in arrivo i computer quantici

[Ultimo2]

Certo, quello che dici è verissimo ed è un problema molto concreto, infatti Monero è ottimo per il qui ed ora e in futuro si vedrà. Bisogna dire che è stato uno dei primi a muoversi già nel 2019-2020 con le prime roadmap e studi sul post quantum, il problema è che si sono incaponiti su dei modelli che non hanno dato i risultati che speravano. Allo stato attuale hanno dei gruppi differenziati che lavorano su Dilithium, Falcon e poco altro per vedere le possibili risposte in termini di sicurezza.

Ma è un problema che non riguarda solo monero ma tutto il settore crypto. In pratica ci ritroveremo che in un momento tutta la blockchain di Monero avrà i blocchi collegati perchè cadranno le schermature degli stealth address. Chi ha avuto monero in kyc vedrà la sua storia pubblicata, chi ha avuto Monero in modalità nokyc da mining, regali, scambi con altre crypto vedrà gli address collegati ma senza identità; semplificandola sarà al punto attuale della blockchain di Bitcoin.

Cosa ne penso: se vorranno mantenere Monero con le medesime caratteristiche partendo da un nuovo punto zero dovranno cambiare la blockchain con una quantum resistant facendo un fork molto hard e far migrare le coin verso la blockchain QR con un sistema simile con transazioni ponte coperte da protocolli QR in stile mixing quantistico (ed è quello che stanno provando a fare). Si stanno incaponendo a provare a salvare il passato, ma la verità è che Monero non era stato creato con l'ottica QR quindi il passato sarà scoperchiato e in futuro manterrà la privacy ed anonimato SOLO chi non ha fatto il kyc.

Il vero problema: chi usa un attacco quantistico lo fa per impadronirsi di fondi per avere un profitto, chi rompe la crittografia di Bitcoin è per avere unità Bitcoin, se l'attacco è governativo è per abbattere Bitcoin. Rompere la crittografia di Monero è un modo ottimo per screditare il protocollo Monero che da quel momento perderà il senso di esistere se arriverà impreparato, quindi più collegabile ad una guerra tra blockchain o di intelligence esterna più che per impadronirsi di coin Monero che viaggia cento scalini più basso di Bitcoin. L'unica cosa che ha senso proteggere è la sua caratteristica intrinseca di anonimato futuro (ed è già una forzatura) perchè Monero a differenza di bitcoin non ambisce a diventare unità di conto o riserva di valore; ambisce a rimanere una sorta di mixer e metodo di pagamento nel darkweb.

Dato che bitcoin è visto come una minaccia non mi stupirei se ci fossero proprio i governi dietro, basta guardare l'europa quanto sta legiferando contro le crypto, le stanno demonizzando come fossero la peste nera!

[fluffaloo]

Dato che bitcoin è visto come una minaccia non mi stupirei se ci fossero proprio i governi dietro, basta guardare l'europa quanto sta legiferando contro le crypto, le stanno demonizzando come fossero la peste nera!

Non vedo il motivo per vederlo come una minaccia, non capisco perché possa essere una minaccia.
Tanto stampare soldi in cointinuazione cosa sta portando? Sta portando a un debito spaventoso a livello globale che tutti sanno non potrá essere ripagato.

[gbianchi]

Dato che bitcoin è visto come una minaccia non mi stupirei se ci fossero proprio i governi dietro, basta guardare l'europa quanto sta legiferando contro le crypto, le stanno demonizzando come fossero la peste nera!

Non vedo il motivo per vederlo come una minaccia, non capisco perché possa essere una minaccia.
Tanto stampare soldi in cointinuazione cosa sta portando? Sta portando a un debito spaventoso a livello globale che tutti sanno non potrá essere ripagato.

Non ce l'ho con te bada bene, ma non potete continuare a ripetere in ogni thread possibile
che i governi stampano i soldi e che sono dei truffatori e che vogliono la morte di bitcoin.

Sono tutte cose vere e sacrosante, ma qui parliamo di rischio quantistico, cercate di stare un minimo a tema.

