La firma non è il sistema

Peter Shor ha pubblicato il suo algoritmo nel 1994. Nei trentadue anni trascorsi da allora, il numero più grande che qualcuno abbia fattorizzato con esso su hardware quantistico reale è 35.

Vale la pena leggere quella frase due volte, perché non è un espediente retorico e non è un dato scelto ad arte. Una rassegna del 2025 firmata da Dennis Willsch e sei coautori ha passato in esame l'intera letteratura pubblicata e ha rilevato che "solo numeri interi molto piccoli N ≤ 35 sono stati fattorizzati con successo con l'algoritmo di Shor su un QC digitale". Gli autori vanno oltre. Esistono affermazioni relative a numeri più grandi, scrivono, ma gli esperimenti che le sostengono "spesso poggiano su un certo tipo di eccessiva semplificazione che li rende equivalenti al lancio di una moneta". E perfino per 15, 21 e 35 osservano che i circuiti "potrebbero non essere stati trovati senza una conoscenza preliminare della risposta".

Trentadue anni. Trentacinque.

La macchina che non ha mai fattorizzato 36

Voglio essere cauto su ciò che quel numero dimostra e non dimostra, perché la tentazione di brandirlo come una clava è forte e brandirlo sarebbe disonesto.

Non dimostra che i computer quantistici siano impossibili. Dimostra che nessuno ne ha ancora costruito uno di uso generale abbastanza grande da essere interessante, cosa che nel settore tutti già ammettono. La distanza tra 35 e RSA-2048 non è una distanza di ambizione. È una distanza in logical qubits con correzione degli errori, e colmarla è un programma di ingegneria dichiarato, finanziato, ben organizzato e portato avanti da persone credibili.

Ma quel numero fa anche qualcos'altro, ed è la ragione per cui continuo a tornarci. Calibra. Quando un titolo dice che i computer quantistici sono a cinque anni dal violare Bitcoin, la domanda onesta è: cinque anni a partire da quale punto di partenza? La risposta, misurata sui risultati anziché sulle tabelle di marcia, è trentacinque.

C'è un secondo dato dello stesso tipo, ed è più direttamente rilevante. Nell'aprile 2026 Project Eleven ha pagato un bitcoin per il più grande attacco quantistico mai portato a termine contro la crittografia a curva ellittica. La chiave caduta era lunga 15 bit. Le chiavi di Bitcoin sono da 256 bit. Project Eleven, a suo merito, ha riportato il numero in chiaro anziché nasconderlo, e ha presentato la distanza residua come un problema di ingegneria e non di fisica.

Forse hanno ragione a dire che è ingegneria. I problemi di ingegneria richiedono comunque tempo, e questo sta richiedendo tempo da tre decenni.

Trentadue anni di arrivi imminenti

Lo schema che trovo più istruttivo non è che le previsioni siano state sbagliate. È chi le ha fatte e con quanta cura.

Nel 2017 cinque ricercatori seri hanno pubblicato su Ledger un articolo che esaminava esattamente questa domanda. Aggarwal, Brennen, Lee, Santha e Tomamichel concludevano che la proof of work di Bitcoin era al sicuro per un decennio, cosa che si è confermata, e che lo schema di firma "potrebbe essere completamente violato da un computer quantistico già nel 2027, secondo le stime più ottimistiche".

Il 2027 è l'anno prossimo. La stima ottimistica riguardava una macchina che, mentre scrivo, arriva a 48 logical qubits con correzione degli errori come stato dell'arte pubblico, contro un fabbisogno che va da alcune centinaia a un paio di migliaia.

Non è una trappola dialettica. Gli autori hanno detto ottimistiche, intendevano ottimistiche, e riportavano il limite superiore del settore stesso anziché inventarne uno. È esattamente questo il punto. La stima pubblicata più aggressiva del settore, prodotta da persone attente e in buona fede, era sbagliata di molto, ed era sbagliata nella direzione da cui dipendono i finanziamenti del settore.

