blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il 26 ottobre 2026 OpenAI ha annunciato che uno dei suoi sistemi di intelligenza artificiale ha smentito l’ipotesi del tempo esponenziale (in inglese Exponential Time Hypothesis, abbreviata ETH), e sui social crypto il titolo «ETH is false» è stato letto per qualche ora come una notizia su Ethereum. Non lo è. Qui ETH è una congettura dell’informatica teorica del 1999, formulata da Russell Impagliazzo e Ramamohan Paturi, su quanto sia difficile un rompicapo logico chiamato 3-SAT. OpenAI ha pubblicato nel suo repository GitHub un manoscritto di 67 pagine e una formalizzazione in Lean, come si legge nell’annuncio.
La tesi non è stata verificata. I tre informatici che OpenAI ha incaricato di sovrintendere al controllo, Impagliazzo e Paturi dell’Università della California a San Diego e Ryan Williams del MIT, hanno scritto nello stesso giorno in una lettera aperta: «Il nostro coinvolgimento non va inteso come una certificazione dell’affermazione». Nel manoscritto non c’è alcun attacco a SHA-256, la funzione di hash alla base del mining e degli indirizzi bitcoin, né alle firme a curva ellittica che proteggono le chiavi bitcoin. L’unico passaggio dell’articolo sull’inversione di funzioni riguarda una famiglia di costruzioni teoriche e anche lì il testo precisa che il risultato non esclude la unidirezionalità rispetto ad algoritmi in tempo polinomiale.
Bitcoin quotava intorno a 80.850 dollari alle 05:43 UTC del 28 ottobre, in rialzo dell’1,39% in 24 ore. Nei dati di mercato nulla collega quel movimento a questa vicenda. Per i risparmiatori italiani ed europei non risultano conseguenze di mercato né prese di posizione di Consob, OAM o Banca d’Italia.
Che cosa sostiene OpenAI sull’ipotesi del tempo esponenziale
L’ipotesi del tempo esponenziale afferma che 3-SAT non ha algoritmi subesponenziali: esiste una costante fissa c maggiore di zero tale che, nel caso peggiore, decidere una formula 3-SAT con n variabili richiede almeno circa 2 elevato a c per n passi. Una formula 3-SAT è un lungo elenco di piccole condizioni su variabili vero-o-falso, tre variabili per condizione, e la domanda è se esista un’assegnazione che le soddisfi tutte insieme. I ricercatori usano l’ipotesi da decenni come assunzione di lavoro: secondo la pagina di OpenAI compare in centinaia di articoli per dimostrare risultati di difficoltà in teoria dei grafi, basi di dati, geometria computazionale e biologia computazionale.
Il manoscritto, intitolato «The Exponential Time Hypothesis is False» e attribuito a «OpenAI», è datato 17 ottobre e rivisto il 25 ottobre 2026. Descrive un algoritmo deterministico che conta esattamente quante assegnazioni soddisfano una qualsiasi formula k-CNF (la versione generale con k variabili per condizione, per ogni k fisso pari ad almeno 2). Il tempo di calcolo cresce come 2 elevato a n diviso circa la radice quadrata di log n, con memoria polinomiale. Contare è almeno tanto difficile quanto decidere se esista una soluzione, quindi, se l’algoritmo e la sua analisi sono corretti, l’ipotesi è falsa.
La pagina di OpenAI la mette così: «il nostro sistema ha dimostrato di recente che l’ETH è falsa, un risultato poi verificato in Lean». I passaggi hanno una data: l’IA ha trovato la dimostrazione in linguaggio naturale il 16 ottobre e il gruppo l’ha formalizzata in Lean, un programma che controlla il ragionamento matematico riga per riga, il 17 ottobre. La pagina avverte anche che trasformare il risultato in algoritmi più veloci nella pratica «richiederà ulteriore ricerca significativa».
