Alle 09:40:46 UTC del 7 novembre 2026 un blockchain and earns a reward, which makes rewriting history very expensive.">mining smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool chiamato SECPOOL ha annunciato wallet. It becomes permanent when the provider withdraws.">il blocco 974.916 di Bitcoin. Scritto in esadecimale, l’identificativo del blocco comincia con 21 zeri: 000000000000000000000123c5c7 e così via. Qualsiasi portatile verifica in molto meno di un millisecondo che quel numero sta sotto la soglia richiesta in quel momento dalla rete. Trovarlo ha richiesto, in media, circa 637 mila miliardi di miliardi di tentativi da parte delle macchine di tutto il pianeta.
Questo scarto, rovinosamente costoso da produrre e quasi gratuito da controllare, è il cuore della risposta alla domanda proof of work: come funziona. È una lotteria in cui ogni biglietto costa elettricità e ogni biglietto vincente può essere verificato da chiunque con un solo calcolo di hash. Dietro questa immagine semplice ci sono poche regole precise: quali 80 byte vengono sottoposti all’hash, come viene codificata la soglia, come Bitcoin riporta i blocchi verso un intervallo di dieci minuti e perché una catena con più lavoro batte una catena con più blocchi. Ognuna ha un numero legato al 7 novembre 2026, e un paio nascondono ancora difetti del 2009.
Proof of work: che cos’è, costoso da produrre e facile da verificare
La lezione precedente, sul problema dei generali bizantini, si chiudeva con una domanda difficile: come fanno migliaia di sconosciuti che non si fidano l’uno dell’altro a concordare una sola storia, quando alcuni possono mentire? Il proof of work, che alla lettera si traduce «prova di lavoro», è la risposta di Bitcoin, e una risposta probabilistica. Nessuno vota con un’identità, che costa poco falsificare. I partecipanti votano con la potenza di calcolo, che non si può falsificare, e vince la storia sostenuta dal maggior calcolo. La nostra panoramica su come le blockchain raggiungono il consenso lo colloca accanto alle altre famiglie di meccanismi; questa lezione resta al suo interno.
Satoshi Nakamoto lo ha riassunto nella sezione 4 del white paper di Bitcoin (in inglese): «Proof-of-work is essentially one-CPU-one-vote», cioè in sostanza un voto per ogni CPU. La frase che la precede spiega la scelta. Una maggioranza contata per indirizzi IP potrebbe essere catturata da chiunque riuscisse a ottenere molti indirizzi; la potenza di calcolo è molto più difficile da moltiplicare gratis. La nostra lettura del white paper sezione per sezione copre il resto del documento, mentre qui si entra nei meccanismi che il testo accenna soltanto.
L’idea è più vecchia di Bitcoin. Hashcash di Adam Back, inventato nel 1997, chiedeva al computer di trovare un hash con un certo numero di bit zero iniziali prima che la sua email o la sua richiesta venissero accettate: un piccolo francobollo pagato in calcolo, indolore per un messaggio e costoso per un milione. La sezione 4 del white paper descrive il sistema di Bitcoin come «simile all’Hashcash di Adam Back». Questa storia, insieme a b-money e bit gold, è raccontata nella lezione su il denaro digitale prima di Bitcoin. Bitcoin ha aggiunto due cose di cui Hashcash non aveva bisogno: una soglia che si muove con la potenza di calcolo totale e una catena in cui il lavoro di ogni blocco si somma a tutto il lavoro precedente.
Si immagini la ricerca come una lotteria senza scorciatoie. Il miner assembla un blocco candidato, calcola l’hash della sua intestazione e guarda il risultato. Se il numero è abbastanza basso, il blocco è valido e il miner incassa la ricompensa. Altrimenti cambia un piccolo campo e riprova. L’output di una buona funzione di hash non si può prevedere dall’input, quindi non esiste strategia più astuta che tentare. Per questo il numero di tentativi al secondo, l’hashrate, è l’unica cosa che conta in questa gara.
