// Indice
62 minuti e 29.588 qubit. È il conto che la società quantistica francese Alice & Bob presenta per violare la chiave di un portafoglio bitcoin, in una stima delle risorse pubblicata il 28 ottobre 2026 nell’archivio dei preprint dei crittografi. In primavera la cifra di Google era di mezzo milione di qubit. Quattro anni fa i ricercatori parlavano di centinaia di milioni. Una macchina capace di farlo, per ora, non la possiede nessuno.
Però è già chiaro quali monete cadrebbero per prime: più di 6 milioni di bitcoin giacciono su indirizzi in cui la chiave che serve al ladro è in bella vista. Spesso il proprietario non c’entra: secondo i conti di Glassnode, Robinhood ha chiavi esposte per il 100% dei bitcoin dei suoi clienti, Coinbase per il 10%. Niente di tutto questo condanna bitcoin. Ma non è nemmeno una cosa da liquidare con una scrollata di spalle.
Una busta che si apre quando paghi
?Come potrebbe un computer quantistico rubare bitcoin?
Un portafoglio ha una chiave privata, un numero a 256 bit, e una chiave pubblica calcolata a partire da essa. All’andata basta un istante; il ritorno è fuori portata per qualsiasi computer ordinario. L’algoritmo di Shor, un metodo quantistico per problemi di questo tipo, rende fattibile il percorso inverso. Un indirizzo bitcoin è l’impronta della chiave pubblica e, finché dall’indirizzo non si spende nulla, la chiave resta nascosta, come una lettera in una busta sigillata. Pagare strappa la busta: la chiave pubblica finisce nella transazione, dove tutti la vedono.
?Perché conta, se la chiave resta visibile solo per qualche minuto?
Gli attacchi possibili sono due. Il primo è una corsa: il ladro individua una transazione appena inviata, calcola la chiave privata e trasmette una transazione concorrente mentre l’originale aspetta la conferma. Un nuovo blocco di bitcoin arriva circa ogni 10 minuti. Per questa corsa 62 minuti sono troppi, ma i nove minuti della stima primaverile di Google bastano: CoinDesk ha calcolato per il ladro circa il 41% di probabilità di vincere. Il secondo è più semplice e più inquietante. Alcune monete hanno già la chiave pubblica sulla blockchain e, con quelle, non c’è alcuna fretta.
Il gatto che non fa cadere la moneta
?Che cosa hanno calcolato esattamente Alice & Bob?
Nessuno ha violato niente. I dieci autori dell’articolo hanno preso l’algoritmo di Shor e lo hanno scomposto in singole operazioni per una macchina che l’azienda spera di costruire. Il risultato è una distinta dei materiali: quanti componenti, per quanto tempo. Per secp256k1, la curva ellittica su cui poggiano le chiavi bitcoin, si arriva al massimo a 30.000 qubit e a circa un’ora. Per RSA-2048, uno standard di cifratura molto diffuso, il conto è di circa 23.000 qubit e 3,14 giorni.
?Perché si chiamano qubit del gatto?
In parole semplici, un qubit ordinario è come una moneta che gira su se stessa. Può cadere dal lato sbagliato: un’inversione di bit, da 0 a 1. Oppure può barcollare fuori dalla rotazione, il secondo tipo di errore, detto perdita di fase. Le macchine costruite con qubit superconduttori ordinari devono difendersi da entrambi contemporaneamente, e il conto sale: nel modello di Google un solo qubit «logico» affidabile richiede circa 400 qubit fisici. Alice & Bob conserva l’informazione in un campo di microonde intrappolato in un minuscolo risonatore. I fisici chiamano il suo stato «stato del gatto», dall’esperimento mentale di Schrödinger: il campo si trova in due stati opposti insieme, come il gatto è vivo e morto, e quei due stati fanno da 0 e da 1. Questa moneta quasi non cade mai dal lato sbagliato, quindi basta sorvegliare la rotazione, e la macchina se la cava con molti meno componenti.
?Dov'è il trucco?
CoinDesk ha calcolato che costa 17 volte meno della stima di Google, ma il confronto mette i qubit ordinari di Google accanto ai componenti molto più elaborati di Alice & Bob. Un problema più grosso si nasconde nelle ipotesi. Il progetto principale dell’articolo richiede un qubit del gatto che si inverte da solo solo circa una volta per secolo. Il miglior risultato dell’azienda, annunciato a settembre 2025, era di 33-60 minuti, e anche questo è preliminare. Un secolo contro un’ora: un divario di circa un milione di volte. Gli autori propongono una soluzione di ripiego con un ulteriore strato di protezione dagli errori. Lì basta un qubit che regge circa un’ora, ma la macchina ha bisogno di quasi il doppio dei componenti. Questa cifra compare nell’articolo solo per RSA, 45.000 invece di 23.000; per una chiave bitcoin un numero simile non c’è.
Da centinaia di milioni a trentamila
La parte più impressionante della storia è la rapidità con cui le stime continuano a scendere. Nulla di tutto ciò è venuto da hardware nuovo. Matematici e ingegneri hanno abbassato il conto trovando modi sempre più snelli di impostare lo stesso problema.
// Cronologia
- Il matematico Peter Shor descrive un algoritmo quantistico che scompone rapidamente i numeri in fattori e risolve il problema del logaritmo discreto. Su questi due problemi poggiano RSA e le firme a curva ellittica.
- Un gruppo dell’Università del Sussex stima i qubit necessari per violare una chiave bitcoin in tempi che vanno da minuti a ore: da 30 a 300 milioni.
- Il fisico Élie Gouzien e i coautori, tra cui ricercatori di Alice & Bob, arrivano a 126.133 qubit del gatto e 9 ore.
