Rischio crittografico dell'informatica quantistica: raccolta ora, spiegazione in seguito

La paura: stanno già registrando le tue transazioni

Pensavo che Rischio crittografico del calcolo quantistico era un problema futuro. Qualcosa per qualche decennio lontano. Qualcosa che la prossima generazione dovrà risolvere. Poi ho letto i briefing declassificati sui programmi di raccolta dati di massa della NSA e ho realizzato qualcosa che mi ha lasciato cadere lo stomaco.

Oggi non hanno bisogno di un computer quantistico. Hanno bisogno di un disco rigido oggi e di un computer quantistico prima o poi.

Questo è raccogli ora, decifra più tardi (HNDL). Il vettore di attacco più pericoloso in crittografia. E la blockchain rende tutto banalmente semplice perché ogni transazione, ogni firma, ogni chiave pubblica esposta viene trasmessa al mondo intero e archiviata permanentemente su un registro immutabile.

Le tue transazioni Bitcoin non sono private. Non sono nemmeno crittografati. Sono firmati con ECDSA secp256k1 e pubblicati in testo normale su un database replicato a livello globale. Chiunque abbia un nodo completo ha un archivio completo di ogni transazione che hai effettuato. Ogni chiave pubblica che tu abbia mai esposto. Ogni firma che un giorno l'algoritmo di Shor invertirà.

IL Rischio crittografico del calcolo quantistico non si tratta di una macchina che ancora non esiste. Si tratta di dati che già lo fanno.

La scienza: come funziona l'HNDL contro la blockchain

L'attacco raccolto ora, decrittografato in seguito opera in due fasi:

Fase 1: Raccolta (in corso ora)

• Gli avversari registrano i dati blockchain. Ciò non richiede alcun accesso speciale perché la blockchain è pubblica per natura.
• Catalogano ogni transazione spesa in cui è esposta la chiave pubblica secp256k1 del mittente.
• Memorizzano il traffico di rete peer-to-peer contenente transazioni non confermate e handshake di portafoglio.
• Costo di stoccaggio: trascurabile. L'intera blockchain Bitcoin è inferiore a 600 GB. Lo contiene un disco rigido consumer.

Fase 2: Decriptazione (2029-2033)

• Un computer quantistico tollerante agli errori esegue l'algoritmo di Shor su ciascuna chiave pubblica raccolta.
• L'algoritmo di Shor restituisce la chiave privata corrispondente in tempo polinomiale.
• L'aggressore firma le transazioni spostando tutti i fondi rimanenti da ogni indirizzo compromesso.
• Il furto è istantaneo, automatizzato e irreversibile.

La genialità dell'HNDL è la pazienza. L'attaccante non ha bisogno di rompere nulla oggi. Devono solo raccogliere e aspettare. E la blockchain offre loro tutto ciò di cui hanno bisogno su un piatto d’argento pubblico, permanente e distribuito a livello globale.

Per un'analisi tecnica più approfondita, leggi la nostra Analisi delle minacce HNDL.

Quali monete sono già state raccolte

Ogni moneta con ECDSA o Ed25519 esposto firma della transazione le chiavi su una blockchain pubblica sono già nella coda di raccolta:

• Bitcoin(BTC): 6,04 milioni di BTC — il 30,2% dell'intera offerta, circa 469 miliardi di dollari (Glassnode, maggio 2026) — si trovano in indirizzi con chiavi pubbliche esposte. 1,92 milioni di BTC sono strutturalmente esposti nei primi output P2PK, inclusi circa 1,1 milioni attribuiti a Satoshi; 4,12 milioni di BTC vengono esposti operativamente attraverso il riutilizzo degli indirizzi. Ogni satoshi in quegli indirizzi è precompromesso.
• Ethereum (ETH): Ogni EOA che abbia mai inviato una transazione ha una chiave pubblica secp256k1 esposta. Gli utenti esperti della DeFi che effettuano transazioni quotidiane hanno la maggiore esposizione.
• Solana (SOL): Ed25519 firma della transazione. Curva diversa, stessa vulnerabilità di Shor. Un throughput elevato delle transazioni significa maggiore esposizione delle chiavi per utente.
• Monero (XMR): Le firme ad anello forniscono ambiguità al mittente rispetto agli osservatori classici. Forniscono protezione zero contro la derivazione della chiave quantistica dalle chiavi pubbliche Ed25519.
• Zcash (ZEC): zk-SNARK basati sull'accoppiamento BN254. L'algoritmo di Shor rompe i gruppi basati sull'accoppiamento. Anche le transazioni protette sono vulnerabili a livello crittografico.

