📖 Introduzione: Bitcoin, computer quantistici e falsa paura del “giorno zero”

Negli ultimi anni l’espressione “computer quantistici” è diventata quasi sinonimo di apocalisse crittografica: reti distrutte, Bitcoin rubati, sistemi di sicurezza resi inutili.
Tra titoli sensazionalistici e annunci politici, come quello di El Salvador che dichiara di proteggere le proprie riserve da futuri attacchi quantistici, è utile fare chiarezza:
cosa possono davvero fare i computer quantistici a Bitcoin?

Per rispondere, è necessario capire:

• come funziona la crittografia di Bitcoin (chiavi pubbliche/private e hash);

• quali algoritmi quantistici rappresentano una potenziale minaccia;

• quali scenari realistici mettono a rischio i fondi;

• perché la gestione prudente degli indirizzi rende Bitcoin oggi ancora sicuro.

🧠 Come funziona la crittografia di Bitcoin (in breve)

Bitcoin utilizza principalmente due ingredienti crittografici:

• Crittografia a curva ellittica (ECDSA) 🔐
  È il meccanismo che collega la chiave privata (segreta) alla chiave pubblica (visibile).
  Dalla chiave privata si può calcolare la chiave pubblica, ma il processo inverso è, con la tecnologia classica, praticamente impossibile.

• Funzioni di hash (SHA-256, RIPEMD-160) 🔄
  Una funzione di hash prende un input (ad esempio una chiave pubblica) e ne produce una sorta di “impronta digitale” irreversibile.
  Questo hash è ciò che appare come indirizzo Bitcoin (ad esempio quelli che iniziano con bc1...).

Aspetto fondamentale: nella maggior parte dei casi, quando si riceve un pagamento, ciò che viene esposto non è la chiave pubblica, ma l’hash della chiave pubblica.
La chiave pubblica in chiaro viene rivelata solo al momento della spesa dei Bitcoin.

⚡ Che cosa rende “pericoloso” un computer quantistico?

Per valutare il rischio, occorre distinguere due algoritmi quantistici fondamentali:

• Algoritmo di Shor 🧩
  È l’algoritmo teorico che mette maggiormente in difficoltà la crittografia classica basata su:

  • fattorizzazione di numeri grandi (RSA);

  • logaritmo discreto (come le curve ellittiche, quindi ECDSA).

  Applicato a Bitcoin, Shor potrebbe, in teoria, risalire dalla chiave pubblica alla chiave privata, se esistessero computer quantistici abbastanza potenti.
  Questo permetterebbe a un attaccante di rubare i fondi associati a quella chiave pubblica.

• Algoritmo di Grover 🔍
  Non “rompe” le funzioni di hash, ma ne dimezza la sicurezza effettiva.
  In termini pratici:

  • una funzione con sicurezza di 256 bit scenderebbe a ~128 bit;

  • 128 bit di sicurezza sono comunque enormemente robusti per gli scenari pratici attuali.

  Quindi le funzioni di hash restano, ad oggi, sostanzialmente “quantum-resistenti”.

🔑 Chiavi pubbliche, chiavi private e indirizzi: il punto cruciale

Spesso si parla indistintamente di “indirizzo Bitcoin” e “chiave pubblica”, ma non sono la stessa cosa.

• Chiave privata
  Stringa segreta da cui dipende il controllo dei fondi. Chi la possiede può firmare transazioni e spendere i Bitcoin.

• Chiave pubblica
  Deriva dalla chiave privata. È quella che l’algoritmo di Shor potrebbe, teoricamente, attaccare per risalire alla chiave privata.

• Indirizzo Bitcoin
  Non è la chiave pubblica, ma un hash della chiave pubblica (più altri passaggi). È ciò che solitamente si mostra a chi deve inviare Bitcoin.

Con gli schemi moderni di utilizzo (indirizzi bc1... e analoghi), finché la chiave pubblica non viene rivelata, un attaccante quantistico non ha nulla su cui applicare Shor.
Vede solo l’hash, che è protetto (anche in ottica quantistica) dal livello di sicurezza offerto dalle funzioni di hash.

🛡️ Quando la chiave pubblica diventa visibile (e vulnerabile)

Il momento critico è la spesa dei Bitcoin.
Quando viene inviata una transazione da un indirizzo, il protocollo deve dimostrare alla rete che chi invia possiede la relativa chiave privata.
Per farlo:

• viene rivelata la chiave pubblica associata a quei fondi;

• viene mostrata una firma digitale calcolata con la chiave privata.

