Oggi invito l'industria della blockchain a iniziare con calma a pianificare la "bunker mode". La mia raccomandazione personale è di avviare una migrazione di massa controllata degli asset verso nuovi indirizzi, vale a dire indirizzi le cui chiavi pubbliche rimangono nascoste dietro un hash. I detentori, a partire da quelli più grandi e sofisticati, dovrebbero prendere in considerazione l'idea di spostare il grosso dei loro fondi verso indirizzi che non hanno mai firmato una transazione. E quando ne firmano una, dovrebbero anche spostare i fondi rimanenti verso un nuovo indirizzo (eventualmente generato dalla stessa seed phrase). Non abbiate fretta. Sebbene io creda che ci siano motivi per agire, una migrazione affrettata farebbe più male che bene. Non fate nemmeno preso dal panico. Spostare gli asset verso indirizzi protetti è un passaggio semplice e preventivo che non richiede nuova crittografia o nuovi wallet. A mio avviso, è ora ragionevole prepararsi alla possibilità che l'ECDSA si rompa prima del q-day, nello scenario peggiore in mesi anziché in anni. Per "rottura" intendo il rapido recupero della private key (ad esempio in una settimana) su hardware disponibile (ad esempio un grande cluster di GPU). Gli ultimi giorni sono stati un bagno di umiltà per l'intuizione matematica umana. Ipotesi di lunga data e mai messe in discussione sono cadute. Ciò include il limite n log(n) per la moltiplicazione di interi e la congettura 3SUM. Col senno di poi, l'inaspettata confutazione della congettura sulle distanze unitarie di Erdős a maggio è stata il nostro campanello d'allarme. La pubblicazione di OpenAI di ieri ha chiarito che la superintelligenza matematica è arrivata. Dicono che ci siano settimane in cui accadono decenni. Stiamo per vivere settimane in cui si verificano secoli di progresso matematico. Le nostre magiche firme ECDSA a 64 byte potrebbero essere troppo belle per essere vere? È stata solo sicurezza tramite oscurità per tutto questo tempo? Le curve ellittiche sembrano particolarmente vulnerabili alla superintelligenza. Le curve presentano una ricca struttura, con spazio per trucchi elaborati come Schoof, Frobenius e i pairing. (Al contrario, gli hash sono progettati per ridurre al minimo la struttura algebrica). Separatamente, come Ewin Tang può testimoniare, un algoritmo quantistico efficiente a volte anticipa uno classico. Dovremmo essere aperti alla possibilità di una controparte classica di Shor che rompa contemporaneamente le curve ellittiche e l'RSA. È inoltre degna di nota la sorprendente sottorappresentazione di scoperte crittografiche tra i 722 risultati matematici pubblicati da OpenAI. Ho assistito in prima persona al governo degli Stati Uniti che censurava i risultati di crittanalisi quantistica accademica. L'interventismo dietro le quinte è il mio scenario di base. Esotto i grandi attori sofisticati a dare l'esempio. La "risq list" di Project11 (bitcoin-risq-list.projecteleven[.]com) è un ottimo strumento di tracciamento delle chiavi pubbliche BTC esposte. Binance, Bitbank, Robinhood, Bitfinex e Tether hanno l'opportunità di rafforzare il loro cold storage. Il mese prossimo parlerò alle istituzioni a Londra in un Q&A dal vivo (forum.ethereuminstitutional[.]org/london-2026). Ripeto, per favore non abbiate fretta. I wallet che detengono meno di 50 BTC godono di una copertura parziale grazie allo "scudo di Satoshi", ovvero i suoi 20.000 indirizzi esposti che detengono 50 BTC ciascuno. I firmatari fondamentali come gli oracoli e i consigli di sicurezza di L2 dovrebbero prendere in considerazione la rotazione delle chiavi pubbliche ECDSA con ogni messaggio firmato e/o la firma multipla con schemi basati su hash come SPHINCS. Uscire dalla bunker mode in sicurezza richiederà crittografia post-AI. La mia inclinazione è di puntare tutto sulla crittografia basata su hash ed evitare del tutto presupposti matematici strutturati, che provengano da curve, reticoli o isogenie. Un singolo hash testato in battaglia (ad esempio delle famiglie SHA o BLAKE) garantisce una plausibile sicurezza post-AI. La roadmap di Ethereum su strawmap[.]org abbraccia pienamente la crittografia basata su hash con verifica formale end-to-end come risposta alla minaccia quantistica. Tali tempistiche devono ora essere rivisitate e accelerate alla luce della superintelligenza matematica. Spingerò per la massima accelerazione difensiva.