- Google Quantum AI, con ricercatori della Ethereum Foundation e di Stanford: meno di 500.000 qubit ordinari e una questione di minuti.
- Alice & Bob: al massimo 30.000 qubit del gatto e circa un’ora.
Gouzien è tra gli autori anche del nuovo articolo. In tre anni il gruppo ha tagliato la propria stima di quattro volte in qubit e di nove volte in tempo.
L’hardware racconta una storia più modesta. Willow, il chip presentato da Google nel dicembre 2024, ha 105 qubit. Secondo il modello di Google stesso, un attacco ne richiede fino a 500.000 dello stesso tipo, quasi cinquemila volte di più. La tabella di marcia di Alice & Bob punta a un chip con 100 qubit logici entro il 2030, ed è ancora un obiettivo, non un prodotto. Dahmun Goudarzi, crittoanalista senior dell’azienda, si aspetta che le due curve, l’hardware che cresce e i requisiti che calano, si incrocino all’inizio degli anni 2030. A suo avviso, il passaggio di bitcoin a una nuova protezione non può aspettare: «diventa della massima importanza che la migrazione cominci ora», ha detto Goudarzi a CoinDesk.
Congelare le monete altrui o consegnarle a un ladro
Le monete con chiavi esposte non mancano. Gli analisti di Glassnode ne hanno contati a ottobre 2026 più di 6 milioni di bitcoin, cioè il 31,2% dell’offerta in circolazione. Alcune stanno su tipi di indirizzo che rivelano la chiave fin dall’inizio: funzionano così i primissimi indirizzi della rete del 2009 e del 2010, e anche il moderno formato Taproot. Ma il rapporto di maggio di Glassnode ha rilevato che circa due terzi delle chiavi esposte sono trapelate dal modo in cui gli indirizzi vengono gestiti, non dal progetto della rete. Gran parte viene da exchange e servizi che custodiscono monete per i clienti.
Se tieni i bitcoin in un’app, probabilmente non sai su quali indirizzi il servizio custodisca le tue monete. Secondo i conti di Glassnode, Robinhood ha chiavi esposte per il 100% di quelle monete, Revolut per il 99%, Binance per l'83%, Coinbase per il 10% e Fidelity per circa il 2%. Le riserve dei governi di Stati Uniti, Regno Unito ed El Salvador non ne mostrano nessuna. Come sottolinea CoinDesk, le cifre descrivono come vengono usati gli indirizzi, non quanto sia vicino un furto.
?Che cosa significa per chi possiede bitcoin?
Due abitudini espongono una chiave: riutilizzare lo stesso indirizzo e spendere da esso a pezzi. Nemmeno un nuovo tipo di indirizzo salverà qualcosa da solo: le vecchie monete dovranno essere spostate lì.
Quel tipo di indirizzo esiste già sulla carta. La bozza BIP-360, una Bitcoin Improvement Proposal che ha ricevuto il suo numero a dicembre 2024, propone Pay-to-Merkle-Root (P2MR), un tipo di output che elimina il percorso di pagamento che rivela la chiave. I suoi autori ammettono che protegge solo le monete ferme a lungo, non una transazione appena inviata colta in una corsa. Passarci significa spostare le proprie monete. Chi ha perso le chiavi, o è morto, non sposterà mai nulla.
E qui si arriva alla discussione più spinosa. Il programmatore Jameson Lopp e i suoi coautori hanno delineato un calendario severo in una bozza chiamata BIP-361. Circa tre anni dopo l’attivazione della regola, la rete smette di accettare pagamenti verso indirizzi vulnerabili. Due anni dopo, le vecchie firme funzionano solo attraverso uno speciale protocollo di recupero pensato per distinguere il vero proprietario da un ladro quantistico. Le monete che non vengono mai spostate su nuovi indirizzi restano bloccate per sempre, e l’offerta in circolazione si riduce. Gli autori dichiarano senza giri di parole il loro motivo: «Potremmo non sapere che l’attacco è in corso».
Le più famose tra queste monete sono legate al creatore pseudonimo di bitcoin. Glassnode definisce le monete dell’epoca di Satoshi Nakamoto, ferme sui primi indirizzi, la parte più ostinata dell’offerta esposta. Gli autori di BIP-361 ammettono che per quegli indirizzi nessuno, al momento, ritiene possibile un protocollo di recupero, e rimandano a una proposta separata chiamata Hourglass. Quindi anche il loro stesso piano lascia le monete di Satoshi in un limbo. Per giustificare il piano citano lo stesso Satoshi: «Le monete perse rendono solo un po’ più preziose quelle di tutti gli altri. Pensala come una donazione a tutti». Poi capovolgono la citazione: «Le monete recuperate con mezzi quantistici rendono meno preziose quelle di tutti gli altri. Pensala come un furto a tutti».
Per bitcoin è quasi un’eresia. Dal 2009 la rete promette che le monete rispondono solo a chi detiene la chiave. L’alternativa non è più bella: un giorno milioni di monete dormienti vanno a chi costruirà per primo la macchina giusta. Gli autori dell’articolo di Google suggeriscono una terza via che chiamano «recupero digitale» («digital salvage»): regole per rimettere in circolazione o distruggere i beni abbandonati, invece di lasciarli a chi li afferra per primo. Nessuno sa ancora chi scriverebbe regole simili per una rete che non ha un proprietario.
Nemmeno la corsa per le transazioni appena inviate, dove la stima di Alice & Bob è ancora indietro, è chiusa. Il gruppo non ha ancora calcolato se più qubit potrebbero far scendere l’attacco sotto i dieci minuti, anche se Goudarzi ammette che ulteriori lavori potrebbero avvicinare le stime ai nove minuti di Google. E ha aggiunto che non c’è un limite evidente a quanto queste cifre possano scendere: «Non esiste un limite architetturale».