[Plutosky]

Hai detto poco.
Sono un milione di Bitcoin che sarebbero venduti sul mercato in breve tempo.
Più quelli che sapendolo, si mettono corti.
Più tutto il cinema di retoriche da fine del mondo etc.

Sarà un momento molto interessante quello nel quale vedremo i primi Bitcoin di Satoshi muoversi.

comunque i wallet a gerarchia deterministica (bip 32) hanno un vantaggio: la relazione tra il master seed (o un nodo dell'albero di derivazione) e la chiave derivata è protetta da un passaggio hash quantum proof(HMAC-SHA512).

Questo ha fatto sì che la prima implementazione pratica di BIP 361 abbia riguardato proprio questo tipo di wallet.

Piccolo riassunto per chi si fosse perso le puntate precedenti: attualmente oltre il 30% dei b. esistenti si trova su indirizzi vulnerabili. BIP 361 si propone di congelare questi indirizzi per una finestra limitata (x anni) dando la possibiltà al proprietario,al termine della finestra, di dimostrare la "titolarità" di quel wallet mediante una prova a conoscenza zero, senza rivelare il seed.

In sostanza prima si vieterebbe a questi indirizzi vulnerabili di ricevere, poi di spendere  (in modo da proteggere i fondi da furti quantistici). Terminata la finestra di congelamento il "legittimo" proprietario potrebbe dimostrare tramite le zk proof che era a conoscenza della chiave privata da prima del freeze e i fondi sarebbero sbloccati in modo sicuro.

Per eseguire la prova zk il proprietario deve conoscere il master seed e il master seed non può essere violato da un pc quantistico perchè lo SHA512 è quantum proof.

Un'implementazione pratica di BIP 361 che sfrutta questa peculiarità è già stata realizzata (https://www.coindesk.com/it/tech/2026/07/19/bitcoin-s-quantum-problem-gets-a-recovery-tool-but-not-for-satoshi-s-1-1-million-coin)




Se questa implementazione ottenesse il consenso resterebbero vulnerabili solo i bitcoin della satoshi era (pre 2012) e altri btc non deterministici post 2012 (con chiave esposta)
In totale una cifra tra ~1.7 e 3.3 milioni

I btc con chiave esposta su hd wallet sono invece poco di più, una cifra compresa tra ~2 e 3.5 milioni.

In caso di freeze pluriennale secondo me molti di questi bitcoin non verrebbero MAI reclamati perchè il possessore se non ha agito fin a quel momento molto probabilmente è morto, scomparso, ha perso il seed o più semplicemente si è dimenticato o se n'è fregato (pensate ad importi piccoli).

E' quindi molto probabile che i bitcoin NON reclamati (e quindi freezati per sempre) sarebbero una cifra MOLTO simile (se non maggiore) a quelli della satoshi era che tornerebbero in circolazione.

Il succo quindi è: se bip 361 fosse approvata sulla base dell'implementazione già realizzata è probabile che, anche se venissero hackerati tutti i btc di satoshi, l'offerta circolante effettiva NON cambierebbe di molto.

*******************
(off-topic)ma quando mai...i governi vogliono sfruttare bitcoin altro che ammazzarlo.
*******************

[Niekko]

*******************
(off-topic)ma quando mai...i governi vogliono sfruttare bitcoin altro che ammazzarlo.
*******************

esatto... è più facile gestire uno strumento già abbracciato dalla comunità piuttosto che spendersi a sostituirlo con qualcos'altro

[fillippone]

E' quindi molto probabile che i bitcoin NON reclamati (e quindi freezati per sempre) sarebbero una cifra MOLTO simile (se non maggiore) a quelli della satoshi era che tornerebbero in circolazione.

Il succo quindi è: se bip 361 fosse approvata sulla base dell'implementazione già realizzata è probabile che, anche se venissero hackerati tutti i btc di satoshi, l'offerta circolante effettiva NON cambierebbe di molto.

