Dire che i computer quantistici manderanno in frantumi tutte le blockchain è una semplificazione che rischia di confondere più che informare. La realtà, descritta in un’analisi tecnica diffusa da StarkWare, è più chirurgica: un computer quantistico riesce a violare solo alcuni tipi specifici di matematica crittografica, e i rischi quantistici per blockchain emergono soltanto dove quella matematica viene effettivamente usata. Trovare dove si nasconde quel calcolo significa individuare esattamente dove si concentra il pericolo, senza cadere né nell’allarmismo né nella superficialità.
Summary
Punti chiave
- I computer quantistici possono violare alcuni schemi crittografici specifici usati dalle blockchain, in particolare le firme a curva ellittica grazie all’algoritmo di Shor.
- Le aree crittografiche coinvolte sono tre: firme, crittografia e hashing, colpite in modo diverso dagli algoritmi quantistici.
- Esistono già alternative post-quantum standardizzate: ML-DSA, SLH-DSA e Falcon-512 per le firme, ML-KEM per la crittografia.
- Il rischio si distribuisce su cinque superfici critiche: chiavi e account, applicazioni e input, sistemi di prova, consenso/finalità e cross-chain, rete e trasporto dati.
- Starknet è oggi uno degli esempi più concreti di catena con protezioni parziali già operative e un percorso di migrazione dichiarato.
Minacce del calcolo quantistico alla crittografia blockchain
Il pericolo non riguarda la blockchain in blocco, ma tre famiglie precise di crittografia che sostengono l’intero impianto di sicurezza del settore. Le firme digitali sono il primo fronte: la matematica che dimostra che una transazione appartiene davvero a chi l’ha firmata. Un computer quantistico che esegue l’algoritmo di Shor può risalire dalla chiave pubblica alla chiave privata e firmare al posto del legittimo proprietario.
La crittografia che protegge i dati in transito è il secondo fronte, e anch’essa cede allo stesso algoritmo di Shor: un traffico cifrato oggi potrebbe essere registrato e decifrato anni dopo, quando l’hardware quantistico sarà sufficientemente maturo. Il terzo fronte è l’hashing, le impronte digitali unidirezionali dietro prove, indirizzi e stato della catena. Qui la minaccia è più contenuta, perché l’algoritmo di Grover al massimo aiuta a indovinare l’input che genera una certa impronta, un problema quasi sempre gestibile — a meno che l’hash in questione non si appoggi ancora a curve elliittiche, nel qual caso torna in gioco Shor.
Soluzioni di crittografia post-quantistica per blockchain
Per ciascuna delle tre aree a rischio esiste già una contromisura concreta e standardizzata, il che riduce di molto l’urgenza di soluzioni improvvisate. La sfida vera non è trovare la matematica giusta, ma riuscire a distribuirla su reti già in produzione con miliardi di dollari di valore custodito.
Algoritmi sostitutivi per firme, crittografia e hash
Sul fronte delle firme, gli schemi di riferimento sono ML-DSA, SLH-DSA e il candidato Falcon-512. Per la crittografia, l’alternativa è lo scambio di chiavi post-quantum ML-KEM, formalizzato nello standard FIPS 203. Sul fronte dell’hashing, invece, non serve inventare nuova matematica: un hash sufficientemente grande basato su SHA-256 o SHA-3 resta sicuro anche contro un attacco quantistico avanzato. È uno dei pochi punti in cui l’infrastruttura crypto esistente non richiede una rivoluzione, ma solo dimensioni adeguate.
Questo distingue nettamente le urgenze: mentre firme e crittografia richiedono una migrazione attiva verso algoritmi post-quantum per firme, l’hashing resta relativamente tranquillo. È proprio questa differenza a spiegare perché alcune catene siano più esposte di altre.
Cinque superfici critiche della blockchain vulnerabili agli attacchi quantistici
La matematica a rischio si manifesta concretamente su cinque punti dell’architettura blockchain, e ognuno ha una dinamica di esposizione diversa. Capire quale superficie è coinvolta permette di distinguere un rischio teorico da una minaccia concreta per i fondi degli utenti.
Chiavi, account e smart contract
La superficie più diretta riguarda chiavi e account: ogni transazione è autorizzata da una firma generata dalla chiave segreta del wallet, oggi quasi sempre basata su matematica a curva elliittica come ECDSA. Qui il danno è immediato — nel momento in cui si effettua una transazione, la chiave pubblica diventa visibile e un computer quantistico potrebbe derivarne la chiave privata per firmare al posto del proprietario. Dividere la chiave tra più parti, con soluzioni multisig o MPC, non risolve il problema, perché è lo schema crittografico sottostante a essere compromesso. Un dettaglio conta più di ogni altro: sulla maggior parte delle catene l’indirizzo è solo un hash della chiave, quindi i fondi non ancora spesi restano protetti finché non viene effettuata la prima transazione.
La soluzione tecnica esiste, ma la vera difficoltà è organizzativa: cambiare lo schema di firma di un intero protocollo richiede spesso un hard fork e uno spostamento coordinato dei fondi di tutti gli utenti. Dove l’account è programmabile, invece, può aggiornare la propria firma senza toccare il protocollo. Starknet funziona così, e wallet post-quantum — come l’implementazione firmata da Open Zeppelin — girano già su mainnet.