Non credo che si tratti di corruzione. Credo sia ciò che accade quando una disciplina deve giustificarsi ogni anno davanti a chi tiene i cordoni della borsa, e quando la risposta onesta a "quando" è "non lo sappiamo". Nessuno ottiene un finanziamento dicendo questo. E la stessa pressione agisce al contrario dall'altra parte: una pubblicazione dedicata a Bitcoin che titola "i computer quantistici non violeranno mai Bitcoin" ottiene più attenzione di una che titola "la macchina necessaria si è di nuovo rimpicciolita". A entrambi i pubblici viene servito ciò per cui sono venuti.

Quindi la prima metà della mia posizione è semplicemente questa. Su una domanda in cui ogni parte dotata di microfono ha un interesse nella risposta, i risultati sono l'unica cosa non in vendita, e i risultati dicono 35 e 15 bit.

L'ipotesi che non arrivi mai

Veniamo ora alla possibilità più interessante, quella che a mio avviso merita molta più attenzione di quanta ne riceva.

Ogni argomento esposto sopra riguarda il ritardo. Esiste un argomento separato, pubblicato quest'anno in una sede seria da qualcuno che non ha alcun interesse nell'esito, secondo cui la macchina potrebbe non essere costruibile affatto.

Tim Palmer è un fisico di Oxford. Nel marzo 2026 PNAS ha pubblicato la sua teoria della Rational Quantum Mechanics, che propone che lo spazio degli stati della fisica quantistica sia finemente discreto anziché continuo, e che la meccanica quantistica standard sia ciò che si ottiene nel limite singolare in cui la discretezza svanisce. La conseguenza che ne trae è precisa: l'informazione disponibile in N qubit cresce linearmente con N, mentre le dimensioni che quei qubit dovrebbero riempire crescono esponenzialmente, sicché oltre una certa soglia lo stato semplicemente non può essere specificato. Colloca quella soglia intorno a 200 per i qubit a punto quantico, 300 per quelli fotonici, 400 per le trappole ioniche, e fissa un tetto assoluto intorno a 1.000. Oltre quel punto, gli algoritmi che dipendono dalla distribuzione di un calcolo sull'intero spazio degli stati smettono di avere un vantaggio esponenziale.

Palmer chiude anche l'ovvia via di fuga. Non ci si può isolare abbastanza da sottrarsi al problema, perché per il principio di equivalenza un computer quantistico "sarà sempre accoppiato gravitazionalmente al resto dell'universo". Costruirlo sulla faccia nascosta della Luna non cambia nulla.

Se Palmer ha ragione, non esiste alcun Q-Day. Non uno rinviato. Non uno lontano. Nessuno.

Voglio dire con chiarezza che cosa penso di tutto questo, e poi dire con altrettanta chiarezza perché non intendo costruirci sopra una posizione.

Che cosa penso: è l'argomento più solido dell'intero dibattito, ed è al tempo stesso sopravvalutato nelle conclusioni e poco letto. Sopravvalutato, perché il suo articolo non nomina Bitcoin da nessuna parte, nemmeno una volta, e non lo nomina nemmeno l'annuncio del suo stesso dipartimento. Il suo esempio di lavoro è RSA-2048. Poco letto, perché è sottoposto a revisione paritaria su PNAS, il che è molto più di quanto si possa dire della maggior parte di ciò che circola come scetticismo quantistico, e perché Palmer è un fisico del clima senza alcun interesse commerciale in Bitcoin, nell'hardware quantistico o nella crittografia. Quasi nessun altro in questa discussione può dire altrettanto.

Perché non intendo costruirci sopra: perché Palmer stesso non vorrebbe che lo facessi. Presenta la teoria come falsificabile entro circa cinque anni e prevede una firma osservabile specifica man mano che le macchine si avvicinano alla soglia. Una teoria offerta come scommessa contro il modello standard della meccanica quantistica è una teoria che potrebbe perdere. Trattarla come una rassicurazione è esattamente la risposta sbagliata da dare a uno scienziato che ti porge un'affermazione verificabile.

