Un computer quantistico con meno di 30.000 qubit gatto (cat qubit) potrebbe risolvere in circa un’ora secp256k1, la curva su cui poggiano le firme di Bitcoin: lo sostengono ricercatori in gran parte di Alice & Bob, azienda con sede a Parigi. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il loro studio, pubblicato su arXiv il 27 ottobre 2026 e sull’archivio IACR ePrint il giorno dopo, è un calcolo, non un attacco. Una macchina del genere non esiste, il lavoro non ha ancora passato la revisione paritaria e il risultato regge su una resistenza ai bit-flip che gli autori stessi collocano molto al di là di quanto misurato finora.
Per chi segue il tema computer quantistico e bitcoin, i conti sono comunque cambiati. La stima di Google di marzo 2026 per la stessa curva era sotto i 500.000 qubit fisici, e il precedente studio di Alice & Bob, del 2023, richiedeva 126.133 qubit gatto e 9 ore. Il calo rispetto a Google dipende da un tipo diverso di qubit, non da un modo migliore di attaccare Bitcoin, e questa distinzione decide quanto peso dare alla cifra.
L’abstract afferma che per risolvere la curva servono, con le parole dell’originale, «requires at most 30 000 cat qubits and 1 hour» (cioè al massimo 30.000 qubit gatto e un’ora). Le tabelle delle 128 pagine dello studio sono più precise: 29.588 qubit gatto e 61,8 minuti, gli stessi valori riportati in un comunicato dell’azienda ripreso da The Quantum Insider il 29 ottobre. Gli autori parlano di limiti superiori. Hanno riutilizzato operazioni compilate per RSA invece di ottimizzare un progetto per la curva, e dicono che gran parte di quelle sottoprocedure e della disposizione potrebbe essere migliorata. Una versione più lenta riduce la macchina a 28.183 qubit gatto e allunga il calcolo a 146 minuti.
Bitcoin non è l’argomento principale dello studio. Il titolo riguarda RSA-2048, la cifratura che protegge buona parte del web, con 22.593 qubit in 3,14 giorni, e RSA è l’unica configurazione compilata per intero.
Cosa assume lo studio, e perché conta più del titolo
Ogni stima di risorse è un insieme di condizioni seguito da un numero. Qui le condizioni aprono la seconda metà dell’abstract.
- Un ciclo di correzione degli errori di 1 microsecondo e un tempo di reazione di 10 microsecondi.
- Rumore di phase-flip a livello di circuito di 5 su 10.000 (p_Z = 5 × 10⁻⁴).
- Nessun bit-flip durante il calcolo, che l’abstract equipara a un tempo di bit-flip di circa 100 anni.
La terza riga è quella che pesa di più. Un qubit gatto è un progetto superconduttore costruito per sopprimere in hardware uno dei due tipi di errore quantistico, il bit-flip. L’altro, il phase-flip, viene gestito da un codice di correzione, qui un codice a ripetizione o un codice LDPC più compatto. Se i bit-flip sono abbastanza rari da poterli ignorare, la macchina ha bisogno di molti meno qubit. Quanto rari, è tutta la questione. La rassegna degli esperimenti pubblicati contenuta nello studio cita tempi di bit-flip di decine di secondi, sempre su un solo qubit gatto. L’azienda ha riferito di più: PostQuantum scriveva a settembre 2025 che un post sul blog di Alice & Bob descriveva 41 inversioni in 61 ore, una ogni 44 minuti, con un intervallo di confidenza da 33 a 60 minuti, ancora su un solo qubit.
Un tempo di bit-flip di 100 anni è circa 880.000 volte più lungo di un’ora, quasi sei ordini di grandezza secondo i nostri calcoli (our arithmetic). Un’appendice fissa una soglia più bassa per il solo calcolo sulla curva di Bitcoin, 16,9 anni, perché è molto più breve del lavoro su RSA. Resta circa 150.000 volte un’ora, ancora un calcolo nostro, e dovrebbe valere per decine di migliaia di qubit sullo stesso chip mentre eseguono operazioni. Gli autori elencano queste condizioni tra quelle ancora da dimostrare.
Lo studio offre però una via di ripiego. Con un tempo di bit-flip di circa un’ora e uno strato aggiuntivo di correzione dei bit-flip (un codice di distanza 3), RSA-2048 costa circa 45.000 qubit gatto, più o meno il doppio, cifra che gli autori definiscono una stima approssimativa. Questo valore meno favorevole è dato solo per RSA. Per la curva di Bitcoin non esiste una cifra corrispondente, quindi «meno di 30.000» va letto come il caso in cui il problema dei bit-flip è già risolto.
