Quando i computer quantistici romperanno Bitcoin? La cronologia del 2029

La finestra si aprirà nel 2029 e sarà completamente aperta nel 2033. I calcoli furono stabiliti nel 1994. Ecco la cronologia tecnica e il motivo per cui la finestra per la migrazione si è già chiusa.

C’è una data che circola all’interno di ogni laboratorio quantistico, briefing dell’intelligence e documento di ricerca crittografica sulla Terra. Non è un segreto. Non è classificato. È pubblicato, sottoposto a revisione paritaria e approvato dalle organizzazioni che costruiscono le macchine e dalle agenzie che le utilizzeranno.

2029.

Questo è l’anno in cui la divisione quantistica di Google – il team che ha costruito Sycamore da 53 qubit, il team che ha costruito Willow – ha dichiarato pubblicamente di aspettarsi calcolo quantistico rilevante dal punto di vista crittografico. Non "un giorno". Non "alla fine". Una data su una tabella di marcia supportata da miliardi di investimenti hardware e da un processore che ha già superato la soglia di tolleranza agli errori.

Il 2029 non è una scadenza. È l'anno in cui si apre la finestra. Si chiude nel 2033, quando la roadmap pubblicata da IBM fornisce Blue Jay: più di 2.000 qubit logici, ben oltre quello che serve per eliminare una chiave privata Bitcoin da una chiave pubblica. Tutto tra queste due date è la kill zone. Una tabella di marcia può slittare di un anno; una finestra di quattro anni con due venditori indipendenti al suo interno non scivola affatto.

L'intero modello di sicurezza di Bitcoin scade da qualche parte in quella finestra. Non a causa di un bug. Non a causa di un hack. Perché la matematica che protegge ogni chiave privata di Bitcoin è stata dimostrata infrangibile trentadue anni fa, e l'unica cosa che si frappone tra quella prova e l'esecuzione è l'hardware che viene costruito proprio adesso.

La matematica non è in discussione

Nel 1994, Peter Shor pubblicò un algoritmo quantistico che risolve il problema Problema del logaritmo discreto della curva ellittica (ECDLP) in tempo polinomiale. Bitcoin utilizza secp256k1 ECDSA, una curva ellittica a 256 bit, per firmare ogni transazione. Data una chiave pubblica Q = kg, l'algoritmo di Shor deriva lo scalare privato k.

Classicamente, il miglior attacco richiede ~2¹²⁸ operazioni. Su un computer quantistico, l'attacco richiede circa 1.200-1.450 qubit logici - e finisce dentro minuti. Questa è la cifra di marzo 2026 L'intelligenza artificiale quantistica di Google, prodotto con la Ethereum Foundation e Stanford, e si adatta all'interno meno di 500.000 qubit fisici. Un'analisi indipendente Caltech/Oratomic colpisce approssimativamente lo stesso obiettivo sull'hardware con atomi neutri 26.000 qubit fisici nell'arco di circa dieci giorni.

Nota cosa significa prima di andare avanti. Ogni numero in questo attacco è diventato più piccolo:

• Roetteler et al. (2017): 2.330 qubit logici: la cifra ancora citata da Internet, stantia di nove anni
• Gidney ed Ekerå (2021): ~20 milioni di qubit fisici, 8 ore, per RSA-2048
• Gidney (2025): lo stesso obiettivo RSA-2048, rivisto al ribasso sotto 1 milione qubit rumorosi in meno di una settimana: un taglio di 20 volte in sei anni, dello stesso autore
• Google Quantum AI (marzo 2026): ECDSA-256 a 1.200–1.450 logici / meno di 500.000 fisici, in minuti

Le stime non convergevano. Essi crollato. Ogni revisione seria ha avvicinato la soglia, mai oltre, e secp256k1 si è rivelato essere l’obiettivo più economico e più vicino da sempre: più economico di RSA, più economico di quanto chiunque voglia ammettere citando il documento del 2017. Il dibattito è finito e non è finito dove presumevano i difensori di Bitcoin.

La cronologia del 2029: chi ha detto cosa

Nel dicembre 2024, Hartmut Neven, fondatore e capo di Google Quantum AI, ha dichiarato in a Tempi finanziari intervista che Google è sulla buona strada per costruire un "computer quantistico utile e su larga scala" entro la fine del 2029. Questa non era una siepe. Si trattava di un impegno pubblico sostenuto da un processore che aveva appena superato la barriera della tolleranza agli errori.

