Chamath Palihapitiya ha detto che bitcoin è «capped», cioè limitato, e che «prima o poi» viene hackerato e «va a zero». Lo ha fatto in un episodio del podcast Moonshots di Peter Diamandis (EP #304), uscito mercoledì 21 ottobre 2026. La frase è arrivata in un breve segmento «hot seat» verso la fine di una puntata di due ore, in risposta a una domanda su cripto e superintelligenza. CCN l’ha ripresa blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il 22 ottobre e sabato 24 ottobre Bitcoin.com News l’ha titolata come un avvertimento, precisando però nel testo che le minacce sono ipotetiche. Le citazioni di questo articolo vengono dalla trascrizione automatica della puntata pubblicata, che non indica chi parla e può contenere errori: Coindaro non l’ha confrontata con l’audio.
L’uscita di Chamath su bitcoin a zero è un’ipotesi. Non ha indicato né una data, né una probabilità, né una falla precisa. L’esempio centrale, un’IA che rompe SHA-256 per svuotare le monete di Satoshi Nakamoto, chiama in causa il pezzo sbagliato di crittografia: le monete più vecchie sono protette da chiavi di firma, non da SHA-256. Il timore che c’è dietro, cioè che le vecchie monete con la chiave pubblica già visibile sulla blockchain possano un giorno essere sottratte, è invece fondato. È un problema di calcolo quantistico su cui gli sviluppatori di Bitcoin discutono già, in pubblico e con bozze alla mano.
Sabato alle 16:24 UTC bitcoin scambiava intorno a 79.600 dollari, circa il 2,4% in meno in 24 ore, secondo la fotografia di mercato di Coindaro. Coindaro non ha trovato alcun movimento di prezzo riconducibile alle dichiarazioni.
Cosa ha detto Chamath Palihapitiya su bitcoin a Moonshots EP #304
La domanda è arrivata circa un’ora e 47 minuti dopo l’inizio della puntata, intitolata «Chamath: AGI Is Here, Anthropic’s $100B Giveaway, Elon’s SpaceX Shares for 72M Kids» (alcuni elenchi usano una variante con «Bitcoin Goes to Zero» nel titolo). Uno dei conduttori gli ha chiesto cosa pensasse delle cripto davanti all’avanzata della superintelligenza. Le sue prime parole sono state: «I think it’s capped», penso che sia limitato.
Ha poi dato tre motivi, in quest’ordine. Il primo riguarda i compratori: ha descritto la platea come prima i piccoli investitori, poi gli istituzionali, poi le banche centrali, e ha detto che le cripto tradizionali non hanno la fungibilità necessaria per raggiungerli tutti, banche centrali comprese. Il secondo riguarda la riservatezza. Secondo lui le fughe di notizie su chi possiede cosa creano rischi di sicurezza per i detentori, e ha citato la Francia, affermando che il governo avrebbe imposto la pubblicazione delle posizioni e che ne sarebbero seguiti dei rapimenti. Coindaro non ha verificato questa ricostruzione di una pubblicazione forzata e non la riporta come un fatto.
Il terzo motivo è quello che ha fatto il giro del web. Se un’IA capace di migliorarsi da sola venisse puntata su attacchi crittografici, ha detto, il bersaglio ovvio sarebbe il wallet di Satoshi: «break SHA 256», rompere SHA-256, svuotare il wallet, aprire una posizione corta e poi annunciare il furto, così l’attaccante guadagnerebbe due volte. Ha aggiunto che passare a una crittografia resistente ai computer quantistici è «basically impossible», praticamente impossibile, perché la comunità di Bitcoin non riesce a mettersi d’accordo, e che il settore è «a bit lost in the woods», un po’ smarrito nel bosco.
Quando gli è stato chiesto se bitcoin sia «cooked», cotto, ha risposto che è limitato e che «eventually it gets hacked», prima o poi viene hackerato, e va a zero. Nella trascrizione l’intero scambio dura circa tre minuti, da 1:47 a 1:50 più o meno.
Ha azioni di DCG, non bitcoin
Quando un conduttore gli ha chiesto se possieda bitcoin, Palihapitiya ha risposto di aver ceduto «molto tempo fa» la sua posizione di lungo periodo a Digital Currency Group (DCG) in cambio di azioni, e che questo lo ha liberato dal rischio di custodia e sicurezza. «I don’t own crypto directly anymore», non possiedo più cripto direttamente, ha detto. La sua esposizione di oggi passa quindi dal capitale di una società cripto, non da monete in un wallet.
