Il percorso di aggiornamento quantico di Bitcoin: cosa cambia BIP-360 e cosa no

Punti chiave

• BIP-360 inserisce ufficialmente la resistenza quantistica nella road map di Bitcoin per la prima volta. Rappresenta un passo misurato e incrementale, piuttosto che una revisione radicale della crittografia.

• Il rischio quantistico colpisce principalmente le chiavi pubbliche esposte, non l’hashing SHA-256 di Bitcoin, rendendo l’esposizione delle chiavi pubbliche la principale vulnerabilità che gli sviluppatori mirano a ridurre.

• BIP-360 introduce Pay-to-Merkle-Root (P2MR), che elimina l’opzione di spesa tramite percorso chiave di Taproot e costringe tutte le spese tramite percorsi script per minimizzare l’esposizione alla curva ellittica.

• La flessibilità degli smart contract resta invariata, poiché P2MR supporta comunque multisig, timelock e strutture di custodia complesse tramite gli alberi Merkle di Tapscript.

Bitcoin è stato costruito per resistere a scenari economici, politici e tecnici ostili. A partire dal 10 marzo 2026, i suoi sviluppatori si stanno preparando ad affrontare una minaccia emergente: il quantum computing.

La recente pubblicazione della Bitcoin Improvement Proposal 360 (BIP-360) aggiunge ufficialmente la resistenza quantistica alla roadmap tecnica a lungo termine di Bitcoin per la prima volta. Mentre alcuni titoli la descrivono come un cambiamento radicale, la realtà è molto più graduale e misurata.

Questo articolo esplora come BIP-360 introduce Pay-to-Merkle-Root (P2MR) per ridurre l’esposizione quantistica di Bitcoin eliminando la spesa tramite percorso chiave di Taproot. Spiega cosa migliora la proposta, quali compromessi introduce e perché non rende ancora Bitcoin completamente sicuro per l’era post-quantum.

Perché il quantum computing rappresenta un rischio per Bitcoin

Per la sicurezza, Bitcoin dipende dalla crittografia, principalmente l’Elliptic Curve Digital Signature Algorithm (ECDSA) e le firme Schnorr introdotte con Taproot. I computer tradizionali non possono realisticamente ricavare una chiave privata da una chiave pubblica. Tuttavia, un potente computer quantistico che esegue l’algoritmo di Shor potrebbe violare i logaritmi discreti delle curve ellittiche, esponendo tali chiavi.

Le principali distinzioni includono:

• Gli attacchi quantistici colpiscono maggiormente la crittografia a chiave pubblica, non l’hashing.

• Il SHA-256 di Bitcoin rimane relativamente robusto contro i metodi quantistici. L’algoritmo di Grover fornisce solo un’accelerazione quadratica, non esponenziale.

• Il vero rischio emerge quando le chiavi pubbliche vengono esposte sulla blockchain.

Per questo la comunità si concentra sull’esposizione delle chiavi pubbliche come vettore di rischio quantistico primario.

Le vulnerabilità di Bitcoin nel 2026

Non tutti i tipi di indirizzi della rete Bitcoin affrontano lo stesso livello di rischio quantistico futuro:

• Indirizzi riutilizzati: La spesa rivela la chiave pubblica on-chain, lasciandola esposta a un futuro computer quantistico crittograficamente rilevante (CRQC).

• Output legacy pay to public key (P2PK): Le prime transazioni di Bitcoin includevano direttamente le chiavi pubbliche negli output di transazione.

• Spesa percorso chiave Taproot: Taproot (2021) offre due percorsi: un percorso chiave compatto (che espone una chiave pubblica "ritoccata" durante la spesa) o un percorso script (che rivela gli script tramite una Merkle proof). Il percorso chiave è il principale punto debole teorico in caso di attacco quantistico.

BIP-360 prende di mira direttamente quell’esposizione del percorso chiave.

Cosa introduce BIP-360: P2MR

BIP-360 aggiunge un nuovo tipo di output, Pay-to-Merkle-Root (P2MR), modellato strettamente su Taproot ma con un cambiamento cruciale. Elimina completamente l’opzione di spesa tramite percorso chiave.

Invece di impegnarsi su una chiave pubblica interna come Taproot, P2MR si impegna esclusivamente sulla Merkle root di un albero script. Per spendere:

• Si rivela una foglia script

• Si fornisce una prova Merkle che mostra l’appartenenza alla root impegnata

Non esiste alcun percorso di spesa basato su chiave pubblica.

L’eliminazione delle spese tramite percorso chiave implica:

• Nessuna esposizione di chiavi pubbliche per i controlli di firma diretti.

• Tutte le modalità di spesa si basano su impegni hash-based.

• L’esposizione a lungo termine delle chiavi pubbliche a curva ellittica diminuisce drasticamente.

I metodi basati sull’hash sono molto più resilienti agli attacchi quantistici rispetto alle assunzioni delle curve ellittiche. Questo riduce significativamente la superficie di attacco.

Cosa mantiene BIP-360

Una convinzione comune è che eliminare la spesa tramite percorso chiave indebolisca gli smart contract o lo scripting. Non è così. P2MR supporta pienamente:

• Impostazioni multisig

• Timelock

• Pagamenti condizionali

• Piani di eredità

• Custodia avanzata

BIP-360 esegue tutte queste funzioni tramite gli alberi Merkle di Tapscript. Mentre il processo mantiene la piena capacità di scripting, la scorciatoia diretta di firma, comoda ma vulnerabile, scompare.

Sapevi che? Satoshi Nakamoto riconobbe brevemente il quantum computing nelle prime discussioni sui forum, suggerendo che se fosse diventato pratico, Bitcoin avrebbe potuto migrare verso schemi di firma più forti. Questo dimostra che la flessibilità di aggiornamento è sempre stata parte della filosofia di design.