E c'è una lezione minore nascosta nel modo in cui il suo argomento viene ripetuto. Il valore di circa 400 di Palmer viene spesso accostato a un risultato del 2007 di Paul Davies, che ricavò una cifra simile dal contenuto informativo dell'universo, e l'accostamento viene presentato come conferma indipendente. Non lo è, non del tutto. Davies definiva la propria analisi "eccessivamente semplicistica" appena un paragrafo dopo, e indicava l'algoritmo di Shor come la cosa che più probabilmente sfuggirebbe al suo limite, perché il suo stato di ingresso è "algoritmicamente semplice per definizione". Palmer tratta la questione in modo onesto e sostiene soltanto che l'accordo numerico difficilmente sia una coincidenza. Chi cita Davies come secondo testimone per lo più non ha letto oltre l'abstract.

Quindi: un tetto permanente è possibile? Sì, e per la prima volta è una possibilità seria, pubblicata e falsificabile anziché una speranza. È qualcosa su cui riposare? No. La formulazione onesta è che ora abbiamo due domande aperte invece di una. Non sappiamo quando. E non sappiamo se.

L'obiezione più forte a tutto quello che ho appena detto

Ecco l'argomento che porterei se fossi dall'altra parte, e credo che sia un buon argomento.

Nulla di quanto sopra affronta la tendenza. Tra il 2017 e il 2026 la stima pubblicata di ciò che serve per un attacco alla curva di Bitcoin è scesa da 2.330 logical qubits e 1,26 x 10^11 operazioni di gate a 1.200 logical qubits e 9 x 10^7. Il conteggio dei gate è calato di un fattore pari a circa 1.400. Craig Gidney ha rivisto la propria stima per RSA-2048 da 20 milioni di qubit fisici a meno di un milione nel giro di sei anni. Nel marzo 2026 un gruppo che comprendeva John Preskill ha sostenuto che 26.000 qubit ad atomi neutri farebbero un lavoro paragonabile in pochi giorni. Non sono comunicati stampa. Sono articoli, con metodi, che altri possono verificare.

L'argomento nella sua forma più forte prosegue: indicare 35 è come indicare i 37 metri dei fratelli Wright e concluderne che il volo transatlantico è speculativo. I primi risultati in un campo sono sempre imbarazzanti, fino al momento in cui non lo sono più, e l'intervallo tra imbarazzante e ordinario è stato storicamente breve una volta che la correzione degli errori supera la propria soglia.

E c'è un argomento sui tempi che è davvero scomodo. La migrazione richiede anni. Glassnode ha misurato 6,04 milioni di bitcoin esposti a riposo nel maggio 2026. Se il lavoro comincia solo quando la minaccia è visibile, comincia troppo tardi, il che significa che il momento razionale per agire è sempre anteriore al momento in cui agire sembra giustificato. Attendere la certezza è una strategia che garantisce di arrivare tardi.

Accetto gran parte di tutto questo. Credo che l'argomento della tendenza sia la cosa più forte che sia stata detta sull'argomento, e credo che l'argomento sui tempi sia semplicemente corretto: il lavoro di ingegneria dovrebbe procedere ora, a prescindere da ciò che ciascuno crede sulle date. Se il disaccordo fosse tutto qui, non ci sarebbe alcun saggio da scrivere.

Che cosa dovrebbe davvero cambiare in Bitcoin

Ma il disaccordo non è tutto qui, perché sotto l'argomento temporale si nasconde un'affermazione molto più ampia e molto più vaga, ed è quella che davvero smuove le persone. L'affermazione è che un computer quantistico cambierebbe Bitcoin.

Quindi siamo concreti su che cosa cambierebbe.

Bitcoin dimostra la proprietà con una firma su una curva ellittica. Se quella curva diventa violabile, Bitcoin aggiunge uno schema di firma che non lo è. Il candidato principale, la proposta SHRINCS di Blockstream, poggia interamente su funzioni hash, che sono la parte della crittografia di Bitcoin che il calcolo quantistico non minaccia in modo significativo. Il NIST ha standardizzato uno schema della stessa famiglia nel 2024. Le firme diventano più grandi. I wallet diventano più complicati. Una parte della gestione dello stato è davvero sgradevole.

