Bitcoin post-quantum: come funziona il piano BIP-360 e BIP-361

Il 24 aprile 2026 un ricercatore indipendente, Giancarlo Lelli, ha vinto un bitcoin intero rompendo una chiave crittografica a curva ellittica su hardware quantistico accessibile via cloud. La chiave era lunga appena 15 bit, un giocattolo rispetto ai 256 bit che proteggono un vero indirizzo Bitcoin, ma il premio, il Q-Day Prize del progetto Project Eleven, e la reazione che ne è seguita hanno reso improvvisamente concreto un dibattito che fino a poco tempo fa sembrava fantascienza per addetti ai lavori. Come ha riportato CoinDesk, il salto rispetto al precedente record (una chiave a soli 6 bit, nel settembre 2025) è stato di 512 volte.

Perché questa storia riguarda proprio Taproot, l’aggiornamento che nel novembre 2021 ha introdotto le firme Schnorr e gli indirizzi bc1p su Bitcoin? Perché è proprio l’architettura di Taproot, per come rivela le chiavi pubbliche sulla blockchain, a rendere il problema più urgente di quanto sembrasse fino a un anno fa. In questo approfondimento vediamo perché, cosa propongono i due Bitcoin Improvement Proposal nati per rispondere, BIP-360 e BIP-361, come si sono evolute nelle ultime settimane e cosa cambia realmente, oggi, per chi possiede bitcoin.

Un bitcoin vinto rompendo una chiave: la scintilla che ha riacceso l’allarme

Il Q-Day Prize non è un concorso qualunque. Project Eleven, la società che lo organizza, mette in palio bitcoin veri per chiunque riesca a derivare una chiave privata da una chiave pubblica usando hardware quantistico realmente esistente, non simulazioni teoriche. Lelli ha utilizzato una variante dell’algoritmo di Shor, lo stesso che in teoria potrebbe un giorno rompere la crittografia a curva ellittica su cui si basano tutte le firme Bitcoin, e buona parte di quelle Ethereum. Il CEO di Project Eleven, Alex Pruden, ha sintetizzato così il senso dell’esperimento in una dichiarazione riportata da CoinDesk: «i requisiti di risorse per questo tipo di attacco continuano a scendere, e con essi scende anche la barriera per portarlo a termine nella pratica».

Detto con chiarezza: nessun computer quantistico oggi esistente si avvicina lontanamente a rompere una chiave a 256 bit come quelle usate da Bitcoin. Ma la traiettoria conta quanto il punto di arrivo, ed è quella traiettoria a spiegare perché due proposte di aggiornamento del protocollo, BIP-360 e BIP-361, sono passate nel giro di pochi mesi da esercizio accademico a tema di conversazione quotidiano tra sviluppatori, custodi ed exchange.

Perché Taproot è diventato il punto debole

Per capire perché Taproot, attivato al blocco 709.632 il 14 novembre 2021, sia finito al centro del dibattito sul rischio quantistico, occorre guardare a un dettaglio tecnico spesso trascurato dalla stampa generalista. Gli indirizzi Bitcoin più vecchi, quelli SegWit (bc1q) o legacy, nascondono la chiave pubblica dietro un hash fino al momento in cui i fondi vengono spesi per la prima volta: chi osserva la blockchain vede solo l’hash, non la chiave. Gli indirizzi Taproot (bc1p), invece, espongono la chiave pubblica per costruzione fin dal momento della ricezione dei fondi, non solo alla spesa.

Questa scelta di design non è un errore: è ciò che rende possibili le funzionalità che hanno reso Taproot interessante fin dal 2021, dalle firme aggregate MuSig2 ai contratti più efficienti basati sul Merkle Abstract Syntax Tree. Ma ha una conseguenza scomoda nell’era del dibattito quantistico: ogni bitcoin ricevuto su un indirizzo Taproot è, in teoria, attaccabile da un computer quantistico abbastanza potente fin dal giorno del deposito, non solo nella finestra di tempo tra l’invio di una transazione e la sua conferma. Gli esperti chiamano questo scenario esposizione prolungata (long exposure), distinguendolo dall’esposizione breve (short exposure) che riguarda invece qualunque indirizzo, compresi quelli SegWit, nei minuti che intercorrono tra la trasmissione di una transazione e la sua inclusione in un blocco. Di questo scenario più ampio, tra rinascita dei covenant e primi allarmi quantistici, avevamo già parlato nel nostro precedente approfondimento su Taproot e il rischio quantistico; qui ci concentriamo specificamente sulle due proposte tecniche nate per rispondere a quell’allarme, e su come si stanno evolvendo nella pratica.

