blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il 5 gennaio 2019 Coinbase si è accorta di una cosa che su una blockchain non dovrebbe accadere: una riorganizzazione profonda di Ethereum Classic, una catena la cui storia era stata riscritta da qualcuno con più potenza di calcolo dei miner onesti. La piattaforma ha sospeso i pagamenti in ETC e ha poi contato doppie spese per circa 219.500 ETC, all’epoca circa 1,1 milioni di dollari, come ha riportato The Hacker News (in inglese). Blocchi che utenti e piattaforme consideravano definitivi sono stati sostituiti da altri blocchi.
Allora perché la blockchain è immutabile, se una catena può essere riscritta così? La risposta breve: non è immutabile nel senso di «impossibile da cambiare». È a prova di manomissione, nel senso che ogni modifica al passato si vede subito, ed è costosa da modificare. Annullarla richiede di rifare un lavoro (proof of work) o di distruggere denaro (proof of stake) su una scala che, sulle grandi reti, nessuno ha trovato conveniente pagare. Le catene piccole sono un altro discorso, e la comunità può sempre decidere di cambiare le regole, come ha fatto Ethereum nel 2016.
Questa lezione viene dopo la lezione su che cosa contiene un blocco, che ha mostrato come l’intestazione di ogni blocco porti l’hash del blocco precedente. Come funziona una blockchain tratta transazioni, nodi e mining a livello introduttivo, e la lezione sui tre pilastri della blockchain colloca l’immutabilità accanto a decentralizzazione e trasparenza, spiega da dove viene l’abitudine delle sei conferme e riassume gli attacchi del 51% più noti. Qui si entra nei meccanismi e nei numeri: quanto costerebbe riscrivere Bitcoin a ottobre 2026, come Ethereum rende definitivi i blocchi e quanto in profondità sono arrivate le riscritture reali.
Perché la blockchain è immutabile? Perché ogni modifica è visibile e costosa
Il whitepaper di Bitcoin non promette un registro che non si può cambiare. Nell’abstract descrive qualcosa di più modesto e più preciso: «a record that cannot be changed without redoing the proof-of-work», cioè una registrazione che non si può cambiare senza rifare la proof of work, nelle parole di Satoshi Nakamoto. Conta la condizione in fondo alla frase. Cambiare è possibile; ha un prezzo, e il prezzo cresce a ogni blocco aggiunto sopra.
«Immutabile» racchiude tre protezioni diverse, che falliscono in modi diversi. La prima è matematica: un collegamento tramite hash rende visibile qualsiasi modifica. La seconda è economica: il lavoro o lo stake legato a ogni blocco rende la modifica costosa. La terza è sociale: migliaia di operatori indipendenti applicano le stesse regole e rifiutano una storia che le viola. Quasi tutti i titoli su una catena «riscritta» riguardano un cedimento della seconda o della terza protezione, quasi mai della prima.
I collegamenti tra hash: cambi un blocco e si spezzano tutti i successivi
Una funzione di hash trasforma una quantità qualsiasi di dati in un’impronta breve e di lunghezza fissa; Bitcoin usa SHA-256 (la lezione sulla crittografia spiega come). La proprietà che conta qui è l’effetto valanga: cambia un solo carattere dell’ingresso e l’impronta cambia del tutto, senza alcuna relazione visibile con la precedente.
L’intestazione di ogni blocco contiene l’hash del blocco che lo precede. Immagina quattro blocchi, numerati da 100 a 103, con impronte brevi inventate per l’esempio (quelle vere sono di 64 caratteri esadecimali). Il blocco 101 registra «il blocco precedente è a3f9». Il blocco 102 registra «il blocco precedente è 7c21», l’impronta del 101. Il blocco 103 punta al 102 allo stesso modo.
