{"id":216,"date":"2026-07-26T16:40:59","date_gmt":"2026-07-26T16:40:59","guid":{"rendered":"https:\/\/hoge.gg\/it\/taproot-satoshi-congelamento-quantistico\/"},"modified":"2026-07-26T16:40:59","modified_gmt":"2026-07-26T16:40:59","slug":"taproot-satoshi-congelamento-quantistico","status":"publish","type":"post","link":"https:\/\/hoge.gg\/it\/taproot-satoshi-congelamento-quantistico\/","title":{"rendered":"Taproot e i bitcoin di Satoshi: la resa dei conti quantistica"},"content":{"rendered":"

Quando la rete Bitcoin attiv\u00f2 Taproot, il 14 novembre 2021, la maggior parte dei commenti si concentr\u00f2 su privacy migliorata, transazioni pi\u00f9 flessibili e le fondamenta tecniche che negli anni successivi avrebbero permesso la nascita di Ordinals e Runes<\/a>. Cinque anni dopo, un effetto collaterale dello stesso aggiornamento \u00e8 diventato il dibattito pi\u00f9 acceso della comunit\u00e0 Bitcoin: cosa fare con milioni di monete, incluso il tesoro attribuito a Satoshi Nakamoto, se un computer quantistico sufficientemente potente riuscisse un giorno a violarne le chiavi private.<\/p>

Non \u00e8 pi\u00f9 un esercizio accademico da conferenza di crittografia. Nel corso del 2026 sviluppatori storici di Bitcoin, fondi di venture capital, il fondatore di Binance e persino un consorzio di crittografi convocato da Coinbase si sono ritrovati su fronti opposti di una domanda che nessuno vuole davvero risolvere da solo: chi ha il diritto di decidere il destino di monete che, tecnicamente, in futuro potrebbero essere rivendicate da chiunque disponga della tecnologia giusta. Ricostruiamo come si \u00e8 arrivati a questo punto, cosa propongono le diverse fazioni e cosa significa, in concreto, per chi possiede bitcoin oggi.<\/p>

Taproot in breve: perch\u00e9 la chiave pubblica \u00e8 diventata un problema<\/h2>

Per capire perch\u00e9 Taproot \u00e8 finito al centro del dibattito quantistico bisogna tornare alla sua meccanica di base. L’aggiornamento, composto dalle proposte BIP 340 (firme Schnorr), BIP 341 (Taproot e Merkelized Alternative Script Trees, o MAST) e BIP 342 (Tapscript), ha introdotto gli indirizzi P2TR, quelli che iniziano con bc1p, accanto ai precedenti SegWit (bc1q) e legacy. Il vantaggio principale di Taproot, oltre a transazioni pi\u00f9 leggere ed economiche, \u00e8 stato rendere invisibili sulla blockchain i dettagli di script complessi come i multisig, che grazie a MAST e alle firme Schnorr possono apparire identici a una normale transazione a chiave singola quando la spesa avviene lungo il percorso cooperativo.<\/p>

C’\u00e8 per\u00f2 una differenza tecnica che nel 2021 sembrava irrilevante e che oggi \u00e8 diventata centrale. Negli indirizzi legacy e SegWit pi\u00f9 comuni, la chiave pubblica resta nascosta dietro un hash finch\u00e9 il proprietario non spende almeno una volta i fondi; in un indirizzo Taproot speso tramite key path, invece, la chiave pubblica completa viene rivelata sulla blockchain fin dal momento della ricezione, non solo al momento della spesa. In altre parole, ogni indirizzo Taproot \u00e8 per costruzione esposto fin dalla sua creazione, mentre un indirizzo legacy mai utilizzato in uscita resta protetto da un ulteriore strato crittografico. Lo stesso vale, a ben vedere, per qualunque indirizzo di qualunque tipo che sia gi\u00e0 stato speso almeno una volta: la chiave pubblica, a quel punto, diventa comunque pubblica per sempre. \u00c8 proprio su questo meccanismo, nato per rendere Bitcoin pi\u00f9 efficiente e privato, che si innesta oggi tutta la discussione sulla resistenza ai computer quantistici.<\/p>

