Crittografia doppia post-quantistica:
Perché nemmeno i computer quantistici fotonici riescono a rompere SynergyX

📅 Ultimo aggiornamento: 2 agosto 2026

C'è una bugia che circola nei circoli crittografici - la bugia comoda - e funziona così: "Quando arriveranno i computer quantistici, tutte le criptovalute moriranno allo stesso modo."

Sembra giusto. Democratico, addirittura. Annegano tutti insieme, quindi nessuno deve preoccuparsene in questo momento.

È sbagliato. Provabilmente, matematicamente, irrevocabilmente sbagliato.

Non tutta la crittografia si basa sugli stessi presupposti matematici. Non tutte le serrature vengono scassinate con la stessa chiave. E non tutte le blockchain sono state costruite da persone che hanno capito la differenza. SynergyX è stato costruito da persone che hanno capito la differenza, che l'hanno compresa così profondamente da implementarla due sistemi crittografici post-quantici indipendenti contemporaneamente, dal blocco genesi 1, prima che una singola moneta fosse estratta, prima che esistesse un unico portafoglio, prima che ci fosse qualcuno da impressionare.

Nessun’altra criptovaluta sulla Terra fa questo.

Non Bitcoin. Non Ethereum. Non Solana. Non Monero. Non Cardano. Non Algorand. Nessuno di loro esegue la doppia crittografia post-quantistica standardizzata NIST in produzione, sulla rete principale, dal primo blocco. Lo facciamo. L'abbiamo fatto. E questo articolo esiste per mostrarti – con la matematica, non con il marketing – esattamente perché questo è importante, e perché anche i computer quantistici fotonici più avanzati in costruzione proprio ora si infrangeranno contro le nostre pareti come onde contro la pietra.

Cosa significa realmente "doppio post-quantico"

La maggior parte delle persone nel mondo delle criptovalute sente parlare di "resistente ai quanti" e pensa che significhi una cosa. Un algoritmo. Uno strato. Una casella di controllo.

SynergyX non ha un livello. Ne ha due e sono matematicamente indipendenti:

Questi due sistemi proteggono cose diverse. Kyber-768 protegge scambio di chiavi — il processo mediante il quale due parti stabiliscono un segreto condiviso senza che un intercettatore possa dedurlo. SPHINCS+ protegge autorizzazione alla transazione - la prova crittografica che tu, e solo tu, hai approvato una spesa.

Per rubare da un portafoglio SynergyX, un utente malintenzionato deve violarlo Entrambi. Nemmeno uno. Entrambi. Contemporaneamente. Due sistemi costruiti su presupposti matematici di durezza completamente diversi, standardizzati indipendentemente da NIST, senza modalità di guasto condivisa.

Se una svolta miracolosa sconfiggesse la crittografia a reticolo, SPHINCS+ sarebbe ancora valido, perché non utilizza reticoli. Se una svolta miracolosa sconfigge le firme basate su hash, Kyber-768 continua a reggere, perché non utilizza hash tree per la sua sicurezza principale. La probabilità che cadano entrambi contemporaneamente è il prodotto di due probabilità indipendenti vicine allo zero.

Questa non è sicurezza. Questa è paranoia elevata ad architettura. E la paranoia, in crittografia, è una virtù.

La minaccia fotonica: PsiQuantum e il nuovo hardware quantistico

Alle aziende piace PsiQuantum stanno costruendo qualcosa di diverso da quello che hanno fatto IBM e Google. Invece di qubit superconduttori raffreddati quasi allo zero assoluto, PsiQuantum utilizza calcolo quantistico fotonico — codificare l'informazione quantistica nelle particelle di luce.

I vantaggi sono reali: i fotoni non necessitano di raffreddamento millikelvin. Possono essere fabbricati utilizzando la fabbricazione convenzionale di semiconduttori. Viaggiano alla velocità della luce attraverso le fibre ottiche. Obiettivi dell'architettura di PsiQuantum milioni di qubit fisici - ben oltre il ~2.500 qubit fisici che oggi funziona il miglior hardware quantistico pubblico, nessuno dei quali è tollerante ai guasti su larga scala.