Che cosa calcola un miner di Bitcoin, miliardi di volte al secondo
SHA-256 due volte su un’intestazione di 80 byte
L’oggetto sottoposto all’hash è minuscolo. È l’intestazione di 80 byte che si incontra nella lezione su che cosa contiene un blocco: versione, hash del blocco precedente, radice di Merkle, timestamp, soglia codificata e nonce. Le transazioni non vengono ricalcolate a ogni tentativo. Sono riassunte nella radice di Merkle da 32 byte, quindi un blocco con 2.029 transazioni, come il 974.916, costa per essere tentato quanto un blocco vuoto.
Bitcoin applica SHA-256 a quegli 80 byte, poi applica SHA-256 una seconda volta al risultato di 32 byte. Gli sviluppatori la chiamano SHA-256d. I 256 bit finali sono letti come un unico numero molto grande, in ordine di byte little-endian, ed è per questo che gli explorer mostrano gli hash dei blocchi con gli zeri davanti. Perché un hash non si possa far girare al contrario è tema di una lezione successiva sulle funzioni di hash. Qui conta una sola proprietà: si cambia un singolo bit dell’intestazione e il risultato cambia del tutto, senza alcun rapporto con il precedente.
Il nonce a 32 bit finisce in microsecondi
Il campo nonce è largo 32 bit, quindi contiene circa 4,29 miliardi di valori. Sembra molto, finché non lo si confronta con una macchina moderna. Si prenda un miner che lavora a 200 terahash al secondo, una cifra d’esempio nell’ordine dell’hardware di fascia alta attuale: esaurirebbe tutti i nonce possibili in circa 21 microsecondi. Quando fu scritto il BIP 320 nel 2018, i suoi autori notavano già che l’hardware poteva consumare l’intero intervallo del nonce in meno di 200 millisecondi. Da allora le macchine sono diventate molto più veloci.
Così i miner variano anche altre parti del blocco. La leva più comune è l’extranonce, un campo che il miner riempie liberamente dentro l’input della transazione coinbase, quella che paga il miner. Cambiarlo modifica l’hash di quella transazione, quindi la radice di Merkle, quindi l’intestazione, e si apre un nuovo intervallo di 4,29 miliardi di nonce. Anche il timestamp può muoversi, entro i limiti fissati nel codice di Bitcoin Core: il tempo di un blocco deve essere successivo alla mediana degli 11 blocchi precedenti e non oltre due ore avanti rispetto all’orologio del nodo.
La terza leva è il version rolling. Il BIP 320, ancora in bozza, riserva 16 bit del campo versione dell’intestazione (dal bit 13 al bit 28) a un uso generale, e i chip di mining li fanno ruotare come spazio di ricerca aggiuntivo, concordato con i pool tramite un’estensione del protocollo Stratum. La traccia è visibile sulla catena reale. Il blocco 974.916 porta la versione 0x2a000000 invece della semplice 0x20000000 che un nodo scrive di default. Il suo nonce vincente, per la cronaca, era 3.425.572.080.
Target, nBits e difficoltà: tre modi di scrivere la stessa soglia
Vincere significa una cosa sola: il doppio hash dell’intestazione, letto come numero, deve essere minore o uguale al target corrente. Il target è a sua volta un numero a 256 bit. I famosi zeri iniziali sono solo un effetto collaterale. Un target più piccolo impone più zeri davanti a qualunque numero che resti sotto di esso, ma i nodi eseguono un confronto, non un conteggio di zeri, e un hash con il numero giusto di zeri può comunque fallire se le cifre successive sono troppo alte.
L’intestazione non ha spazio per un target da 32 byte, quindi ne conserva una versione compatta da 4 byte chiamata nBits. Il primo byte è un esponente, i tre successivi una mantissa, e il target è uguale alla mantissa moltiplicata per 256 elevato a (esponente meno 3). Il blocco 974.916 ha nBits 0x1701e5ac. L’esponente è 0x17, cioè 23, e la mantissa 0x01e5ac, quindi il target è 0x01e5ac seguito da 20 byte a zero. Scritto in 64 cifre esadecimali, comincia con 19 zeri, circa 79 bit a zero. L’hash vincente, con 21 zeri davanti, l’ha superato con ampio margine.