Questo è il cambiamento. Un modo diverso di dimostrare che il titolare di una chiave ha autorizzato una transazione.

Ora elenchiamo ciò che non cambia. L'offerta resta limitata a 21 milioni, perché quella è una regola di consenso e nessuno schema di firma la tocca. Chiunque può ancora far girare un nodo e verificare l'intera catena in modo indipendente, perché il costo della verifica è vincolato dalla dimensione del blocco e non dalla curva su cui poggiano le firme. Nessuno può gonfiare l'offerta, perché un nuovo formato di firma non conferisce quel potere a nessuno. I blocchi restano ordinati dalla proof of work, che è fisica anziché matematica e che nessun algoritmo quantistico accelera in modo significativo. La difficoltà continua ad aggiustarsi. Gli halving continuano a verificarsi secondo il calendario previsto.

Ogni proprietà che rende Bitcoin degno di discussione sopravvive intatta alla transizione.

Perché questo non è un cambiamento

C'è qui una distinzione che il dibattito continua a far collassare, e credo che farla collassare sia la fonte di gran parte della paura.

Un sistema ha regole e ha strumenti. Le regole sono ciò che il sistema promette. Gli strumenti sono il modo in cui attualmente mantiene quelle promesse. Bitcoin ha già sostituito strumenti senza che nessuno sostenesse che avesse smesso di essere Bitcoin. È passato da Pay-to-Public-Key a Pay-to-Public-Key-Hash. Ha aggiunto SegWit. Ha aggiunto le firme Schnorr con Taproot nel 2021, che era una sostituzione dello schema di firma, esattamente la categoria di cambiamento di cui stiamo parlando, e nessuno ha scritto un saggio per chiedersi se Bitcoin avesse cessato di esistere.

La ragione per cui nessuno lo ha fatto è che la promessa non ha mai menzionato ECDSA. Quando detieni bitcoin, ciò su cui fai affidamento è che l'offerta sia fissa, che le regole valgano allo stesso modo per tutti, che tu possa verificarle da solo, e che nessuno possa prendere il tuo saldo o stamparne altro. Nessuna di queste frasi contiene la parola firma.

Satoshi lo aveva capito nel 2010, prima che nulla di tutto ciò fosse urgente. Alla domanda su che cosa sarebbe successo se SHA-256 fosse stato violato, la risposta non fu crittografica. Fu procedurale: "Se il cedimento della funzione hash arrivasse gradualmente, potremmo passare a una nuova funzione hash in modo ordinato. Il software verrebbe programmato per iniziare a usare una nuova funzione hash dopo un certo numero di blocco. Tutti dovrebbero aggiornare entro quel momento." È un piano di manutenzione, scritto con visibile calma, sul cedimento della primitiva su cui poggia l'intero sistema. Il sistema è stato progettato nel presupposto che i suoi strumenti avrebbero prima o poi avuto bisogno di essere sostituiti.

Un problema difficile è la stessa cosa di un problema esistenziale? No, e confondere le due cose è il modo in cui un progetto di ingegneria di cinque anni finisce per essere discusso come un evento di estinzione.

L'unica parte che dovrebbe spaventarvi

Ho sostenuto che sostituire lo schema di firma è un cambio di strumento e non un cambiamento reale. Vi devo il caso in cui quell'argomento cade, perché cade davvero, e cade nel punto in cui quasi nessuno sta guardando.

La BIP-361, redatta nel febbraio 2026 da Jameson Lopp e cinque coautori, propone una scadenza. Circa tre anni dopo l'attivazione, niente più invii verso indirizzi vulnerabili al quantistico. Circa due anni dopo, le firme legacy smettono di essere validate e tutto ciò che non è stato spostato viene congelato. In modo permanente.

