Il calcolo quantistico e le tue monete: cosa è davvero a rischio

Il calcolo quantistico è l’argomento cripto di cui si parla peggio, con ammirevole costanza. Una fazione dice che sta per rompersi tutto; l’altra dice che mancano decenni e smette di pensarci. Entrambe saltano la parte davvero utile, cioè sapere quale pezzo del sistema è vulnerabile e quali delle tue monete sono esposte.

Perché la risposta non è uniforme. Alcune uscite corrono un rischio sensibilmente maggiore di altre, e su quella differenza puoi agire già oggi.

Due algoritmi, due problemi molto diversi

Quasi tutta la preoccupazione si riduce a due risultati degli anni Novanta.

L’algoritmo di Shor risolve in modo efficiente i problemi su cui poggia la crittografia a chiave pubblica: la fattorizzazione e il logaritmo discreto su cui sono costruite le firme secp256k1. Un computer quantistico abbastanza grande che esegua Shor potrebbe ricavare una chiave privata da una chiave pubblica. Questa è la minaccia vera, e non è piccola: rompe le firme del tutto, invece di indebolirle.

L’algoritmo di Grover accelera la ricerca non strutturata, ma solo in modo quadratico. Contro una funzione di hash dimezza all’incirca la sicurezza effettiva. SHA-256 scende da 256 bit a circa 128 bit di resistenza, un valore ancora ben fuori portata. Il mining ottiene un’accelerazione teorica che conta molto meno di quanto sembri, perché la proof of work è una corsa contro gli altri miner, non contro un bersaglio fisso.

Quindi il riassunto che conta davvero: l’hashing va bene, le firme no. Ogni preoccupazione seria discende da questa sola frase.

Perché un indirizzo non è una chiave pubblica

Ecco la parte che quasi tutte le discussioni saltano, ed è proprio quella che determina la tua esposizione.

Gli indirizzi Bitcoin non sono chiavi pubbliche. Sono hash di chiavi pubbliche oppure, negli indirizzi basati su script, hash di uno script. La chiave pubblica non compare sulla catena quando ricevi fondi. Compare quando li spendi, perché spendere richiede di pubblicare una firma e la chiave che la convalida.

Questo crea due categorie di moneta:

Con hash e non spesa. La catena mostra soltanto un hash. Per attaccarla, un avversario quantistico dovrebbe prima rompere l’hash, e Grover non lo porta fin lì. Queste uscite sono protette da uno strato in più che non ha nulla a che vedere con le firme.

Con chiave pubblica esposta. Nel momento in cui spendi da un indirizzo, la chiave è pubblica per sempre. Tutto ciò che resta lì dopo è protetto soltanto dallo schema di firma.

Questa distinzione è il motivo per cui «non riutilizzare gli indirizzi» si rivela un consiglio rilevante anche in chiave quantistica, dopo anni in cui lo si raccomandava per sole ragioni di riservatezza. Riutilizzare un indirizzo significa che il secondo pagamento sta dietro una chiave pubblica esposta anziché dietro un hash.

Cosa è davvero esposto oggi

Le prime uscite di Bitcoin. Le transazioni più antiche pagavano direttamente a chiavi pubbliche anziché a hash. Quelle chiavi in chiaro sono visibili sulla catena in questo momento. Una quota consistente di monete molto vecchie e mai movimentate — inclusa buona parte di ciò che si presume sia di Satoshi — rientra in questa categoria.

Qualsiasi indirizzo riutilizzato. Spendi una volta e tutto ciò che ricevi lì in seguito sta dietro una chiave pubblicata.

Ogni indirizzo Ethereum che abbia mai transatto. Vale la pena dirlo chiaramente perché sorprende: sulle catene EVM la chiave pubblica è ricavabile da qualsiasi firma. Se un indirizzo ha inviato anche una sola transazione, la sua chiave è di fatto pubblica. Ethereum non ha un equivalente della categoria «con hash e non spesa» di Bitcoin.

Le uscite Taproot. Taproot mette una chiave pubblica direttamente nell’uscita anziché un suo hash. È un progetto elegante, con vantaggi reali di riservatezza ed efficienza, e comporta davvero che le uscite per via di chiave espongano una chiave dal momento in cui vengono finanziate. Utile saperlo; oggi non è motivo di allarme.

La finestra del mempool. Quando spendi, la tua chiave pubblica diventa visibile nell’istante in cui trasmetti, prima della conferma. Un attaccante quantistico abbastanza rapido da ricavare una chiave e far minare una transazione concorrente entro quella finestra potrebbe sottrarre fondi in volo. È un attacco teorico reale e richiede capacità molto oltre qualunque cosa sia stata dimostrata.