La difficoltà è la forma comoda per gli esseri umani dello stesso numero. Si ottiene dividendo il target più facile consentito dal protocollo (nBits 0x1d00ffff, la soglia del blocco genesi del 3 gennaio 2009, difficoltà 1) per il target corrente. Al 7 novembre 2026 la difficoltà di Bitcoin era 148.364.561.003.867, circa 148,36 mila miliardi (in inglese 148.36 trillion, abbreviato 148,36 T), secondo mempool.space. In parole semplici, oggi un blocco è circa 148 mila miliardi di volte più difficile da trovare di uno dei primi blocchi.
Ne discende una regola pratica. A difficoltà 1 un miner ha bisogno in media di 2 alla 32 hash, circa 4,29 miliardi, per trovare un blocco. Moltiplicando per la difficoltà di oggi si ottiene il prezzo atteso di un blocco: circa 6,37 x 1023 hash, cioè 637 mila miliardi di miliardi. Visto dall’altra parte, ogni singolo hash vince con una probabilità di circa una su 637 mila miliardi di miliardi. Una singola macchina può anche avere fortuna al primo colpo; è solo vertiginosamente improbabile.
Aggiustamento della difficoltà di Bitcoin: dieci minuti in media
Un target fisso non reggerebbe. Quando entrano più macchine, i blocchi arriverebbero più in fretta; quando i miner spengono, più lentamente. Il white paper descrive il rimedio in una riga, una media mobile che punta a un numero medio di blocchi all’ora. Il codice è più preciso del testo, e un po’ più strano.
Ogni 2.016 blocchi, al massimo di un fattore quattro
In src/pow.cpp di Bitcoin Core e nei suoi parametri di catena, l’intervallo di tempo obiettivo è di due settimane (1.209.600 secondi) e la distanza obiettivo tra i blocchi di dieci minuti (600 secondi). Dividendo l’uno per l’altra si ottiene l’intervallo di aggiustamento: 2.016 blocchi. Alla fine di ogni intervallo ogni nodo calcola da solo il nuovo target: vecchio target, moltiplicato per il tempo effettivamente impiegato dal periodo, diviso per due settimane. Blocchi troppo rapidi, il target si restringe e la difficoltà sale. Troppo lenti, il contrario. Nessuno annuncia la nuova difficoltà. Ogni nodo arriva allo stesso numero partendo dagli stessi timestamp.
Due paletti limitano la mossa. Se il periodo misurato è più breve di un quarto di due settimane, il codice usa un quarto; se è più lungo di quattro volte due settimane, usa quattro volte. La difficoltà può quindi cambiare al massimo di un fattore quattro, in un senso o nell’altro, per periodo. Le variazioni reali sono molto più piccole. Il calo maggiore mai registrato è arrivato il 3 luglio 2021, al blocco 689.472: meno 27,94%, dopo che il divieto cinese del mining aveva spento una larga quota delle macchine, secondo i dati di mempool.space. La difficoltà più alta finora, 155,97 T, è stata raggiunta il 29 ottobre 2025 al blocco 921.312.
Gli ultimi otto aggiustamenti, letti da mempool.space il 7 novembre 2026, mostrano il meccanismo che segue l’hashrate a piccoli passi:
| Data (UTC) | Blocco | Nuova difficoltà | Variazione |
|---|---|---|---|
| 25 luglio 2026 | 959.616 | 126,23 T | -0,74% |
| 8 agosto 2026 | 961.632 | 127,48 T | +0,99% |
| 23 agosto 2026 | 963.648 | 125,81 T | -1,31% |
| 5 settembre 2026 | 965.664 | 127,45 T | +1,31% |
| 19 settembre 2026 | 967.680 | 132,76 T | +4,16% |
| 3 ottobre 2026 | 969.696 | 132,72 T | -0,03% |
| 16 ottobre 2026 | 971.712 | 140,58 T | +5,92% |
| 29 ottobre 2026 | 973.728 | 148,36 T | +5,54% |
Ogni quanto cambia dunque la difficoltà di Bitcoin? Ogni 2.016 blocchi, cioè circa ogni due settimane, ma la distanza sul calendario varia: poco più di 13 giorni tra i due aggiustamenti di ottobre, poco più di 14 tra quelli dell’8 e del 23 agosto. Il prossimo cade al blocco 975.744. Il 7 novembre 2026 mempool.space lo stimava intorno al 13 novembre e prevedeva un calo di circa il 4%, perché i blocchi del periodo in corso avevano una media di circa 10 minuti e 26 secondi. Quella previsione si muove a ogni blocco.
