Coinbase custodisce circa il 5 percento di ogni bitcoin esistente e il 13 ottobre 2026 ha pubblicato quella che è la cosa più vicina a un piano di migrazione post-quantistica che Bitcoin abbia. Il post, intitolato "Lavorare insieme per la preparazione post-quantistica di BTC", non annuncia un soft fork, una scadenza o un nuovo tipo di indirizzo. Quello che fa è mettere sul tavolo un numero attorno a cui la comunità Bitcoin sta girando intorno da due anni. La ricerca interna di Coinbase stima una migrazione completa delle firme fino a sette anni. I computer quantistici più avanzati oggi hanno meno di 1.000 qubit fisici. Entrambi i fatti sono veri allo stesso tempo, e il divario tra loro è l'intero argomento.
La metà di ottobre 2026 era un momento ragionevole per fare quell'argomento. Bitcoin viene scambiato vicino a $82.000, gli ETF spot hanno appena registrato una seconda settimana consecutiva di deflussi e il mercato è concentrato sugli aumenti dei tassi della Fed e sui dati sui prezzi alla produzione. Nessuno sta prezzando il rischio quantistico. Coinbase dice che è proprio per questo che l'ingegneria dovrebbe iniziare ora, mentre è noiosa.
Cosa ha effettivamente proposto Coinbase
Il post è una lista di priorità, non una specifica. Coinbase lo inquadra esplicitamente come un documento di discussione piuttosto che un piano di migrazione approvato o una posizione aziendale finale. Tolte le cautele, restano sei posizioni concrete. Primo, separare il contenitore dalla serratura. Coinbase vuole che il tipo di output che detiene i fondi sia disaccoppiato dall'algoritmo di firma che autorizza la spesa. In questo modo uno schema di firma può essere aggiunto, sostituito o eseguito parallelamente a un altro senza ridisegnare l'intero output. Nomina due candidati che già offrono questo: Pay to Merkle Root, definito nel BIP 360, e un design indicato come P2TRv2.Secondo, wallet ibridi come ponte. Coinbase favorisce una configurazione a fasi in cui i wallet attivi passano a una costruzione 1 su 2. Le stesse monete ottengono due percorsi di spesa, uno autorizzato da una chiave ECDSA o Schnorr classica e uno da una chiave post-quantistica. Se mai comparisse un computer quantistico crittograficamente rilevante, il percorso classico viene disattivato e i fondi sono già protetti. Se non compare mai, non si è perso nulla.
A prima vista, terzo, scegliere schemi di firma con una rete di sicurezza. I candidati nominati sono ML DSA, SLH DSA, FN DSA e uno schema compatto chiamato SHRINCS. L'unica regola ferrea di Coinbase qui è che qualsiasi schema di firma stateful deve essere fornito con un fallback stateless. Perché un wallet che riutilizza lo stato di firma in uno schema stateful può rivelare abbastanza da falsificare le firme. Non è una preoccupazione teorica per un custode che esegue migliaia di operazioni di firma al giorno.
Quarto, deve funzionare con il calcolo multi-parte. La custodia istituzionale si basa su MPC, dove nessuna singola macchina detiene mai una chiave privata completa. Coinbase vuole almeno un'opzione post-quantistica che funzioni bene con MPC, altrimenti i maggiori detentori dell'ecosistema non possono migrare affatto.
Stranamente, quinto, deve stare nei blocchi ed essere verificabile da normali full node. Maggiori dettagli di seguito, perché è qui che vive il costo reale. Sesto, onestamente, le monete legacy hanno bisogno del loro percorso. Coinbase vuole che il dibattito sulle monete abbandonate e con chiavi perse proceda in parallelo all'ingegneria delle firme, non che la blocchi. Questo è un modo educato per dire che la questione politica più difficile in Bitcoin non dovrebbe essere autorizzata a bloccare il lavoro tecnico.
Quanti Bitcoin sono effettivamente esposti
Il numero che dà urgenza al piano proviene dal Quantum Advisory Council di Coinbase, che ha stimato il 21 aprile 2026 che circa 6,9 milioni di BTC si trovano in output in cui la chiave pubblica è già visibile sulla chain. Ai prezzi attuali si tratta di circa $570 miliardi. Il conteggio indipendente di Glassnode è risultato superiore a sei milioni, e analisi più vecchie si aggirano intorno ai 6,7 milioni, quindi la cifra non è un outlier di Coinbase.