Ed ecco la parte che nessuno vuole venga stampata: non hai bisogno di milioni. L'analisi di marzo 2026 di Google Quantum AI di secp256k1 - la curva esatta con cui Bitcoin e Ethereum firmano - pone il colpo mortale a Da 1.200 a 1.450 qubit logici, inseriti in meno di 500.000 qubit fisici e completati in pochi minuti. Non decenni. Non giorni. Minuti. Il livello è sempre stato molto più basso di quanto ammesso dalle stime confortanti.

Sembra terrificante. Dovrebbe, se hai in mano Bitcoin o Ethereum.

Ma ecco cos'è il calcolo quantistico fotonico In realtà cambiamenti e di cosa si tratta no:

Un computer quantistico fotonico lo è un'auto più veloce sulla stessa strada. Non costruisce una nuova strada. Non sblocca una nuova destinazione. L'algoritmo di Shor su un computer quantistico fotonico risolve esattamente gli stessi problemi dell'algoritmo di Shor su un computer quantistico superconduttore: semplicemente li risolve potenzialmente più velocemente, con meno vincoli ingegneristici.

E l'algoritmo di Shor non risolve i problemi del reticolo.

Questa non è un'affermazione. Questa non è speranza. Questa è una prova matematica data dalla struttura dell'algoritmo stesso. Apriamolo.

Perché l'algoritmo di Shor è irrilevante per SynergyX: la matematica

L'algoritmo di Shor raggiunge una velocità esponenziale esattamente per due problemi:

1. Fattorizzazione degli interi: Dato N = p × q, trovare p e q
2. Logaritmo discreto: Dato g, g^x mod p, trova x

Entrambi i problemi hanno una struttura matematica speciale: sono periodici. L'algoritmo di Shor funziona utilizzando la trasformata quantistica di Fourier (QFT) per rilevare il periodo nascosto nell'esponenziazione modulare. Una volta trovato il periodo r in f(x) = a^x mod N, i fattori di N cadono attraverso il calcolo GCD classico.

Questo è il motivo per cui l'algoritmo di Shor annienta RSA, ECDSA e ogni schema di curva ellittica. Il problema del logaritmo discreto della curva ellittica - dati i punti P e Q = kP su una curva ellittica, trovare k - ha la stessa struttura periodica sfruttata dalla QFT.

Bitcoin utilizza ECDSA. La chiave privata k può essere derivata dalla chiave pubblica Q = kP in circa O(n³) operazioni quantistiche, dove n è la lunghezza della chiave in bit. Per le chiavi a 256 bit di Bitcoin, sono circa 2²⁴ ≈ 16,7 milioni di operazioni quantistiche logiche. Banale per un computer quantistico rilevante dal punto di vista crittografico.

Ethereum utilizza ECDSA. Stessa vulnerabilità. Stessa matematica. Stessa condanna a morte.

Ora guarda cosa utilizza SynergyX.

Kyber-768: Il problema del modulo-LWE

La sicurezza di Kyber-768 si basa su Apprendimento del modulo con errori (Modulo-LWE) - in parole povere, nasconde un messaggio segreto all'interno di un sistema di equazioni approssimative con piccoli errori deliberati, così che anche conoscendo le equazioni, estrarre il segreto è come trovare un granello di sabbia esatto in un deserto di granelli quasi identici. Ecco cosa deve risolvere un utente malintenzionato:

Per Kyber-768, k = 3. Il reticolo sottostante opera su un anello polinomiale di grado 256, fornendo un dimensione reticolare effettiva di 768 (3 × 256).

Non esiste un algoritmo quantistico che risolva Module-LWE con accelerazione esponenziale. Nessuno. Il motivo è strutturale:

Module-LWE non ha una struttura periodica. Non esiste un periodo nascosto che la trasformata quantistica di Fourier possa trovare. Il vettore "errore". e – il piccolo rumore immesso nel calcolo – crea una nebbia probabilistica attorno alla soluzione esatta che nessuna misurazione quantistica può eliminare. L'approccio quantistico più vicino è ridurre Module-LWE a Problema del vettore più breve (SVP) su un reticolo e applicare algoritmi di setacciatura del reticolo quantistico.

