Bitcoin viene spesso descritto come anonimo, ma \u00e8 pi\u00f9 corretto parlare di pseudonimato pubblico: ogni transazione resta scritta per sempre in un registro che chiunque pu\u00f2 consultare con un semplice block explorer. Il problema pratico, fin dai primi anni, \u00e8 stato il riuso degli indirizzi. Quando lo stesso indirizzo riceve pi\u00f9 pagamenti nel tempo, un osservatore esterno pu\u00f2 collegarli tra loro, stimare il saldo di un utente e, incrociando i dati con un exchange che applica il KYC, risalire alla sua identit\u00e0 reale. Le societ\u00e0 di analisi on-chain costruiscono interi prodotti commerciali proprio su euristiche di questo tipo, la pi\u00f9 nota delle quali raggruppa tutti gli indirizzi usati come input della stessa transazione sotto un unico proprietario presunto.<\/p>
Nel 2026, a quasi cinque anni dall’attivazione di Taproot (14 novembre 2021), la conversazione pubblica attorno a quell’aggiornamento si \u00e8 spostata su altri fronti: i covenant, Ordinals, il rischio quantistico. Ma una delle applicazioni pi\u00f9 interessanti nate dalla stessa architettura \u00e8 passata quasi inosservata fuori dai circoli tecnici, le Silent Payments, un protocollo che permette di ricevere pagamenti privati su un singolo indirizzo statico senza comunicare nulla al mittente, n\u00e9 prima n\u00e9 dopo l’operazione. Sono lo stesso trio di proposte, i BIP 340, 341 e 342, che ha permesso a Casey Rodarmor di costruire Ordinals<\/a>: qui per\u00f2 la flessibilit\u00e0 di Taproot viene piegata verso l’esatto opposto, nascondere un pagamento invece di renderlo pubblicamente visibile come un’iscrizione.<\/p> Il tema della privacy on-chain, del resto, non \u00e8 mai stato soltanto tecnico. Negli Stati Uniti i fondatori di Samourai Wallet, Keonne Rodriguez e William Lonergan Hill, sono stati arrestati nell’aprile 2024 e successivamente condannati per aver gestito senza licenza un servizio di CoinJoin, Whirlpool, accusato di aver contribuito a riciclare fondi di origine illecita, come riportato da CoinDesk<\/a>. Il caso ha mostrato quanto sia esposto un modello che dipende da un coordinatore identificabile, per quanto il wallet sottostante restasse non custodial. Le Silent Payments seguono una strada strutturalmente diversa: non esiste alcun servizio centrale da individuare, alcun coordinatore da citare in giudizio, alcun server che orchestri le transazioni di pi\u00f9 utenti insieme. Il protocollo vive interamente nella matematica di ogni singolo wallet, esattamente come Taproot stesso.<\/p> Le Silent Payments sono specificate nel BIP-352<\/a>, un documento tecnico finalizzato il 9 marzo 2023 da tre sviluppatori: josibake (Josie Baker, contributor di Bitcoin Core e co-fondatore del collettivo no-profit 2140), Ruben Somsen e Sebastian Falbesoner. Il concetto era stato proposto da Somsen gi\u00e0 l’anno prima, in una nota che descriveva l’obiettivo con una frase che resta ancora oggi la sintesi pi\u00f9 efficace del progetto: \u00abricevere pagamenti privati da chiunque su un unico indirizzo statico, senza richiedere alcuna interazione o costo aggiuntivo on-chain\u00bb, scriveva Somsen nella sua proposta originale<\/a>.<\/p> A differenza di un indirizzo Bitcoin tradizionale, un indirizzo Silent Payment, che inizia con il prefisso sp1q ed \u00e8 codificato in Bech32m, non viene mai scritto sulla blockchain. Serve solo come punto di incontro pubblico: chi vuole pagare lo legge, esegue un calcolo crittografico in autonomia e genera un indirizzo Bitcoin nuovo di zecca per quel singolo pagamento. Il destinatario individua i pagamenti a lui destinati scandagliando la blockchain con la propria chiave privata, senza che il mittente debba comunicargli nulla prima, durante o dopo la transazione.