungo sopravviva. Misurata così, la documentazione pubblica è breve. Quantinuum ha dimostrato 4 logical qubits ad aprile 2024, 12 a settembre 2024 e 48 sul suo sistema Helios a novembre 2025, con un tasso di codifica di due a uno su 98 qubit fisici. La roadmap di IBM punta a Starling per il 2029, una macchina specificata a 200 logical qubits capaci di eseguire circuiti da 100 milioni di gate. La roadmap di Quantinuum promette "centinaia di logical qubits" entro il 2030.

Ora tenetelo accanto al fabbisogno. Perfino la stima pubblicata più benevola vuole 835 logical qubits. Quella più dettagliata ne vuole 1.200, tenuti stabili attraverso 90 milioni di Toffoli gates.

Ne seguono due cose, e tirano in direzioni opposte.

La prima è che l'obiettivo di IBM per il 2029 ha la profondità in gate e circa un sesto della larghezza. Una macchina capace di eseguire 100 milioni di gate su 200 logical qubits non è una macchina capace di eseguire 90 milioni di gate su 1.200. Ma è abbastanza vicina da far sembrare il problema residuo una questione di scala e non di invenzione, che è esattamente quello che sostengono i suoi costruttori.

La seconda è che i numeri dimostrati sono ancora abbastanza piccoli da far poggiare l'intero dibattito sulle roadmap. Quarantotto è una cifra reale, misurata, pubblicata. Milleduecento è un obiettivo che nessuno ha mai avvicinato, e la correzione degli errori è storicamente diventata più difficile e non più facile man mano che i sistemi crescono.

La nostra lettura, e si tratta di un'interpretazione e non di un risultato: la domanda sui tempi, così come viene posta di solito, non è rispondibile, e non perché manchino i dati. Non è rispondibile perché uno dei suoi due termini è un prodotto della ricerca e non una grandezza fisica. Il progresso dell'hardware può essere estrapolato male. Una stima che dipende dal prossimo circuito ingegnoso non può essere estrapolata affatto.

Nove minuti sono una minaccia diversa da nove ore

Un numero nell'articolo di Google conta per Bitcoin più di qualsiasi conteggio di qubit, ed è stato ampiamente sottoriportato.

La loro stima del tempo di esecuzione reale è da 18 a 23 minuti per l'attacco completo. Da uno stato preparato, in cui la parte iniziale del calcolo è stata precalcolata, scende a circa 9 a 12 minuti.

Questo attraversa una soglia specifica di Bitcoin. Finché un attacco richiede ore o giorni, sono raggiungibili solo le chiavi pubbliche esposte in modo permanente, che Glassnode ha misurato a maggio 2026 in 1,92 milioni di bitcoin di esposizione strutturale, su 6,04 milioni complessivamente esposti a riposo. Sono monete vecchie, monete dormienti, monete su indirizzi riutilizzati. Doloroso, concentrato, e in gran parte non il saldo attivo di nessuno.

Sotto l'intervallo di blocco l'esposizione diventa universale. Ogni spesa ordinaria pubblica la propria chiave pubblica nel mempool e attende. Un attaccante capace di ricavare una chiave dentro quella finestra può correre contro una transazione concorrente, e il bersaglio non è una categoria di monete ma qualsiasi moneta in movimento. Vale la pena capire la meccanica di questa differenza prima che i numeri significhino qualcosa.

Gli autori mettono l'implicazione in modo abbastanza chiaro da meritare una citazione: "è concepibile che l'esistenza dei primi CRQC venga rilevata sulla blockchain prima di essere annunciata." Una macchina capace ha un primo uso ovvio che è anche la sua stessa rivelazione.

Che cosa dice e che cosa non dice il tetto di Palmer

Contro tutto questo sta il controargomento più interessante del 2026, e merita di essere rappresentato con precisione e non in una delle sue due distorsioni popolari.