Ora qualcuno modifica una transazione dentro il blocco 101, trasformando un pagamento di 1 BTC in uno da 10 BTC. Le transazioni sono riassunte nell’intestazione (tramite una radice di Merkle), quindi l’intestazione cambia e la sua impronta non è più 7c21: diventa, poniamo, e04b. Il blocco 102 dice ancora «il mio genitore è 7c21». Il collegamento è rotto, e ogni nodo che controlla la catena lo vede subito. Per ripararlo, chi ha modificato deve riscrivere il blocco 102 perché punti a e04b, il che cambia l’impronta del 102, che spezza il 103, e così via fino al blocco più recente. Non si può alterare una pagina del registro in silenzio: bisogna ristampare tutte le pagine successive, e chiunque abbia una vecchia copia può confrontarle.
I collegamenti tra hash dimostrano la manomissione, non la impediscono. Ricalcolare qualche migliaio di hash SHA-256 richiede a un portatile meno di un secondo, quindi chiunque potrebbe produrre in un minuto una storia alternativa completa e coerente al suo interno, se gli hash fossero l’unica protezione. A fermarlo è il costo legato a ogni blocco, ed è qui che entrano in gioco proof of work e proof of stake.
Proof of work: il prezzo di riscrivere il passato
Rifare il blocco, tutti quelli dopo, poi superare i miner onesti
Con la proof of work, un blocco è valido solo se l’hash della sua intestazione è inferiore a una soglia fissata dalla difficoltà della rete. Alla difficoltà in vigore a fine ottobre 2026, circa 140,58 mila miliardi, trovare un’intestazione valida richiede in media circa 6 x 1023 tentativi (la difficoltà per 232, calcolo nostro), che l’intera rete smaltisce in circa dieci minuti. La sezione 4 del whitepaper ne trae la conseguenza: una volta speso il lavoro, il blocco non si può cambiare senza spenderlo di nuovo, e il lavoro per cambiarlo comprende il rifacimento di tutti i blocchi concatenati dopo di lui.
Rifare il lavoro non basta. Mentre l’attaccante ricalcola i vecchi blocchi, la rete onesta continua ad aggiungerne di nuovi sulla catena pubblica. I nodi seguono la catena valida con più lavoro accumulato, quindi la versione dell’attaccante viene adottata solo se raggiunge la catena onesta e poi la supera. La sezione 5 del whitepaper descrive proprio questa corsa. Un attaccante con meno potenza di calcolo di tutti gli altri messi insieme resta indietro a ogni blocco, ed è per questo che un blocco vecchio è più sicuro di uno nuovo.
L’attacco pratico non è «riscrivere l’anno scorso». È la doppia spesa: pagare un commerciante o una piattaforma, aspettare che consegnino, poi pubblicare una catena segreta in cui quel pagamento non è mai avvenuto e le stesse monete sono finite a un indirizzo controllato dall’attaccante. L’attaccante non può spostare monete dall’indirizzo di un altro, perché serve la chiave privata del proprietario, né crearne fuori dalle regole del protocollo, perché ogni nodo rifiuterebbe quei blocchi.
Le probabilità calano in modo esponenziale: la tabella del whitepaper
La sezione 11 del whitepaper modella la corsa come una passeggiata casuale. Chiamiamo q la quota di potenza di calcolo dell’attaccante e z il numero di blocchi di ritardo (in pratica, il numero di conferme che il commerciante ha atteso). Finché q resta sotto la metà, la probabilità che l’attaccante recuperi cala in modo esponenziale al crescere di z. Le prime nove righe qui sotto sono stampate nel whitepaper. Le ultime quattro no: le ha calcolate Coindaro con la formula del paper, dopo aver verificato che riproduca i valori del paper stesso.
