Au cours des derniers mois, l’ancienne inquiétude de Bitcoin concernant la « résistance au quantique » est passée de curiosité académique à gestion pratique du risque. Christopher Wood de Jefferies a retiré Bitcoin de son portefeuille modèle de long terme en raison du risque quantique.
Coinbase a mis en place un « Conseil consultatif indépendant sur l’informatique quantique et la blockchain ». Au sein de la communauté technique, la BIP 360 (un type de sortie résistant au quantique) a été fusionnée comme ébauche dans le dépôt BIP officiel, et Blockstream a diffusé les premières transactions signées post‑quantiques sur une sidechain de production.
Depuis, la compression de la chronologie ne fait que s’accélérer. Le 25 mars 2026, Google a annoncé que tous ses systèmes doivent migrer vers la cryptographie post‑quantique d’ici 2029. Trois articles publiés entre mai 2025 et mars 2026 ont fait chuter le coût estimé en qubits pour casser la cryptographie à clé publique d’environ trois ordres de grandeur, d’environ 20 millions de qubits physiques à potentiellement moins de 100 000.
Un article de Google Quantum AI de mars 2026 a estimé que la cryptographie à courbes elliptiques pourrait être cassée avec moins de 500 000 qubits physiques en quelques minutes ; Google a retenu les circuits d’attaque et n’a publié qu’une preuve à divulgation nulle de connaissance du résultat. Une équipe Caltech/Oratomic a suggéré qu’environ 26 000 qubits atomiques reconfigurables pourraient casser ECC‑256 en une dizaine de jours. L’écart entre « curiosité de laboratoire » et « menace cryptographique » se referme des deux côtés, avec une compression algorithmique et une montée en puissance du matériel simultanées.
Pour comprendre la menace, il est utile de regarder ce que les ordinateurs quantiques peuvent et ne peuvent pas faire. Ils ne « testent pas toutes les clés en parallèle ». L’algorithme de Shor donne des accélérations exponentielles pour le logarithme discret et la factorisation, les problèmes sur lesquels reposent la cryptographie à courbes elliptiques et RSA, tandis que la crypto symétrique et les fonctions de hachage ne subissent qu’un gain en racine carrée avec l’algorithme de Grover, compensable avec des paramètres plus grands.
« Le quantique casse la cryptographie » est à la fois vrai et trompeur : il vise des primitives dont la sécurité se ramène à des problèmes de structure de groupe, pas un miracle de force brute indiscriminée. La cryptographie post‑quantique existe déjà et est déployable aujourd’hui ; le NIST a finalisé des standards (ML‑KEM, ML‑DSA, SLH‑DSA) précisément pour permettre la migration hors ECC/RSA.
Dans Bitcoin en particulier, le danger concerne les signatures : si un attaquant peut voir votre clé publique, l’algorithme de Shor peut retrouver la clé privée. Pour les adresses de type hash de clé publique (P2PKH/P2WPKH), la clé publique n’est exposée qu’au moment où vous dépensez ; le principal risque est la réutilisation d’adresse. Mais les sorties Taproot (P2TR) et les anciennes sorties pay‑to‑pubkey exposent la clé publique dès la création, sans dépense nécessaire. Le Pay‑to‑Merkle‑Root (P2MR) de la BIP 360 s’attaque directement à ce problème : un type de sortie similaire à Taproot qui ne met jamais de clé publique sur la chaîne.
La priorité n’est pas de parfaire sur le papier le récit post‑quantique de Bitcoin ; c’est de commencer la migration des utilisateurs maintenant. Laissez les utilisateurs attacher un chemin de dépense post‑quantique à côté de leur chemin elliptique existant. En temps de paix, ils continuent d’utiliser Schnorr/ECDSA ; la clé post‑quantique reste inutilisée. Si un « danger clair et présent » apparaît, le réseau peut déprécier les signatures à courbes elliptiques sans attendre des années pour une migration de masse. Il n’est pas nécessaire que ce soit le schéma définitif : choisissez maintenant quelque chose de conservateur, améliorez plus tard. L’horloge de migration se mesure en adoption, pas en difficulté d’ingénierie.
