pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">Il testo che ha dato inizio a Bitcoin occupa nove pagine, circa 3.500 parole, e la parola «blockchain» non vi compare mai. Il documento parla di «catena» e di catena di proof-of-work più lunga. L’autore, che firmava come Satoshi Nakamoto, lo annunciò su una mailing list di crittografia il 31 ottobre 2008. Al 23 ottobre 2026 la rete che descrive aveva prodotto oltre 972.000 blocchi e girava a circa 1.055 exahash al secondo, secondo la stima di mempool.space di quella mattina.
Questo è il white paper di Bitcoin spiegato sezione per sezione, per chi sa già che cos’è Bitcoin e vuole capire che cosa sostiene davvero il suo documento fondativo. In breve: il testo propone di sostituire la terza parte di fiducia, la banca o la zecca, con un ordine pubblico delle transazioni che costa molto riscrivere. Tutto il resto è l’ingegneria necessaria a far reggere quell’ordine.
Il modo più semplice per entrarci è leggerlo come una catena di obiezioni. Una moneta può essere una serie di firme, ma allora si può spendere due volte. Per impedirlo serve un ordine pubblico degli eventi. Quell’ordine richiede marcature temporali. Le marcature temporali richiedono un costo che renda difficile riscriverle. Ogni sezione risponde al problema lasciato aperto dalla precedente, e l’undicesima fa i conti sull’aggressore. Qui sotto le sezioni sono raccontate con parole nostre, con poche citazioni brevi, e confrontate con la rete com’è nel 2026.
Che cos’è il white paper di Bitcoin, e che cosa non è
Il titolo completo è «Bitcoin: A Peer-to-Peer Electronic Cash System». Il PDF ospitato su bitcoin.org/bitcoin.pdf ha nove pagine: un sommario (abstract), dodici sezioni numerate, due pagine di formule con un breve programma e i suoi risultati, e otto riferimenti bibliografici. La copia che abbiamo scaricato il 23 ottobre 2026 riporta metadati di file del marzo 2009, quindi è un’esportazione successiva e non il file esatto collegato nel messaggio di ottobre 2008. Il Satoshi Nakamoto Institute, che conserva un archivio degli scritti di Satoshi, data il documento al 31 ottobre 2008.
Dopo l’annuncio il documento fu anche ritoccato dopo l’annuncio. Il sommario che Satoshi incollò nell’email del 31 ottobre differisce in alcuni punti da quello del PDF: la versione dell’email parla di nodi onesti che controllano la maggior parte della potenza CPU, mentre il PDF parla di una maggioranza di potenza CPU in mano a nodi che non cooperano per attaccare la rete. L’argomento è lo stesso; la formulazione è stata affinata.
È una proposta tecnica, vicina per stile a un preprint accademico. Il nome Bitcoin compare solo nel titolo e nell’indirizzo web sotto il nome dell’autore. Il corpo del testo parla di «moneta elettronica» e di nodi che spendono potenza CPU. Molte cose che i lettori associano a Bitcoin non ci sono: il tetto dei 21 milioni, i dimezzamenti, i portafogli, i chip dedicati al mining. Le elenchiamo in una sezione più avanti.
Non è nemmeno un «white paper» nel senso che oggi danno a questo termine le autorità di vigilanza. Con le regole europee MiCA, il white paper di una cripto-attività è un documento informativo che chi offre un token deve notificare a un’autorità di vigilanza. Satoshi non vendeva nulla e non chiedeva nulla. La differenza conta, e ci torniamo alla fine.
Una lettura attenta del testo richiede circa 15-20 minuti, di più se ci si ferma sulla sezione 11 (è una nostra stima). La matematica è facoltativa: si possono saltare le formule e seguire comunque il ragionamento, perché il documento stampa i risultati in tabelle semplici.
White paper di Bitcoin in italiano: dove leggerlo (PDF)
Il testo originale in inglese è su bitcoin.org/bitcoin.pdf, con una copia anche sui server del Satoshi Nakamoto Institute. La pagina inglese del documento su bitcoin.org elenca traduzioni in decine di lingue, ciascuna in PDF con il nome del traduttore. Nessuna di queste traduzioni viene da Satoshi e nessuna ha valore ufficiale.