Le stime quantistiche su Bitcoin a confronto: 30.000 contro 500.000 qubit
Le cifre che seguono arrivano da gruppi diversi, con hardware e modelli di errore diversi. Non si allineano alla pari. I numeri di Google vengono dal suo whitepaper del 30 marzo 2026.
| Stima | Obiettivo | Hardware | Qubit | Tempo |
|---|---|---|---|---|
| Alice & Bob, febbraio 2023 | Curva ellittica a 256 bit | Qubit gatto | 126.133 | 9 ore |
| Gidney (Google), maggio 2025 | RSA-2048 | Qubit superconduttori rumorosi | Meno di 1 milione | Meno di una settimana |
| Whitepaper di Google, 30 marzo 2026 | secp256k1 | Superconduttori, codice di superficie | Meno di 500.000 | 18 o 23 minuti; circa 9-12 con preparazione |
| Cain e altri, arXiv, 30 marzo 2026 | P-256 | Atomi neutri | 26.000 | Alcuni giorni |
| Alice & Bob, ottobre 2026 | secp256k1 | Qubit gatto | 29.588 | 61,8 minuti |
| Stesso studio, versione a risparmio di spazio | secp256k1 | Qubit gatto | 28.183 | 146 minuti |
| Stesso studio, risultato principale | RSA-2048 | Qubit gatto | 22.593 | 3,14 giorni |
| Stesso studio, versione di compromesso | RSA-2048 | Qubit gatto | 610.530 | 1,25 ore |
| Stesso studio, tempo di bit-flip di 1 ora | RSA-2048 | Qubit gatto | Circa 45.000 | Almeno 3,14 giorni |
Sui numeri grezzi, la nuova stima usa circa 17 volte meno qubit di quella di Google per la curva di Bitcoin. Dura circa tre volte più della corsa completa di Google e da cinque a sette volte più di quella con preparazione. Rispetto allo studio del 2023 della stessa azienda usa circa quattro volte meno qubit ed è circa nove volte più veloce, con ipotesi diverse. Tutto questo è un calcolo nostro (our arithmetic). Il confronto dello studio stesso riguarda RSA: 40 volte meno qubit fisici dell’articolo di Gidney del 2025 (arXiv 2505.15917), «con ipotesi hardware diverse». Parte del lavoro la fa il codice LDPC: la versione a codice di ripetizione dello stesso studio richiede 49.649 qubit per RSA-2048.
Il solo numero di qubit non è un record. Uno studio sugli atomi neutri pubblicato a marzo (arXiv 2603.28627) stimava una curva della stessa taglia in 26.000 qubit fisici, con tempi di qualche giorno. La novità qui è un’ora a questa scala, e dipende da un ciclo di 1 microsecondo.
I qubit gatto e i qubit superconduttori a codice di superficie non sono la stessa cosa, quindi il conto dell’uno non vale per l’altro. Una macchina a codice di superficie corregge entrambi i tipi di errore nel codice. Una macchina a qubit gatto sposta parte di quel lavoro nella fisica di ogni qubit. Meno qubit non significa automaticamente una macchina più facile da costruire.
La misura più equa sono i qubit logici. I circuiti di Google ne richiedono al massimo 1.200 con 90 milioni di porte Toffoli, oppure 1.450 con 70 milioni. La stima di Alice & Bob per Bitcoin usa un circuito di 1.462 qubit logici del coautore André Schrottenloher, dell’Inria, quindi la macchina logica ha più o meno la stessa taglia e il risparmio sta nei qubit fisici dietro ciascuno. La tabella di marcia dell’azienda, come la descriveva PostQuantum nel 2025, punta a circa 100 qubit logici entro il 2030. Il comunicato dice che i progressi dell’hardware e il calo dei requisiti dovrebbero incontrarsi all’inizio degli anni 2030, ammettendo che restano sfide ingegneristiche considerevoli. È una previsione dell’azienda sul proprio settore.
Cosa cambia «un’ora» per i bitcoin su indirizzi esposti
Un attacco quantistico a una firma di Bitcoin richiede la chiave pubblica. Dalla chiave pubblica, l’algoritmo di Shor potrebbe in teoria risalire alla chiave privata; la nostra guida alle chiavi private e pubbliche spiega il rapporto tra le due. Conta quindi chi ha già mostrato la propria chiave pubblica, e per quanto tempo.
Le vecchie uscite pay-to-public-key (P2PK) la mostrano in modo permanente. Secondo il whitepaper di Google la mostrano anche le uscite Taproot (P2TR), pure senza riuso dell’indirizzo. Gli indirizzi riutilizzati la mostrano dopo la prima spesa. Le monete su altri indirizzi con hash che non hanno mai speso la tengono nascosta finché il proprietario non invia una transazione, quando compare nel mempool, come descrive il nostro approfondimento su come funzionano le transazioni crypto.
Per questi due gruppi il tempo di calcolo significa cose molto diverse.
- Contro una chiave visibile in permanenza, una macchina di questo tipo, se mai venisse costruita, non avrebbe scadenze. Lo studio stesso indica le uscite P2PK e gli indirizzi riutilizzati come ciò che la sua versione a risparmio di spazio metterebbe a rischio.
- Le monete svelate solo durante una spesa sono protette dalla corsa al blocco successivo. Bitcoin produce in media un blocco ogni 10 minuti, quindi un attacco di un’ora normalmente perderebbe. Lo fa notare il comunicato dell’azienda; lo studio non ne parla.
