Cryptopolitan ha chiesto ai lettori della propria newsletter se il quantum computing sarebbe in grado di rompere Bitcoin entro il 2035. La domanda assume ancora più urgenza dopo che il 28 luglio un modello AI non rilasciato pubblicamente ha scoperto un difetto in uno schema di firma post-quantum — una vulnerabilità sfuggita a due anni di revisione umana esperta. In quella scoperta non è stato coinvolto alcun computer quantistico. Questo articolo esamina l’architettura crittografica di Bitcoin, la minaccia specifica che il quantum computing rappresenta per BTC e perché il recente salto nella crittoanalisi guidata dall’IA aggiunga una nuova dimensione alla timeline del rischio quantistico.

Dove si collocano i lettori

Se si sommano i rispondenti che hanno scelto “sì, probabilmente lo farà” al gruppo “prima del 2030”, il risultato è che il 47% dei lettori ritiene plausibile una rottura quantistica di Bitcoin entro i prossimi nove anni. Il più grande key ellittico mai rotto su hardware quantistico reale resta di 15 bit, risultato ottenuto ad aprile da un ricercatore che rivendicava il Project Eleven’s Q-Day Prize. Le chiavi di Bitcoin, invece, sono di 256 bit. Colmare quel divario entro nove anni richiederebbe un ritmo straordinario di progresso ingegneristico. Circa un terzo di questo pubblico considera attualmente questa una possibilità concreta.

Cosa è realmente a rischio per BTC

Prima di entrare nel merito di ciò che il sondaggio rivela, è importante chiarire che Bitcoin non cripta nulla. Non esiste alcun messaggio segreto che venga cifrato e ogni transazione sulla rete è sempre stata pubblica fin dall’inizio. Ciò che Bitcoin fa è firmare e fare hashing. Due compiti diversi, due insiemi di matematica diversi, due timeline quantistiche molto diverse.

La parte delle firme è quella esposta ed è qui che si trova la vulnerabilità. Quando spendi Bitcoin, il tuo wallet produce una firma che prova che possiedi le monete e questo avviene tramite una crittografia a curva ellittica chiamata secp256k1. Nel corso degli anni Bitcoin ha usato due metodi di firma: ECDSA fin dall’inizio e Schnorr dal 2021. La sicurezza di entrambi si basa su una sola ipotesi: che ricavare una chiave privata da una chiave pubblica sia impossibile.

È qui che entra in gioco l’algoritmo di Shor, che prende di mira proprio quell’ipotesi. Con un computer quantistico sufficientemente grande, può risalire da una chiave pubblica alla chiave privata che l’ha generata. A marzo di quest’anno, i ricercatori di Google hanno pubblicato stime che fissavano il requisito a meno di 1.200 qubit logici e meno di 500.000 qubit fisici. Un paper successivo di Caltech e Oratomic ha abbassato la stima fino a circa 10.000 qubit usando un’architettura a atomi neutri. Nessuno ha costruito qualcosa di lontanamente vicino a questi numeri. Ma in passato le stime arrivavano a diversi milioni, e la direzione di marcia è il motivo per cui gli sviluppatori di Bitcoin non considerano più questa una questione da anni 2040.

Il lato dell’hashing è molto più solido. Bitcoin usa SHA-256 per il mining, per la generazione degli indirizzi e per collegare i blocchi tra loro. Il miglior attacco quantistico noto contro SHA-256 è l’algoritmo di Grover, che offre solo un’accelerazione quadratica. In pratica questo riduce la sicurezza a 256 bit a qualcosa di simile a 128 bit, che resta ben oltre la portata di qualsiasi macchina che qualcuno abbia anche solo delineato su carta. Il mining non è il punto debole, e nemmeno la struttura della chain.

La formulazione corretta è quindi più ristretta di “il quantum rompe Bitcoin”. A rischio sono le monete le cui chiavi pubbliche sono già visibili on-chain. Questo accade quando un indirizzo è già stato speso in precedenza, oppure quando i fondi si trovano in vecchi formati di indirizzo che espongono la chiave per impostazione predefinita. La stima attuale è compresa tra 6,5 e 6,9 milioni di BTC, circa un quarto o un terzo dell’offerta totale, e questa cifra include circa 1,7 milioni di monete nei primi indirizzi ampiamente ritenuti appartenere a Satoshi.

Le monete detenute in indirizzi moderni da cui non si è mai speso non espongono affatto una chiave pubblica. Per queste, un attaccante quantistico avrebbe soltanto la finestra di pochi minuti in cui una transazione resta nel mempool in attesa di conferma. Resta un problema da risolvere. Molto più piccolo di quanto suggerisca il numero in prima pagina.

La risposta di Bitcoin al problema quantistico

L’11 febbraio 2026, BIP-360 è stato integrato nel repository ufficiale dei BIP di Bitcoin, la prima proposta formale di resistenza al quantum della rete a raggiungere quel traguardo. Introduce un nuovo tipo di output chiamato Pay-to-Merkle-Root, o P2MR, firmato da Hunter Beast, Ethan Heilman e Isabel Foxen Duke.