La versione italiana ha una pagina propria, bitcoin.org/it/documento-bitcoin, che attribuisce la traduzione a Terzim. Il PDF italiano, di 11 pagine, è su bitcoin.org/files/bitcoin-paper/bitcoin_it.pdf e s’intitola «Bitcoin: un sistema di moneta elettronica peer-to-peer», mentre la pagina web lo chiama «sistema di pagamento elettronico». Il vecchio indirizzo bitcoin.org/it/bitcoin-paper mostra ormai solo un avviso: la pagina si è spostata. Anche il Satoshi Nakamoto Institute ospita le traduzioni, italiano compreso.
Chi cerca il «white paper di Bitcoin» in italiano trova spesso anche la dicitura «libro bianco», che però la traduzione non usa: il termine che compare nel testo è «documento» sulla pagina e «sistema di moneta elettronica» nel titolo. La traduzione tiene in inglese molte parole tecniche (proof-of-work, hash, nonce, peer-to-peer), e questa guida fa lo stesso, perché sono le parole che troverete anche in rete.
Per citare il documento in un saggio o in una relazione, la forma usuale è: Satoshi Nakamoto, «Bitcoin: A Peer-to-Peer Electronic Cash System», 31 ottobre 2008, https://bitcoin.org/bitcoin.pdf. Quando riportate un passo dalla traduzione italiana, citate anche l’originale inglese e indicate il traduttore, Terzim, come fa bitcoin.org. Nelle citazioni qui sotto diciamo sempre se il passo viene dalla traduzione italiana.
Il white paper di Bitcoin spiegato in dodici sezioni
Le sezioni si dividono in tre gruppi. Le sezioni 1 e 2 enunciano il problema: i pagamenti online dipendono dalla fiducia, e una moneta puramente digitale si può copiare. Le sezioni da 3 a 6 costruiscono la macchina: marcature temporali, proof-of-work, la routine della rete e il premio che spinge qualcuno a farla funzionare. Le sezioni da 7 a 11 trattano l’ingegneria e la dimostrazione, dall’archiviazione ai client leggeri, dalla forma di una transazione alla privacy fino alle probabilità di un attacco. La sezione 12 riassume tutto in un paragrafo.
| Sezione | Domanda a cui risponde | Che cosa è diventata (a ottobre 2026) |
|---|---|---|
| 1 Introduzione | Perché eliminare la terza parte di fiducia? | Il motivo dichiarato dell’intero progetto |
| 2 Le transazioni | Che cos’è una moneta? | Transazioni firmate tra coppie di chiavi |
| 3 Server di marcatura temporale | Come si fissa un ordine degli eventi? | Ogni blocco punta all’hash del precedente |
| 4 Proof-of-work | Perché quell’ordine è difficile da riscrivere? | Il mining, circa 1.055 EH/s al 23 ottobre 2026 |
| 5 La rete | Che cosa fa ciascun nodo? | La routine di diffusione e validazione dei blocchi |
| 6 L’incentivo | Perché qualcuno dovrebbe far girare un nodo? | Sussidio di blocco più commissioni |
| 7 Rivendicare spazio sul disco | L’archiviazione esploderà? | Radici di Merkle in intestazioni da 80 byte |
| 8 Verifica semplificata dei pagamenti | Un utente può controllare senza un nodo completo? | I portafogli leggeri |
| 9 Aggregare e suddividere valore | Come si sommano e si dividono gli importi? | Input, output e resto |
| 10 Privacy | Chi può vedere che cosa? | Registro pubblico, indirizzi pseudonimi |
| 11 Calcoli | Quanto è sicuro un pagamento dopo z blocchi? | L’abitudine di attendere le conferme |
| 12 Conclusione | Che cosa è stato dimostrato? | Consenso tramite potenza di calcolo |
Sommario e introduzione: la fiducia vista come un costo
Il sommario enuncia l’obiettivo in una sola frase: denaro elettronico che passa da una persona a un’altra senza istituzioni finanziarie nel mezzo. Poi nomina l’ostacolo, la doppia spesa, e il rimedio, una rete peer-to-peer che marca le transazioni nel tempo incatenandole in una catena di proof-of-work. La condizione di sicurezza arriva subito. Lo schema regge finché la maggior parte della potenza di calcolo appartiene a nodi che non collaborano per attaccarlo.
