Il dibattito di Bitcoin sul calcolo quantistico non è semplicemente una questione tecnica di crittografia. È anche una controversia su quali principi debbano prevalere se le firme a curve ellittiche non potessero più autenticare in modo affidabile la proprietà: la promessa che le monete valide rimangano spendibili dai loro proprietari, oppure la necessità di proteggere Bitcoin da un attaccante quantistico capace di impossessarsi di una quota significativa dell'offerta.

Ogni opzione seria crea un conflitto. Non fare nulla preserverebbe le regole di consenso attuali, ma potrebbe consentire a futuri attaccanti quantistici di prendere monete i cui proprietari non hanno mai acconsentito. Congelare le monete vulnerabili potrebbe prevenire quel furto, ma invaliderebbe retroattivamente condizioni di spesa consolidate. Una migrazione forzata alle firme post-quantum potrebbe essere una prudente scelta ingegneristica, ma apparirebbe anche come un regime di confisca sostenuto da una scadenza.

La domanda centrale è quindi come minimizzare le violazioni complessive dei diritti di proprietà se le firme a curve ellittiche non identificassero più in modo affidabile i legittimi proprietari.

La minaccia quantistica

L'attuale sistema di autorizzazione di Bitcoin si basa sulla crittografia a curve ellittiche. Le firme legacy ECDSA e le firme Schnorr utilizzano la curva secp256k1. Secondo le ipotesi del calcolo classico, derivare una chiave privata da una chiave pubblica è computazionalmente irrealizzabile. Un computer quantistico sufficientemente potente e crittograficamente rilev che esegua l'algoritmo di Shor potrebbe cambiare questa situazione: una volta esposta una chiave pubblica, un attaccante potrebbe derivare la corrispondente chiave privata e creare una transazione che la rete accetterebbe come valida.

Non tutti gli output di Bitcoin espongono le chiavi pubbliche allo stesso tempo. I vecchi output pay-to-public-key e gli output Taproot rivelano le chiavi pubbliche on-chain e potrebbero subire attacchi a lungo raggio. Altri output nascondono la chiave pubblica dietro un hash finché il proprietario non spende. In questi casi, un attaccante a breve raggio potrebbe osservare una transazione, derivare rapidamente la chiave privata e tentare di sostituire o anticipare la spesa.

Il mining quantistico presenta una questione diversa. L'algoritmo di Grover potrebbe teoricamente fornire una accelerazione quadratica nella ricerca di un hash di blocco valido, mentre l'algoritmo di Shor fornisce un'accelerazione superpolinomiale contro le ipotesi alla base di ECDSA e Schnorr. Il vantaggio dell'uso del calcolo quantistico per il mining è quindi considerato sostanzialmente meno pratico rispetto al suo uso per attaccare le firme a curve ellittiche.

Incertezza sui computer quantistici

Se un computer quantistico crittograficamente rilevante verrà mai costruito resta incerto. Gli scettici del quantistico generalmente non contestano che l'algoritmo di Shor possa violare la crittografia a curve ellittiche. La loro tesi è che non vi sia una ragione chiara per credere che gli ingegneri riusciranno a produrre le macchine potenti e tolleranti ai guasti necessarie per eseguirlo a una scala rilevante.

Gli attuali processori quantistici rumorosi non possono violare ECC. Un simile attacco richiederebbe molti qubit logici affidabili, tassi di errore estremamente bassi, calcoli coerenti di lunga durata e una correzione d'errore quantistica che funzioni su scala.

Mikhail Dyakonov ha sostenuto che il teorema della soglia di tolleranza ai guasti quantistici si basa su ipotesi idealizzate, tra cui rumore sufficientemente indipendente, porte accurate, interazioni indesiderate limitate e la capacità di mantenere gli errori al di sotto di una soglia in un sistema molto grande. Gil Kalai ha offerto una critica più strutturale, sostenendo che rumore correlato e accumulo di rumore potrebbero impedire la scalabilità di codici di correzione d'errore quantistica di alta qualità. Nel suo articolo del 2011, Kalai ha esaminato come le implementazioni fisiche dei codici quantist, le correlazioni nei sistemi stocastici e il rumore accumulato potrebbero impedire computer quantistici scalabili.

