{"id":193,"date":"2026-07-18T16:39:45","date_gmt":"2026-07-18T16:39:45","guid":{"rendered":"https:\/\/hoge.gg\/it\/bitcoin-post-quantum-bip-360-bip-361\/"},"modified":"2026-07-18T16:39:45","modified_gmt":"2026-07-18T16:39:45","slug":"bitcoin-post-quantum-bip-360-bip-361","status":"publish","type":"post","link":"https:\/\/hoge.gg\/it\/bitcoin-post-quantum-bip-360-bip-361\/","title":{"rendered":"Bitcoin post-quantum: come funziona il piano BIP-360 e BIP-361"},"content":{"rendered":"

Il 24 aprile 2026 un ricercatore indipendente, Giancarlo Lelli, ha vinto un bitcoin intero rompendo una chiave crittografica a curva ellittica su hardware quantistico accessibile via cloud. La chiave era lunga appena 15 bit, un giocattolo rispetto ai 256 bit che proteggono un vero indirizzo Bitcoin, ma il premio, il Q-Day Prize del progetto Project Eleven, e la reazione che ne \u00e8 seguita hanno reso improvvisamente concreto un dibattito che fino a poco tempo fa sembrava fantascienza per addetti ai lavori. Come ha riportato CoinDesk<\/a>, il salto rispetto al precedente record (una chiave a soli 6 bit, nel settembre 2025) \u00e8 stato di 512 volte.<\/p>

Perch\u00e9 questa storia riguarda proprio Taproot, l’aggiornamento che nel novembre 2021 ha introdotto le firme Schnorr e gli indirizzi bc1p su Bitcoin? Perch\u00e9 \u00e8 proprio l’architettura di Taproot, per come rivela le chiavi pubbliche sulla blockchain, a rendere il problema pi\u00f9 urgente di quanto sembrasse fino a un anno fa. In questo approfondimento vediamo perch\u00e9, cosa propongono i due Bitcoin Improvement Proposal nati per rispondere, BIP-360 e BIP-361, come si sono evolute nelle ultime settimane e cosa cambia realmente, oggi, per chi possiede bitcoin.<\/p>

Un bitcoin vinto rompendo una chiave: la scintilla che ha riacceso l’allarme<\/h2>

Il Q-Day Prize non \u00e8 un concorso qualunque. Project Eleven, la societ\u00e0 che lo organizza, mette in palio bitcoin veri per chiunque riesca a derivare una chiave privata da una chiave pubblica usando hardware quantistico realmente esistente, non simulazioni teoriche. Lelli ha utilizzato una variante dell’algoritmo di Shor, lo stesso che in teoria potrebbe un giorno rompere la crittografia a curva ellittica su cui si basano tutte le firme Bitcoin, e buona parte di quelle Ethereum. Il CEO di Project Eleven, Alex Pruden, ha sintetizzato cos\u00ec il senso dell’esperimento in una dichiarazione riportata da CoinDesk: \u00abi requisiti di risorse per questo tipo di attacco continuano a scendere, e con essi scende anche la barriera per portarlo a termine nella pratica\u00bb.<\/p>

Detto con chiarezza: nessun computer quantistico oggi esistente si avvicina lontanamente a rompere una chiave a 256 bit come quelle usate da Bitcoin. Ma la traiettoria conta quanto il punto di arrivo, ed \u00e8 quella traiettoria a spiegare perch\u00e9 due proposte di aggiornamento del protocollo, BIP-360 e BIP-361, sono passate nel giro di pochi mesi da esercizio accademico a tema di conversazione quotidiano tra sviluppatori, custodi ed exchange.<\/p>

Perch\u00e9 Taproot \u00e8 diventato il punto debole<\/h2>

Per capire perch\u00e9 Taproot, attivato al blocco 709.632 il 14 novembre 2021, sia finito al centro del dibattito sul rischio quantistico, occorre guardare a un dettaglio tecnico spesso trascurato dalla stampa generalista. Gli indirizzi Bitcoin pi\u00f9 vecchi, quelli SegWit (bc1q) o legacy, nascondono la chiave pubblica dietro un hash fino al momento in cui i fondi vengono spesi per la prima volta: chi osserva la blockchain vede solo l’hash, non la chiave. Gli indirizzi Taproot (bc1p), invece, espongono la chiave pubblica per costruzione fin dal momento della ricezione dei fondi, non solo alla spesa.<\/p>