Il problema del vettore più breve: perché rimane duro

Il problema del vettore più corto (SVP): immagina una griglia infinita e perfettamente regolare di punti che si estende attraverso centinaia di dimensioni; SVP ti chiede di trovare i due punti più vicini in quella griglia, un compito che diventa esponenzialmente più difficile all'aumentare delle dimensioni. Formalmente: data una base B = {b₁, ..., b_n} di un reticolo L ⊂ Rⁿ, trova il vettore diverso da zero più corto v ∈ L tale che ‖v‖ sia minimizzato.

Per la dimensione reticolare effettiva di Kyber-768 pari a n = 768:

Mettiamone 2²⁰⁴ in prospettiva. Supponiamo che PsiQuantum raggiunga il suo obiettivo di costruire un computer quantistico fotonico 1 milione di qubit logici operante a 1GHz (10⁹ operazioni al secondo) – una macchina ben oltre qualsiasi cosa esista o si prevede che esista in questo decennio.

Anche se hai costruito un trilione di questi ipotetici computer quantistici fotonici e farli funzionare in parallelo dall’inizio dei tempi, ne avresti ancora bisogno 5.9 × 10²² più vite dell’universo per crackare una singola chiave Kyber-768.

Questa non è sicurezza attraverso l'oscurità. Questa è la sicurezza attraverso la matematica. E alla matematica non interessa se i tuoi qubit sono fatti di fotoni, superconduttori, ioni intrappolati o preghiere a un falso dio.

SPHINCS+: Il Secondo Muro di cui non sanno nemmeno

Ora immagina, attraverso qualche miracolo che viola tutto ciò che sappiamo sulla teoria della complessità computazionale, che un utente malintenzionato rompa Kyber-768. Hanno il segreto condiviso. Possono leggere il tuo scambio di chiavi.

Non possono ancora spendere le tue monete.

Ogni transazione SynergyX è firmata con SPHINCS+ (SLH-DSA), uno schema di firma digitale basato su hash che opera su basi matematiche completamente diverse rispetto a Kyber-768. SPHINCS+ non utilizza affatto reticoli. Non utilizza curve ellittiche. Non utilizza il factoring. La sua sicurezza si basa su una cosa:

La resistenza alle collisioni delle funzioni hash.

Una firma SPHINCS+ è un percorso di autenticazione dell'albero Merkle: una catena di calcoli hash che dimostra che possiedi la chiave privata senza rivelarla. Per falsificare una firma SPHINCS+, un utente malintenzionato deve trovare un file collisione di hash: due input diversi che producono lo stesso output hash.

Il miglior attacco quantistico contro le funzioni hash è Algoritmo di Grover, che fornisce un'accelerazione quadratica per la ricerca non strutturata. Rispetto ad una funzione hash con output a n bit, l'algoritmo di Grover riduce lo spazio di ricerca da 2ⁿ a 2^n/2.

L'algoritmo di Grover presenta un'altra limitazione che viene raramente menzionata: non parallelizza in modo efficiente. A differenza della classica forza bruta in cui l'utilizzo di 1.000 computer per risolvere un problema ti dà una velocità di 1.000×, l'accelerazione parallela di Grover è solo la radice quadrata. Un milione di computer quantistici che eseguono Grover in parallelo ti danno una velocità di 1.000 volte, non di un milione di volte. La struttura dell'algoritmo resiste fondamentalmente al tipo di attacco massivamente parallelo che le architetture quantistiche fotoniche consentirebbero.

Costruire un milione di computer quantistici fotonici per attaccare SPHINCS+ riduce il problema da 2¹²⁸ a circa 2¹¹⁸ operazioni. Ancora irrealizzabile. Richiede ancora più energia di quanta il sole ne produrrà nella sua vita rimanente.