| Quota dell’attaccante (q) | Blocchi di ritardo (z) | Probabilità di recupero | Fonte |
|---|---|---|---|
| 10% | 1 | 20,5% | Stampato nel whitepaper (sezione 11) |
| 10% | 2 | 5,1% | Stampato nel whitepaper (sezione 11) |
| 10% | 5 | 0,09% | Stampato nel whitepaper (sezione 11) |
| 10% | 6 | 0,024% | Stampato nel whitepaper (sezione 11) |
| 10% | 10 | 0,00012% | Stampato nel whitepaper (sezione 11) |
| 30% | 5 | 17,7% | Stampato nel whitepaper (sezione 11) |
| 30% | 10 | 4,2% | Stampato nel whitepaper (sezione 11) |
| 30% | 30 | 0,015% | Stampato nel whitepaper (sezione 11) |
| 30% | 50 | 0,00006% | Stampato nel whitepaper (sezione 11) |
| 30% | 6 | 13,2% | Calcolato da Coindaro con la formula del whitepaper |
| 40% | 6 | 50,4% | Calcolato da Coindaro con la formula del whitepaper |
| 45% | 6 | 76,6% | Calcolato da Coindaro con la formula del whitepaper |
| 45% | 144 (circa un giorno) | 4,3% | Calcolato da Coindaro con la formula del whitepaper |
Il whitepaper elenca anche quanti blocchi portano il rischio sotto lo 0,1%: 5 contro un attaccante del 10%, 11 contro il 20%, 24 contro il 30%, 89 contro il 40% e 340 contro il 45%. La lezione della tabella è scomoda per lo slogan. Sei conferme sono un’ottima protezione contro un attaccante piccolo e una protezione debole contro uno vicino alla maggioranza: al 45%, perfino un giorno intero di blocchi lascia all’attaccante circa una probabilità su 23. Al 50% o più, il modello dice che l’attaccante prima o poi recupera, qualunque sia il numero di conferme. La nostra guida al whitepaper di Bitcoin tratta il resto della sezione 11.
È la distanza che sta dietro l’abitudine dei sei blocchi. La pagina del Bitcoin Wiki sulle conferme (in inglese) dice che il valore predefinito presuppone un attaccante con non più del 10% della potenza di calcolo, e che non c’è «nothing special about the default» di sei. Contro un attaccante del 30%, la nostra riga calcolata mostra che sei blocchi lasciano comunque il 13% di probabilità. Le piattaforme fissano soglie proprie per ogni asset nelle pagine di assistenza, e cambiano nel tempo.
Quanto costerebbe riscrivere Bitcoin, a ottobre 2026
Il costo di una riscrittura è un’aritmetica pubblica, perché hashrate e ricavi dei miner sono pubblicati. Il 25 ottobre 2026 mempool.space stimava la rete Bitcoin a circa 1,07 zettahash al secondo (1.068 exahash al secondo), con una difficoltà di circa 140,58 mila miliardi fissata il 16 ottobre 2026. Per superarla, un attaccante ha bisogno di più della metà: oltre circa 534 EH/s di macchine, in aggiunta alla rete onesta.
Prima l’elettricità. I miner si distinguono per efficienza in joule per terahash. Usando la fascia da 14 a 19 J/TH indicata da Hashrate Index il 28 settembre 2026, 534 EH/s assorbono circa 7,5-10 gigawatt (534 milioni di TH/s per 14-19 joule al secondo). È la potenza di diverse grandi centrali elettriche, accese per tutto il tempo che dura l’attacco.
Poi il denaro che quelle macchine guadagnerebbero altrimenti. Hashrate Index ha indicato l’hashprice, il ricavo giornaliero per unità di potenza di calcolo, a 39,87 dollari per petahash al secondo al giorno il 28 settembre 2026. A quel tasso 534.000 PH/s rendono circa 21 milioni di dollari al giorno minando onestamente. L’attaccante rinuncia a quel reddito per ogni giorno speso a costruire una catena segreta, e se l’attacco diventa noto le monete rubate e le macchine stesse potrebbero perdere gran parte del loro valore.
