Comment protéger vos bitcoins contre la menace quantique

Un Google Quantum AI whitepaper published le 30 mars 2026 identifie environ 6,9 millions de Bitcoin (BTC) — soit près d’un tiers de l’offre totale — stockés dans des adresses vulnérables aux attaques quantiques « au repos », y compris environ 1,1 million de coins liés au créateur pseudonyme du réseau, Satoshi Nakamoto.

TL;DR

Google Quantum AI a constaté que casser la cryptographie à courbe elliptique 256 bits de Bitcoin pourrait nécessiter moins de 500 000 qubits physiques — soit une réduction par 20 par rapport aux estimations précédentes.

Environ 6,9 millions de BTC sont stockés dans des types d’adresses où les clés publiques sont exposées en permanence, ce qui en fait des cibles pour de futures attaques quantiques au repos.

Les adresses P2PK de l’ère Satoshi ne peuvent pas être mises à niveau par qui que ce soit, soulevant des questions épineuses de gouvernance sur l’opportunité de geler ces coins dormants ou de les laisser vulnérables.

Ce que dit réellement le whitepaper de Google

L’article porte un long titre : « Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations. » Il runs sur 57 pages et représente l’évaluation la plus détaillée à ce jour de la menace quantique pour la cryptographie, produite par une grande entreprise technologique.

Six chercheurs de Google Quantum AI — Ryan Babbush, Adam Zalcman, Craig Gidney, Michael Broughton, Tanuj Khattar et Hartmut Neven — ont coécrit l’article. Parmi les collaborateurs externes figurent Thiago Bergamaschi de l’UC Berkeley, Justin Drake de l’Ethereum Foundation et Dan Boneh de Stanford.

La contribution technique centrale est une paire de circuits quantiques optimisés qui implement l’algorithme de Shor pour le problème du logarithme discret sur courbe elliptique (ECDLP) sur des courbes 256 bits.

C’est exactement la primitive cryptographique qui sécurise Bitcoin.

Un circuit utilise moins de 1 200 qubits logiques et 90 millions de portes Toffoli. L’autre utilise moins de 1 450 qubits logiques et 70 millions de portes Toffoli.

Google estime que ces circuits pourraient s’exécuter en quelques minutes sur un ordinateur quantique supraconducteur avec moins de 500 000 qubits physiques. Les estimations précédentes exigeaient un matériel bien plus massif. Un article largement cité de 2022 de l’University of Sussex projected 317 millions de qubits physiques pour une attaque d’une heure et 1,9 milliard pour une fenêtre de dix minutes. La conclusion de Google compresse cette exigence d’environ un facteur 20.

Dans une démarche inhabituelle pour un article d’estimation de ressources, Google a retenu les circuits réels. À la place, l’équipe a publié une preuve à divulgation nulle de connaissance utilisant SP1 et le SNARK Groth16. Des chercheurs indépendants peuvent vérifier les affirmations sans avoir accès aux détails concrets de l’attaque.

Cela builds sur des jalons quantiques antérieurs chez Google.

La puce Willow, annoncée en décembre 2024 et publiée dans Nature, a démontré 105 qubits supraconducteurs avec la première correction d’erreurs « sous le seuil » sur un processeur supraconducteur. Les taux d’erreur ont été divisés par deux à chaque étape de grilles de qubits 3x3, 5x5 puis 7x7. Willow a achevé un benchmark en moins de cinq minutes qui exigerait, selon les estimations, 10 septillions d’années au superordinateur Frontier.

Google a néanmoins précisé que Willow ne constitue aujourd’hui aucune menace cryptographique.

Charina Chou, directrice et COO de Google Quantum AI, a déclaré à The Verge en décembre 2024 que la puce ne peut pas casser la cryptographie moderne et qu’il faudrait environ 4 millions de qubits physiques pour briser RSA.

Google quantum research raises new concerns over Bitcoin and Ethereum encryption vulnerability (Image: Shutterstock)

Pourquoi les coins de Satoshi sont les plus exposés

La vulnérabilité au cœur de l’analyse de Google remonte à un choix de conception fait dans les premiers jours de Bitcoin. Lorsque Satoshi Nakamoto a lancé le réseau le 3 janvier 2009, le logiciel de minage envoyait les récompenses de bloc vers des sorties P2PK (Pay-to-Public-Key). Dans ce format, la clé publique complète reste visible en permanence sur la blockchain dès l’arrivée des coins.

Le script de verrouillage est simplement la clé publique suivie de la commande OP_CHECKSIG. Cela signifie que la clé publique de 65 octets non compressée ou de 33 octets compressée est exposée à toute personne lisant la chaîne.