Questa scelta di design non \u00e8 un errore: \u00e8 ci\u00f2 che rende possibili le funzionalit\u00e0 che hanno reso Taproot interessante fin dal 2021, dalle firme aggregate MuSig2 ai contratti pi\u00f9 efficienti basati sul Merkle Abstract Syntax Tree. Ma ha una conseguenza scomoda nell’era del dibattito quantistico: ogni bitcoin ricevuto su un indirizzo Taproot \u00e8, in teoria, attaccabile da un computer quantistico abbastanza potente fin dal giorno del deposito, non solo nella finestra di tempo tra l’invio di una transazione e la sua conferma. Gli esperti chiamano questo scenario esposizione prolungata (long exposure), distinguendolo dall’esposizione breve (short exposure) che riguarda invece qualunque indirizzo, compresi quelli SegWit, nei minuti che intercorrono tra la trasmissione di una transazione e la sua inclusione in un blocco. Di questo scenario pi\u00f9 ampio, tra rinascita dei covenant e primi allarmi quantistici, avevamo gi\u00e0 parlato nel nostro precedente approfondimento su Taproot e il rischio quantistico<\/a>; qui ci concentriamo specificamente sulle due proposte tecniche nate per rispondere a quell’allarme, e su come si stanno evolvendo nella pratica.<\/p>

La tabella seguente riassume le differenze chiave tra i formati di indirizzo Bitcoin oggi in uso e quello proposto da BIP-360.<\/p>

Tipo di indirizzo<\/th>Prefisso tipico<\/th>Quando si espone la chiave pubblica<\/th>Esposizione al rischio quantistico<\/th><\/tr><\/thead>
Legacy (P2PKH)<\/td>Inizia con il numero 1<\/td>Solo alla prima spesa<\/td>Limitata, solo dopo il primo utilizzo<\/td><\/tr>
SegWit nativo (P2WPKH)<\/td>bc1q<\/td>Solo alla prima spesa<\/td>Limitata, solo dopo il primo utilizzo<\/td><\/tr>
Taproot (P2TR)<\/td>bc1p<\/td>Fin dalla ricezione dei fondi<\/td>Prolungata, fin dal deposito<\/td><\/tr>
P2MR (proposto da BIP-360)<\/td>Non ancora definito<\/td>Rimuove la keypath spend rischiosa<\/td>Da definire, base per future firme post-quantum<\/td><\/tr><\/tbody><\/table><\/figure>

Cosa Taproot ha gi\u00e0 cambiato, e perch\u00e9 il rischio quantistico non lo rende inutile<\/h2>

Prima di addentrarci nelle proposte tecniche pensate per rispondere al rischio quantistico, vale la pena ricordare perch\u00e9 Taproot resti comunque un aggiornamento importante, a prescindere da tutto il resto. Da quando \u00e8 stato attivato, Taproot ha reso possibile MuSig2 (BIP 327), uno schema di firma aggregata che permette a pi\u00f9 firmatari di un multisig di produrre un’unica firma Schnorr indistinguibile da quella di un singolo utente, con un risparmio sensibile sulle commissioni di transazione rispetto ai vecchi schemi multisig SegWit.<\/p>

L’adozione, dopo il picco del 2024 legato alla corsa a Ordinals e Runes, si \u00e8 nel frattempo spostata su un utilizzo pi\u00f9 organico, trainato da wallet e protocolli come Lightning Labs, BitGo, Nunchuk e Ledger, piuttosto che dalla pura speculazione sulle inscription. Nessuna di queste applicazioni sparisce a causa del dibattito quantistico: il problema riguarda specificamente la sicurezza a lunghissimo termine delle chiavi esposte, non l’utilit\u00e0 quotidiana del protocollo. \u00c8 una distinzione utile per non scambiare un dibattito tecnico serio, che riguarda un orizzonte di anni, per un allarme sulla tenuta di Bitcoin nel breve periodo.<\/p>

Lo studio di Google che ha abbassato l’asticella<\/h2>

A marzo 2026, un gruppo di ricerca di Google Quantum AI ha pubblicato uno studio che ha ridimensionato in modo drastico le stime precedenti sulle risorse necessarie per un attacco quantistico alla crittografia di Bitcoin. Secondo l’analisi, ripresa da CoinDesk<\/a>, rompere lo schema di firma di Bitcoin potrebbe richiedere meno di 500.000 qubit fisici, contro stime precedenti nell’ordine di alcuni milioni, una riduzione di circa venti volte. Il modello concreto di attacco descritto richiederebbe tra 1.200 e 1.450 qubit logici di alta qualit\u00e0 e potrebbe, in teoria, rompere una chiave pubblica esposta e falsificare una transazione concorrente in circa nove minuti, con una probabilit\u00e0 stimata attorno al 41% di battere sul tempo il trasferimento originale, dato un tempo medio di conferma di circa dieci minuti.<\/p>

