La menace quantique sur Bitcoin est mesurée avec le mauvais instrument

La façon standard de suivre la menace quantique sur Bitcoin consiste à regarder le nombre de qubits. Chaque annonce de puce est lue comme un pas vers une ligne d'arrivée, et la question implicite est toujours la même : combien reste-t-il à parcourir.

Cet instrument mesure la mauvaise chose. Au cours des neuf dernières années, le chiffre qui a le plus bougé n'est pas la taille d'une machine. C'est l'estimation de la taille qu'une machine devrait avoir, et elle a chuté de plus de trois ordres de grandeur. Trois articles publiés entre mars et juillet 2026 l'ont encore déplacée, et l'un d'eux est cosigné par des personnes qui ne vendent aucun matériel quantique.

Si la ligne d'arrivée marche vers le coureur, compter les pas du coureur ne dit pas grand-chose.

Trois articles en six mois

Prenez l'état des connaissances publiées début 2026 et comparez-le à celui du mois d'août.

Le 30 mars 2026, un groupe dirigé par Ryan Babbush chez Google Quantum AI, comprenant Craig Gidney et avec Dan Boneh et Justin Drake parmi les coauteurs, a publié des estimations de ressources propres à la courbe de Bitcoin. Leurs chiffres : 1 200 logical qubits et pas plus de 90 millions de Toffoli gates dans la variante économe en qubits, ou 1 450 logical qubits et pas plus de 70 millions de gates dans la variante économe en gates. Sur le plan physique, moins d'un demi-million de qubits supraconducteurs avec un taux d'erreur physique de 10^-3.

Le même jour, un groupe distinct comprenant John Preskill, Manuel Endres et Dolev Bluvstein a publié une estimation pour une autre famille de matériel. Sur des atomes neutres reconfigurables, avancent-ils, l'algorithme de Shor devient possible avec seulement 10 000 qubits physiques, et un logarithme discret sur P-256 pourrait tourner en quelques jours sur 26 000.

Le 15 juillet 2026, Han Luo et ses coauteurs ont publié un circuit qui calcule le même logarithme discret avec 835 logical qubits, en échangeant la largeur contre la profondeur.

Vient la comparaison. En 2017, Martin Roetteler, Michael Naehrig, Krysta Svore et Kristin Lauter ont publié ce qui est resté l'estimation de référence pendant presque une décennie : 2 330 logical qubits et 1,26 x 10^11 Toffoli gates pour une courbe de 256 bits.

Publication	Logical qubits	Toffoli gates
Juin 2017, Roetteler et al.	2 330	1,26 x 10^11
Mars 2026, Babbush et al., peu de gates	1 450	7 x 10^7
Mars 2026, Babbush et al., peu de qubits	1 200	9 x 10^7
Juillet 2026, Luo et al.	835	environ 1,66 x 10^9

Le besoin en qubits a grosso modo été divisé par deux. Le nombre de gates a chuté d'un facteur d'environ 1 400.

Les algorithmes sont devenus moins chers, la physique non

C'est la partie qui se perd quand les chiffres sont rapportés un par un comme autant de percées.

Rien dans la physique sous-jacente n'a changé entre 2017 et 2026. Aucune particule nouvelle, aucun régime de cohérence nouveau, aucune découverte selon laquelle les qubits seraient plus faciles à tenir qu'on ne le pensait. Ce qui a changé, c'est que les gens sont devenus meilleurs pour écrire le circuit. La progression de Gidney lui-même rend cela particulièrement lisible, parce qu'il a révisé son propre travail et non celui d'un autre. En 2019, lui et Martin Ekerå estimaient que factoriser un nombre RSA de 2048 bits demanderait 20 millions de qubits bruités et huit heures. En mai 2025, il a placé la même tâche sous le million de qubits et sous la semaine, une réduction d'un facteur vingt, et il a nommé les raisons : arithmétique approchée sur les résidus, surface codes appariés pour le stockage inactif et culture de magic states. Toutes trois relèvent de l'ingénierie du calcul, pas de celle de la machine.