Il n’y a aucune couche de hachage pour la protéger.

Satoshi a aussi implemented P2PKH (Pay-to-Public-Key-Hash), qui stocke uniquement un hachage de la clé publique. Les adresses P2PKH — ces adresses familières commençant par « 1 » — sont apparues sur la blockchain dans les deux semaines suivant le bloc de genèse.

Le choix était délibéré. Satoshi savait que la cryptographie à courbe elliptique pourrait tomber face à une variante de l’algorithme de Shor exécutée sur un futur ordinateur quantique.

Malgré cette prise de conscience, le logiciel de minage a continué à utiliser par défaut P2PK pour les récompenses de coinbase pendant 2009 et 2010. Les travaux fondateurs de Sergio Demian Lerner sur le « Patoshi pattern », présentés pour la première fois en 2013, ont identified qu’une entité unique avait miné environ 22 000 blocs entre janvier 2009 et mi‑2010. Cette entité a accumulé environ 1,0 à 1,1 million de BTC.

Ce comportement de minage se distinguait du client public. Il utilisait une exploration de nonce multithread et semblait limiter volontairement sa puissance pour préserver la stabilité du réseau.

Seuls environ 907 BTC de cette réserve ont jamais été dépensés. La transaction la plus célèbre a envoyé 10 BTC à Hal Finney lors du tout premier transfert Bitcoin de personne à personne, le 12 janvier 2009.

Comme ces coins n’ont jamais bougé, leurs clés publiques restent exposées de façon permanente. Un ordinateur quantique exécutant l’algorithme de Shor pourrait en dériver les clés privées correspondantes sans aucune pression temporelle. C’est le vecteur d’attaque « au repos » central.

Trois vecteurs d’attaque et l’exposition de 6,9 millions de BTC

Le whitepaper de Google formalizes une taxonomie des attaques quantiques sur les cryptomonnaies qui clarifie l’ampleur des différents vecteurs de menace.

Les attaques au repos ciblent les clés publiques exposées en permanence sur la blockchain. L’attaquant dispose d’un temps illimité — jours, mois ou années — pour dériver la clé privée. Cette catégorie couvre trois grands types d’adresse :

Les adresses P2PK, où la clé publique est visible dans le script de verrouillage dès l’arrivée des coins
Les adresses P2PKH réutilisées, où la clé publique a été révélée après la première transaction sortante
Les adresses P2TR/Taproot, qui stockent par conception une clé publique « tweaked » directement sur la chaîne

Google identifies Taproot comme une régression de sécurité du point de vue quantique. Même des architectures quantiques plus lentes, comme les systèmes à atomes neutres ou à ions piégés, pourraient exécuter des attaques au repos puisqu’il n’y a aucune contrainte de temps. L’analyse on-chain trouve environ 1,7 million de BTC dans des scripts P2PK et environ 6,9 millions de BTC au total dans tous les types d’adresses vulnérables, en tenant compte de la réutilisation et de l’exposition Taproot.

Les attaques « au moment de la dépense », anciennement appelées attaques « en transit », ciblent les transactions dans le mempool.

Lorsqu’un utilisateur diffuse une transaction, la clé publique est revealed dans l’entrée. Un attaquant doit dériver la clé privée avant la confirmation de la transaction — soit environ 10 minutes pour Bitcoin.

Le document de Google indique qu’un ordinateur quantique supraconducteur à horloge rapide pourrait résoudre l’ECDLP en environ neuf minutes, offrant environ 41 % de probabilité de battre la confirmation.

Les attaques « à la configuration » ciblent les paramètres de protocole figés, comme les cérémonies de trusted setup. Bitcoin est immunisé contre ce vecteur. Mais Ethereum (ETH) Data Availability Sampling et des protocoles comme Tornado Cash pourraient être vulnérables.

Le point critique est que le minage par preuve de travail n’est pas menacé. L’algorithme de Grover n’offre qu’une accélération quadratique contre SHA‑256, réduisant la sécurité effective de 256 bits à 128 bits — ce qui reste bien au‑delà du domaine du réalisable. Un article de mars 2026 de Dallaire‑Demers et al. a demonstrated que le minage quantique exigerait environ 10²³ qubits et 10²⁵ watts de puissance, approchant des besoins énergétiques à l’échelle d’une civilisation.

À quelle distance se trouve le « Q‑Day » pour Bitcoin ?

L’écart entre le matériel quantique actuel et la pertinence cryptographique reste important, mais il se réduit plus vite que prévu.