Google stessa ha voluto chiarire i limiti della divulgazione: la dimostrazione fornita \u00e8 una prova a conoscenza zero del risultato, non un manuale d’attacco completo, proprio per evitare di armare potenziali malintenzionati o di alimentare un panico ingiustificato. L’azienda fissa la propria stima interna per sistemi quantistici realmente utili attorno al 2029: un orizzonte non immediato, ma nemmeno lontano quanto si pensava anche solo un anno fa.<\/p>

Quanti bitcoin sono davvero esposti<\/h2>

Le stime pi\u00f9 citate parlano di circa 6,9 milioni di bitcoin, quasi un terzo dell’offerta in circolazione, gi\u00e0 custoditi su indirizzi che espongono una chiave pubblica sulla blockchain. Questa cifra \u00e8 stata confermata in modo indipendente sia dalla copertura CoinDesk dello studio Google di marzo sia, pi\u00f9 di recente, da un position paper del Coinbase Quantum Advisory Council<\/a>, il comitato di crittografi indipendenti convocato dall’exchange all’inizio del 2026.<\/p>

Dentro quella cifra ci sono due categorie molto diverse. Da un lato gli indirizzi Taproot, esposti fin dalla ricezione per il motivo spiegato sopra. Dall’altro un blocco pi\u00f9 antico e per certi versi pi\u00f9 delicato: circa 1,7 milioni di bitcoin fermi su indirizzi Pay-to-Public-Key (P2PK) risalenti ai primissimi anni di Bitcoin, un formato precedente persino agli indirizzi hash-based oggi comuni, che include con ogni probabilit\u00e0 buona parte delle monete storicamente attribuite a Satoshi Nakamoto. A questi si aggiungono gli indirizzi di qualunque tipo riutilizzati pi\u00f9 volte, che per definizione hanno gi\u00e0 rivelato la propria chiave pubblica alla prima spesa. In sintesi, il problema non riguarda un difetto specifico di Taproot in s\u00e9, ma la combinazione tra un design che espone le chiavi per scelta e una storia quindicennale di indirizzi pi\u00f9 vecchi mai aggiornati.<\/p>

Le voci del settore: tra allarme e scetticismo<\/h2>

Il dibattito che ne \u00e8 seguito ha diviso analisti, sviluppatori e investitori. L’analista on-chain Willy Woo ha pubblicato una guida alla migrazione \u00abquantum-safe\u00bb che invita chi detiene grandi quantit\u00e0 di bitcoin a spostare i fondi dagli indirizzi Taproot verso formati SegWit pi\u00f9 vecchi, basati su hash, come misura precauzionale immediata. In un commento ripreso da Yahoo Finance<\/a>, Woo ha comunque mantenuto un tono costruttivo: \u00abBitcoin resta il miglior bene monetario se si guarda oltre un orizzonte di dieci anni. Il quantum computing non romper\u00e0 BTC, perch\u00e9 BTC sapr\u00e0 adattarsi\u00bb.<\/p>

Pi\u00f9 allarmista Charles Edwards, fondatore e CEO di Capriole Investments, secondo cui il settore dovrebbe puntare a un aggiornamento coordinato a livello di protocollo entro la fine del 2026, piuttosto che affidarsi a migrazioni spontanee lasciate ai singoli utenti. Edwards ha introdotto il concetto di \u00abQuantum Discount Factor\u00bb, uno sconto di equo valore che stima attorno al 20% per il 2026, e ha avvertito di un possibile scenario di bitcoin sotto i 50.000 dollari attorno al 2028 se il problema restasse irrisolto, secondo quanto riportato da blockchain.news<\/a>.<\/p>

Non tutti condividono lo stesso senso di urgenza. Changpeng Zhao, fondatore di Binance, ha ridimensionato l’allarme con una battuta ripresa da CoinDesk<\/a>: \u00abTutto quello che le crypto devono fare \u00e8 aggiornarsi ad algoritmi resistenti al calcolo quantistico. Quindi, nessun motivo di panico\u00bb. Sulla stessa lunghezza d’onda murchandamus, uno dei redattori dei Bitcoin Improvement Proposal, che ha dichiarato di dubitare che \u00abla minaccia quantistica si materializzi nei prossimi decenni\u00bb, pur avendo comunque accettato la pubblicazione delle proposte in stato di bozza. Posizioni opposte, ma convergenti su un punto: meglio avere un piano pronto prima che serva davvero.<\/p>

BIP-360: la nuova architettura Pay-to-Merkle-Root<\/h2>

La risposta tecnica pi\u00f9 matura porta il nome di BIP-360, una proposta firmata da Hunter Beast, Ethan Heilman e Isabel Foxen Duke, pubblicata nel repository ufficiale bitcoin\/bips l’11 febbraio 2026. L’idea centrale, spiegata sul sito dedicato bip360.org<\/a>, introduce un nuovo tipo di output chiamato Pay-to-Merkle-Root (P2MR), che conserva quasi tutte le funzionalit\u00e0 di un output Taproot standard ma elimina la componente pi\u00f9 rischiosa: la keypath spend, cio\u00e8 la possibilit\u00e0 di spendere i fondi rivelando direttamente la chiave pubblica invece di passare attraverso lo script tree.<\/p>

