Bitcoin è trasparente per progettazione, ma proprio questa caratteristica rende difficile parlare di vera privacy. Un nuovo paper propone un approccio basato su crittografia e zero-knowledge proof per introdurre transazioni “shielded” direttamente sopra Bitcoin, senza ricorrere a un Layer 2. L’idea è ambiziosa, ma restano alcuni nodi tecnici ancora da risolvere.
Bitcoin viene spesso descritto come una moneta digitale anonima. Tecnicamente, però, non è così.
Le transazioni sulla blockchain sono pubbliche e possono essere analizzate. Gli indirizzi non riportano direttamente il nome del proprietario, ma le attività associate a quegli indirizzi possono essere ricostruite e collegate tra loro attraverso tecniche di analisi della blockchain.
È proprio da questo problema che nasce una nuova proposta: gli Shielded Bitcoin, un sistema pensato per aggiungere un livello di privacy alle transazioni mantenendo il funzionamento del Layer 1 di Bitcoin.
L’approccio guarda anche a esperienze già sviluppate nel settore delle criptovalute privacy, in particolare a concetti utilizzati da Zcash, ma cerca di integrarli in un modello differente.
Bitcoin non è anonimo: è pseudonimo
La differenza è fondamentale.
Quando una transazione Bitcoin viene registrata sulla blockchain, tutti possono osservare gli input, gli output e i movimenti associati agli indirizzi coinvolti. Quello che non compare automaticamente è l’identità reale delle persone che controllano quegli indirizzi.
Si parla quindi di pseudonimato, non di anonimato.
La trasparenza è una caratteristica strutturale di Bitcoin: la rete deve poter verificare che le monete esistano, che non vengano spese due volte e che nessuno possa creare bitcoin dal nulla.
Il problema è evidente: le stesse proprietà che rendono verificabile il sistema rendono anche possibile tracciare i movimenti dei fondi.
La proposta degli Shielded Bitcoin prova quindi a intervenire proprio su questo punto: mantenere la possibilità di verificare una transazione senza rendere pubblici tutti i dettagli del trasferimento.
Come funzionano gli Shielded Bitcoin
L’idea centrale è quella di utilizzare una combinazione di crittografia, messaggi cifrati e zero-knowledge proof.
Il sistema non modifica direttamente il funzionamento fondamentale del Layer 1 e, secondo l’impostazione descritta nel paper, non richiede la creazione di un vero e proprio Layer 2. La logica viene invece costruita attraverso una sorta di metaprotocollo che utilizza messaggi inseriti nelle transazioni.
Per comprenderlo è utile semplificare il processo.
Immaginiamo che Alice voglia inviare bitcoin a Bob.
Bob deve prima creare un indirizzo specifico per ricevere gli Shielded Bitcoin. Non si tratta semplicemente di un normale indirizzo Bitcoin: contiene le informazioni e gli elementi crittografici necessari affinché Alice possa costruire correttamente la transazione.
Questo materiale può essere trasferito a Bob attraverso un canale esterno, per esempio tramite un QR code o un altro sistema di comunicazione.
A quel punto Alice può costruire la transazione.
Le “note” al posto delle normali UTXO
Uno degli elementi fondamentali del modello sono le note, che svolgono una funzione paragonabile alle UTXO di Bitcoin.
Le note vengono registrate all’interno di una struttura globale basata su un Merkle tree, che permette di dimostrare l’esistenza di una determinata nota senza dover rivelare necessariamente quale sia.
Quando Alice vuole spendere una nota, genera un elemento crittografico chiamato nullifier.
Il nullifier serve a dimostrare che quella nota è stata spesa e non può essere utilizzata nuovamente.
La parte interessante è che il sistema cerca di separare due informazioni:
la rete deve sapere che una nota valida è stata spesa;
la rete non deve necessariamente sapere quale specifica nota fosse.
È qui che entrano in gioco le zero-knowledge proof.
Zero-knowledge proof: verificare senza rivelare
Le zero-knowledge proof permettono, in termini semplificati, di dimostrare che una determinata affermazione è vera senza rivelare tutte le informazioni utilizzate per dimostrarla.
