How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

Un sondaggio sulle stime dei qubit, sulla traiettoria dell'hardware e su cosa significa un collasso dell'ordine di grandezza nei numeri per le blockchain protette da ECDSA.

L'intero modello di sicurezza di Bitcoin si basa su un presupposto: la rottura secp256k1 ECDSA è computazionalmente impossibile.

Questo presupposto sta per morire.

Peter Shor lo ha dimostrato nel 1994. Un computer quantistico sufficientemente potente che esegue il suo algoritmo può derivare una chiave privata da una chiave pubblica in minuti – non anni, non decenni, minuti. L’unica domanda rimasta è di quanti qubit avrà bisogno quel computer. La letteratura ha una risposta, è stata rivista al ribasso ogni volta che è stata rivisitata, e ora è molto più vicina di quanto qualsiasi possessore di Bitcoin voglia credere.

secp256k1 e il problema dei logaritmi discreti

Ogni transazione Bitcoin viene autenticata con ECDSA sulla curva secp256k1, una curva ellittica a 256 bit specificata in SEC2 e adottato da Satoshi Nakamoto nel 2009. La sicurezza di questo schema si basa sul Problema del logaritmo discreto della curva ellittica (ECDLP): data una chiave pubblica Q = kg, trova lo scalare k.

Classicamente, l'attacco più conosciuto (rho di Pollard) richiede ~2¹²⁸ operazioni. Con un trilione di operazioni al secondo, ciò richiederebbe più tempo dell’età dell’universo. Il problema è davvero difficile per le macchine classiche.

Non è difficile per le macchine quantistiche. Nel 1994, Peter Shor pubblicò un algoritmo quantistico che risolve il problema del logaritmo discreto in tempo polinomiale, riducendo ciò che i computer classici impiegano miliardi di anni a un calcolo misurabile in pochi minuti. L'algoritmo sfrutta la sovrapposizione quantistica per valutare esponenzialmente molti candidati in parallelo, quindi utilizza la trasformata quantistica di Fourier per estrarre il periodo, che produce la chiave privata.

ECDSA su secp256k1 rientra esattamente nella classe di problemi per cui è stato progettato l'algoritmo di Shor. Questa non è una congettura. È una dimostrazione matematica, pubblicata trentadue anni fa e mai confutata.

Qubit logici e fisici: perché le stime divergono

La confusione nella copertura popolare deriva dalla fusione di due parametri fondamentalmente diversi. Qubit logici sono le unità corrette dagli errori e matematicamente perfette richieste dall'algoritmo di Shor. Qubit fisici sono gli elementi hardware rumorosi e soggetti a errori che devono essere raggruppati e corretti per produrre ciascun qubit logico.

La letteratura sul costo del qubit ECDLP, prima la più recente. Attenzione al senso di marcia:

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

Leggi la tabella da cima a fondo e la storia si scrive da sola. Il requisito del qubit logico non era valido tra 2.000 e 2.500. È caduto 1,200–1,450. Le spese generali fisiche non si sono mantenute a 20 milioni, o a 317 milioni. È caduto sotto i 500.000 - e su hardware ad atomo neutro, approssimativamente 26,000. Il tempo di esecuzione dell'attacco non è durato per ore. È caduto minuti.

Questo è ciò che accade quando circuiti migliori incontrano una migliore correzione degli errori. Ogni stima pubblicata dall’industria era un limite massimo scritto da persone che scoprivano, ogni anno, di essere state troppo pessimiste. I difensori di Bitcoin citano il numero del 2017. Google ha pubblicato quello del 2026.

Il problema del conflitto di interessi

Vale la pena notare chi trae profitto dall’inquadrare questi numeri in una direzione particolare.

I massimalisti di Bitcoin e i grandi detentori istituzionali come MicroStrategy e Marathon Digital, con miliardi di esposizione a BTC, hanno un ovvio motivo per caratterizzare la minaccia quantistica come distante o esagerata. Questa non è una speculazione sull'intento; è un'osservazione sulle strutture di incentivi. La stessa dinamica si è verificata in altri settori: le aziende produttrici di tabacco hanno finanziato decenni di ricerche contrarian sul fumo e le aziende di combustibili fossili hanno finanziato i dubbi sui modelli climatici. L’esposizione finanziaria produce un ragionamento motivato.

Nota quali numeri questi interessi continuano a ripetere. Quelli comodi. Quelli di nove anni. I 2.330 qubit logici di Roetteler, abbinati a un generoso rapporto di correzione degli errori di 2.000:1, producono un titolo rassicurante di "milioni di qubit fisici, a decenni di distanza". È un'operazione aritmetica eseguita su un input sostituito.