La tabella seguente riassume le differenze chiave tra i formati di indirizzo Bitcoin oggi in uso e quello proposto da BIP-360.

Cosa Taproot ha già cambiato, e perché il rischio quantistico non lo rende inutile

Prima di addentrarci nelle proposte tecniche pensate per rispondere al rischio quantistico, vale la pena ricordare perché Taproot resti comunque un aggiornamento importante, a prescindere da tutto il resto. Da quando è stato attivato, Taproot ha reso possibile MuSig2 (BIP 327), uno schema di firma aggregata che permette a più firmatari di un multisig di produrre un’unica firma Schnorr indistinguibile da quella di un singolo utente, con un risparmio sensibile sulle commissioni di transazione rispetto ai vecchi schemi multisig SegWit.

L’adozione, dopo il picco del 2024 legato alla corsa a Ordinals e Runes, si è nel frattempo spostata su un utilizzo più organico, trainato da wallet e protocolli come Lightning Labs, BitGo, Nunchuk e Ledger, piuttosto che dalla pura speculazione sulle inscription. Nessuna di queste applicazioni sparisce a causa del dibattito quantistico: il problema riguarda specificamente la sicurezza a lunghissimo termine delle chiavi esposte, non l’utilità quotidiana del protocollo. È una distinzione utile per non scambiare un dibattito tecnico serio, che riguarda un orizzonte di anni, per un allarme sulla tenuta di Bitcoin nel breve periodo.

Lo studio di Google che ha abbassato l’asticella

A marzo 2026, un gruppo di ricerca di Google Quantum AI ha pubblicato uno studio che ha ridimensionato in modo drastico le stime precedenti sulle risorse necessarie per un attacco quantistico alla crittografia di Bitcoin. Secondo l’analisi, ripresa da CoinDesk, rompere lo schema di firma di Bitcoin potrebbe richiedere meno di 500.000 qubit fisici, contro stime precedenti nell’ordine di alcuni milioni, una riduzione di circa venti volte. Il modello concreto di attacco descritto richiederebbe tra 1.200 e 1.450 qubit logici di alta qualità e potrebbe, in teoria, rompere una chiave pubblica esposta e falsificare una transazione concorrente in circa nove minuti, con una probabilità stimata attorno al 41% di battere sul tempo il trasferimento originale, dato un tempo medio di conferma di circa dieci minuti.

Google stessa ha voluto chiarire i limiti della divulgazione: la dimostrazione fornita è una prova a conoscenza zero del risultato, non un manuale d’attacco completo, proprio per evitare di armare potenziali malintenzionati o di alimentare un panico ingiustificato. L’azienda fissa la propria stima interna per sistemi quantistici realmente utili attorno al 2029: un orizzonte non immediato, ma nemmeno lontano quanto si pensava anche solo un anno fa.

Quanti bitcoin sono davvero esposti

Le stime più citate parlano di circa 6,9 milioni di bitcoin, quasi un terzo dell’offerta in circolazione, già custoditi su indirizzi che espongono una chiave pubblica sulla blockchain. Questa cifra è stata confermata in modo indipendente sia dalla copertura CoinDesk dello studio Google di marzo sia, più di recente, da un position paper del Coinbase Quantum Advisory Council, il comitato di crittografi indipendenti convocato dall’exchange all’inizio del 2026.

Dentro quella cifra ci sono due categorie molto diverse. Da un lato gli indirizzi Taproot, esposti fin dalla ricezione per il motivo spiegato sopra. Dall’altro un blocco più antico e per certi versi più delicato: circa 1,7 milioni di bitcoin fermi su indirizzi Pay-to-Public-Key (P2PK) risalenti ai primissimi anni di Bitcoin, un formato precedente persino agli indirizzi hash-based oggi comuni, che include con ogni probabilità buona parte delle monete storicamente attribuite a Satoshi Nakamoto. A questi si aggiungono gli indirizzi di qualunque tipo riutilizzati più volte, che per definizione hanno già rivelato la propria chiave pubblica alla prima spesa. In sintesi, il problema non riguarda un difetto specifico di Taproot in sé, ma la combinazione tra un design che espone le chiavi per scelta e una storia quindicennale di indirizzi più vecchi mai aggiornati.