Dove si colloca SSP, onestamente

Gli indirizzi Bitcoin di SSP sono P2WSH: un hash di uno script testimone. Questo colloca le tue monete non spese nella categoria dell’hash: ciò che sta sulla catena prima che tu spenda è un hash, non chiavi. Quando spendi, lo script ed entrambe le chiavi pubbliche vengono rivelati, esattamente come per qualsiasi altra uscita basata su script.

E ora la parte in cui sarebbe facile promettere troppo, quindi non facciamolo. Il multisig 2-di-2 aiuta contro il quantistico? Appena.

Un attaccante che esegua Shor contro il tuo script già speso deve ricavare due chiavi invece di una. È all’incirca il doppio del lavoro. Il doppio è un fattore costante, e i fattori costanti non sono sicurezza: chi ha la capacità di rompere una chiave secp256k1 quasi certamente ha la capacità di romperne due. Il multisig due-di-due è un’ottima protezione contro la compromissione di un dispositivo, il phishing, il furto e la coercizione su una sola chiave. Contro un computer quantistico crittograficamente rilevante è pressoché irrilevante, e chi ti vende il multisig come protezione quantistica ti sta ingannando.

Ciò che conta davvero è la migrazione a firme post-quantistiche a livello di catena, e non è qualcosa che un portafoglio possa fare da solo.

Quanto è vicino tutto questo?

Per nulla vicino, in qualunque lettura onesta.

Rompere secp256k1 con Shor richiede un computer quantistico grande e con correzione d’errore. Poiché i qubit fisici sono rumorosi, ne servono molti per produrre un qubit logico affidabile, e le stime pubblicate per attaccare dimensioni di chiave reali arrivano a milioni di qubit fisici. Le macchine attuali sono indietro di molti ordini di grandezza: non è questione di una generazione di hardware in più.

Due cose impediscono che questo sia una ragione per ignorare l’argomento.

Primo, i tempi sono davvero incerti. «Molti ordini di grandezza» descrive onestamente l’oggi ed è una base scadente per previsioni sicure sul 2040.

Secondo, e più importante: le chiavi esposte non scadono. Con i dati cifrati esiste la preoccupazione del «raccogli ora, decifra poi». Con le monete l’equivalente è più semplice e peggiore: una chiave pubblica visibile oggi resta visibile, e le monete che stanno dietro possono essere prese non appena la capacità arriva. Non c’è nessuna finestra che si chiude. È questa la ragione per cui interessarsi ora alla categoria in cui si trovano le tue monete, anche se la minaccia resta lontana.

Cosa si sta facendo davvero

Le fondamenta crittografiche esistono. Il NIST ha standardizzato schemi di firma post-quantistici — ML-DSA e SLH-DSA, derivati dalle proposte Dilithium e SPHINCS+ — e sono utilizzabili oggi in software ordinario.

Le blockchain sono il caso difficile. Cambiare lo schema di firma è un cambiamento di consenso: ogni nodo, ogni portafoglio, ogni exchange, ogni pezzo di infrastruttura deve concordare e migrare. Le firme post-quantistiche sono inoltre molto più grandi di quelle in uso, con conseguenze dirette su spazio di blocco e commissioni. E qualcuno dovrà decidere cosa fare delle monete i cui proprietari non migreranno mai, incluse vecchie uscite i cui titolari potrebbero essere irreperibili o morti. È un problema di governance almeno duro quanto quello tecnico.

Il lavoro è in corso. Non è ancora urgente, e richiederà anni quando lo diventerà.

Cosa fare

Non riutilizzare gli indirizzi. Dovresti già farlo per riservatezza. In più tiene le tue monete nella categoria dell’hash anziché dietro chiavi esposte. È l’unica cosa sensata che un singolo possa fare oggi, ed è gratis.

Non riorganizzare le tue posizioni per questo. Nessuna mossa di panico è giustificata. Chi ti spinge a spostare fondi con urgenza per via del calcolo quantistico sta orchestrando una truffa o cercando di venderti qualcosa.

Tieni la minaccia in proporzione. Realisticamente è molto più probabile che tu perda cripto per una frase di recupero smarrita, un sito di phishing o un’approvazione non letta che per un computer quantistico. Questi sono i rischi di oggi e meritano l’attenzione di oggi.

Aspettati che venga gestito a livello di protocollo. Quando arriverà la migrazione, arriverà come un aggiornamento di catena con una lunga transizione, non come qualcosa che il tuo portafoglio sistema in silenzio.

La posizione onesta è poco affascinante: un problema reale, correttamente individuato, ancora lontano, su cui si sta lavorando — e che al momento non è ciò che si frappone tra te e la perdita del tuo denaro.