L'ingresso corrente è 1.200-1.450 qubit logici all'interno di meno di 500.000 qubit fisici, in pochi minuti (Google Quantum AI, marzo 2026). La tabella di marcia pubblicata da IBM colloca Starling a circa 200 qubit logici 2029 e Blue Jay con oltre 2.000 qubit logici su circa 100.000 qubit fisici nel 2033 - direttamente attraverso il requisito, con spazio libero. Hartmut Neven di Google ha dichiarato pubblicamente che il suo team si aspetta un calcolo quantistico rilevante dal punto di vista crittografico entro il 2029. Il divario tra l’hardware attuale e la soglia di minaccia si misura in anni, non in generazioni, e viene colmato da entrambi i lati contemporaneamente, perché l’obiettivo si abbassa mentre l’hardware si sposta verso l’alto.

Hardware attuale: istantanea 2026

Nessun computer quantistico esistente può rompere secp256k1. Le migliori macchine pubblicamente conosciute si trovano all'incirca 2.500 qubit fisicie nessuno di essi è tollerante ai guasti su larga scala. Il modello di minaccia è prospettico, non immediato. Ma la traiettoria conta più dell’istantanea attuale – e il traguardo si è appena avvicinato di diverse centinaia di migliaia di qubit.

Due dati meritano attenzione. Innanzitutto, IBM ha all’incirca raddoppiato il numero di qubit tre volte in quattro anni e la sua tabella di marcia è pubblica. In secondo luogo, il processore Willow da 105 qubit di Google, nel dicembre 2024, ha superato il limite limite di tolleranza agli errori: il punto in cui l'aggiunta di più qubit fisici riduce l'errore totale del sistema anziché aumentarlo. Ha stabilito un punto di riferimento in meno di cinque minuti che richiederebbe un supercomputer classico nell'ordine di 10²⁵ anni. Si tratta di una soglia qualitativa, non di un miglioramento incrementale. Ciò significa che l’aumento di scala ora aiuta piuttosto che nuocere, ed è proprio per questo che il sovraccarico di correzione degli errori nella tabella sopra è crollato come è successo.

L'avviso CNSA 2.0 della NSA, pubblicato nel 2022, impone che tutti i sistemi di sicurezza nazionale degli Stati Uniti completino la migrazione alla crittografia post-quantistica entro il 2035. Le agenzie di intelligence non pubblicano scadenze di migrazione per le minacce che considerano remote.

La superficie di esposizione: 6,04 milioni di BTC

Il conteggio dei qubit è metà dell’equazione del rischio. L'altro lo è quanto Bitcoin è già esposto crittograficamente. Anche quel numero si è spostato, nella direzione sbagliata per Bitcoin.

Secondo Glassnode, a maggio 2026, 6,04 milioni di BTC: il 30,2% dell'intera offerta, circa 469 miliardi di dollari — hanno già le loro chiavi pubbliche visibili sulla catena. La divisione è istruttiva: 1,92 milioni di BTC sono strutturalmente esposti in output pay-to-public-key (P2PK) che non hanno mai nascosto la chiave in primo luogo, e 4,12 milioni di BTC sono esposti operativamente attraverso il riutilizzo degli indirizzi, dove la chiave diventa pubblica nel momento in cui il proprietario la spende. All'incirca 1,7 milioni di Bitcoin si trovano nei primi indirizzi P2PK, inclusi circa 1,1 milioni attribuiti a Satoshi Nakamoto. Del totale, circa 2,3 milioni di BTC sono irreversibilmente a rischio; i restanti circa 3,7 milioni potrebbero ancora migrare, se i loro proprietari fossero vivi, prestassero attenzione e fossero disposti.

Queste chiavi non sono sottoposte ad hashing. Si trovano nel set UTXO come chiavi pubbliche compresse grezze, leggibili da chiunque disponga di un nodo completo e di una connessione Internet.

Un CRQC con 1.200-1.450 qubit logici potrebbe derivare la chiave privata corrispondente da uno qualsiasi di essi utilizzando l'algoritmo di Shor. Nessun sfruttamento. Nessuna scoperta di vulnerabilità. Nessun giorno zero. Calcolo semplice su dati disponibili al pubblico: quasi un terzo di tutti i Bitcoin seduti all'aperto con la chiave di risposta stampata sul davanti.