L’errore di uno e il bug del timewarp
Il codice si porta dietro una stranezza del 2009. Per misurare un periodo, pow.cpp torna indietro dall’ultimo blocco del periodo fino al primo. Il commento sopra la riga dice «Go back by what we want to be 14 days worth of blocks», cioè torna indietro di quanto vale 14 giorni di blocchi, eppure la riga sottrae 2.015, non 2.016. Il tempo misurato copre quindi 2.015 intervalli tra blocchi ma viene confrontato con 2.016 volte dieci minuti. L’effetto diretto è piccolo: Bitcoin punta a una media più lenta di circa lo 0,05% rispetto ai dieci minuti.
La conseguenza più grande è che i periodi non si sovrappongono mai. L’intervallo tra l’ultimo blocco di un periodo e il primo del successivo non viene mai misurato. Si apre così l’attacco timewarp. Una maggioranza di miner potrebbe marcare l’ultimo blocco di ogni periodo con l’ora reale, cosa che le regole consentono, tenendo tutti gli altri timestamp bassi quanto permette la regola della mediana. Ogni periodo sembra allora più lungo di quanto sia stato, la difficoltà scende e il trucco si può ripetere. Il testo del BIP 54 descrive il caso peggiore senza giri di parole: «an attacker can bring down the difficulty to its minimum within 38 days of starting the attack», ossia un attaccante può portare la difficoltà al minimo entro 38 giorni dall’inizio dell’attacco. Servirebbe la maggioranza dell’hashrate e sarebbe visibile a tutti, ma una regola di consenso che lo tollera resta una falla.
BIP 54: la correzione è scritta, non attivata
Il BIP 54, intitolato Consensus Cleanup e scritto da Antoine Poinsot e Matt Corallo, è una proposta di soft fork che chiude quattro vecchie debolezze: il timewarp, il tempo peggiore necessario per validare un blocco, un’ambiguità dell’albero di Merkle legata alle transazioni di 64 byte e le transazioni coinbase duplicate. Per il timewarp la nuova regola è breve. Il primo blocco di un periodo non può avere un timestamp precedente di oltre due ore (7.200 secondi) a quello del blocco che lo precede, e l’ultimo blocco di un periodo non può essere anteriore al primo blocco dello stesso periodo. La rete di prova più recente di Bitcoin, testnet4 (BIP 94), applica già una regola simile con una tolleranza di dieci minuti.
Lo stato va letto con attenzione. Il repository dei BIP indica il BIP 54 come Complete, e questo descrive la specifica, non la rete. Al 7 novembre 2026 non è attivo sulla rete principale di Bitcoin e non è stata fissata alcuna data di attivazione. Finché non lo sarà, l’errore di uno e il timewarp restano parte delle regole che ogni nodo applica.
Quanto lavoro richiede oggi un blocco di Bitcoin
La tabella raccoglie le cifre in tempo reale lette dall’API pubblica di mempool.space il 7 novembre 2026, tra le 09:47 e le 10:30 UTC (le stime si muovono a ogni blocco), con due valori calcolati a partire da esse.