Sul secondo caso il lavoro di Google è il confronto più netto. Il suo whitepaper dice che una macchina preparata con la prima metà del calcolo potrebbe finire in circa 9 minuti, con una probabilità di poco inferiore al 41%, in condizioni idealizzate, di battere il blocco Bitcoin successivo. Il progetto di Alice & Bob è più piccolo ma più lento: le spese restano quindi più al sicuro contro di esso, e nulla cambia per le chiavi già pubbliche. Lo studio non dice se la preparazione ridurrebbe la sua ora.
Google conta circa 6,9 milioni di BTC con chiavi esposte
Il whitepaper fornisce diversi conteggi, e misurano cose diverse. Poco più di 1,7 milioni di BTC si trovano in script P2PK. Circa 2,3 milioni di BTC sono dormienti e vulnerabili tra i vari tipi di script, contando le chiavi inattive da almeno cinque anni. Circa 6,9 milioni di BTC sono vulnerabili in tutti i tipi di script, comprese le monete che si muovono ancora, e queste possono essere migrate dai proprietari che hanno le proprie chiavi. Le monete dormienti non si possono sistemare così.
Lo studio di Alice & Bob afferma che i suoi risultati spingono a passare subito alla crittografia post-quantistica. L’azienda costruisce hardware quantistico, quindi ha un interesse nella storia.
Gli unici elogi finora vengono dal comunicato
Non abbiamo trovato alcuna valutazione indipendente di questo studio. È uscito tre giorni fa, non ha passato la revisione paritaria e le nostre ricerche non hanno trovato nessun crittografo o fisico esterno che lo abbia messo alla prova. Le persone citate finora nella copertura sono quelle che il comunicato stesso ha scelto di citare.
L’amministratore delegato Théau Peronnin ha detto che «meno di 23.000 qubit gatto fisici potrebbero bastare per scomporre in fattori RSA-2048 in appena tre giorni» (nell’originale: «fewer than 23,000 physical cat qubits could be enough to factor RSA-2048 in just three days»). Antoine Joux, crittoanalista, l’ha definito «un articolo importante»; i ringraziamenti dello studio citano lui e André Chailloux per la lettura di versioni preliminari. Ali El Kaafarani, fondatore e amministratore delegato di PQShield, ha dichiarato: «Gli standard post-quantistici per sostituire la crittografia vulnerabile esistono già». La sezione novità di Alice & Bob non elencava il comunicato quando abbiamo controllato il 30 ottobre, quindi abbiamo letto queste citazioni solo su The Quantum Insider.
L’elenco degli autori allarga il quadro. Oltre ai ricercatori dell’azienda include affiliazioni con Inria e l’Università di Rennes, Paris-Saclay, CEA e CNRS, e l’Università di Edimburgo. Le cifre su Bitcoin poggiano sul circuito di Schrottenloher, e il sommatore è adattato dalla stima di Gidney del 2025.
Due verifiche scioglierebbero la maggior parte dei dubbi. Lettori esterni possono confrontare il requisito sui bit-flip con ciò che l’hardware sa fare, e possono calcolare quanto diventa la cifra per Bitcoin con un tempo di bit-flip di un’ora, il caso che lo studio fornisce solo per RSA.
A che punto è Bitcoin con la correzione
La BIP-360, che propone un nuovo tipo di uscita Pay-to-Merkle-Root, resta una bozza per un soft fork, con una voce di changelog datata 24 luglio 2026 e nessuna attivazione descritta. Funziona come Taproot senza la spesa con chiave, pensata per difendere dagli attacchi a lunga esposizione. La bozza dice che da sola non protegge dagli attacchi a breve esposizione, un limite che segnalava anche il nostro articolo sul risultato di Google sugli stati magici. Anche la BIP-361, sull’eliminazione graduale delle firme legacy, non ha una data di attivazione, secondo lo stesso articolo.
La scadenza più ampia viene dalle indicazioni dei governi. Secondo il comunicato, le raccomandazioni di Stati Uniti e Regno Unito chiedono alle organizzazioni di completare il passaggio alla crittografia post-quantistica entro il 2035. Bitcoin non ha un soggetto centrale in grado di imporre una data simile, e qualsiasi modifica dovrebbe seguire il suo consueto processo di consenso.
Il whitepaper di Google indica come prima misura la fine del riuso delle chiavi pubbliche e la riduzione dell’esposizione delle chiavi. Un indirizzo nuovo a ogni ricezione tiene fuori dalla blockchain una chiave con hash fino al momento della spesa, anche se il whitepaper nota che le uscite Taproot mostrano comunque una chiave. Nessuna macchina può eseguire oggi questo attacco, e questa stima è un preprint per un hardware che non è stato costruito.
Il prossimo punto da seguire è come crittografi e fisici dell’hardware esterni leggeranno lo studio completo. Gli autori propongono anche un banco di prova molto più piccolo, FFDLP-512, con 6.656 qubit gatto e 21 minuti, per convalidare l’intera architettura.