Les ordinateurs quantiques sont-ils une menace pour Bitcoin ?

Tous les quelques mois, un titre annonce que les ordinateurs quantiques sont sur le point de casser Bitcoin, et quelques mois plus tard un autre annonce qu'ils ne le feront jamais. Les deux ne peuvent pas avoir raison, et aucun des deux n'est négligent. Le désaccord est réel, il traverse des groupes de recherche sérieux, et il s'est durci plutôt qu'adouci au cours des deux dernières années.

Ce qui rend la question tout simplement soluble, c'est qu'elle se décompose. Bitcoin n'a pas une seule exposition cryptographique à l'informatique quantique. Il en a deux, elles sont attaquées par deux algorithmes différents, et une seule court un danger réel. Presque toutes les affirmations confuses sur ce sujet viennent du mélange des deux.

Deux attaques différentes, pas une

Bitcoin s'appuie sur deux sortes de mathématiques. Il utilise des fonctions de hash pour comprimer des données en empreintes de longueur fixe, et c'est là-dedans que le minage cherche et à partir de là que les adresses sont construites. Et il utilise la cryptographie à clé publique pour prouver la propriété, ce que fait une signature quand vous dépensez une pièce.

Deux algorithmes quantiques visent ces deux familles, et ils ne sont pas également dangereux.

Peter Shor a publié le sien en 1994. Il résout une classe précise de problèmes, dont celui dont dépend la cryptographie à clé publique, de façon exponentiellement plus rapide que toute méthode classique connue. Face au schéma de signature de Bitcoin, l'algorithme de Shor n'est pas une optimisation. C'est une solution.

Lov Grover a publié le sien en 1996. Il cherche dans un espace non structuré et offre une accélération en racine carrée. Une recherche qui prendrait 2^256 étapes à un ordinateur classique en prend environ 2^128 à un ordinateur quantique exécutant Grover. C'est une amélioration énorme sur le plan mathématique et quasi nulle sur le plan pratique, car 2^128 reste très au-delà de tout ce qui peut être calculé.

La réponse courte et honnête est donc que les ordinateurs quantiques menacent la façon dont Bitcoin prouve la propriété, et touchent à peine la façon dont Bitcoin produit des blocs.

Pourquoi le minage n'est pas le point faible

Le minage est une recherche. Les mineurs essaient des quantités énormes de valeurs candidates, calculent le hash de chacune et cherchent un résultat sous une cible. C'est exactement le type de recherche non structurée pour lequel l'algorithme de Grover est construit, et c'est pourquoi l'idée d'un minage quantique paraît plausible.

Elle échoue sur deux points, et les deux sont pratiques plutôt que théoriques.

Le premier est la vitesse. L'accélération de Grover porte sur le nombre d'opérations, pas sur le temps que prend chaque opération. Les portes quantiques fonctionnent de plusieurs ordres de grandeur plus lentement que les circuits à fonction fixe d'une puce de minage. Chaincode Labs a mis des chiffres là-dessus en 2025 et a estimé qu'un mineur quantique construit sur des hypothèses optimistes atteindrait environ 13,8 gigahash par seconde, plus de mille fois plus lent qu'un seul ASIC moderne à environ 500 térahash par seconde.

Le second est que Grover se parallélise mal. Le minage classique passe presque parfaitement à l'échelle en ajoutant des machines, car chaque machine cherche dans une tranche indépendante de l'espace. L'avantage de Grover est séquentiel, et répartir la recherche entre de nombreux ordinateurs quantiques ronge l'essentiel du gain en racine carrée.

Ce n'est pas une conclusion nouvelle. Aggarwal, Brennen, Lee, Santha et Tomamichel y étaient arrivés dans un article de 2017 publié dans Ledger, et leur évaluation était que la proof of work de Bitcoin est "relativement résistante à une accélération substantielle par les ordinateurs quantiques dans les 10 prochaines années". Cette fenêtre est désormais largement écoulée, et la conclusion a tenu.

La fonction de hash elle-même est dans la même situation. Grover ramènerait une recherche de préimage sur SHA-256 de 2^256 à environ 2^128 étapes, ce qui ne change rien sur quoi qui que ce soit puisse agir.

Pourquoi les signatures sont le point faible

Le même article de 2017 arrivait à la conclusion inverse sur l'autre moitié de Bitcoin. Le schéma de signature, écrivaient les auteurs, "pourrait être complètement cassé par un ordinateur quantique dès 2027, selon les estimations les plus optimistes".

