Taproot e il multisig invisibile: MuSig2, FROST e la custodia

Il 31 ottobre è una data che chi segue Bitcoin conosce a memoria: diciotto anni fa, nel 2008, Satoshi Nakamoto pubblicava il white paper. Quest’anno la vigilia arriva carica di tensione, ma per un motivo diverso. Domani Paul Sztorc e LayerTwo Labs faranno partire ECX, una hard fork che copia il registro di Bitcoin e volta le spalle al processo delle soft fork, mentre sul ramo principale il tentativo di attivare la BIP-54 resta impantanato da mesi. I titoli parlano di scismi, di aggiornamenti che non riescono a partire, di una comunità che litiga su come, e perfino se, toccare ancora il protocollo.

Eppure la trasformazione più concreta che Bitcoin ha vissuto negli ultimi dodici mesi non ha richiesto nessun fork nuovo. È arrivata quasi in silenzio, dentro i wallet, grazie a un aggiornamento che è legge dal novembre 2021: Taproot. La sua eredità più sottovalutata non sono gli Ordinals, i covenant o i rollup di cui si riempiono le cronache, ma qualcosa di molto più noioso e molto più usato: le firme di soglia, cioè la crittografia che permette a molte chiavi di comportarsi, agli occhi della blockchain, come se fossero una sola. Con Bitcoin intorno ai 69.400 euro (CoinGecko, 30 ottobre 2026, in rialzo di circa il 5 per cento in ventiquattro ore), vale la pena guardare dove Taproot ha vinto davvero.

Mentre si litiga sui fork, Taproot ha già vinto altrove

La cronaca recente di Bitcoin è fatta di scontri sul consenso. Da una parte c’è chi, come il fronte di ECX, ha deciso che le soft fork sono ormai impossibili da attivare e ha preferito duplicare la catena e andarsene, uno strappo che abbiamo raccontato nel dettaglio nell’analisi sullo scisma Bitcoin del 31 ottobre. Dall’altra ci sono proposte come la BIP-54 e i covenant, ferme a una manciata di punti percentuali di segnalazione dei miner. Il messaggio implicito è che Taproot, attivato il 14 novembre 2021 al blocco 709.632 (CoinDesk), resti l’ultimo aggiornamento del protocollo entrato in vigore, e che da allora il motore del cambiamento si sia inceppato.

È una lettura che guarda solo il livello del consenso. Perché Taproot non è stato un singolo interruttore, ma una cassetta degli attrezzi composta da tre proposte distinte.

• BIP-340: le firme Schnorr, che rendono possibile aggregare chiavi e firme.
• BIP-341: gli output P2TR (gli indirizzi che iniziano con bc1p) e la struttura ad albero MAST per gli script di spesa.
• BIP-342: Tapscript, il linguaggio aggiornato per scrivere le condizioni di spesa.

La parte che più ha cambiato la vita pratica agli utenti non è quella degli script complicati, ma la prima: Schnorr. Ed è da lì che nasce una rivoluzione silenziosa della custodia, fatta non di nuovi opcode ma di un modo diverso di firmare. Mentre il dibattito pubblico si consuma sulle proposte che non partono, questa parte di Taproot è semplicemente andata in produzione, un wallet alla volta.

Che cosa significa davvero firma aggregata

Per anni il multisig di Bitcoin ha funzionato in modo robusto ma trasparente: per spendere da un portafoglio 2-di-3 occorreva mostrare sulla blockchain tre chiavi pubbliche e almeno due firme separate, una accanto all’altra. Chiunque guardasse la transazione vedeva lo schema esatto: quante chiavi, quale soglia, quali avevano firmato. Questo perché l’algoritmo di firma storico di Bitcoin, ECDSA, non si presta a essere combinato in modo pulito; ogni firmatario resta un’entità visibile e separata.

Le firme Schnorr introdotte con la BIP-340 hanno una proprietà matematica che a ECDSA manca: sono lineari. In termini semplici, due chiavi pubbliche possono essere sommate in una terza chiave, e le rispettive firme possono essere combinate in una firma unica, valida per quella chiave aggregata. L’idea non è nuova (le prime proposte di firme aggregate alla Bellare-Neven circolano da oltre un decennio), ma solo con Taproot è diventata utilizzabile sulla rete principale di Bitcoin. Il risultato, sulla catena, è spiazzante: un portafoglio controllato da tre persone può apparire identico a un portafoglio con una sola chiave. Da questa semplice idea discendono due protocolli che nel 2026 sono diventati lo standard di fatto della custodia avanzata: MuSig2 e FROST.