Questa non è una previsione marginale. Tutte le principali istituzioni con accesso all'hardware reale hanno pubblicato una sequenza temporale e tutte si sovrappongono.

Le agenzie di intelligence non impongono scadenze per la migrazione per le minacce che considerano remote. La NSA ha pubblicato CNSA 2.0 nel 2022 e ha dotato ogni sistema di sicurezza nazionale degli Stati Uniti 13 anni per completare la transizione. Tale scadenza è il 2035. Non hanno scelto quel numero arbitrariamente.

Il budget quantistico della Cina – pubblicamente stimato a oltre 15 miliardi di dollari – non è un progetto da fiera della scienza. Il PCC ha fatto dell’informatica quantistica una pietra angolare della sua strategia nazionale per dominare il cyberspazio e la tecnologia avanzata. Si tratta dello stesso apparato statale che è diventato leader mondiale nel settore delle ferrovie ad alta velocità, dei droni commerciali (DJI controlla oltre il 70% del mercato globale) e delle infrastrutture 5G in un solo decennio, quando ha deciso che tali settori erano priorità nazionali. La Forza di supporto strategico del PLA ha esplicitamente integrato l'informatica quantistica nella dottrina militare. Quando la Cina designa una tecnologia come priorità strategica e la sostiene con capitale diretto dallo Stato, i risultati dimostrano che ciò avviene. Se credi che gli Stati Uniti e la Cina stiano spendendo decine di miliardi in hardware che non funzionerà mai, hai un’immaginazione più creativa degli ingegneri che costruiscono le macchine.

Google Willow: la soglia che ha cambiato tutto

Alla fine del 2024, il processore Willow di Google ha ottenuto qualcosa che la copertura più popolare non è riuscita ad apprezzare. Ha attraversato il limite di tolleranza agli errori: il punto in cui aggiungere più qubit fisici a un sistema riduce errore totale anziché aumentarlo.

Prima di questa soglia, i computer quantistici erano bloccati in una trappola: più qubit significavano più rumore, il che significava più errori, il che annullava il vantaggio computazionale. L’aumento di scala è stato attivamente controproducente. Willow ha dimostrato che l'ingegneria della correzione degli errori quantistici (QEC) ha raggiunto il punto in cui il ridimensionamento ora aiuta.

Questo non è un miglioramento incrementale. È una transizione di fase qualitativa. Prima di Willow, la domanda era: “la correzione degli errori quantistici può funzionare su larga scala?” Dopo Willow, la domanda è "quanto velocemente possiamo crescere?"

La risposta, basata sul percorso di IBM di raddoppiare all'incirca il numero di qubit ogni 18-24 mesi e sul progresso parallelo di Google, è: abbastanza velocemente da raggiungere la soglia ECDLP entro questo decennio.

Cosa succede a Bitcoin quando la soglia viene superata

Secondo Glassnode, a maggio 2026, 6,04 milioni di BTC: il 30,2% dell'intera offerta, circa 469 miliardi di dollari - hanno già le loro chiavi pubbliche sulla catena. Si tratta di 1,92 milioni strutturalmente esposti in output pay-to-public-key (P2PK) che non hanno mai nascosto la chiave, più 4,12 milioni esposti operativamente attraverso il riutilizzo degli indirizzi. Circa 1,7 milioni si trovano nei primi indirizzi P2PK, inclusi gli 1,1 milioni stimati da Satoshi. Di 2,3 milioni di BTC sono irreversibilmente a rischio; gli altri circa 3,7 milioni potrebbero ancora migrare, se i loro proprietari fossero vivi e prestassero attenzione.

Un CRQC inserisce una qualsiasi di queste chiavi pubbliche nell'algoritmo di Shor, emette la chiave privata e firma un trasferimento. Nessun exploit necessario. Matematica pura su dati disponibili al pubblico: quasi un terzo di tutti i Bitcoin, allo scoperto, in attesa.

L'attacco dinamico è peggiore e il dato di runtime di marzo 2026 è ciò che lo rende reale: quando un utente effettua una spesa da un indirizzo P2PKH, la chiave pubblica rimane esposta nel mempool per ~10 minuti. Un attacco che impiega ore non può utilizzare quella finestra. Un attacco che dura pochi minuti vive al suo interno. Ciò significa che anche il Bitcoiner disciplinato che non riutilizza mai un indirizzo è esposto ad ogni spesa. E se anche una frazione delle monete di Satoshi si muove, significa che secp256k1 è rotto: non un calo, ma una spirale mortale.