Nel caso degli Shielded Bitcoin, questo meccanismo viene utilizzato per dimostrare che:
la nota esiste;
chi la spende ne è il proprietario;
il nullifier è valido;
la nota non è già stata spesa;
la quantità di bitcoin trasferita è coerente;
non vengono creati nuovi bitcoin dal nulla.
La blockchain può quindi verificare la validità dell’operazione senza conoscere necessariamente l’intero percorso seguito dai fondi.
È questo il cuore della proposta: la validità della transazione rimane verificabile, mentre le informazioni sulla provenienza e sulla destinazione possono essere protette.
Cosa vede la blockchain?
Qui emerge uno degli aspetti più interessanti del sistema.
Una parte della transazione può essere pubblica, mentre un’altra viene inserita in una sorta di pacchetto cifrato.
Bob, grazie alle proprie chiavi private, può decifrare le informazioni destinate a lui e riconoscere le note ricevute.
Un osservatore esterno, invece, può vedere che è avvenuto un trasferimento e può verificare alcuni elementi crittografici, ma non necessariamente conoscere:
chi ha inviato i bitcoin;
chi li ha ricevuti;
quali specifiche note sono state utilizzate;
quale sia stato l’importo trasferito.
In altre parole, la blockchain continuerebbe a certificare che qualcosa è successo, ma con molte meno informazioni utili per ricostruire la transazione.
È una differenza sostanziale rispetto al modello tradizionale di Bitcoin.
Il double spending rimane sotto controllo
La privacy, naturalmente, non può significare rinunciare alla sicurezza.
Il sistema deve continuare a impedire che la stessa moneta venga spesa due volte.
Il compito è affidato proprio ai nullifier.
Quando una nota viene spesa, il relativo nullifier viene pubblicato. Se qualcuno tentasse successivamente di spendere nuovamente la stessa nota, il sistema riconoscerebbe che il relativo nullifier è già presente e rifiuterebbe l’operazione.
La proprietà importante è che solo il proprietario della nota dovrebbe essere in grado di generare correttamente il nullifier associato a quella nota.
In questo modo è possibile dimostrare che una nota è stata spesa senza rivelare pubblicamente quale nota fosse.
Non basta proteggere la privacy: bisogna anche dimostrare che i bitcoin esistono
Un altro requisito fondamentale riguarda la quantità di bitcoin.
Una soluzione privacy non può permettere a qualcuno di creare moneta dal nulla.
Anche questo controllo viene affidato alle prove crittografiche: il sistema deve poter dimostrare che il valore degli input corrisponde al valore degli output, secondo le regole previste dal protocollo.
La privacy, quindi, non elimina la possibilità di verificare la correttezza economica della transazione.
Nasconde le informazioni non necessarie, ma mantiene le garanzie fondamentali che impediscono la creazione arbitraria di bitcoin.
Shielded Bitcoin: tre problemi che il paper deve ancora risolvere
L’idea è tecnicamente interessante, ma non significa che il problema sia già risolto.
La proposta presenta almeno tre questioni importanti che, secondo l’analisi riportata nella trascrizione, rimangono aperte.
- Come entrano i bitcoin nel sistema Shielded?
Il primo problema è probabilmente il più immediato.
Il modello spiega come funzionano le note e come queste possano essere trasferite utilizzando il meccanismo crittografico, ma rimane da chiarire in modo completo come un normale bitcoin presente sul Layer 1 venga trasformato in una nota Shielded.
Il passaggio inverso è altrettanto importante: come può un bitcoin che si trova all’interno del sistema Shielded tornare a essere un normale bitcoin sul Layer 1?
La trascrizione evidenzia che gli autori hanno indicato un successivo lavoro, denominato Pipe V2, come possibile sede per spiegare questo aspetto.
Senza un meccanismo solido di ingresso e uscita, infatti, una soluzione di questo tipo rimarrebbe incompleta dal punto di vista operativo.
- Più responsabilità per il wallet
Il secondo problema riguarda il lavoro richiesto ai client.