Le résultat de Luo est le même phénomène poussé à son extrême, et il s'accompagne d'une mise en garde que le chiffre mis en avant masque. Leur circuit utilise environ vingt fois plus de Toffoli gates que la concurrence optimisée en espace, et l'article ne fournit ni profondeur de circuit ni compilation physique. Un circuit plus étroit qui doit tourner bien plus longtemps n'est pas de toute évidence une machine plus facile à construire. Rapporter 835 face à 1 200 comme s'il s'agissait du même type de chiffre est une erreur de catégorie, et c'est la même que celle trouvée en travers du modèle de prix le plus cité de Bitcoin, où le corridor que tout le monde cite s'est révélé avoir été ajusté séparément du modèle auquel on l'attribue. Un chiffre qui voyage bien n'est pas la même chose qu'un chiffre qui signifie ce que ses voyageurs croient.

En lisant tout cela ensemble, le résumé honnête est que l'attaque est devenue moins chère à décrire. Savoir si elle est devenue plus proche du possible est une autre question, et elle dépend d'une courbe qui a beaucoup moins bougé.

Deux courbes, et une seule des deux est une machine

Placez l'estimation face à ce que quelqu'un a réellement construit.

Les logical qubits corrigés d'erreurs sont la bonne unité, parce que le nombre brut de qubits ne dit rien sur la survie d'un long calcul. Mesuré ainsi, le dossier public est mince. Quantinuum a démontré 4 logical qubits en avril 2024, 12 en septembre 2024 et 48 sur son système Helios en novembre 2025, avec un taux d'encodage de deux pour un sur 98 qubits physiques. La feuille de route d'IBM vise Starling pour 2029, une machine spécifiée à 200 logical qubits capables d'exécuter des circuits de 100 millions de gates. La feuille de route de Quantinuum promet "des centaines de logical qubits" d'ici 2030.

Tenez maintenant cela face au besoin. Même l'estimation publiée la plus favorable veut 835 logical qubits. La plus détaillée en veut 1 200, tenus stables à travers 90 millions de Toffoli gates.

Deux choses en découlent, et elles tirent en sens contraires.

La première est que l'objectif d'IBM pour 2029 possède la profondeur en gates et environ un sixième de la largeur. Une machine capable d'exécuter 100 millions de gates sur 200 logical qubits n'est pas une machine capable d'exécuter 90 millions de gates sur 1 200. Mais elle en est assez proche pour que le problème restant ressemble à une question d'échelle plutôt que d'invention, ce qui est exactement ce qu'affirment ses constructeurs.

La seconde est que les chiffres démontrés restent assez petits pour que tout le débat repose sur des feuilles de route. Quarante-huit est un chiffre réel, mesuré, publié. Mille deux cents est un objectif dont personne ne s'est jamais approché, et la correction d'erreurs est historiquement devenue plus difficile et non plus facile à mesure que les systèmes grandissent.

Notre lecture, et il s'agit d'une interprétation et non d'un résultat : la question des délais, telle qu'elle est habituellement posée, n'a pas de réponse, et pas parce que les données manquent. Elle n'a pas de réponse parce que l'un de ses deux termes est un produit de la recherche et non une grandeur physique. Le progrès du matériel peut être mal extrapolé. Une estimation qui dépend du prochain circuit astucieux ne peut pas être extrapolée du tout.

Neuf minutes sont une menace différente de neuf heures

Un chiffre de l'article de Google compte davantage pour Bitcoin que n'importe quel décompte de qubits, et il a été très peu relayé.

Leur estimation du temps d'exécution réel est de 18 à 23 minutes pour l'attaque complète. À partir d'un état préparé, où l'avant du calcul a été précalculé, elle tombe à environ 9 à 12 minutes.

Cela franchit un seuil propre à Bitcoin. Tant qu'une attaque prend des heures ou des jours, seules les clés publiques exposées en permanence sont atteignables, ce que Glassnode a mesuré à 1,92 million de bitcoin d'exposition structurelle en mai 2026, sur 6,04 millions exposés au repos au total. Ce sont de vieilles pièces, des pièces dormantes, des pièces sur des adresses réutilisées. Douloureux, concentré, et en grande partie le solde actif de personne.

Sous l'intervalle de bloc, l'exposition devient universelle. Chaque dépense ordinaire publie sa clé publique dans le mempool et attend. Un attaquant capable de dériver une clé à l'intérieur de cette fenêtre peut lancer une transaction concurrente dans la course, et la cible n'est pas une catégorie de pièces mais toute pièce en mouvement. Il vaut la peine de comprendre la mécanique de cette différence avant que les chiffres ne veuillent dire quoi que ce soit.