| Dato | Valore | Data e fonte |
|---|---|---|
| Hashrate della rete Bitcoin | Circa 1,07 ZH/s | 25 ott 2026, stima di mempool.space |
| Difficoltà | Circa 140,58 mila miliardi | Fissata il 16 ott 2026, mempool.space |
| Potenza di calcolo necessaria per la maggioranza | Oltre circa 534 EH/s | Calcolo di Coindaro: metà della rete |
| Assorbimento a 14-19 J/TH | Circa 7,5-10 GW | Calcolo di Coindaro con la fascia di efficienza di Hashrate Index del 28 set 2026 |
| Hashprice | 39,87 $ per PH/s al giorno | 28 set 2026, Hashrate Index |
| Ricavi da mining a cui rinunciano 534 EH/s | Circa 21 milioni di $ al giorno | Calcolo di Coindaro: 534.000 PH/s x 39,87 $ (hashprice del 28 set 2026) |
| Nuove monete al giorno | 450 BTC (144 blocchi x 3,125 BTC) | Sussidio del protocollo da aprile 2024 |
Vanno letti come ordini di grandezza, non come il preventivo di un attacco: mescolano un hashrate del 25 ottobre con un hashprice del 28 settembre. L’ostacolo vero non è la bolletta. Una potenza di calcolo di quella scala non si affitta da nessuna parte, e comprare o costruire così tante macchine passerebbe difficilmente inosservato a produttori di chip, miner e mercato. È il motivo profondo per cui una grande catena a proof of work resiste alla riscrittura, e anche per cui lo stesso ragionamento non vale per le catene piccole. Le riscritture più profonde della storia di Bitcoin sono state causate da bug del software, non da attaccanti.
Finalità con la proof of stake: blocchi protetti da denaro che può essere bruciato
Ethereum ha smesso di usare il mining a settembre 2022. Con la proof of stake, i validatori bloccano ether come garanzia e si alternano nel proporre e votare i blocchi (la nostra lezione su Ethereum spiega la rete). Non c’è lavoro da rifare, quindi la protezione viene da una regola che rende definitivi certi blocchi, e da una penalità che distrugge lo stake di chi firma due storie in conflitto.
Voti dei due terzi, due epoche, circa 15 minuti
La lezione sui tre pilastri ne dà il profilo; qui c’è la regola vera e propria. Il tempo su Ethereum è diviso in slot di 12 secondi ed epoche di 32 slot (6,4 minuti), e il primo blocco di ogni epoca è un checkpoint. Secondo la pagina di ethereum.org su Gasper (in inglese), un checkpoint diventa «justified» quando i validatori che detengono due terzi di tutti gli ether in staking hanno votato per esso, e «finalized» quando un altro checkpoint viene giustificato sopra di lui. Ci vogliono almeno due epoche, 12,8 minuti, più l’attesa del confine dell’epoca successiva; ethereum.org arrotonda a circa 15 minuti. I blocchi più recenti dell’ultimo checkpoint finalizzato sono protetti solo dalla regola di scelta della fork, e in rari casi possono ancora essere riorganizzati.
Annullare un blocco finalizzato significa distruggere un terzo dello stake
La pagina su Gasper dichiara il prezzo senza giri di parole: un blocco finalizzato non può essere annullato se non in presenza di un guasto critico del consenso e di un attaccante che abbia distrutto almeno un terzo di tutti gli ether in staking. La ragione è che due checkpoint finali in conflitto richiedono i due terzi dello stake da ciascuna parte, quindi almeno un terzo dei validatori deve aver firmato entrambi, e firmare entrambi è un’infrazione punibile con lo slashing che il protocollo rileva grazie alle firme stesse.
La stessa pagina valuta quella quota in «around $10 billion» di ether a maggio 2022. La cifra si muove con lo stake e con il prezzo, quindi ecco la versione datata. Il 25 ottobre 2026 validatorqueue.com contava 44,1 milioni di ETH in staking presso 817.345 validatori attivi, circa il 36% dell’offerta. A 2.327 dollari per ether (dati di mercato Coindaro, 25 ottobre 2026, 09:37 UTC), l’intero stake valeva circa 102,6 miliardi di dollari, e un terzo, circa 14,7 milioni di ETH, circa 34 miliardi (calcolo nostro).