<\/p> Il vantaggio pratico si vede meglio con qualche esempio concreto. Un content creator pu\u00f2 pubblicare un solo indirizzo di donazione sul proprio sito per anni, senza che ogni sostenitore finisca collegato agli altri. Un libero professionista pu\u00f2 fatturare dieci clienti diversi con lo stesso codice, invece di dover generare e comunicare un indirizzo nuovo ogni volta, un problema tipico di chi gestisce un hardware wallet e non ama esporre indirizzi diversi a ogni fattura. Un exchange pu\u00f2 liquidare i prelievi dei propri utenti senza che l’insieme dei prelievi diventi una mappa leggibile della propria tesoreria. In tutti questi casi il costo aggiuntivo, per chi paga, \u00e8 zero: la transazione ha le stesse dimensioni e la stessa commissione di un pagamento Bitcoin ordinario.<\/p> Lo stesso principio si applica a scenari pi\u00f9 quotidiani: un servizio in abbonamento pu\u00f2 addebitare pi\u00f9 clienti nel tempo senza costruire, addebito dopo addebito, una mappa pubblica delle proprie entrate; una piattaforma di rimesse internazionali pu\u00f2 liquidare beneficiari diversi in paesi diversi senza che l’insieme dei pagamenti in uscita riveli volumi o controparti a chiunque osservi la blockchain. Sono casi d’uso meno spettacolari di un’iscrizione Ordinals o di un covenant, ma probabilmente pi\u00f9 vicini a come la maggior parte delle persone finir\u00e0 per usare Bitcoin nella vita di tutti i giorni.<\/p> Un indirizzo Silent Payment non \u00e8 una singola chiave, ma la concatenazione di due chiavi pubbliche distinte per un totale di 66 byte: la scan key, chiave di scansione, e la spend key, chiave di spesa. La separazione non \u00e8 un dettaglio implementativo, \u00e8 il cuore del modello di sicurezza del protocollo. La scan key serve solo per individuare i pagamenti in arrivo attraverso un calcolo ECDH (Elliptic Curve Diffie-Hellman) e pu\u00f2 restare su un dispositivo connesso a internet, per esempio un telefono, perch\u00e9 da sola non permette di spendere un solo satoshi. La spend key, quella che autorizza davvero il movimento dei fondi, pu\u00f2 restare offline, su un hardware wallet o in cold storage, ed entra in gioco solo al momento di firmare una transazione in uscita.<\/p> Questa architettura ricorda da vicino il modello dei wallet watch-only, ma applicato in modo nativo a un intero protocollo di pagamento. Per un privato significa poter tenere un’app di scansione sempre accesa sul telefono senza esporre le chiavi che contano davvero. Per un exchange o una tesoreria aziendale significa poter delegare il monitoraggio dei fondi in arrivo a un sistema con privilegi limitati, riservando l’autorizzazione di spesa a un processo separato e pi\u00f9 protetto, uno schema che si sposa bene con i requisiti di segregazione interna che molte istituzioni finanziarie devono comunque rispettare.<\/p> Vale la pena notare che questa separazione non \u00e8 unica delle Silent Payments: \u00e8 lo stesso principio che rende sicuri i wallet watch-only usati da anni per il monitoraggio contabile, applicato qui non a un singolo indirizzo ma a un intero flusso di pagamenti futuri e imprevedibili, generati da chiunque possieda semplicemente l’indirizzo pubblico.<\/p> Il meccanismo di generazione dell’indirizzo \u00e8 la parte pi\u00f9 elegante del protocollo. Quando Alice vuole pagare Bob, non genera un indirizzo dal nulla: usa le chiavi private degli input che sta effettivamente spendendo in quella transazione. Sommando quelle chiavi ed eseguendo uno scambio ECDH con la scan key pubblica di Bob, Alice ottiene un segreto condiviso che nessun altro pu\u00f2 calcolare, nemmeno osservando la blockchain, perch\u00e9 richiede di conoscere o la chiave privata di Alice o quella di Bob. Quel segreto viene combinato con dati specifici della transazione, in modo che resti unico anche se Alice paga Bob pi\u00f9 volte nella stessa transazione o in transazioni diverse nel tempo, e sommato alla spend key pubblica di Bob per produrre un output Taproot completamente nuovo, mai apparso prima sulla blockchain e mai destinato a riapparire.