Chi può congelare 6,4 milioni di BTC e con quale legittimità

Il 16 ottobre nove aziende cripto —tra cui Hacken, la Midnight Foundation di Charles Hoskinson, Quantus e Postquant Labs— hanno presentato la Quantum Alliance con una cifra precisa: 6,4 milioni di bitcoin, il 30,2% dell’offerta, hanno la chiave pubblica già esposta sulla catena. Di questi, circa 1,1 milioni sono attribuiti a Satoshi Nakamoto. Agli 81.600 dollari a cui BTC quotava quella stessa settimana, parliamo di circa 520.000 milioni di dollari che, il giorno in cui esisterà un computer quantistico crittograficamente rilevante, saranno matematicamente a disposizione di chi lo possiede.

L’aspetto interessante del lancio non è stato il consenso, ma il disaccordo. I membri non concordano sulla data —Richard Carback, CTO di Postquant Labs, indica il 2028 come scadenza realistica; altri la collocano al 2035 o la dichiarano inconoscibile— ma è il disaccordo meno rilevante. Quello che conta è l’altro: se quelle monete vulnerabili debbano essere congelate, spostate d’autorità o depositate in un trust da cui i proprietari possano riscattarle provandone la titolarità. Vale a dire: se un consorzio privato possa proporre di espropriare beni altrui per il loro bene.

Nessuno è proprietario del problema

Bryn Bennett, chief revenue officer di The Vault, lo ha formulato con una precisione che la copertura abituale si è lasciata sfuggire:

Nessuno è proprietario di quel problema, ed è proprio questo il problema. Un custode protegge gli asset dei suoi clienti, non quelli abbandonati. Congelare monete è una decisione di governance della rete Bitcoin, non dell’industria. Qualsiasi congelamento scambierebbe il rischio quantistico con un precedente sui diritti di proprietà e sulla neutralità.

Quella frase descrive un buco istituzionale, non tecnico. La crittografia post-quantistica esiste: il NIST ha standardizzato algoritmi di firma resistenti e ci sono proposte sul tavolo per Bitcoin. Ciò che non esiste è un soggetto legittimato a decidere cosa fare con UTXO i cui proprietari non possono o non vogliono rispondere. Changpeng Zhao ha suggerito di congelare gli 1,1 milioni di Satoshi se resteranno immobili quando la tecnologia sarà avanzata. Jameson Lopp ha ipotizzato restrizioni sulle monete vulnerabili. Entrambe le proposte sono difendibili dal punto di vista della sicurezza del sistema ed entrambe violano la promessa che definisce l’asset: che nessuno può confiscarti i tuoi bitcoin.

C’è un’asimmetria crudele nel design. I formati di pagamento moderni nascondono la chiave pubblica dietro un hash fino al momento della spesa, il che offre una certa protezione. Ma le monete più antiche —quelle dell’era Satoshi, pagate direttamente a chiave pubblica— hanno la chiave esposta da quando sono state minate. E per spostarle verso uno schema resistente serve la chiave privata attuale. Se è andata persa, il proprietario non può migrare nemmeno volendo. Per quel sottoinsieme la vulnerabilità è strutturalmente irreparabile senza un intervento esterno. È lì che la decisione tecnica diventa una decisione sulla proprietà.

L’hardware avanza senza emettere segnali di prezzo

Lo stesso giorno Google ha pubblicato su Science un risultato sul suo chip Willow che l’industria cripto ha letto troppo in fretta: una riduzione degli errori di circa 40 volte nella preparazione dei cosiddetti stati magici, con una fedeltà intorno al 99,99% tra gli stati che hanno superato l’ispezione.

Conviene capire di cosa si tratta, perché non significa che attaccare Bitcoin sia quaranta volte più economico. Un computer quantistico raggruppa molti qubit fisici in qubit logici capaci di rilevare e correggere errori. Per certe operazioni quei qubit logici consumano stati magici, che si esauriscono con l’uso e devono essere fabbricati continuamente durante il calcolo. L’analogia dell’articolo originale è efficace: una cucina in cui ogni piatto richiede una salsa non riutilizzabile e parte del personale non cucina mai, si limita a preparare salsa. L’hardware dedicato a produrre stati magici è hardware che non sta eseguendo l’attacco.

Per questo il vero collo di bottiglia di un attacco modellizzato non è solo il numero di qubit, ma il sostenere circa 500.000 stati magici affidabili al secondo. L’esperimento di Google ha avuto un tasso di successo nella preparazione di appena l’8%. Siamo lontani. Ma il progresso riguarda il metodo, non la scala: migliora proprio la parte che quasi nessuno metteva in conto nello stimare la dimensione della macchina necessaria. Le stime di risorse stanno scendendo, e scendono da dove non si guardava.

Qui entra in gioco il problema epistemico che trasforma tutto questo in una questione geopolitica e non solo ingegneristica. Il mercato sconta l’informazione pubblica. Uno Stato che raggiungesse per primo una capacità crittograficamente rilevante avrebbe tutti gli incentivi a non annunciarlo: il valore di quella capacità sta nella sua segretezza. Christopher Smith, CEO di Quantus, lo ha detto senza giri di parole: è molto probabile che chi ottiene il primo CRQC si tenga quelle monete, «probabilmente con la benedizione del governo nazionale di riferimento». La sua chiosa —«speriamo sia un governo a cui bitcoin piace»— è meno una battuta che la descrizione di un regime di rischio: la protezione dell’asset dipenderebbe dalla preferenza politica di un attore statale.