La pagina di ethereum.org su attacco e difesa (in inglese) elenca le altre soglie. Più di un terzo dello stake basta per bloccare la finalità, senza annullare nulla. Più della metà permette di dominare la scelta della fork per i blocchi non finalizzati: riorganizzazioni brevi e censura. Due terzi o più permetterebbero di finalizzare la catena preferita. Ai prezzi di ottobre 2026, ogni livello significa comprare e poi mettere a rischio decine di miliardi di dollari di ether.
Slashing e inactivity leak
Lo slashing è il bastone. Secondo la pagina di ethereum.org su ricompense e penalità (in inglese), un validatore da 32 ETH sottoposto a slashing si vede bruciare subito 0,0078125 ETH (1/4096 del saldo) e viene poi espulso nell’arco di 36 giorni. A metà, al giorno 18, scatta una penalità di correlazione che cresce con lo stake di tutti i validatori penalizzati nei 36 giorni precedenti: un operatore distratto perde poco, mentre un attacco coordinato da un terzo della rete può perdere l’intero saldo.
L’inactivity leak copre l’altro caso, quando troppi validatori vanno offline o rifiutano di votare. Se la catena non riesce a finalizzare per più di quattro epoche, il protocollo drena lo stake dei validatori che non votano finché quelli attivi non tornano a detenere i due terzi. Un attaccante che blocca la finalità restando in silenzio paga per ogni epoca di silenzio.
Questo meccanismo è stato messo alla prova? In parte. L’11 e il 12 maggio 2023 la mainnet di Ethereum non è riuscita a finalizzare per due volte. Il post-mortem di Prysm (in inglese) descrive il secondo incidente come nove epoche senza finalità a partire dall’epoca 200.750, con circa 149 blocchi mancati, causato da client che esaurivano le risorse su attestazioni valide ma vecchie. L’inactivity leak è costato ai validatori una stima di 28 ETH, e la correzione è arrivata con Prysm v4.0.4. Nessuno slashing è stato attribuito agli incidenti e nulla è stato annullato. Nelle fonti che abbiamo controllato, nessun blocco finalizzato di Ethereum è mai stato annullato; è un record, non una garanzia.
La finalità non è istantanea. La single-slot finality, che renderebbe i blocchi definitivi entro un solo slot, è ancora in fase di ricerca secondo la pagina della roadmap di ethereum.org (aggiornata il 23 luglio 2026). Finché non arriverà, un pagamento su Ethereum è «probabilmente regolato» dopo un blocco ed economicamente definitivo dopo circa 15 minuti.
Quando la storia cambia davvero: riorganizzazioni, attacchi del 51% e bug
La lezione per capire se una blockchain può essere hackerata mostra che gli attacchi a piattaforme, bridge e wallet sono molto più frequenti degli attacchi alla catena stessa. Questa sezione resta sulla catena: che cos’è una riorganizzazione, quanto in profondità sono arrivate quelle vere e quanto sono costate agli attaccanti.
Le riorganizzazioni sono routine in cima alla catena e rare in profondità
Una riorganizzazione, o reorg, avviene quando i nodi passano dalla catena che seguivano a una concorrente. In cima alla catena è normale. Due miner a volte trovano un blocco quasi nello stesso momento; per qualche secondo la rete è divisa, poi il blocco successivo si appoggia a uno dei due e l’altro resta orfano. Le sue transazioni tornano nella coda d’attesa e di solito vengono incluse di nuovo in un blocco successivo. Per questo una transazione con una sola conferma non è ancora regolata.
Le reorg profonde sono un’altra cosa. Il 25 maggio 2022 la beacon chain di Ethereum ha subito una riorganizzazione di sette blocchi. L’analisi di Barnabé Monnot (in inglese) l’ha ricondotta a una proposta di blocco in ritardo, combinata con una modifica alla scelta della fork, il «proposer boost», installata solo da una parte dei validatori, e a un bug noto dei client. La catena finalizzata non è stata toccata, e l’analisi osserva che la finalità non è stata nemmeno ritardata. Le catene a proof of work con poca potenza di calcolo hanno visto riorganizzazioni di migliaia di blocchi, e quelli erano attacchi.