L’introduzione è l’unica parte che suona come una critica economica, e il suo bersaglio è ristretto: non il denaro, non le banche in quanto tali, ma il costo dell’intermediazione. Un pagamento che si può annullare è un pagamento che qualcuno deve sorvegliare. Risolvere le dispute costa, quel costo fissa una soglia sotto la quale un pagamento non conviene, e i commercianti si cautelano chiedendo ai clienti più dati personali del necessario. Una quota di frodi diventa un costo che tutti mettono semplicemente a bilancio.
Di persona il contante evita tutto questo. Nel 2008 online non c’era nulla di equivalente. La risposta di Satoshi, nella traduzione italiana, è «un sistema di pagamento elettronico basato su prova crittografica invece che sulla fiducia». Il dettaglio che la maggior parte dei riassunti salta è che il documento lascia un posto alla tutela di chi compra: le transazioni che in pratica non si possono invertire proteggono il venditore, e meccanismi di deposito di garanzia potrebbero essere aggiunti sopra per proteggere l’acquirente. La risoluzione delle controversie esce dal pagamento in sé; non viene abolita.
Una nota per i lettori del 2026: oggi molti detengono bitcoin tramite una piattaforma di scambio, e questo riporta in scena la terza parte di fiducia. La nostra lezione su come funzionano gli exchange centralizzati spiega di che cosa ci si fida in quel caso. Il documento descrive solo persone che custodiscono da sole le proprie chiavi.
Sezione 2: una moneta è una catena di firme
Il capitolo si apre con la riga più compatta del documento. Nella traduzione italiana: «Definiamo come valuta elettronica una catena di firme digitali.» Non esiste alcun oggetto moneta, solo un registro di passaggi di mano. Per pagare qualcuno si firmano insieme due cose: l’impronta (un hash) della transazione che vi ha dato la moneta e la chiave pubblica di chi riceve. Ogni passaggio va in coda al registro, così chiunque lo abbia può risalire la proprietà un passo alla volta, un po’ come un impiegato di banca legge le girate sul retro di un assegno.
La firma si fa con la chiave privata del proprietario, che non deve mai uscire dalle sue mani; il proprietario successivo è indicato da una chiave pubblica, e gli indirizzi Bitcoin di oggi derivano di solito da chiavi pubbliche. Come si genera una coppia di chiavi e perché non si può indovinare è il tema di una lezione successiva. Qui basta sapere che una firma valida prova che è stata usata la chiave giusta.
Ciò che le firme non possono mostrare è che il proprietario non abbia dato la stessa moneta a qualcun altro un minuto prima. È il problema della doppia spesa. La soluzione standard dell’epoca era una zecca: un emittente centrale che vede ogni pagamento, ritira ogni moneta dopo l’uso e ne emette una nuova. L’obiezione del documento è secca. Una zecca ricostruisce semplicemente una banca, con una sola azienda sul percorso di ogni pagamento e l’intero sistema monetario alla sua mercé.
Il documento si propone quindi di sostituire ciò che la zecca sapeva. La zecca vedeva ogni transazione e decideva quale venisse prima. Senza di lei, ogni transazione va annunciata pubblicamente, un’idea che il testo attribuisce alla proposta b-money di Wei Dai del 1998, e i partecipanti hanno bisogno di un modo per accordarsi su un unico ordinamento condiviso. Per chi riceve, la domanda diventa semplice: la maggior parte della rete ha visto il mio pagamento prima di qualunque spesa rivale della stessa moneta? La nostra guida su come funzionano le transazioni crypto segue gli stessi passaggi come li compie oggi un portafoglio.
Sezioni 3 e 4: una catena di marcature temporali costosa da riscrivere
Satoshi non ha inventato i pezzi usati in queste due sezioni, e il documento lo dice nei riferimenti. La marcatura temporale dei documenti con hash concatenati risale ai lavori di Stuart Haber e W. Scott Stornetta pubblicati dal 1991, mentre l’idea di far pagare un costo di calcolo per inviare un messaggio viene da Hashcash di Adam Back. La nostra lezione sul denaro digitale prima di Bitcoin racconta la storia di quei tentativi; qui ci fermiamo su come il documento li combina.