Anche smart contract e oracoli condividono la stessa vulnerabilità: un contratto che ha nel codice un vecchio controllo di firma continua a fidarsene anche dopo che quello schema è diventato inaffidabile. Il problema si aggrava perché le chiavi degli oracoli e della generazione di numeri casuali sono spesso condivise tra molti protocolli: violarne una compromette all’istante ogni contratto che si appoggia a quel flusso di dati.
Sistemi di prova, consenso cross-chain e rete
Nei rollup, la superficie di prova comprende sequencer, prove di correttezza, disponibilità dei dati e trie di stato. È qui che le differenze tra progetti pesano di più: se la prova si basa su matematica a curva elliittica — come nel caso delle prove pairing-based tipo KZG — un computer quantistico può falsificare uno stato mai avvenuto. Le prove basate su hash, invece, non condividono questa debolezza. Uno studio recente sulle prove a conoscenza zero conferma questa distinzione: gli zk-SNARK si appoggiano alla difficoltà del logaritmo discreto su curve elliittiche, mentre gli zk-STARK poggiano sulla resistenza alle collisioni delle funzioni hash, un’assunzione considerata più conservativa. Proprio per questo StarkWare sostiene da tempo che la trasparenza e la resistenza quantistica degli STARK, pur a costo di prove più pesanti, rappresentino la scelta più solida nel lungo periodo, anche se i tempi in cui i computer quantistici diventeranno una minaccia reale per la crittografia a curva elliittica restano oggetto di dibattito.
Consenso, finalità e ponti cross-chain condividono un altro punto debole: la fiducia si basa sulla verifica di un insieme di firme di validatori o comitati. Forzare quell’insieme di firme significa poter falsificare la finalità stessa di un blocco o un prelievo fraudolento su un bridge — e i bridge restano già oggi il segmento più colpito da attacchi nel settore crypto, con miliardi sottratti nel tempo. Infine, la crittografia di rete e trasporto espone un rischio più silenzioso: il traffico cifrato tra nodi e wallet non è segreto per sempre, e dati intercettati oggi potrebbero essere decifrati in futuro, spingendo l’intero settore verso l’adozione di crittografia post-quantum già in fase di diffusione su scala Internet.
L’approccio di Starknet alla sicurezza blockchain resistente ai quantistici
Tra le catene esistenti, Starknet viene citata come esempio concreto di come si possa costruire fin da subito con protezioni quantum-safe parziali, senza aspettare che il problema diventi urgente. Il vantaggio nasce dalla combinazione di due scelte architetturali precise.
Prove basate su hash e account programmabili
Le prove di Starknet sono resistenti ai quantistici per progettazione, perché basate su hash e non su curve elliittiche, e parte del suo stato utilizza già funzioni hash, con una roadmap dichiarata per estendere questa protezione al resto del sistema. L’unica eccezione onesta riguarda la disponibilità dei dati, che Starknet eredita da Ethereum in quanto layer-2 costruito sopra quella rete.
Migrazione e roadmap per la sicurezza quantistica
Grazie agli account programmabili, la migrazione Starknet verso quantum-safe non richiede un hard fork per aggiornare le firme: un account può cambiare il proprio schema di sicurezza senza modifiche al protocollo. Lo stesso principio è alla base del piano annunciato per migrare anche le firme di consenso, più semplice da realizzare perché la logica di firma vive in contratti aggiornabili. Resta però un limite strutturale: il cross-chain condivide un tetto comune, perché un layer-2 eredita la crittografia della sua base layer-1, quindi nessuna rete può dirsi davvero al sicuro finché anche il livello sottostante non completa la propria migrazione.
Non esiste, oggi, una catena che superi in modo netto tutte le cinque superfici, perché gli schemi vulnerabili restano in uso quasi ovunque nel settore. La differenza tra i progetti si misura piuttosto in due domande semplici: quanta parte dell’infrastruttura si appoggia già su hash resistenti, e quanto costerebbe migrare il resto senza congelare i fondi degli utenti. Bitcoin resta il caso più delicato, con milioni di coin custoditi in indirizzi che hanno già esposto la propria chiave pubblica e nessun meccanismo nativo per aggiornare gli account sottostanti: le uniche strade percorribili sarebbero un nuovo formato di indirizzo quantum-safe oppure, in ultima istanza, il congelamento di quanto resta esposto.
FAQ
In che modo i computer quantistici minacciano la sicurezza delle blockchain?
I computer quantistici possono violare alcuni schemi crittografici, come le firme a curva elliittica, riuscendo a derivare la chiave privata dalla chiave pubblica e a falsificare le firme.
Quali sono le principali aree crittografiche colpite dagli attacchi quantistici?
Le tre aree principali sono firme, crittografia e hashing, colpite in modo diverso da algoritmi quantistici come quelli di Shor e Grover.
Come possono proteggersi le blockchain dagli attacchi quantistici?
Migrando verso schemi crittografici post-quantum per firme e crittografia, adottando funzioni hash resistenti ai quantistici e utilizzando prove basate su hash come gli STARK.
Perché Starknet è considerata più resistente ai quantistici rispetto ad altre catene?
Perché utilizza prove a conoscenza zero basate su hash (STARK), intrinsecamente resistenti ai quantistici, e dispone di account programmabili che possono aggiornare le proprie firme senza bisogno di un hard fork del protocollo.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