Apprezzabile iniziativa.
Dovrebbero spiegarmi però perché un backup con chiave in formato wif debba avere meno diritti di un backup con seed.
Capisco tutte le buone intenzioni del mondo, ma è comunque una "censura" del mio diritto di non conoscere il seed del mio wallet.

[Plutosky]

Apprezzabile iniziativa.
Dovrebbero spiegarmi però perché un backup con chiave in formato wif debba avere meno diritti di un backup con seed.
Capisco tutte le buone intenzioni del mondo, ma è comunque una "censura" del mio diritto di non conoscere il seed del mio wallet.

Se sta arrivando uno tsunami e puoi salvare solo metà villaggio non è che fai affogare l'intera popolazione perchè tutti devono avere gli stessi diritti di salvarsi

I bitcoin della satoshi era poi sarebbero perfettamente salvabili: basta che i legittimi proprietari li spostino su indirizzi bc1q* prima che arrivino i quantum pc.

Hanno avuto anni per farlo e altri anni avranno.

L'alternativa è bloccarli per sempre ma come sappiamo quello sì che sarebbe contrario all'etica Bitcoin

[fillippone]

Se sta arrivando uno tsunami e puoi salvare solo metà villaggio non è che fai affogare l'intera popolazione perchè tutti devono avere gli stessi diritti di salvarsi

Lo tsunami arriva, porta distruzione e morte, ma poi passa e si torna a costruire, vivere e prosperare sulla stessa terra.
L'impatto di 7/8 milioni di bitcoin nel sistema è terrificante, ma una volta che questi bitcoin sono su un sistema QR, il protocollo sarebbe salvo nuovamente.
é una questione molto complessa. Abbiamo di fronte qualcosa che deve andare avanti per millenni. Vogliamo spaventarci per 10 anni di andamento di prezzo negativo?
Comunque è una domanda onesta, non ho la risposta, anche a me chiaramente non farebbe piacere vedere bitcoin crollare da 10 milioni a 100K, ma forse è un'ennesima possibilità di redistribuzione?

[attiq310]

Se sta arrivando uno tsunami e puoi salvare solo metà villaggio non è che fai affogare l'intera popolazione perchè tutti devono avere gli stessi diritti di salvarsi

Lo tsunami arriva, porta distruzione e morte, ma poi passa e si torna a costruire, vivere e prosperare sulla stessa terra.
L'impatto di 7/8 milioni di bitcoin nel sistema è terrificante, ma una volta che questi bitcoin sono su un sistema QR, il protocollo sarebbe salvo nuovamente.
é una questione molto complessa. Abbiamo di fronte qualcosa che deve andare avanti per millenni. Vogliamo spaventarci per 10 anni di andamento di prezzo negativo?
Comunque è una domanda onesta, non ho la risposta, anche a me chiaramente non farebbe piacere vedere bitcoin crollare da 10 milioni a 100K, ma forse è un'ennesima possibilità di redistribuzione?

La redistribuzione ci sarà comunque in caso di attacco quantistico: la domanda è se sarà una redistribuzione secondo regole condivise o un "chi prima arriva, meglio alloggia".

Se il quantistico arrivasse prima del previsto, molte di queste monete finirebbero al proprietario della macchina, e milioni di BTC verrebbero immessi sul mercato quasi in contemporanea. BIP 361 invece mantiene l'offerta circolante com'è oggi.

Sulla fase C: non è ancora chiaro come funzionerà il recupero con le prove zk, ma per i wallet HD (se c'è il seed) sembra fattibile. Le monete di Satoshi (P2PK) invece, al momento, non sembrano recuperabili. Dettagli qui: https://bips.dev/361/

Anche i tempi sono lunghi: circa 3 anni in cui tutto funziona come sempre, poi altri 2 anni in cui non si può più inviare verso indirizzi vulnerabili (ma i vecchi UTXO restano spendibili, quindi migrabili), e solo dopo c'è il congelamento. Non mi pare scontato che servano 10 anni di prezzo negativo: il mercato ha tempo di assorbire gradualmente, invece di prendersi tutto in un colpo solo.