Le voci del settore: tra allarme e scetticismo

Il dibattito che ne è seguito ha diviso analisti, sviluppatori e investitori. L’analista on-chain Willy Woo ha pubblicato una guida alla migrazione «quantum-safe» che invita chi detiene grandi quantità di bitcoin a spostare i fondi dagli indirizzi Taproot verso formati SegWit più vecchi, basati su hash, come misura precauzionale immediata. In un commento ripreso da Yahoo Finance, Woo ha comunque mantenuto un tono costruttivo: «Bitcoin resta il miglior bene monetario se si guarda oltre un orizzonte di dieci anni. Il quantum computing non romperà BTC, perché BTC saprà adattarsi».

Più allarmista Charles Edwards, fondatore e CEO di Capriole Investments, secondo cui il settore dovrebbe puntare a un aggiornamento coordinato a livello di protocollo entro la fine del 2026, piuttosto che affidarsi a migrazioni spontanee lasciate ai singoli utenti. Edwards ha introdotto il concetto di «Quantum Discount Factor», uno sconto di equo valore che stima attorno al 20% per il 2026, e ha avvertito di un possibile scenario di bitcoin sotto i 50.000 dollari attorno al 2028 se il problema restasse irrisolto, secondo quanto riportato da blockchain.news.

Non tutti condividono lo stesso senso di urgenza. Changpeng Zhao, fondatore di Binance, ha ridimensionato l’allarme con una battuta ripresa da CoinDesk: «Tutto quello che le crypto devono fare è aggiornarsi ad algoritmi resistenti al calcolo quantistico. Quindi, nessun motivo di panico». Sulla stessa lunghezza d’onda murchandamus, uno dei redattori dei Bitcoin Improvement Proposal, che ha dichiarato di dubitare che «la minaccia quantistica si materializzi nei prossimi decenni», pur avendo comunque accettato la pubblicazione delle proposte in stato di bozza. Posizioni opposte, ma convergenti su un punto: meglio avere un piano pronto prima che serva davvero.

BIP-360: la nuova architettura Pay-to-Merkle-Root

La risposta tecnica più matura porta il nome di BIP-360, una proposta firmata da Hunter Beast, Ethan Heilman e Isabel Foxen Duke, pubblicata nel repository ufficiale bitcoin/bips l’11 febbraio 2026. L’idea centrale, spiegata sul sito dedicato bip360.org, introduce un nuovo tipo di output chiamato Pay-to-Merkle-Root (P2MR), che conserva quasi tutte le funzionalità di un output Taproot standard ma elimina la componente più rischiosa: la keypath spend, cioè la possibilità di spendere i fondi rivelando direttamente la chiave pubblica invece di passare attraverso lo script tree.

Un punto va chiarito, perché spesso frainteso anche da parte della copertura giornalistica generalista: BIP-360 di per sé non introduce alcuna nuova firma post-quantum. Gli stessi autori lo descrivono come un primo passo «critico ma relativamente poco invasivo», che pone le basi strutturali affinché future proposte possano innestare schemi di firma resistenti al calcolo quantistico, come le famiglie a base reticolare standardizzate dal NIST nel 2024, senza dover riprogettare da zero il formato degli indirizzi. In altre parole, BIP-360 riordina la casa in vista di un trasloco che arriverà con proposte successive: non è ancora il trasloco stesso. Lo stato attuale della proposta resta «Draft» nel processo BIP, il che significa che è aperta alla discussione della comunità ma non ha ancora una data di attivazione.

BIP-361: il piano per migrare (ed eventualmente congelare) i fondi vulnerabili

Se BIP-360 riguarda la struttura degli indirizzi, BIP-361, intitolata «Post Quantum Migration and Legacy Signature Sunset» e firmata da Jameson Lopp, Christian Papathanasiou, Ian Smith, Joe Ross, Steve Vaile e Pierre-Luc Dallaire-Demers, affronta la domanda più delicata: cosa succede ai circa 6,9 milioni di bitcoin già esposti, se nessuno li sposta volontariamente in tempo? La proposta, resa pubblica ad aprile 2026 e descritta nel dettaglio dal repository ufficiale bitcoin/bips, delinea un meccanismo scaglionato in due fasi.