Il server di marcatura temporale
Il punto di partenza è un vecchio trucco notarile. Si raccoglie un lotto di elementi, si calcola un solo hash per tutto il lotto e si stampa quel valore in un luogo pubblico difficile da alterare: gli esempi del documento sono un quotidiano e un messaggio su Usenet. Nessuno avrebbe potuto calcolare l’hash senza avere gli elementi, quindi il valore stampato prova che esistevano a quella data. Se ora si concatenano i lotti, con ogni nuovo hash che copre il precedente, manomettere un lotto vecchio spezza tutti i valori stampati dopo. La parola blockchain nascerà più tardi da questa idea; la nostra guida su che cos’è la blockchain tratta il concetto generale.
Proof-of-work: una CPU, un voto
Un quotidiano è un soggetto centrale, quindi la sezione 4 lo sostituisce con la proof-of-work. I nodi provano valori su valori finché l’hash del blocco (SHA-256 nell’esempio del documento) non comincia con un certo numero di zero bit. Il valore che variano è un contatore interno al blocco, il nonce. Ogni zero bit in più raddoppia il numero atteso di tentativi, mentre chiunque può controllare una risposta vincente con un solo hash. Il costo corre in un solo senso: per alterare un blocco che ne ha già altri sopra, un aggressore deve rifare il suo lavoro e poi quello di ogni blocco successivo.
Lo stesso meccanismo risponde a una seconda domanda: chi decide? Contare un voto per indirizzo internet darebbe il voto a chiunque possa affittare molti indirizzi. La traduzione italiana dice che la proof-of-work segue «una CPU-un voto», e il verdetto della maggioranza è semplicemente la catena con più lavoro alle spalle, quella che di solito si chiama la catena più lunga. La sezione si chiude con una regola sulla difficoltà, che segue una media mobile puntata su un numero costante di blocchi all’ora e sale quando i blocchi arrivano troppo in fretta.
Due cose sono cambiate nella pratica. La rete oggi ricalcola la difficoltà ogni 2.016 blocchi, puntando a due settimane per periodo, come spiega la guida per sviluppatori di bitcoin.org (in inglese); il documento non dava questo numero. E l’immagine della «una CPU» è invecchiata. Il mining si fa con chip specializzati, e la potenza di calcolo della rete era di circa 1.055 exahash al secondo il 23 ottobre 2026, secondo la stima di mempool.space. Il voto si conta ancora in lavoro di calcolo, ma non più su processori ordinari.
Sezioni 5 e 6: come gira la rete, e perché qualcuno la fa girare
La sezione 5 espone la routine in sei passi numerati. Con parole nostre:
- Un nuovo pagamento viene trasmesso a tutti i nodi che chi lo invia riesce a raggiungere.
- Ogni nodo raccoglie in un blocco candidato i pagamenti di cui viene a sapere.
- Ogni nodo impiega potenza di calcolo per cercare una proof-of-work valida per quel blocco.
- Il primo nodo che ne trova una invia il blocco completo agli altri.
- Gli altri controllano ogni pagamento contenuto e scartano il blocco se un pagamento non è valido o spende monete già spese.
- Un nodo mostra di accettare il blocco mettendosi a lavorare sul successivo, che porta l’hash del blocco accettato come collegamento con il passato.
Nessun nodo dice «sì» con un messaggio: l’accordo si vede da dove spende il proprio lavoro. I nodi considerano valida la catena con più lavoro. Ogni tanto due blocchi concorrenti compaiono a pochi secondi l’uno dall’altro, e per un po’ la rete si divide, con ogni nodo che costruisce sulla versione arrivata per prima e tiene l’altra di riserva. Il blocco successivo risolve la questione, perché un ramo diventa più lungo e tutti si spostano lì. I messaggi persi fanno poco danno. Un pagamento deve solo raggiungere abbastanza nodi da finire presto in un blocco, e un nodo che ha perso un blocco se ne accorge quando ne arriva il successivo, e lo richiede.