[Plutosky]

Lo tsunami arriva, porta distruzione e morte, ma poi passa e si torna a costruire, vivere e prosperare sulla stessa terra.
L'impatto di 7/8 milioni di bitcoin nel sistema è terrificante, ma una volta che questi bitcoin sono su un sistema QR, il protocollo sarebbe salvo nuovamente.
é una questione molto complessa. Abbiamo di fronte qualcosa che deve andare avanti per millenni. Vogliamo spaventarci per 10 anni di andamento di prezzo negativo?
Comunque è una domanda onesta, non ho la risposta, anche a me chiaramente non farebbe piacere vedere bitcoin crollare da 10 milioni a 100K, ma forse è un'ennesima possibilità di redistribuzione?

Non è tanto una questione di prezzo. Avere una soluzione per la protezione dei btc con chiave esposta e non adottarla equivale a sapere che abbiamo un bug e non correggerlo.

Se dobbiamo estremizzare l'ortodossia Bitcoin fino a dire che chiunque conosce la chiave privata è sempre il legittimo proprietario, allora dovremmo accettare l'idea che anche gli hacker di COLDCARD sono legittimi proprietari.

Che differenza c'è tra un hacker quantistico e loro? In termini strettamente tecnici gli hacker di coldwallet non hanno rubato  a nessuno: hanno semplicemente trovato delle chiavi private.

Eppure se avessimo saputo in anticipo di questo attacco è sicuro al 100% che qualcosa avremmo fatto per prevenirlo, anche senza il consenso dei legittimi proprietari.

Un freeze temporaneo secondo me è un compromesso accettabile. Se tra qualche anno il prezzo fosse sulla luna e qualche sbadato bitcoin si domandasse "chissà che fine hanno fatto quei btc che comprai anni or sono per gioco, fammi controllare il wallet " sono convinto che sarebbe strafelice di sapere che la rete lo ha difeso dalla sua inerzia e menefreghismo.

Altra cosa, completamente diversa, sarebbe freezare i btc della Satoshi era. Perchè, in assenza di altre soluzioni tecniche, vorrebbe dire congerarli per sempre. E allora tanto vale che vengano rubati visto che in ogni caso i legittimi proprietari ne perderebbero il controllo comunque.

[gbianchi]

Oggi mentre rasavo il prato riflettevo su alcuni argomenti, per una volta non tecnici.

Il NIST ha pubblicato IR 8547 ("Transition to Post-Quantum Cryptography Standards") che sostanzialmente dice che entro il 2030 gli algoritmi
attuali vengono deprecati, ed entro il 2035 VIETATI DEL TUTTO.

Sulla stessa linea si stanno muovendo NSA, Unione europea e Regno Unito.

Praticamente, bitcoin ha una finestra diciamo di 3 anni, entro la quale il suo armamento crittografico verra' dichiarato deprecato
dai maggiori enti di standard tecnologici mondiali.

Questo mi fa pensare che ormai e' totalmente ininfluente se i computer quantistici arriveranno o no, queste sono le finestre stringenti in ogni caso.

Intendo dire, se Bitcoin deve essere l'oro digitale, deve essere il bene alla base di diversi ETF ed aziende, ed alla fine
deve essere la moneta di tutti quelli che vogliono usare per la sua natura decentralizzata, non puo' certo permettersi
di basarsi su tecnologie deprecate o addirittura vietate a livello di standard tecnologici internazionali, la cosa sarebbe inaccettabile.

Quindi la finestra e' davvero qui e adesso, e non solo per motivi tecnici, ma per strade ormai gia' intraprese
a livello di standard tecnologici.

[babo]

Lo tsunami arriva, porta distruzione e morte, ma poi passa e si torna a costruire, vivere e prosperare sulla stessa terra.
L'impatto di 7/8 milioni di bitcoin nel sistema è terrificante, ma una volta che questi bitcoin sono su un sistema QR, il protocollo sarebbe salvo nuovamente.
é una questione molto complessa. Abbiamo di fronte qualcosa che deve andare avanti per millenni. Vogliamo spaventarci per 10 anni di andamento di prezzo negativo?
Comunque è una domanda onesta, non ho la risposta, anche a me chiaramente non farebbe piacere vedere bitcoin crollare da 10 milioni a 100K, ma forse è un'ennesima possibilità di redistribuzione?

