Il Lightning Network non è ‘inesorabilmente rotto’

Un post da Udi Wertheimer alcune settimane fa ha fatto notizia in tutti i media crypto con un’affermazione netta: il Lightning Network è "irrecuperabilmente rotto" in un mondo post-quantistico, e i suoi sviluppatori non possono farci nulla. Il titolo si è diffuso rapidamente. Per le aziende che hanno costruito una reale infrastruttura di pagamento su Lightning o la stanno valutando, le implicazioni sono state inquietanti.

Merita una risposta equilibrata.

Wertheimer è un rispettato sviluppatore di Bitcoin, e la sua preoccupazione di fondo è legittima: i computer quantistici, se mai diventeranno sufficientemente potenti, rappresentano una sfida reale a lungo termine per i sistemi crittografici su cui si basano Bitcoin e Lightning. Questa parte è vera, e la comunità di sviluppo di Bitcoin ci sta già lavorando seriamente. Tuttavia, inquadrare Lightning come "irremediabilmente rotto" offusca più di quanto riveli, e le aziende che prendono decisioni infrastrutturali meritano un quadro più chiaro.

Ciò che Wertheimer ha azzeccato

I canali Lightning richiedono ai partecipanti di condividere le chiavi pubbliche con la controparte al momento dell'apertura di un canale di pagamento. In un mondo in cui esistono computer quantistici rilevanti dal punto di vista crittografico (CRQC), un attaccante che ottiene tali chiavi pubbliche potrebbe teoricamente utilizzare l'algoritmo di Shor per derivare la chiave privata corrispondente e, da lì, rubare fondi.

Questa è una vera proprietà strutturale del funzionamento di Lightning. Ciò che il titolo omette

La minaccia è molto più specifica e condizionata rispetto a "il saldo del tuo Lightning può essere rubato."

In primo luogo, i canali stessi sono protetti da un hash mentre sono aperti. Le transazioni di finanziamento utilizzano P2WSH (Pay-to-Witness-Script-Hash), nel senso che le chiavi pubbliche raw all’interno della configurazione multisig 2-su-2 sono nascoste onchain finché il canale rimane aperto. I pagamenti Lightning sono inoltre basati su hash, instradati tramite HTLC (Hashed Time-Lock Contracts), che si basano sulla rivelazione del preimmagine dell’hash anziché su chiavi pubbliche esposte. Un attaccante quantistico che osserva passivamente la blockchain non può vedere le chiavi di cui avrebbe bisogno.

La finestra di attacco realistica è molto più ristretta: una chiusura forzata. Quando un canale viene chiuso e una transazione di impegno viene trasmessa in chain, lo script di blocco diventa pubblicamente visibile per la prima volta, incluso il local_delayedpubkey, una chiave pubblica standard a curva ellittica. Per progettazione, il nodo che la trasmette non può rivendicare immediatamente i propri fondi: deve prima scadere un timelock CSV (CheckSequenceVerify), tipicamente 144 blocchi (circa 24 ore).

In uno scenario post-quantum, un attaccante che osserva il mempool potrebbe vedere che una transazione di impegno viene confermata, estrarre la chiave pubblica ora esposta, eseguire l'algoritmo di Shor per derivare la chiave privata e tentare di spendere l'output prima della scadenza del timelock. Gli output HTLC in caso di chiusura forzata creano finestre temporali aggiuntive, alcune di appena 40 blocchi, circa sei o sette ore.

Questa è una vulnerabilità reale e specifica. Tuttavia, si tratta di una corsa a tempo contro un attaccante che deve attivamente risolvere uno dei problemi matematici più difficili esistenti, entro una finestra temporale fissa, per ogni singolo output che desidera sottrarre. Non si tratta di un drenaggio passivo e silenzioso su ogni wallet Lightning contemporaneamente.

Il controllo di realtà dell'hardware quantistico

Ecco la parte che raramente arriva nei titoli: i computer quantistici criptograficamente rilevanti non esistono oggi, e il divario tra dove siamo e dove dovremmo essere è enorme.

La rottura della crittografia a curva ellittica di Bitcoin richiede la risoluzione del logaritmo discreto su una chiave a 256 bit, un numero di circa 78 cifre, utilizzando milioni di qubit logici stabili e con correzione degli errori per un periodo prolungato. Il numero più grande mai fattorizzato utilizzando l’algoritmo di Shor su hardware quantistico reale è 21 (3 × 7), raggiunto nel 2012 con un significativo supporto di post-elaborazione classica. Il record più recente è una fattorizzazione ibrida quantistico-classica di un numero RSA a 90 bit, un progresso impressionante, ma ancora circa 2⁸³ volte inferiore a quanto sarebbe effettivamente necessario per violare Bitcoin.

La ricerca quantistica di Google è reale e merita attenzione. Le tempistiche discusso da i ricercatori seri variano dalle stime ottimistiche per la fine degli anni 2020 a proiezioni più conservative per gli anni 2030 o oltre. Nulla di tutto ciò significa che "il tuo saldo Lightning è a rischio oggi."

La comunità di sviluppatori non resta ferma

L'inquadramento di Wertheimer, secondo cui gli sviluppatori di Lightning sono "impotenti", è inoltre in disaccordo con quanto sta realmente accadendo. Solo da dicembre, la comunità di sviluppo di Bitcoin ha prodotto più di cinque proposte serie post-quantum: SHRINCS (firme basate su hash con stato da 324 byte), SHRIMPS (firme da 2,5 KB su più dispositivi, approssimativamente tre volte più piccole dello standard NIST), BIP-360, il documento sulle firme basate su hash di Blockstream e proposte per OP_SPHINCS, OP_XMSS e opcode basati su STARK nel tapscript.

La corretta interpretazione non è che Lightning sia rotto e irrimediabile. È che Lightning, come tutto Bitcoin, e come la maggior parte dell'infrastruttura crittografica di internet, richiede un aggiornamento del livello base per diventare resistente al quantum, e quel lavoro è in corso.

Cosa significa questo per le aziende che sviluppano su Lightning oggi

Lightning elabora oggi volumi di pagamenti reali per aziende reali, piattaforme iGaming, exchange di criptovalute, neobank e fornitori di servizi di pagamento che spostano denaro a livello globale a frazioni di centesimo con finalità istantanea. La domanda che le imprese dovrebbero porsi non è se abbandonare Lightning basandosi su una minaccia teorica futura, ma se i team che sviluppano l’infrastruttura Lightning stanno prestando attenzione a ciò che sta arrivando e stanno pianificando di conseguenza.

La risposta, basata sul volume e sulla qualità della ricerca post-quantistica che sta attualmente avvenendo nella comunità di sviluppo di Bitcoin, è sì.

Il Lightning Network non è irrimediabilmente guasto. Affronta la stessa sfida crittografica a lungo termine di tutto il sistema finanziario digitale, e dispone di una comunità di sviluppatori che lavora attivamente per affrontarla. Questa è una storia diversa da quella narrata dal titolo.