Per capire la portata del cambiamento conviene un paragone. Con ECDSA un multisig è come un documento che richiede più firme autografe affiancate: chiunque lo guardi conta le firme e riconosce i firmatari. Con Schnorr, invece, le firme si fondono in un unico tratto di penna che vale per tutti insieme e risulta identico a quello di una persona sola. La blockchain registra solo quel tratto finale, non il processo che lo ha prodotto. La differenza non tocca le garanzie di sicurezza, perché servono sempre le chiavi giuste per spendere, ma cancella l’informazione su quante e quali chiavi ci siano dietro. È un cambiamento che agisce su due piani insieme: la dimensione dei dati scritti sulla catena e la quantità di metadati che quei dati rivelano. Per la prima volta, nella storia di Bitcoin, un portafoglio condiviso da un consiglio di amministrazione e un portafoglio personale possono essere letteralmente indistinguibili. È su questa indistinguibilità che si gioca tutto il resto.

MuSig2 (BIP-327): il multisig che sembra un wallet qualunque

MuSig2 è il primo dei due mattoni. Specificato nella BIP-327 (autori Jonas Nick, Tim Ruffing ed Elliott Jin, stato «Deployed»), permette a più firmatari di generare insieme un’unica chiave pubblica aggregata e di produrre una normale firma Schnorr compatibile con Taproot. Il protocollo lavora in due round: nel primo i partecipanti si scambiano dei valori casuali chiamati nonce, nel secondo le firme parziali, che vengono poi combinate. Il prodotto finale è una firma sola, da 64 byte, indistinguibile da quella di un portafoglio con una chiave. Non è un caso che si chiami MuSig2: la prima versione, MuSig1, richiedeva tre round di comunicazione, e ridurli a due è stato il salto che ha reso lo schema abbastanza pratico da finire nei wallet di consumo.

E nei wallet ci è finito davvero. Ledger ha portato MuSig2 dentro la sua Bitcoin app nella versione 2.4.0, uscita nell’aprile 2025 (Ledger). Nel presentarlo, gli autori del post, l’ingegnere Salvatore Ingala e il crittografo Yannick Seurin (tra i firmatari del paper originale su MuSig2 del 2020), hanno spiegato che «si può creare un output multisig con una sola chiave pubblica e convalidare una transazione che lo spende con una sola firma, indipendentemente dal numero di parti coinvolte». E hanno aggiunto il punto che conta di più: un output MuSig2 non è in alcun modo distinguibile da un comune output a chiave singola, perciò «la privacy arriva come bonus in cima al risparmio di spazio». È una frase che riassume l’intera tesi di questo articolo.

MuSig2 non vive solo nei portafogli multi-persona. Trova impiego anche dove un singolo utente vuole distribuire il rischio tra più dispositivi, per esempio una chiave sul telefono e una su un hardware wallet, oppure nella gestione del cold storage di un exchange, dove firmare con una chiave aggregata evita di rivelare ai concorrenti e agli analisti la struttura interna dei caveau. Ed è il mattone su cui Lightning costruisce i suoi canali di nuova generazione, come vedremo più avanti. In tutti questi casi il vantaggio è lo stesso: meno dati sulla catena, meno impronte, meno superficie di attacco informativa. La frenata, semmai, non è nella crittografia ma nell’hardware: perché un hardware wallet possa partecipare a una firma MuSig2 deve gestire correttamente i nonce segreti, e questo richiede firmware aggiornato e verificato. È il motivo per cui prodotti come il portafoglio di Nunchuk, pur usando MuSig2, all’inizio hanno accettato solo chiavi software. La teoria è pronta da anni; i dispositivi fisici arrivano a scaglioni.

FROST: quando bastano t firme su n

MuSig2 ha un limite: nella sua forma pura è uno schema n-di-n, cioè richiede la firma di tutti i partecipanti. Per la maggior parte dei portafogli reali, dove si vuole uno schema 2-di-3 o 3-di-5 proprio per sopravvivere alla perdita di una chiave, serve qualcosa di più flessibile. Quel qualcosa è FROST (Flexible Round-Optimized Schnorr Threshold), ideato da Chelsea Komlo e Ian Goldberg nel 2020 e standardizzato dall’IRTF nel giugno 2024 come RFC 9591, con una suite dedicata alla curva secp256k1 usata da Bitcoin.