Nella Fase A, che scatterebbe circa 160.000 blocchi (grosso modo tre anni) dopo l’attivazione, la rete smetterebbe di accettare nuovi invii di fondi verso indirizzi di tipo vulnerabile al calcolo quantistico, spingendo l’adozione dei nuovi formati resistenti senza toccare i fondi già depositati. Nella Fase B, circa due anni dopo l’attivazione della Fase A (cinque anni in totale dall’inizio del processo), le spese tramite firme ECDSA o Schnorr «legacy» verrebbero vincolate a un protocollo di recupero quantum-safe, così da impedire che un ipotetico attaccante quantistico possa semplicemente svuotare gli indirizzi vulnerabili rimasti.

Il meccanismo tecnico proposto per questo recupero si basa su prove ZK-STARK: chiunque utilizzi un portafoglio con derivazione gerarchica «hardened» (BIP-32) potrebbe dimostrare, tramite una prova a conoscenza zero, di conoscere la chiave privata originale da cui derivano i fondi, senza dover rivelare quella chiave. È un meccanismo concettualmente non troppo lontano da quanto abbiamo raccontato nel nostro approfondimento sul verifiable compute, dove una dimostrazione crittografica sostituisce la fiducia riposta in un singolo esecutore. Non a caso, la stessa intestazione tecnica del BIP elenca come prerequisito una futura, non ancora scritta, «Post Quantum Signature BIP»: anche BIP-361, come BIP-360, è un’impalcatura che aspetta ancora il pezzo mancante.

Un confronto diretto aiuta a non confondere le due proposte, che rispondono a domande diverse ma lavorano in tandem.

Un piano in evoluzione: da tre fasi a due

Vale la pena segnalare un dettaglio che dice molto su quanto sia ancora fluido questo processo. Nelle settimane immediatamente successive alla pubblicazione di BIP-361, resoconti come quello di MEXC News descrivevano la proposta con una struttura a tre fasi, dove una terza fase separata, la Fase C, avrebbe dovuto occuparsi specificamente del meccanismo di recupero tramite prove a conoscenza zero per chi rischiava di restare escluso dai propri fondi. Consultando oggi la versione più aggiornata del testo sul repository ufficiale, quella terza fase non compare più come sezione distinta: il meccanismo di recupero risulta ora incorporato direttamente nella Fase B. Non è chiaro se si tratti solo di una riorganizzazione editoriale del documento o di una scelta tecnica più sostanziale, ma è un promemoria utile che i BIP restano bozze vive, modificate via via che la community discute e trova criticità.

Non è un dettaglio da poco. Il revisore che si firma Conduition aveva definito quel meccanismo di recupero «il singolo elemento più critico di qualunque proposta di congelamento che abbia carattere confiscatorio», sostenendo che la proposta fosse incompleta senza di esso. Jameson Lopp, tra gli autori, ha comunque voluto chiarire il principio di fondo dietro tutta la proposta: «Nessuno può essere costretto a migrare le proprie monete. D’altro canto, nessuno può nemmeno essere costretto ad accettare monete provenienti da schemi di firma vulnerabili al calcolo quantistico», ha dichiarato secondo quanto riportato da MEXC News. Lopp ha anche confermato che la sezione dedicata al deployment vero e proprio è stata rimossa dal testo prima dell’approvazione finale, segno che le condizioni tecniche per un’attivazione reale non sono considerate ancora mature. Ethan Heilman, pur definendo la proposta «eccellente» nella sua revisione su GitHub, ha comunque chiesto chiarimenti sul perché si sia scelto di rifiutare le transazioni legacy invece di congelarle direttamente.

BTQ Technologies e il primo test pratico su testnet

Mentre la discussione sulle regole prosegue tra sviluppatori, qualcuno ha già provato a costruire un’implementazione funzionante. BTQ Technologies ha annunciato a marzo 2026 il primo deployment operativo di BIP-360 sulla propria rete di prova, la Bitcoin Quantum Testnet v0.3.0, con oltre 50 miner partecipanti e più di 100.000 blocchi prodotti. Il test, descritto da The Quantum Insider, ha validato l’intero ciclo di vita di un output P2MR, dalla creazione dell’indirizzo al finanziamento, dalla firma fino alla conferma in un blocco, utilizzando cinque opcode dedicati alle firme Dilithium (la famiglia di algoritmi su cui si basa lo standard NIST ML-DSA) e mantenendo la compatibilità con Lightning, BitVM, Ark, i multisig e i timelock esistenti.

