Privacy coin: il compromesso tra anonimato e controllo

L’invisibilità protegge gli utenti, ma può nascondere gli errori

A giugno 2026, nel sistema di transazioni schermate di Zcash è stata individuata, per la seconda volta in sette anni, una vulnerabilità che avrebbe potuto consentire la creazione di moneta contraffatta senza lasciare tracce verificabili. Non è stato rilevato un attacco, ma l’episodio ha riportato in primo piano una delle contraddizioni strutturali dei privacy coin: quando un protocollo viene progettato per sottrarre le transazioni all’osservazione pubblica, anche eventuali anomalie possono diventare difficili, o impossibili, da ricostruire.

I privacy coin nascono dal tentativo di trasferire nel mondo digitale una proprietà tipica del contante: la possibilità di scambiare valore senza rendere pubblici l’identità delle parti, gli importi e la storia delle transazioni. Monero e Zcash rappresentano le applicazioni più avanzate di questa idea, ma mostrano anche il compromesso che ne deriva: quanto più un protocollo protegge le informazioni degli utenti, tanto più diventa complesso verificarne dall’esterno il corretto funzionamento. La riservatezza, quindi, non incide soltanto sulla tracciabilità dei pagamenti, ma anche sulla capacità di individuare eventuali anomalie e di ricostruirne le conseguenze.

Le radici cypherpunk

I privacy coin sono l’esito di una riflessione iniziata ben prima della nascita di Bitcoin. Le loro radici risalgono ai primi studi sulla moneta elettronica degli anni Ottanta e, successivamente, al movimento cypherpunk, che considerava la crittografia non soltanto una disciplina tecnica, ma uno strumento per proteggere comunicazioni, identità e transazioni dall’osservazione di governi e grandi infrastrutture centralizzate.

Uno dei principali precursori fu David Chaum, crittografo e informatico statunitense considerato tra i pionieri della moneta digitale. Nel 1982 descrisse le cosiddette firme cieche, una tecnica attraverso la quale un soggetto può firmare e validare un’informazione senza conoscerne il contenuto.

Applicato ai pagamenti, il meccanismo permetteva a una banca di emettere un’unità monetaria digitale senza poterla collegare, al momento della spesa, alla persona che l’aveva precedentemente ritirata. L’intermediario continuava a garantire l’emissione e la validità della moneta, ma perdeva la capacità di ricostruire l’intera sequenza dei pagamenti effettuati dall’utente.

Chaum cercò di trasformare questi studi in un sistema commerciale fondando DigiCash nel 1989. La società sviluppò eCash, un sistema sperimentato a partire dalla metà degli anni Novanta nel quale gli utenti potevano ritirare dalla propria banca equivalenti digitali delle banconote e spenderli senza che l’istituto fosse in grado di associare il pagamento al precedente prelievo.

A differenza delle successive cripto-attività, eCash non eliminava la banca emittente e non utilizzava un registro distribuito. Cercava piuttosto di riprodurre nel mondo digitale una proprietà tipica del contante: la possibilità di effettuare un pagamento senza generare automaticamente una registrazione completa e permanente dell’identità delle parti coinvolte.

Il contributo di Chaum fu decisivo perché individuò con largo anticipo un problema destinato a riemergere con le blockchain. Un pagamento digitale produce dati che possono essere conservati, aggregati e analizzati nel tempo. Senza specifiche protezioni crittografiche, il denaro elettronico può quindi risultare molto più tracciabile del contante fisico.

Negli anni Novanta questa impostazione venne ripresa dal movimento cypherpunk. La privacy non era considerata una semplice preferenza individuale, ma una proprietà da incorporare direttamente nei protocolli: una tutela affidata alla discrezione di un intermediario può essere revocata, mentre una tutela garantita dalla crittografia fa parte dell’architettura stessa del sistema.

Cosa sono i privacy coin

I privacy coin sono cripto-attività i cui protocolli incorporano strumenti crittografici concepiti per ridurre la tracciabilità delle transazioni. Mirano a nascondere, oppure a rendere difficilmente correlabili, tre informazioni fondamentali: chi sta spendendo, chi riceve i fondi e quale importo viene trasferito.