Gli scettici rifiutano anche le semplici estrapolazioni dai progressi nel numero di qubit fisici. Passare da 50, 100 o 1.000 qubit fisici a milioni di qubit fisici o migliaia di qubit logici richiederebbe il controllo del crosstalk, del leakage, degli errori correlati, della deriva di calibrazione, degli effetti termici, degli errori di misura, delle variazioni di fabbricazione e del rumore di controllo. Le dimostrazioni attuali, che superano le simulazioni classiche solo su campionamenti attentamente selezionati, forniscono prove limitate sulla capacità di eseguire un algoritmo lungo e strutturato come quello di Shor con sufficiente affidabilità da recuperare una chiave privata ECC a 256 bit.

Perché la migrazione è importante

Se un computer quantistico crittograficamente rilevante dovesse apparire, offrire semplicemente agli utenti la possibilità di adottare la crittografia post-quantum non proteggerebbe tutti i bitcoin vulnerabili. L'insieme esposto comprende le monete early pay-to-public-key, le monete controllate da chiavi pubbliche riutilizzate, gli output Taproot e le monete le cui chiavi pubbliche o chiavi pubbliche estese sono state divulgate fuori dalla blockchain.

I vecchi output P2PK rappresentano una piccola quota degli UTXO per numero ma ammontano a circa 1,7 milioni di BTC. Stime più ampie basate sui tipi di output, sui modelli di attività e sulla proprietà nota suggeriscono che almeno 2,6 milioni di BTC potrebbero rimanere vulnerabili anche se gli utenti attivi di Bitcoin spostassero i loro wallet sulla crittografia post-quantum. L'articolo stima che circa 2,6 milioni di BTC, ovvero il 13% dell'offerta totale attuale, potrebbero non riuscire a migrare verso script di blocco quantisticamente sicuri.

Queste monete potrebbero creare rischi sistemici al di là della vendita diretta. Un attaccante quantistico potrebbe usarle per destabilizzare i mercati, minare la fiducia, danneggiare la rete o acquisire abbastanza hashrate da tentare un attacco del 51%. Proteggere le monete richiederebbe quindi modifiche al consenso che impediscano l'uso di firme ECDSA o Schnorr vulnerabili.

Termini come "confisca", "burning", "congelamento", "furto" e "recupero" descrivono meccanismi diversi. Un congelamento non trasferirebbe le monete allo Stato, ai miner, agli sviluppatori o a un fondo di recupero. Renderebbe determinati output non spendibili tramite firme vulnerabili. I sostenitori a volte usano "burn" perché le monete non sarebbero riassegnate; tuttavia, un legittimo proprietario che possieda ancora la chiave originale potrebbe ragionevolmente considerare l'effetto pratico come confiscatorio.

BIP-361 divide la migrazione in fasi. Una volta esistito un tipo di indirizzo quantisticamente resistente, le nuove monete non verrebbero più inviate a indirizzi vulnerabili al quantistico. Dopo un periodo pluriennale, le spese legacy ECDSA e Schnorr potrebberoare invalide. La proposta lascia inoltre aperti metodi di recupero per gli utenti che possono dimostrare la proprietà senza fare affidamento esclusivamente su ECC compromesso, potenzialmente attraverso una prova a conoscenza zero derivata da una seed phrase o da una struttura di wallet HD. Il suo scopo dichiarato è creare incentivi e scadenze affinché utenti, exchange, custodi, wallet e istituzioni migrino prima che ECC venga deprecato.

Argomenti a favore del congelamento

I sostenitori del congelamento sostengono che un attaccante che deriva una chiave privata tramite calcolo quantistico non è il legittimo proprietario in alcun senso significativo. Consentire che le monete vulnerabili vengano prese non sarebbe neutrale, sostengono; permetterebbe ai primi attori dotati di capacità quantistiche di saccheggiare output protetti da una debolezza nota.

Un'azione di sweeping riuscita potrebbe ridistribuire ricchezza a un attore che ha impiegato relativamente poche risorse per ottenerla, minando potenzialmente il modello di sicurezza di Bitcoin, che presuppone che partecipanti economicamente razionali siano incentivati a proteggere il valore delle proprie holdings. Le monete perse sono una preoccupazione particolare. Se gli attaccanti recuperassero monete ritenute permanentemente perdute, l'offerta circolante effettiva potrebbe aumentare anche se il tetto formale di 21 milioni rimarrebbe invariato.