L’IA come archeologa della fiducia ereditata

Che l’opacità statale sulle capacità crittografiche non sia un’ipotesi paranoica lo ha ricordato questa settimana un terzo episodio. Un modello interno di Anthropic ha risolto in meno di mezz’ora un mistero vecchio di 25 anni: l’origine dei cinque seed che la NSA consegnò al NIST negli anni Novanta per generare le curve ellittiche che oggi proteggono buona parte di internet. L’agenzia non ha mai spiegato da dove venissero quei numeri e, dopo le rivelazioni di Snowden, il sospetto di una backdoor è diventato difficile da scartare. Koblitz e Menezes hanno dedicato un articolo alla questione nel 2015; Steve Weis ha presentato richieste di accesso ai documenti nel 2018 senza risultato; Filippo Valsorda e altri hanno offerto una ricompensa di 12.288 dollari arrivata a superare i 36.000. Jerry Solinas, il matematico della NSA che consegnò i seed, è morto nel 2023 senza chiarire nulla.

Claude ha rintracciato i seed fino a lrand48, un generatore di numeri casuali delle vecchie librerie C, alimentato con timestamp del 1997 e del 1998. Ha riprodotto la sequenza di P-256 e trovato una corrispondenza esatta al candidato 1.842. Chiunque può rieseguire il programma. Conclusione: la backdoor è molto meno probabile.

L’episodio taglia in due direzioni e conviene non fermarsi solo a quella che fa comodo. Conferma che per un quarto di secolo l’infrastruttura crittografica globale ha poggiato su numeri che nessuno poteva verificare, e che l’opacità era deliberata. Ma mostra anche che, quando finalmente si verifica, il risultato può essere benigno. Bitcoin, peraltro, non era coinvolto: usa secp256k1, una curva con parametri molto più semplici e poco margine per nascondere una debolezza. La lezione operativa è un’altra: i modelli stanno cominciando a essere auditor efficaci di assunti crittografici ereditati, e quella capacità è a disposizione tanto di chi difende quanto di chi attacca.

Dove questa lettura può sbagliare

L’argomento secondo cui il rischio è istituzionale e non crittografico ha diversi punti deboli. Il primo: forse il consenso arriverà da solo. Se nei prossimi diciotto mesi comparisse una BIP sulle firme post-quantistiche con ampio sostegno di sviluppatori, miner, wallet ed exchange, e la migrazione volontaria avanzasse prima che la minaccia si materializzi, il dilemma del congelamento non arriverebbe mai al voto. Il mercato avrebbe risolto per adozione ciò che sembrava richiedere una decisione sovrana.

Il secondo: i movimenti di monete antiche non provano nulla. Il 7 ottobre sono stati spostati 100,02 BTC fermi da luglio 2010, circa 8,5 milioni di dollari; ad agosto sei wallet inattivi dal 2011-2014 hanno movimentato 553,59 BTC, circa 40 milioni. È allettante leggerlo come migrazione preventiva, ma spostare monete può anche significare cambio di custodia, riorganizzazione o preparazione di una vendita. Attribuirlo alla paura quantistica è narrazione, non evidenza.

Il terzo, il più serio: il salto dall’8% di successo nella preparazione di stati magici a 500.000 stati affidabili al secondo è di diversi ordini di grandezza, e la storia della computazione quantistica è piena di progressi di metodo che non si sono tradotti in scala. Se nel 2029 saremo ancora senza un CRQC, tutta questa discussione sarà stata un’esternalità reputazionale per chi l’ha promossa, con il costo aggiuntivo di aver normalizzato l’idea che congelare monete sia un’opzione sul tavolo.

Cosa farne se costruisci o investi

C’è una coda di rischio che oggi non ha strumenti di copertura. Un ETF su bitcoin spot, una società quotata con BTC a bilancio o un custode istituzionale possono coprire la volatilità di prezzo, ma non possono coprire il rischio di governance di protocollo: la possibilità che le regole dell’asset cambino per consenso sociale in risposta a una minaccia tecnica. Non è un rischio di mercato, è binario e giuridico, e non esiste opzione che lo replichi.

Ciò che è davvero azionabile è più banale e nessuno lo sta pubblicando: sapere quale percentuale delle proprie riserve si trova in indirizzi con chiave pubblica esposta, disaggregata per tipo di script. Quella cifra è calcolabile oggi, con dati on-chain, e dovrebbe comparire in qualunque report di riserve serio, insieme a una politica esplicita di non riutilizzo degli indirizzi. Un custode che non sappia rispondere a questa domanda in una due diligence sta ammettendo di non aver guardato.

Per chi costruisce prodotto, il costo della migrazione non sta nella crittografia, come osservava Bennett: sta nel coordinare wallet, exchange, custodi e sviluppatori di protocollo. Le firme post-quantistiche occupano più spazio in blocco, il che mette pressione su commissioni e performance. Qualsiasi roadmap che oggi assuma come costante fino al 2030 l’attuale dimensione di una firma ECDSA sta facendo una scommessa implicita che conviene rendere esplicita. E conviene guardare con scetticismo qualunque fornitore che già si presenti come quantum-safe: la domanda giusta non è quale algoritmo usa, ma come intende migrare le chiavi già esposte su una catena pubblica e immutabile.