Les auteurs posent l'implication assez clairement pour mériter d'être cités : "il est concevable que l'existence des premiers CRQC soit d'abord détectée sur la blockchain plutôt qu'annoncée." Une machine capable a un premier usage évident qui est aussi sa propre révélation.

Ce que le plafond de Palmer dit et ne dit pas

Face à tout cela se dresse le contre-argument le plus intéressant de 2026, et il mérite d'être représenté avec exactitude plutôt que dans l'une de ses deux déformations populaires.

Le 16 mars 2026, le physicien Tim Palmer, du département de physique de l'université d'Oxford, a publié dans PNAS une théorie appelée Rational Quantum Mechanics. Elle propose que l'espace d'états de la mécanique quantique soit finement discret plutôt que continu, la mécanique quantique standard étant retrouvée comme limite singulière d'une finesse infinie. De cette discrétude découle une quantité finie que Palmer nomme Qubit Information Capacity : l'information contenue dans N qubits croît linéairement avec N, tandis que les dimensions de l'espace d'états croissent exponentiellement, si bien qu'au-delà d'un certain seuil il n'y a pas assez d'information dans le système pour spécifier ne serait-ce qu'un bit par dimension.

Palmer estime ce seuil à environ 200 pour les qubits à points quantiques, 300 pour les qubits photoniques et 400 pour les pièges à ions, avec un plafond absolu d'environ 1 000 dérivé d'un photon à la fréquence la plus basse que l'âge de l'univers autorise. Son article compagnon énonce la conséquence directement : "l'avantage exponentiel des algorithmes quantiques qui utilisent la transformée de Fourier quantique cessera dans les ordinateurs quantiques qui utilisent plus de 1 000 qubits parfaits (c'est-à-dire logical)."

Il ferme aussi une échappatoire évidente. Le blindage n'aide pas, parce qu'un ordinateur quantique "sera toujours couplé gravitationnellement au reste de l'univers" par le principe d'équivalence, ce qui signifie qu'une machine de l'autre côté de la Lune est soumise à la même borne.

Trois choses doivent être dites, et la couverture grand public n'en dit généralement qu'une.

L'article est évalué par les pairs et publié dans PNAS. C'est une assise plus solide que presque tout autre argument contraire dans ce domaine, et le balayer comme marginal n'est pas exact.

C'est aussi un écart proposé par rapport à la mécanique quantique standard et non un résultat obtenu à l'intérieur de celle-ci. Palmer le présente comme falsifiable, de son propre aveu d'ici environ cinq ans, et prédit précisément qu'une machine approchant le seuil montrera une dégradation caractéristique plutôt qu'un arrêt net. Parier dessus revient à parier que la mécanique quantique est fausse d'une manière que personne n'a encore détectée.

Et l'article ne mentionne pas Bitcoin. Pas une seule fois. Son exemple traité est RSA-2048, où le circuit de Shor exige 2 049 qubits et dépasse donc largement tout plafond plausible. L'annonce de l'article par le département de physique d'Oxford lui-même ne mentionne ni Bitcoin ni les cryptomonnaies. Étendre l'argument à secp256k1 est défendable, puisque Shor pour les logarithmes discrets repose lui aussi sur la transformée de Fourier quantique, mais cette extension appartient aux lecteurs et non à Palmer.

L'extension est aussi inconfortablement serrée. Le plafond de Palmer d'environ 1 000 se situe désormais entre deux estimations actuelles pour la courbe de Bitcoin, au-dessus des 835 de Luo et en dessous des 1 200 de Babbush. En 2017, avec un besoin de 2 330, l'argument du plafond disposait d'une marge confortable. Ce n'est plus le cas.

L'argument des 400 qubits qui se démonte lui-même

Le résultat de Palmer est souvent associé à un plus ancien en guise d'appui indépendant, et c'est là que le récit grand public se trompe d'une manière vérifiable.

En 2007, le physicien Paul Davies a publié un article tirant une limite du contenu informationnel total de l'univers observable. Utilisant la borne de Seth Lloyd de 10^122 bits, il a noté qu'un état intriqué générique de plus de 400 particules environ aurait plus de composantes que l'univers n'a de bits, et a écrit que cela "signale une limite physique fondamentale. Il me semble qu'il doit en être ainsi."

Le chiffre est réel et le raisonnement est élégant. Le problème est ce qui vient ensuite dans le même article.