Attacchi del 51% a catene piccole: Ethereum Classic e Bitcoin Gold
Una piccola catena a proof of work è esposta per un motivo semplice: la sua potenza di calcolo costa poco da affittare. Mercati come NiceHash permettono a chiunque di noleggiare potenza di mining a ore, e quando una catena usa lo stesso algoritmo di una più grande, la potenza noleggiata può essere puntata su di essa. La tabella aggiunge due colonne al riepilogo della lezione sui tre pilastri: quanto in profondità è arrivata ogni riscrittura e, dove è stato pubblicato, quanto è costata. Le cifre in dollari sono quelle riportate all’epoca.
| Catena | Data | Riorganizzazione | Doppia spesa (riportata) | Costo dell’attacco (riportato) |
|---|---|---|---|---|
| Bitcoin Gold | Maggio 2018 | Non pubblicata | Almeno 18 milioni di $ (Fortune) | Non pubblicato |
| Ethereum Classic | 5-7 gen 2019 | Diverse, oltre 100 blocchi di profondità secondo Bitfly | Circa 219.500 ETC, circa 1,1 milioni di $ (Coinbase) | Non pubblicato |
| Bitcoin Gold | 23 e 24 gen 2020 | Due, fino a 16 blocchi | Circa 72.000 $ | Circa 1.200 $ per attacco (stima di James Lovejoy) |
| Ethereum Classic | 31 lug-1 ago 2020 | Circa 3.600 blocchi (da 3.615 a 3.693 secondo la fonte) | 807.260 ETC, circa 5,6 milioni di $ | Circa 17,5 BTC, circa 192.000 $ (Bitquery) |
| Ethereum Classic | 5 e 6 ago 2020 | 4.236 blocchi | Circa 238.000 ETC, circa 1,68 milioni di $ | Non pubblicato |
| Ethereum Classic | 29 ago 2020 | Oltre 7.000 blocchi | Non chiaro | Non pubblicato |
La colonna della profondità è quella che colpisce. L’analisi di Bitquery sul primo attacco di agosto 2020 (in inglese) mostra una catena privata minata dalle 16:36 UTC del 31 luglio e pubblicata alle 04:53 UTC del 1 agosto, che ha sostituito i blocchi da 10.904.147 a 10.907.761: circa dodici ore di storia di Ethereum Classic cambiate in un colpo solo, con circa 192.000 dollari di potenza noleggiata e circa 5,6 milioni di dollari spesi due volte. Il secondo attacco ha sostituito 4.236 blocchi dopo poco più di 15 ore di mining privato. Il 29 agosto Bitfly ha contato oltre 7.000 blocchi, circa due giorni di mining, ha riferito The Block.
Bitcoin Gold mostra lo stesso rapporto su scala minore. Per gli attacchi di gennaio 2020, The Next Web ha riportato la stima dello sviluppatore James Lovejoy: circa 1.200 dollari di potenza noleggiata per attacco, a fronte di circa 72.000 dollari spesi due volte. Binance, che consentiva i prelievi di BTG dopo 12 conferme, ha portato il requisito a 20. Le perdite di maggio 2018, di almeno 18 milioni di dollari, vengono dal resoconto di Fortune, che dice che gli attaccanti hanno preso di mira le piattaforme di scambio.
Le difese discendono dalla tabella del whitepaper. Le piattaforme alzano il numero di conferme sulle catene piccole, a volte a decine. Gli sviluppatori di Ethereum Classic hanno specificato una regola chiamata MESS (ECBP-1100), che fa pretendere ai nodi molto più lavoro da una catena concorrente quanto più vecchio è il punto di biforcazione; la pagina ECIP ora la segna come sostituita da ECBP-1110 a gennaio 2024. Nulla di questo cambia l’aritmetica di fondo: una catena è difficile da riscrivere quanto è costoso superare la sua potenza di calcolo onesta.