Non costituiscono però una categoria tecnicamente omogenea. Alcuni protocolli schermano automaticamente tutte le transazioni; altri consentono agli utenti di scegliere tra operazioni pubbliche e private; altri ancora non nascondono direttamente i dati, ma combinano più pagamenti per rendere meno immediata la ricostruzione dei flussi.

Un concetto centrale è quello di unlinkability, cioè l’impossibilità, o almeno la difficoltà, di stabilire che transazioni differenti appartengano allo stesso soggetto. L’assenza del nome dell’utente non garantisce infatti una reale riservatezza. Se un osservatore può collegare tra loro indirizzi, importi, orari e comportamenti ricorrenti, può comunque ricostruire un profilo finanziario e tentare successivamente di associarlo a un’identità reale.

Monero, Zcash e Dash rappresentano tre modelli distinti. Monero applica la riservatezza per impostazione predefinita e non consente transazioni completamente trasparenti. Zcash mantiene invece una componente pubblica e una schermata, lasciando all’utente la scelta del livello di divulgazione. Dash utilizza PrivateSend, un sistema che combina i fondi di più utenti per renderne meno evidente la provenienza, ma non nasconde crittograficamente tutte le componenti della transazione.

Esistono anche protocolli minori, come Bytecoin e Horizen, ma Monero e Zcash restano i due casi di riferimento per sofisticazione tecnica, rilevanza di mercato e influenza esercitata sul dibattito relativo alla privacy finanziaria.

Un segmento marginale del mercato

La rilevanza tecnica e filosofica dei privacy coin è molto superiore al loro peso economico. A metà luglio 2026 Zcash presenta una capitalizzazione di circa 9,2 miliardi di dollari, Monero di circa 6,2 miliardi e Dash di circa 440 milioni. Nel complesso, i tre principali privacy coin valgono poco più di 15,8 miliardi di dollari, a fronte di una capitalizzazione complessiva del mercato cripto compresa tra 2.200 e 2.300 miliardi.

Il loro peso rimane quindi inferiore all’1% del totale. Zcash e Monero conservano una presenza significativa tra le principali cripto-attività, collocandosi rispettivamente intorno all’undicesima e alla sedicesima posizione per capitalizzazione, mentre Dash presenta dimensioni sensibilmente inferiori. I privacy coin rappresentano dunque un fenomeno marginale sul piano quantitativo, ma centrale per le questioni che sollevano: fungibilità, sorveglianza finanziaria, conformità normativa e verificabilità dell’offerta monetaria.

Le differenze con Bitcoin: trasparenza e tracciabilità

Bitcoin viene spesso definito “anonimo”, ma la descrizione tecnicamente più corretta è “pseudonimo”. Le transazioni non sono associate direttamente a un’identità anagrafica, ma sono registrate pubblicamente e in modo permanente all’interno della blockchain.

Ogni transazione utilizza come input output non ancora spesi creati da operazioni precedenti e genera nuovi output, che assegnano i fondi ai destinatari. Questi dati, insieme agli indirizzi coinvolti e agli importi trasferiti, rimangono consultabili da chiunque.

Gli indirizzi sono stringhe crittografiche e non riportano il nome del titolare. La loro attività può però essere osservata e aggregata nel tempo. Quando almeno uno viene associato a una persona o a un’organizzazione, per esempio attraverso un exchange che applica procedure di identificazione della clientela, diventa possibile ricostruire una parte significativa dei flussi collegati.

L’analisi forensica on-chain non osserva soltanto i singoli indirizzi, ma cerca di ricostruire le relazioni che li collegano. Attraverso euristiche e modelli comportamentali, le società specializzate individuano gruppi di indirizzi verosimilmente riconducibili allo stesso soggetto e riconoscono schemi ricorrenti nei flussi. I privacy coin intervengono su questa possibilità di correlazione, cercando di spezzare il legame osservabile tra mittente, destinatario e importo trasferito.