Con la sezione 6 arriva l’obiezione ovvia: perché qualcuno dovrebbe pagare la corrente elettrica? La risposta è che la prima transazione di ogni blocco è speciale e crea nuove monete per chi ha prodotto il blocco; gli sviluppatori oggi la chiamano transazione coinbase. È anche l’unico modo in cui le monete entrano in circolazione, dato che non esiste un emittente. Satoshi la paragona ai cercatori d’oro che spendono risorse per portare nuovo oro sul mercato, un’immagine che ha fatto presa, tanto che chi produce blocchi si chiama oggi minatore. In più ci sono le commissioni: ciò che gli input di una transazione contengono oltre i suoi output resta al creatore del blocco.
Segue una promessa. Quando sarà in circolazione «un ammontare predeterminato di monete», il premio potrà reggersi sulle sole commissioni, senza altra inflazione. Il documento non dà alcun numero. La cifra arrivò con il software: nell’annuncio della prima versione dell’8 gennaio 2009 (in inglese), Satoshi scrisse che il totale sarebbe stato di 21 milioni di monete, distribuite a chi produce i blocchi con un importo dimezzato ogni quattro anni. Quel calendario, il halving di Bitcoin, è imposto dal software. Il documento non lo descrive mai.
La sezione si chiude con una scommessa sui motivi, non con una dimostrazione. Prendiamo un aggressore avido che controlla più potenza di calcolo di tutti i nodi onesti messi insieme. Potrebbe usarla per annullare i propri pagamenti, oppure per coniare monete con regole che già gli danno più di chiunque altro. Satoshi sostiene che la seconda scelta rende di più, perché barare danneggerebbe il valore delle monete che possiede. È un argomento sugli incentivi, non una garanzia, e la ricerca successiva ne ha messo alla prova i limiti.
Sezioni da 7 a 9: potatura, verifica leggera e forma di una transazione
Rivendicare spazio sul disco
Sul fronte dell’archiviazione, la sezione 7 si preoccupa dell’archiviazione. Quando l’ultima transazione di una moneta è sepolta sotto abbastanza blocchi, le vecchie transazioni spese sono zavorra. La soluzione è calcolare l’hash delle transazioni di un blocco a coppie, poi di coppie di coppie, fino a un unico valore: un albero di Merkle, dal nome di Ralph Merkle, il cui articolo del 1980 è tra i riferimenti. Solo quel valore in cima, la radice, entra nell’hash del blocco, così i rami che contengono transazioni spese si possono tagliare senza spezzare la catena.
Un’intestazione privata delle transazioni pesa circa 80 byte. Se si assume un blocco ogni 10 minuti, le intestazioni arrivano a 4,2 MB all’anno, cifra che il documento confronta con i 2 GB di memoria con cui nel 2008 si vendevano in genere i computer. È l’unico punto in cui il testo cita i dieci minuti, e solo come ipotesi per il calcolo.
La previsione ha tenuto. Con 972.744 blocchi al 23 ottobre 2026 (altezze da 0 a 972.743), le sole intestazioni sommano circa 78 MB, secondo il nostro calcolo. I blocchi completi sono un’altra cosa: contengono le transazioni, e la storia completa pesa molto più delle intestazioni, ed è per questo che le idee di potatura e di client leggeri delle sezioni 7 e 8 contano ancora.
Verifica semplificata dei pagamenti
Come può un utente controllare un pagamento senza far girare un nodo completo? La sezione 8 risponde così. L’utente conserva solo la catena delle intestazioni, scegliendo quella con più lavoro dopo aver interrogato vari nodi, e chiede il ramo di Merkle: il pugno di hash che collega il pagamento alla radice contenuta in un’intestazione. Questo non prova che il pagamento sia valido. Prova che un nodo lo ha inserito in un blocco e che da allora sono stati costruiti altri blocchi sopra.
Satoshi è franco sul punto debole. Un utente leggero vede ciò che gli mostra la maggioranza della potenza di calcolo, quindi un aggressore che controllasse la rete potrebbe alimentarlo con transazioni inventate finché dura quel controllo. Il documento accenna ad allarmi inviati dai nodi completi e prevede che le aziende pagate spesso facciano girare un nodo proprio. I portafogli per smartphone si basano oggi su questa idea. La distinzione tracciata dal documento regge ancora: un portafoglio leggero si fida che la catena che gli viene mostrata sia quella onesta, mentre un nodo completo controlla da sé ogni regola.
