// step 01 / 08

La Curva Ellittica

La forma geometrica alla base di Bitcoin — y² = x³ + 7

// teoria

Cos'è una curva ellittica?

Una curva ellittica è definita dall'equazione generale:

Forma generale di Weierstrass

y² = x³ + ax + b

Bitcoin usa la curva chiamata secp256k1, dove a=0 e b=7:

secp256k1 — usata da Bitcoin

y² = x³ + 7

La curva è simmetrica rispetto all'asse x: per ogni punto (x, y) sulla curva, esiste il suo simmetrico (x, −y). Questo significa che ogni valore di x positivo corrisponde a due punti: uno con y positivo e uno con y negativo.

Un punto sulla curva è qualunque coppia (x, y) che soddisfa l'equazione. Nella crittografia Bitcoin, i punti vengono calcolati su un campo finito (modulo un numero primo enorme), ma la geometria di base rimane la stessa.

Perché questa curva? La forma y² = x³ + 7 è scelta perché ha proprietà matematiche che rendono le operazioni su di essa computazionalmente sicure. I parametri di secp256k1 sono stati scelti in modo trasparente e verificabile, senza "backdoor".

Curva y² = x³ + 7 su ℝ — clicca due punti per vedere P+Q

Clicca un punto della curva per selezionare P...

Come funziona: Clicca un punto sulla curva per selezionare P (azzurro), poi un secondo per Q (verde). Viene disegnata la retta P–Q con R = P+Q (oro).

// step 02 / 08

Addizione di Punti P + Q

La regola geometrica che dà struttura di gruppo alla curva

// geometria

La regola della corda e della tangente

Per sommare due punti P e Q su una curva ellittica, si usa la regola della corda:

Traccia la retta che passa per P e Q
Trova il terzo punto di intersezione −R con la curva
Rifletti −R rispetto all'asse x → ottieni R = P + Q

Il risultato è sempre sulla curva: questa è la proprietà magica che rende l'addizione ellittica un'operazione di gruppo chiusa.

Formule per P + Q (caso generico)

λ = (y₂ − y₁) / (x₂ − x₁)
x₃ = λ² − x₁ − x₂
y₃ = λ(x₁ − x₃) − y₁

Il caso speciale P = Q (raddoppio) usa la tangente alla curva nel punto P:

Raddoppio: 2P (tangente in P)

λ = (3x₁² + a) / (2y₁) ← per secp256k1: a=0
x₃ = λ² − 2x₁
y₃ = λ(x₁ − x₃) − y₁

Caso tangente (2P): Quando P = Q, la retta diventa la tangente in P. La pendenza si calcola con la derivata: λ = 3x²/(2y) — per secp256k1 (a=0) questo semplifica il calcolo del raddoppio.

Perché la riflessione? La retta interseca sempre la curva in esattamente 3 punti (contati con molteplicità). Il terzo punto viene riflesso per garantire che l'operazione sia un omomorfismo di gruppo — ovvero che rispetti le proprietà associativa e commutativa.

P = (−1, √6) · Q = (1, √8) — premi il bottone per animare

Risultato

—

// step 03 / 08

Il Campo Finito F_p

y² ≡ x³ + 7 (mod p) — dalla geometria continua alla griglia discreta

// algebra modulare

Perché usare i numeri interi?

La curva reale usa numeri in virgola mobile con precisione infinita — impraticabile per un computer. Invece, Bitcoin lavora su un campo finito: tutti i calcoli sono fatti modulo un numero primo enorme p.

L'equazione diventa:

Curva su F_p (p primo)

y² ≡ x³ + 7 (mod p)
dove x, y ∈ {0, 1, 2, ..., p−1}

I punti non formano più una curva liscia, ma un insieme discreto di punti interi su una griglia p × p. La struttura di gruppo è tuttavia preservata: l'addizione di punti funziona esattamente come prima, ma con aritmetica modulare.

Nell'esempio interattivo a destra usiamo p = 23 (piccolo per visualizzare). In Bitcoin, p è un numero a 256 bit.

Numero di punti su F_23

Trovati: ? punti
+ il "punto all'infinito" (elemento neutro)

La sicurezza viene da qui: su un campo finito con p ≈ 2²⁵⁶, esistono circa 2²⁵⁶ punti. Trovare k dato k×G è computazionalmente impossibile — ci vorrebbero più anni dell'età dell'universo anche con tutti i computer esistenti.

Clicca un punto (arancione) per selezionare P, poi Q — calcola P+Q

Istruzioni

Clicca un punto della curva per selezionare P, poi un secondo per Q.

Tutti i punti su F₂₃:

Calcolo...