Perché Bitcoin non può migrare in tempo

"Bitcoin verrà semplicemente aggiornato." Tre vincoli strutturali rendono possibile questa fantasia:

1. Latenza della governance. È necessario l'aggiornamento SegWit, di portata molto più ridotta 4 anni di dibattito, ha prodotto Bitcoin Cash e ha quasi fratturato la rete. Sostituire ECDSA su ogni portafoglio, nodo e firmatario hardware è molto più difficile. Non esiste una proposta del genere sulla roadmap di Bitcoin Core.

2. Firma in alto. Le firme SPHINCS+ lo sono 7.856 byte contro i 72 di ECDSA, a Rapporto 109:1. I ~7 TPS di Bitcoin scendono quasi a zero senza un aumento delle dimensioni del blocco, il che riaccende la stessa guerra che ha prodotto il fork del 2017.

3. Chiavi non migrabili. I ~1,1 milioni di BTC di Satoshi non possono essere spostati. All'incirca 2,3 milioni di BTC in totale sono irreversibilmente esposti – chiavi perse, proprietari morti, portafogli abbandonati – e nessun soft fork, hard fork o voto sulla governance può raggiungerne un solo satoshi. Queste monete rimangono vulnerabili per sempre. L'impatto sul mercato di milioni di BTC rubabili è pari al livello di estinzione per la valutazione di Bitcoin.

L'orologio sta correndo

A partire da marzo 2026, la sequenza temporale è simile alla seguente:

L’intervallo tra “dovremmo iniziare a migrare” e “è troppo tardi per migrare” è più breve di quanto il modello di governance di Bitcoin possa elaborare un cambiamento consensuale. Questa è la condizione di uccisione fondamentale. Non i qubit. Non gli algoritmi. La latenza della governance.

Che aspetto ha realmente la resistenza quantistica

NIST ha finalizzato gli standard di crittografia post-quantistica nell'agosto 2024: FIPS203 (ML-KEM / Kyber) per l'incapsulamento delle chiavi e FIPS205 (SLH-DSA / SPHINCS+) per le firme digitali. Questi sono gli algoritmi che il governo americano utilizzerà per proteggere i dati riservati dagli attacchi quantistici.

Qualsiasi blockchain che implementa questi standard dalla genesi non ha problemi di migrazione. Nessuna chiave legacy esposta. Nessuna battaglia di governance. Nessun indirizzo non migrabile. Quando arriva il Q-Day, le catene costruite su NIST PQC affrontano una giornata come tutte le altre.

La domanda non è più “i computer quantistici riusciranno a rompere Bitcoin?” La domanda è se prima dell’annuncio avrete spostato la vostra ricchezza verso infrastrutture resistenti ai quanti. Perché nel momento in cui la pausa sarà pubblica, le chiavi private saranno già state estratte. Il denaro intelligente si muove Prima il necrologio è scritto.

Riferimenti

• Google Quantum AI, con la Fondazione Ethereum e Stanford (marzo 2026) — Stima delle risorse ECDSA-256: 1.200–1.450 qubit logici, meno di 500.000 fisici, autonomia in minuti. Il punto di riferimento attuale.
• Caltech/Oratomic (2026) — analisi indipendente dell'atomo neutro: ~26.000 qubit fisici in circa 10 giorni.
• Gidney (maggio 2025) — RSA-2048 rivisto a meno di 1 milione di qubit rumorosi in meno di una settimana, in calo rispetto a 20 milioni di qubit e 8 ore nel 2019.
• Roetteler et al. (2017) — Stime delle risorse quantistiche per ECDLP a 256 bit. Informazioni e calcoli quantistici. Storico; la cifra logica di ~2.330 è superata.
• Gidney ed Ekerå (2021) — Come fattorizzare RSA a 2048 bit in 8 ore utilizzando 20 milioni di qubit rumorosi. Quantistico, 5, 433. Sostituito dalla revisione del 2025 dell'autore.
• Webber et al. (2022) — Impatto delle specifiche hardware sul raggiungimento del vantaggio quantistico. AVS Scienza quantistica.
• NSACNSA 2.0 (2022) — Requisiti di migrazione della Commercial National Security Algorithm Suite 2.0.
• NIST Standardizzazione PQC — FIPS 203 (ML-KEM) e FIPS 205 (SLH-DSA), finalizzati nell'agosto 2024.