Il team di sviluppo di HAWK ha ritirato il proprio schema di firma digitale dal processo di standardizzazione post-quantum del NIST il 29 luglio 2026, un giorno dopo che Anthropic aveva reso pubblico un attacco individuato da un modello di intelligenza artificiale in circa 60 ore di lavoro. Bitcoin non usa HAWK e nessun software in produzione deve essere aggiornato per questo risultato. L’episodio mette pero’ alla prova l’ipotesi su cui poggia l’intero piano Bitcoin post-quantum: che un algoritmo considerato solido possa cadere, e che per questo serva ridondanza.
Cosa ha trovato l’AI di Anthropic dentro HAWK-256
Il modello si chiama Claude Mythos Preview e ha individuato, nelle parole del comunicato pubblicato da Anthropic il 28 luglio 2026, “a nontrivial automorphism in the lattice used by HAWK”, cioe’ un automorfismo non banale nel reticolo su cui HAWK costruisce la propria sicurezza. Un reticolo (lattice) e’ una struttura matematica regolare di punti nello spazio; molti schemi post-quantum vi appoggiano la propria robustezza perche’ certi problemi geometrici su quei punti sono considerati difficili anche per un computer quantistico. Un automorfismo e’ una simmetria interna alla struttura: se esiste e nessuno l’ha notata, riduce lo spazio che un attaccante deve esplorare.
Il dato centrale, scritto da Anthropic, e’ questo: “the expected cost of a full key recovery attack against the small HAWK-256 size was thought to be 264 but was demonstrated by Mythos to be 238“ — il costo atteso per recuperare una chiave sul parametro piu’ piccolo di HAWK, HAWK-256, era stimato in 264 operazioni ed e’ stato dimostrato pari a 238. La differenza tra le due cifre e’ di 26 bit: tradotta in lavoro di calcolo, significa circa 67 milioni di volte meno operazioni (226 = 67.108.864). L’azienda descrive l’effetto come “effectively cutting its key strength in half” (un dimezzamento di fatto della robustezza della chiave).
Trovare, sviluppare e verificare l’attacco ha richiesto “about 60 hours in total” e circa 100.000 dollari in costi di API, sempre secondo Anthropic. Sulla divulgazione il comunicato e’ esplicito: l’attacco e’ stato condiviso “with the authors of HAWK in June” e la pubblicazione e’ stata coordinata con la mailing list pubblica del NIST. Il crittografo Matthew Green, in un commento pubblicato il 29 luglio 2026, definisce il risultato su HAWK “very meaningful” (molto significativo) e precisa che l’attacco “does not transfer” (non si trasferisce) a Falcon, lo schema imparentato con HAWK che il NIST sta invece standardizzando e che poggia, scrive Green, su un problema difficile diverso.
Dal ritiro di HAWK il Round 3 del NIST resta senza reticoli
Il 29 luglio 2026, il giorno successivo alla pubblicazione di Anthropic, il team di HAWK ha ritirato lo schema dalla gara. Il NIST scrive testualmente: “On July 29, 2026, the HAWK development team withdrew its algorithm from consideration following an announcement by Anthropic that the company’s AI model had discovered a mathematical vulnerability in the HAWK algorithm” (comunicato NIST, aggiornato il 29 luglio 2026). Sulla pagina ufficiale del Round 3 la scheda dello schema riporta ora una riga secca: “The submission team has withdrawn HAWK from the additional digital signatures standardization process”.
I nove candidati del terzo round erano stati annunciati il 14 maggio 2026, con i criteri di valutazione raccolti nel documento NIST IR 8610. HAWK era l’unico schema basato su reticoli rimasto in gara: con il ritiro, il Round 3 prosegue con otto candidati e nessuna proposta a reticoli.
| Famiglia matematica | Schemi ammessi al Round 3 (14 maggio 2026) | Schemi ancora in gara |
|---|---|---|
| Multivariata | MAYO, QR-UOV, SNOVA, UOV | 4 schemi |
| MPC-in-the-head | MQOM, SDitH | 2 schemi |
| Isogenie | SQIsign | 1 schema |
| Simmetrica | FAEST | 1 schema |
| Reticoli (lattice) | HAWK — ritirato il 29 luglio 2026 | 0 schemi rimasti |
Il senso di questo processo, scritto dal NIST nella pagina del progetto post-quantum, e’ cercare algoritmi che facciano da “backup to ML-DSA or that could address unique use cases”: una riserva rispetto allo standard principale, o una risposta a esigenze particolari. Gli standard gia’ chiusi sono un capitolo separato: il NIST ha finalizzato nell’agosto 2024 FIPS 203 (ML-KEM, scambio di chiavi), FIPS 204 (ML-DSA, firme) e FIPS 205 (SLH-DSA, firme), mentre Falcon e HQC risultano “selected for ongoing standardization”, cioe’ ancora in lavorazione. HAWK non e’ mai stato in nessuno di questi elenchi: era un candidato, non uno standard.