| Dato (7 novembre 2026) | Valore |
|---|---|
| Ultimo blocco | 974.916, minato alle 09:40:46 UTC da SECPOOL, 2.029 transazioni |
| nBits di quel blocco | 0x1701e5ac |
| Difficoltà | 148,36 T, fissata al blocco 973.728 il 29 ottobre 2026 (+5,54%) |
| Hash attesi per blocco (calcolato) | circa 6,37 x 1023 |
| Hashrate necessario per esattamente 600 secondi a blocco (calcolato) | circa 1.062 EH/s |
| Hashrate stimato della rete, media su 3 giorni | circa 1.012 EH/s |
| Tempo medio per blocco nel periodo in corso | circa 10 minuti e 26 secondi |
| Prossimo aggiustamento | blocco 975.744, intorno al 13 novembre 2026, previsto circa -4% (stima) |
| Hashrate giornaliero massimo degli ultimi 12 mesi | circa 1.245 EH/s (27 novembre 2025) |
| Difficoltà record | 155,97 T (29 ottobre 2025) |
Un exahash è un miliardo di miliardi di hash. A circa 1.000 EH/s la rete esegue all’incirca 1021 calcoli di doppio SHA-256 ogni secondo. Le due righe sull’hashrate spiegano i blocchi lenti di questo periodo: la difficoltà era tarata su circa 1.062 EH/s, la rete ne ha forniti poco più di 1.010, quindi i blocchi impiegano un po’ più di dieci minuti e il prossimo aggiustamento dovrebbe allentare la soglia. Le cifre dell’hashrate sono stime, dedotte dalla velocità con cui arrivano i blocchi a una difficoltà nota; nessuno conta le macchine.
I tempi dei blocchi sono casuali. Ogni hash è un’estrazione indipendente, quindi l’attesa del blocco successivo segue, all’incirca, una distribuzione esponenziale con media di dieci minuti. Un semplice calcolo dà le probabilità, a titolo illustrativo e non come previsione: circa il 9,5% dei blocchi arriva entro un minuto dal precedente, circa il 5% impiega più di 30 minuti e circa lo 0,25% più di un’ora. Un lungo silenzio sulla rete è di solito soltanto sfortuna.
Chi fornisce questo hashrate, con quali macchine e a quale prezzo dell’elettricità, è il tema della prossima lezione di questo percorso, una guida completa al mining di Bitcoin.
Perché il proof of work protegge la storia di Bitcoin
Un breve richiamo dalla lezione su perché una blockchain è così difficile da modificare: per alterare un vecchio blocco, un attaccante deve rifare il suo lavoro e quello di ogni blocco accumulato dopo, e farlo più in fretta di quanto la rete onesta aggiunga blocchi. Il punto del white paper è che il lavoro speso non si può riutilizzare. Si cambia un byte in un vecchio blocco e il suo hash, e ogni hash successivo, vanno trovati di nuovo.
A rigore, i nodi non seguono la catena più lunga. Il white paper parla di «the longest chain, which has the greatest proof-of-work effort invested in it», la catena più lunga, quella con il maggior sforzo di proof of work investito, e Bitcoin Core implementa la seconda metà di quella frase. Ogni blocco vale 2 alla 256 diviso il suo target più uno, cioè il numero atteso di hash, e i nodi seguono la catena valida con il lavoro accumulato maggiore, un valore che il codice chiama nChainWork. Una catena con più blocchi a una difficoltà più facile perde contro una più corta con più lavoro totale. Quella regola chiude un trucco a buon mercato: minare in privato una lunga catena di blocchi facili.
Due blocchi onesti trovati quasi nello stesso istante creano una breve divisione che questa regola risolve nel giro di un blocco o due; il blocco perdente diventa stale. Le nostre lezioni su finalità e riorganizzazioni della catena e su come nascono i fork trattano quei casi in dettaglio. Qui conta che la conferma nel proof of work è probabilistica. Ogni nuovo blocco rende una riscrittura esponenzialmente meno probabile, mai rigorosamente impossibile.
Quanto costerebbe un attacco, e perché i prezzi di noleggio ingannano
Il sito crypto51.app stima quanto costerebbe noleggiare, per un’ora, tanto hashrate quanto ne ha ciascuna rete. Le cifre qui sotto sono quelle mostrate il 7 novembre 2026, da un aggiornamento che la pagina data alle 04:08 EST (09:08 UTC) di quel giorno.