Il CEO di BTQ Technologies, Olivier Roussy Newton, ha commentato: «BIP-360 era una proposta storica e noi l’abbiamo trasformata in un’implementazione altrettanto storica». Va detto con chiarezza che si tratta di un ambiente di test, non della mainnet: né BIP-360 né BIP-361 hanno oggi una data di attivazione sulla rete principale di Bitcoin, e la storia dei soft fork precedenti, compreso lo stesso Taproot, che ha impiegato anni tra prima proposta e attivazione effettiva, suggerisce che la strada davanti sarà lunga.

Ecco la cronologia essenziale degli eventi che hanno riportato il rischio quantistico al centro dell’attenzione nel 2026.

Il Coinbase Quantum Advisory Council: cosa serve a wallet ed exchange

La preparazione al rischio quantistico non riguarda solo il codice di Bitcoin, ma anche chi custodisce i fondi per conto di milioni di utenti. All’inizio del 2026 Coinbase ha convocato un comitato indipendente di crittografi, tra cui figurano nomi noti come Dan Boneh (Stanford University), Justin Drake (Ethereum Foundation) e Sreeram Kannan (Eigen Labs), incaricato di valutare la minaccia e raccomandare una linea d’azione. Nel rapporto pubblicato il 21 aprile 2026 e in un successivo approfondimento di inizio giugno, il comitato ha scritto di avere «alta fiducia che un computer quantistico su larga scala e tollerante ai guasti verrà costruito prima o poi», con stime di tempistica che vanno «da pochi anni a un decennio o più», secondo quanto riportato da CoinDesk.

Il rapporto contiene anche un avvertimento tecnico interessante per chi segue da vicino il tema: le firme post-quantum note oggi sono «da decine a centinaia di volte» più grandi delle firme Schnorr o ECDSA attuali, e una transizione completa senza alcuna forma di compressione potrebbe far crescere le dimensioni dei blocchi fino a 38 volte, con conseguenze pesanti sulla capacità della rete. Per questo il comitato consiglia un approccio flessibile e ibrido, non un salto netto verso un unico standard. Per exchange e custodi centralizzati, la lezione pratica è che l’aggiornamento non riguarda solo l’adozione di un nuovo standard crittografico quando sarà pronto, ma la capacità dei propri sistemi di adattarsi rapidamente quando quello standard verrà definito, incluse la gestione delle chiavi a freddo e le procedure di migrazione degli indirizzi dei clienti. Un tema che, su scala più piccola, ricorda da vicino le discussioni in corso anche in Italia su come gli istituti di credito debbano attrezzarsi per operare con le cripto-attività, di cui abbiamo scritto nel nostro approfondimento dedicato al bank crypto policy.

Bitcoin ed Ethereum di fronte allo stesso problema

Bitcoin non è sola in questa sfida. Ethereum condivide con Bitcoin l’uso di ECDSA per buona parte delle proprie firme, oltre a schemi come BLS per l’aggregazione dei validatori e KZG per gli impegni polinomiali usati nello sharding dei dati, il che significa che un computer quantistico abbastanza potente da rompere una chiave secp256k1 rappresenterebbe una minaccia trasversale a entrambe le reti, non un problema esclusivo di Bitcoin.

Le due comunità stanno però affrontando il problema con approcci molto diversi. Vitalik Buterin ha presentato il 26 febbraio 2026 una roadmap, inizialmente chiamata «Strawmap» e poi ribattezzata «Lean Ethereum», che punta a sostituire gradualmente ECDSA, BLS e KZG con alternative resistenti al calcolo quantistico basate su hash e prove STARK ricorsive, in un percorso di ristrutturazione da tre o quattro anni con l’infrastruttura post-quantum principale attesa entro il 2029, secondo CoinDesk. È un percorso guidato dall’alto, con una direzione tecnica chiara indicata dalla Ethereum Foundation.