In questo passaggio, l’indirizzo (hash) non è più l’unica informazione: la chiave pubblica è in chiaro all’interno della transazione che circola nella rete.
Da questo momento, un eventuale computer quantistico potrebbe, in teoria:

• usare l’algoritmo di Shor per ricavare la chiave privata dalla chiave pubblica appena rivelata;

• creare una transazione concorrente con commissioni più alte, inviata agli stessi miner;

• provare a far includere per prima la propria transazione, rubando di fatto i Bitcoin (double spending quantistico).

La finestra temporale utile per un attacco di questo tipo è però molto limitata:
mediamente circa 10 minuti, il tempo che intercorre tra:

• la propagazione della transazione nella rete;

• la sua inclusione in un blocco da parte dei miner.

Una volta che i Bitcoin vengono spostati su un nuovo output (un nuovo indirizzo, quindi un nuovo hash di chiave pubblica non rivelata), la superficie d’attacco si chiude nuovamente.

🧨 La minaccia reale oggi: indirizzi con chiave pubblica già esposta

Esiste però una categoria particolare di Bitcoin che è davvero vulnerabile in uno scenario di computer quantistici potenti:

• vecchi indirizzi, utilizzati in passato, in cui la chiave pubblica è già stata rivelata;

• fondi lasciati fermi su quegli indirizzi, mai più spostati su nuovi indirizzi (cioè nuovi hash).

Esempio emblematico: i coin minati da Satoshi Nakamoto.
All’inizio di Bitcoin, molti output venivano creati direttamente con chiavi pubbliche in chiaro o con schemi meno prudenti rispetto agli standard attuali.
Questo significa che:

• la chiave pubblica di molti di quei coin è già nota a tutti;

• se un computer quantistico sufficientemente potente diventasse disponibile, si potrebbe calcolare la chiave privata e impossessarsi di quei Bitcoin.

Questi fondi, non potendo essere “mossi” da chi non ha più o non utilizza le chiavi, non possono essere protetti con una nuova struttura di indirizzo.
La questione diventa quindi etica e politica: lasciarli rubare, “bruciarli”, o intervenire in altro modo?
Questo tema è oggetto di discussioni specifiche e non tocca l’utente medio, ma riguarda la storia di Bitcoin e alcune sue vecchie UTXO.

🌍 El Salvador e lo “spezzettamento” delle riserve Bitcoin

La notizia da cui si è riaccesa la discussione è l’annuncio di El Salvador, che dichiara di aver protetto le proprie riserve Bitcoin da futuri attacchi quantistici.
Una delle misure adottate è lo spezzettamento dei fondi:

• suddivisione dei Bitcoin in più wallet distinti;

• creazione di mucchietti da 500 BTC distribuiti su diversi indirizzi.

Questa operazione ha in realtà diverse possibili motivazioni e vantaggi:

• Riduzione del rischio concentrato
  Invece di avere un’unica enorme UTXO o pochi indirizzi con somme gigantesche, suddividere i fondi limita l’impatto di un singolo eventuale compromesso.

• Gestione operativa più flessibile
  È più agevole gestire spese, controlli e policy su blocchi separati di fondi, ad esempio per cold storage multi-firma, audit, o gestione contabile.

• Vantaggio “quantistico” marginale ma coerente
  In uno scenario estremamente remoto in cui diventassero possibili attacchi puntuali, avere più indirizzi separati riduce la superficie di rischio per singola chiave.

Non si tratta di una soluzione magica contro i computer quantistici, quanto piuttosto di una buona pratica di gestione del tesoro, che ha anche una narrazione politica e mediatica: “il Paese protegge i suoi Bitcoin dal futuro quantistico”.

🛠️ Perché oggi l’utente Bitcoin non deve (ancora) preoccuparsi

Alla luce del funzionamento reale di Bitcoin e dello stato attuale della tecnologia quantistica, la situazione può essere riassunta così:

• Non esistono oggi computer quantistici in grado di rompere ECDSA su larga scala
  Le capacità reali sono lontanissime dalle dimensioni necessarie per attaccare in tempi utili le chiavi pubbliche di Bitcoin.

• Le funzioni di hash restano robuste
  Anche ipotizzando l’algoritmo di Grover applicato, la sicurezza effettiva resta molto elevata (ordine di 128 bit), sufficiente per scenari pratici.