FROST generalizza l’idea di MuSig2 a uno schema t-di-n: bastano t firmatari sugli n totali, e i restanti possono restare offline senza bloccare la spesa. Anche qui il risultato è una singola firma Schnorr da 64 byte, indistinguibile dalle altre. La distribuzione iniziale delle chiavi avviene con un protocollo di generazione distribuita (DKG) in cui nessuno vede mai la chiave completa, un’alternativa più sicura rispetto a spezzare a posteriori un segreto unico. Per Bitcoin il lavoro di standardizzazione prosegue con la proposta BIP-445 (variante FROST3, assegnata a gennaio 2026, ancora in bozza) e con il protocollo di generazione delle chiavi ChillDKG. A irrobustire il tutto c’è ROAST, un involucro proposto da Tim Ruffing e colleghi di Blockstream che garantisce la produzione della firma anche quando la rete è asincrona e alcuni firmatari sono lenti o ostili (Blockstream). Implementazioni di FROST girano già in produzione, dalla libreria libsecp256k1-zkp alla ZF FROST della Zcash Foundation, fino al layer 2 Spark.

Perché la blockchain non vede più la differenza

Il vantaggio più sottile delle firme di soglia è la privacy, e non quella del singolo utente paranoico, ma quella strutturale dell’intero sistema. Un multisig tradizionale lascia un’impronta permanente: rivela la soglia, tutte le chiavi pubbliche e quali di esse hanno firmato. Le società di analisi della blockchain usano queste impronte per riconoscere i fornitori di custodia, raggruppare indirizzi e stimare i saldi dei portafogli (Spark). In pratica, se un servizio noto usa uno schema 2-di-3 ben riconoscibile, una parte del profilo on-chain dei suoi clienti è già scritta in chiaro, e con essa la possibilità di profilare chi muove quei fondi.

Con MuSig2 e FROST quell’impronta sparisce. La transazione è indistinguibile da un pagamento a chiave singola, e un osservatore non può nemmeno sapere se dietro ci fossero una, tre o cinque chiavi. Nunchuk, che ha lanciato un portafoglio multisig Taproot in beta usando proprio MuSig2, lo riassume così: gli osservatori «non possono dire quante parti hanno partecipato alla firma» (Nunchuk). Il beneficio è doppio. C’è la privacy di chi custodisce, che non espone più la propria architettura di sicurezza al primo blockchain explorer. E c’è la fungibilità di tutta la rete: meno informazioni trapelano dai pattern di spesa, più ogni bitcoin somiglia a ogni altro, e meno è probabile che una moneta venga trattata diversamente in base alla sua storia. In un’epoca in cui gli exchange filtrano i depositi in base all’analisi della catena, non è una questione astratta.

Il conto alla cassa: quanto si risparmia davvero

La seconda ragione è economica, e parla a chiunque abbia mai pagato una commissione salata per muovere fondi da un multisig. Sulla blockchain si paga in base al peso della transazione, misurato in vByte, e un multisig tradizionale è pesante perché deve trascinarsi dietro chiavi e firme multiple. Una firma aggregata, invece, ha un costo quasi costante a prescindere dal numero di partecipanti. I numeri, calcolati sul peso per input, sono eloquenti.

La forbice si allarga con le soglie alte. Un 3-di-5 in P2WSH arriva a circa 350 vByte per input, mentre lo stesso 3-di-5 firmato con FROST attraverso il key-path di Taproot resta a 57,5 vByte: una riduzione delle commissioni di circa l’80 per cento, secondo l’analisi di Spark. Anche nei casi più comuni il risparmio rispetto al multisig legacy si colloca di solito tra il 30 e il 40 per cento. In una fase di commissioni basse la differenza è di pochi centesimi di euro per input; ma durante una congestione come quelle viste ai picchi degli Ordinals, quando le fee schizzano, lo stesso prelievo può costare dieci volte tanto, e lì l’aggregazione diventa la differenza tra muovere i fondi e lasciarli bloccati in attesa di tempi migliori.