Les processeurs de pointe actuels include Willow de Google avec 105 qubits supraconducteurs, Nighthawk d’IBM avec 120 qubits et une fidélité améliorée, Helios de Quantinuum avec 98 qubits à ions piégés et le réseau record de 6 100 qubits à atomes neutres de Caltech.

Le plus grand système généraliste reste Condor d’IBM avec 1 121 qubits. Face à la nouvelle cible de Google de moins de 500 000 qubits physiques, l’écart va d’environ 80 à 5 000 fois selon l’architecture.

Several developments in 2025 et 2026, les calendriers se sont accélérés :

Microsoft unveiled Majorana 1 en février 2025 — le premier processeur utilisant des qubits topologiques, conçu pour passer à 1 million de qubits sur une puce de la taille de la paume de la main, bien que des études de réplication indépendantes aient remis en question le fait que les effets topologiques soient démontrés de manière concluante
La puce Ocelot d'Amazon, également de février 2025, uses des « qubits chat » qui réduisent la surcharge de correction d’erreurs jusqu’à 90 %
Un article compagnon publié parallèlement au livre blanc de Google affirmait que les architectures à atomes neutres pourraient casser ECC-256 avec aussi peu que 10 000 qubits physiques, sous des hypothèses optimistes

Les estimations d’échéancier des experts couvrent une large gamme. Google a fixé une date limite interne à 2029 pour migrer ses propres systèmes vers la cryptographie post-quantique.

Le chercheur Ethereum Justin Drake estimates à au moins 10 % la probabilité qu’à l’horizon 2032 un ordinateur quantique puisse retrouver une clé privée ECDSA secp256k1. La feuille de route d’IonQ vise 80 000 qubits logiques d’ici 2030.

Du côté des sceptiques, le PDG de Blockstream, Adam Back, rejette comme non crédibles les échéances de 2028. Le PDG de NVIDIA, Jensen Huang, situe les ordinateurs quantiques utiles dans 15 à 30 ans. Le NIST recommande de terminer la migration vers la cryptographie post-quantique d’ici 2035.

La tendance à l’amélioration algorithmique ajoute un sentiment d’urgence. Les besoins en qubits physiques pour casser la cryptographie à courbes elliptiques ont diminué de quatre à cinq ordres de grandeur entre 2010 et 2026. Les derniers circuits de Google représentent une réduction supplémentaire par 20 par rapport aux meilleures estimations précédentes.

Also Read: Chainalysis Launches AI Bots To Fight Crypto Crime

La course pour rendre le protocole de Bitcoin résistant au quantique

La communauté des développeurs Bitcoin s’est mobilized autour de plusieurs propositions, même si des défis de gouvernance fondamentaux subsistent.

Le BIP-360 (Pay-to-Merkle-Root), rédigé par Hunter Beast de MARA/Anduro, Ethan Heilman et Isabel Foxen Duke, a été intégré au dépôt BIP officiel en février 2025. Il introduces un nouveau type de sortie SegWit version 2 avec un préfixe bc1z qui ne s’engage qu’envers une racine de Merkle de l’arbre de scripts. Cela supprime la dépense par chemin de clé vulnérable au quantique dans Taproot. Le BIP-360 n’introduit pas en lui-même de signatures post-quantiques mais crée le cadre pour celles-ci.

BTQ Technologies a deployed une implémentation fonctionnelle de BIP-360 sur son testnet Bitcoin Quantum. Plus de 50 mineurs et 100 000 blocs avaient été produits en mars 2026.

La proposition Lopp/Papathanasiou, unveiled lors du Quantum Bitcoin Summit en juillet 2025, décrit un soft fork en trois phases.

La phase A interdit l’envoi vers les adresses ECDSA héritées trois ans après l’activation de BIP-360. La phase B rend toutes les signatures héritées invalides, gelant définitivement les pièces vulnérables au quantique deux ans plus tard. La phase C offre une voie de récupération facultative via une preuve à connaissance nulle de possession de la graine BIP-39.

La proposition QRAMP d’Agustin Cruz adopte une position plus dure. Elle proposes une date limite de migration obligatoire via hard fork, après laquelle les pièces non migrées deviennent inutilisables. La proposition Hourglass de Hunter Beast et Michael Casey chez Marathon Digital propose une voie médiane — limiter le débit de déplacement des pièces exposées au quantique à un UTXO par bloc, étirant une attaque potentielle de quelques heures à environ huit mois.

Sur le plan des standards, le NIST a finalized ses trois premières normes de cryptographie post-quantique en août 2024 : ML-KEM (basé sur CRYSTALS-Kyber) pour l’encapsulation de clés, ML-DSA (basé sur CRYSTALS-Dilithium) pour les signatures numériques et SLH-DSA (basé sur SPHINCS+) comme norme de signature de secours.