| Rete | Algoritmo | Hashrate mostrato | Costo di un attacco di 1 ora | Quota noleggiabile su NiceHash |
|---|---|---|---|---|
| Bitcoin | SHA-256 | 946.836 PH/s | 1.800.721 $ | 0% |
| Bitcoin Cash | SHA-256 | 3.855 PH/s | 7.332 $ | 0% |
| Litecoin | Scrypt | 3 PH/s | 52.519 $ | 6% |
| Zcash | Equihash | 32 GH/s | 70.237 $ | 1% |
| Ethereum Classic | Etchash | 202 TH/s | 2.892 $ | 0% |
| Kaspa | kHeavyHash | 352 PH/s | 2.780 $ | 10% |
Conviene leggere prima l’ultima colonna. Per Bitcoin, lo 0% dell’hashrate necessario è noleggiabile su NiceHash, il marketplace che il sito usa per i prezzi. Gli 1,8 milioni di dollari sono ciò che costerebbe un’ora se tanto hashrate fosse in affitto, e non lo è. Un attaccante vero dovrebbe comprare e alimentare per mesi centinaia di exahash di macchine, e un attacco visibile potrebbe affondare il valore delle stesse monete che quelle macchine producono. Il sito misura inoltre l’hashrate di Bitcoin a modo suo, ed è per questo che la sua cifra differisce da quella di mempool.space.
Bitcoin Cash mostra il pericolo reale. Usa lo stesso SHA-256 di Bitcoin con circa lo 0,4% del suo hashrate, quindi una piccola frazione della flotta di Bitcoin potrebbe sopraffarlo. Le piccole catene che condividono l’algoritmo con una molto più grande sono esposte in questo modo, lo schema dietro gli attacchi del 51% a Ethereum Classic e Bitcoin Gold raccontati nella lezione su se una blockchain possa essere hackerata.
Per Bitcoin stesso, la preoccupazione realistica è la concentrazione più che il noleggio. Nei sette giorni fino alla mattina del 7 novembre 2026, Foundry USA ha trovato il 23,1% dei blocchi, AntPool il 19,7% e F2Pool il 17,2%, secondo mempool.space: circa il 60% per i primi tre. Un pool non è un unico proprietario. Il suo hashrate appartiene a molti miner che possono andarsene, ma è l’operatore a scegliere quali transazioni entrano nei suoi blocchi.
Selfish mining: quando una minoranza guadagna più della sua quota
Nel novembre 2013 Ittay Eyal ed Emin Gün Sirer della Cornell University hanno pubblicato Majority is not Enough: Bitcoin Mining is Vulnerable (in inglese). La loro strategia di selfish mining funziona così. Un pool che trova un blocco lo tiene segreto e continua a minare sopra di esso. Quando la rete onesta trova un blocco concorrente, il pool rilascia quello nascosto per vincere la gara, così i miner onesti sprecano lavoro su blocchi che finiscono stale. L’articolo mostra che miner coordinati che seguono questa strategia possono guadagnare più della loro quota equa di ricompense.
Gli autori hanno proposto una modifica al modo in cui i nodi risolvono i pareggi, che proteggerebbe la rete da pool egoisti con meno di un quarto dell’hashrate. Notavano che questa soglia è «lower than the wrongly assumed 1/2 bound», più bassa del limite di 1/2 ritenuto per errore, ma meglio della situazione che descrivevano, in cui un gruppo di qualsiasi dimensione poteva trarre profitto. Non è stato dimostrato alcun caso su larga scala di selfish mining su Bitcoin. La lezione duratura dell’articolo riguarda gli incentivi: il proof of work rende costoso barare, ma minare onestamente è la strategia migliore solo sotto ipotesi sulla velocità con cui i blocchi viaggiano nella rete. Il selfish mining e altri attacchi a livello di rete avranno una lezione propria più avanti in questo percorso.
Proof of work oltre Bitcoin: Scrypt, RandomX ed Ethash
SHA-256d è un progetto tra molti. Ogni rete a proof of work sceglie una funzione di hash e un tempo di blocco, e alcune scelgono una deliberata inclinazione hardware. La tabella elenca i casi che questa lezione ha verificato sul codice sorgente o sulla documentazione ufficiale. Ethereum Classic, Zcash e Kaspa, che continuano a loro volta a minare, compaiono nella tabella dei costi di attacco qui sopra.