Il rischio quantistico secondo Google: numeri e tempistiche<\/h2>

La scintilla che ha riacceso il dibattito nel 2026 arriva da fuori Bitcoin. Il 31 marzo di quest’anno un team di Google Quantum AI ha pubblicato una ricerca, ripresa da CoinDesk<\/a>, secondo cui violare lo schema di firma di Bitcoin richiederebbe meno di 500.000 qubit fisici, una stima nettamente pi\u00f9 bassa dei milioni ipotizzati in precedenza. Nel modello d’attacco concreto descritto dai ricercatori bastano circa 1.200-1.450 qubit logici di alta qualit\u00e0 per intercettare una chiave pubblica esposta durante l’invio di una transazione e forgiare una transazione concorrente in circa nove minuti, un tempo che darebbe all’attaccante una probabilit\u00e0 stimata attorno al 41% di battere sul tempo la conferma originale, considerato che il tempo medio di conferma di un blocco \u00e8 di dieci minuti. Google stessa colloca la propria tappa dei sistemi quantistici davvero utili attorno al 2029, e ha scelto di pubblicare solo una prova a conoscenza zero del risultato, non un progetto d’attacco completo, per evitare di armare potenziali malintenzionati.<\/p>

Il tema \u00e8 diventato ancora pi\u00f9 concreto il 24 aprile 2026, quando il ricercatore indipendente Giancarlo Lelli ha vinto il Q-Day Prize di Project Eleven, un bounty da 1 BTC, riuscendo a violare una chiave ECC a 15 bit su hardware quantistico accessibile via cloud pubblico: un salto di oltre 500 volte rispetto alla dimostrazione a 6 bit di pochi mesi prima. Il CEO di Project Eleven, Alex Pruden, ha commentato che \u00abi requisiti di risorse per questo tipo di attacco continuano a scendere, e con essi si abbassa anche la barriera per eseguirlo nella pratica\u00bb, come riportato da CoinDesk<\/a>. Secondo le stime circolate nella prima met\u00e0 del 2026, circa un terzo dell’offerta di bitcoin in circolazione, tra indirizzi Taproot gi\u00e0 utilizzati, indirizzi legacy riutilizzati e le primissime monete dell’era P2PK del 2009-2010, ha gi\u00e0 reso pubblica la propria chiave e sarebbe quindi teoricamente esposto a un attacco futuro.<\/p>

BIP-360 e BIP-361: la doppia risposta di Bitcoin<\/h2>

Alla ricerca di Google si \u00e8 affiancata una risposta tecnica che era gi\u00e0 in cantiere. L’11 febbraio 2026 BIP-360, firmato da Hunter Beast, Ethan Heilman e Isabel Foxen Duke, \u00e8 stato unito al repository ufficiale bitcoin\/bips<\/a>. La proposta, nota anche come Pay to Merkle Root, non introduce di per s\u00e9 nuove firme post-quantistiche: ristruttura semplicemente gli output Taproot per eliminare la spesa key path, cio\u00e8 proprio il meccanismo che espone la chiave pubblica per intero, rimandando l’introduzione di schemi di firma resistenti al calcolo quantistico a proposte future.<\/p>

Due mesi dopo, il 14 aprile 2026, Jameson Lopp e cinque coautori (Christian Papathanasiou, Ian Smith, Joe Ross, Steve Vaile e Pierre-Luc Dallaire-Demers) hanno pubblicato BIP-361<\/a>, intitolato Post Quantum Migration and Legacy Signature Sunset. \u00c8 qui che la discussione tecnica si trasforma in scontro filosofico: BIP-361 propone una migrazione in due fasi, la prima delle quali, circa 160.000 blocchi ovvero tre anni, impedirebbe nuovi invii verso indirizzi legacy vulnerabili, mentre la seconda, altri due anni per un totale di cinque, invaliderebbe le firme ECDSA e Schnorr non ancora migrate, congelando di fatto qualunque moneta rimasta in quegli indirizzi. Per la meccanica completa delle due proposte, incluse le correzioni introdotte dopo le prime bozze, rimandiamo al nostro approfondimento su come funziona il piano BIP-360 e BIP-361<\/a>.<\/p>