Bitcoin, per costruzione, non ha un’entità equivalente in grado di imporre una roadmap. Ogni cambiamento passa attraverso il processo BIP, la discussione pubblica tra sviluppatori e infine il consenso di miner, exchange e utenti necessario per attivare un soft fork. È il motivo per cui BIP-360 e BIP-361, per quanto tecnicamente maturi, restano bozze senza data, mentre Ethereum può permettersi di comunicare già oggi una timeline pluriennale. C’è poi un vincolo tecnico che pesa in modo specifico su Bitcoin: le firme post-quantum note oggi occupano molto più spazio di quelle Schnorr o ECDSA attuali, e Bitcoin ha alle spalle anni di dispute infuocate proprio sul limite di dimensione dei blocchi, la cosiddetta block size war del 2015-2017, che portò alla nascita di Bitcoin Cash come fork alternativo. Qualunque proposta che comporti firme sensibilmente più pesanti dovrà fare i conti con la stessa sensibilità politica, il che rende improbabile una scorciatoia puramente tecnica se comporta conseguenze indesiderate sulla decentralizzazione dei nodi.

Justin Drake, che compare sia nel comitato Coinbase sia tra le voci raccolte da CoinDesk dopo la pubblicazione dello studio Google, ha dichiarato che la sua «fiducia in un q-day entro il 2032 è salita in modo significativo», pur stimando una probabilità attorno al 10% entro quell’anno. Il suo collega di settore Haseeb Qureshi, managing partner di Dragonfly Capital, si è spinto oltre: «Non stiamo più parlando di metà degli anni Trenta, potremmo avere computer quantistici di questa scala entro la fine del decennio», ha dichiarato secondo CoinDesk.

Cosa cambia (e cosa non cambia) per chi possiede bitcoin in Italia

Per chi detiene bitcoin in Italia, la prima cosa da sapere è che né BIP-360 né BIP-361 sono oggetto di alcuna approvazione regolamentare. Un soft fork di Bitcoin non è qualcosa che Consob o Banca d’Italia autorizzano o bloccano: riguarda il livello di consenso del protocollo, non i servizi regolamentati che vi si appoggiano sopra. Il quadro MiCA e il decreto legislativo 5 settembre 2024, n. 129, che ha designato Consob (condotta e tutela degli investitori) e Banca d’Italia (profili prudenziali, comprese le regole su token collegati ad attività e token di moneta elettronica) come autorità competenti in Italia, riguardano i fornitori di servizi in cripto-attività e gli emittenti di token, non le regole di consenso della rete Bitcoin in sé. Il quadro completo è consultabile sulla pagina dedicata di Consob.

Sul fronte fiscale, spostare i propri bitcoin dal proprio indirizzo Taproot a un futuro indirizzo P2MR o post-quantum, quando arriverà, resta un’operazione tra portafogli della stessa persona, non una cessione a titolo oneroso ai sensi dell’art. 67 del TUIR: non genera plusvalenza imponibile, esattamente come non lo è oggi spostare fondi da un indirizzo SegWit a uno Taproot. È lo stesso principio applicato a qualunque riorganizzazione tecnica dei propri asset, un tema su cui la giurisprudenza italiana è tornata più volte anche su questioni collegate, come racconta il nostro approfondimento sulla sentenza della Cassazione sulla tassazione retroattiva. Quello che cambia, semmai, è l’urgenza operativa: chi tiene grandi quantità di bitcoin su indirizzi esposti, Taproot compreso ma anche vecchi indirizzi riutilizzati, farebbe bene a seguire l’evoluzione di queste proposte con lo stesso interesse con cui segue l’evoluzione delle aliquote fiscali, perché riguarda la sicurezza del capitale prima ancora della sua tassazione.

Quanto tempo abbiamo davvero

Mettere insieme tutte le stime raccolte finora aiuta a dare un minimo di prospettiva, pur senza fingere una precisione che nessuno possiede davvero. Il National Institute of Standards and Technology statunitense raccomanda alle organizzazioni di completare la transizione verso la crittografia post-quantum entro il 2035, una scadenza che lo stesso comitato Coinbase giudica probabilmente ottimistica. Google fissa la propria stima per sistemi quantistici realmente utili attorno al 2029. Justin Drake parla di una probabilità del 10% di un q-day entro il 2032. Charles Edwards, più prudente, chiede un aggiornamento coordinato entro la fine del 2026 proprio per non arrivare impreparati a nessuno di questi scenari.

Un paragone utile viene dal mondo bancario e delle certification authority, che possono imporre una migrazione dall’alto quando lo decidono i regolatori: gli stessi standard a base reticolare finalizzati dal NIST nel 2024, su cui si baseranno anche le eventuali firme post-quantum di Bitcoin, sono già in fase di adozione nel settore finanziario tradizionale. Bitcoin non ha questo lusso: deve coordinare un cambiamento tramite il consenso decentralizzato di migliaia di nodi e miner, un processo strutturalmente più lento ma anche più resistente a errori imposti dall’alto. È un compromesso che vale la pena tenere a mente ogni volta che un titolo allarmistico promette scadenze precise che, alla prova dei fatti, nessuno può davvero garantire.