Il compromesso onesto: Le firme SPHINCS+ sono 7.856 byte, circa 109 volte più grandi dei ~72 byte utilizzati dalle catene legacy di firme ECDSA. Non è gratuito. Ogni transazione SynergyX trasporta più dati di una transazione crittografica classica e tale peso influisce sul throughput grezzo. Lo sapevamo. Abbiamo scelto la sicurezza rispetto ai benchmark TPS vanity. Ma il costo è pianificato, non sconsiderato: il consenso a doppio strato Synergy Sea di SynergyX separa completamente l'elaborazione delle transazioni dalla produzione di blocchi, raggiungendo una finalità inferiore al secondo indipendentemente dalla dimensione della firma. Le firme vengono verificate una volta, memorizzate nella cache e mai ritrasmesse dopo la conferma. In pratica, il sovraccarico di 7,8 KB per transazione scompare in un’architettura di consenso progettata attorno ad esso, non adattata per tollerarla. L'armatura più grande è più pesante. Abbiamo costruito un telaio più resistente per trasportarlo.

L'argomento dell'indipendenza: perché due > uno

Ecco il punto che nessun altro progetto di criptovaluta capisce - o se lo capiscono, non hanno l'architettura per implementarlo:

Kyber-768 e SPHINCS+ non hanno dipendenze matematiche condivise.

Affinché un utente malintenzionato possa rubare da un portafoglio SynergyX, deve:

1. Interrompere Module-LWE per compromettere l'incapsulamento della chiave E
2. Crea una firma basata su hash SPHINCS+ per autorizzare la transazione

La probabilità che entrambi i sistemi falliscano è:

Confrontalo con tutte le altre principali criptovalute:

Zero strati quantistici non è una posizione di partenza. Si tratta di una condanna a morte con data di esecuzione differita. Uno strato sarebbe responsabile. Due strati – due strati indipendenti, standardizzati NIST e matematicamente ortogonali – è ciò che costruisci quando capisci che il nemico che non puoi vedere è quello per cui devi prepararti maggiormente.

Come funzionano realmente i qubit fotonici e perché non aiutano

Andiamo nello specifico riguardo alla fisica, perché la specificità è il luogo in cui la vaga paura si trasforma in comprensione concreta.

In un computer quantistico fotonico, l’informazione quantistica è codificata negli stati quantistici dei singoli fotoni – particelle di luce. Le due principali strategie di codifica sono:

• Codifica a doppia guida: Un singolo qubit è rappresentato da un fotone che si trova in uno dei due percorsi ottici. |0⟩ = fotone nel percorso A, |1⟩ = fotone nel percorso B. Sovrapposizione = fotone in entrambi i percorsi contemporaneamente.
• Codifica a stato compresso: Le informazioni quantistiche vengono codificate nelle proprietà variabili continue della luce (quadrature di ampiezza e fase), quindi misurate per creare qubit efficaci.

Le porte quantistiche vengono implementate utilizzando divisori di raggi (che creano sovrapposizione), sfasatori (che ruotano gli stati dei qubit) e rilevatori di fotoni (che eseguono la misurazione). L'entanglement multi-qubit si ottiene attraverso porte di fusione — operazioni probabilistiche che intrecciano due qubit fotonici interferendoli su un divisore di fascio e rilevando un fotone.

Il limite fondamentale: perdita di fotoni. Ogni componente ottico assorbe o disperde alcuni fotoni. Ogni porta di fusione ha una probabilità di fallimento. L'architettura di PsiQuantum affronta questo problema attraverso la correzione degli errori topologici e la ridondanza, utilizzando molti qubit fotonici fisici per codificare ciascun qubit logico.

Ma nulla di tutto ciò cambia ciò che i qubit logici do una volta che esistono. Un qubit logico è un qubit logico. Che sia costruito con circuiti superconduttori, ioni di itterbio intrappolati, centri di azoto vacanti nel diamante o fotoni che rimbalzano attraverso guide d'onda di silicio, esegue le stesse operazioni logiche quantistiche. Esegue gli stessi algoritmi.