Il vero problema: le monete che nessuno pu\u00f2 pi\u00f9 muovere<\/h2>

Sul piano tecnico, congelare firme obsolete dopo un lungo periodo di preavviso non sarebbe eccezionale: altre reti hanno gi\u00e0 eseguito hard fork per motivi di sicurezza. Il problema \u00e8 che BIP-361, applicato alla lettera, colpirebbe anche le monete che nessuno potr\u00e0 mai migrare perch\u00e9 chi le controllava non \u00e8 pi\u00f9 in grado di farlo. Le stime pi\u00f9 citate, riassunte nell’articolo di CoinDesk del 13 giugno 2026<\/a>, parlano di circa 1,7 milioni di BTC fermi in circa 20.000 indirizzi P2PK dell’era pionieristica di Bitcoin, quella tra il 2009 e il 2010 in cui gli indirizzi moderni non esistevano ancora e la chiave pubblica veniva scritta direttamente nello script, a cui si aggiungono oltre 5 milioni di BTC che non si muovono da pi\u00f9 di un decennio, spesso per chiavi perse, hardware buttato o eredi che non hanno mai saputo dell’esistenza di quei fondi.<\/p>

Dentro questo insieme si trova il caso pi\u00f9 delicato: circa 1,1 milioni di BTC, oggi equivalenti a oltre 60 miliardi di euro ai prezzi attuali, attribuiti a Satoshi Nakamoto e mai spostati dal 2010. Nessuno sa se Satoshi sia ancora vivo, se abbia perso l’accesso alle chiavi o se abbia semplicemente scelto per principio di non toccare pi\u00f9 quei fondi. \u00c8 una versione estrema di un problema che in realt\u00e0 riguarda milioni di detentori pi\u00f9 piccoli: cosa succede alle chiavi private quando il proprietario muore o perde l’accesso senza aver lasciato istruzioni, un tema che in Italia si intreccia sempre pi\u00f9 spesso con le regole su eredit\u00e0 e donazione delle criptovalute<\/a>, dove il problema pratico non \u00e8 tanto la tassazione quanto la trasmissione stessa delle chiavi agli eredi.<\/p>

La proposta di Changpeng Zhao accende la miccia<\/h2>

Il 4 luglio 2026 il dibattito, fino a quel momento confinato a sviluppatori e crittografi, \u00e8 arrivato al grande pubblico grazie a Changpeng Zhao, fondatore di Binance. CZ ha proposto pubblicamente di dare a Satoshi una finestra di sei-dodici mesi per spostare volontariamente le proprie monete, trascorsa la quale la comunit\u00e0 dovrebbe poter decidere di congelarle. La sua argomentazione, riportata da CoinDesk<\/a>, \u00e8 diretta: \u00abse non facciamo nulla, di fatto le stiamo regalando a chi riuscir\u00e0 a violarle\u00bb.<\/p>

La reazione \u00e8 stata immediata e in gran parte critica. Michael Terpin, CEO di Transform Ventures e figura nota nel settore, ha descritto l’idea come l’inizio di una china scivolosa che introduce un concetto di permesso dentro un sistema pensato per essere senza permessi, mettendo in dubbio che una comunit\u00e0 decentralizzata possa davvero raggiungere un consenso su una materia cos\u00ec divisiva. Jameson Lopp, che di BIP-361 \u00e8 il primo firmatario, ha invece provato a smorzare i toni definendo la questione \u00abnon binaria\u00bb: tra il congelamento totale e il non fare nulla esistono, secondo lui, diverse sfumature intermedie che vale la pena esplorare prima di scegliere.<\/p>

