Un modello IA non ancora rilasciato di Anthropic ha violato uno schema di firma post-quanto in circa 60 ore, riaprendo una domanda che gli sviluppatori di Bitcoin non hanno ancora risolto: quando dovrebbe iniziare la rete a migrare verso una crittografia resistente al calcolatore quantistico?

La scoperta non rappresenta una minaccia immediata per Bitcoin. HAWK-256 non è mai stato distribuito dalla rete e nessun wallet esistente è interessato. Tuttavia, il risultato altera un presupposto fondamentale alla base della roadmap post-quanto di Bitcoin — ovvero che l'IA sta rendendo più rapido ed economico testare e potenzialmente violare sistemi crittografici avanzati.

Cosa Mythos ha fatto a HAWK — e quanto è costato

Il 28 luglio, Anthropic ha annunciato che il suo modello Claude Mythos Preview — attualmente disponibile per un gruppo ristretto di utenti approvati — ha scoperto un attacco non ancora documentato su HAWK-256, l'ultimo candidato di firma basato su reticoli rimasto nel terzo turno di valutazione della crittografia post-quanto del NIST. Il NIST, l'agenzia del Dipartimento di Commercio degli Stati Uniti che stabilisce gli standard crittografici federali, conduce questa competizione pluriennale dal 2016; gli algoritmi selezionati vengono tipicamente adottati non solo dai sistemi governativi statunitensi, ma anche da aziende e protocolli a livello mondiale.

L'IA ha identificato una simmetria nascosta nel design di HAWK che gli esperti umani avevano trascurato. La scoperta ha ridotto la sicurezza effettiva dell'algoritmo di circa il cinquanta percento e ha abbassato lo sforzo computazionale previsto necessario da circa 2^64 a 2^38 operazioni. Secondo il blog di ricerca di Anthropic, l'attacco ha richiesto circa 60 ore ed è costato circa 100.000 dollari di calcolo. È stato eseguito da un ricercatore senza una formazione formale in crittografia.

La comunità crittografica ha reagito rapidamente. Sophie Schmieg di Google ha dichiarato: "In pratica, con questo documento, HAWK è morto." Matthew Green della Johns Hopkins University ha osservato che, sebbene la ricerca non contenesse matematica innovativa, rappresentava una combinazione originale di tecniche già esistenti. Ars Technica ha riportato che i creatori di HAWK hanno ritirato l'algoritmo dalla circolazione pubblica il giorno successivo.

Perché ogni wallet Bitcoin rimane intatto

Il risultato non ha alcuna influenza sulla sicurezza attuale di Bitcoin. Bitcoin utilizza ECDSA sulla curva ellittica secp256k1, completamente non correlata a HAWK. L'algoritmo non è mai stato implementato in Bitcoin, in altre blockchain o in software commerciali. Il suo fallimento si è verificato durante il processo di revisione — proprio il tipo di scrutinio finalizzato a individuare le vulnerabilità prima dell'implementazione.

La migrazione post-quanto prevista per Bitcoin aveva già aggirato completamente HAWK. Nel febbraio 2026, il repository delle Bitcoin Improvement Proposal ha ricevuto BIP-360, che introduce un nuovo tipo di output chiamato P2QRH. Questo tipo di output impiega ML-DSA — esso stesso uno schema basato su reticoli, che condivide la stessa famiglia matematica di HAWK — e SLH-DSA, una firma basata su hash, entrambi finalizzati dal NIST nel 2024 dopo anni di valutazione pubblica. Inoltre, BIP-361 è stato presentato nell'aprile 2026 da Jameson Lopp e collaboratori, proponendo una graduale eliminazione di ECDSA in Bitcoin. HAWK non era incluso in nessuna delle due proposte.

Il test che determina quando inizia la migrazione

Come discusso da TFTC, la questione centrale è se la crittoanalisi assistita dall'IA possa eventualmente compromettere gli algoritmi che Bitcoin intende adottare — ML-DSA o SLH-DSA. Il fatto che HAWK, anch'esso basato su reticoli, sia caduto vittima di un attacco guidato dall'IA conferisce a questa domanda un peso maggiore, sebbene ML-DSA e HAWK differiscano strutturalmente e abbiano subito analisi separate. Se uno dei due candidati risultasse vulnerabile prima che la rete completi la migrazione, la strategia di attendere standard maturi potrebbe non essere più valida.