• La chiave pubblica non viene esposta finché non si spende
  Usando indirizzi moderni (es. bc1...), la chiave pubblica resta nascosta dietro un hash fino al momento della transazione di spesa.

• La finestra d’attacco è brevissima
  Anche in presenza di un computer quantistico molto potente, avrebbe solo pochi minuti per calcolare la chiave privata e tentare un double spending con fee più alte.

• I casi davvero a rischio sono storici e particolari
  In primo luogo, vecchi indirizzi con chiavi pubbliche già esposte e fondi mai spostati.

Per queste ragioni, l’utente medio Bitcoin, che utilizza wallet aggiornati e buone pratiche, non è oggi esposto a un rischio concreto derivante da computer quantistici.

🧰 Buone pratiche di sicurezza in vista del futuro quantistico

Anche se la minaccia quantistica non è attuale, esistono alcune abitudini che migliorano la sicurezza oggi e preparano a una transizione ordinata domani:

• Usare wallet moderni e aggiornati 🛠️
  Preferire wallet che adottano indirizzi SegWit / bech32 (ad esempio bc1...), in cui la chiave pubblica resta dietro un hash fino alla spesa.

• Evitare il riutilizzo degli indirizzi ♻️
  Ogni pagamento ricevuto dovrebbe idealmente usare un nuovo indirizzo.
  Questo riduce tracciabilità e minimizza la superficie di attacco potenziale, anche in ipotesi di futuri cambi di algoritmo.

• Utilizzare hardware wallet affidabili 🔒
  Strumenti open source e specializzati per Bitcoin (come alcuni hardware wallet “Bitcoin only”) offrono maggiore trasparenza sul codice e una superficie d’attacco più ridotta.

• Custodia dei Bitcoin in self-custody 🧱
  Detenere direttamente le chiavi private (anziché lasciare fondi su piattaforme custodial) garantisce controllo e libertà di migrare, in futuro, verso schemi crittografici post-quantum se e quando verranno adottati.

• Monitorare l’evoluzione degli standard 📡
  Nel momento in cui la comunità Bitcoin dovesse introdurre schemi post-quantum o aggiornamenti crittografici, chi detiene le chiavi potrà spostare i fondi sui nuovi sistemi in modo controllato.

📊 Funzioni di hash e mondo reale: non solo Bitcoin

Le funzioni di hash non sono fondamentali solo per Bitcoin, ma per quasi tutta la sicurezza informatica moderna:

• password hashing;

• integrità dei file e dei software;

• certificati digitali;

• blockchain e sistemi distribuiti.

Se un giorno le funzioni di hash fossero seriamente compromesse su larga scala, non sarebbe solo Bitcoin a dover correre ai ripari, ma l’intera infrastruttura digitale mondiale.
Ad oggi, però, anche con l’algoritmo di Grover nel quadro teorico, le funzioni di hash moderne restano estremamente difficili da forzare nel mondo pratico.

👉 In sintesi:

L’idea che i computer quantistici distruggeranno Bitcoin dall’oggi al domani è eccessivamente semplificata e, allo stato attuale della tecnologia, non fondata sui fatti.

• Shor può, in teoria, attaccare la crittografia a curva ellittica, ma non esistono ancora macchine in grado di farlo sui parametri reali di Bitcoin in tempi utili.

• Grover indebolisce la sicurezza delle funzioni di hash, ma le lascia comunque a un livello altissimo (ordine 128 bit).

• Gli indirizzi Bitcoin moderni espongono solo hash delle chiavi pubbliche finché i fondi non vengono spesi, riducendo enormemente la superficie d’attacco.

• La minaccia concreta si concentra su chiavi pubbliche già esposte e fondi mai spostati (come molti coin storici), non sull’uso quotidiano di Bitcoin.

• Spezzettare le riserve (come nel caso di El Salvador) è una buona pratica di gestione del rischio, non una soluzione magica ma un passo prudente.

• Con wallet aggiornati, indirizzi moderni, self-custody e niente riuso degli indirizzi, l’utente Bitcoin è oggi in una posizione molto solida anche in prospettiva quantistica.

Il futuro quantistico richiederà, probabilmente, adattamenti e nuovi standard crittografici.
Ma con una comprensione corretta dei meccanismi tecnici e con buone pratiche operative, Bitcoin rimane — oggi e nel prossimo futuro — ben lontano dal collasso annunciato da titoli allarmistici 🛡️.