La corsa da 7 miliardi di dollari per salvare le criptovalute dai computer quantistici

Nonostante le voci e il terrorismo psicologico, i computer quantistici sono ancora lontani anni dal minacciare i sistemi finanziari odierni. Ma il costo per prepararsi a loro sta già diventando reale

A marzo, i ricercatori di Google hanno stimato che un computer quantistico sufficientemente avanzato potrebbe rompere la crittografia a curva ellittica a 256 bit, ampiamente utilizzata, in pochi minuti. Questo è lo stesso livello di crittografia utilizzato dai portafogli crypto, dai sistemi di custodia, dalle firme blockchain e gran parte dell'infrastruttura di sicurezza utilizzata dalle istituzioni finanziarie.

Anche se il Q-Day potrebbe non essere domani, i governi hanno iniziato a pianificare. Perché il rischio è troppo grande per essere ignorato. Gli Stati Uniti stanno stanziando miliardi di dollari per spostare i sistemi federali verso nuovi standard post-quantistici, mentre il NIST vuole che gli algoritmi vulnerabili siano eliminati entro il 2035.

La transizione è molto più difficile per le crypto. Attivi del valore di miliardi possono rimanere intatti per decenni, vecchi portafogli potrebbero non essere mai aggiornati e i sistemi di custodia istituzionali sono stati costruiti attorno a una crittografia che si prevede i computer quantistici possano rompere.

BeInCrypto ha parlato con esperti di BitGo, Nethermind e della comunità crittografica su cosa comporterà effettivamente quella migrazione — e chi finirà per pagarlo.

Il Rischio Quantistico Per i Giganti Istituzionali delle Crypto

Tutti e tre gli esperti intervistati concordano sulla stessa cosa. Le istituzioni hanno bisogno di un registro completo di dove viene utilizzata la crittografia vulnerabile, inclusi i sistemi di firma, l'hardware, le procedure di recupero, l'autenticazione e le chiavi a lungo termine.

Nigel Smart, che ha un dottorato in Teoria dei Numeri Computazionali, descrive questo come un Bilancio dei Materiali Criptografici.

“

NIST colloca in modo simile la scoperta e la priorità vicino all'inizio del processo di transizione.

Per Akshay Thakur di BitGo, la custodia istituzionale introduce un altro requisito critico.

“La custodia istituzionale si basa sulla firma a soglia; la chiave non viene mai assemblata in un unico luogo. NIST ha standardizzato per semplicità di implementazione, compattezza e conservatorismo. La soglia non era una priorità standardizzata. Falcon, che Solana, Algorand e ora TRON hanno tutti adottato, non ha oggi una costruzione a soglia valida. È un problema di ricerca aperto.”

NIST ha aperto la sua prima chiamata formale per schemi a soglia multi-party nel gennaio 2026, mentre la ricerca presentata al suo workshop MPTS ha trovato severe penalità di efficienza per la firma a soglia con firme basate su hash standard.

Nitin Gaur di Nethermind, un'azienda di ingegneria specializzata in Infrastruttura Blockchain, afferma che lo stesso problema si estende ai sistemi aziendali.

“Inventario criptografico in tutto il patrimonio: ogni uso di RSA, ECC e Diffie-Hellman in TLS, emissione di JWT, firma del codice, radici CA, autenticazione API, firmware. Rappresenta dal dieci al quindici per cento del costo del programma e il cento per cento del percorso critico.”

Firme più grandi, costi più elevati

La sicurezza post-quantistica comporta chiavi e firme sostanzialmente più grandi. Il ML-DSA-65 del NIST utilizza una firma di 3.309 byte e una chiave pubblica di 1.952 byte, mentre le firme comunemente usate basate su curve ellittiche sono misurate in decine di byte. Alcune varianti SLH-DSA raggiungono decine di kilobyte.

Sulle blockchain, più byte significano un maggiore utilizzo della larghezza di banda, requisiti di archiviazione più elevati e potenzialmente costi più alti.

Per le reti proof-of-stake, Nigel Smart sottolinea anche la difficoltà di aggregare in modo efficiente le firme post-quantistiche standardizzate.

“Le firme post-quantistiche possono essere sostanzialmente più grandi delle firme odierne, aumentando la larghezza di banda, l'archiviazione e l'overhead di verifica. Nel settore delle blockchain, abbiamo bisogno di firme (per il livello di consenso nelle blockchain proof-of-stake) che possano essere facilmente aggregate (cosa attualmente non banale con le firme post-quantistiche standardizzate).