Adam Back e il fronte degli scettici<\/h2>

Tra le voci pi\u00f9 autorevoli contrarie a qualunque forma di congelamento programmato c’\u00e8 Adam Back, inventore di Hashcash (uno degli antecedenti diretti di Bitcoin) e attuale CEO di Blockstream. Intervenendo al Paris Blockchain Week il 16 aprile 2026, pochi giorni dopo la pubblicazione di BIP-361, Back ha sostenuto una linea diversa: aggiornamenti opzionali attivabili volontariamente, non scadenze forzate fissate con anni di anticipo. Le sue parole, riportate da CoinDesk<\/a>, sono state tradotte cos\u00ec: \u00abla preparazione \u00e8 fondamentale; fare cambiamenti in modo controllato \u00e8 molto pi\u00f9 sicuro che reagire durante una crisi\u00bb. Back ha aggiunto che la storia di Bitcoin dimostra che \u00abi bug sono stati identificati e risolti nel giro di ore; quando qualcosa diventa urgente, l’attenzione si concentra e il consenso si forma di conseguenza\u00bb, suggerendo che la governance informale della rete sarebbe comunque in grado di reagire in tempo a un’emergenza reale, senza bisogno di pianificarla con un calendario rigido anni prima che il pericolo sia concreto.<\/p>

La posizione di Back non nega il rischio quantistico in s\u00e9, che come CEO di un’azienda che lavora su Bitcoin da oltre un decennio conosce bene; contesta piuttosto l’idea che convenga fissare oggi una scadenza vincolante per un evento la cui tempistica resta incerta, con il rischio di congelare prematuramente fondi che i legittimi proprietari avrebbero ancora anni per mettere in sicurezza con calma.<\/p>

Vie di mezzo: il trust di Nic Carter e le PACTs di Dan Robinson<\/h2>

Tra i due estremi, congelamento forzato contro nessuna scadenza, sono spuntate diverse proposte di compromesso. Nic Carter, cofondatore del fondo Castle Island Ventures, ha suggerito di far confluire le monete di Satoshi e casi analoghi in un trust legale, gestito secondo regole tradizionali, fino a quando una prova storica sufficiente non ne stabilisca la propriet\u00e0 effettiva. Matt Hougan, Chief Investment Officer di Bitwise, ha pubblicamente appoggiato questa strada perch\u00e9, a suo giudizio, evita sia il problema filosofico del congelamento imposto dal protocollo sia il rischio opposto di lasciare che chiunque rubi quelle monete se un attacco quantistico dovesse davvero verificarsi, come riportato nello stesso articolo di CoinDesk<\/a> sulla proposta di CZ.<\/p>

Una soluzione pi\u00f9 tecnica, e probabilmente la pi\u00f9 elegante dal punto di vista crittografico, \u00e8 arrivata il 2 maggio 2026 da Dan Robinson, general partner del fondo Paradigm, con la proposta PACTs, acronimo di Provable Address-Control Timestamps. Il meccanismo, descritto da CoinDesk<\/a>, funziona cos\u00ec: un detentore genera oggi un dato segreto casuale, lo combina con una prova di propriet\u00e0 creata secondo lo standard BIP-322 e registra il tutto come impegno on-chain tramite OpenTimestamps, il servizio che ancora i dati alla blockchain di Bitcoin senza rivelarne il contenuto. Se in futuro un soft fork dovesse effettivamente congelare gli indirizzi vulnerabili, il proprietario potrebbe presentare una prova STARK, resistente al calcolo quantistico, che dimostra di aver creato quell’impegno prima che l’hardware quantistico esistesse, senza mai rivelare pubblicamente indirizzo, importo o data. La rete rilascerebbe le monete senza che il detentore abbia dovuto esporsi mesi o anni prima che il rischio diventasse concreto, un modo, nelle parole con cui la proposta stessa viene presentata, per rendere meno binario il dibattito aperto da BIP-361.<\/p>

