Uno sviluppatore ha ricompilato byte per byte bitcoin.exe, il primo client Bitcoin pubblicato da Satoshi Nakamoto nel gennaio 2009, partendo dal codice sorgente originale. Secondo Journal du Coin, che racconta il progetto il 25 ottobre 2026, il file ottenuto ha la stessa impronta SHA-256 dell'originale. Il risultato dimostra che l'eseguibile del 2009 derivava davvero dal codice pubblicato, senza programmi nascosti. Non dice nulla sull'identità di Satoshi.
Che cosa ha ricostruito il repository GitHub
Il progetto si presenta sotto forma di repository GitHub. Parte dal codice sorgente pubblicato con la prima versione e persegue un solo obiettivo: produrre un bitcoin.exe identico a quello distribuito nel 2009. Secondo il readme del repository, il primo tentativo richiede circa 6 minuti.
Alla fine, lo script visualizza «MATCH». Il file ricostruito, un programma di 6'440'960 byte, ha lo stesso SHA-256 dell'originale. Lo SHA-256 funge qui da impronta digitale: due impronte identiche designano due file identici. Anche l'archivio .rar ricostruito riproduce le impronte pubblicate dal Satoshi Nakamoto Institute.
Come funziona una compilazione riproducibile?
Compilare significa trasformare il codice sorgente in un programma eseguibile. Il risultato dipende dagli strumenti utilizzati: due macchine equipaggiate in modo diverso non ottengono mai lo stesso file. Una compilazione riproducibile consiste quindi nel ritrovare l'esatta catena di strumenti dell'autore.
Per Bitcoin 0.1 il compito era impegnativo. Il repository ha dovuto riunire pacchetti scovati negli archivi dal 2006 al 2008, fino all'istantanea esatta utilizzata da Satoshi. In mancanza di Windows XP, riesegue la compilazione sotto Linux con Wine, un software che imita il Windows a 32 bit dell'epoca.
Il metodo non chiede di credere sulla parola allo sviluppatore. Le impronte di ogni file sono pubblicate, e chiunque può rilanciare la compilazione per verificare il risultato di persona.
Che cosa rivela l'eseguibile sulla macchina di Satoshi Nakamoto
Il binario conserva tracce interne che indicano ogni libreria utilizzata, con la relativa versione. La più eloquente è MinGW GCC 3.4.5, il cui percorso di compilazione figura nel file. Il readme della versione 0.1.5 citava due compilatori possibili, MinGW e Visual C++ 6.0. Il binario risolve la questione a favore di MinGW.
Il sistema operativo si basa su un indizio più indiretto. Un test della banca dati Berkeley DB fallisce in un modo molto preciso, che solo i file di sistema di Windows XP producono. È l'indizio più solido avanzato dal repository. Satoshi lo aveva del resto scritto l'8 gennaio 2009 annunciando il suo client: «Per ora solo Windows.»
Anche l'archivio svela i suoi dettagli. Le sue intestazioni conservano date impostate a mano, al minuto. Satoshi ha impacchettato il suo software con un WinRAR che aveva già più di tre anni, ritrovato dal repository. Secondo Journal du Coin, l'eseguibile è stato completato il 10 gennaio 2009.
Risultato accertato, ipotesi e incognite
| Affermazione | Stato | Su che cosa si basa |
|---|---|---|
| Il bitcoin.exe distribuito deriva dal codice sorgente pubblicato | Accertato | Stesso SHA-256, compilazione che chiunque può rilanciare |
| Nessun programma nascosto nell'eseguibile | Accertato | Il file corrisponde esattamente al codice pubblicato |
| Compilatore MinGW GCC 3.4.5 | Accertato | Percorso di compilazione iscritto nel binario |
| Macchina con Windows XP | Ipotesi solida | Comportamento di un test Berkeley DB |
| Pacchetto del giorno del lancio | Non verificabile | Nessuna copia verificata è sopravvissuta |
| Identità di Satoshi | Sconosciuta | Il repository non dice nulla sull'utente |
Che cosa non si sa ancora
Il bitcoin-0.1.0 ricostruito non è quello dell'8 gennaio 2009. L'archivio corrisponde all'aggiornamento del 10 gennaio, perché nessuna copia verificata del pacchetto di lancio è sopravvissuta. Il file del primo giorno sfugge quindi alla verifica.
La ricostruzione non è nemmeno del tutto indipendente. Lo script ricopia tre marcature temporali lette sul file originale. Ripete così un gesto di Satoshi senza riscoprirlo da sé.
Infine, l'enigma umano resta intatto. Il computer di Satoshi non compare in alcun documento, e il repository non dice nulla sul suo utente. Conoscere un compilatore e un sistema operativo non indica nessuno.
La posta in gioco di questa identità non è soltanto storica. Secondo Journal du Coin, il creatore di Bitcoin detiene l'equivalente di 71 miliardi di dollari in BTC. Nemmeno i bitcoin della prima ora dormono in eterno: la stessa testata riferisce che 100 BTC dell'era di Satoshi sono usciti da sedici anni di sonno «lo scorso ottobre», senza precisare l'anno. Nulla, nel repository, collega questi movimenti a una persona.
Perché la verifica conta per la sicurezza di un portafoglio bitcoin
Nel 2009 nessuno verificava il file fornito da Satoshi. Ci sono voluti diciassette anni per stabilire che l'eseguibile corrispondeva al codice pubblicato. La lezione vale ancora: un codice sorgente pubblico non garantisce nulla sul programma installato finché nessuno verifica che ne derivi.
Il caso dei Ledger manomessi, già trattato da 2clics, mostra quanto costa un dispositivo modificato. Dal 9 ottobre 2026, centinaia di possessori di Ledger acquistati presso CryptoBilis, rivenditore autorizzato in Indonesia, Malaysia e nelle Filippine, hanno visto sparire le loro criptovalute. Bitquery censisce 102 milioni di dollari sottratti da 324 wallet, una cifra che Ledger non ha né confermato né contestato.
Il modus operandi riguarda la distribuzione, non il codice. Secondo Ledger, un «gruppo criminale molto organizzato» ha aperto dispositivi autentici per innestarvi dei componenti, prima di rimetterli in circolazione tramite rivenditori del Sud-est asiatico. Il produttore afferma che il chip, il sistema operativo e i suoi server sono rimasti intatti.
Una campagna di phishing sfrutta poi questo caso, secondo l'allerta della società di sicurezza SlowMist. Un'e-mail promette un falso aggiornamento Ledger del firmware, poi chiede le 24 parole della frase di recupero.
I riflessi di sicurezza per un portafoglio bitcoin
Le raccomandazioni pubblicate da Ledger dopo il caso seguono la logica della compilazione riproducibile: fidarsi solo di ciò che si può verificare. Per chi detiene bitcoin in Svizzera come altrove, si riassumono in pochi punti:
- scaricare il software del proprio portafoglio dal canale ufficiale dell'editore, come shop.ledger.com per Ledger Wallet;
- aggiornare il firmware unicamente nell'applicazione ufficiale, confermando ogni passaggio sullo schermo del dispositivo;
- non avviare mai un aggiornamento da un link ricevuto per e-mail;
- inserire la propria frase di recupero solo sul dispositivo stesso, mai su un computer, un telefono o una pagina web.