Un esempio concreto aiuta a quantificare. Immaginiamo un’azienda italiana che gestisce la tesoreria in Bitcoin con uno schema 3-di-5 e che debba effettuare dieci prelievi in un mese di forte congestione, con le commissioni a 150 sat per vByte e ipotizzando un input per operazione. Ogni input in P2WSH classico pesa circa 350 vByte, con FROST sul key-path appena 57,5: la differenza vale quasi 44.000 satoshi di commissioni per operazione, che moltiplicati per dieci superano i quattrocentomila satoshi, pari a qualche centinaio di euro al cambio attuale, risparmiati solo in fee di rete. Sembra poco in assoluto, ma su volumi e frequenze da operatore professionale, o per un fondo che ribilancia spesso, il risparmio annuo diventa una voce di bilancio e non un dettaglio tecnico. È anche il motivo per cui molti servizi di custodia spingono i clienti verso Taproot: ogni prelievo che pesa meno è margine che resta all’utente invece di finire ai miner.

Il lato scomodo: il nonce che non si riusa mai

Le firme di soglia non sono magia gratuita: spostano la complessità da dove si vedeva, la blockchain, a dove non si vede, il protocollo di firma. E lì si annida il rischio. La stessa BIP-327 lo mette nero su bianco: l’algoritmo di firma «non deve mai essere eseguito due volte con lo stesso secnonce», perché da due firme parziali prodotte con lo stesso nonce è possibile estrarre la chiave segreta. Non solo: a differenza di una normale firma Schnorr a chiave singola, qui i nonce non possono essere generati in modo deterministico, perché un avversario attivo potrebbe sfruttarli per forzare un riuso. Gestire quei valori casuali, e cancellarli subito dopo averli usati, è la parte delicata di ogni implementazione, ed è anche la ragione per cui la storia della ricerca è piena di attacchi a schemi a due round costruiti in modo ingenuo.

A questo si aggiunge il fatto che la firma è interattiva: i partecipanti devono comunicare in due round, serve un coordinatore e serve che i firmatari siano online al momento giusto (è anche il motivo per cui FROST, che tollera firmatari assenti, e ROAST, che garantisce comunque un risultato, sono così importanti). Vale però la pena ricordare che l’alternativa più diffusa nella custodia istituzionale, l’MPC in salsa ECDSA, ha un curriculum di incidenti peggiore: le vulnerabilità BitForge (CVE-2023-33241, estrazione completa della chiave in sedici firme, oltre quindici fornitori colpiti) e Lindell17 (CVE-2023-33242) hanno mostrato quanto possa essere fragile quella strada, mentre FROST, fondato sul più semplice schema Schnorr, non ha exploit noti a oggi (Spark). In crittografia la semplicità è una virtù di sicurezza, non un vezzo estetico.

La custodia nel 2026: chi usa già le firme di soglia

Dalla teoria ai prodotti. Nel 2026 il panorama della custodia è un misto: alcuni wallet hanno abbracciato l’aggregazione pura, altri usano Taproot per gli script di spesa e tengono l’aggregazione come opzione sul key-path. Vale la pena distinguere, perché «multisig Taproot» non significa automaticamente «firma aggregata MuSig2».

Nunchuk è il caso più puro: combina MuSig2 con Taproot per ottenere uno schema M-di-N, usando la coppia di chiavi più frequente come key-path (il percorso ottimale per privacy e commissioni) e le altre combinazioni come script-path di riserva. Resta però in beta, con una limitazione netta che l’azienda stessa invita a rispettare: solo chiavi software, niente hardware wallet per ora, e dunque niente grandi somme. Per il lato degli script di spesa veri e propri, dai vault alle eredità programmabili, rimane valido quanto abbiamo scritto nell’analisi dedicata a Miniscript e alla custodia programmabile: Miniscript descrive le condizioni di spesa, MuSig2 e FROST decidono come si firma. Sono due strati complementari, e i prodotti migliori li usano insieme.