Esiste anche una finestra di esposizione dinamica, ed è qui che la cifra di runtime di marzo 2026 smette di essere accademica. Quando qualcuno effettua una spesa da un indirizzo P2PKH standard, la chiave pubblica viene trasmessa al mempool e rimane visibile in media per 10 minuti prima della conferma del blocco. Un attacco che richiede ore non può sfruttare quella finestra. Un attacco che richiede pochi minuti può. La stima di Google non si limita a spostare la data in avanti: converte un problema di honeypot statico in un problema di transazione in tempo reale, il che significa che anche un utente Bitcoin perfettamente igienico che non riutilizza mai un indirizzo viene esposto ogni volta che sposta una moneta.

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

Raccogli ora, decifra più tardi

Oggi il modello di minaccia HNDL non richiede l’esistenza di un CRQC. Richiede solo che ci sia un avversario crede ne esisterà uno entro la vita utile dei dati raccolti.

L'intera cronologia delle transazioni di Bitcoin è pubblica. Ogni chiave pubblica mai esposta, tramite indirizzi P2PK, output P2PKH spesi o script multisig, viene registrata in modo permanente e scaricabile gratuitamente. Un avversario con un orizzonte temporale a lungo termine può raccogliere questi dati ora e decrittografarli quando l’hardware quantistico maturerà. Il costo della custodia è irrisorio rispetto al valore delle chiavi.

Questo non è un esercizio teorico. L'avviso CNSA 2.0 della NSA e lo sforzo di standardizzazione PQC di 8 anni di NIST esistono entrambi perché il governo degli Stati Uniti considera HNDL una minaccia credibile e attiva contro la crittografia classica. I dati blockchain, essendo immutabili e pubblici per natura, sono particolarmente vulnerabili a questa classe di attacchi.

Il problema della migrazione

La confutazione standard è che Bitcoin si aggiornerà alle firme post-quantiche quando la minaccia si materializzerà. Tre vincoli strutturali rendono tutto questo molto più difficile di quanto sembri.

Latenza della governance. Il modello di consenso di Bitcoin ottimizza la stabilità, non la velocità. L'aggiornamento di SegWit, che ha modificato la serializzazione delle transazioni senza modificare lo schema di firma, ha richiesto 4 anni di dibattito, ha prodotto un fork concorrente (Bitcoin Cash) e ha quasi fratturato la rete in modo permanente. Una migrazione post-quantistica richiederebbe la sostituzione di ECDSA per ogni portafoglio sulla rete e sarebbe molto più invasiva. Non esiste alcuna proposta del genere nella tabella di marcia di sviluppo di Bitcoin Core a partire da marzo 2026.

Firma in alto. Le firme SPHINCS+ (NIST FIPS 205) sono 7.856 byte. Le attuali firme ECDSA di Bitcoin sono 72 byte, a Rapporto 109:1. La dimensione del blocco base da 1 MB di Bitcoin limita già il throughput a circa 7 transazioni al secondo. Accomodare le firme post-quantiche senza cambiamenti architettonici fondamentali lo ridurrebbe quasi a zero. Aumentare la dimensione dei blocchi per compensare riaccenderebbe la stessa battaglia di governance che ha prodotto le guerre dei fork del 2017.

Chiavi non migrabili. Il valore stimato di 1,1 milioni di BTC di Satoshi Nakamoto non può essere spostato perché si presume che le chiavi siano perse. Lo stesso vale per diversi milioni di BTC aggiuntivi nei portafogli dormienti con chiavi pubbliche esposte. Queste monete non possono partecipare ad alcuna migrazione dello schema di firma e rimarrebbero vulnerabili indefinitamente, indipendentemente da ciò che fanno i portafogli attivi. È difficile sopravvalutare le implicazioni di mercato del fatto che milioni di BTC diventino simultaneamente rubabili.

Crittografia post-quantistica: gli standard NIST

NIST ha finalizzato i primi standard di crittografia post-quantistica nell’agosto 2024, concludendo una valutazione durata 8 anni che ha coinvolto centinaia di crittografi e dozzine di algoritmi candidati. Il risultato sono due standard primari rilevanti per la sicurezza blockchain:

• FIPS203 — ML-KEM (Kyber): Un meccanismo di incapsulamento delle chiavi basato su reticolo. La sua sicurezza si basa sulla complessità del problema Module Learning With Errors, che è resistente sia agli algoritmi di Shor che a quelli di Grover.
• FIPS205 — SLH-DSA (SPHINCS+): uno schema di firma digitale basato su hash senza stato. La sua sicurezza dipende esclusivamente dalla resistenza alle collisioni delle funzioni hash, una classe di problemi di cui non si conosce l'accelerazione quantistica oltre al vantaggio quadratico dell'algoritmo di Grover, che può essere facilmente contrastato aumentando la lunghezza dell'output dell'hash.