Sono gli autori stessi a tracciare i confini. I limiti di tempo di questo tipo non sopravvivono alle riduzioni polinomiali generali, scrivono, quindi «il nostro risultato non implica che i problemi NP in generale ammettano algoritmi in tempo subesponenziale». Non c’è un algoritmo in tempo polinomiale e la questione P contro NP resta aperta. Secondo l’articolo ne discende invece un conteggio più veloce che esponenziale per alcuni problemi su grafi, come insiemi indipendenti, colorazioni corrette e accoppiamenti perfetti.
Chi controlla il lavoro e che cosa copre la verifica in Lean
Il lavoro «sarà verificato e seguito», secondo OpenAI, da un gruppo guidato da Impagliazzo, Paturi e Williams. Impagliazzo e Paturi, con Francis Zane, sono gli ideatori originali dell’ipotesi. OpenAI ricorda che Williams ha confutato versioni forti di essa. Nella lettera aperta ai colleghi i tre scrivono che «un risultato di questa importanza richiede un esame attento e indipendente». Chiedono alla comunità dell’informatica teorica di aiutare a esaminare l’argomento, propongono una riunione virtuale prima della fine del 2026 e indicano un repository comunitario, un modulo di risposta e un blog di discussione come luoghi in cui contribuire.
Scrivono anche: «se l’affermazione è corretta, cambierà una parte importante dell’informatica teorica». La lettera non dice nulla di crittografia. OpenAI afferma di aver accolto le richieste del gruppo di rendere pubblici tutti i dati grezzi e di finanziare una conferenza sulle implicazioni.
La verifica in Lean è più stretta del limite annunciato nel titolo. La nota sull’ambito di OpenAI spiega che Lean dimostra un tempo di calcolo leggermente più debole, con (log log n) al quadrato nell’esponente invece di log log n, e che la cifra più netta viene dal manoscritto del 25 ottobre. Il limite più debole resta comunque sotto l’esponenziale, quindi, se l’enunciato in Lean cattura fedelmente l’ipotesi e l’algoritmo, la sola parte verificata dalla macchina basterebbe a contraddirla. Se lo faccia davvero è una delle cose che i revisori non hanno ancora detto.
| Enunciato | Tempo di calcolo (n variabili) | Origine |
|---|---|---|
| Ipotesi del tempo esponenziale (la congettura) | 3-SAT richiede almeno 2cn nel caso peggiore, per una certa costante c > 0 | Impagliazzo e Paturi, 1999 |
| Manoscritto OpenAI, qualsiasi formula k-CNF | 2O(n log log n / √log n) | Articolo, Teorema 1.1 (25 ottobre) |
| Manoscritto OpenAI, formule sparse | 2O(n / √log n) | Articolo, Teorema 1.1 |
| Enunciato verificato in Lean | 2O(n (log log n)² / √log n) | Nota di OpenAI sull’ambito di Lean |
| Repository Anthropic, conteggio #3-SAT | 2O(n log log n / √log n) | README di Anthropic formal-math |
Le costanti nascoste dentro ogni O(…) non sono indicate. Senza di esse nessuno può dire, da queste formule, a quale dimensione, se mai, il metodo batterebbe la ricerca semplice che prova tutte le assegnazioni.
Anthropic ha pubblicato un risultato simile
Anthropic, l’azienda che sviluppa Claude, ha pubblicato un articolo intitolato «A 2^o(n) Time Algorithm for 3-SAT», attribuito a «Claude (Anthropic)», nel suo repository pubblico formal-math; secondo Decrypt l’articolo è datato 26 ottobre, giorno dell’annuncio di OpenAI. Il README dice che l’algoritmo conta le soluzioni di 3-SAT con lo stesso tipo di limite, che il risultato è stato trovato da un modello di ricerca interno di Claude e che le dimostrazioni in Lean dipendono soltanto dai tre assiomi standard di Lean. Aggiunge una cautela propria: Lean controlla le dimostrazioni, ma nessuna macchina verifica che il file con gli enunciati dica ciò che dice l’articolo. E afferma: «Il risultato è puramente asintotico e non dice nulla sulla risoluzione di formule nella pratica».