Aggregare e suddividere valore
Passiamo agli importi, di cui si occupa la sezione 9. Poniamo di aver ricevuto 0,3 e 0,5 bitcoin in due pagamenti precedenti e di dover ora 0,7 a qualcuno. Invece di seguire le monete una per una, una transazione prende i due pagamenti come input e crea nuovi output: 0,7 al destinatario e poco meno di 0,1 che torna a voi come resto, con la differenza che costituisce la commissione. Il documento descrive lo schema usuale come uno o più input e al massimo due output. Le transazioni reali possono avere molti più output, quindi va letto come il caso comune, non come un limite.
Non importa nemmeno che ogni input dipenda da transazioni più vecchie, che dipendono da altre ancora più vecchie. Controllare un pagamento non richiede mai di ricostruire l’intera storia di una moneta.
Sezione 10: la privacy affidata a chiavi anonime
Le banche proteggono la privacy tenendo chiusi i registri: solo le parti e la banca vedono un pagamento. Un registro che tutti possono leggere lo esclude, quindi Satoshi interrompe il flusso di informazioni in un altro punto. Importi e tempi sono pubblici; chi stia dietro a ciascuna chiave no. Il paragone è con il nastro di una borsa valori, che stampa orario e dimensione di ogni scambio senza nominare compratore e venditore.
Ne seguono due avvertenze. Il documento consiglia una coppia di chiavi nuova per ogni transazione, perché i pagamenti non si accumulino sotto un’unica identità. E ammette che una transazione con più input rivela al mondo che quegli input hanno lo stesso proprietario, per cui una sola chiave ricondotta a una persona può smascherarne altre. È pseudonimato, non anonimato: chiunque studi il registro pubblico può seguire proprio i collegamenti che la sezione 10 descrive.
Sezione 11: la matematica di un aggressore che gareggia con la catena onesta
Per prima cosa la sezione 11 restringe la minaccia. Anche un aggressore che costruisce una catena più veloce non può far comparire monete dal nulla né spendere quelle altrui, perché i nodi onesti rifiutano i blocchi con transazioni non valide. L’unica cosa alla sua portata è annullare un proprio pagamento recente: pagare un commerciante, ritirare la merce, poi sostituire la storia con una versione in cui il denaro non si è mai mosso.
Satoshi tratta la cosa come una gara tra due catene. Chiamiamo p la quota di nuovi blocchi trovata dai nodi onesti e q quella trovata dall’aggressore. Ogni blocco onesto allarga il divario di uno e ogni blocco dell’aggressore lo riduce di uno: è il classico problema della «rovina del giocatore» della teoria della probabilità, e il riferimento è il manuale di William Feller del 1957. Un aggressore con la stessa potenza dei nodi onesti, o con più potenza, prima o poi li raggiunge. Con meno potenza, la sua probabilità di colmare mai un divario di z blocchi cala in modo esponenziale al crescere di z.
Poi la domanda pratica: quanto deve aspettare un commerciante? Nel documento il commerciante consegna una chiave pubblica nuova di zecca solo poco prima del pagamento, così l’aggressore non può aver preparato in anticipo una catena rivale per proprio quella transazione. Il commerciante attende che il pagamento sia in un blocco con z blocchi sopra, stima quanta strada avrebbe potuto fare un aggressore in segreto nel frattempo (una distribuzione di Poisson, nel documento) e somma le probabilità. Il calcolo è dato come breve programma in C, seguito dai risultati.
Ecco le cifre del documento per un aggressore che detiene il 10% della potenza di calcolo (q = 0,1) e per uno che ne ha il 30% (q = 0,3). Abbiamo rifatto il calcolo con la formula del documento per diverse righe e abbiamo ottenuto gli stessi valori.
| Blocchi dopo il pagamento (z) | Aggressore con il 10% (q = 0,1) | Aggressore con il 30% (q = 0,3) |
|---|---|---|
| 0 | 100% | 100% |
| 1 | 20,46% | non indicato |
| 5 | 0,0914% | 17,74% |
| 6 | 0,0243% | non indicato |
| 10 | 0,00012% | 4,17% |
| 20 | non indicato | 0,248% |
| 50 | non indicato | 0,00006% |
Una seconda tabella del documento indica il numero di blocchi necessari per portare la probabilità dell’aggressore sotto lo 0,1%: 5 blocchi con il 10% della potenza, 11 con il 20%, 24 con il 30%, 89 con il 40% e 340 con il 45%. Più l’aggressore si avvicina alla metà della rete, più lunga è l’attesa.