La ragione tecnica era gia’ nel comunicato di Anthropic del 28 luglio: “doubling HAWK’s key size eliminates many of the reasons making the scheme (as it currently stands) an attractive PQC signature candidate”. Raddoppiare le chiavi avrebbe ripristinato la sicurezza, ma cancellato la compattezza che rendeva HAWK competitivo.
Il piano Bitcoin post-quantum non e’ ancora scritto, e HAWK non c’entra
Il testo della BIP-360 pubblicato nel repository ufficiale dei BIP, consultato il 30 luglio 2026, si intitola Pay-to-Merkle-Root (P2MR), e’ firmato da Hunter Beast, Ethan Heilman e Isabel Foxen Duke ed e’ in stato Draft. Sul post-quantum la bozza e’ netta: “While this proposal does not include the introduction of post-quantum signature schemes, we think it’s worth commenting on security considerations related to this possibility”. Nel documento la parola HAWK non compare mai.
Il passaggio piu’ rilevante per questa vicenda riguarda proprio la ridondanza: “We also imagine the possibility of introducing multiple post-quantum signatures for redundancy. Balancing the risks of additional complexity with the benefits of signature-type redundancy will be the challenge here”. Gli autori mettono per iscritto che affidarsi a un solo schema sia rischioso, e considerano la scelta un compromesso tra complessita’ aggiuntiva e sicurezza. Il ritiro di HAWK e’ la dimostrazione empirica del perche’.
La proposta gemella e’ BIP-361, “Post Quantum Migration and Legacy Signature Sunset”, a cui l’11 febbraio 2026 e’ stato assegnato il numero e che porta la firma di sei sviluppatori con Jameson Lopp primo firmatario: disegna una migrazione in due fasi lontano dalle firme oggi in uso. Sul fronte aziendale si muovono in parallelo il sistema PQ-CoreKMS annunciato da Coinbase e il consorzio di nove aziende nato attorno al rischio quantum.
Il fattore tempo: due anni di revisione contro 60 ore di calcolo
Due anni di revisione esperta contro 60 ore di calcolo: e’ questo rapporto, non la matematica di HAWK, il dato che interessa gli sviluppatori Bitcoin. Anthropic lo mette nero su bianco: “Despite HAWK having survived two rounds of expert human review over a period of two years, Mythos was able to improve the best-known attack on it in just 60 hours of work”. Due anni di esame pubblico da parte della comunita’ crittografica contro sessanta ore di macchina. L’azienda precisa anche che Mythos ha trovato la falla “after an extensive literature review to understand the state of the art”, e inquadra l’episodio con una frase che vale come cornice dell’intera vicenda: “This is cryptography research working as intended: stress-testing algorithms to build trust”.
Per Bitcoin la lettura e’ a doppio taglio, e il confronto e’ tra 60 ore di calcolo e anni di adozione. Da un lato uno strumento che accorcia i tempi di verifica e’ un alleato, perche’ gli schemi fragili emergono prima di finire in produzione: HAWK e’ uscito di scena mentre era ancora un candidato, e nessun utente ne ha pagato le conseguenze. Dall’altro, una migrazione crittografica su una rete decentralizzata richiede anni tra proposta, discussione, implementazione e adozione volontaria, mentre il costo di scovare un attacco sembra scendere piu’ in fretta. La finestra di sicurezza si misura sulla distanza tra queste due velocita’.
Cosa significa per chi detiene Bitcoin oggi
In termini pratici oggi non cambia nulla. Al momento della stesura Bitcoin scambia intorno ai 63.900$ secondo i dati di mempool.space del 30 luglio 2026, e nessuna delle firme in uso sulla rete — ECDSA e Schnorr — e’ coinvolta nel lavoro di Anthropic. Il tema riguarda il calendario delle decisioni di protocollo, non il portafoglio di questa settimana.
Quello che il singolo detentore puo’ fare adesso e’ informativo, non operativo: capire che una futura migrazione post-quantum richiedera’ un’azione volontaria, cioe’ spostare i fondi verso indirizzi di nuovo tipo, e che le proposte in discussione sono entrambe in stato Draft. Su BitcoinLive24 continuiamo a seguire l’evoluzione di BIP-360 e BIP-361.