Il fotone è il mezzo. L'algoritmo è l'arma. E l'arma non funziona contro i reticoli.

Un computer quantistico fotonico che esegue l'algoritmo di Shor contro Kyber-768 è come consegnare un grimaldello a qualcuno che sta di fronte a un muro. Non c'è serratura. La struttura matematica sfruttata dall'algoritmo di Shor - la periodicità nell'aritmetica modulare - non esiste in Module-LWE. L'algoritmo restituisce spazzatura. Non "risultati lenti". Non "risultati parziali". Spazzatura. La domanda che sa porre non è la domanda a cui occorre rispondere.

Il paesaggio reticolare: una fortezza dimensionale

La crittografia basata su reticoli si basa su un problema che gli esseri umani studiano da quando Carl Friedrich Gauss formalizzò la riduzione dei reticoli nel 1801. Duecentoventicinque anni di esame matematico. Il problema del vettore più corto si è dimostrato NP-difficile con riduzioni randomizzate. È noto che il problema del vettore più vicino è NP-difficile.

Kyber-768 non utilizza solo un reticolo arbitrario. Utilizza a reticolo strutturato su anelli polinomiali - in particolare l'anello ciclotomico R_q = Z_q[X]/(X²⁵⁶ + 1) con q = 3329. Il rango del modulo k = 3 dà una dimensione effettiva di 768.

Visualizza questo: immagina una griglia di punti nello spazio a 768 dimensioni. Ogni punto è un vettore reticolare. I punti sono abbastanza vicini tra loro che il rumore - il piccolo vettore di "errore" in LWE - rende impossibile determinare da quale punto del reticolo proviene un campione rumoroso. Trovare il punto reticolare corretto è il problema del vettore più vicino. Trovare la distanza più breve tra due punti qualsiasi del reticolo è il problema del vettore più breve.

In due dimensioni, questi problemi sono banali. In dieci dimensioni, sono difficili. Nelle dimensioni 768, sono così lontani dalla portata computazionale che i numeri cessano di avere significato fisico.

Abbiamo scelto 768, non 512, non 1024. Perché? Perché 768 fornisce sicurezza NIST di livello 3 (equivalente a AES-192) contro gli avversari quantistici mantenendo una dimensione della chiave e un profilo prestazionale che funziona in una blockchain live confermando transazioni reali in meno di un secondo. Non abbiamo scelto il minimo che potrebbe funzionare. Non abbiamo scelto il massimo per vantarci. Abbiamo scelto la dimensione che sceglierebbe un ingegnere crittografico responsabile: quella che bilancia la paranoia con la praticità.

Ecco come appare l'ingegneria quando non si tratta di codifica delle vibrazioni.

La minaccia Harvest-Now-Decrypt-Later

C'è qualcosa che il pubblico generale delle criptovalute non capisce e le agenzie di intelligence capiscono molto bene: non è necessario un computer quantistico oggi per beneficiarne uno domani.

La NSA, il GCHQ e tutte le agenzie di intelligence dei segnali sulla Terra stanno eseguendo ciò che i crittografi chiamano Raccogli ora, decifra più tardi strategia. Oggi registrano le comunicazioni crittografate (sessioni TLS, tunnel VPN, e-mail crittografate) e le archiviano. Petabyte di dati risiedono in strutture come la Centro dati dello Utah (il complesso di stoccaggio da 1,5 miliardi di dollari della NSA a Bluffdale, Utah), in attesa del giorno in cui un computer quantistico potrà decrittografarli retroattivamente.

Ogni transazione Bitcoin mai trasmessa viene registrata su una blockchain pubblica. Ogni transazione Ethereum. Ogni transazione Solana. Le chiavi pubbliche sono proprio lì. Quando arriva un computer quantistico sufficiente – fotonico, superconduttore o altro – quelle chiavi pubbliche memorizzate diventano chiavi private. Retroattivamente. Permanentemente. Per ogni indirizzo che abbia mai inviato una transazione.