Le prime reazioni dei teorici della complessità
Il teorico della complessità Scott Aaronson ha scritto il 26 ottobre sul suo blog Shtetl-Optimized che un modello di OpenAI «ha ora confutato l’ipotesi del tempo esponenziale», con un tempo per 3-SAT che scala grosso modo come exp(n/√log(n)). Nei commenti ha alzato la sua probabilità personale che P sia uguale a NP «dal 3% al 5%» e ha riassunto la distanza che resta: «è stata superata una staccionata alta trenta centimetri, mentre quella alta come l’Empire State Building è ancora in piedi».
Ha sottolineato anche che il risultato riguarda solo k-SAT, scrivendo che «non abbiamo ancora niente di davvero migliore della forza bruta per CircuitSAT o FormulaSAT», i problemi più generali. Quando un lettore gli ha chiesto il 27 ottobre se avesse notizie dei tentativi delle aziende di IA di violare algoritmi crittografici, ha risposto: «Non ho alcuna notizia di violazioni di codici crittografici».
Perché SHA-256 e le firme bitcoin sono problemi diversi
Il timore nei thread crypto era questo: se un’IA riesce a rendere più facile un celebre problema difficile, la crittografia di bitcoin potrebbe essere la prossima. Il ragionamento salta almeno quattro passaggi.
Primo, l’ipotesi riguarda la crescita. Descrive come si comporta nel caso peggiore il costo di 3-SAT quando il numero di variabili tende all’infinito. Non dice nulla su una singola formula di dimensione fissa. Le primitive di bitcoin sono oggetti fissi: SHA-256 prende blocchi da 512 bit e restituisce un’uscita da 256 bit, e le chiavi di firma di bitcoin vivono su una curva precisa, secp256k1. Un’affermazione su ciò che accade quando n cresce senza limite non cambia, di per sé, il costo di attaccare una funzione fissa.
Secondo, il guadagno nell’esponente è piccolo e cresce molto lentamente. Rispetto a 2 elevato a n, l’esponente si riduce di un fattore pari più o meno alla radice quadrata di log n, una quantità che si muove appena: passa da circa 3 a circa 4 quando n va da diecimila a dieci milioni di variabili. Con le costanti non pubblicate, l’articolo non fornisce un tempo di calcolo per alcuna formula reale, né un’implementazione, né un benchmark.
Terzo, la traduzione ha un costo. La ricerca di una preimmagine di SHA-256 si può in linea di principio scrivere come formula SAT, ma ogni bit intermedio del calcolo dell’hash diventa una variabile, quindi la formula ha molte migliaia di variabili, molte più dei 256 bit di uscita. Il nuovo limite si misura nelle variabili della formula, non nei bit del segreto. Il punto generale lo fa l’articolo stesso: i limiti di tempo di questa forma «non si trasferiscono attraverso riduzioni polinomiali generali», perché una codifica che gonfia il numero di variabili può cancellare un guadagno così sottile. SHA-256 non viene discusso affatto. Per le basi, si veda la nostra guida a che cos’è la crittografia e come protegge le crypto.
Quarto, le firme bitcoin poggiano su un problema diverso. Le firme ECDSA e Schnorr su secp256k1 dipendono dal problema del logaritmo discreto su curva ellittica: ricavare una chiave privata dalla chiave pubblica in un gruppo di circa 2256 elementi. È un problema algebrico e i migliori attacchi classici noti richiedono circa 2128 operazioni. Come quasi ogni problema la cui risposta si può verificare, in linea di principio potrebbe essere riscritto come formula SAT, ma l’aritmetica sulle curve ellittiche trasformerebbe una chiave da 256 bit in una formula con un numero enormemente maggiore di variabili, e la cautela sulle riduzioni vale di nuovo. Il manoscritto non contiene nulla su logaritmo discreto, curve ellittiche o funzioni di hash. Il nostro approfondimento su come funzionano chiavi private e pubbliche spiega il legame tra le due.