Cosa questa notizia NON dice
- Non e’ stata rotta la crittografia in uso. Anthropic scrive testualmente che “neither of these results has a practical impact on today’s computer systems; no production software will have to change as a result”: nessun software in produzione dovra’ cambiare.
- HAWK non era distribuito da nessuna parte. Il comunicato precisa che HAWK “is only a candidate signature scheme and so is not deployed”.
- Gli altri schemi NIST non sono toccati. Sempre Anthropic: l’attacco “does not impact the other NIST post-quantum cryptographic schemes”. Matthew Green aggiunge che non si trasferisce a Falcon.
- Non c’entra un computer quantistico. L’attacco e’ crittanalisi classica eseguita su hardware convenzionale: e’ un errore di progettazione trovato in anticipo, non una macchina quantistica entrata in funzione.
- Gli altri risultati dello stesso lavoro sono minori. Sull’AES l’attacco riguarda una versione ridotta, “only on a modified version of the cipher that has 7 out of the full 10 rounds”, con un guadagno che Anthropic quantifica “between 200 and 800 times faster”. Su questo specifico risultato Green e’ netto: “it is very much a small increment in our knowledge, not a practical new attack like the HAWK work”. Su Salsa20, sulla funzione hash Poseidon (usata nelle zero-knowledge proof) e su SHA-1 Anthropic parla di “fairly limited improvements (that offer <10x gains)”, cioe’ guadagni sotto le dieci volte.
Conclusione: un test di stress riuscito, non un allarme
La notizia e’ stata letta in chiave Bitcoin da CoinDesk, ed e’ una chiave corretta per un motivo preciso: il piano di Bitcoin, per come e’ scritto oggi nelle bozze, mette in conto che qualche algoritmo cada. HAWK e’ caduto prima di diventare uno standard, che e’ l’esito desiderato di un processo di revisione pubblica.
Il punto aperto e’ la velocita’. Se il costo di scoprire una debolezza continua a scendere, la selezione degli schemi post-quantum somigliera’ a un processo continuo piuttosto che a una scelta definitiva, e una rete che impiega anni ad aggiornarsi dovra’ tenerne conto fin dalla progettazione. Restano da seguire il proseguimento del Round 3 del NIST con otto candidati e il passaggio di BIP-360 e BIP-361 da bozza a proposta discussa.
Scarica l’app BitcoinLive24 per ricevere una notifica quando escono aggiornamenti sulle proposte di protocollo e sulle notizie che muovono il mercato.
Domande Frequenti
Il ritiro di HAWK mette a rischio i miei bitcoin?
No. Bitcoin non usa HAWK e Anthropic dichiara che il risultato non ha impatto pratico sui sistemi in produzione. Le firme in uso sulla rete Bitcoin sono ECDSA e Schnorr, che non sono oggetto di questo lavoro.
Che cos’e’ HAWK e Bitcoin lo avrebbe usato?
HAWK era uno schema di firma digitale post-quantum basato su reticoli, candidato al Round 3 del processo NIST sulle firme aggiuntive fino al ritiro del 29 luglio 2026. Non compare in nessuna delle bozze Bitcoin: nel testo della BIP-360 la parola HAWK non e’ presente.
Quanto e’ grave il passaggio da 2^64 a 2^38 operazioni?
Sono 26 bit di sicurezza in meno, cioe’ circa 67 milioni di volte meno lavoro di calcolo, sul parametro HAWK-256. Anthropic lo descrive come un dimezzamento di fatto della robustezza della chiave; recuperare i livelli originali avrebbe richiesto chiavi di dimensione doppia, perdendo la compattezza che rendeva lo schema competitivo.
Bitcoin ha gia’ un piano post-quantum operativo?
No, ha due proposte in stato Draft. BIP-360 introduce un nuovo tipo di indirizzo senza ancora specificare schemi di firma post-quantum, mentre BIP-361 disegna una migrazione in due fasi. Nessuna delle due e’ attiva sulla rete.
Un computer quantistico ha rotto qualcosa?
No. L’attacco e’ stato eseguito con crittanalisi classica su hardware convenzionale, usando un modello di intelligenza artificiale per esplorare la struttura matematica dello schema. Nessun computer quantistico e’ stato coinvolto.
Questo articolo non costituisce consulenza finanziaria. I dati di prezzo si riferiscono al momento della stesura e possono variare rapidamente.