| Rete | Algoritmo | Tempo di blocco obiettivo | Dettaglio |
|---|---|---|---|
| Bitcoin | SHA-256d | 10 minuti | aggiustamento ogni 2.016 blocchi |
| Litecoin | Scrypt (N=1.024, r=1, p=1) | 2,5 minuti | aggiustamento ogni 3,5 giorni, anch’esso 2.016 blocchi |
| Dogecoin | Scrypt, merge mining con Litecoin | 1 minuto | AuxPoW dal blocco 371.337 (11 settembre 2014, secondo CoinDesk e il timestamp del blocco) |
| Monero | RandomX | 2 minuti | dal blocco 1.978.433 (30 novembre 2019) |
| Ethereum | Ethash | nessuno | il proof of work è finito con il Merge, 15 settembre 2022 |
Scrypt e merge mining: un hash, due catene
Litecoin ha sostituito SHA-256 con Scrypt e ha ridotto il tempo di blocco obiettivo a due minuti e mezzo. Il suo codice sorgente chiama la funzione di hash scrypt_1024_1_1_256, dai parametri N = 1.024, r = 1 e p = 1, che richiedono 128 KiB di memoria di lavoro per ogni hash. Scrypt doveva essere memory-hard, così che i computer ordinari restassero al passo con i chip specializzati. Un’area di lavoro da 128 KiB si è rivelata abbastanza piccola da stare su un chip, e sono state costruite macchine dedicate a Scrypt. L’aggiustamento di Litecoin avviene ogni 3,5 giorni, che a 2,5 minuti per blocco sono di nuovo 2.016 blocchi.
Il merge mining, detto anche merged mining o AuxPoW (auxiliary proof of work), permette a un solo hash di servire due catene che usano lo stesso algoritmo. Il miner costruisce un blocco Litecoin la cui transazione coinbase porta anche l’hash di un blocco Dogecoin. Se il risultato rispetta il target più facile di Dogecoin, il miner consegna a Dogecoin una prova: l’intestazione Litecoin, la transazione coinbase e il ramo che la collega alla radice di Merkle di quell’intestazione. Dogecoin verifica la prova e accetta il lavoro. Se lo stesso hash rispetta anche il target di Litecoin, vince anche un blocco Litecoin. Per la seconda catena i miner non pagano nulla in più.
Dogecoin, che punta a un blocco al minuto, ha attivato il merge mining al blocco 371.337, un’altezza scritta nel suo codice sorgente. CoinDesk ha riferito dell’attivazione l’11 settembre 2014 (in inglese), e Blockchair data il blocco 371.337 alle 19:42 UTC di quel giorno. Una piccola catena ha preso in prestito la protezione dell’hashrate di una catena più grande senza chiedere ai miner di scegliere tra le due.
RandomX di Monero: una scommessa contro i chip specializzati
Monero è andato nella direzione opposta. Dal blocco 1.978.433, minato il 30 novembre 2019 secondo le specifiche tecniche del progetto, usa RandomX, che ha seguito diverse versioni di CryptoNight. RandomX fa eseguire a ogni hash programmi generati casualmente in una macchina virtuale, mescolando aritmetica intera, aritmetica in virgola mobile e salti condizionati, così l’hardware migliore è una CPU di uso generale. Un miner ha bisogno di circa 2.080 MiB di memoria in modalità veloce; un nodo che controlla una prova può usare una modalità leggera da 256 MiB, più lenta ma con lo stesso risultato. Quattro gruppi indipendenti di sicurezza hanno sottoposto l’algoritmo ad audit tra maggio e agosto 2019, prima del lancio.
La scommessa è che, se qualsiasi portatile può minare, il mining resta distribuito tra molte mani. Il rovescio è che può minare qualsiasi computer, compresi quelli i cui proprietari non hanno mai acconsentito.
Ethash: il proof of work che Ethereum ha abbandonato
Ethereum ha usato il proof of work con un algoritmo chiamato Ethash fino al Merge, che ethereum.org data al 15 settembre 2022 e a cui attribuisce un taglio del consumo energetico della rete di circa il 99,95%. I validatori ora bloccano ether come garanzia invece di bruciare elettricità, con il proof of stake. Ethereum Classic ha continuato a minare con Etchash, una variante, e crypto51.app elenca ancora il fork EthereumPoW sotto Ethash.