Davies le nuance aussitôt : "À première vue, la limite de 400 particules est assez stricte pour mettre en difficulté l'industrie du calcul quantique. L'analyse qui précède est cependant excessivement simpliste." Il en donne deux raisons. La dimensionnalité d'un espace de Hilbert n'est pas un invariant, si bien qu'un changement de base peut la réduire. Et la mesure la plus pertinente est le nombre de paramètres indépendants, pas le décompte brut des dimensions.

Puis il nomme l'exception, et l'exception est le sujet entier de cet article. Le calcul quantique, écrit-il, ne vise pas à contrôler des états intriqués arbitraires mais un sous-ensemble de mesure nulle associé à des problèmes précis, et ceux-ci peuvent être spécifiables par un algorithme court même lorsque leur nombre d'amplitudes est astronomique. Son exemple est explicite : "l'algorithme de Shor pour la factorisation, qui est algorithmiquement simple par définition, puisque son état d'entrée peut être spécifié et qu'il existe une association simple entre les données d'entrée et l'état quantique initial."

Davies a soulevé la borne des 400 qubits et, dans le même article, a désigné l'algorithme de Shor comme la chose la plus susceptible de lui échapper. Le citer comme confirmation indépendante que l'algorithme de Shor échouera au-dessus de 400 qubits inverse ce qu'il a écrit.

Palmer, lui, traite cela correctement. Il note la ressemblance numérique entre son environ 400 et l'environ 400 de Davies et demande si c'est une coïncidence, répondant qu'il pense que non. Il revendique un accord d'ordre de grandeur, pas une caution. La déformation entre plus loin en aval.

Tous ceux qui mesurent cela ont quelque chose à vendre

C'est inconfortable à écrire et cela vaut dans les deux sens, et c'est justement pour cela que cela vaut la peine d'être écrit.

Les entreprises de matériel quantique ont intérêt à ce que la menace soit crédible et proche. Google Quantum AI publie les estimations qui font paraître l'attaque la moins chère, et Google construit les machines. Project Eleven a payé un bitcoin en avril 2026 pour la plus grande attaque quantique contre la cryptographie sur courbe elliptique à ce jour, qui portait sur une clé de 15 bits, et Project Eleven construit aussi de l'infrastructure Bitcoin résistante au quantique. Blockstream emploie les auteurs de la principale proposition de signature post-quantique pour Bitcoin et vend de l'infrastructure Bitcoin.

Les médias Bitcoin et les entreprises Bitcoin ont intérêt à la lecture rassurante, et l'incitation y est au moins aussi forte. Un titre disant que les ordinateurs quantiques ne casseront jamais Bitcoin voyage plus loin dans ce secteur qu'un titre disant que la machine nécessaire a encore rétréci.

Rien de tout cela ne rend qui que ce soit malhonnête. L'article de Google est soigneux, vérifiable, et ses méthodes sont publiées. Le prix de Project Eleven a produit un résultat réel et a rapporté honnêtement la longueur de la clé. Le point est plus étroit : les deux courbes de cet article sont tracées presque entièrement par des parties qui tirent avantage de l'endroit où elles sont tracées, et il n'existe aucun arbitre désintéressé produisant l'un ou l'autre chiffre.

L'unique exception mérite d'être nommée. Palmer est un physicien du climat à Oxford sans intérêt commercial apparent dans Bitcoin, le matériel quantique ou la cryptographie. C'est une raison de le lire attentivement. Ce n'est pas une raison de croire la physique, qui tient ou tombe d'elle-même.

Le combat ne porte pas sur la cryptographie

Les réponses techniques existent pour l'essentiel. Ce qui n'existe pas, c'est l'accord sur les personnes auxquelles elles s'appliquent.

La signature de remplacement est conçue. Le NIST a normalisé un schéma stateless fondé sur le hachage en août 2024, et la proposition SHRINCS de Blockstream, publiée en tant que projet de BIP le 27 août 2026, ramène une voie stateful à environ 580 octets avec un repli stateless à environ 4 300 à 4 500. C'est praticable. La proposition dit aussi, dans son propre texte, qu'une preuve de sécurité reste à fournir.