// step 04 / 08

Moltiplicazione Scalare k×G

Il cuore della crittografia — "saltare" su una griglia in modo imprevedibile

// algoritmo

Come si moltiplica un punto per uno scalare?

k×G significa aggiungere il punto G a se stesso k volte: G + G + G + … (k volte). Con k = 2²⁵⁶ questo sarebbe impossibile direttamente, ma si usa l'algoritmo double-and-add:

Double-and-Add (pseudocodice)

R = ∞ (punto neutro)
per ogni bit di k (dal meno significativo):
se bit = 1: R = R + G
G = G + G (raddoppia)
ritorna R

Con soli log₂(k) operazioni si ottiene il risultato. Per k a 256 bit: massimo 512 operazioni.

La cosa affascinante è che k×G sembra saltare casualmente sulla griglia quando k cresce di 1. Non c'è nessuna relazione visibile tra k e la posizione di k×G — questo è il nucleo matematico della sicurezza Bitcoin.

Il Problema del Logaritmo Discreto (ECDLP): Dato Q = k×G, trovare k è computazionalmente impossibile. Eppure calcolare k×G dato k è facile. Questa asimmetria è ciò che rende sicure le chiavi Bitcoin.

k corrente

1

k×G — coordinate

—

y² ≡ x³ + 7 (mod 97) — trascina il cursore

k = 1 (G sembra "saltare" casualmente — questo è il cuore della sicurezza)

Guarda come i punti appaiono: non c'è nessun pattern visivo. Ogni passo k×G salta in una posizione completamente diversa sulla griglia.

G k×G corrente Precedenti

// step 05 / 08

secp256k1: I Parametri Reali

I valori fissati pubblicamente che definiscono il sistema crittografico di Bitcoin

// standard

Parametri pubblici fissi

In Bitcoin, tutti usano esattamente gli stessi parametri per la curva ellittica. Questi valori sono definiti nello standard secp256k1 e sono completamente pubblici. La sicurezza non dipende dalla segretezza di questi parametri, ma dall'impossibilità matematica di invertire la moltiplicazione scalare.

Il Punto Generatore G è un punto speciale fisso sulla curva. Tutti i wallet Bitcoin del mondo derivano le loro chiavi moltiplicando G per una chiave privata diversa.

Perché "k1" nel nome? "sec" = Standards for Efficient Cryptography. "p" = campo primo. "256" = 256 bit. "k1" = tipo Koblitz, variante 1. Koblitz curves hanno la proprietà di ammettere algoritmi di calcolo particolarmente efficienti.

~2²⁵⁶ punti — più del numero stimato di atomi nell'universo osservabile (~10⁸⁰). Anche con tutti i computer del pianeta, cercare esaustivamente k sarebbe impossibile.

Chiave Privata

k

×

Generatore

G

=

Chiave Pubblica

Q

→ Facile: calcola Q dato k (double-and-add, ~512 operazioni)

← Impossibile: trova k dato Q (ECDLP — problema su curva ellittica)

p — il primo campo (256 bit)

FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF
FFFFFFFF FFFFFFFF FFFFFFFE FFFFFC2F

a — coefficiente quadratico

0x00 (curva semplificata: y² = x³ + b)

b — coefficiente costante

0x07

Gx — coordinata X del Punto Generatore

79BE667E F9DCBBAC 55A06295 CE870B07
029BFCDB 2DCE28D9 59F2815B 16F81798

Gy — coordinata Y del Punto Generatore

483ADA77 26A3C465 5DA4FBFC 0E1108A8
FD17B448 A6855419 9C47D08F FB10D4B8

n — ordine del gruppo (numero di punti)

FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFE
BAAEDCE6 AF48A03B BFD25E8C D0364141

// step 06 / 08

Chiave Privata → Chiave Pubblica

Q = k×G — la funzione a senso unico che protegge i tuoi bitcoin

// derivazione

Da un numero segreto a una chiave pubblica

La chiave privata k è un numero casuale a 256 bit. Deve rimanere segreto — chi lo conosce controlla i bitcoin associati.

La chiave pubblica Q = k×G è il risultato della moltiplicazione scalare del Punto Generatore G per k. È completamente sicuro condividere Q pubblicamente — da Q è impossibile ricavare k.

La chiave pubblica viene poi compressa: si conserva solo la coordinata X più un prefisso (02 se Y è pari, 03 se Y è dispari) — questo funziona perché dalla x si può sempre ricostruire la y (±√(x³+7 mod p)).