La minaccia potrebbe anche essere politica più che puramente finanziaria. Un attaccante potrebbe destabilizzare i mercati, minare la fiducia o trattenere grandi quantità di BTC come leva. I commenti di Pieter Wuille nel dibattito sulla mailing list sottolineano che il pericolo potrebbe derivare dalla credenza credibile che un computer quantistico esisterà presto, anche prima di un attacco reale. Un piano credibile per disabilitare le spese vulnerabili potrebbe quindi fungere da meccanismo di rassicurazione.

I sostenitori sostengono anche che la migrazione volontaria sarebbe lenta. Hardware wallet, exchange, custodi, piani successori, coordinatori multisig e procedure di cold storage richiedono anni per cambiare. Matt Corallo ha sostenuto che Bitcoin dovrebbe aggiungere una semplice capacità post-quantum ben prima che diventi necessaria, permettendo ai wallet di iniziare a incorporare o impegnarsi su chiavi pubbliche quantisticamente resistenti.

Una scadenza nota darebbe alle società quotate, agli ETF, ai custodi, agli exchange, ai dipartimenti di compliance e ai comitati di rischio un piano di migrazione concreto. BIP-361 sostiene che exchange e custodi subirebbero pressioni fiduciarie e legali ad agire una volta esistita una scadenza. I sostenitori notano inoltre che la stessa preparazione potrebbe aiutare a rispondere ad altre situazioni in cui ECC si indebolisce nel tempo.

Da questa prospettiva, un soft fork oggettivo che disabiliti un percorso di spesa dimostrabilmente insicuro sarebbe più simile alla sostituzione di un lucchetto rot che a una confisca politica arbitraria. La regola si applicherebbe a tipi di script piuttosto che a proprietari nominati e potrebbe essere annunciata anni in anticipo con un percorso di migrazione praticabile.

Argomenti contro il congelamento

Gli oppositori partono dall'aspettativa consolidata di diritti di proprietà di Bitcoin: una moneta valida rimane spendibile dal detentore della chiave corrispondente secondo le regole di consenso accettate al momento della ricezione. Invalidare retroattivamente quel percorso di spesa, sostengono, trasforma "not your keys, not your coins" in "not your upgraded-by-deadline, not your coins".

I critici temono che un congelamento stabilisca un precedente per la selezione di vincitori e vinti tra i proprietari di UTXO. Anche se la regola fosse tecnicamente oggettiva, prenderebbe di mira gli utenti in base alle scelte di indirizzo, al design del wallet, alla dormienza o all'incapacità di agire. Future coalizioni potrebbero cercare interventi simili per sanzioni, recupero di furti, dispute ereditarie, pressioni statali o monete presunte perdute.

Un congelamento non potrebbe distinguere le monete perdute dalle monete dormienti, dai proprietari imprigionati, dai proprietari defunti con eredi, dagli utenti in giurisdizioni ostili, dagli accordi con timelock, dal cold storage dimenticato o dal risparmio deliberato a lungo termine. Potrebbe anche creare un conflitto di incentivi: i detentori attivi potrebbero beneficiare della riduzione dell'offerta effettiva, mentre i legittimi proprietari inattivi subirebbero la perdita.

Vi è anche incertezza su tempistiche e capacità quantistiche. Un computer quantistico potrebbe arrivare più tardi del previsto, assumere una forma diversa, rimanere segreto o essere contrastato con misure meno drastiche. Bruciare permanentemente milioni di monete prima che la minaccia si concretizzi potrebbe esso stesso costituire una violazione irreversibile dei diritti di proprietà.

Anche la destinazione tecnica è incerta. Il NIST ha standardizzato ML-DSA, SLH-DSA e ML-KEM, ma Bitcoin richiede prove di proprietà compatte e compatibili con gli script, con costi di verifica gestibili. Il confronto di Chaincode tra gli schemi candidati rileva che firme e chiavi post-quantum possono essere molto più grandi di Schnorr o ECDSA e differire notevolmente in maturità, dimensioni, costo di firma, costo di verifica e ipotesi di sicurezza. Una migrazione scadente potrebbe ridurre il throughput, aumentare le commissioni, appesantire gli UTXO o i dati witness, introdurre nuove ipotesi o richiedere un'altra migrazione in futuro.