Attorno a questi nomi si muove un ecosistema più ampio. Coordinatori come Sparrow e servizi di custodia collaborativa come Unchained o BitGo hanno costruito negli anni flussi di lavoro basati sul multisig classico, e stanno valutando come e quando passare all’aggregazione senza spezzare la compatibilità con gli hardware wallet già diffusi tra i loro clienti. È proprio questo il collo di bottiglia del 2026: la crittografia è pronta e standardizzata, ma i dispositivi fisici che custodiscono le chiavi devono aggiornarsi uno a uno, e finché non lo fanno molti utenti restano sul multisig tradizionale, più pesante ma pienamente supportato. La transizione, insomma, non dipende da un fork né da una votazione, ma dalla lenta sincronizzazione di wallet, coordinatori e produttori di hardware. Chi oggi apre un portafoglio a chiave singola su un indirizzo bc1p sta già usando Taproot senza saperlo; chi vuole il multisig aggregato deve ancora verificare che tutta la sua catena di strumenti lo supporti.

Eredità, chiavi e il multisig che si adatta nel tempo

La cultura dell’autocustodia ha creato un problema che nel 2026 inizia a esplodere: milioni di bitcoin custoditi da persone che non hanno lasciato istruzioni comprensibili agli eredi. Una seed phrase nascosta troppo bene equivale a fondi persi per sempre. Le firme di soglia, unite ai timelock di Taproot, offrono una risposta elegante. Si può costruire un multisig «a decadimento», in cui con il passare del tempo servono meno chiavi per spendere: finché il titolare è vivo e attivo serve la soglia piena, ma dopo un periodo prolungato di inattività si apre un percorso di recupero che consente a un erede di accedere ai fondi con un numero ridotto di chiavi.

I prodotti lo stanno traducendo in funzioni concrete. Casa ha introdotto una funzione di eredità che permette al titolare di un vault di assegnare chiavi cifrate ai beneficiari, con un vault a cinque chiavi in cui una chiave hardware è condivisa con il destinatario (Cointelegraph). Liana implementa la stessa logica con una chiave del proprietario più una chiave di recupero bloccata da un timelock CSV, il tutto in un descrittore portabile che non richiede un custode terzo. Servizi come Theya e AnchorWatch spingono sulla stessa idea, con AnchorWatch che aggiunge una copertura assicurativa fino a determinati limiti, garantita dai Lloyd’s of London. Il filo conduttore è che la chiave non è più un segreto unico da nascondere, ma una tra tante, sostituibile e recuperabile. È un cambio di paradigma per chi pianifica la successione di un patrimonio in Bitcoin.

Resta un nodo che la tecnologia da sola non scioglie: quello giuridico. In Italia i bitcoin rientrano nell’asse ereditario e vanno dichiarati, ma nessuna legge impone a un erede di saper usare un hardware wallet o di conoscere l’esistenza di una chiave di recupero. Gli schemi a decadimento aiutano sul piano tecnico, garantendo che i fondi diventino accessibili dopo un certo tempo, ma vanno accompagnati da istruzioni scritte, da un professionista informato e idealmente da un erede che abbia già provato il processo almeno una volta. Qui la flessibilità di FROST conta più che altrove: in uno schema 3-di-5 due chiavi possono andare perse, essere compromesse o restare irraggiungibili senza che i fondi si blocchino, un margine di errore che per una successione familiare fa la differenza tra un patrimonio recuperabile e uno perduto per sempre. La custodia programmabile, in fondo, sposta il problema dalla segretezza assoluta alla continuità del controllo, che è esattamente ciò di cui una successione ordinata ha bisogno.

Istituzioni, controllo provabile e le regole MiCA

Lo stesso meccanismo che serve a una famiglia serve, su scala diversa, a una banca o a un fondo. Nick Neuman, amministratore delegato di Casa, racconta che «sempre di più nell’ultimo anno Casa aiuta grandi istituzioni che hanno bisogno di una sicurezza dimostrabile e di un controllo dimostrabile per mettere al sicuro i loro asset» (Bitcoin Magazine). Il punto chiave è proprio il controllo dimostrabile: un multisig distribuito non ha un singolo punto di rottura e consente di revocare una chiave quando una persona lascia l’organizzazione. «Se qualcuno che controllava una chiave se ne va, puoi ruotare quella chiave completamente», spiega Neuman, aggiungendo che per le istituzioni l’azienda ha costruito «ulteriori garanzie, tracciabilità e visibilità».