Chiave pubblica compressa

Se Y pari: 02 + X (33 byte totali)
Se Y dispari: 03 + X (33 byte totali)
Non compressa: 04 + X + Y (65 byte)

Algoritmo Double-and-Add su secp256k1: il calcolo usa BigInt JavaScript e le stesse costanti di secp256k1. Ci vogliono alcuni secondi perché la moltiplicazione su un campo a 256 bit richiede molte operazioni modulo un numero enorme.

Chiave Privata (64 caratteri hex)

Coordinata X (Qx)

—

Coordinata Y (Qy)

—

Chiave Pubblica Compressa (33 byte)

—

Prefisso

—

// step 07 / 08

ECDSA: Firma e Verifica

La prova matematica che possiedi una chiave privata — senza rivelarla

// crittografia

Cos'è una firma digitale ECDSA?

Con ECDSA (Elliptic Curve Digital Signature Algorithm) puoi firmare un messaggio con la tua chiave privata k. Chiunque abbia la tua chiave pubblica Q può verificare che la firma sia tua — senza che tu abbia rivelato k.

In Bitcoin, ogni transazione contiene una firma ECDSA che prova che il proprietario della chiave privata ha autorizzato il trasferimento.

Firma (sign)

z = SHA256(messaggio)
k_nonce = random()
R = k_nonce × G
r = R.x mod n
s = k_nonce⁻¹ × (z + r·privKey) mod n
firma = (r, s)

Verifica (verify)

w = s⁻¹ mod n
u1 = z·w mod n
u2 = r·w mod n
P = u1×G + u2×Q
valida se P.x ≡ r (mod n)

Il nonce k_nonce è critico: deve essere sempre un nuovo numero casuale per ogni firma. Se si riusa lo stesso nonce due volte, la chiave privata può essere estratta matematicamente dalle due firme. Questo è esattamente ciò che accadde alla PlayStation 3.

Coppia di chiavi generata automaticamente

privKey: —
pubKey: —

Messaggio da firmare

⚠ Attacco PS3 (2010) — Nonce Riutilizzato

⚠ Cosa succede se il nonce k viene riutilizzato

Nel 2010, Sony PS3 usava lo stesso nonce k per tutte le firme ECDSA del firmware. Questo permise di estrarre matematicamente la chiave privata di Sony. Non era un bug nel codice — era una violazione fondamentale di ECDSA.

Dimostrazione: due messaggi firmati con lo stesso k rivelano la chiave privata.

// step 08 / 08

Schnorr e Taproot: Bitcoin dopo 2021

BIP340/341 — firme lineari, MuSig e indirizzi bc1p...

// sezione A

Schnorr: la firma lineare

Da novembre 2021 (attivazione di Taproot, BIP341), Bitcoin supporta le firme Schnorr (BIP340). Tutti i nuovi indirizzi P2TR (bc1p...) usano Schnorr invece di ECDSA.

La differenza fondamentale: s = k + e·priv — un'equazione lineare. Questo sblocca la aggregazione di firme e chiavi (MuSig).

ECDSA vs Schnorr

ECDSA

R = k×G, z = hash(msg)
s = k⁻¹(z + r·priv) mod n
Firma = (r, s) — 72 byte DER

Verifica: R' = s⁻¹·(z·G + r·Q)
valida se R'.x ≡ r

Schnorr (BIP340)

R = k×G, e = hash(R.x‖P.x‖msg)
s = k + e·priv mod n
Firma = (R.x, s) — 64 byte fissi

Verifica: R' = s×G - e×P
valida se R'.x == R.x

MuSig: multisig invisibile

MuSig semplificato

P₁ = priv₁×G P₂ = priv₂×G
P_agg = P₁ + P₂
s₁ = k₁ + e·priv₁ s₂ = k₂ + e·priv₂
s_agg = s₁ + s₂ — 64 byte, identica a single-sig

Taproot e bc1p

Taproot (BIP341) usa una chiave x-only (32 byte) e un TapTweak: Q = P + t×G dove t = hash_TapTweak(P.x). Gli indirizzi usano Bech32m (costante 0x2bc830a3) e iniziano con bc1p.

Chiave privata (hex 64)

Messaggio da firmare

Demo semplificata: due partecipanti firmano insieme. La firma aggregata e' indistinguibile da single-sig on-chain.

Genera un indirizzo Taproot (bc1p...) via BIP341: x-only key + TapTweak + Bech32m.

Chiave privata (hex 64)

✓ Tour completato: secp256k1 + Schnorr + Taproot!

La matematica dietro
ogni chiave Bitcoin

La conoscenza
dovrebbe essere libera

La matematica dietroogni chiave Bitcoin

La conoscenzadovrebbe essere libera

La matematica dietro
ogni chiave Bitcoin

La conoscenza
dovrebbe essere libera