Un punto va chiarito, perch\u00e9 spesso frainteso anche da parte della copertura giornalistica generalista: BIP-360 di per s\u00e9 non introduce alcuna nuova firma post-quantum. Gli stessi autori lo descrivono come un primo passo \u00abcritico ma relativamente poco invasivo\u00bb, che pone le basi strutturali affinch\u00e9 future proposte possano innestare schemi di firma resistenti al calcolo quantistico, come le famiglie a base reticolare standardizzate dal NIST nel 2024, senza dover riprogettare da zero il formato degli indirizzi. In altre parole, BIP-360 riordina la casa in vista di un trasloco che arriver\u00e0 con proposte successive: non \u00e8 ancora il trasloco stesso. Lo stato attuale della proposta resta \u00abDraft\u00bb nel processo BIP, il che significa che \u00e8 aperta alla discussione della comunit\u00e0 ma non ha ancora una data di attivazione.<\/p>

BIP-361: il piano per migrare (ed eventualmente congelare) i fondi vulnerabili<\/h2>

Se BIP-360 riguarda la struttura degli indirizzi, BIP-361, intitolata \u00abPost Quantum Migration and Legacy Signature Sunset\u00bb e firmata da Jameson Lopp, Christian Papathanasiou, Ian Smith, Joe Ross, Steve Vaile e Pierre-Luc Dallaire-Demers, affronta la domanda pi\u00f9 delicata: cosa succede ai circa 6,9 milioni di bitcoin gi\u00e0 esposti, se nessuno li sposta volontariamente in tempo? La proposta, resa pubblica ad aprile 2026 e descritta nel dettaglio dal repository ufficiale bitcoin\/bips<\/a>, delinea un meccanismo scaglionato in due fasi.<\/p>

Nella Fase A, che scatterebbe circa 160.000 blocchi (grosso modo tre anni) dopo l’attivazione, la rete smetterebbe di accettare nuovi invii di fondi verso indirizzi di tipo vulnerabile al calcolo quantistico, spingendo l’adozione dei nuovi formati resistenti senza toccare i fondi gi\u00e0 depositati. Nella Fase B, circa due anni dopo l’attivazione della Fase A (cinque anni in totale dall’inizio del processo), le spese tramite firme ECDSA o Schnorr \u00ablegacy\u00bb verrebbero vincolate a un protocollo di recupero quantum-safe, cos\u00ec da impedire che un ipotetico attaccante quantistico possa semplicemente svuotare gli indirizzi vulnerabili rimasti.<\/p>

Il meccanismo tecnico proposto per questo recupero si basa su prove ZK-STARK: chiunque utilizzi un portafoglio con derivazione gerarchica \u00abhardened\u00bb (BIP-32) potrebbe dimostrare, tramite una prova a conoscenza zero, di conoscere la chiave privata originale da cui derivano i fondi, senza dover rivelare quella chiave. \u00c8 un meccanismo concettualmente non troppo lontano da quanto abbiamo raccontato nel nostro approfondimento sul verifiable compute<\/a>, dove una dimostrazione crittografica sostituisce la fiducia riposta in un singolo esecutore. Non a caso, la stessa intestazione tecnica del BIP elenca come prerequisito una futura, non ancora scritta, \u00abPost Quantum Signature BIP\u00bb: anche BIP-361, come BIP-360, \u00e8 un’impalcatura che aspetta ancora il pezzo mancante.<\/p>

Un confronto diretto aiuta a non confondere le due proposte, che rispondono a domande diverse ma lavorano in tandem.<\/p>

Proposta<\/th>Cosa fa<\/th>Autori<\/th>Stato (luglio 2026)<\/th><\/tr><\/thead>
BIP-360 (Pay-to-Merkle-Root)<\/td>Rimuove l’esposizione da keypath spend degli output Taproot, senza ancora introdurre firme post-quantum<\/td>Hunter Beast, Ethan Heilman, Isabel Foxen Duke<\/td>Draft, pubblicata l’11 febbraio 2026<\/td><\/tr>
BIP-361 (Post Quantum Migration and Legacy Signature Sunset)<\/td>Definisce le due fasi di migrazione e il protocollo di recupero per i fondi vulnerabili<\/td>Jameson Lopp, Christian Papathanasiou, Ian Smith, Joe Ross, Steve Vaile, Pierre-Luc Dallaire-Demers<\/td>Draft, resa pubblica ad aprile 2026, sezione deployment rimossa<\/td><\/tr><\/tbody><\/table><\/figure>