Nel frattempo, il prezzo non sembra reagire in modo particolarmente nervoso alla notizia: al momento della stesura di questo articolo, bitcoin trattava poco sopra i 56.000 euro secondo CoinGecko, un segnale che il mercato tratta ancora il rischio quantistico come uno scenario di lungo periodo piuttosto che un rischio da prezzare oggi. Resta da vedere se un’eventuale accelerazione della narrativa quantistica finirà per essere trattata come una minaccia esistenziale o, paradossalmente, come l’ennesimo banco di prova per la tesi di Bitcoin come bene rifugio digitale, il tema al centro del nostro confronto con l’oro.

Domande frequenti

Taproot è vulnerabile ai computer quantistici?

Non nel senso di un attacco possibile oggi. Nessun computer quantistico esistente si avvicina alle centinaia di migliaia di qubit stabili necessari per rompere una firma Bitcoin a 256 bit. Il problema è strutturale: gli indirizzi Taproot (bc1p) rivelano la chiave pubblica fin dal momento del deposito, non solo alla spesa, il che li rende teoricamente più esposti nel lungo periodo rispetto agli indirizzi SegWit o legacy, che nascondono la chiave dietro un hash fino al primo utilizzo. È un rischio da orizzonte pluriennale, non una vulnerabilità sfruttabile con la tecnologia di oggi.

Cosa sono BIP-360 e BIP-361?

BIP-360 (Pay-to-Merkle-Root) è una proposta che ristruttura gli output Taproot per eliminare la componente più rischiosa, la keypath spend, preparando il terreno per future firme post-quantum senza introdurle direttamente. BIP-361 (Post Quantum Migration and Legacy Signature Sunset) definisce invece un percorso in due fasi, scaglionato su circa cinque anni complessivi, per spingere la migrazione dei fondi vulnerabili verso indirizzi resistenti e proteggere con un meccanismo di recupero crittografico chi restasse indietro. Entrambe sono ancora in stato di bozza (Draft), senza una data di attivazione confermata.

I miei bitcoin rischiano di essere congelati?

Non nell’immediato e non senza un lungo preavviso. BIP-361, se mai attivato, prevede una prima fase di circa tre anni in cui la rete smette solo di accettare nuovi invii verso indirizzi vulnerabili, e una seconda fase, altri due anni dopo, in cui le spese tramite firme legacy verrebbero vincolate, non semplicemente bloccate, a un protocollo di recupero pensato apposta per evitare che i legittimi proprietari perdano l’accesso ai fondi. Al momento la proposta non ha nemmeno una data di attivazione confermata, e la sezione dedicata al deployment è stata rimossa dal testo in attesa di ulteriore lavoro.

Quanti bitcoin sono a rischio quantistico?

Le stime più citate, riprese sia da CoinDesk sia dal comitato di crittografi convocato da Coinbase, parlano di circa 6,9 milioni di bitcoin, quasi un terzo dell’offerta in circolazione, custoditi su indirizzi che espongono già una chiave pubblica sulla blockchain. Il totale include sia gli indirizzi Taproot sia i vecchi indirizzi Pay-to-Public-Key riutilizzati fin dai primi anni di Bitcoin, tra cui con ogni probabilità buona parte delle monete storicamente attribuite a Satoshi Nakamoto.

Cosa dovrei fare oggi per proteggere i miei bitcoin dal rischio quantistico?

Per la maggior parte dei detentori non c’è alcuna urgenza di agire in questo momento, dato che nessun attacco è tecnicamente possibile con l’hardware oggi disponibile. Chi vuole comunque adottare un approccio prudente può evitare di riutilizzare lo stesso indirizzo per più ricezioni e limitare le somme lasciate a lungo termine su indirizzi Taproot esposti, in attesa che gli standard post-quantum vengano finalizzati e integrati nei principali wallet. In Italia, spostare fondi tra i propri indirizzi non è comunque un’operazione fiscalmente rilevante, trattandosi di un trasferimento tra portafogli della stessa persona.

Articolo a cura della redazione crypto di HOGE Wire.