Il 16 marzo 2026 il fisico Tim Palmer, del Dipartimento di Fisica dell'Università di Oxford, ha pubblicato su PNAS una teoria chiamata Rational Quantum Mechanics. Propone che lo spazio degli stati della meccanica quantistica sia finemente discreto e non continuo, con la meccanica quantistica standard recuperata come limite singolare di finezza infinita. Da quella discretezza segue una quantità finita che Palmer chiama Qubit Information Capacity: l'informazione contenuta in N qubit cresce linearmente con N, mentre le dimensioni dello spazio degli stati crescono in modo esponenziale, così che oltre una certa soglia non c'è abbastanza informazione nel sistema per specificare nemmeno un bit per dimensione.

Palmer stima quella soglia intorno a 200 per i qubit a punto quantico, 300 per i qubit fotonici e 400 per le trappole ioniche, con un tetto assoluto intorno a 1.000 ricavato da un fotone alla frequenza più bassa che l'età dell'universo consente. Il suo articolo di accompagnamento dichiara la conseguenza in modo diretto: "il vantaggio esponenziale degli algoritmi quantistici che utilizzano la trasformata di Fourier quantistica cesserà nei computer quantistici che utilizzano più di 1.000 qubit perfetti (cioè logical)."

Chiude anche una via di fuga ovvia. La schermatura non aiuta, perché un computer quantistico "sarà sempre accoppiato gravitazionalmente al resto dell'universo" per il principio di equivalenza, il che significa che una macchina sull'altro lato della Luna è soggetta allo stesso limite.

Tre cose vanno dette, e la copertura popolare tende a dirne solo una.

L'articolo è sottoposto a revisione paritaria e pubblicato su PNAS. È una base più solida di quasi ogni altro argomento contrario in questo campo, e liquidarlo come marginale non è corretto.

È anche uno scostamento proposto dalla meccanica quantistica standard e non un risultato al suo interno. Palmer lo presenta come falsificabile, per sua stessa ammissione entro circa cinque anni, e prevede in modo specifico che una macchina che si avvicina alla soglia mostrerà un cedimento caratteristico invece di un arresto netto. Scommetterci significa scommettere che la meccanica quantistica sia sbagliata in un modo che nessuno ha ancora rilevato.

E l'articolo non menziona Bitcoin. Nemmeno una volta. Il suo esempio svolto è RSA-2048, dove il circuito di Shor richiede 2.049 qubit e supera quindi con ampio margine qualsiasi tetto plausibile. L'annuncio dell'articolo da parte dello stesso dipartimento di fisica di Oxford non menziona né Bitcoin né le criptovalute. Estendere l'argomento a secp256k1 è difendibile, dato che anche Shor per i logaritmi discreti si appoggia alla trasformata di Fourier quantistica, ma quell'estensione appartiene ai lettori e non a Palmer.

L'estensione è anche scomodamente stretta. Il tetto di Palmer di circa 1.000 sta ora tra due stime attuali per la curva di Bitcoin, sopra gli 835 di Luo e sotto i 1.200 di Babbush. Nel 2017, con un fabbisogno di 2.330, l'argomento del tetto aveva un margine comodo. Non lo ha più.

L'argomento dei 400 qubit che si smonta da solo

Il risultato di Palmer viene spesso accostato a uno più vecchio come sostegno indipendente, ed è qui che il racconto popolare sbaglia in un modo verificabile.

Nel 2007 il fisico Paul Davies ha pubblicato un articolo che ricava un limite dal contenuto informativo totale dell'universo osservabile. Usando il limite di Seth Lloyd di 10^122 bit, ha osservato che uno stato entangled generico di più di circa 400 particelle avrebbe più componenti di quanti bit abbia l'universo, e ha scritto che questo "segnala un limite fisico fondamentale. Mi sembra che debba essere così."

Il numero è reale e il ragionamento è elegante. Il problema è ciò che viene dopo nello stesso articolo.

Davies lo qualifica subito: "A prima vista il limite di 400 particelle è abbastanza stringente da mettere in difficoltà l'industria del calcolo quantistico. L'analisi appena svolta, però, è eccessivamente semplicistica." Ne dà due ragioni. La dimensionalità di uno spazio di Hilbert non è un invariante, quindi un cambio di base può ridurla. E la misura più rilevante è il numero di parametri indipendenti, non il conteggio grezzo delle dimensioni.