Come funziona la privacy: Monero, Zcash e Dash a confronto

Monero costruisce la propria riservatezza attraverso tre strumenti applicati congiuntamente. Le ring signature, o firme ad anello, proteggono il mittente inserendo l’output realmente speso in un insieme di output esca: la rete può verificare che uno di essi sia stato utilizzato legittimamente, senza identificare quale. Gli stealth address proteggono invece il destinatario, generando per ogni pagamento un indirizzo monouso non direttamente collegabile agli altri fondi ricevuti. RingCT, abbreviazione di Ring Confidential Transactions, nasconde infine gli importi, consentendo al protocollo di verificare l’equilibrio tra input e output senza rivelarne i valori.

La privacy di Monero deriva quindi dalla protezione simultanea di mittente, destinatario e importo. Poiché questi strumenti sono obbligatori, tutte le transazioni contribuiscono allo stesso insieme di anonimato: quanto più questo insieme è ampio e omogeneo, tanto più difficile diventa isolare l’operazione reale.

Zcash adotta un modello diverso, basato sulle zk-SNARK, prove a conoscenza zero che consentono di dimostrare la validità di una transazione senza rivelarne i dati sottostanti. Il protocollo può così verificare che il mittente possieda i fondi, sia autorizzato a spenderli e non abbia creato nuova moneta, mantenendo nascosti indirizzi e importi.

A differenza di Monero, Zcash distingue però tra indirizzi trasparenti e schermati. Le transazioni possono essere pubbliche, private oppure trasferire fondi tra le due componenti del protocollo. Questa flessibilità amplia i casi d’uso, ma può anche fornire elementi utili a correlare le operazioni, soprattutto attraverso l’analisi degli importi e dei tempi di ingresso e uscita dal pool schermato. Le chiavi di visualizzazione permettono inoltre al titolare di mostrare selettivamente i dati di una transazione a un revisore o a un’autorità.

Dash utilizza invece PrivateSend, una variante di CoinJoin. Questa tecnica combina in un’unica transazione gli input e gli output di più utenti, rendendo più difficile ricostruire la corrispondenza tra mittenti e destinatari. I dati restano pubblici, ma la loro interpretazione diventa più incerta.

PrivateSend aumenta quindi l’incertezza nell’analisi dei flussi, ma non nasconde crittograficamente tutte le componenti della transazione attraverso prove equivalenti a quelle adottate da Monero e Zcash. Si tratta, quindi, di un meccanismo di offuscamento più che di una schermatura completa.

La differenza tra privacy obbligatoria e opzionale è sostanziale. In Monero la riservatezza è una proprietà uniforme del registro; in Zcash dipende dalle scelte degli utenti e dalla quantità di attività presente nel pool schermato. Quanto minore è il suo utilizzo, tanto più ristretto può risultare l’insieme nel quale una singola transazione cerca di confondersi.

Il prezzo della riservatezza

Una parte storica della comunità di Monero appartiene all’area cripto-anarchica e cypherpunk e considera la riservatezza finanziaria una componente essenziale della libertà individuale. Da questa prospettiva, la possibilità per banche, piattaforme o governi di ricostruire pagamenti e patrimoni rappresenta un rischio indipendentemente dalla legittimità delle singole operazioni.

Le stesse proprietà possono però essere utilizzate per sottrarre attività illecite ai controlli. È questa neutralità dello strumento ad aver reso i privacy coin particolarmente controversi: il protocollo non distingue tra un utente che protegge legittimamente i propri dati finanziari e uno che cerca di occultare l’origine o la destinazione dei fondi.

Il costo della riservatezza non è però soltanto regolamentare. Quando mittenti, destinatari e importi non sono osservabili, diventa più difficile verificare dall’esterno che l’offerta monetaria e le regole contabili del protocollo siano state rispettate.

In una blockchain trasparente, eventuali squilibri possono essere individuati attraverso l’analisi diretta del registro. In un sistema schermato, la validità dipende invece dalla correttezza delle prove crittografiche e del codice che le implementa. Se uno di questi meccanismi contiene un errore, la rete può accettare una transazione che appare valida senza che sia possibile ricostruirne successivamente tutte le conseguenze.