Alternative a un congelamento permanente

Diverse proposte cercano di ridurre il rischio sistemico senza distruggere immediatamente le vecchie rivendicazioni di proprietà. La Fase A di BIP-361 impedirebbe nuovi output vulnerabili lasciando quelli esistenti temporaneamente spendibili. Boris Nagaev ha suggerito un blocco temporaneo con una futura altezza di riattivazione, mentre Conduition ha esaminato le interazioni con output tipo P2QRH o P2MR, avvertendo che vietare indiscriminatamente i controlli EC potrebbe influire su costruzioni ibride.

La proposta Hourglass V2 limiterebbe la spesa dei vecchi P2PK a un input P2PK per blocco, con un limite netto di un BTC per blocco. I suoi autori affermano che ciò prevenirebbe sia il burning immediato sia una liquidazione quantistica senza vincoli. I critici rispondono che essa limiterebbe comunque la spesa permission e potrebbe creare una corsa di decenni tra legittimi proprietari e attaccanti.

Gli schemi commit-delay-reveal, talvolta associati a costruzioni in stile Guy Fawkes, consentirebbero a un utente di impegnarsi su una futura spesa, attendere la conferma e rivelare successivamente le informazioni necessarie a validarla. Chaincode descrive l'approccio come opt-in, mentre il riassunto di Optech rileva che potrebbe ridurre l'urgenza della migrazione e proteggere le monete dagli attacchi a breve esposizione.

Un altro possibile metodo di recupero dimostrerebbe la conoscenza di un seed o di un percorso di derivazione anziché il controllo di una chiave pubblica vulnerabile. Or Sattath e altri hanno discusso idee di "signature lifting", e Olaoluwa Osuntokun ha realizzato una proof of concept usando zk-STARK per dimostrare che una chiave di output Taproot BIP-86 era stata derivata da un percorso di seed BIP-32. L'ultima versione ottimizzata richiede una prova di 200 KB. Il recupero di piccoli UTXO potrebbe diventare antieconomico, poiché le commissioni potrebbero costare diverse centinaia di dollari e potenzialmente raggiungere migliaia o decine di migliaia di dollari con tariffe più alte. Altre preoccupazioni includono le dimensioni delle prove, la complessità della verifica, il leakage di privacy, le ipotesi di derivazione del wallet e il rischio di aggiungere crittografia nuova al consenso di Bitcoin.

Marc Johnson e altri hanno suggerito una migrazione guidata dal mercato basata su output quantisticamente resistenti, firme duali opzionali e incentivi su commissioni o policy. Tale approccio preserverebbe meglio i diritti di proprietà ma potrebbe non affrontare il rischio sistemico se grandi quantità di BTC di valore restassero esposte.

Trade-off tecnici ed economici

Gli standard post-quantum del NIST forniscono una base: FIPS 204 standardizza ML-DSA, FIPS 205 standardizza SLH-DSA e FIPS 203 copre ML-KEM per la stabilizzazione delle chiavi. Bitcoin necessita tuttavia di firme digitali e prove di proprietà compatibili con gli script, non solo di standard generici.

Le firme basate su hash offrono ipotesi conservative ma sono grandi. Le firme in stile Lamport potrebbero essere abilitate tramite upgrade di script come OP_CAT, ma un percorso di chiave Taproot vulnerabile al quantistico andrebbe comunque rimosso o disabilitato. La discussione su OP_CAT in BIP-347 individua questo problema. Gli schemi basati su reticoli come ML-DSA sono più compatti di molte opzioni basate su hash ma comportano ipotesi e rischi di implementazione diversi. Le firme in stile Falcon sono compatte ma più difficili da implementare, mentre SPHINCS+/SLH-DSA è conservativa ma grande.

Chaincode stima che la migrazione di tutti gli UTXO potrebbe richiedere circa 76-142 giorni se la migrazione usasse tutto lo spazio dei blocchi, oppure 305-568 giorni se ne usasse il 25%. Tali cifre escludono upgrade dei wallet, approvazioni istituzionali, firma air-gapped, sostituzione dell'hardware, flussi contabili e coordinamento. Una migrazione completa richiederebbe quindi probabilmente anni. La stima di alto livello di Chaincode varia da circa cinque anni nel migliore dei casi a circa 15 anni nel peggiore; un'emergenza potrebbe potenzialmente comprimere il processo a due anni, sebbene il rapporto noti che le correzioni di emergenza storiche non sono direttamente comparabili.