Poi nomina l'eccezione, e l'eccezione è l'intero oggetto di questo articolo. Il calcolo quantistico, scrive, non punta a controllare stati entangled arbitrari ma un sottoinsieme di misura nulla associato a problemi specifici, e questi possono essere specificabili con un algoritmo breve anche quando il numero delle loro ampiezze è astronomico. Il suo esempio è esplicito: "l'algoritmo di Shor per la fattorizzazione, che è algoritmicamente semplice per definizione, poiché il suo stato di input può essere specificato ed esiste una semplice associazione tra i dati di input e lo stato quantistico iniziale."

Davies ha sollevato il limite dei 400 qubit e, nello stesso articolo, ha indicato l'algoritmo di Shor come la cosa più probabile a sfuggirgli. Citarlo come conferma indipendente del fatto che l'algoritmo di Shor fallirà sopra i 400 qubit rovescia quello che ha scritto.

Palmer stesso la gestisce correttamente. Nota la somiglianza numerica tra il suo circa 400 e il circa 400 di Davies e si chiede se sia una coincidenza, rispondendo che secondo lui non lo è. Rivendica un accordo di ordine di grandezza, non un avallo. La distorsione entra più a valle.

Chi misura tutto questo ha qualcosa da vendere

Scriverlo è scomodo e vale in entrambe le direzioni, ed è proprio per questo che vale la pena scriverlo.

Le aziende di hardware quantistico traggono vantaggio dal fatto che la minaccia sia credibile e vicina. Google Quantum AI pubblica le stime che fanno sembrare l'attacco più economico, e Google costruisce le macchine. Project Eleven ad aprile 2026 ha pagato un bitcoin per il più grande attacco quantistico alla crittografia a curva ellittica fino a oggi, che riguardava una chiave da 15 bit, e Project Eleven costruisce anche infrastruttura Bitcoin resistente al quantistico. Blockstream impiega gli autori della principale proposta di firma post-quantistica per Bitcoin e vende infrastruttura Bitcoin.

I media Bitcoin e le aziende Bitcoin traggono vantaggio dalla lettura rassicurante, e lì l'incentivo è almeno altrettanto forte. Un titolo che dice che i computer quantistici non romperanno mai Bitcoin viaggia più lontano in questo settore di uno che dice che la macchina necessaria si è di nuovo rimpicciolita.

Niente di tutto questo rende qualcuno disonesto. L'articolo di Google è accurato, verificabile, e i suoi metodi sono pubblicati. Il premio di Project Eleven ha prodotto un risultato reale e ha riportato la lunghezza della chiave in modo onesto. Il punto è più ristretto: le due curve di questo articolo sono tracciate quasi interamente da parti che traggono vantaggio da dove vengono tracciate, e non esiste un arbitro disinteressato che produca l'uno o l'altro numero.

Vale la pena nominare l'unica eccezione. Palmer è un fisico del clima a Oxford senza alcun interesse commerciale evidente in Bitcoin, nell'hardware quantistico o nella crittografia. È una ragione per leggerlo con attenzione. Non è una ragione per credere alla fisica, che sta o cade da sola.

La battaglia non riguarda la crittografia

Le risposte tecniche in gran parte esistono. Quello che non esiste è l'accordo su a chi si applicano.

La firma sostitutiva è progettata. NIST ha standardizzato ad agosto 2024 uno schema stateless basato su hash, e la proposta SHRINCS di Blockstream, pubblicata come bozza di BIP il 27 agosto 2026, porta un percorso stateful a circa 580 byte con un ripiego stateless a circa 4.300 a 4.500. È praticabile. La proposta dice anche, nel suo stesso testo, che una dimostrazione di sicurezza è ancora in sospeso.

Il disaccordo riguarda le monete che nessuno migrerà. BIP-361, redatto da Jameson Lopp e cinque coautori a febbraio 2026, propone una dismissione a fasi: nessun invio verso indirizzi vulnerabili circa tre anni dopo l'attivazione, e le firme legacy smettono di essere valide circa due anni dopo. La sua stessa motivazione afferma che "oltre il 34% di tutti i bitcoin ha rivelato una chiave pubblica on-chain". Sotto quella proposta, tutto ciò che non si è mosso entro la scadenza è congelato in modo permanente.