Thakur si aspetta che il costo per l'utente si manifesti fortemente al momento della firma, poiché payload più grandi passano attraverso protocolli multiparty e aggiungono latenza.

I periodi ibridi, in cui le firme classiche e post-quantistiche funzionano insieme, possono ulteriormente aumentare questi costi.

Il problema della custodia

La custodia istituzionale è stata costruita attorno alla crittografia a curva ellittica, con MPC, moduli di sicurezza hardware, procedure di recupero e sistemi di approvazione progettati di conseguenza. Cambiare la firma richiede quindi ai custodi di rivalutare gran parte del sistema di controllo attorno alla chiave.

Gaur afferma che l'MPC di per sé non offre resistenza quantistica.

“MPC distribuisce il calcolo ma non cambia l'algoritmo: ECDSA con soglia tra cinque parti è ancora ECDSA. Un computer quantistico deriva la chiave privata dalla chiave pubblica da solo, quindi non ha bisogno di compromettere alcuna parte e non si preoccupa di quante ce ne siano. Ogni dollaro speso per distribuire fiducia tra i firmatari non acquista esattamente alcuna resistenza quantistica, e questo non è ben compreso all'interno delle istituzioni che credono che la loro custodia sia all'avanguardia.”

Nigel Smart afferma che alcuni dei sistemi più difficili da aggiornare saranno i portafogli, l'infrastruttura di custodia e i contratti intelligenti che controllano già gli asset.

Bitcoin mostra perché il tempo è importante. Un rapporto di giugno 2026 ha stimato che circa 1,7 milioni di BTC si trovano ancora in indirizzi precoci dove le chiavi pubbliche sono già esposte.

Molte di quelle monete potrebbero non muoversi mai, lasciandole vulnerabili se i computer quantistici diventano abbastanza potenti prima che la rete completi la sua migrazione.

Chi paga per la migrazione?

Smart si aspetta che la responsabilità sia divisa tra sviluppatori di protocollo, custodi, fornitori di servizi e proprietari di asset, poiché ogni gruppo controlla una parte diversa della migrazione.

Gaur invece sostiene un budget centrale con proprietà senior.

“Finanziato centralmente, di proprietà del CISO, approvato dal CFO, programma pluriennale, governato come Y2K e LIBOR. Nessuna linea di business offrirà un budget per un programma senza entrate e senza clienti che chiedono, e finanziato in quel modo non accadrà.”

Le blockchain pubbliche sono più difficili da governare perché non esiste un unico titolare di budget in grado di costringere ogni partecipante ad aggiornarsi. Un custode può sostituire i propri sistemi di firma, ma non può costringere i proprietari di asset dormienti a spostare fondi o imporre cambiamenti di consenso su un'intera rete.

La sicurezza di Internet dimostra che grandi migrazioni possono comunque iniziare presto. Entro aprile 2026, Cloudflare ha riportato che più di due terzi del traffico TLS generato da esseri umani che raggiunge la sua rete utilizzava già protezione post-quantistica.

Un costo non valutato

La crittografia manca ancora di una stima credibile a livello di settore. Thakur ha delineato dove è probabile che ricadano i costi maggiori.

“La maggior parte del costo non è la crittografia. È l'inventario e la mappatura delle dipendenze. È hardware che non può essere aggiornato e deve essere sostituito. È l'esecuzione di sistemi classici e post-quantistici in parallelo mentre dimostri che il nuovo preserva ogni controllo. È la ri-auditing e la ri-certificazione. E c'è una categoria senza precedenti in qualsiasi migrazione crittografica precedente: pagare le commissioni di transazione on-chain per spostare asset, a dimensioni di firma post-quantistica, su catene dove quelle firme più grandi hanno a loro volta aumentato le commissioni.”

Nigel Smart ha commentato la tempistica per tale migrazione.

“La transizione probabilmente richiederà anni piuttosto che mesi, rendendo preferibili l'inventario anticipato, i test e la migrazione graduale rispetto a un aggiornamento dell'ultimo minuto. Tuttavia, molti governi e grandi aziende hanno anticipato i loro tempi di transizione in modo piuttosto aggressivo negli ultimi mesi.”

Le date forniscono già alle istituzioni abbastanza informazioni per pianificare il budget. Ethereum punta a protezioni fondamentali post-quantistiche intorno al 2029, mentre il programma di transizione del NIST si estende fino al 2035.

L'incertezza risiede nel momento in cui arriverà l'hardware quantistico rilevante dal punto di vista crittografico, mentre i cicli di approvvigionamento, la sostituzione dell'hardware e la riprogettazione della custodia operano già su tempistiche misurate in anni.

Fonte: BeInCrypto