La signature n'est pas le système

Peter Shor a publié son algorithme en 1994. Au cours des trente-deux années écoulées depuis, le plus grand nombre que quiconque ait factorisé avec lui sur du matériel quantique réel est 35.

Cette phrase mérite d'être lue deux fois, car ce n'est ni une ruse rhétorique ni un chiffre choisi pour les besoins de la cause. Une revue de 2025 signée Dennis Willsch et six coauteurs a passé en revue l'ensemble de la littérature publiée et a constaté que "seuls de très petits entiers N ≤ 35 ont été factorisés avec succès à l'aide de l'algorithme de Shor sur un QC numérique". Les auteurs vont plus loin. Des affirmations portant sur de plus grands nombres existent, écrivent-ils, mais les expériences qui les sous-tendent "reposent souvent sur un certain type de simplification excessive qui les rend équivalentes à un tirage à pile ou face". Et même pour 15, 21 et 35, ils notent que les circuits "auraient pu ne pas être trouvés sans une connaissance préalable de la réponse".

Trente-deux ans. Trente-cinq.

La machine qui n'a jamais factorisé 36

Je veux être prudent sur ce que ce nombre prouve et ne prouve pas, car la tentation de le brandir comme une massue est forte et le brandir serait malhonnête.

Il ne prouve pas que les ordinateurs quantiques sont impossibles. Il prouve que personne n'a encore construit une machine généraliste assez grande pour être intéressante, ce que tout le monde dans le domaine concède déjà. L'écart entre 35 et RSA-2048 n'est pas un écart d'ambition. C'est un écart en logical qubits avec correction d'erreurs, et le combler relève d'un programme d'ingénierie annoncé, financé, bien doté en personnel et porté par des gens crédibles.

Mais ce nombre fait autre chose encore, et c'est pourquoi j'y reviens sans cesse. Il calibre. Quand un titre annonce que les ordinateurs quantiques sont à cinq ans de casser Bitcoin, la question honnête est : cinq ans à partir de quel point de départ ? La réponse, mesurée aux résultats plutôt qu'aux feuilles de route, est trente-cinq.

Il existe une seconde donnée du même ordre, et elle est plus directement pertinente. En avril 2026, Project Eleven a versé un bitcoin pour la plus grande attaque quantique jamais menée contre la cryptographie sur courbe elliptique. La clé tombée faisait 15 bits. Les clés de Bitcoin en font 256. Project Eleven, à son crédit, a communiqué le chiffre sans détour au lieu de l'enfouir, et a présenté la distance restante comme un problème d'ingénierie et non de physique.

Ils ont peut-être raison de dire qu'il s'agit d'ingénierie. Les problèmes d'ingénierie prennent tout de même du temps, et celui-ci en prend depuis trois décennies.

Trente-deux ans d'arrivée imminente

Le schéma que je trouve le plus instructif n'est pas que les prédictions se soient trompées. C'est qui les a faites, et avec quel soin.

En 2017, cinq chercheurs sérieux ont publié dans Ledger un article qui examinait exactement cette question. Aggarwal, Brennen, Lee, Santha et Tomamichel concluaient que la preuve de travail de Bitcoin était à l'abri pour une décennie, ce qui s'est vérifié, et que le schéma de signature "pourrait être complètement cassé par un ordinateur quantique dès 2027, selon les estimations les plus optimistes".

2027, c'est l'an prochain. L'estimation optimiste portait sur une machine qui, au moment où j'écris, atteint 48 logical qubits avec correction d'erreurs comme état de l'art public, face à un besoin situé entre plusieurs centaines et quelques milliers.

Ce n'est pas un procès d'intention. Les auteurs ont dit optimistes, ils voulaient dire optimistes, et ils rapportaient la borne supérieure du domaine lui-même au lieu d'en inventer une. C'est précisément le point. L'estimation publiée la plus agressive du domaine, produite par des gens rigoureux et de bonne foi, s'est trompée d'une large marge, et elle s'est trompée dans la direction dont dépend le financement du domaine.