Le due riscritture di Bitcoin erano bug
La storia di Bitcoin è stata riscritta due volte su scala rilevante, in entrambi i casi dai suoi utenti per correggere il software. Nell’agosto 2010 un blocco che creava oltre 184 miliardi di bitcoin per un overflow di interi è stato abbandonato quando la catena corretta l’ha superato 53 blocchi dopo, al blocco 74691, secondo il Bitcoin Wiki (in inglese); la lezione sugli hack della blockchain racconta quella storia nel dettaglio. Nel marzo 2013 la versione 0.8 ha accettato un blocco che le versioni più vecchie rifiutavano e la rete si è divisa. Il BIP 50, il post-mortem, dice che la catena con le nuove regole aveva circa il 60% della potenza di calcolo, e che Marek Palatinus (Slush) e Michael Marsee (BTCGuild) hanno riportato i loro nodi alla versione precedente perché vincesse la catena vecchia, rinunciando a somme significative. Durante la divisione c’è stata almeno una doppia spesa di grande entità.
Fork sociali: quando sono le persone a decidere quale catena è quella vera
Il caso più chiaro di quella terza protezione è The DAO. Lanciata nel 2016 come fondo di investimento gestito da uno smart contract su Ethereum, aveva raccolto oltre 150 milioni di dollari da più di 11.000 membri, secondo CoinDesk (in inglese). A metà giugno 2016 un attaccante ha sfruttato un difetto del suo codice per spostare oltre 3,6 milioni di ether in una «child DAO» che controllava. Ethereum ha funzionato come previsto; il bug era nel contratto.
Il 17 giugno 2016 Vitalik Buterin ha proposto una soft fork che avrebbe bloccato i prelievi da The DAO e dai suoi figli. La risposta definitiva, cinque settimane dopo, è stata una hard fork. Al blocco 1.920.000, il 20 luglio 2016, un «irregular state change» ha spostato circa 12 milioni di ETH da due contratti legati a The DAO in un contratto di recupero da cui gli investitori originari potevano prelevare, ha scritto la Ethereum Foundation. I 12 milioni e i 3,6 milioni misurano cose diverse: i primi sono ciò che la fork ha spostato da un insieme di contratti, i secondi ciò che l’attaccante aveva drenato. Circa l’85% dei miner ha seguito la fork.
Gli altri hanno continuato a far girare la catena non modificata, che è diventata Ethereum Classic, la cui comunità riassume ancora la sua posizione con «Code is Law». Le due catene condividono la stessa storia fino al blocco 1.920.000 e si separano dopo; ciascuna è la catena valida secondo le proprie regole. Il 25 luglio 2017 la Securities and Exchange Commission statunitense ha pubblicato un rapporto di indagine in cui concludeva che i token DAO erano titoli finanziari, decidendo però di non avviare azioni legali in quel caso.
A decidere che cosa sarebbe successo agli ether di The DAO non è stato il codice, ma le persone che gestivano i nodi e facevano mining. Su una grande rete, riscrivere la storia per accordo è estremamente raro, richiede settimane di dibattito pubblico e divide la comunità. Nessun singolo attore può farlo di nascosto.
Che cosa significa l’immutabilità per il tuo denaro e i tuoi dati
Per un utente l’immutabilità ha una conseguenza brusca: i pagamenti non tornano indietro. Non esiste chargeback, non c’è una banca da chiamare né un servizio clienti su una catena pubblica. Nell’avviso «Pause Before You Pay» dell’agosto 2026, la CFTC, l’autorità statunitense sui derivati, ha avvertito che un trasferimento fatto tramite uno sportello crypto «is often immediate and irreversible», cioè spesso immediato e irreversibile, e ha citato i dati dell’FBI IC3: oltre 388 milioni di dollari di perdite segnalate per truffe agli sportelli crypto nel 2025, il 58% in più dell’anno prima. Nel Regno Unito la FCA ricorda ai consumatori che «there is no safety net if things go wrong» e che la protezione dello schema FSCS è molto improbabile. Sono fonti straniere, ma il meccanismo è lo stesso per un risparmiatore italiano: la catena non sa chi sei e non ha uno sportello reclami.