Il co-conduttore Alex Wissner-Gross ha poi detto di non essere «molto rialzista sulle cripto» e che i modelli di IA di frontiera possono probabilmente realizzare «astonishing inversion attacks», attacchi di inversione sorprendenti, contro i sistemi cripto, citando un «annuncio ECDSA» di Anthropic. Non ha detto quale. L’ultimo post di Anthropic con ECDSA nel titolo, «Claude reveals ECDSA curve origins» del 16 ottobre, ricostruiva come furono generati i seed delle curve ellittiche NIST. Anthropic ha scritto che non si tratta di «una rottura crittografica, di un nuovo attacco o di una debolezza nelle curve ECDSA», e le curve in questione sono quelle del NIST, non secp256k1, quella usata da bitcoin. Coindaro ha spiegato quel lavoro nel nostro articolo su Claude che ha fatto risalire i seed delle curve NIST a un orologio del 1997. Nessuno in studio ha contestato le due affermazioni e i conduttori sono passati all’argomento successivo.
Firme, non SHA-256: dove si rompe lo scenario del wallet di Satoshi
Il «wallet di Satoshi» non esiste come oggetto unico. Le monete che di solito si attribuiscono al creatore di bitcoin sono migliaia di ricompense di mining dei primi tempi, per lo più da 50 BTC ciascuna, custodite in un vecchio tipo di output chiamato Pay-to-Public-Key (P2PK). Come dice il nome, un output P2PK scrive sulla blockchain la chiave pubblica completa del proprietario. Per spenderlo serve una firma che solo la chiave privata corrispondente può produrre.
È quella firma che un attaccante dovrebbe falsificare. Bitcoin usa «l’Elliptic Curve Digital Signature Algorithm (ECDSA) con la curva secp256k1», secondo la guida per sviluppatori di bitcoin. La guida aggiunge che gli output P2PK sono meno sicuri del successivo formato Pay-to-Public-Key-Hash e che non vengono più usati nelle nuove transazioni. Rompere SHA-256 non darebbe a nessuno la chiave privata di un output P2PK, perché tra la chiave pubblica e l’attaccante non c’è alcun hash: la chiave è già in chiaro.
La via nota per arrivare a quelle monete è l’algoritmo di Shor eseguito su un grande computer quantistico con correzione degli errori, in grado di ricavare una chiave privata da una chiave pubblica. La bozza di BIP-360 elenca gli output P2PK, citando «Satoshi’s coins» e i primi minatori con CPU, tra quelli esposti ad attacchi di «lunga esposizione». Un white paper di Google Quantum AI del marzo 2026, scritto con ricercatori di Stanford, UC Berkeley e Ethereum Foundation, conta poco più di 1,7 milioni di BTC in output P2PK, quasi il 9% di tutti i bitcoin, comprese le ricompense di mining dell’era di Satoshi, e circa 6,9 milioni di BTC esposti su tutti i tipi di script al momento della stesura. Altre stime sono diverse, e la quota che appartiene a Satoshi è un’inferenza dai modelli sulla blockchain, non una cifra dimostrata.
Cosa protegge davvero SHA-256
SHA-256 svolge due compiti che qui contano. È l’hash al cuore del mining, la proof-of-work che mette in ordine i blocchi. E nei tipi di indirizzo con hash, come P2PKH, sulla blockchain è registrato solo l’hash della chiave pubblica. La chiave resta nascosta fino al momento in cui le monete vengono spese, quindi quelle monete sono più al sicuro da ferme di quelle in P2PK.
Il documento di Google definisce gli attacchi quantistici al mining «non qualcosa di cui preoccuparsi nei prossimi decenni». L’algoritmo di Grover offre solo un’accelerazione quadratica, che il costo della correzione degli errori in gran parte annulla, e non si parallelizza bene. Anche con quella che gli autori chiamano un’ipotesi «fantastica», un minatore quantistico arriverebbe a circa 0,25 TH/s, più di due ordini di grandezza sotto un singolo Antminer S19 Pro, che fa circa 110 TH/s.
| Affermazione nel podcast | Cosa mostrano le fonti |
|---|---|
| Rompere SHA-256 svuota le monete di Satoshi | Le prime monete stanno in output P2PK protetti da firme ECDSA su secp256k1; la chiave pubblica è già pubblica (guida per sviluppatori di bitcoin, BIP-360) |
| L’IA sarebbe lo strumento per farlo | La minaccia documentata è l’algoritmo di Shor su un computer quantistico; Google stima meno di 500.000 qubit fisici per secp256k1 (white paper, marzo 2026) |
| SHA-256 è il punto debole | Gli autori di Google giudicano irrealistici per decenni gli attacchi quantistici al mining con SHA-256 |
| Monete in gioco | Circa 1,7 milioni di BTC in P2PK, circa 6,9 milioni di BTC esposti su tutti i tipi di script (white paper di Google) |
| Una migrazione è «praticamente impossibile» | BIP-360 e BIP-361 esistono come bozze; nessuna è attivata né programmata |
Nessun segnale pubblico che l’IA abbia rotto le chiavi di bitcoin
Nessuna prova pubblica indica che un modello di IA abbia rotto ECDSA su secp256k1 o SHA-256. Palihapitiya ha costruito lo scenario in forma condizionale, partendo dalla premessa che un’IA capace di migliorarsi da sola venga puntata su attacchi crittografici, e non ha indicato alcun attacco noto. Il documento di Google tiene la minaccia sul versante quantistico: stima che l’algoritmo di Shor per secp256k1 richiederebbe al massimo circa 1.200-1.450 qubit logici, cioè su hardware superconduttore meno di mezzo milione di qubit fisici. L’attuale chip Willow di Google ne ha 105, come raccontato nel nostro articolo sul taglio di 40 volte degli errori sugli stati magici di Google.