Il mining è un caso ancora a parte. Ai miner non si chiede di invertire SHA-256 per una data uscita: lo calcolano ripetutamente, cercando un’intestazione di blocco il cui hash cada sotto una soglia che la rete aggiusta ogni 2.016 blocchi. La stessa confusione tra hash e firme era al centro di un allarme precedente, che abbiamo raccontato quando lo scenario di Chamath Palihapitiya su un bitcoin che va a zero per colpa dell’IA li confondeva, il 24 ottobre.
L’unico passaggio sull’inversione e il limite che si dà da sé
Il manoscritto sfiora la crittografia in un solo punto, l’Appendice C.2 alle pagine 52 e 53. Il Corollario C.2 tratta funzioni booleane in cui ogni bit di uscita dipende soltanto da un numero costante di bit di ingresso, una proprietà detta località costante dell’uscita. Per queste funzioni, dice l’articolo, si può contare quanti ingressi producono una data uscita, e trovarne uno, nello stesso tempo sotto l’esponenziale.
Cita poi una famiglia coperta: le versioni a località costante di funzioni unidirezionali candidate proposte da Oded Goldreich nel 2000, una costruzione di ricerca studiata dai teorici. Per queste, dice l’articolo, il risultato esclude una difficoltà di inversione della forma 2 elevato a una costante per n. La frase successiva traccia il confine: «Questo non esclude la unidirezionalità rispetto ad algoritmi in tempo polinomiale».
SHA-256 non appartiene a quella famiglia. Ogni bit di uscita di SHA-256 dipende da molti bit di ingresso dopo i suoi round di rimescolamento, non da una manciata fissa. Anche dove l’articolo parla di invertire funzioni, dunque, riguarda una classe teorica costruita apposta per essere locale, e gli autori ne dichiarano il limite subito dopo.
Che cosa dovrebbe dimostrare una vera minaccia per bitcoin
Un’affermazione credibile contro la crittografia di bitcoin richiederebbe più di un nuovo limite asintotico. Dovrebbe fornire una codifica esplicita della ricerca di una preimmagine di SHA-256 o di un logaritmo discreto su secp256k1, le costanti dell’algoritmo, codice funzionante e una stima dei costi che batta le 2256 operazioni generiche per le preimmagini o le 2128 per i logaritmi discreti. Nulla di tutto ciò è stato pubblicato da OpenAI, da Anthropic o da chi esamina i loro articoli.
La questione seria di lungo periodo per le firme bitcoin resta il calcolo quantistico, dove l’algoritmo di Shor risolverebbe, su una macchina abbastanza grande, il problema del logaritmo discreto su curva ellittica. È un’altra faccenda, con un suo percorso di ricerca, che abbiamo seguito quando Google ha ridotto di 40 volte gli errori degli stati magici quantistici all’inizio del mese.
Non abbiamo trovato movimenti di mercato né dichiarazioni di autorità di vigilanza legati a questa tesi. Al 28 ottobre non risultano dichiarazioni degli sviluppatori di Bitcoin Core e la lettera dei revisori non menziona la crittografia.
Che cosa resta aperto e le prossime date
Se l’argomento sia corretto è la prima domanda e non ha risposta: la mattina del 28 ottobre nessun revisore indipendente aveva pubblicato un verdetto. La seconda è se l’enunciato in Lean corrisponda all’affermazione dell’articolo. La terza è come si rapportino i risultati di OpenAI e di Anthropic, visto che sono arrivati a pochi giorni di distanza e descrivono lo stesso tipo di limite; non abbiamo trovato alcuna spiegazione della sovrapposizione da parte delle due aziende.
La riunione virtuale proposta dai revisori, prevista prima della fine del 2026, è la prossima data da osservare. Prima di allora i segnali utili sarebbero una revisione pubblicata dal repository comunitario, un parere sulla formalizzazione in Lean da qualcuno esterno a OpenAI, oppure una codifica e un benchmark che diano un numero a un eventuale uso crittografico della presunta confutazione dell’ipotesi del tempo esponenziale. Nessuno dei tre era apparso la mattina del 28 ottobre.