Anche i furti enormi non vengono annullati. Dopo che a febbraio 2025 sono stati rubati circa 1,5 miliardi di dollari in asset virtuali a Bybit, il comunicato pubblico dell’FBI ha descritto fondi convertiti e dispersi su migliaia di indirizzi in più blockchain: una traccia di riciclaggio, non un annullamento. Che cosa possono fare davvero le vittime dopo, dal tracciamento ai blocchi dei fondi fino alle denunce, è il tema della nostra lezione su come recuperare crypto rubate. Prima di inviare, controlla l’indirizzo, la rete e l’importo, e aspetta abbastanza conferme su ciò che ricevi, di più per somme grandi e catene piccole. Come funzionano le transazioni crypto mostra ogni passaggio di un trasferimento.
Per i dati, l’immutabilità si scontra con la normativa europea sulla privacy. Il GDPR dà alle persone il diritto di far correggere o cancellare i propri dati personali, e una catena pubblica è costruita per conservare tutto. Nelle linee guida 02/2025 sulla blockchain, versione 2.0 adottata il 7 luglio 2026, il Comitato europeo per la protezione dei dati (EDPB) (in inglese) osserva che i dati personali scritti su una catena nella maggior parte dei casi vi restano, senza alcuna possibilità pratica di cancellazione, e che «technical impossibility cannot be invoked to justify non-compliance with GDPR requirements», cioè l’impossibilità tecnica non si può invocare per giustificare il mancato rispetto del GDPR. Ritiene sconsigliabile registrare dati personali su una blockchain in chiaro, cifrati o sotto forma di hash, e dice che vanno conservati fuori dalla catena.
Chi in Italia si occupa di protezione dei dati, a partire dal Garante per la protezione dei dati personali, che fa parte dell’EDPB, ha dunque come riferimento comune questa lettura: non abbiamo verificato una presa di posizione specifica del Garante sulle blockchain, e non ne attribuiamo una. Notiamo la parola «hashed»: nella lettura del Comitato, mettere sulla catena l’impronta dei dati personali di qualcuno non basta per uscire dal problema. Il modello che indica tiene i dati personali fuori dalla catena e, per quanto possibile, fa in modo che nulla di ciò che resta sulla catena identifichi ancora qualcuno una volta cancellati quei dati; quando non serve un’integrità forte, raccomanda del tutto altri strumenti. La stessa proprietà che ostacola la cancellazione è ciò che rende utile la catena come traccia di controllo per registrazioni che non sono personali: chiunque può verificare che esistevano a un certo blocco e che da allora non sono state alterate.
L’Italia ha dato una veste legale a questa idea con l’articolo 8-ter del decreto-legge 14 dicembre 2018, n. 135, convertito dalla legge 11 febbraio 2019, n. 12. Come risulta dal testo su Normattiva, il comma 1 definisce le «tecnologie basate su registri distribuiti» come tecnologie che usano un registro condiviso, distribuito, replicabile, accessibile simultaneamente e architetturalmente decentralizzato su basi crittografiche, con dati «verificabili da ciascun partecipante, non alterabili e non modificabili». Il comma 3 stabilisce che la memorizzazione di un documento informatico su tali tecnologie produce gli effetti giuridici della validazione temporale elettronica prevista dall’articolo 41 del regolamento (UE) 910/2014 (eIDAS). Due precisazioni. Il testo su Normattiva risulta nella versione in vigore dal 13 febbraio 2019. E la legge parla di dati «non alterabili», mentre questa lezione ha mostrato che si tratta di una tutela tecnica ed economica, non di un’impossibilità assoluta: la definizione descrive come le tecnologie sono pensate, non garantisce che nessuna riscrittura sia mai avvenuta.
Su Bitcoin la difficoltà dovrebbe adeguarsi di nuovo intorno al 29 ottobre 2026, e il 25 ottobre mempool.space stimava un aumento di circa il 5%. Ogni aumento rende un po’ più difficile l’aritmetica di una riscrittura, ed è pubblicata perché chiunque possa verificarla.