Un piano in evoluzione: da tre fasi a due<\/h2>

Vale la pena segnalare un dettaglio che dice molto su quanto sia ancora fluido questo processo. Nelle settimane immediatamente successive alla pubblicazione di BIP-361, resoconti come quello di MEXC News<\/a> descrivevano la proposta con una struttura a tre fasi, dove una terza fase separata, la Fase C, avrebbe dovuto occuparsi specificamente del meccanismo di recupero tramite prove a conoscenza zero per chi rischiava di restare escluso dai propri fondi. Consultando oggi la versione pi\u00f9 aggiornata del testo sul repository ufficiale, quella terza fase non compare pi\u00f9 come sezione distinta: il meccanismo di recupero risulta ora incorporato direttamente nella Fase B. Non \u00e8 chiaro se si tratti solo di una riorganizzazione editoriale del documento o di una scelta tecnica pi\u00f9 sostanziale, ma \u00e8 un promemoria utile che i BIP restano bozze vive, modificate via via che la community discute e trova criticit\u00e0.<\/p>

Non \u00e8 un dettaglio da poco. Il revisore che si firma Conduition aveva definito quel meccanismo di recupero \u00abil singolo elemento pi\u00f9 critico di qualunque proposta di congelamento che abbia carattere confiscatorio\u00bb, sostenendo che la proposta fosse incompleta senza di esso. Jameson Lopp, tra gli autori, ha comunque voluto chiarire il principio di fondo dietro tutta la proposta: \u00abNessuno pu\u00f2 essere costretto a migrare le proprie monete. D’altro canto, nessuno pu\u00f2 nemmeno essere costretto ad accettare monete provenienti da schemi di firma vulnerabili al calcolo quantistico\u00bb, ha dichiarato secondo quanto riportato da MEXC News. Lopp ha anche confermato che la sezione dedicata al deployment vero e proprio \u00e8 stata rimossa dal testo prima dell’approvazione finale, segno che le condizioni tecniche per un’attivazione reale non sono considerate ancora mature. Ethan Heilman, pur definendo la proposta \u00abeccellente\u00bb nella sua revisione su GitHub, ha comunque chiesto chiarimenti sul perch\u00e9 si sia scelto di rifiutare le transazioni legacy invece di congelarle direttamente.<\/p>

BTQ Technologies e il primo test pratico su testnet<\/h2>

Mentre la discussione sulle regole prosegue tra sviluppatori, qualcuno ha gi\u00e0 provato a costruire un’implementazione funzionante. BTQ Technologies ha annunciato a marzo 2026 il primo deployment operativo di BIP-360 sulla propria rete di prova, la Bitcoin Quantum Testnet v0.3.0, con oltre 50 miner partecipanti e pi\u00f9 di 100.000 blocchi prodotti. Il test, descritto da The Quantum Insider<\/a>, ha validato l’intero ciclo di vita di un output P2MR, dalla creazione dell’indirizzo al finanziamento, dalla firma fino alla conferma in un blocco, utilizzando cinque opcode dedicati alle firme Dilithium (la famiglia di algoritmi su cui si basa lo standard NIST ML-DSA) e mantenendo la compatibilit\u00e0 con Lightning, BitVM, Ark, i multisig e i timelock esistenti.<\/p>

Il CEO di BTQ Technologies, Olivier Roussy Newton, ha commentato: \u00abBIP-360 era una proposta storica e noi l’abbiamo trasformata in un’implementazione altrettanto storica\u00bb. Va detto con chiarezza che si tratta di un ambiente di test, non della mainnet: n\u00e9 BIP-360 n\u00e9 BIP-361 hanno oggi una data di attivazione sulla rete principale di Bitcoin, e la storia dei soft fork precedenti, compreso lo stesso Taproot, che ha impiegato anni tra prima proposta e attivazione effettiva, suggerisce che la strada davanti sar\u00e0 lunga.<\/p>

Ecco la cronologia essenziale degli eventi che hanno riportato il rischio quantistico al centro dell’attenzione nel 2026.<\/p>

Data<\/th>Evento<\/th><\/tr><\/thead>
14 novembre 2021<\/td>Attivazione di Taproot al blocco 709.632<\/td><\/tr>
11 febbraio 2026<\/td>Pubblicazione di BIP-360 (Pay-to-Merkle-Root)<\/td><\/tr>
20 marzo 2026<\/td>BTQ Technologies annuncia il primo test di BIP-360 su testnet<\/td><\/tr>
31 marzo 2026<\/td>Google pubblica lo studio che riduce le stime di qubit necessarie<\/td><\/tr>
14 aprile 2026<\/td>Pubblicazione di BIP-361, il piano di migrazione e congelamento<\/td><\/tr>
21 aprile 2026<\/td>Il Coinbase Quantum Advisory Council pubblica il proprio rapporto<\/td><\/tr>
24 aprile 2026<\/td>Giancarlo Lelli vince il Q-Day Prize rompendo una chiave a 15 bit<\/td><\/tr><\/tbody><\/table><\/figure>