Je ne pense pas qu'il s'agisse de corruption. Je pense que c'est ce qui arrive quand une discipline doit se justifier chaque année devant des gens qui tiennent les budgets, et quand la réponse honnête à "quand" est "nous n'en savons rien". Personne n'obtient de subvention en disant cela. Et la même pression joue en sens inverse de l'autre côté : une publication consacrée à Bitcoin qui titre "les ordinateurs quantiques ne casseront jamais Bitcoin" reçoit plus d'attention qu'une autre qui titre "la machine nécessaire a encore rétréci". Les deux publics reçoivent ce pour quoi ils sont venus.

La première moitié de ma position est donc simplement celle-ci. Sur une question où chaque partie munie d'un micro a un intérêt dans la réponse, les résultats sont la seule chose qui ne soit pas à vendre, et les résultats disent 35 et 15 bits.

L'hypothèse qu'elle n'arrive jamais

Venons-en maintenant à la possibilité la plus intéressante, celle qui à mon sens mérite bien plus d'attention qu'elle n'en reçoit.

Tous les arguments ci-dessus portent sur le retard. Il existe un argument distinct, publié cette année dans une revue sérieuse par quelqu'un qui n'a aucun intérêt dans l'issue, selon lequel la machine pourrait ne pas être constructible du tout.

Tim Palmer est physicien à Oxford. En mars 2026, PNAS a publié sa théorie de la Rational Quantum Mechanics, qui propose que l'espace d'états de la physique quantique soit finement discret plutôt que continu, et que la mécanique quantique standard soit ce que l'on obtient à la limite singulière lorsque la discrétisation s'évanouit. La conséquence qu'il en tire est précise : l'information disponible dans N qubits croît linéairement avec N, tandis que les dimensions que ces qubits devraient remplir croissent exponentiellement, si bien qu'au-delà d'un certain seuil l'état ne peut tout simplement plus être spécifié. Il place ce seuil autour de 200 pour les qubits à boîte quantique, 300 pour les qubits photoniques, 400 pour les pièges à ions, et fixe un plafond absolu d'environ 1 000. Au-delà, les algorithmes qui reposent sur la répartition d'un calcul dans tout l'espace d'états cessent d'avoir un avantage exponentiel.

Il ferme aussi la porte de sortie évidente. On ne peut pas s'en tirer par l'isolement, car en vertu du principe d'équivalence un ordinateur quantique "sera toujours couplé gravitationnellement au reste de l'univers". Le construire sur la face cachée de la Lune ne change rien.

Si Palmer a raison, il n'y a pas de Q-Day. Pas un Q-Day retardé. Pas un Q-Day lointain. Aucun.

Je veux dire clairement ce que j'en pense, puis dire tout aussi clairement pourquoi je ne vais pas bâtir une position dessus.

Ce que j'en pense : c'est l'argument le plus solide de tout ce débat, et il est à la fois surinterprété et trop peu lu. Surinterprété, parce que son article ne mentionne Bitcoin nulle part, pas une seule fois, pas plus que l'annonce de son propre département. Son exemple traité est RSA-2048. Trop peu lu, parce qu'il est évalué par les pairs dans PNAS, ce qui est beaucoup plus que ce qu'on peut dire de la plupart de ce qui circule sous l'étiquette du scepticisme quantique, et parce que Palmer est un physicien du climat sans aucun intérêt commercial dans Bitcoin, dans le matériel quantique ou dans la cryptographie. Presque personne d'autre dans cette discussion ne peut en dire autant.

Pourquoi je ne vais pas bâtir dessus : parce que Palmer lui-même ne le voudrait pas. Il présente sa théorie comme falsifiable d'ici environ cinq ans et prédit une signature observable précise à mesure que les machines approcheront du seuil. Une théorie offerte comme un pari contre le modèle standard de la mécanique quantique est une théorie qui peut perdre. La traiter comme une assurance est exactement la mauvaise réponse à un scientifique qui vous tend une affirmation testable.