— Justin Drake (@drakefjustin) 7 ottobre 2026

Non consiglio a nessuno di affrettarsi a spostare i propri fondi su nuovi wallet oggi. Ma dovremmo prendere sul serio i rischi per la crittografia derivanti dalla matematica accelerata dall'AI e ridurre al minimo la nostra esposizione non solo alla crittografia vulnerabile ai quanti, ma anche a quella potenzialmente vulnerabile all'AI. La nuova area di rischio principale da questo punto di vista è, sfortunatamente, ML-DSA / FHE / reticoli. (ed è anche un altro motivo, insieme ai quanti, per cui l'ECDSA potrebbe cedere persino più rapidamente del previsto, da qui la raccomandazione del "nuovo indirizzo") Finora la maggior parte delle persone ha pensato che "le curve ellittiche sono violate, gli hash sono sicuri, i reticoli sono sicuri". Ma ci sono buone probabilità che la sicurezza concreta dei reticoli subisca duri colpi nei prossimi due anni di matematica dell'AI. Il modello di minaccia di base è il seguente: la fattorizzazione è qualcosa che richiede ingenuamente 2^(n/2) tempo, ma nel corso dei decenni persone brillanti hanno trovato e ottimizzato i setacci del corpo numerico, riducendolo a 2^O(n^(1/3)), motivo per cui le chiavi e le firme RSA devono essere di circa 400 byte (e non 64 byte). E se ci fossero scheletri nell'armadio simili, sia per le curve ellittiche che per i reticoli, che semplicemente non siamo abbastanza brillanti da scoprire, ma che i bot scopriranno presto? Questo è uno dei motivi principali per cui nell'ultimo anno la roadmap essenziale di Ethereum si è mossa nella direzione "solo hash": niente reticoli, niente ML-DSA, niente Falcon, niente impegni basati su reticoli all'interno di prove ZK, ecc. Le firme nell'Ethereum essenziale sono tutte basate su hash, WOTS o SPHINCS-. Per firme e prove, sappiamo già come passare esclusivamente agli hash. La sfida maggiore riguarda la *crittografia a chiave pubblica*, e questo va ben oltre le blockchain. La comunicazione sicura, i protocolli di anonimizzazione e molte altre cose richiedono la crittografia a chiave pubblica. E sfortunatamente esistono teoremi matematici di vecchia data che dimostrano perché la crittografia a chiave pubblica non può essere eseguita solo con gli hash. È necessario disporre di un certo tipo di oggetto botola che abbia almeno una forma di "struttura" utilizzabile: teoria dei gruppi (incluse le isogenie), reticoli, codici o potenzialmente in futuro cose ancora più nuove e spettrali (miscelazione locale?). Ma per qualsiasi cosa dotata di struttura, dovresti presumere che l'AI farà almeno qualche progresso nel rompere quella struttura. Qui, una deduzione ragionevole è che se vuoi rendere qualcosa plausibilmente sicuro a lungo termine, devi moltiplicare le dimensioni delle chiavi per 10. Per me questo è un mondo molto plausibile e non è affatto estremo da prevedere. Se l'AI ci porterà 50 anni di matematica in 2 anni, allora quei 50 anni di matematica potrebbero plausibilmente includere un miglioramento a livello di "fattorizzazione ingenua -> GNFS" nella nostra capacità di rompere i reticoli. In quel mondo, i reticoli esisteranno ancora, ma dovranno essere significativamente più grandi per garantire lo stesso livello di sicurezza. E a queste nuove dimensioni maggiori, le costruzioni basate su hash supereranno quelle basate su reticoli in termini di efficienza concreta in ogni caso d'uso in cui le costruzioni basate su hash sono possibili. Teoricamente, è ovviamente possibile che anche gli hash vengano violati (ad esempio, P = NP lo implicherebbe). Ma penso che P = NP sia altamente improbabile. E intuitivamente, è molto più probabile che un oggetto matematico non abbia alcuna struttura sfruttabile (come gli hash sono progettati per fare), piuttosto che un oggetto matematico abbia esattamente ~3 forme di struttura sfruttabile (per le curve ellittiche: associatività, Schoof, pairing) e non una quarta forma segreta di struttura non ancora scoperta che ne degrada notevolmente la sicurezza (per le curve ellittiche, ECDLP e la sicurezza del pairing). Discorso simile per LWE, SVP, RLWE e lo zoo dei problemi sui reticoli. Per questo motivo, non vediamo ancora alcun motivo per preoccuparsi e iniziare ad aumentare la dimensione in byte degli hash (se iniziassimo a preoccuparci di più, aumenteremmo prima il numero di round prima di fare qualsiasi cosa sulla dimensione in byte). In breve e concretamente, le mie opinioni personali: * Basato su hash > basato su reticolo, in quelle situazioni in cui il basato su hash è possibile * Per qualsiasi cosa basata su reticoli, siate molto più paranoici sulle dimensioni dei parametri. Ricordate che le blockchain sono solo una piccola parte della storia della crittografia; questo punto va ben oltre le blockchain e si applica ad esempio all'accesso ai siti Web, alla messaggistica sicura, a Tor / VPN... * Per i protocolli di privacy, si consiglia vivamente di NON inserire note crittografate onchain. Invece, inviale offchain tramite un meccanismo di terze parti. * Se non è difficile per te, mantenere i fondi in indirizzi che non sono stati ancora utilizzati per effettuare una transazione è una buona idea. Se è facile per te, fallo. **Ma fai attenzione alle migrazioni; personalmente ho perso più soldi in migrazioni maldestre di quanti ne abbia persi in tutti gli hack messi insieme**. * Per i wallet multi-sig, eseguire le conferme offchain è meglio che onchain, perché in questo modo le firme dei wallet dei firmatari non vengono esposte al pubblico, quindi se l'ECDSA cede all'AI molto più rapidamente del previsto, almeno il multi-sig "degrada dolosamente" a un 1-di-1 in cui l'1 è chiunque stesse raccogliendo le firme, una posizione decisamente migliore rispetto a "chiunque può prendere i soldi" https://t.co/oVjwZog2lL

— vitalik.eth (@VitalikButerin) 7 ottobre 2026

ULTIM'ORA: I wallet collegati al governo degli Stati Uniti hanno spostato 12.267 BTC (1,01 miliardi di dollari) da un wallet di sequestro dell'attacco a Bitfinex a nuovi indirizzi non etichettati. Non è stato registrato alcun deposito su exchange, il che indica un riposizionamento dei wallet piuttosto che una vendita. https://t.co/21hgXAO5HQ

CoinDesk (@CoinDesk): 8 ottobre 2026

🇪🇺 NORMATIVA: Le aziende di criptovalute nell'UE affrontano una scadenza fissata all'8 gennaio per liquidare l'esposizione alle stablecoin non conformi a MiCA. https://t.co/29VBDKcMS2

Cointelegraph (@Cointelegraph): 8 ottobre 2026