Il Coinbase Quantum Advisory Council: cosa serve a wallet ed exchange<\/h2>

La preparazione al rischio quantistico non riguarda solo il codice di Bitcoin, ma anche chi custodisce i fondi per conto di milioni di utenti. All’inizio del 2026 Coinbase ha convocato un comitato indipendente di crittografi, tra cui figurano nomi noti come Dan Boneh (Stanford University), Justin Drake (Ethereum Foundation) e Sreeram Kannan (Eigen Labs), incaricato di valutare la minaccia e raccomandare una linea d’azione. Nel rapporto pubblicato il 21 aprile 2026 e in un successivo approfondimento di inizio giugno, il comitato ha scritto di avere \u00abalta fiducia che un computer quantistico su larga scala e tollerante ai guasti verr\u00e0 costruito prima o poi\u00bb, con stime di tempistica che vanno \u00abda pochi anni a un decennio o pi\u00f9\u00bb, secondo quanto riportato da CoinDesk.<\/p>

Il rapporto contiene anche un avvertimento tecnico interessante per chi segue da vicino il tema: le firme post-quantum note oggi sono \u00abda decine a centinaia di volte\u00bb pi\u00f9 grandi delle firme Schnorr o ECDSA attuali, e una transizione completa senza alcuna forma di compressione potrebbe far crescere le dimensioni dei blocchi fino a 38 volte, con conseguenze pesanti sulla capacit\u00e0 della rete. Per questo il comitato consiglia un approccio flessibile e ibrido, non un salto netto verso un unico standard. Per exchange e custodi centralizzati, la lezione pratica \u00e8 che l’aggiornamento non riguarda solo l’adozione di un nuovo standard crittografico quando sar\u00e0 pronto, ma la capacit\u00e0 dei propri sistemi di adattarsi rapidamente quando quello standard verr\u00e0 definito, incluse la gestione delle chiavi a freddo e le procedure di migrazione degli indirizzi dei clienti. Un tema che, su scala pi\u00f9 piccola, ricorda da vicino le discussioni in corso anche in Italia su come gli istituti di credito debbano attrezzarsi per operare con le cripto-attivit\u00e0, di cui abbiamo scritto nel nostro approfondimento dedicato al bank crypto policy<\/a>.<\/p>

Bitcoin ed Ethereum di fronte allo stesso problema<\/h2>

Bitcoin non \u00e8 sola in questa sfida. Ethereum condivide con Bitcoin l’uso di ECDSA per buona parte delle proprie firme, oltre a schemi come BLS per l’aggregazione dei validatori e KZG per gli impegni polinomiali usati nello sharding dei dati, il che significa che un computer quantistico abbastanza potente da rompere una chiave secp256k1 rappresenterebbe una minaccia trasversale a entrambe le reti, non un problema esclusivo di Bitcoin.<\/p>

Le due comunit\u00e0 stanno per\u00f2 affrontando il problema con approcci molto diversi. Vitalik Buterin ha presentato il 26 febbraio 2026 una roadmap, inizialmente chiamata \u00abStrawmap\u00bb e poi ribattezzata \u00abLean Ethereum\u00bb, che punta a sostituire gradualmente ECDSA, BLS e KZG con alternative resistenti al calcolo quantistico basate su hash e prove STARK ricorsive, in un percorso di ristrutturazione da tre o quattro anni con l’infrastruttura post-quantum principale attesa entro il 2029, secondo CoinDesk<\/a>. \u00c8 un percorso guidato dall’alto, con una direzione tecnica chiara indicata dalla Ethereum Foundation.<\/p>

Bitcoin, per costruzione, non ha un’entit\u00e0 equivalente in grado di imporre una roadmap. Ogni cambiamento passa attraverso il processo BIP, la discussione pubblica tra sviluppatori e infine il consenso di miner, exchange e utenti necessario per attivare un soft fork. \u00c8 il motivo per cui BIP-360 e BIP-361, per quanto tecnicamente maturi, restano bozze senza data, mentre Ethereum pu\u00f2 permettersi di comunicare gi\u00e0 oggi una timeline pluriennale. C’\u00e8 poi un vincolo tecnico che pesa in modo specifico su Bitcoin: le firme post-quantum note oggi occupano molto pi\u00f9 spazio di quelle Schnorr o ECDSA attuali, e Bitcoin ha alle spalle anni di dispute infuocate proprio sul limite di dimensione dei blocchi, la cosiddetta block size war del 2015-2017, che port\u00f2 alla nascita di Bitcoin Cash come fork alternativo. Qualunque proposta che comporti firme sensibilmente pi\u00f9 pesanti dovr\u00e0 fare i conti con la stessa sensibilit\u00e0 politica, il che rende improbabile una scorciatoia puramente tecnica se comporta conseguenze indesiderate sulla decentralizzazione dei nodi.<\/p>