Un cinquième algorithme, HQC, a été selected en mars 2025 comme mécanisme d’encapsulation de clé de secours.

Le principal défi pour l’intégration à Bitcoin est la taille des signatures. Les signatures Dilithium font environ 2 420 octets contre environ 72 octets pour ECDSA — une augmentation par 33 qui mettrait à rude épreuve l’espace de bloc et augmenterait considérablement les frais de transaction.

Au-delà de Bitcoin, l’écosystème plus large évolue rapidement.

La Fondation Ethereum a designated la sécurité post-quantique comme priorité centrale en janvier 2026, lançant une feuille de route de hard forks en quatre phases avec un objectif à moyen terme de résistance quantique d’ici 2029. Coinbase a formed un Conseil consultatif indépendant sur l’informatique quantique comprenant Scott Aaronson, Dan Boneh et Justin Drake.

Also Read: Cardano Whales Grab $53M In ADA But Price Stays Flat

Ce que les détenteurs de Bitcoin devraient faire maintenant

Pour les détenteurs individuels de Bitcoin, les recommandations pratiques sont simples, même si le débat au niveau du protocole se poursuit. Les pièces stockées dans des adresses P2WSH (SegWit witness script hash, bc1q avec 62 caractères) ou P2WPKH (SegWit, bc1q avec 42 caractères) qui n’ont jamais été utilisées pour des transactions sortantes offer la protection la plus solide actuellement disponible.

Seul le hachage de la clé publique est visible sur la chaîne.

Les adresses P2TR/Taproot (bc1p) doivent être évitées pour des avoirs importants ou de long terme. Elles exposent la clé publique par conception.

La pratique la plus critique consiste à ne jamais réutiliser les adresses. Une fois que des bitcoins sont dépensés à partir de n’importe quelle adresse, la clé publique est révélée et les fonds restants ou futurs à cette adresse deviennent vulnérables au quantique. Les utilisateurs peuvent vérifier leur exposition en utilisant la Bitcoin Risq List open source de Project Eleven, qui tracks chaque adresse Bitcoin vulnérable au quantique sur le réseau.

Le déplacement de fonds d’une adresse exposée vers une nouvelle adresse basée sur un hachage et jamais utilisée élimine la vulnérabilité au repos.

Comme le souligne Unchained, une société de garde de Bitcoin, il faut se méfier des escrocs qui pourraient utiliser la peur du quantique pour pousser à des transferts précipités. Aucune action d’urgence immédiate n’est nécessaire.

Le problème plus profond demeure les quelque 1,7 million de BTC dans des adresses P2PK — y compris les 1,1 million estimés de Satoshi — dont les clés sont irréversiblement exposées et dont les propriétaires sont presque certainement incapables de les migrer. La question de savoir s’il faut geler, limiter le débit ou laisser ces pièces exposées à un vol quantique éventuel s’impose comme l’un des débats de gouvernance les plus conséquents de l’histoire de Bitcoin.

Comme Jameson Lopp le frames, autoriser la récupération de Bitcoin par le quantique revient à une redistribution de richesse en faveur de ceux qui remportent la course technologique à l’acquisition d’ordinateurs quantiques.

Also Read: Saylor Quiet On Bitcoin After 13-Week Buying Spree

Conclusion

Le livre blanc de Google de mars 2026 n’a pas révélé de menace imminente. Aucun ordinateur quantique aujourd’hui ne peut casser la cryptographie de Bitcoin. Ce qu’il a fait, c’est réduire de façon spectaculaire les ressources estimées nécessaires et formaliser un calendrier qui rend la préparation urgente plutôt que théorique.

La réduction à moins de 500 000 qubits physiques, combinée à la baisse de quatre à cinq ordres de grandeur des estimations au cours des 15 dernières années, signifie que l’écart entre les capacités actuelles et la pertinence cryptographique se rétrécit sur une trajectoire qui croise les feuilles de route industrielles pour la fin des années 2020 et le début des années 2030. La vulnérabilité au repos de 6,9 millions de BTC est un risque connu et quantifié, sans correctif rétrospectif pour les adresses P2PK à clés perdues.

La menace quantique pour Bitcoin n’est pas principalement un problème de matériel. C’est un problème de gouvernance et de migration. Les mises à jour de protocole et les processus de consensus social nécessaires ont historiquement pris five to 10 years in Bitcoin's ecosystem. Le compte à rebours a commencé au moment où Google published those numbers.