Il ragionamento non è stupido e non farò finta che lo sia. Diversi milioni di bitcoin fermi su chiavi pubblicamente esposte sono una taglia permanente, e il giorno in cui esistesse una macchina in grado di riscuoterla, il furto che ne seguirebbe sarebbe visibile a tutti e produrrebbe un danno che nessun "era sempre stato tecnicamente possibile" può riparare. Congelare monete i cui proprietari sono quasi certamente morti o perduti è, secondo quella lettura, la cosa responsabile da fare.

Ma guardate che cosa richiede. Richiede che la rete accetti di smettere di onorare firme che sono per il resto perfettamente valide, su saldi appartenenti a persone che non hanno fatto nulla di male se non omettere di agire. Questo non è un cambio di strumento. È la rete che stabilisce che un saldo può essere revocato da un accordo sociale sufficientemente ampio, data una ragione sufficientemente buona. E una volta stabilito questo, la domanda interessante non è se la ragione fosse buona. È che cosa conterà come ragione abbastanza buona la volta successiva.

Adam Back ha sostenuto l'alternativa, cioè che aggiornamenti facoltativi e circa un decennio di migrazione volontaria siano più sicuri di una scadenza programmata, sulla base del fatto che gli sviluppatori di Bitcoin si sono già coordinati in fretta quando qualcosa è diventato urgente. La BIP-360 imbocca la strada conservativa: rimuove il percorso di spesa vulnerabile e non fissa alcuna scadenza.

Trovo la proposta di congelamento molto più gravida di conseguenze di qualunque conteggio di qubit, e noto che riceve una frazione minima dell'attenzione. Un computer quantistico toglierebbe monete a persone che hanno esposto le proprie chiavi. Una scadenza toglie monete a persone che hanno esposto le proprie chiavi, e lo fa per consenso, in anticipo, deliberatamente. Solo una delle due è Bitcoin che cambia.

Che cosa dovrebbe essere vero perché io abbia torto

Tre cose, e preferisco nominarle ora piuttosto che vedermele ricordare più tardi.

Se una macchina mantiene mille logical qubits attraverso un circuito profondo. Palmer dice che non può accadere e che il cedimento dovrebbe essere visibile lungo la strada. Se accade in modo pulito, l'argomento del tetto è morto, il ramo del "mai" si chiude, e la questione torna a ridursi a una data. Dovrei dirlo.

Se il congelamento avviene e non ne segue nulla di male. Il mio argomento tratta una scadenza imposta dal consenso come un errore di categoria con conseguenze durature. Se la BIP-361 o qualcosa di simile si attiva, la rete la supera, e nessuna proposta paragonabile arriva nel giro di un decennio, allora il precedente che mi preoccupa non era un precedente e io gli ho dato troppo peso.

Se un furto quantistico compare prima sulla catena. Il gruppo di Google ha osservato che una capacità iniziale potrebbe essere "rilevata sulla blockchain anziché annunciata". Se un output dormiente ed esposto si muove senza il suo proprietario prima che il lavoro di migrazione arrivi a destinazione, allora la lettura tranquilla della linea temporale, la mia compresa, era sbagliata nell'unico modo che conta.

Finché non accade una di queste cose, la mia posizione è questa. La minaccia è reale, specifica, misurabile e confinata a un solo componente. Quel componente è sostituibile, il sostituto è già progettato, e il lavoro dovrebbe procedere secondo il calendario previsto e senza drammi. La macchina sta arrivando da trentadue anni e potrebbe non arrivare mai, e Bitcoin dovrebbe costruire come se nessuno di questi due fatti fosse noto, perché nessuno dei due lo è.

La serratura si può cambiare. Ciò che conta è che nessuno possa riscrivere l'atto di proprietà mentre il fabbro lavora. I numeri dietro tutto questo meritano di essere letti per intero, e la meccanica di ciò che è davvero esposto è più semplice di quanto la copertura mediatica lasci intendere. Ma l'argomento che deciderà come andrà a finire non riguarda affatto la fisica. È quello che Bitcoin ha sempre avuto, su chi è autorizzato a cambiare le regole, e sulla differenza tra una regola che proibisce e un sistema che mette un prezzo al proprio abuso, che è la distinzione che Bitcoin di solito azzecca.