Per l’Italia questa dimensione incrocia la regolamentazione. MiCA non disciplina il protocollo Bitcoin né decide quale schema di firma sia lecito: regola i fornitori di servizi, non la crittografia. Ma l’articolo 75 del regolamento fissa un regime di responsabilità per chi custodisce cripto-attività per conto dei clienti, e il quadro europeo DORA impone requisiti di resilienza operativa sui sistemi informatici. In Italia la vigilanza è ripartita tra Consob, per la condotta di mercato e la tutela degli investitori, e Banca d’Italia, per i profili prudenziali, secondo il decreto legislativo 5 settembre 2024, n. 129; il periodo transitorio per gli operatori si è chiuso il 1 luglio 2026. Un custode che deve dimostrare a un’autorità di avere il controllo effettivo delle chiavi, senza però esporre pubblicamente la propria struttura di sicurezza, trova nelle firme di soglia uno strumento quasi su misura: auditabilità interna e opacità verso l’esterno. Non a caso Consob, insieme all’AMF francese e alla FMA austriaca, ha chiesto una vigilanza più uniforme sui grandi fornitori europei, un tema che abbiamo seguito nel ritratto di Comporti al vertice dell’ESMA.

Lightning: i canali Taproot e i pagamenti PTLC

Le firme aggregate non restano confinate al livello base. Su Lightning, un canale di pagamento è in fondo un multisig 2-di-2 tra due nodi, e proprio lì MuSig2 fa la differenza. I cosiddetti simple taproot channels fanno sì che l’apertura e la chiusura di un canale somiglino a una transazione qualunque, nascondendo il fatto stesso che si tratti di Lightning. Dopo quattro anni di lavoro la specifica (la PR #995 dei BOLT) è stata unita a maggio 2026; LND ha reso i canali Taproot pronti per la produzione nella versione 0.21 di giugno 2026 ed Eclair li ha seguiti nella 0.13, mentre Core Lightning è ancora indietro (Spark, Bitcoin Magazine). Per ora questi canali possono restare solo privati, non annunciati: per pubblicizzarli nella rete serve un aggiornamento del protocollo di gossip ancora in cantiere.

Il passo successivo sono i PTLC (Point Time-Locked Contracts), che sostituiscono gli attuali hash con punti di curva ellittica costruiti sulle firme adattatore di Schnorr, anch’esse rese pratiche da Taproot. Promettono pagamenti più privati e instradamenti meno tracciabili, perché ogni salto del percorso usa un segreto diverso invece dello stesso hash ripetuto. Non sono ancora l’impostazione predefinita nel 2026: sono specificati, prototipati e in attesa che l’adozione dei canali Taproot, appena arrivata in produzione, diventi la norma. È l’ennesimo esempio di come il valore di Taproot continui a sbloccarsi a scoppio ritardato, senza bisogno di toccare il consenso.

Oltre la custodia: Ordinals, stablecoin e layer 2

La stessa coppia Schnorr-Taproot che rende invisibile il multisig è il substrato di buona parte di ciò che si muove su Bitcoin nel 2026. Gli Ordinals e le Rune, che hanno riempito i blocchi e diviso la comunità, vivono dentro gli script Taproot; le collezioni più solide, come abbiamo visto raccontando i NodeMonkes, hanno costruito la loro legittimità proprio lì. Gli stablecoin nativi su Bitcoin, emessi via Taproot Assets o su layer 2 come Spark, usano la stessa infrastruttura e si inseriscono nella corsa alle valute digitali in euro di cui parliamo a proposito di EUR.bank e del Bancomat. E le firme adattatore abilitano i Discreet Log Contract, mentre le statechain di Spark affidano a FROST la firma condivisa tra gli operatori. In tutti questi casi la novità non è un fork, ma un uso più profondo di ciò che Taproot ha già consegnato quattro anni fa.

Il convitato di pietra: che cosa fa il quantum a MuSig2 e FROST

C’è un punto che il marketing della custodia tende a dimenticare. MuSig2 e FROST sono firme Schnorr classiche sulla curva secp256k1: la loro sicurezza poggia sulla difficoltà del logaritmo discreto, esattamente come una firma a chiave singola. Aggregare chiavi o distribuirle tra più firmatari migliora la resilienza contro furti, coercizioni e singoli punti di rottura, ma non offre alcuna protezione contro un computer quantistico. Un avversario capace di risolvere il logaritmo discreto romperebbe la chiave aggregata tanto quanto quella singola. Anzi, poiché gli output Taproot rivelano la chiave pubblica sulla catena fin dal momento in cui ricevono fondi, un portafoglio MuSig2 è esposto da subito, non solo al momento della spesa.