Justin Drake, che compare sia nel comitato Coinbase sia tra le voci raccolte da CoinDesk dopo la pubblicazione dello studio Google, ha dichiarato che la sua \u00abfiducia in un q-day entro il 2032 \u00e8 salita in modo significativo\u00bb, pur stimando una probabilit\u00e0 attorno al 10% entro quell’anno. Il suo collega di settore Haseeb Qureshi, managing partner di Dragonfly Capital, si \u00e8 spinto oltre: \u00abNon stiamo pi\u00f9 parlando di met\u00e0 degli anni Trenta, potremmo avere computer quantistici di questa scala entro la fine del decennio\u00bb, ha dichiarato secondo CoinDesk.<\/p>

Cosa cambia (e cosa non cambia) per chi possiede bitcoin in Italia<\/h2>

Per chi detiene bitcoin in Italia, la prima cosa da sapere \u00e8 che n\u00e9 BIP-360 n\u00e9 BIP-361 sono oggetto di alcuna approvazione regolamentare. Un soft fork di Bitcoin non \u00e8 qualcosa che Consob o Banca d’Italia autorizzano o bloccano: riguarda il livello di consenso del protocollo, non i servizi regolamentati che vi si appoggiano sopra. Il quadro MiCA e il decreto legislativo 5 settembre 2024, n. 129, che ha designato Consob (condotta e tutela degli investitori) e Banca d’Italia (profili prudenziali, comprese le regole su token collegati ad attivit\u00e0 e token di moneta elettronica) come autorit\u00e0 competenti in Italia, riguardano i fornitori di servizi in cripto-attivit\u00e0 e gli emittenti di token, non le regole di consenso della rete Bitcoin in s\u00e9. Il quadro completo \u00e8 consultabile sulla pagina dedicata di Consob<\/a>.<\/p>

Sul fronte fiscale, spostare i propri bitcoin dal proprio indirizzo Taproot a un futuro indirizzo P2MR o post-quantum, quando arriver\u00e0, resta un’operazione tra portafogli della stessa persona, non una cessione a titolo oneroso ai sensi dell’art. 67 del TUIR: non genera plusvalenza imponibile, esattamente come non lo \u00e8 oggi spostare fondi da un indirizzo SegWit a uno Taproot. \u00c8 lo stesso principio applicato a qualunque riorganizzazione tecnica dei propri asset, un tema su cui la giurisprudenza italiana \u00e8 tornata pi\u00f9 volte anche su questioni collegate, come racconta il nostro approfondimento sulla sentenza della Cassazione sulla tassazione retroattiva<\/a>. Quello che cambia, semmai, \u00e8 l’urgenza operativa: chi tiene grandi quantit\u00e0 di bitcoin su indirizzi esposti, Taproot compreso ma anche vecchi indirizzi riutilizzati, farebbe bene a seguire l’evoluzione di queste proposte con lo stesso interesse con cui segue l’evoluzione delle aliquote fiscali, perch\u00e9 riguarda la sicurezza del capitale prima ancora della sua tassazione.<\/p>

Quanto tempo abbiamo davvero<\/h2>

Mettere insieme tutte le stime raccolte finora aiuta a dare un minimo di prospettiva, pur senza fingere una precisione che nessuno possiede davvero. Il National Institute of Standards and Technology statunitense raccomanda alle organizzazioni di completare la transizione verso la crittografia post-quantum entro il 2035, una scadenza che lo stesso comitato Coinbase giudica probabilmente ottimistica. Google fissa la propria stima per sistemi quantistici realmente utili attorno al 2029. Justin Drake parla di una probabilit\u00e0 del 10% di un q-day entro il 2032. Charles Edwards, pi\u00f9 prudente, chiede un aggiornamento coordinato entro la fine del 2026 proprio per non arrivare impreparati a nessuno di questi scenari.<\/p>

Un paragone utile viene dal mondo bancario e delle certification authority, che possono imporre una migrazione dall’alto quando lo decidono i regolatori: gli stessi standard a base reticolare finalizzati dal NIST nel 2024, su cui si baseranno anche le eventuali firme post-quantum di Bitcoin, sono gi\u00e0 in fase di adozione nel settore finanziario tradizionale. Bitcoin non ha questo lusso: deve coordinare un cambiamento tramite il consenso decentralizzato di migliaia di nodi e miner, un processo strutturalmente pi\u00f9 lento ma anche pi\u00f9 resistente a errori imposti dall’alto. \u00c8 un compromesso che vale la pena tenere a mente ogni volta che un titolo allarmistico promette scadenze precise che, alla prova dei fatti, nessuno pu\u00f2 davvero garantire.<\/p>