Et il y a une leçon plus modeste enfouie dans la manière dont son argument est répété. Le chiffre d'environ 400 de Palmer est souvent apparié à un résultat de 2007 de Paul Davies, qui avait dérivé un chiffre comparable du contenu informationnel de l'univers, et l'appariement est présenté comme une confirmation indépendante. Il ne l'est pas tout à fait. Davies qualifiait sa propre analyse d'"excessivement simpliste" un paragraphe plus loin, et désignait l'algorithme de Shor comme ce qui échapperait le plus probablement à sa borne, parce que son état d'entrée est "algorithmiquement simple par définition". Palmer traite cela avec honnêteté et soutient seulement que l'accord numérique n'est vraisemblablement pas une coïncidence. Ceux qui citent Davies comme second témoin n'ont pour la plupart pas lu au-delà du résumé.

Donc : un plafond permanent est-il possible ? Oui, et pour la première fois c'est une possibilité sérieuse, publiée et falsifiable plutôt qu'un espoir. Est-ce quelque chose sur quoi se reposer ? Non. La formulation honnête est que nous avons désormais deux questions ouvertes au lieu d'une. Nous ne savons pas quand. Et nous ne savons pas si.

Le meilleur argument contre tout ce que je viens de dire

Voici l'argument que je défendrais si j'étais de l'autre côté, et je le trouve bon.

Rien de ce qui précède ne traite de la tendance. Entre 2017 et 2026, l'estimation publiée de ce qu'exige une attaque contre la courbe de Bitcoin est passée de 2 330 logical qubits et 1,26 x 10^11 opérations de porte à 1 200 logical qubits et 9 x 10^7. Le décompte de portes a chuté d'un facteur d'environ 1 400. Craig Gidney a révisé sa propre estimation pour RSA-2048, de 20 millions de qubits physiques à moins d'un million, en six ans. En mars 2026, un groupe incluant John Preskill a soutenu que 26 000 qubits à atomes neutres feraient un travail comparable en quelques jours. Ce ne sont pas des communiqués de presse. Ce sont des articles, avec des méthodes, que d'autres peuvent vérifier.

L'argument, dans sa forme la plus forte, poursuit : pointer 35 revient à pointer les 37 mètres des frères Wright et à conclure que le vol transatlantique est spéculatif. Les premiers résultats d'un domaine sont toujours embarrassants, jusqu'au moment où ils cessent de l'être, et l'intervalle entre embarrassant et banal a historiquement été court une fois que la correction d'erreurs franchit son seuil.

Et il y a un argument de calendrier qui est réellement inconfortable. La migration prend des années. Glassnode a mesuré 6,04 millions de bitcoins exposés au repos en mai 2026. Si le travail ne commence que lorsque la menace est visible, il commence trop tard, ce qui veut dire que le moment rationnel pour agir est toujours antérieur au moment où agir semble justifié. Attendre la certitude est une stratégie qui garantit d'arriver en retard.

J'accepte l'essentiel de tout cela. Je pense que l'argument de la tendance est la chose la plus forte qui ait été dite sur le sujet, et je pense que l'argument de calendrier est tout simplement juste : l'ingénierie devrait avancer dès maintenant, quelles que soient les croyances des uns et des autres sur les dates. Si le désaccord se limitait à cela, il n'y aurait pas d'essai à écrire.

Ce que Bitcoin devrait vraiment changer

Mais le désaccord ne se limite pas à cela, car sous l'argument de calendrier se tient une affirmation bien plus vaste et bien plus floue, et c'est elle qui fait vraiment bouger les gens. L'affirmation est qu'un ordinateur quantique changerait Bitcoin.

Soyons donc concrets sur ce qui changerait.

Bitcoin prouve la propriété par une signature sur une courbe elliptique. Si cette courbe devient cassable, Bitcoin ajoute un schéma de signature qui ne l'est pas. Le candidat principal, la proposition SHRINCS de Blockstream, repose entièrement sur des fonctions de hachage, c'est-à-dire la partie de la cryptographie de Bitcoin que l'informatique quantique ne menace pas de façon significative. Le NIST a normalisé un schéma de la même famille en 2024. Les signatures deviennent plus grandes. Les portefeuilles deviennent plus compliqués. Une partie de la gestion d'état est réellement pénible.