La raison est structurelle. Quand vous possédez des bitcoin, ce que vous possédez vraiment est une clé privée. À partir de cette clé privée, le logiciel dérive une clé publique par une opération à sens unique sur une courbe elliptique appelée secp256k1. À sens unique signifie qu'aller vers l'avant coûte peu et que revenir en arrière est, pour un ordinateur classique, impossible en tout sens utile. Retrouver une clé privée à partir d'une clé publique sur cette courbe est un problème appelé problème du logarithme discret sur courbe elliptique, et aucun raccourci classique n'est connu.

L'algorithme de Shor est ce raccourci. Étant donné une clé publique, un ordinateur quantique suffisamment grand pourrait calculer la clé privée correspondante, et quiconque détient une clé privée peut dépenser les pièces qu'elle contrôle. Aucune règle de consensus n'est enfreinte au passage. Le vol ressemblerait à une transaction ordinaire et parfaitement valide, ce qui est précisément ce qui le rend dangereux.

Les deux schémas de signature de Bitcoin reposent sur la même courbe. ECDSA, utilisé depuis 2009, et Schnorr, introduit avec Taproot en 2021, diffèrent par la façon dont ils construisent une signature et non par les mathématiques qui protègent la clé. Passer de l'un à l'autre a apporté beaucoup de choses à Bitcoin. La résistance quantique n'en faisait pas partie.

Une clé publique n'est en danger qu'une fois visible

C'est le point que la plupart des articles sautent, et c'est la différence entre une catastrophe et un problème gérable.

L'algorithme de Shor a besoin d'une clé publique en entrée. Il ne peut pas travailler à partir d'une adresse, car la plupart des types d'adresse Bitcoin ne contiennent pas de clé publique. Ils contiennent le hash d'une clé. La clé publique reste privée jusqu'au moment où vous dépensez, et c'est seulement là qu'elle apparaît dans les données witness de votre transaction, définitivement.

Cela produit deux modèles de menace très différents, et BIP-360 leur donne un nom.

Une attaque à exposition longue vise une clé publique déjà posée sur la chaîne, à la vue de tous. L'attaquant dispose d'un temps illimité. Rien n'a besoin d'être précipité, rien n'a besoin d'être intercepté, et le propriétaire n'a aucun moyen de savoir que cela se produit.

Une attaque à exposition courte vise la brève fenêtre pendant laquelle une transaction a été diffusée mais pas encore confirmée. La clé publique est visible dans le mempool, et l'attaquant doit dériver la clé et faire confirmer en premier une transaction concurrente, le tout à l'intérieur de cette fenêtre. C'est bien plus difficile, et cela exige une attaque mesurée en minutes plutôt qu'en jours.

Le modèle qui s'applique à une pièce donnée dépend entièrement du type d'output. Les outputs Pay-to-Public-Key des toutes premières années de Bitcoin contiennent la clé publique brute. Les outputs Taproot exposent eux aussi une clé par conception. Toute adresse utilisée plus d'une fois a publié sa clé lors de la première dépense et a laissé le reste exposé. Les outputs Pay-to-Public-Key-Hash standards à usage unique et les outputs SegWit natifs ne publient rien tant qu'ils ne bougent pas.

Combien de bitcoin sont réellement exposés

Comme l'exposition dépend du type d'output et du comportement des utilisateurs, elle peut être mesurée. En mai 2026, Glassnode Research a publié la mesure publique la plus soignée à ce jour, en définissant une pièce comme exposée si "la clé publique nécessaire pour dépenser une pièce est déjà visible on-chain".

Leur résultat, au 20 mai 2026 :

Deux choses ressortent. La plus grande part du problème relève du comportement et non de la conception du protocole, ce qui signifie qu'une grande partie peut être corrigée par les utilisateurs sans aucun changement dans Bitcoin. Et près de soixante-dix pour cent de tous les bitcoin ne sont pas exposés au repos du tout.

D'autres mesures existent et elles ne concordent pas, ce qu'il vaut mieux comprendre que survoler. Le groupe de recherche de Google a rapporté en mars 2026 qu'"un peu plus de 1,7 million de bitcoin (près de 9 % de tous les bitcoin) est protégé par des locking scripts P2PK", et a chiffré les avoirs dormants vulnérables au quantique, tous types de scripts confondus, jusqu'à 2,3 millions. Le Coinbase Quantum Advisory Council en a estimé 6,9 millions en avril 2026. BIP-361 indique que "plus de 34 % de tous les bitcoin ont révélé une clé publique on-chain".

