StarkWare, l'azienda israeliana che sviluppa la rete di scaling Ethereum StarkNet e la tecnologia di prove STARK a conoscenza zero, ha annunciato mercoledì di aver completato la prima transazione Bitcoin quantum-safe confermata sulla mainnet, trasferendo i fondi in una struttura basata su hash progettata per proteggere dagli attacchi che potrebbero sfruttare l'algoritmo di Shor. L'azienda ha dichiarato che la dimostrazione è importante non solo per Bitcoin, ma anche per altre grandi blockchain che si affidano alle firme a curva ellittica e affrontano un rischio analogo.

Perché la questione ha attirato l'attenzione

La minaccia di fondo è semplice. Se una chiave pubblica Bitcoin è esposta in registri pubblici, un computer quantistico abbastanza potente che esegua l'algoritmo di Shor potrebbe potenzialmente ricavare la corrispondente chiave privata e tentare di rubare i fondi.

Secondo Glassnode Research, 6,04 milioni di BTC, pari al 30,2% dell'offerta totale della criptovaluta, sono esposti al rischio quantistico a riposo. Di questo importo, 1,92 milioni di BTC sono esposti in modo strutturale a causa del tipo di output, mentre 4,12 milioni di BTC sono esposti in modo operativo a causa di pratiche come il riutilizzo degli indirizzi e i comportamenti di custodia.

La misurazione di Glassnode si applica alle monete le cui chiavi pubbliche sono già note prima di essere spese. Un rischio distinto emerge quando una chiave pubblica nascosta viene rivelata durante il processo di spesa.

Attualmente non esiste alcuna macchina quantistica in grado di portare a termine un attacco del genere. Ciononostante, nel 2026 ricercatori di Google hanno stimato che violare la curva secp256k1 di Bitcoin richiederebbe 1.200 qubit logici e 90 milioni di porte Toffoli, oppure 1.450 qubit logici e 70 milioni di porte. Una simulazione basata su un'architettura superconduttrice ha suggerito che potrebbero bastare meno di mezzo milione di qubit fisici. La questione va oltre le criptovalute: il National Institute of Standards and Technology statunitense ha pubblicato ad agosto 2024 i primi standard di crittografia post-quantistica finalizzati, nell'ambito di uno sforzo più ampio per migrare interi settori verso sistemi crittografici che i grandi computer quantistici potrebbero alla lunga violare.

Come funziona l'approccio di StarkWare

La dimostrazione di StarkWare affronta il problema per cui, in un pagamento Bitcoin standard, la chiave privata può essere esposta durante la trasmissione. In tal caso, un attaccante quantistico potrebbe potenzialmente calcolare la chiave prima che la transazione venga confermata e superare il pagamento originale.

Avihu Levy, general manager delle applicazioni di StarkWare, ha ideato Quantum-Safe Bitcoin, o QSB, per risolvere questa debolezza senza modificare il protocollo di consenso di Bitcoin. Il metodo si basa su Binohash e converte la parte del protocollo vulnerabile agli attacchi quantistici in un puzzle hash-firma che dipende dalla resistenza alla preimmagine di RIPEMD-160, anziché dalle assunzioni a curva ellittica che l'algoritmo di Shor può violare. La crittografia basata su hash è una delle tecniche post-quantistiche più antiche e gli schemi di firma post-quantistica standardizzati includono già progetti basati su hash.

Prima di trasmettere la transazione, il mittente esegue fuori catena un calcolo ad alta intensità di risorse. Con la configurazione proposta da Levy, QSB è teoricamente in grado di garantire circa 118 bit di resistenza alla seconda preimmagine rispetto al modello di minaccia di Shor. Un attaccante quantistico beneficerebbe comunque dell'accelerazione quadratica associata all'algoritmo di Grover, ma non otterrebbe il vantaggio esponenziale che l'algoritmo di Shor offre contro la crittografia a curva ellittica.

Il lavoro di Levy è diventato pubblico ad aprile 2026 e l'ingegnere di StarkWare Tomer Giladi ha svolto un ruolo chiave nell'implementazione della prima transazione mainnet con questo metodo.

I limiti del test

L'approccio presenta vincoli pratici. Secondo le ricerche di Levy, il costo del calcolo su GPU fuori catena necessario per generare una transazione è di circa 75-200 dollari, mentre l'abstract dello studio indica una cifra di qualche centinaio di dollari. A seconda della disponibilità di GPU, il calcolo può richiedere diverse ore.

Inoltre, le transazioni QSB possono essere considerate non standard ai sensi della policy di relay di Bitcoin, il che significa che non possono seguire il normale percorso tramite mempool. Per questo motivo StarkWare ha inviato la propria transazione direttamente a un miner e MARA, una delle più grandi società di mining Bitcoin quotate in borsa, l'ha inclusa tramite il servizio Slipstream, gestito dall'azienda per accettare transazioni direttamente anziché attraverso la mempool pubblica.

L'azienda ha inoltre sottolineato che QSB non protegge i 6,04 milioni di BTC che Glassnode ha identificato come già esposti. Se un attaccante ha tempo sufficiente per osservare una chiave pubblica e ricavarne in seguito la chiave privata, l'attacco può avvenire senza attendere la transazione in questione. QSB è pensato come un modo per mettere in sicurezza le monete protette, non per risolvere l'intero problema del rischio quantistico di Bitcoin.

Perché StarkWare chiede comunque un soft fork

Levy e l'amministratore delegato di StarkWare Eli Ben-Sasson, co-inventore delle prove STARK su cui si fonda la tecnologia dell'azienda, affermano che la soluzione a lungo termine resta un aggiornamento a livello di protocollo. Il BIP 360 propone Pay-to-Merkle-Root, o P2MR, come nuovo tipo di output pensato per aiutare gli utenti a migrare lontano dai percorsi di firma vulnerabili agli attacchi quantistici. Il BIP 361 propone una dismissione graduale delle firme ECDSA e Schnorr legacy, e rileva che oltre il 34% di tutti i bitcoin aveva rivelato una chiave pubblica on-chain al 1° marzo 2026.

Le Bitcoin Improvement Proposal sono i documenti di progettazione per modificare il protocollo e l'attivazione di uno dei due come soft fork richiederebbe un ampio consenso tra sviluppatori, miner e utenti, una soglia che storicamente ha reso lenti e rari gli aggiornamenti contestati.

Ben-Sasson ha descritto la dimostrazione di StarkWare come una soluzione tampone temporanea anziché una correzione permanente.

«La scoperta di Avihu è importante perché offre la rassicurazione psicologica di cui abbiamo bisogno e di cui ha bisogno l'asset stesso.»

In passato ha paragonato la risposta del settore cripto alla minaccia ai passeggeri del Titanic. Dopo il test di mercoledì, ha detto che la dimostrazione ha mostrato che «ci sono scialuppe di salvataggio».

Bitcoin scambiava intorno ai 78.620 dollari mentre la notizia circolava.