Voilà le changement. Une autre manière de prouver que le détenteur d'une clé a autorisé une transaction.

Énumérons maintenant ce qui ne change pas. L'offre reste plafonnée à 21 millions, parce que c'est une règle de consensus et qu'aucun schéma de signature n'y touche. Chacun peut toujours faire tourner un noeud et vérifier la chaîne entière de façon indépendante, parce que le coût de la vérification est borné par la taille de bloc et non par la courbe sur laquelle reposent les signatures. Personne ne peut gonfler l'offre, parce qu'un nouveau format de signature ne confère ce pouvoir à quiconque. Les blocs restent ordonnés par la preuve de travail, qui est physique plutôt que mathématique et qu'aucun algorithme quantique n'accélère de façon significative. La difficulté continue de s'ajuster. Les halvings continuent d'arriver au calendrier prévu.

Chaque propriété qui rend Bitcoin digne de débat traverse la transition intacte.

Pourquoi ce n'est pas un changement

Il y a ici une distinction que le débat ne cesse d'écraser, et je pense que cet écrasement est la source de la plus grande part de la peur.

Un système a des règles et il a des outils. Les règles sont ce que le système promet. Les outils sont la façon dont il tient actuellement ces promesses. Bitcoin a déjà remplacé des outils sans que personne prétende qu'il avait cessé d'être Bitcoin. Il est passé de Pay-to-Public-Key à Pay-to-Public-Key-Hash. Il a ajouté SegWit. Il a ajouté les signatures Schnorr avec Taproot en 2021, ce qui était un remplacement de schéma de signature, exactement la catégorie de changement dont il est question, et personne n'a écrit un essai pour demander si Bitcoin avait cessé d'exister.

La raison pour laquelle personne ne l'a fait, c'est que la promesse n'a jamais mentionné ECDSA. Quand vous détenez des bitcoins, ce sur quoi vous comptez, c'est que l'offre est fixe, que les règles s'appliquent à tous de la même façon, que vous pouvez les vérifier vous-même, et que personne ne peut prendre votre solde ni en imprimer davantage. Aucune de ces phrases ne contient le mot signature.

Satoshi l'avait compris en 2010, avant que quoi que ce soit de tout cela ne devienne urgent. Interrogé sur ce qui arriverait si SHA-256 venait à céder, il n'a pas répondu par la cryptographie. Il a répondu par la procédure : "Si la défaillance de la fonction de hachage arrivait progressivement, nous pourrions passer à une nouvelle fonction de hachage de manière ordonnée. Le logiciel serait programmé pour commencer à utiliser une nouvelle fonction de hachage après un certain numéro de bloc. Tout le monde devrait avoir mis à jour d'ici là." C'est un plan de maintenance, écrit avec un calme visible, à propos de la défaillance de la primitive sur laquelle repose le système tout entier. Le système a été conçu en partant du principe que ses outils finiraient par devoir être remplacés.

Un problème difficile est-il la même chose qu'un problème existentiel ? Non, et confondre les deux, c'est ainsi qu'un projet d'ingénierie de cinq ans finit discuté comme un événement d'extinction.

La seule partie qui devrait vous effrayer

J'ai soutenu que remplacer le schéma de signature est un changement d'outil et non un changement réel. Je vous dois le cas où cet argument échoue, parce qu'il échoue bel et bien, et il échoue là où presque personne ne regarde.

La BIP-361, rédigée en février 2026 par Jameson Lopp et cinq coauteurs, propose une date butoir. Environ trois ans après l'activation, plus aucun envoi vers des adresses vulnérables au quantique. Environ deux ans plus tard, les signatures héritées cessent d'être validées et tout ce qui n'a pas bougé est gelé. Définitivement.