Ces chiffres ne sont pas en conflit. Ils mesurent des choses différentes. Exposition structurelle, exposition dormante, exposition totale au repos et total des clés jamais révélées sont quatre questions différentes avec quatre réponses différentes. Tout article qui en cite un sans dire ce qui est mesuré vous en dit moins qu'il n'y paraît.

Ce qu'est un logical qubit, et pourquoi le nombre est si petit

Les ordinateurs quantiques sont d'ordinaire vendus au nombre de qubits physiques, et ce nombre est quasiment dépourvu de sens pour la cryptographie.

Les qubits physiques sont fragiles. Ils perdent leur état par interaction avec leur environnement, et leurs portes commettent des erreurs à des taux qui seraient impensables en informatique classique. Faire tourner un long calcul sur des qubits physiques bruts produit du bruit, pas des réponses.

Le remède est la correction quantique d'erreurs, qui répartit l'information d'un logical qubit fiable sur de nombreux qubits physiques et détecte et corrige les erreurs en continu. Le rapport est le surcoût, et tout se joue là. Le bivariate bicycle code d'IBM loge 12 logical qubits dans 288 qubits physiques, environ 24 pour un. Les surface codes, l'approche derrière la plupart des estimations sur supraconducteurs, sont nettement plus coûteux par logical qubit mais mieux compris.

La question qui compte n'est donc jamais combien de qubits une machine possède. C'est combien de logical qubits corrigés des erreurs elle peut tenir, intriqués, pendant toute la durée d'un long calcul.

Mesuré ainsi, l'état de l'art est modeste. Le système Helios de Quantinuum, lancé le 5 novembre 2025 avec 98 qubits physiques, a démontré 48 logical qubits entièrement corrigés des erreurs à un taux d'encodage de deux pour un. C'était un grand bond par rapport aux 12 que l'entreprise avait démontrés en septembre 2024, qui étaient eux-mêmes un bond par rapport aux 4 d'avril 2024. La feuille de route publiée par IBM vise Starling en 2029, une machine destinée à exécuter 100 millions de portes sur 200 logical qubits.

Quelle quantité d'ordinateur quantique l'attaque exigerait

Face à ces chiffres, voici ce que la recherche publiée dit qu'exigerait une attaque contre la courbe de Bitcoin. Les valeurs ont beaucoup bougé.

Publication	Source	Logical qubits	Toffoli gates
Juin 2017	Roetteler, Naehrig, Svore, Lauter	2 330	1,26 x 10^11
Mars 2026	Babbush et al., variante à peu de portes	1 450	7 x 10^7
Mars 2026	Babbush et al., variante à peu de qubits	1 200	9 x 10^7
Juillet 2026	Luo et al.	835	environ 1,66 x 10^9

La dernière ligne mérite une mise en garde. Luo et ses coauteurs ont réduit la largeur du circuit en l'échangeant contre le nombre de portes, en utilisant environ vingt fois plus d'opérations que les conceptions concurrentes, et leur article ne donne ni profondeur de circuit ni compilation physique. Moins de qubits ne veut pas dire une machine plus facile si chacun d'eux doit travailler bien plus longtemps.

Les estimations de ressources physiques ont bougé dans le même sens. Craig Gidney et Martin Ekerå ont estimé en 2019 que factoriser un nombre RSA de 2048 bits demanderait 20 millions de qubits bruités et huit heures. La révision de Gidney lui-même en 2025 la ramenait sous le million de qubits et sous la semaine. En mars 2026, le groupe mené par Google a estimé moins d'un demi-million de qubits physiques supraconducteurs pour la courbe de Bitcoin spécifiquement, et un groupe distinct incluant John Preskill a estimé que 26 000 qubits reconfigurables à atomes neutres pourraient calculer un logarithme discret P-256 en quelques jours.

Un chiffre de l'article de Google compte plus que les autres pour Bitcoin. L'attaque, une fois la machine amorcée par un précalcul, prendrait environ neuf à douze minutes. C'est moins que le temps moyen entre deux blocs, ce qui veut dire qu'une attaque à exposition courte depuis le mempool cesse d'être théorique.