Non è tanto una questione di prezzo. Avere una soluzione per la protezione dei btc con chiave esposta e non adottarla equivale a sapere che abbiamo un bug e non correggerlo.

Se dobbiamo estremizzare l'ortodossia Bitcoin fino a dire che chiunque conosce la chiave privata è sempre il legittimo proprietario, allora dovremmo accettare l'idea che anche gli hacker di COLDCARD sono legittimi proprietari.

Che differenza c'è tra un hacker quantistico e loro? In termini strettamente tecnici gli hacker di coldwallet non hanno rubato  a nessuno: hanno semplicemente trovato delle chiavi private.

Eppure se avessimo saputo in anticipo di questo attacco è sicuro al 100% che qualcosa avremmo fatto per prevenirlo, anche senza il consenso dei legittimi proprietari.

Un freeze temporaneo secondo me è un compromesso accettabile. Se tra qualche anno il prezzo fosse sulla luna e qualche sbadato bitcoin si domandasse "chissà che fine hanno fatto quei btc che comprai anni or sono per gioco, fammi controllare il wallet " sono convinto che sarebbe strafelice di sapere che la rete lo ha difeso dalla sua inerzia e menefreghismo.

Altra cosa, completamente diversa, sarebbe freezare i btc della Satoshi era. Perchè, in assenza di altre soluzioni tecniche, vorrebbe dire congerarli per sempre. E allora tanto vale che vengano rubati visto che in ogni caso i legittimi proprietari ne perderebbero il controllo comunque.

ESATTO! se il proprietario e' chiunque abbia il seed allora hacker di coldcard e' il vero proprietario
sono d'accordo con te!
mi dispiace per il freeze e per i diritti, capisco benissimo la situazione.. ma visto quanti anni sono passati e il tempo che hanno avuto mi pare un ottimo compromesso
serve ragazzi fidatevi, perche quei maledetti bitcoin "persi" di satoshi faranno gola a tanti bastardi

purtroppo anche volendo non possiamo competere con i loro soldi

[gbianchi]

Ho creato delle tabelle di comparazione tra gli algoritmi "classici" a curve ellittiche e quelli nuovi post quantum,
come si vede nel migliore dei casi siamo a 15x (Falcon 512) il peso delle firme ECDSA

C'e' da dire che gli algoritmi falcon si basano su virgola mobile, e quindi possono dare risultati leggermente diversi
in base all'HW sottostante, improponibile per un sistema decentralizzato che deve essere verificabile con risultati uguali da tutti.
Infatti Algorand ha una versione di falcon "modificata" che si basa sugli interi che fornisce risultati univoci su qualsiasi HW.

Gli algoritmi stateful (alla QRL attuale) sono amio avviso inutilizzabili nella pratica, perche' richiedono agli utenti un'attenzione
nell'uso delle chiavi difficilmente praticabile.

Invece la parte tempi di verifica, che appesantirebbe i nodi anche dal punto di vista computazionale,
fortunatamente in certi casi abbiamo addirittura tempi migliore e/o abbastanza sostenibili  (pero' per i tempi ho trovato pochi dati)


═══ DIMENSIONI ═══

Dimensioni — Schemi classici

Code:

+--------------------+------------------+--------+-------+--------+---------+
| Algoritmo          | Base matematica  | Chiave | Firma | Totale | x ECDSA |
+--------------------+------------------+--------+-------+--------+---------+
| ECDSA (secp256k1)  | Curve ellittiche | 33 B   | 65 B  | 98 B   | 1x      |
| Ed25519 (Algorand) | Curve ellittiche | 32 B   | 64 B  | 96 B   | ~1x     |
+--------------------+------------------+--------+-------+--------+---------+