<\/p> Bob, per riconoscere il pagamento, ripete lo stesso calcolo dal suo lato: prende le chiavi pubbliche aggregate degli input della transazione, un’informazione gi\u00e0 presente e pubblica sulla blockchain, le combina con la propria scan key privata e verifica se il risultato corrisponde a uno degli output della transazione. Se la risposta \u00e8 s\u00ec, il pagamento \u00e8 suo e pu\u00f2 spenderlo in qualsiasi momento con la spend key. Il tutto senza che Alice e Bob si siano mai scambiati un messaggio, un indirizzo aggiuntivo o una notifica di alcun tipo, e senza che la transazione contenga un solo byte in pi\u00f9 rispetto a un pagamento Bitcoin ordinario.<\/p> Dal punto di vista di un wallet, l’intero processo richiede solo qualche operazione di crittografia a curve ellittiche in pi\u00f9 rispetto a una transazione normale, un costo computazionale trascurabile per qualunque dispositivo moderno lato mittente. \u00c8 lato destinatario, come si vedr\u00e0 pi\u00f9 avanti, che il conto da pagare diventa pi\u00f9 interessante.<\/p> Il protocollo impone che l’output finale sia sempre un indirizzo Taproot (P2TR), e non \u00e8 un vincolo casuale. Limitare le Silent Payments a un solo tipo di output massimizza quello che i crittografi chiamano l’insieme di anonimato: ogni pagamento privato si mescola in modo indistinguibile con tutti gli altri output Taproot della rete, quelli di un wallet qualunque, di un canale Lightning, di un multisig MuSig2. Un osservatore che guarda la blockchain non pu\u00f2 nemmeno stabilire se una certa transazione abbia usato le Silent Payments oppure no: \u00e8 una privacy stenografica, perch\u00e9 nasconde non solo il contenuto ma l’esistenza stessa dello strumento usato. \u00c8 lo stesso principio, applicato in direzione opposta, che ha reso possibile la nascita di Ordinals e Runes: la stessa capacit\u00e0 di Taproot di trattare ogni output come intercambiabile ha aperto la porta sia all’anonimato delle Silent Payments sia alla piena visibilit\u00e0 pubblica delle iscrizioni.<\/p> Una precisazione \u00e8 d’obbligo, perch\u00e9 il tema torna spesso quando si parla di Taproot nel 2026: essendo comunque un output P2TR standard, un pagamento Silent Payment condivide lo stesso profilo di esposizione della chiave pubblica al centro del dibattito sul rischio quantistico<\/a> emerso con forza nel 2026. Le Silent Payments non risolvono n\u00e9 aggravano quel dibattito, ne sono semplicemente indipendenti. Chi vuole approfondire quella parte della storia, incluso il caso delle monete di Satoshi, pu\u00f2 leggere il nostro pezzo dedicato<\/a>.<\/p> L’idea di un indirizzo statico che generi pagamenti sempre diversi non \u00e8 nuova. Concetti simili, genericamente chiamati stealth address, circolavano nella comunit\u00e0 tecnica gi\u00e0 da qualche anno, ma la prima proposta formalizzata e ampiamente adottata arriva nel 2015, quando Justus Ranvier presenta il BIP-47<\/a>, i cosiddetti reusable payment codes. Nel suo schema, Alice e Bob si scambiano un codice di pagamento pubblico, ma prima di poter ricevere fondi \u00e8 necessaria una transazione di notifica speciale e visibile sulla blockchain, che stabilisce il canale privato tra i due. Dopo quella singola notifica, le due parti possono scambiarsi fino a oltre quattro miliardi di pagamenti derivando indirizzi diversi dallo stesso segreto condiviso, senza ulteriori notifiche.<\/p> Le Silent Payments risolvono il limite principale di quell’approccio, eliminando del tutto la transazione di notifica. Non serve alcun evento on-chain dedicato per attivare il canale tra due utenti, perch\u00e9 il segreto condiviso viene ricavato direttamente dagli stessi input che il mittente sta gi\u00e0 spendendo per pagare. Il risultato \u00e8 che, a differenza del BIP-47, nessun osservatore pu\u00f2 individuare nemmeno il momento in cui due utenti hanno iniziato a scambiarsi pagamenti privati: semplicemente non esiste alcuna transazione fuori dall’ordinario da cercare.<\/p>Cosa sono le Silent Payments e perch\u00e9 nascono da Taproot<\/h2>
La crittografia sotto il cofano: chiave di scansione e chiave di spesa<\/h2>
Come nasce un pagamento: dall’input del mittente all’output univoco<\/h2>
Perch\u00e9 deve essere un output Taproot: la privacy stenografica<\/h2>
Non \u00e8 la prima idea del genere: da BIP-47 alle stealth address<\/h2>