Les estimations baissent plus vite que le matériel ne grandit

Mettez les deux séries de chiffres côte à côte et un motif apparaît, facile à manquer quand les articles sont lus un par un.

Entre 2017 et 2026, les logical qubits jugés nécessaires sont passés de 2 330 à 1 200, un peu moins de la moitié. Sur la même période, le nombre de portes est passé de 1,26 x 10^11 à 9 x 10^7, un facteur d'environ 1 400. Pendant ce temps, le nombre de logical qubits corrigés des erreurs que quiconque a réellement démontrés est passé de pratiquement zéro à 48.

Les deux courbes bougent. L'estimation bouge plus vite que la machine.

C'est la chose la plus importante à comprendre sur le calendrier, et c'est aussi la raison pour laquelle les chercheurs honnêtes refusent de donner une date. La distance restante n'est pas une cible fixe dont le matériel se rapproche à un rythme mesurable. C'est une cible qui continue d'avancer vers le matériel à mesure que les algorithmes s'améliorent, et personne ne sait de combien elle peut encore avancer.

Dans le même temps, le bilan pratique donne à réfléchir. Une revue de 2025 de ce qui a réellement été démontré a constaté que "seuls de très petits entiers N ≤ 35 ont été factorisés avec succès par l'algorithme de Shor sur un QC numérique", et a écarté les annonces plus ambitieuses comme reposant sur des simplifications qui les rendent "équivalentes à un tirage à pile ou face". En avril 2026, Project Eleven a versé un bitcoin pour la plus grande attaque quantique contre la cryptographie sur courbe elliptique réalisée à ce jour. La clé cassée faisait 15 bits. Celles de Bitcoin en font 256.

Ce que Bitcoin construit face à cela

Les travaux avancent sur deux fronts distincts, et ils répondent à des questions différentes.

Le premier front est la signature de remplacement. Les normes de référence existent déjà. Le NIST a publié FIPS 203, 204 et 205 le 13 août 2024, et FIPS 205 normalise SLH-DSA, un schéma stateless fondé sur des hash et dérivé de SPHINCS+. Les signatures fondées sur des hash sont attrayantes pour Bitcoin parce qu'elles ne reposent que sur la sécurité des fonctions de hash, c'est-à-dire la partie de la cryptographie de Bitcoin que l'informatique quantique ne menace pas de manière significative.

Le problème est la taille. Les signatures Schnorr de Bitcoin font 64 octets. Les signatures SLH-DSA atteignent plusieurs milliers. Chaque octet se dispute le même espace de bloc limité, si bien qu'un échange naïf coûterait à Bitcoin l'essentiel de sa capacité de transaction.

C'est le problème que SHRINCS est construit pour résoudre. Mikhail Kudinov et Jonas Nick, de Blockstream Research, l'ont proposé en décembre 2025 et ont publié un brouillon de BIP pour un opcode OP_CHECKSHRINCS le 27 août 2026. Il combine SPHINCS+ pour la signature stateless avec une construction XMSS déséquilibrée pour la signature stateful, et la clé publique est un hash des deux. Le chemin stateful produit des signatures d'environ 580 octets. Si l'état est perdu, la même clé se rabat sur le chemin stateless, entre environ 4 300 et 4 500 octets.

Le hic tient à ce que "stateful" signifie en pratique. Une clé à états fondée sur des hash ne peut signer qu'une seule fois depuis chaque position interne, et le portefeuille doit se souvenir des positions qu'il a utilisées. Restaurer une vieille sauvegarde ramène ce compteur à une valeur déjà consommée, et signer de nouveau à partir de là peut compromettre la clé. Nick décrit le mode de défaillance sans détour : un compteur ramené en arrière signifie qu'"une signature ultérieure réutilise cet état, ce qui peut compromettre les fonds de l'utilisateur". C'est un véritable écart par rapport à la façon dont fonctionne aujourd'hui la récupération par seed phrase, où une sauvegarde restaure tout ce dont vous avez besoin et rien d'autre n'est requis.

Le second front est la migration, et ce n'est pas du tout un problème de cryptographie. Deux propositions à l'état de brouillon le cadrent.