Il tema è uscito dai convegni ed è entrato nelle sale dei consigli di amministrazione. Il 13 ottobre 2026 Coinbase, che custodisce circa il 5 per cento di tutti i bitcoin, ha pubblicato un documento che invita Bitcoin ad avviare subito la migrazione post-quantistica, firmato da un comitato consultivo che include i professori Scott Aaronson e Dan Boneh (TFTC). La proposta punta su disegni flessibili come la BIP-360 e un ipotetico P2TRv2, e su portafogli ibridi 1-di-2 che si possono spendere con una chiave attuale oppure con una chiave post-quantistica separata. Le stime citate parlano di circa una probabilità su sei che un computer quantistico davvero rilevante esista entro il 2035. Il problema, per il tema di questo articolo, è che gli schemi di soglia post-quantistici, l’equivalente di FROST per le firme resistenti ai quanti, sono ancora materia di ricerca: la crittografia che oggi rende il multisig invisibile dovrà essere in buona parte reinventata.

Nel frattempo la traiettoria resta quella del progresso silenzioso. Nei prossimi mesi la BIP-445 e ChillDKG dovrebbero stabilizzarsi, gli hardware wallet dovrebbero sbloccare il supporto a MuSig2 che oggi manca a Nunchuk, e i canali Taproot dovrebbero diventare annunciabili pubblicamente su Lightning. Nessuna di queste cose finirà in prima pagina come uno scisma o come un fork che fallisce. Ma è qui, non nelle guerre sul consenso, che Taproot continua a cambiare Bitcoin: una firma alla volta, invisibile per definizione.

Domande frequenti

Che cos’è MuSig2 e perché è legato a Taproot?

MuSig2 è un protocollo che permette a più firmatari di produrre un’unica firma Schnorr valida per una sola chiave pubblica aggregata. È legato a Taproot perché sfrutta le firme Schnorr introdotte con la BIP-340 e gli output P2TR della BIP-341: senza quell’aggiornamento del 2021 non sarebbe utilizzabile su Bitcoin. Il risultato è un multisig indistinguibile, sulla blockchain, da un normale portafoglio a chiave singola.

Qual è la differenza tra MuSig2 e FROST?

MuSig2 è uno schema n-di-n: richiede la firma di tutti i partecipanti. FROST è uno schema di soglia t-di-n: bastano t firmatari sugli n totali e i restanti possono restare offline. Entrambi producono una singola firma Schnorr da 64 byte, ma FROST è più adatto ai portafogli reali come 2-di-3 o 3-di-5; per Bitcoin è in corso di standardizzazione con la proposta BIP-445.

Usare un multisig Taproot fa risparmiare davvero sulle commissioni?

Sì. Una spesa aggregata su P2TR key-path pesa circa 57,5 vByte per input, contro i circa 104,5 di un 2-di-3 P2WSH e i circa 350 di un 3-di-5 P2WSH. Per le soglie alte il risparmio può arrivare intorno all’80 per cento, mentre nei casi più comuni si colloca di solito tra il 30 e il 40 per cento rispetto al multisig tradizionale. Il costo resta quasi costante a prescindere dal numero di chiavi.

Le firme di soglia proteggono i miei bitcoin da un computer quantistico?

No. MuSig2 e FROST sono firme Schnorr classiche sulla curva secp256k1 e la loro sicurezza dipende dal logaritmo discreto, come per una chiave singola. Un computer quantistico capace di rompere quel problema violerebbe la chiave aggregata esattamente come quella di un wallet normale. Anzi, gli output Taproot espongono la chiave pubblica fin da subito. La protezione dai quanti richiederà schemi diversi, come quelli proposti nella BIP-360, oggi ancora in sviluppo.

Un wallet multisig Taproot è adatto alla pianificazione dell’eredità?

Sì, ed è uno degli usi più promettenti. Combinando le firme di soglia con i timelock di Taproot si costruiscono schemi a decadimento, in cui dopo un periodo di inattività si apre un percorso di recupero per gli eredi. Servizi come Casa, Liana, Theya e AnchorWatch offrono già funzioni di questo tipo, con chiavi assegnabili ai beneficiari, recupero temporizzato e, in alcuni casi, copertura assicurativa.

Marcus Okafor è senior editor di HOGE Wire; segue Bitcoin, i suoi layer 2 e l’evoluzione della custodia on-chain.