Hourglass e le altre reti di sicurezza tecniche<\/h2>

Accanto alle proposte pi\u00f9 discusse esistono meccanismi pensati non per risolvere il problema alla radice ma per limitarne i danni nel caso peggiore. Hourglass, nella sua versione pi\u00f9 recente sviluppata dal programmatore Hunter Beast, lo stesso coautore di BIP-360, punta a rallentare artificialmente la velocit\u00e0 con cui le monete custodite in indirizzi vulnerabili possono essere spese in un singolo blocco, riducendo l’incentivo economico a un furto lampo e dando tempo alla rete di reagire se un attacco reale dovesse manifestarsi. Un secondo filone di proposte, riassunto nell’articolo di CoinDesk del 13 giugno gi\u00e0 citato, limita semplicemente quante monete vulnerabili possono essere spostate per blocco, indipendentemente dal proprietario, per impedire che un singolo attore con accesso a un computer quantistico possa svuotare rapidamente pi\u00f9 indirizzi contemporaneamente.<\/p>

Nessuna di queste proposte elimina il rischio: al massimo lo rende pi\u00f9 gestibile, comprando tempo prezioso per una migrazione ordinata o per un intervento d’emergenza della rete. Lo stesso articolo osserva che le diverse proposte, BIP-361, Hourglass e PACTs, non si escludono a vicenda e potrebbero in teoria essere combinate, un punto su cui converge anche il rapporto del Coinbase Quantum Advisory Council di cui parliamo nella prossima sezione. Prima di procedere, ecco una tabella riassuntiva delle proposte illustrate finora.<\/p>

Proposta<\/th>Chi la propone<\/th>Meccanismo in breve<\/th>Punto critico<\/th><\/tr><\/thead>
BIP-361 (congelamento a scadenza)<\/td>Jameson Lopp e cinque coautori<\/td>Due fasi: blocco dei nuovi invii a indirizzi legacy, poi invalidazione delle firme non migrate<\/td>Criticato come una forma di confisca delle monete non migrabili<\/td><\/tr>
PACTs<\/td>Dan Robinson (Paradigm)<\/td>Prova crittografica privata registrata oggi tramite BIP-322 e OpenTimestamps, riscattabile in futuro con una prova STARK<\/td>Richiede comunque che un soft fork tipo BIP-361 venga poi attivato<\/td><\/tr>
Trust legale<\/td>Nic Carter (Castle Island Ventures)<\/td>Le monete non rivendicate confluirebbero in un trust legale tradizionale fino a prova di propriet\u00e0<\/td>Introduce una gestione esterna al protocollo, estranea alla cultura Bitcoin<\/td><\/tr>
Hourglass<\/td>Hunter Beast<\/td>Limita la velocit\u00e0 di spesa delle monete vulnerabili per blocco<\/td>Rallenta ma non elimina il rischio in caso di attacco riuscito<\/td><\/tr>
Upgrade opzionale, nessuna scadenza fissa<\/td>Adam Back (Blockstream)<\/td>La rete reagirebbe con un consenso rapido solo se e quando un attacco reale si materializzasse<\/td>Presuppone che la reazione d’emergenza arrivi comunque in tempo utile<\/td><\/tr><\/tbody><\/table><\/figure>

Il Coinbase Quantum Advisory Council: prudenza istituzionale<\/h2>

Non tutte le risposte al rischio quantistico arrivano da sviluppatori indipendenti o da fondatori di exchange con un’opinione forte. All’inizio del 2026 Coinbase ha convocato un proprio Quantum Advisory Council, un gruppo di crittografi ed esperti di sicurezza tra cui Dan Boneh, docente a Stanford, e Justin Drake, ricercatore della Ethereum Foundation. Il rapporto del gruppo, pubblicato il 21 aprile 2026 e ripreso da CoinDesk<\/a>, evita deliberatamente di schierarsi tra le proposte concorrenti, definendole potenzialmente complementari piuttosto che alternative reciprocamente esclusive.<\/p>