La regola diffusa di attendere sei conferme corrisponde alla riga del 10%, dove sei blocchi portano la probabilità a circa lo 0,02%. Il documento non scrive mai «sei conferme»: è una convenzione successiva di portafogli e piattaforme, e ogni piattaforma fissa i propri numeri.
Il modello ha dei limiti. Presuppone un aggressore che costruisce in segreto una catena rivale e cerca di superare. Nel novembre 2013 Ittay Eyal ed Emin Gün Sirer descrissero il «selfish mining» (articolo in inglese), una strategia in cui un pool trattiene i blocchi che trova per guadagnare più della sua quota, e sostennero che la consueta soglia della metà è troppo ottimistica. Il loro articolo propone una modifica pensata per proteggere dai pool che detengono meno di un quarto delle risorse. La sezione 11 non copre un comportamento di questo tipo.
Sezione 12 e riferimenti: otto fonti, nessuna è una banca
La conclusione sta in un paragrafo e riprende l’argomento senza aggiungere nulla. Le firme stabiliscono chi possiede una moneta. La rete a proof-of-work stabilisce l’ordine dei pagamenti, e dopo pochi blocchi quell’ordine costa a un aggressore più di quanto possa sperare di guadagnare, a condizione che i nodi onesti detengano la maggior parte della potenza di calcolo. I nodi non hanno bisogno di nomi e quasi di nessun coordinamento. La traduzione italiana lo dice così: «Essi votano con la loro potenza di CPU». Costruire sopra un blocco vale come un sì, rifiutarsi di lavorarci come un no.
L’elenco dei riferimenti è breve e rivelatore. Contiene il b-money di Wei Dai (1998), tre lavori sulla marcatura temporale di Haber, Stornetta e Bayer (dal 1991 al 1997), il progetto di un servizio di marcatura temporale di Massias, Avila e Quisquater (1999), Hashcash di Adam Back (2002), l’articolo di Ralph Merkle sui protocolli a chiave pubblica (1980) e il manuale di probabilità di Feller (1957). A parte b-money, a sua volta una proposta di moneta digitale nata sulle mailing list dei cypherpunk, riguardano crittografia, marcatura temporale o probabilità. Nessuno è un articolo di economia, un documento di banca centrale o un testo giuridico.
Questo dice qualcosa sul metodo del documento. È una sintesi: quasi tutti i suoi pezzi esistevano già, e il passo nuovo è stato legare la marcatura temporale e il lavoro in stile Hashcash a un premio, in modo che il costo di riscrivere la storia ricada su chi vuole barare e paghi chi gioca onestamente. Satoshi formulò il motivo in modo ancora più netto qualche mese dopo, scrivendo sul forum della P2P Foundation l’11 febbraio 2009 che «The root problem with conventional currency is all the trust that’s required to make it work» (il problema di fondo della moneta tradizionale è tutta la fiducia che serve per farla funzionare; archivio del Satoshi Nakamoto Institute, in inglese).
Che cosa il documento non dice, e che cosa ha aggiunto la rete
Una ricerca nel PDF non trova alcuna occorrenza delle parole o delle idee seguenti, che oggi fanno tutte parte di come si descrive Bitcoin:
- la parola «blockchain», conio successivo a partire dai blocchi e dalla catena del documento;
- un totale di 21 milioni di monete o un dimezzamento ogni quattro anni, entrambi enunciati per la prima volta nell’annuncio del software del gennaio 2009;
- un limite alla dimensione dei blocchi di 1 MB o di qualunque altra cifra;
- i minatori come professione, i portafogli, la mempool, le schede grafiche o i chip specializzati per il mining;
- la Lightning Network o qualunque piano per far crescere i pagamenti, tema di una lezione successiva.