Nel frattempo, il prezzo non sembra reagire in modo particolarmente nervoso alla notizia: al momento della stesura di questo articolo, bitcoin trattava poco sopra i 56.000 euro secondo CoinGecko<\/a>, un segnale che il mercato tratta ancora il rischio quantistico come uno scenario di lungo periodo piuttosto che un rischio da prezzare oggi. Resta da vedere se un’eventuale accelerazione della narrativa quantistica finir\u00e0 per essere trattata come una minaccia esistenziale o, paradossalmente, come l’ennesimo banco di prova per la tesi di Bitcoin come bene rifugio digitale, il tema al centro del nostro confronto con l’oro<\/a>.<\/p>

Domande frequenti<\/h2>

Taproot \u00e8 vulnerabile ai computer quantistici?<\/h3>

Non nel senso di un attacco possibile oggi. Nessun computer quantistico esistente si avvicina alle centinaia di migliaia di qubit stabili necessari per rompere una firma Bitcoin a 256 bit. Il problema \u00e8 strutturale: gli indirizzi Taproot (bc1p) rivelano la chiave pubblica fin dal momento del deposito, non solo alla spesa, il che li rende teoricamente pi\u00f9 esposti nel lungo periodo rispetto agli indirizzi SegWit o legacy, che nascondono la chiave dietro un hash fino al primo utilizzo. \u00c8 un rischio da orizzonte pluriennale, non una vulnerabilit\u00e0 sfruttabile con la tecnologia di oggi.<\/p>

Cosa sono BIP-360 e BIP-361?<\/h3>

BIP-360 (Pay-to-Merkle-Root) \u00e8 una proposta che ristruttura gli output Taproot per eliminare la componente pi\u00f9 rischiosa, la keypath spend, preparando il terreno per future firme post-quantum senza introdurle direttamente. BIP-361 (Post Quantum Migration and Legacy Signature Sunset) definisce invece un percorso in due fasi, scaglionato su circa cinque anni complessivi, per spingere la migrazione dei fondi vulnerabili verso indirizzi resistenti e proteggere con un meccanismo di recupero crittografico chi restasse indietro. Entrambe sono ancora in stato di bozza (Draft), senza una data di attivazione confermata.<\/p>

I miei bitcoin rischiano di essere congelati?<\/h3>

Non nell’immediato e non senza un lungo preavviso. BIP-361, se mai attivato, prevede una prima fase di circa tre anni in cui la rete smette solo di accettare nuovi invii verso indirizzi vulnerabili, e una seconda fase, altri due anni dopo, in cui le spese tramite firme legacy verrebbero vincolate, non semplicemente bloccate, a un protocollo di recupero pensato apposta per evitare che i legittimi proprietari perdano l’accesso ai fondi. Al momento la proposta non ha nemmeno una data di attivazione confermata, e la sezione dedicata al deployment \u00e8 stata rimossa dal testo in attesa di ulteriore lavoro.<\/p>

Quanti bitcoin sono a rischio quantistico?<\/h3>

Le stime pi\u00f9 citate, riprese sia da CoinDesk sia dal comitato di crittografi convocato da Coinbase, parlano di circa 6,9 milioni di bitcoin, quasi un terzo dell’offerta in circolazione, custoditi su indirizzi che espongono gi\u00e0 una chiave pubblica sulla blockchain. Il totale include sia gli indirizzi Taproot sia i vecchi indirizzi Pay-to-Public-Key riutilizzati fin dai primi anni di Bitcoin, tra cui con ogni probabilit\u00e0 buona parte delle monete storicamente attribuite a Satoshi Nakamoto.<\/p>

Cosa dovrei fare oggi per proteggere i miei bitcoin dal rischio quantistico?<\/h3>

Per la maggior parte dei detentori non c’\u00e8 alcuna urgenza di agire in questo momento, dato che nessun attacco \u00e8 tecnicamente possibile con l’hardware oggi disponibile. Chi vuole comunque adottare un approccio prudente pu\u00f2 evitare di riutilizzare lo stesso indirizzo per pi\u00f9 ricezioni e limitare le somme lasciate a lungo termine su indirizzi Taproot esposti, in attesa che gli standard post-quantum vengano finalizzati e integrati nei principali wallet. In Italia, spostare fondi tra i propri indirizzi non \u00e8 comunque un’operazione fiscalmente rilevante, trattandosi di un trasferimento tra portafogli della stessa persona.<\/p>