Anche l'economia della crittoanalisi sta mutando. Anthropic ha dimostrato che un'analisi crittografica significativa può ora essere condotta in circa 60 ore al costo di circa 100.000 dollari, rendendo questo tipo di test molto più ripetibile. Agenzie di intelligence come l'NSA e il GCHQ stanno quasi certamente svolgendo lavori simili a porte chiuse, il che significa che i risultati pubblici sono probabilmente in ritardo rispetto a quelli classificati.

I ricercatori hanno tracciato paralleli tra questo caso e quello di SIKE (Supersingular Isogeny Key Encapsulation), un altro contendente post-quanto che ha superato anni di analisi prima di essere violato in meno di un'ora su un laptop nel 2022. L'IA sembra accelerare questo schema.

Perché le tempistiche continuano a comprimersi

La crittoanalisi assistita dall'IA sta riducendo il lasso di tempo previsto per quando gli attacchi quantistici potrebbero diventare praticabili. Il rapporto sulla sicurezza quantistica del 2026 di Forrester rafforza questa valutazione, avvertendo che l'emergere di nuovi algoritmi può comprimere le tempistiche di sicurezza "overnight" riducendo le risorse computazionali necessarie per risolvere problemi crittografici complessi. L'azienda prevede minacce alla sicurezza significative associate al Q-Day entro il 2030.

Google ha analogamente accelerato i propri sforzi, fissando l'obiettivo di ritirare RSA e crittografia a curve ellittiche dai propri sistemi interni entro il 2029 e invitando altre aziende a seguire l'esempio.

Per Bitcoin, le poste in gioco sono considerevoli. Gli analisti citati da TheStreet stimano che circa 6,7 milioni di Bitcoin — per un valore di quasi 600 miliardi di dollari — si trovino in wallet che potrebbero potenzialmente essere compromessi da un calcolatore quantistico sufficientemente potente. Uno studio chiamato Quantum Horizon riporta che circa 2,3 milioni di Bitcoin andrebbero persi definitivamente in caso di attacco quantistico, stimando inoltre una probabilità di uno su sei che un calcolatore quantistico in grado di violare l'attuale crittografia sia operativo entro il 2035. Gli autori sostengono che la principale sfida di Bitcoin non sia più lo sviluppo hardware, ma se la rete possa completare una transizione di successo prima che tale tecnologia diventi disponibile.

Quale crittografia utilizza Bitcoin?

Bitcoin impiega diverse primitive crittografiche, ciascuna con uno scopo distinto. È importante notare che Bitcoin non cifra le transazioni. Dipende invece dalla crittografia per autenticazione, integrità e consenso.

La preoccupazione è che gli schemi di firma di Bitcoin — ECDSA e Schnorr — siano teoricamente vulnerabili a un futuro calcolatore quantistico che esegua l'algoritmo di Shor. Sviluppatori e ricercatori stanno quindi esplorando percorsi affinché Bitcoin adotti schemi di firma post-quanto, come alternative basate su hash o su reticoli, attraverso futuri aggiornamenti del protocollo. Eventuali migrazioni richiederebbero un ampio consenso nell'ecosistema Bitcoin — coinvolgendo minatori, sviluppatori di wallet, exchange e operatori di nodi completi — data la portata delle implicazioni su wallet, transazioni e regole di consenso. Raggiungere tale consenso è storicamente lento; Bitcoin non ha un'autorità centrale che possa imporre cambiamenti, e aggiornamenti controversi rischiano di causare scissioni della blockchain.

L'attacco a HAWK non ha interessato Bitcoin direttamente, poiché la rete non utilizza HAWK. Ciononostante, il risultato dimostra come l'IA possa accelerare la crittoanalisi e ridurre il tempo necessario per valutare — o violare — schemi crittografici emergenti. Considerati insieme ai recenti progressi negli algoritmi quantistici, questi sviluppi sottolineano l'urgenza degli sforzi continui degli sviluppatori di Bitcoin per prepararsi a un futuro post-quanto.