Le raisonnement n'est pas stupide et je ne vais pas faire semblant du contraire. Plusieurs millions de bitcoins immobilisés sur des clés publiquement exposées constituent une prime permanente, et le jour où existera une machine capable de l'encaisser, le vol qui s'ensuivra sera visible de tous et causera un dommage qu'aucun "c'était de toute façon techniquement possible" ne réparera. Geler des pièces dont les propriétaires sont presque certainement morts ou perdus est, selon cette lecture, la chose responsable à faire.

Mais regardez ce que cela exige. Cela exige que le réseau s'accorde pour cesser d'honorer des signatures par ailleurs parfaitement valides, sur des soldes appartenant à des gens qui n'ont rien fait de mal sinon ne pas avoir agi. Ce n'est pas un changement d'outil. C'est le réseau qui établit qu'un solde peut être révoqué par un accord social suffisant, dès lors que la raison est suffisamment bonne. Et une fois cela établi, la question intéressante n'est pas de savoir si la raison était bonne. C'est de savoir ce qui comptera comme raison assez bonne la fois suivante.

Adam Back a défendu l'alternative, à savoir que des mises à jour facultatives et une dizaine d'années de migration volontaire sont plus sûres qu'une expiration programmée, au motif que les développeurs de Bitcoin se sont déjà coordonnés vite lorsque quelque chose devenait urgent. La BIP-360 prend la voie conservatrice : elle retire le chemin de dépense vulnérable et ne fixe aucune date butoir.

Je trouve la proposition de gel bien plus lourde de conséquences que n'importe quel décompte de qubits, et je constate qu'elle reçoit une fraction minime de l'attention. Un ordinateur quantique prendrait des pièces à des gens qui ont exposé leurs clés. Une expiration prend des pièces à des gens qui ont exposé leurs clés, et elle le fait par consensus, à l'avance, délibérément. Une seule des deux est Bitcoin qui change.

Ce qu'il faudrait pour que j'aie tort

Trois choses, et je préfère les nommer maintenant plutôt que me les voir rappeler plus tard.

Si une machine tient mille logical qubits à travers un circuit profond. Palmer dit que cela ne peut pas arriver et que la défaillance devrait être visible en chemin. Si cela arrive proprement, l'argument du plafond est mort, la branche du "jamais" se ferme, et la question se réduit de nouveau à une date. Je devrais le dire.

Si le gel a lieu et que rien de fâcheux ne s'ensuit. Mon argument traite une expiration imposée par consensus comme une erreur de catégorie aux conséquences durables. Si la BIP-361 ou quelque chose d'approchant s'active, que le réseau y survit, et qu'aucune proposition comparable ne suit en une décennie, alors le précédent qui m'inquiète n'en était pas un et je lui ai donné trop de poids.

Si un vol quantique apparaît d'abord sur la chaîne. Le groupe de Google a noté qu'une capacité précoce pourrait être "détectée sur la blockchain plutôt qu'annoncée". Si une sortie dormante et exposée bouge sans son propriétaire avant qu'aucun des travaux de migration ne soit livré, alors la lecture tranquille du calendrier, la mienne comprise, était fausse de la seule manière qui compte.

Tant que rien de cela n'arrive, ma position est la suivante. La menace est réelle, précise, mesurable, et confinée à un seul composant. Ce composant est remplaçable, le remplacement est conçu, et le travail devrait avancer au calendrier prévu et sans drame. La machine est en train d'arriver depuis trente-deux ans et pourrait ne jamais arriver, et Bitcoin devrait construire comme si aucun de ces deux faits n'était connu, parce qu'aucun des deux ne l'est.

La serrure peut être changée. Ce qui compte, c'est que personne ne puisse réécrire le titre de propriété pendant que le serrurier travaille. Les chiffres derrière tout cela méritent d'être lus en entier, et la mécanique de ce qui est réellement exposé est plus simple que la couverture médiatique ne le laisse croire. Mais l'argument qui décidera de la suite ne porte pas du tout sur la physique. C'est celui que Bitcoin a toujours eu, sur qui est autorisé à changer les règles, et sur la différence entre une règle qui interdit et un système qui met un prix à son propre abus, ce qui est la distinction que Bitcoin réussit d'ordinaire.