Dimensioni — Schemi lattice-based

Code:

+---------------------------+------------+-----+------------+-----------+---------+---------+
| Algoritmo                 | Base       | Cat | Chiave pub | Firma     | Totale  | x ECDSA |
+---------------------------+------------+-----+------------+-----------+---------+---------+
| Falcon-512 (FN-DSA-512)   | NTRU       | 1   | 896-897 B  | 617-667 B | ~1,5 KB | ~15x    |
| Falcon-1024 (FN-DSA-1024) | NTRU       | 5   | 1793 B     | 1330 B    | ~3,1 KB | ~32x    |
| ML-DSA-44 (Dilithium2)    | Module-LWE | 2   | 1312 B     | 2420 B    | ~3,7 KB | ~37x    |
| ML-DSA-65 (Dilithium3)    | Module-LWE | 3   | 1952 B     | 3309 B    | ~5,3 KB | ~54x    |
| ML-DSA-87 (Dilithium5)    | Module-LWE | 5   | 2592 B     | 4627 B    | ~7,2 KB | ~72x    |
+---------------------------+------------+-----+------------+-----------+---------+---------+

Dimensioni — Schemi hash-based

Code:

+----------------+------------------+-----+--------+---------+----------+---------+
| Algoritmo      | Base             | Cat | Chiave | Firma   | Totale   | x ECDSA |
+----------------+------------------+-----+--------+---------+----------+---------+
| XMSS (QRL 1.x) | Hash (stateful)  | N/A | ~32 B  | ~2500 B | ~2,5 KB  | ~26x    |
| SLH-DSA-128s   | Hash (stateless) | 1   | 32 B   | 7856 B  | ~7,9 KB  | ~79x    |
| SLH-DSA-128f   | Hash (stateless) | 1   | 32 B   | 17088 B | ~17,1 KB | ~172x   |
| SLH-DSA-192s   | Hash (stateless) | 3   | 48 B   | 16224 B | ~16,3 KB | ~163x   |
| SLH-DSA-192f   | Hash (stateless) | 3   | 48 B   | 35664 B | ~35,7 KB | ~359x   |
| SLH-DSA-256s   | Hash (stateless) | 5   | 64 B   | 29792 B | ~29,9 KB | ~300x   |
| SLH-DSA-256f   | Hash (stateless) | 5   | 64 B   | 49856 B | ~49,9 KB | ~502x   |
+----------------+------------------+-----+--------+---------+----------+---------+

═══ TEMPI ═══

Tempi — Schemi classici

Code:

+--------------------+--------+--------+---------+--------+----------+--------+
| Algoritmo          | Keygen | xECDSA | Firma   | xECDSA | Verifica | xECDSA |
+--------------------+--------+--------+---------+--------+----------+--------+
| ECDSA (secp256k1)  | 241 us | 1x     | 2378 us | 1x     | 962 us   | 1x     |
| Ed25519 (Algorand) | n/d    | n/d    | n/d     | n/d    | n/d      | n/d    |
+--------------------+--------+--------+---------+--------+----------+--------+

Tempi — Schemi lattice-based

Code:

+---------------------------+----------+--------+--------+--------+----------+--------+
| Algoritmo                 | Keygen   | xECDSA | Firma  | xECDSA | Verifica | xECDSA |
+---------------------------+----------+--------+--------+--------+----------+--------+
| Falcon-512 (FN-DSA-512)   | 10180 us | 42x    | 590 us | 0,25x  | 91 us    | 0,09x  |
| Falcon-1024 (FN-DSA-1024) | n/d      | n/d    | n/d    | n/d    | n/d      | n/d    |
| ML-DSA-44 (Dilithium2)    | 159 us   | 0,66x  | 628 us | 0,26x  | 165 us   | 0,17x  |
| ML-DSA-65 (Dilithium3)    | n/d      | n/d    | n/d    | n/d    | n/d      | n/d    |
| ML-DSA-87 (Dilithium5)    | n/d      | n/d    | n/d    | n/d    | ~550 us  | 0,55x  |
+---------------------------+----------+--------+--------+--------+----------+--------+