IL minaccia quantistica per le criptovalute non è teorico. I dati vengono raccolti. Gli algoritmi sono provati. Solo la cronologia dell’hardware rimane incerta e continua a contrarsi.

Ecco il numero che dovrebbe spaventarvi. Nel marzo 2026, Google Quantum AI, in collaborazione con la Ethereum Foundation e Stanford, ha compilato l'algoritmo di Shor rispetto a secp256k1 fino a Da 1.200 a 1.450 qubit logici, adattandosi all'interno meno di 500.000 qubit fisici, completando minuti — In linea di principio abbastanza veloce da intercettare una transazione in sospeso prima che venga confermata. Stime precedenti avevano fissato il costo a circa 2.330 qubit logici. Il miglior hardware quantistico pubblico a partire dalla metà del 2026 è vicino 2.500 qubit fisicie nessuno di questi è tollerante ai guasti su larga scala. Questo divario è l’unica cosa che si frappone tra la raccolta e la decrittazione, e la roadmap di IBM lo colma tra il 2029 e il 2033.

Ciò che in realtà sopravvive, raccoglilo ora, decifralo più tardi

Per sconfiggere l’HNDL, è necessaria la crittografia in cui i dati raccolti non hanno un percorso di decrittazione quantistica. Sopravvivono due approcci:

Incapsulamento della chiave basato su reticolo: Kyber-768 (NIST FIPS 203). Gli scambi di chiavi protetti da Kyber-768 non possono essere interrotti retroattivamente dai computer quantistici perché il problema dell'apprendimento con errori del modulo non ha una soluzione quantistica efficiente. I dati acquisiti oggi rimangono crittografati per sempre.

Firma della transazione basata su hash: SPHINCS+ (NIST FIPS 205). Le firme create con SPHINCS+ non possono essere falsificate dall'algoritmo di Shor perché non esiste una struttura algebrica da sfruttare. SPHINCS+ utilizza il sale crittografico per prevenire attacchi di precalcolo contro il suo hash tree, aggiungendo uno strato di rafforzamento randomizzato che ECDSA non ha mai avuto.

Se il tuo firma della transazione schema e il protocollo di scambio di chiavi utilizzano entrambi algoritmi post-quantici, non c'è nulla da decrittografare per HNDL. Il raccolto diventa una raccolta di dati matematicamente inutili.

SynergyX è già lì

Ho spostato le mie partecipazioni su SynergyX la settimana in cui ho capito HNDL. Ecco perché:

• Incapsulamento della chiave Kyber-768 su ogni canale. Strette di mano tra pari, comunicazione da portafoglio a demone, firma della transazione derivazione chiave. Tutto basato su reticolo. Tutti NIST FIPS 203. Tutti a prova quantistica contro la decrittazione retroattiva.
• SPHINCS+ firma della transazione senza stato ad ogni invio. Basato su hash. Nessuna curva ellittica. Nessuna struttura algebrica. Sale crittografico impedisce il precalcolo contro l'albero Merkle. NIST FIPS 205.
• Transazioni stealth miste con demoni. Anche se potessi rompere la criptovaluta (non puoi), i tempi e l'entropia dell'ordinamento introdotti dal bacino minerario interrompe la correlazione tra trasmissione e conferma.
• Zero esposizione legacy. Nessun indirizzo ECDSA. Nessuna chiave pubblica secp256k1 sulla catena. Niente da raccogliere. Niente da decifrare. Il vettore di attacco HNDL non esiste contro SynergyX perché non sono disponibili dati raccogliebili sulla vulnerabilità quantistica.

IL Rischio crittografico del calcolo quantistico rappresenta una minaccia esistenziale per le catene basate sull’ECDSA. È un non-evento per Architettura post-quantistica di SynergyX.