Esposto non significa rubato. Significa che se mai esistesse una macchina in grado di eseguire l'algoritmo di Shor su larga scala, quelle monete potrebbero essere attaccate senza aspettare che il proprietario effettui una transazione. La ripartizione è importante perché ti dice chi è a rischio.
| Tipo di esposizione | Perché la chiave è visibile | BTC approssimativi | Il proprietario può risolvere |
|---|---|---|---|
| Output P2PK legacy | Ricompense coinbase dell'era Satoshi pagate direttamente a una chiave pubblica grezza | Circa 1,7 milioni | Solo spostando le monete, e la maggior parte si presume persa |
| Indirizzi riutilizzati | Spendere una volta rivela la chiave, e l'indirizzo continua a ricevere fondi | La maggior parte dei restanti 5 milioni e più | Sì, sposta su un indirizzo nuovo |
| Percorso chiave Taproot | La spesa rivela la chiave pubblica modificata | Quota crescente degli output recenti | Sì, P2MR rimuove completamente il percorso chiave |
| Indirizzi non spesi, mai riutilizzati | Solo l'hash è pubblico fino alla spesa | Tutto il resto | Vulnerabile solo durante la finestra tra broadcast e conferma |
La riga degli indirizzi riutilizzati è quella che dovrebbe mettere a disagio ogni exchange e operatore di casinò. I wallet caldi che spostano i depositi in una manciata di indirizzi di lunga durata sono il caso da manuale di chiavi esposte, e detengono fondi dei clienti piuttosto che stack dormienti di balene.
Perché sette anni quando i computer quantistici hanno meno di 1.000 qubit
Il divario hardware è reale. Il chip Willow di Google esegue 105 qubit fisici. Helios di Quantinuum ha riportato 98 qubit fisici che producono 48 qubit logici corretti per errori, che è l'attuale stato dell'arte per i qubit utilizzabili. Rompere la curva ellittica a 256 bit di Bitcoin richiede all'incirca tra 1.200 e 1.450 qubit logici secondo le stime più recenti.
Seriamente, ciò che è cambiato è il soffitto, non il pavimento. A marzo 2026 Google Quantum AI ha pubblicato stime delle risorse che pongono il requisito di qubit fisici per attaccare la crittografia a curva ellittica a 256 bit sotto i 500.000, circa 20 volte inferiore alla propria cifra del 2019. Il lavoro su architetture a atomi neutri e ioni intrappolati suggerisce che decine di migliaia potrebbero eventualmente essere sufficienti su quelle piattaforme, anche se nulla di tutto ciò è verificato nell'hardware. Una stima accademica del 2026 pone la probabilità di un computer quantistico crittograficamente rilevante a circa una su sei entro il 2035, salendo verso il 60 percento entro il 2050. Questi sono numeri di scenario, non previsioni, e Adam Back di Blockstream sostiene ancora che la minaccia pratica è a 20-40 anni di distanza.
Sette anni non è una previsione sull'hardware. È una previsione sulla governance di Bitcoin. Taproot ha impiegato circa quattro anni dalla proposta all'attivazione e il rollout del supporto ai wallet si è trascinato ben oltre. Un cambiamento post-quantistico tocca le regole di consenso, ogni libreria di wallet, ogni firmatario hardware, ogni stack MPC dei custodi e ogni sistema di deposito degli exchange. La cifra di Coinbase copre il supporto software, la pianificazione dei custodi e la migrazione delle chiavi utente, e si allinea perfettamente con la proposta complementare che già esiste.
BIP 360 e BIP 361 sono le due metà del piano
BIP 360 è stato unito al repository ufficiale dei BIP l'11 febbraio 2026. Definisce Pay to Merkle Root, un output in stile Taproot che si impegna solo su un albero di script e rimuove completamente la spesa del percorso chiave. Ogni spesa rivela una foglia di script e una prova di Merkle, mai una chiave pubblica nuda che resta esposta fino al blocco successivo. Gli indirizzi probabilmente inizierebbero con bc1z. Preserva multisig, timelock e configurazioni di eredità tramite Tapscript, ed è esattamente il contenitore flessibile che Coinbase sta chiedendo.
Ciò che BIP 360 non fa è aggiungere una firma post-quantistica. ECDSA e Schnorr restano. Le monete esistenti non migrano da sole. Esiste un'implementazione testnet, ma Bitcoin Core non ne ha unito nessuna parte e non c'è alcun programma di attivazione.
BIP 361, co-autore Jameson Lopp e altri cinque, è la metà dell'applicazione, ed è di gran lunga più controverso. Propone tre fasi. Circa tre anni dopo l'attivazione di BIP 360, i nuovi pagamenti verso tipi di indirizzo legacy verrebbero rifiutati. Circa due anni dopo, le firme legacy diventerebbero invalide, il che congela qualsiasi moneta che non si sia mossa. Una terza fase, ancora solo un'idea di ricerca, permetterebbe ai detentori bloccati di recuperare fondi attraverso prove a conoscenza zero di proprietà. Lopp stesso ha detto che la proposta non è attualmente in una posizione tale da essere adottata, e Back si oppone a qualsiasi sunset forzato. Aggiungi i tre più due anni di BIP 361 a una pista di attivazione realistica e arrivi ai sette di Coinbase.