Tempi — Schemi hash-based

Code:

+----------------+--------+--------+-------+--------+----------+--------+------------------------------+
| Algoritmo      | Keygen | xECDSA | Firma | xECDSA | Verifica | xECDSA | Note                         |
+----------------+--------+--------+-------+--------+----------+--------+------------------------------+
| XMSS (QRL 1.x) | n/d    | n/d    | n/d   | n/d    | n/d      | n/d    | Stateful, firma rel. veloce  |
| SLH-DSA-128s   | ~12 ms | ~50x   |~131 ms| ~55x   | ~3,6 ms  | ~3,7x  |s: firma lenta, verif veloce |
| SLH-DSA-128f   | n/d    | n/d    | n/d   | n/d    | n/d      | n/d    | f: firma veloce, verif lenta |
| SLH-DSA-192s   | n/d    | n/d    | n/d   | n/d    | n/d      | n/d    | -                            |
| SLH-DSA-192f   | n/d    | n/d    | n/d   | n/d    | n/d      | n/d    | -                            |
| SLH-DSA-256s   | n/d    | n/d    | n/d   | n/d    | n/d      | n/d    | -                            |
| SLH-DSA-256f   | n/d    | n/d    | n/d   | n/d    | n/d      | n/d    | Piu' pesante in assoluto     |
+----------------+--------+--------+-------+--------+----------+--------+------------------------------+

Legenda: xECDSA < 1x = piu' veloce di ECDSA | xECDSA > 1x = piu' lento di ECDSA

[Plutosky]

Ho creato delle tabelle di comparazione tra gli algoritmi "classici" a curve ellittiche e quelli nuovi post quantum,
come si vede nel migliore dei casi siamo a 15x (Falcon 512) il peso delle firme ECDSA

C'e' da dire che gli algoritmi falcon si basano su virgola mobile, e quindi possono dare risultati leggermente diversi
in base all'HW sottostante, improponibile per un sistema decentralizzato che deve essere verificabile con risultati uguali da tutti.
Infatti Algorand ha una versione di falcon "modificata" che si basa sugli interi che fornisce risultati univoci su qualsiasi HW.

Lo schema a reticoli (lattice) più promettente era Hawk, basato su interi e utilizzabile anche su Bitcoin per la leggerezza, simile a Falcon,ma con tempi di verifica nettamente inferiori che lo avrebbero reso utilizzabile anche dai sistemi embedded come gli hardware wallet attuali.
Purtroppo il famigerato Claude ne ha trovato una vulnerabilità non sanabile e il NIST lo ha ritirato come insicuro.

A dimostrazione che correre troppo veloce in questo genere di cose può essere pericoloso quanto aspettare troppo

https://hawk-sign.info/

Falcon, oltre alla questione della virgola mobile, comporterebbe al momento una riduzione del TPS del ~64% al livello 1 e dell' ~80% al livello di sicurezza 5.
Vorrebbe dire circa 1-2 transazioni al secondo.

[gbianchi]

...
A dimostrazione che correre troppo veloce in questo genere di cose può essere pericoloso quanto aspettare troppo

...

Si pero' quando il NIST e altri enti mondiali dichiareranno gli algoritmi basati su curve ellittiche deprecati, tutti gli enti istituzionali
saranno costretti a dichiararlo nelle loro documentazioni ufficiali, intendo dire che ogni ETF o aziende come Strategy dovranno
aggiungere nel prospetto dei rischi articoli specifici su questo punto.

In pratica un utilizzatore in self custody se ne potra' anche fregare, ma non credo che a livello istituzionale ci si possa
deliberatamente disinteressare di un articolo che dice "DISCLAIMER: Il nostro ETF si basa su un prodotto che utilizza algortmi deprecati"
o qualcosa del genere.

Come scrivevo qualche post fa, non e' piu' un problema tecnico, ma piuttosto legale/amministrativo/burocratico.