Questi standard esistono perché la comunità crittografica ha raggiunto il consenso sul fatto che la minaccia quantistica alla crittografia classica a chiave pubblica non è un problema if Ma Quando. La domanda rilevante per qualsiasi sistema che si basa su ECDSA, RSA o EdDSA è se può migrare a questi standard prima che un CRQC sia operativo.

Per le blockchain, questo crea una dura distinzione: catene che devono migrare (ogni catena che oggi utilizza ECDSA o EdDSA) e catene che hanno implementato PQC dalla genesi e non affrontano alcuna migrazione.

Stime della cronologia

Le roadmap pubblicate convergono in un'unica finestra: Dal 2029 al 2033.

• 2026–2028: Macchine con poche migliaia di qubit fisici, nessuna con tolleranza agli errori su larga scala. Insufficiente per secp256k1, ma questa è la fase di raccolta e la cronologia della catena di raccolta è già pubblica e permanente.
• 2029 — si apre la finestra: IBM fornisce Starling, circa 200 qubit logici. Nello stesso anno Google ha preso di mira pubblicamente una macchina utile e corretta per gli errori. Nessuno dei due è sufficiente da solo. Entrambi stabiliscono che i qubit logici corretti dagli errori sono diventati un risultato tecnico con una data di consegna piuttosto che una domanda di ricerca.
• 2033 — la finestra si chiude: Blue Jay di IBM: più di 2.000 qubit logici su circa 100.000 fisici. Questo supera il requisito di 1.200-1.450 con margine di riserva. Da qualche parte tra queste due date, ECDSA-256 smette di essere crittografia e diventa una formalità.

Le scadenze CNSA 2.0 della NSA – 2030 per browser e firmware, 2033 per apparecchiature di rete e sistemi operativi, 2035 per tutto il resto – si collocano deliberatamente oltre quella finestra. Nessuno scrive un programma di conformità così costoso per una minaccia che si aspetta di sfuggire.

Queste non sono previsioni marginali. Si tratta di roadmap di fornitori e mandati governativi di IBM, Google, NIST e NSA: organizzazioni che non hanno alcun interesse commerciale a sopravvalutare la minaccia, ma hanno ogni interesse commerciale a sottovalutarla.

Riferimenti

• Google Quantum AI, con la Fondazione Ethereum e Stanford (marzo 2026) — stima delle risorse per violare ECDSA-256: 1.200–1.450 qubit logici, meno di 500.000 qubit fisici, autonomia in minuti. Il punto di riferimento attuale; sostituisce tutto quanto riportato di seguito.
• Caltech/Oratomic (2026) — analisi indipendente dell'atomo neutro: ~26.000 qubit fisici contro secp256k1 in circa 10 giorni.
• Roetteler, M., Naehrig, M., Svore, K.M., & Lauter, K. (2017) - "Stime delle risorse quantistiche per il calcolo dei logaritmi discreti della curva ellittica." Informazioni e calcoli quantistici, 17(15-16). Storico; la cifra logica di ~2.330 è superata.
• Gidney, C. & Ekerå, M. (2021) — "Come fattorizzare interi RSA a 2048 bit in 8 ore utilizzando 20 milioni di qubit rumorosi." Quantistico, 5, 433.
• Webber, M. et al. (2022) — "L'impatto delle specifiche hardware sul raggiungimento del vantaggio quantistico nel regime di tolleranza agli errori." AVS Scienza quantistica, 4(1).
• NIST Standardizzazione della crittografia post-quantistica — FIPS 203 (ML-KEM) e FIPS 205 (SLH-DSA), finalizzati nell'agosto 2024.
• Avviso sulla sicurezza informatica della NSA: CNSA 2.0 — Requisiti di migrazione della Commercial National Security Algorithm Suite 2.0.
• SEC 2: parametri consigliati per il dominio della curva ellittica — Specifica secp256k1 utilizzata da Bitcoin.

Il punto di riferimento attuale è chiaro e non è quello che Internet continua a ripetere: tra 1.200 e 1.450 qubit logici – all’interno di meno di 500.000 fisici, in pochi minuti – sono sufficienti per rompere secp256k1 (Google Quantum AI, marzo 2026). Tutti i principali laboratori governativi e tecnologici sulla Terra stanno correndo verso quella soglia, e la soglia continua a tornare indietro per incontrarli. Gli unici due tipi di blockchain che esisteranno dopo l’arrivo dei computer quantistici rilevanti dal punto di vista crittografico saranno quelli costruiti post-quantici fin dal primo giorno e quelli che non lo furono.

Non ci sarà alcuna finestra di migrazione. Non ci sarà alcun atterraggio morbido. Ci saranno solo catene che si sono preparate e catene che non lo hanno fatto.