Il problema dello spazio nei blocchi che nessuno vuole prezzare
Questa è la parte del piano che influisce direttamente su ciò che paga ogni utente. Le firme post-quantistiche sono enormi rispetto alle firme Schnorr da 64 byte che Bitcoin usa oggi, e il modello di peso di Tapscript è tarato esattamente su quella dimensione di 64 byte. CryptoCasino.Vegas ha compilato i parametri pubblicati per ogni schema candidato nominato da Coinbase per mostrare la scala del problema.| Schema di firma | Tipo | Dimensione firma | Multiplo di Schnorr | Compromesso |
|---|---|---|---|---|
| Schnorr (attuale) | Curva ellittica | 64 byte | 1x | Vulnerabile al quantistico |
| FN DSA 512 (Falcon) | Reticolo | 666 byte | Circa 10x | Opzione più piccola, più difficile da implementare in sicurezza |
| ML DSA 44 (Dilithium) | Reticolo | 2.420 byte | Circa 38x | Standard NIST, maturo, grande |
| ML DSA 65 | Reticolo | Circa 3.309 byte | Circa 52x | Livello di sicurezza più alto favorito in una bozza di BIP |
| SLH DSA (SPHINCS+) | Basato su hash | 7.856 - 49.856 byte | 120x - 780x | Sicurezza più conservativa, impronta peggiore |
Le commissioni sono la conseguenza per i giocatori. Una rete Bitcoin in cui ogni transazione è da 10 a 50 volte più pesante è una rete in cui i prelievi on-chain costano di più e si confermano più lentamente. E questo spinge ancora più volume di regolamento dei casinò su Lightning o su altre chain.
Come Bitcoin si confronta con Ethereum e Solana
Bitcoin non è il più indietro, ma ha il problema di coordinamento più difficile. La fondazione Ethereum punta alla piena protezione post-quantistica entro la fine del 2029, con l'astrazione dell'account EIP 8141 contrassegnata come must ship per l'aggiornamento Hegotá. L'astrazione dell'account consente ai wallet di scambiare firme basate su hash o reticolo senza un hard fork, che è un vantaggio strutturale che Bitcoin semplicemente non ha. La risposta di Solana finora è il Winternitz Vault, un wallet a firma monouso opt-in da gennaio 2025 che gli utenti devono scegliere attivamente, senza alcun piano a livello di rete annunciato da allora.
NIST ha finalizzato ML DSA e SLH DSA nell'agosto 2024 e intende rimuovere gli algoritmi vulnerabili al quantistico dagli standard federali entro il 2035. Quella data sta facendo molto lavoro silenzioso in ogni roadmap delle chain. L'obiettivo 2029 di Ethereum si colloca sei anni prima. La finestra di sette anni di Coinbase, iniziata oggi, cade nel 2033. Il problema di Bitcoin è che nessuno può avviare il cronometro unilateralmente.
Cosa significa se detieni o giochi con Bitcoin
Niente nel post di Coinbase cambia qualcosa riguardo alle tue monete quest'anno o il prossimo. Non c'è voto di attivazione, nessuna scadenza e nessun software da scaricare. I takeaway pratici sono più piccoli e più immediati.
Smetti di riutilizzare gli indirizzi. Questa è sempre stata una buona igiene e ora è la singola cosa più importante che separa i 6,9 milioni di BTC esposti da tutto il resto. Un indirizzo nuovo per ogni deposito mantiene la tua chiave pubblica nascosta fino al momento in cui spendi. Tieni presente, guarda dove si posiziona il tuo custode. Coinbase sta preparando i propri sistemi e lo dice. Exchange più piccoli e operatori di gioco d'azzardo che eseguono sweep in wallet caldi di lunga durata sono l'anello debole. E quando il supporto ai wallet post-quantistici sarà disponibile, saranno loro a dover migrare per primi e più velocemente. Le piattaforme costruite sul regolamento automatizzato, CryptoCasino.Vegas tra queste, dovranno aggiungere il supporto agli output post-quantistici nel momento in cui le librerie dei wallet lo esporranno. Perché un wallet caldo con una chiave riutilizzata è esattamente il bersaglio per cui questo piano è stato scritto.
Aspettati che la lotta sulle monete legacy diventi più rumorosa. L'unica domanda viva nella politica post-quantistica di Bitcoin è se le monete non migrate vengano congelate, limitate nel tasso o lasciate a chi costruirà per primo la macchina quantistica. Coinbase deliberatamente non ha preso posizione. Tutti gli altri lo faranno, e quel dibattito, non l'hardware, è ciò che decide se sette anni sono ottimistici.