P2MR è essenzialmente Taproot con la rimozione della spesa tramite key-path. Taproot vincola sia una chiave pubblica interna sia una Merkle root di script, il che significa che la chiave è sempre ricavabile da ciò che si trova sulla chain. P2MR vincola solo la Merkle root. Nessuna chiave pubblica compare finché non si effettua effettivamente una spesa, e anche allora viene rivelata solo la leaf utilizzata. In questo modo si chiude la vulnerabilità dell’esposizione prolungata.

Una proposta complementare, BIP-361, è arrivata il 14 aprile con un piano in tre fasi per eliminare del tutto le spese ECDSA e Schnorr. È quella che sta generando dibattito, perché la terza fase di fatto bloccherebbe le monete che non vengono mai migrate.

Ecco il punto su cui vale la pena soffermarsi. La stima di Heilman parla di sette anni dal momento in cui si forma il consenso fino alla piena resilienza quantistica, e lui la definisce ottimistica. Due anni e mezzo per revisione e test. Mezzo anno per l’attivazione. Poi altri cinque anni prima che circa il 90% di wallet, custodian, nodi Lightning e software di tesoreria si sia effettivamente aggiornato. Da notare che BIP-360 non include affatto firme post-quantum. Quelle sono state rimosse nel luglio 2025 e rinviate a una proposta futura. Lo schema che Bitcoin adotterà alla fine sarà molto probabilmente ML-DSA o SLH-DSA, gli algoritmi che NIST ha già finalizzato.

Ed è qui che arriviamo alla scorsa settimana.

Uno schema post-quantum è fallito e non c’era alcun computer quantistico

Il 28 luglio, il Frontier Red Team di Anthropic ha pubblicato una scoperta ottenuta da Claude Mythos Preview, un modello non disponibile al pubblico. Operando in modo semi-autonomo in un assetto agentico, ha individuato un attacco precedentemente sconosciuto contro HAWK, uno dei nove finalisti della competizione aggiuntiva di NIST per firme post-quantum e l’unico schema basato su reticoli ad essere passato al terzo round a maggio.

L’attacco sfruttava una simmetria nella struttura reticolare di HAWK che nessuno aveva utilizzato prima. Per il parametro set HAWK-256, ha ridotto il lavoro stimato per il recupero della chiave da circa 2^64 operazioni a circa 2^38. In termini semplici, è la differenza tra “nessun attaccante al mondo sta provando questo” e “un team ben finanziato potrebbe plausibilmente provarci”.

I dettagli rendono la situazione scomoda. HAWK aveva già superato due cicli di revisione umana esperta nel corso di due anni. Il modello ha trovato il difetto in circa 60 ore, con un costo di circa $100,000 in spesa API. Il ricercatore che supervisionava il progetto aveva un background in teoria della computazione, ma non era uno specialista di crittografia su reticoli.

Sophie Schmieg, crittografa post-quantum di Google, ha riassunto la situazione in cinque parole: “Basically with this paper, HAWK is dead.” Il team di HAWK ha ritirato lo schema dalla considerazione di NIST il giorno successivo, osservando che le correzioni ovvie, raddoppiare i parametri o passare a moduli di rango superiore, lo renderebbero non competitivo rispetto alle alternative.

In nessun momento è stato coinvolto un computer quantistico. Ciò che è fallito è stata la crittografia post-quantum, e a romperla è stato un modello AI classico durante un lungo weekend.

Cosa ha davvero rivelato il sondaggio

Ogni opzione del nostro sondaggio poneva la stessa domanda di fondo: quando arriverà l’hardware quantistico. I lettori si sono divisi in modo ragionevole su questo punto, e il 47% che colloca il problema entro nove anni è una lettura difendibile, dato quanto le stime sui qubit siano cambiate nel corso di quest’anno.

Tuttavia, il risultato su HAWK suggerisce che la tempistica dell’hardware potrebbe non essere il vincolo decisivo. Il 33% che ha votato “non così presto” o “solo dopo il 2050” stava facendo una scommessa sull’ingegneria quantistica, e potrebbe anche avere ragione. Ma quella scommessa non protegge da un attacco classico all’algoritmo sostitutivo.

Il 20% che ha risposto “non ne ho idea” merita riconoscimento. In un pubblico che segue da vicino questi sviluppi, un partecipante su cinque che rinuncia a fare una previsione non è apatia. Sembra piuttosto una valutazione accurata di quanti fattori incerti si stiano accumulando: progresso dell’hardware, scelta degli algoritmi, tempistiche di consenso e ora anche la crittoanalisi assistita dall’IA che avanza più rapidamente del processo di revisione pensato per intercettare queste vulnerabilità.

I più competenti nel campo delle cripto leggono già la nostra newsletter. Vuoi unirti a loro?