Le désaccord porte sur les pièces que personne ne migrera. BIP-361, rédigé par Jameson Lopp et cinq coauteurs en février 2026, propose une extinction par phases : plus d'envois vers des adresses vulnérables environ trois ans après l'activation, et les signatures legacy cessent d'être validées environ deux ans plus tard. Sa propre motivation indique que "plus de 34 % de tous les bitcoin ont révélé une clé publique on-chain". Sous cette proposition, tout ce qui n'a pas bougé à l'échéance est gelé définitivement.

Adam Back a soutenu l'inverse, à savoir que des mises à niveau facultatives assorties d'environ une décennie de migration volontaire sont plus sûres qu'une échéance programmée, au motif que les développeurs de Bitcoin se sont coordonnés vite à plusieurs reprises quand quelque chose devenait urgent. BIP-360, la proposition la plus conservatrice, contourne entièrement la question en supprimant la voie de dépense vulnérable sans spécifier ni schéma post-quantique ni échéance.

Les deux positions sont cohérentes, et aucune n'est une affirmation cryptographique. L'une dit que laisser des millions de bitcoin en prime permanente est un risque systémique pour tout le monde. L'autre dit qu'un protocole capable de décider de ne plus honorer des signatures valides a renoncé à quelque chose de plus important que les pièces. C'est la même discussion que Bitcoin a déjà eue sur qui a le droit de changer les règles, avec des enjeux bien plus élevés et une horloge attachée.

Il existe un précédent utile dans l'autre sens. Quand des outils assistés par l'IA ont mis au jour une vague de failles dans la périphérie logicielle de Bitcoin, la couche de base n'a pas été mise en cause, parce que la proof of work repose sur la physique et non sur une hypothèse mathématique. L'informatique quantique en est l'image inversée. Elle menace l'hypothèse mathématique et laisse la physique tranquille.

Un précédent de plus mérite d'être gardé en vue, parce que c'est ce que Bitcoin a de plus proche d'une répétition générale. Une clé qui a été dérivée n'est pas un bug qu'une version peut corriger. Bitcoin a rencontré une petite version de ce problème quand une faille de firmware a produit des seeds qu'aucune mise à jour ultérieure ne pouvait renforcer rétroactivement. L'échelle était minuscule et le mécanisme était différent. La forme était identique : une fois que le secret est atteignable, corriger le logiciel qui l'a engendré ne fait rien pour les pièces déjà placées derrière lui. Quelle que soit la voie de migration que Bitcoin choisira, elle doit être achevée avant que la capacité existe, pas après, et c'est une contrainte de calendrier et non de cryptographie.

Ce qui montrerait que cette lecture est fausse

La thèse de ce texte est que le calendrier quantique est inconnaissable par principe et pas seulement inconnu, parce que l'un de ses deux termes est un produit de la recherche. Quatre choses la mettraient à mal, et elles méritent d'être énoncées à l'avance.

Si le nombre de logical qubits continue de grimper comme prévu. Si les qubits corrigés d'erreurs démontrés passent de 48 à plusieurs centaines d'ici 2029 comme le promettent IBM et Quantinuum, alors le matériel est finalement la courbe contraignante et il est extrapolable. L'histoire des estimations serait une distraction.

Si les estimations cessent de baisser. Trois révisions en une décennie sont un motif, pas une loi. Si le besoin en ressources se stabilise pendant plusieurs années, la cible a cessé de bouger et la distance restante devient une distance réelle.

Si une estimation sous les 500 qubits résiste à un examen complet. Les 835 de Luo n'ont pas d'analyse de profondeur. Si quelqu'un publie un circuit tout aussi étroit avec une compilation physique complète et que cela tient, l'écart défendu ici est plus petit que décrit.

Si la prédiction de Palmer est testée et échoue. Il dit qu'une dégradation devrait apparaître à mesure que les machines approchent les mille logical qubits intriqués, d'ici environ cinq ans. Si la mécanique quantique tient proprement au-delà de ce point, l'argument du plafond est terminé et cette lecture perd l'une de ses jambes.

Et un seul événement rendrait tout cela obsolète d'un coup. Si un output bien garni et vulnérable au quantique bouge sans son propriétaire, l'argument cesse de porter sur des estimations. D'ici là, la position la plus défendable est celle que presque personne ne trouve satisfaisante : l'exposition est réelle et mesurable, la défense est conçue et non déployée, la machine n'existe pas, et personne ne peut vous dire quand elle existera, y compris les gens qui la construisent.

C'est aussi, dans un autre sens, la question la moins intéressante de toute cette affaire.