Un wallet che utilizza questo sistema dovrebbe monitorare la blockchain per individuare i pacchetti potenzialmente destinati al proprio proprietario e provare a decifrarli utilizzando le proprie chiavi.
La rete può vedere il pacchetto, ma soltanto il destinatario corretto dovrebbe essere in grado di aprirne il contenuto.
Questo sposta quindi una parte del lavoro dal sistema centrale al client, secondo una logica che presenta alcune analogie con quanto avviene in altri sistemi Bitcoin.
C’è però un aspetto positivo: il wallet non deve necessariamente rimanere online ininterrottamente. Può tornare online, recuperare i blocchi mancanti e procedere con le scansioni necessarie.
- Il problema della crescita dei dati
Il terzo ostacolo è legato alla quantità di informazioni che il sistema deve mantenere.
La proposta utilizza strutture come il Merkle tree delle note e l’insieme dei nullifier già utilizzati.
Secondo l’analisi contenuta nella trascrizione, queste strutture sono destinate a crescere nel tempo e non possono essere semplicemente eliminate, perché la rete deve poter verificare che una determinata nota sia già stata spesa.
Questo pone un problema di scalabilità.
Più il sistema viene utilizzato, più informazioni devono essere gestite.
Transazioni più pesanti e possibili fee più alte
La privacy crittografica ha anche un costo.
Una transazione Shielded deve contenere più informazioni e utilizzare strutture crittografiche più complesse rispetto a una transazione Bitcoin tradizionale.
La conseguenza prevista è un maggiore utilizzo dello spazio nei blocchi.
Nella trascrizione viene indicato, come stima ancora non definitiva, un peso che potrebbe essere nell’ordine di circa una volta e mezza o due volte quello di un trasferimento normale. Si tratta però di un’indicazione preliminare e non di un dato definitivo sul protocollo.
Se le transazioni occupano più spazio, a parità di domanda aumenta la competizione per il block space e possono aumentare anche le commissioni necessarie per includerle.
La privacy, quindi, potrebbe avere un costo concreto in termini di efficienza.
Il vero punto di forza: privacy senza rinunciare alla verifica
Nonostante i problemi aperti, il concetto alla base degli Shielded Bitcoin è particolarmente interessante.
L’obiettivo non è rendere invisibile la blockchain.
È qualcosa di più specifico: rendere verificabile una transazione senza rendere pubblici tutti i dettagli necessari per ricostruirla.
La rete può continuare a controllare che:
i bitcoin esistano;
il proprietario abbia il diritto di spenderli;
la stessa nota non venga spesa due volte;
gli importi siano coerenti;
non venga creata nuova moneta.
Ma un osservatore esterno può non essere in grado di determinare con precisione chi ha inviato i fondi, chi li ha ricevuti e quali specifiche monete siano state utilizzate.
È proprio questa separazione tra verificabilità e visibilità il punto centrale della proposta.
Shielded Bitcoin, una nuova frontiera per la privacy?
Il paper non rappresenta ancora la soluzione definitiva al problema della privacy su Bitcoin.
Restano questioni fondamentali da affrontare: il passaggio tra bitcoin on-chain e note Shielded, la gestione lato client, la crescita delle strutture dati e il peso delle transazioni.
Ma il principio è chiaro.
La ricerca sulla privacy di Bitcoin continua a muoversi verso sistemi nei quali la blockchain non deve necessariamente conoscere ogni dettaglio di un trasferimento per poter stabilire che quel trasferimento sia valido.
Le zero-knowledge proof offrono proprio questa possibilità: dimostrare qualcosa senza rivelare tutto ciò che sta dietro alla dimostrazione.
Gli Shielded Bitcoin rappresentano quindi un esperimento significativo in questa direzione. Prima di capire se potranno trasformarsi in una soluzione realmente utilizzabile su larga scala, sarà necessario vedere come verranno risolti i problemi ancora aperti e come il progetto evolverà nei lavori successivi.
La sfida, in fondo, è tutta qui: aggiungere privacy a Bitcoin senza compromettere le proprietà che hanno reso possibile Bitcoin stesso.