Rischio quantistico nel mondo delle criptovalute: è troppo presto per farsi prendere dal panico

Quando a marzo il team di ricerca quantistica di Google ha pubblicato uno studio rivedendo le stime delle risorse necessarie per violare la crittografia a curve ellittiche, il settore delle criptovalute ha reagito in modo piuttosto esagerato, arrivando persino a parlare della fine di Bitcoin.

Le stime precedenti concludevano che violare la crittografia a curve ellittiche a 256 bit con l’algoritmo di Shor avrebbe richiesto decine di migliaia di qubit logici. Il team di Google ha però ridotto la cifra a meno di 1.200 qubit logici: una riduzione di 20 volte del costo stimato dell’attacco.

Ora che, in teoria, l’attacco è meno costoso, che conseguenze avrà sulla quantità di Bitcoin che hai nel tuo portafoglio tra dieci anni? Dopotutto, nessun computer quantistico sulla Terra è neanche lontanamente in grado di mantenere 1.200 qubit logici tolleranti ai guasti.

Senza voler fare come il signore che dichiarò che l’uomo non avrebbe volato per un milione di anni appena 9 giorni prima che i fratelli Wright prendessero il volo, raggiungere quel livello richiederebbe scoperte del tipo di quelle che si vedono nel terzo atto dei film di fantascienza.

Supponiamo allora che la svolta sia vicina. Per chiunque detenga asset su una blockchain protetta dalla crittografia a curve ellittiche, la domanda diventa una sola: quanto tempo abbiamo?

A mio avviso, è questo il modo più utile di considerare il problema: non chiedersi se il calcolo quantistico finirà per violare la crittografia odierna, ma se il settore riuscirà a migrare prima che ciò diventi possibile.

Non tutte le criptovalute

L’algoritmo di Shor ricava una chiave privata da una chiave pubblica. Se la chiave pubblica non è esposta sulla blockchain, l’algoritmo non ha nulla su cui lavorare.

La maggior parte dei moderni tipi di indirizzo Bitcoin mantiene nascosta la chiave pubblica fino al momento in cui si spendono i fondi. P2PKH e P2WPKH la sottopongono a hashing, mentre P2PK e Taproot la espongono immediatamente. Il rischio è concentrato sugli indirizzi le cui chiavi sono già state rivelate da una transazione precedente.

L’analisi on-chain mostra che oltre il 34% di tutti i Bitcoin in circolazione ha avuto la chiave pubblica esposta. Si tratta di circa 1,7 milioni di BTC distribuiti tra circa 20.000 chiavi esposte, custodite in indirizzi legacy.

Ethereum si trova ad affrontare una versione più ampia dello stesso problema. Ogni account controllato esternamente che abbia mai firmato una transazione ha esposto informazioni sufficienti a consentire il recupero della propria chiave pubblica. Oltre ai singoli account, anche le firme BLS dei validatori, gli impegni KZG e alcuni sistemi di prova a conoscenza zero si basano su una crittografia che un computer quantistico sufficientemente potente potrebbe violare.

La migrazione è già in corso

I computer quantistici minacciano RSA e la crittografia a curve ellittiche in ambiti quali il settore bancario, le infrastrutture a chiave pubblica (PKI) governative e le comunicazioni sicure. Le blockchain sono quindi solo una parte di una transizione molto più ampia.

Nell’agosto 2024, il NIST ha finalizzato i primi tre standard di crittografia post-quantistica: ML-KEM per la definizione delle chiavi e ML-DSA e SLH-DSA per le firme digitali. Sul fronte blockchain, Bitcoin dispone della BIP-360, integrata nel repository ufficiale nel febbraio 2026. Questa proposta ha eliminato la necessità di esporre on-chain una chiave pubblica classica.

Il gruppo Protocol di Ethereum punta a realizzare entro dicembre 2029 un livello base resistente agli attacchi quantistici, intervenendo sui livelli di esecuzione, consenso e dati.

Per realizzare questo piano saranno necessari cinque hard fork, a intervalli di circa sette mesi ciascuno.

Queste scadenze non riguardano solo il settore delle criptovalute. Google ha fissato al 2029 il proprio obiettivo interno per completare la migrazione post-quantistica, mentre il National Cyber Security Centre del Regno Unito punta a concluderla entro il 2035. Le reti blockchain stanno quindi migrando nell’ambito di una transizione crittografica molto più ampia, anziché reagire a una minaccia esclusiva del settore.

I calcoli sulle scadenze

Un rapporto di Citigroup pubblicato all’inizio di quest’anno ha stimato al 19-34% la probabilità che entro il 2034 entri in funzione un computer quantistico in grado di violare la crittografia.

I piani di migrazione della maggior parte delle blockchain prevedono tutti il completamento prima del 2034, quindi al momento la corsa è a favore dei difensori.

Credo che sia proprio qui che il panico attuale del settore delle criptovalute sbaglia a valutare le tempistiche. La minaccia quantistica è reale, ma la scadenza rilevante non è il giorno in cui entrerà in funzione un computer quantistico: è il termine entro cui trasferire gli asset e le infrastrutture vulnerabili prima che ciò accada.

L’unica preoccupazione, ora, è la strategia del «raccogli oggi, decifra domani». Un aggressore può catalogare oggi le chiavi pubbliche esposte e tentare di recuperarle quando sarà disponibile una macchina capace di farlo.

Ecco perché non si può aspettare l’arrivo dei computer quantistici per pianificare la migrazione. Quando arriveranno, ogni chiave esposta sarà già a rischio.

Cosa possiamo fare ora

Per la maggior parte degli utenti, oggi è molto più probabile perdere denaro a causa di phishing, firme malevole su dApp, firmware compromessi e scarsa entropia nella generazione delle chiavi che per colpa di un computer quantistico.

La posizione più sensata è tenere presenti entrambe le realtà. Rafforzare le difese contro gli attacchi attuali. Smettere di riutilizzare gli indirizzi. Usare software per portafogli che, per impostazione predefinita, utilizzi tipi di output che nascondono le chiavi pubbliche. E seguire l’evoluzione delle tempistiche di migrazione.