Le transazioni SynergyX utilizzano l'incapsulamento della chiave Kyber-768. Anche se ogni transazione trasmessa sulla rete SynergyX fosse registrata e archiviata da un avversario, un futuro computer quantistico fornirà nessun percorso da quei dati registrati alle chiavi private. Il problema del Modulo-LWE rimane difficile sia che lo si tenti oggi o tra cento anni. La struttura matematica non invecchia. Non si indebolisce. Il passare del tempo è irrilevante per quanto riguarda la difficoltà di trovare il vettore più corto in un reticolo a 768 dimensioni.

Questa non è una preoccupazione teorica. Questa è dottrina attiva. Da allora la NSA raccomanda pubblicamente la migrazione alla crittografia post-quantistica 2015. NIST ha finalizzato gli standard in 2024. Ogni grande governo ha una cronologia della migrazione quantistica.

Eppure le due più grandi criptovalute sulla Terra utilizzano ancora lo stesso schema di curve ellittiche di allora motivo sono state create queste tempistiche di migrazione.

Questo non è stato costruito da un comitato

C'è una differenza tra un progetto che parla di resistenza quantistica e un progetto che navi crittografia post-quantistica doppia dal blocco 1.

Non abbiamo aspettato una chiamata di consenso. Non abbiamo presentato un EIP e abbiamo aspettato tre anni per i commenti. Non abbiamo assunto un "consulente quantistico" per scrivere un post sul blog. Leggiamo i giornali. Abbiamo studiato gli algoritmi di riduzione del reticolo. Abbiamo implementato Kyber-768 e SPHINCS+ nel codice di produzione. L'abbiamo testato. L'abbiamo rotto. L'abbiamo risolto. L'abbiamo rotto di nuovo. L'abbiamo risolto di nuovo. Abbiamo eseguito test contraddittori interni e campagne di red-team contro gli indirizzi del nostro portafoglio con 24 core CPU cercando di forzarli brutalmente, e abbiamo osservato i calcoli: 340.000 tentativi al secondo contro uno spazio di chiavi più grande del numero di atomi nell'universo osservabile. Una taglia pubblica per insetti è aperta contro la stessa superficie. Un audit completamente indipendente è previsto al primo halving, quando si apre la fonte: legata all'altezza del blocco, non una vaga affermazione al passato che nessuno può verificare.

SynergyX è costruito da un collettivo di ricercatori crittografici, ingegneri di sistemi quantistici e programmatori con tre decenni di esperienza nella produzione. Nessun elenco è pubblicato e nessuno lo sarà. Un nome è una superficie di attacco - le squadre nominate vengono citate in giudizio, sotto pressione, acquistate e doxxate. Il fondatore firma come Quartz Dust#1.

Non c’era nessuna ICO. Nessuna pre-mina. Nessun capitale di rischio. Nessuna allocazione del fondatore. Nessuna chiave amministratore. Nessuna backdoor. Nessun fondo fiduciario. Il portafoglio dello sviluppatore è pubblico e deliberatamente non privato, elencato nella rubrica di ogni portafoglio e aperto sul Block Explorer, quindi niente di tutto ciò richiede di fidarsi della parola di nessuno. Non avevamo niente in tasca quando abbiamo iniziato, tranne la consapevolezza che le basi crittografiche di tutte le principali blockchain sulla Terra erano costruite su presupposti matematici che stavano per scadere.

Abbiamo costruito SynergyX con paranoia. Quello produttivo. Il tipo che ti fa implementare due schemi post-quantici standardizzati NIST indipendenti quando uno sarebbe stato considerato sufficiente. Il tipo che ti fa considerare il sistema operativo come ostile, la rete come compromessa e il futuro come avversario.

Perché ecco cosa i costruttori occasionali non capiscono: in crittografia, la paranoia non è un disturbo. È un requisito di progettazione.

La sfida

A chiunque creda che SynergyX possa essere rotto - da computer quantistici fotonici, da computer quantistici superconduttori, da qualsiasi computer quantistico che operi entro le leggi della fisica come le intendiamo noi:

"In un'epoca di inganno universale, dire la verità è un atto rivoluzionario."
—George Orwell