Il documento si distingue per\u00f2 per la franchezza con cui affronta un problema tecnico spesso sottovalutato: le firme post-quantistiche sono strutturalmente molto pi\u00f9 grandi di quelle attuali, da decine a centinaia di volte secondo le stime citate nel rapporto, il che potrebbe richiedere una crescita della dimensione dei blocchi fino a 38 volte quella attuale in assenza di tecniche di compressione pi\u00f9 efficienti. Il rapporto conclude con un’affermazione che ha fatto notizia pi\u00f9 delle singole proposte tecniche: gli autori dichiarano alta fiducia nel fatto che un computer quantistico su larga scala e tollerante ai guasti verr\u00e0 prima o poi costruito, su un orizzonte stimato tra pochi anni e oltre un decennio, e considerano la raccomandazione dell’ente statunitense NIST di completare la migrazione entro il 2035 potenzialmente troppo ottimistica per un sistema decentralizzato come Bitcoin, che non pu\u00f2 imporre una scadenza dall’alto come farebbe una singola azienda o una banca centrale.<\/p>

Bitcoin contro Ethereum: due filosofie di governance a confronto<\/h2>

Il problema della resistenza quantistica non \u00e8 esclusivo di Bitcoin: riguarda qualunque sistema basato su crittografia a curva ellittica, quindi anche Ethereum. Il confronto tra i due approcci \u00e8 per\u00f2 istruttivo. Il 26 febbraio 2026 Vitalik Buterin ha presentato una roadmap quadriennale, soprannominata Lean Ethereum, per sostituire ECDSA, BLS e KZG con alternative basate su funzioni hash e STARK ricorsivi, con l’infrastruttura post-quantistica di base attesa attorno al 2029, secondo quanto riportato da CoinDesk<\/a>. Si tratta di un processo guidato dall’alto dalla Ethereum Foundation, con una roadmap pubblica e scadenze indicative fissate centralmente.<\/p>

Bitcoin non ha un equivalente della Ethereum Foundation in grado di fissare una roadmap vincolante: ogni cambiamento richiede un soft fork discusso pubblicamente e un consenso informale tra sviluppatori, miner e nodi economici, lo stesso processo con cui fu attivato Taproot nel 2021. \u00c8 esattamente questa differenza strutturale a rendere il dibattito su BIP-361 cos\u00ec aspro: non esiste un’autorit\u00e0 capace di imporre la soluzione, quindi la scelta finale dipender\u00e0 da quanto ampio sar\u00e0 il consenso che una delle proposte, o una loro combinazione, riuscir\u00e0 a costruire nei prossimi mesi.<\/p>

Cosa cambia (e cosa no) per chi possiede Bitcoin in Italia<\/h2>

Per il detentore comune, che con ogni probabilit\u00e0 non possiede milioni di bitcoin fermi dal 2010, il rischio quantistico resta oggi teorico: le stime pi\u00f9 caute di Google collocano un computer in grado di eseguire l’attacco descritto non prima della fine del decennio, e nessuna delle proposte in discussione \u00e8 ancora stata attivata sulla rete principale. Ci sono comunque due accorgimenti pratici che non richiedono attese. Il primo \u00e8 evitare il riutilizzo degli indirizzi: ogni volta che un indirizzo, di qualunque tipo, viene usato in uscita, la sua chiave pubblica diventa permanentemente visibile sulla blockchain, esattamente come accade per default con Taproot; la maggior parte dei wallet moderni genera gi\u00e0 un nuovo indirizzo per ogni transazione, ma vale la pena controllare le impostazioni. Il secondo \u00e8 tenersi informati sull’evoluzione di BIP-360, perch\u00e9 quando i primi wallet inizieranno a supportare i nuovi formati di indirizzo, spostare fondi da un vecchio indirizzo esposto a uno nuovo protetto sar\u00e0 semplicemente un trasferimento tra i propri stessi indirizzi.<\/p>