Implicazioni pratiche del BIP-360

BIP-360 può sembrare una semplice raffinazione tecnica, ma il suo impatto si farebbe sentire a livello di wallet, exchange e custodia. In caso di attivazione, rimodellerebbe gradualmente il modo in cui vengono creati, spesi e protetti i nuovi output di Bitcoin, soprattutto per gli utenti che danno priorità alla resilienza quantistica a lungo termine.

• I wallet potrebbero introdurre indirizzi P2MR opzionali (probabilmente con prefisso “bc1z”) come scelta “quantum-hardened” per nuove monete o detenzioni a lungo termine.

• Le transazioni saranno leggermente più grandi (più dati testimoni dai percorsi script), potenzialmente aumentando leggermente le commissioni rispetto alle spese tramite percorso chiave Taproot. La sicurezza viene scambiata con la compattezza.

• Un rollout completo richiederebbe aggiornamenti a wallet, exchange, custodi e hardware wallet. La pianificazione dovrebbe iniziare con anni di anticipo.

Sapevi che? I governi si stanno già preparando ai rischi “raccogli ora, decifra dopo”, dove i dati criptati vengono archiviati oggi in vista di una futura decrittazione quantistica. Questa strategia rispecchia le preoccupazioni sulle chiavi pubbliche Bitcoin esposte.

Cosa non fa esplicitamente il BIP-360

Sebbene BIP-360 rafforzi Bitcoin di fronte a future minacce quantistiche, non è una completa revisione crittografica. Capire i suoi limiti è importante quanto capire le sue innovazioni:

• Nessun upgrade automatico per le monete esistenti: Gli output delle vecchie transazioni non spese (UTXO) restano vulnerabili finché gli utenti non spostano manualmente i fondi su output P2MR. La migrazione dipende dal comportamento degli utenti.

• Nessuna nuova firma post-quantum: BIP-360 non sostituisce ECDSA o Schnorr con schemi a base reticolare (ad esempio Dilithium o ML-DSA) o basati su hash (ad esempio SPHINCS+). Rimuove solo il pattern di esposizione del percorso chiave di Taproot. Un passaggio totale al layer di base verso firme post-quantum richiederebbe un cambiamento molto più grande.

• Nessuna immunità quantistica completa: Una svolta improvvisa CRQC richiederebbe comunque un enorme coordinamento tra miner, nodi, exchange e custodi. Monete dormienti potrebbero creare complesse questioni di governance e la rete potrebbe subire stress.

Perché gli sviluppatori agiscono ora

Il progresso quantistico è incerto. Alcuni pensano che sia a decenni di distanza. Altri sottolineano gli obiettivi di IBM per computer fault-tolerant alla fine degli anni 2020, i progressi nei chip di Google, la ricerca topologica di Microsoft e i passaggi pianificati dal governo USA tra il 2030 e il 2035.

Le migrazioni delle infrastrutture critiche richiedono molti anni. Gli sviluppatori di Bitcoin pongono l’accento sulla pianificazione tra progettazione BIP, software, infrastruttura e adozione utenti. Aspettare la certezza sui progressi quantistici potrebbe lasciare troppo poco tempo per aggiornare l’infrastruttura.

Se si formerà consenso, potrebbe svolgersi un soft fork graduale:

1. Attivazione del tipo di output P2MR

2. Wallet, exchange e custodi aggiungono il supporto

3. Migrazione graduale degli utenti negli anni

Questo rispecchia l’adozione dapprima opzionale e poi diffusa di SegWit e Taproot.

Il dibattito più ampio intorno al BIP-360

Il dibattito su urgenza e costi prosegue. Le domande in discussione includono:

• Sono accettabili modesti incrementi delle commissioni per gli HODLer?

• Dovrebbero essere le istituzioni a guidare la migrazione?

• Cosa fare delle monete che non si muovono mai?

• Come dovrebbero i wallet segnalare la “quantum safety” senza creare allarmismi inutili?

La conversazione è in corso. BIP-360 fa avanzare la discussione ma non la chiude.

Sapevi che? L’idea che i computer quantistici potessero minacciare la crittografia risale al 1994, quando il matematico Peter Shor introdusse l’algoritmo di Shor, ben prima dell’esistenza di Bitcoin. La pianificazione quantistica futura di Bitcoin è essenzialmente una risposta a una svolta teorica di 30 anni fa.

Cosa possono fare gli utenti in questo momento

Non c’è motivo di farsi prendere dal panico per ora, poiché le minacce quantistiche non sono imminenti. Mosse prudenti che potresti adottare includono:

• Non riutilizzare mai gli indirizzi

• Usare sempre software wallet aggiornati

• Seguire le notizie sugli upgrade di protocollo

• Monitorare il supporto P2MR nei wallet

Chi ha grandi patrimoni dovrebbe mappare in silenzio le esposizioni e valutare piani di emergenza.

BIP-360: Il primo passo verso la resistenza quantistica

BIP-360 rappresenta il primo passo concreto di Bitcoin verso la riduzione dell’esposizione quantistica a livello di protocollo. Ridefinisce come possono essere creati nuovi output, minimizza le perdite di chiavi pubbliche e pone le basi per la pianificazione della migrazione a lungo termine.

Non modifica automaticamente le monete esistenti, mantiene intatte le firme attuali e sottolinea la necessità di uno sforzo coordinato e attento da parte dell’intero ecosistema. La vera resistenza quantistica arriverà da un lavoro ingegneristico continuo e da un’adozione graduale, non da un singolo BIP.