Alcune idee del documento si sono rivelate esatte. L’archiviazione delle intestazioni è cresciuta più o meno al ritmo previsto, circa 78 MB dopo quasi 18 anni contro una previsione di 4,2 MB all’anno. La gara tra un aggressore e la catena onesta incornicia ancora il modo di pensare alle inversioni. Altre sono state superate. La potenza di calcolo è passata dai processori di casa ai chip industriali e ai pool, e la privacy si è rivelata più debole di quanto suggerisca il paragone con il nastro di borsa, perché i collegamenti tra gli input possono essere seguiti da chiunque.
Alcune questioni sono materia di dibattito più che di fatto, per esempio se Bitcoin sia usato soprattutto come il contante promesso dal titolo o soprattutto come riserva di valore. Il documento non lo stabilisce, e la nostra pagina su Bitcoin mostra i numeri della rete, non un’opinione.
Una curiosità che abbiamo potuto verificare da soli: il PDF è conservato dentro la blockchain, spezzettato negli output di una normale transazione confermata nel blocco 230.009 il 6 aprile 2013 (la transazione su mempool.space). Il 23 ottobre 2026 abbiamo rimesso insieme quei pezzi e ottenuto un file identico, byte per byte, a quello che serve oggi bitcoin.org: hanno la stessa impronta SHA-256.
L’anniversario del 31 ottobre è festeggiato dagli appassionati come «Whitepaper Day». Nessun ente ufficiale lo stabilisce: è una data della comunità. La storia della persona dietro lo pseudonimo e dei primi blocchi estratti nel gennaio 2009 appartiene alle lezioni successive di questo percorso.
White paper e legge: perché un documento del 2008 non è un white paper MiCA
Da quando il regolamento europeo sui mercati delle cripto-attività è in vigore, «white paper» ha in Europa un significato giuridico. Chi offre al pubblico la maggior parte dei tipi di cripto-attività, o ne chiede l’ammissione alla negoziazione, deve redigere un white paper con contenuti prescritti e notificarlo all’autorità nazionale di vigilanza, che in Italia è la Consob (in Francia l’AMF), almeno 20 giorni lavorativi prima della pubblicazione. L’articolo 8 di MiCA (in inglese) vieta alle autorità di pretendere un’approvazione preventiva. La nostra guida al regolamento MiCA spiega il regime.
Bitcoin non rientra in questo schema, perché non ha un emittente. Il considerando 22 di MiCA lascia fuori da queste regole le cripto-attività senza «emittente identificabile», e in una risposta pubblicata dall’ESMA (Q&A 2552, del 18 febbraio 2026, in inglese) la Commissione europea ha confermato che per tali attività non serve alcun white paper, nemmeno da parte di una piattaforma che le quota. Le piattaforme che le negoziano restano coperte dalle altre regole di MiCA. Separatamente, l’articolo 4, paragrafo 3, come riportato nel rulebook interattivo dell’ESMA, esenta le cripto-attività create automaticamente come ricompensa per la tenuta del registro o la validazione delle transazioni, ed è così che compaiono i nuovi bitcoin secondo la sezione 6 del documento. La risposta della Commissione è un orientamento: solo la Corte di giustizia dell’Unione europea può dare un’interpretazione vincolante della norma.
Fuori dall’Unione il principio è lo stesso. Il white paper di un token lo scrive chi emette o vende il token, e nessuna autorità lo vaglia. Non è un prospetto di registrazione: l’avviso della SEC su investor.gov sulle cripto-attività che sono strumenti finanziari (in inglese) ricorda che un’offerta di titoli va registrata presso la SEC o rientrare in un’esenzione, e che è la registrazione a obbligare l’emittente a diffondere le informazioni essenziali. Nel Regno Unito, dall’8 ottobre 2023 le imprese che promuovono cripto-attività devono essere autorizzate o registrate presso la FCA, oppure far approvare la propria pubblicità da un’impresa autorizzata, e la FCA continua a definire le cripto-attività (in inglese) «high-risk and largely unregulated». Prima di fidarvi di un progetto perché ha un white paper, controllate chi lo ha scritto e chi sta vendendo.
Il documento di Bitcoin appartiene a un altro genere: una proposta tecnica di un autore pseudonimo, senza alcuna vendita collegata. La sua autorevolezza deriva dal fatto che chiunque può mettere alla prova le sue affermazioni sulla rete in funzione, che è quanto hanno fatto le sezioni qui sopra.