Messi a confronto, il proof of work lega la sicurezza a un costo esterno (macchine ed energia) che chiunque può verificare dalla sola catena, e permette a chiunque di entrare collegando hardware; il proof of stake la lega a capitale bloccato dentro il sistema, usa una frazione minima dell’energia e dà una finalità più rapida, al prezzo di regole più complesse e di una dipendenza da chi già detiene monete. Una lezione successiva sul proof of stake in dettaglio e un’altra sul Merge li confronteranno a fondo.
Il costo energetico del proof of work, a novembre 2026
Lavoro significa elettricità; il white paper lo dice quando paragona le nuove monete ai cercatori d’oro che spendono risorse. Il Cambridge Bitcoin Electricity Consumption Index (CBECI), gestito dall’Università di Cambridge, mostrava il 7 novembre 2026 una stima centrale di circa 165 TWh all’anno per Bitcoin, compresa tra un minimo teorico molto più basso e un massimo molto più alto. Valgono due cautele. I limiti sono molto distanti perché nessuno sa con esattezza quali macchine siano accese. E i dati dell’indice, come mostrati quel giorno, terminavano all’inizio di maggio 2026, quindi la cifra descrive la rete di allora, quando l’hashrate era più basso che a novembre. Il dibattito se quell’energia sia spreco o prezzo equo della sicurezza spetta a una lezione successiva sui consumi energetici di Bitcoin.
Che cosa dicono le autorità sul mining a proof of work
Negli Stati Uniti la Division of Corporation Finance della SEC ha pubblicato il 20 marzo 2025 una dichiarazione su alcune attività di mining a proof of work (in inglese). La sua posizione: minare su una rete a proof of work, da soli o tramite un mining pool, non comporta un’offerta o una vendita di titoli, quindi i partecipanti non devono registrare quelle operazioni presso la SEC ai sensi del Securities Act. La dichiarazione precisa di essere un parere dello staff, privo di forza o effetto giuridico, e non una regola della Commissione. Come viene tassato il reddito da mining dall’IRS, o dall’HMRC nel Regno Unito, è trattato nella prossima guida al mining.
Nell’Unione europea il MiCA (regolamento (UE) 2023/1114) impone ai prestatori di servizi per le cripto-attività di pubblicare, in un punto ben visibile del proprio sito, le informazioni sui principali impatti negativi sul clima e sull’ambiente del meccanismo di consenso di ciascuna cripto-attività che offrono (articolo 66, paragrafo 5). Il regolamento delegato (UE) 2025/422 rende il consumo annuo di energia, in chilowattora, l’indicatore chiave obbligatorio. Un lettore che detiene bitcoin tramite una piattaforma autorizzata nell’UE può trovare una cifra sull’energia del proof of work nelle informative sulla sostenibilità di quella piattaforma.
Il proof of work in sei punti
- Un miner di Bitcoin applica due volte SHA-256 all’intestazione di 80 byte e vince quando il risultato, letto come numero, è minore o uguale al target.
- Il nonce a 32 bit finisce in microsecondi sulle macchine moderne, quindi i miner fanno ruotare anche l’extranonce, il timestamp e 16 bit del campo versione.
- La difficoltà era circa 148,36 T il 7 novembre 2026, cioè circa 6,37 x 1023 hash attesi per blocco.
- Il target viene ricalcolato ogni 2.016 blocchi, al massimo di un fattore quattro; un errore di uno nel codice rende possibile l’attacco timewarp che il BIP 54 chiuderebbe, una volta attivato.
- I nodi seguono la catena valida con il maggior lavoro accumulato, non semplicemente quella con più blocchi, ed è questo che rende così costoso riscrivere la storia.
- Litecoin e Dogecoin usano Scrypt con il merge mining, Monero usa RandomX, pensato per le CPU, ed Ethereum ha lasciato il proof of work il 15 settembre 2022.
Prossima tappa del percorso: le macchine, i pool e le bollette dietro quegli oltre 1.000 exahash, nella guida al mining di Bitcoin. Il prossimo aggiustamento della difficoltà, al blocco 975.744, è atteso intorno al 13 novembre 2026.