Mon opinion est que Bitcoin devrait choisir des signatures à base de hachage pour cette trappe de secours. Non pas parce que les réseaux de treillis (ML‑DSA) seraient mauvais, mais parce que les schémas à base de hachage sont ce qui se rapproche le plus en cryptographie de « aussi sûr que possible » : structure minimale, magie minimale, marge minimale pour des portes dérobées. Ils sont aussi étonnamment faciles à auditer et à comprendre, ce qui est en phase avec l’ethos de Bitcoin.
SPHINCS+ (SLH‑DSA) est le choix standard, mais il produit des signatures assez volumineuses, ~8 kB pour obtenir la « non‑étatfulness ». Bitcoin n’a pas vraiment besoin de cette propriété. Le modèle UTXO est intrinsèquement « utiliser et jeter » ; la réutilisation systématique d’adresse n’a jamais fait partie de la conception et l’infrastructure l’accommode bien. Les schémas avec état comme XMSS produisent des signatures beaucoup plus petites (~2,5 kB) et le modèle de dépense de Bitcoin se mappe naturellement sur cette contrainte.
La construction SHRINCS de Blockstream Research offre les deux : un mode principal avec état et un repli sans état SLH‑DSA si vous perdez l’état. L’extension SHRIMPS de Jonas Nick résout la signature multi‑appareils. Les deux sont purement à base de hachage, et tous deux tournent déjà sur Liquid.
Si un seuil crédible de type « Shor est là » est franchi, la première tâche est d’arrêter le vol irréversible, pas de sauver chaque sortie héritée. Le défaut le plus sûr est un interrupteur de coupure : rendre les signatures à courbes elliptiques non dépensables au niveau du consensus. Un verrouillage temporaire est réversible ; un vol quantique ne l’est pas. Pour les sorties où la clé publique n’a jamais été exposée, une preuve à divulgation nulle de connaissance (par exemple un STARK) pourrait permettre au propriétaire légitime de prouver la connaissance du témoin de déverrouillage sans révéler la clé. Pour les clés déjà exposées, la seule récupération plausible repose sur un secret supplémentaire comme une graine de portefeuille HD. Les pièces sans l’un ou l’autre chemin – pièces dormantes, premières pièces, pièces de Satoshi – resteraient verrouillées. Mieux vaut « toujours perdues » que « désormais volées ».
Un article de StarkWare d’avril 2026 démontre que des transactions Bitcoin sûres face au quantique sont possibles aujourd’hui avec les règles de consensus existantes. C’est une construction réellement ingénieuse, mais hélas la réaction autour d’elle met en lumière un vrai problème dans la communauté Bitcoin. Cette astuce est largement impraticable et ne remplace en rien un soft fork, mais l’opposition à faire quoi que ce soit est si ancrée qu’elle est déjà citée comme raison de ne pas actionner « l’interrupteur qui répare tout facilement ».
Donnez à tout le monde un gilet de sauvetage. Ne compliquez pas trop les choses. La partie difficile n’est pas la cryptographie ; c’est de faire migrer des millions d’utilisateurs et chaque portefeuille, dépositaire, bourse et dispositif de signature. C’est l’approche que prend Tezos : traiter la préparation post‑quantique comme deux chantiers (migration des clés utilisateurs vs cryptographie du protocole), laisser les utilisateurs attacher dès maintenant une clé post‑quantique de secours, et déprécier les signatures à courbes elliptiques plus tard si la menace se matérialise. Commencez la migration sociale tant qu’il n’y a pas d’urgence, car l’urgence est le moment où les écosystèmes commettent des erreurs. Mettez d’abord les gilets de sauvetage ; débattez ensuite de la conception du bateau.