L’IA cambia invece qualcosa di più ordinario: la velocità con cui si trovano i bug nel software. Il 22 ottobre gli sviluppatori di Bitcoin Core hanno modificato la politica di sicurezza per i bug che uno strumento di IA trova con facilità, un cambio di procedura che riguarda il software dei nodi e non la crittografia; i dettagli sono nel nostro articolo su Bitcoin Core che abbandona l’embargo di un anno per i bug trovabili con l’IA. Palihapitiya non l’ha menzionato e nessuna fonte collega le due cose.
Il piano «svuota e poi vendi allo scoperto» ha anche un difetto pratico. Ogni transazione bitcoin è pubblica. Le monete del 2009 e del 2010 sono tra le più osservate della blockchain, quindi qualsiasi spesa da quegli output P2PK comparirebbe sugli explorer pubblici nel giro di pochi minuti. I mercati lo saprebbero dalla blockchain, che il ladro scelga o no di annunciarlo.
Bitcoin e computer quantistico: una migrazione «praticamente impossibile»?
Il problema di coordinamento che ha descritto è reale; se sia irrisolvibile è un’opinione. Nel repository ufficiale bitcoin/bips ci sono due proposte, entrambe segnate come Draft. BIP-360, di Hunter Beast, Ethan Heilman e Isabel Foxen Duke, aggiunge un tipo di output chiamato Pay-to-Merkle-Root (P2MR), vicino a Taproot ma senza la spesa tramite chiave che espone una chiave pubblica. Il testo precisa che resiste solo agli attacchi quantistici a lunga esposizione, da solo non protegge le monete nel momento in cui vengono spese e non introduce firme post-quantistiche. Richiederebbe un soft fork e non è fissato alcun metodo di attivazione.
La bozza di BIP-361, di Jameson Lopp e cinque coautori, va oltre. Circa tre anni dopo l’attivazione bloccherebbe i nuovi pagamenti verso indirizzi vulnerabili al quantistico; due anni più tardi le spese con ECDSA e Schnorr di vecchio tipo si troverebbero davanti a un protocollo di recupero, con un flag day cinque anni dopo l’attivazione. Gli autori scrivono che il piano sarebbe «al più lievemente confiscatorio» solo se i protocolli di recupero riuscissero a coprire la maggior parte dell’offerta, e che oggi non si ritiene possibile alcun protocollo del genere per gli output P2PK, quelli che contengono le monete dell’era di Satoshi. È il nodo più duro del dibattito: che fare delle monete i cui proprietari potrebbero non muoverle mai.
Per chi parte da zero, la differenza tra la chiave privata che si custodisce e la chiave pubblica che la blockchain può mostrare è spiegata nella nostra guida a chiavi private e chiavi pubbliche.
Chamath e bitcoin prima dello «zero»: anni di previsioni rialziste
La frase colpisce per chi l’ha pronunciata. Secondo Bitcoin.com News, Palihapitiya ha cominciato a comprare bitcoin nel 2012 e 2013 a circa 80-100 dollari, avrebbe usato circa 2.739 BTC, allora del valore di 1,6 milioni di dollari, per comprare un terreno sul lago Tahoe nel 2014, ha previsto 100.000 dollari e poi un milione nel 2017 e a gennaio 2021 ha detto che bitcoin poteva arrivare a 200.000 dollari entro cinque-dieci anni. Nel novembre 2024, nel podcast All-In, ha definito le sue vendite precedenti un errore da tre o quattro miliardi di dollari, riferisce Bitcoin.com. Coindaro non ha verificato quelle dichiarazioni più vecchie sulle registrazioni originali.
Cosa non sappiamo ancora
Restano diversi vuoti. L’audio non è stato confrontato con la trascrizione automatica. L’episodio francese che ha descritto non è verificato. Wissner-Gross non ha indicato a quale annuncio di Anthropic pensasse. Sabato sera Coindaro non aveva trovato alcuna risposta pubblica dei collaboratori di Bitcoin Core o degli autori di BIP-360 e BIP-361 alla puntata.
I prossimi segnali concreti da seguire sono su GitHub, non nei podcast: qualsiasi cambio di stato di BIP-360 o BIP-361 e qualsiasi proposta di attivazione. Al 24 ottobre 2026 restano entrambe bozze.