I precedenti di Zcash e Monero

Zcash ha affrontato questo rischio in due occasioni. Nel 2018 venne individuata una vulnerabilità nel sistema di prova delle transazioni schermate che avrebbe potuto permettere la creazione di quantità arbitrarie di ZEC, l’unità monetaria nativa della rete, senza che l’aumento dell’offerta fosse rilevabile attraverso l’analisi della blockchain. La falla fu corretta nell’ottobre dello stesso anno e divulgata soltanto nel febbraio 2019, dopo che la rete aveva completato l’aggiornamento.

Nel giugno 2026 è emerso un problema analogo in Orchard, il sistema utilizzato da Zcash dal 2022 per gestire una delle componenti schermate del protocollo. Anche in questo caso, la vulnerabilità avrebbe potuto consentire la creazione di moneta contraffatta senza produrre una traccia pubblicamente verificabile. Gli sviluppatori non hanno individuato prove di uno sfruttamento sistematico, ma la natura schermata del protocollo impedisce di escluderlo in modo assoluto.

Monero ha registrato vulnerabilità differenti, ma riconducibili allo stesso problema generale. Nel 2017 una falla ereditata dal protocollo CryptoNote avrebbe potuto consentire la creazione di moneta attraverso una gestione anomala degli output. Monero corresse il problema prima che risultasse sfruttato, mentre Bytecoin, basato sulla stessa famiglia tecnologica, subì la generazione non autorizzata di centinaia di milioni di unità.

Nel 2018 il cosiddetto multiple counting bug, sempre relativo all’ecosistema Monero, permise ad alcuni sistemi esterni di contabilizzare più volte il medesimo trasferimento. La blockchain non registrava più pagamenti, ma un exchange che non effettuava i controlli corretti poteva interpretare più volte la stessa operazione e accreditare all’utente un saldo superiore a quello realmente depositato.

Anche le successive vulnerabilità nell’algoritmo di selezione degli output esca riguardavano Monero. Non consentivano di creare moneta o sottrarre direttamente fondi, ma rendevano alcune esche distinguibili dall’output realmente speso. In determinate condizioni, un osservatore poteva quindi ridurre il numero dei possibili mittenti e indebolire la privacy promessa dalle ring signature.

I casi di Zcash e Monero mostrano così due rischi speculari. Un errore può nascondere una violazione dell’integrità monetaria oppure rendere più visibile una transazione che il protocollo dovrebbe proteggere. Nel primo caso diventa impossibile verificare con certezza che l’offerta non sia stata alterata; nel secondo si restringe l’insieme di anonimato sul quale si basa la riservatezza dell’utente.

Conclusioni

I privacy coin dimostrano che è possibile verificare una transazione senza rendere pubblici mittente, destinatario e importo. Monero e Zcash hanno portato questa idea a un livello di sofisticazione elevato, ma i loro precedenti di sicurezza mostrano anche il limite del modello: quando il registro non espone ciò che accade al suo interno, diventa più difficile distinguere tra assenza di anomalie e impossibilità di osservarle.

Il punto è particolarmente rilevante quando la vulnerabilità riguarda l’offerta monetaria. In un protocollo schermato, una falla può consentire la creazione di moneta non autorizzata senza produrre evidenze sufficienti per stabilire, anche dopo la correzione, se sia stata effettivamente sfruttata e in quale misura.

La riservatezza protegge quindi gli utenti, ma riduce anche la quantità di informazioni disponibili per controllare il sistema. I privacy coin non eliminano il compromesso tra privacy e verificabilità: lo affidano alla solidità degli strumenti crittografici, alla loro corretta implementazione e alla qualità dei processi di revisione del codice. Quando la crittografia o la sua implementazione presentano una falla, l’opacità smette di essere soltanto una tutela e diventa un limite alla possibilità stessa di ricostruire ciò che è accaduto.