BIP-360, rédigé par Hunter Beast, Ethan Heilman et Isabel Foxen Duke, est le pas conservateur. Il définit un nouveau type d'output appelé Pay-to-Merkle-Root qui supprime la dépense par key path de Taproot, vulnérable au quantique. Il ne spécifie délibérément aucun schéma de signature post-quantique, se décrit comme une première étape et renvoie la question de la signature à une proposition ultérieure.

BIP-361, rédigé par Jameson Lopp et cinq coauteurs et créé le 11 février 2026, est le plus agressif. Il propose une extinction par phases. Environ trois ans après l'activation, l'envoi vers des adresses vulnérables au quantique serait interdit. Environ deux ans plus tard, les signatures héritées cesseraient d'être validées, et tout bitcoin non migré serait gelé de façon permanente.

C'est dans cette seconde phase que la question technique devient politique, car elle revient à décider de ce qu'il advient de plusieurs millions de bitcoin dont les propriétaires ne reviendront presque certainement pas. Adam Back a défendu la thèse inverse, à savoir que des mises à niveau facultatives et environ une décennie de migration volontaire sont plus sûres qu'une échéance programmée, au motif que les développeurs de Bitcoin savent se coordonner vite si la menace s'accélère. Aucune des deux positions ne fait consensus, et c'est la question de comment Bitcoin change qui la tranchera.

Ce que personne ne sait encore

Trois incertitudes honnêtes demeurent, et elles pointent dans des directions différentes.

La première est de savoir si le matériel arrive. Chaque estimation ci-dessus suppose que les logical qubits corrigés des erreurs peuvent passer de 48 à plus d'un millier tout en restant intriqués pendant un calcul de dizaines de millions de portes. Personne n'a démontré que c'est possible. Les feuilles de route disent que oui, et dans ce domaine les feuilles de route ont un long passé de glissements.

La deuxième est de savoir s'il existe un plafond. En mars 2026, le physicien d'Oxford Tim Palmer a publié dans PNAS une théorie proposant que l'espace des états de la mécanique quantique est finement discret plutôt que continu, ce qui plafonnerait le nombre de qubits utilement intriqués à environ 200 pour les boîtes quantiques, 300 pour les qubits photoniques, 400 pour les pièges à ions, et autour d'un millier comme borne supérieure absolue. Au-dessus de ce plafond, avance-t-il, les algorithmes qui reposent sur l'étalement d'un calcul dans tout l'espace des états perdent leur avantage. Si la théorie est juste, la factorisation des grands nombres n'arrive jamais.

Trois choses à son sujet méritent d'être dites clairement. L'article est évalué par les pairs, ce que la plupart des thèses à contre-courant dans ce domaine ne peuvent pas revendiquer. Il propose aussi un écart par rapport à la mécanique quantique standard, c'est donc une position minoritaire et non la vision établie, et Palmer la présente comme falsifiable en cinq ans environ. Et l'article ne mentionne Bitcoin nulle part. Son sujet est RSA-2048.

Un argument plus ancien est souvent cité à côté. En 2007, le physicien Paul Davies déduisait une limite d'environ 400 particules intriquées à partir du contenu informationnel total de l'univers observable. Ce qu'on omet d'habitude, c'est que Davies a aussitôt qualifié sa propre analyse d'"excessivement simpliste", et a désigné l'algorithme de Shor comme l'exception probable, parce que son état d'entrée est "algorithmiquement simple par définition". Lu en entier, l'argument soutient bien moins un plafond dur que son résumé habituel ne le laisse croire.

La troisième incertitude est de savoir si Bitcoin peut bouger à temps. La migration se mesure en années même sous des hypothèses optimistes, et elle exige que les portefeuilles, les plateformes d'échange, les dépositaires et les utilisateurs individuels agissent. Les régulateurs ont lancé leur propre horloge. Les orientations de transition du NIST déclarent ECDSA déprécié après 2030 et interdit après 2035, ce qui fixe une date au mouvement du reste du monde, quoi que Bitcoin décide.

Rien de tout cela ne se résout en un oui ou un non. Cela se résout en une forme : une exposition précise et bien comprise dans une partie du système, une population mesurable de pièces à risque, une défense conçue mais non déployée, et une machine qui n'existe pas et qui sera peut-être constructible, peut-être pas. L'analyse plus longue de la façon dont ces chiffres bougent parcourt ce que les tendances soutiennent réellement, et un essai distinct pose la question qui se trouve sous tout cela, à savoir si remplacer un schéma de signature changerait Bitcoin.