Adam Back ha sostenuto il contrario, cioè che aggiornamenti facoltativi più circa un decennio di migrazione volontaria siano più sicuri di una scadenza fissata, sulla base del fatto che gli sviluppatori di Bitcoin si sono coordinati ripetutamente in fretta quando qualcosa è diventato urgente. BIP-360, la proposta più conservativa, aggira del tutto la questione rimuovendo il percorso di spesa vulnerabile senza specificare alcuno schema post-quantistico né alcuna scadenza.

Entrambe le posizioni sono coerenti, e nessuna delle due è un'affermazione crittografica. Una dice che lasciare milioni di bitcoin come taglia permanente è un rischio sistemico per tutti. L'altra dice che un protocollo capace di decidere di smettere di onorare firme valide ha rinunciato a qualcosa di più importante delle monete. È lo stesso dibattito che Bitcoin ha già avuto su chi ha il diritto di cambiare le regole, con una posta molto più alta e un orologio attaccato.

C'è un precedente utile nella direzione opposta. Quando strumenti assistiti dall'IA hanno portato alla luce un'ondata di falle nella periferia software di Bitcoin, lo strato di base non è stato coinvolto, perché la proof of work poggia sulla fisica e non su un'ipotesi matematica. Il calcolo quantistico è l'immagine speculare. Minaccia l'ipotesi matematica e lascia stare la fisica.

Vale la pena tenere in vista un altro precedente, perché è la cosa più vicina a una prova generale che Bitcoin abbia. Una chiave che è stata ricavata non è un bug che un rilascio possa correggere. Bitcoin ha incontrato una versione piccola di quel problema quando una falla del firmware ha prodotto seed che nessun aggiornamento successivo poteva rafforzare a posteriori. La scala era minuscola e il meccanismo era diverso. La forma era identica: una volta che il segreto è raggiungibile, correggere il software che lo ha generato non fa nulla per le monete che ci stanno già dietro. Qualunque percorso di migrazione Bitcoin scelga, deve essere concluso prima che la capacità esista, non dopo, e questo è un vincolo di programmazione e non di crittografia.

Che cosa mostrerebbe che questa lettura è sbagliata

La tesi di questo pezzo è che i tempi del quantistico siano inconoscibili per principio e non semplicemente ignoti, perché uno dei due termini è un prodotto della ricerca. Quattro cose la metterebbero in crisi, e vale la pena enunciarle in anticipo.

Se il numero di logical qubits continua a salire secondo i piani. Se i qubit corretti dagli errori dimostrati passano da 48 alle centinaia entro il 2029 come promettono IBM e Quantinuum, allora l'hardware è dopotutto la curva vincolante ed è estrapolabile. La storia delle stime sarebbe una distrazione.

Se le stime smettono di scendere. Tre revisioni in un decennio sono uno schema, non una legge. Se il fabbisogno di risorse si assesta per diversi anni, il bersaglio ha smesso di muoversi e la distanza residua diventa una distanza reale.

Se una stima sotto i 500 qubit regge a un esame completo. Gli 835 di Luo non hanno un'analisi della profondità. Se qualcuno pubblica un circuito altrettanto stretto con una compilazione fisica completa e questo regge, la distanza sostenuta qui è più piccola di come è descritta.

Se la previsione di Palmer viene messa alla prova e fallisce. Dice che un cedimento dovrebbe comparire man mano che le macchine si avvicinano a mille logical qubits entangled, entro circa cinque anni. Se la meccanica quantistica regge pulita oltre quel punto, l'argomento del tetto è finito e questa lettura perde una delle sue gambe.

E un solo evento renderebbe tutto questo obsoleto in un colpo. Se un output ben fornito e vulnerabile al quantistico si muove senza il suo proprietario, l'argomento smette di riguardare le stime. Fino ad allora, la posizione più difendibile è quella che quasi nessuno trova soddisfacente: l'esposizione è reale e misurabile, la difesa è progettata e non dispiegata, la macchina non esiste, e nessuno può dirvi quando esisterà, comprese le persone che la stanno costruendo.

Questa è anche, in un senso diverso, la domanda meno interessante di tutta la faccenda.