Precedenti storici e governance

Il Value Overflow Incident illustra che le regole di consenso di sono già cambiate per eliminare monete create sotto regole che erano state seguite validamente all'epoca. Il 15 agosto 2010 si scoprì che il blocco 74.638 conteneva una transazione che creava 184.467.440.737,09551616 BTC per tre indirizzi. Due indirizzi ricevettero 92,2 miliardi di BTC ciascuno, mentre il miner ricevette un ulteriore 0,01 BTC. L'errore derivava da un overflow di interi nella validazione delle transazioni.

Entro cinque ore, un nuovo client rifiutava tali transazioni tramite una modifica di consenso in soft fork. La blockchain si divise, e la catena "buona" superò l'altra all'altezza di blocco 74.691. La transazione non valida e le monete che aveva creato non esistono più sulla catena con la maggiore prova di lavoro cumulativa.

L'incidente The DAO su Ethereum fornisce un altro termine di paragone. Nel 2016, la comunità ebbe circa un mese per rispondere a un attaccante che controllava il 5% degli ETH, perché il contratto di The DAO prevedeva un ritardo prima che i fondi potessero essere ritirati. Ethereum alla fine eseguì un hard fork per restituire i fondi, mentre la catena originale divenne Ethereum Classic. Ethereum Classic faticò a raggiungere il 10% del valore di mercato di Ethereum, sebbene le due reti abbiano storie e strutture diverse.

Una modifica di Bitcoin in stile BIP-361 sarebbe un soft fork anziché un hard fork. Gli utenti contrari al fork del DAO potevano semplicemente rimanere sulle regole originali, mentre opporsi a un soft fork di migrazione quantistica con una supermaggioranza di hashrate richiederebbe di coordinare un User Rejected Soft Fork, cosa mai fatta prima.

Bitcoin non ha un'autorità centrale capace di imporre tale modifica. Qualsiasi deprecazione di ECC richiederebbe un ampio accordo tra operatori di nodi, miner, exchange, wallet, custodi, commercianti e utenti. Agire solo dopo la prova di un computer quantistico crittograficamente rilevante potrebbe significare decidere nel panico e nello stress di mercato. Agire troppo presto potrebbe imporre costi irreversibili prima che la minaccia sia sufficientemente credibile.

Una possibile via da seguire

Matt Corallo ha sostenuto che il dibattito dovrebbe essere inquadrato come protezione dei diritti di proprietà nella massima misura possibile, piuttosto che come semplice rifiuto di congelare monete. In tale cornice, la deprecazione di ECC potrebbe essere difendibile solo se esiste una destinazione quantisticamente resistente ampiamente esaminata, la finestra di migrazione è abbastanza lunga, le regole sono oggettive e ristrette, e sono disponibili opzioni di recupero.

Un periodo di migrazione di cinque anni è stato proposto per BIP-361 perché migrare troppo presto potrebbe imporre costi non necessari ocolare Bitcoin a uno schema immaturo, mentre migrare troppo tardi potrebbe lasciare il sistema esposto a una minaccia sistemica. L'articolo afferma che l'attivazione non dovrebbe essere seriamente presa in considerazione se non quando un computer quantistico crittograficamente rilevante appaia probabile entro meno di 10 anni.

I prossimi passi non includono l'attivazione di BIP-361. Comprendono la riduzione del riutilizzo degli indirizzi, la ricerca su prove di recupero, la riduzione della dipendenza dalla condivisione di xpub, lo sviluppo di schemi post-quantum più efficienti, l'attivazione di script di blocco quantisticamente sicuri su base opt-in e la preparazione di molteplici piani di emergenza.

Il problema quantistico di Bitcoin non è urgente nel senso che gli utenti dovrebbero panificare oggi. È urgente perché i sistemi decentralizzati devono risolvere difficili problemi di coordinamento prima che diventino emergenze. Il dibattito non è semplicemente tra rispettare e violare i diritti di proprietà; è tra forme concorrenti di fallimento dei diritti di proprietà. L'articolo conclude che Bitcoin dovrebbe considerare il calcolo quantistico un rischio sistemico realistico ma non quantificabile, evitando modifiche premature e controverse basate esclusivamente sull'incertezza.

Questo articolo è presente nell'ultima edizione a stampa di Bitcoin Magazine, The Quantum Issue, ed è condiviso come anteprima delle idee esplorate nel numero completo. È stato scritto da Shinobi ed è apparso per la prima volta su Bitcoin Magazine.