Sécurité de Bitcoin à l'ère quantique : distinguer la fiction de la menace réelle

La narration largement répandue dans les médias sur « la rupture du chiffrement Bitcoin par des ordinateurs quantiques » comporte une erreur conceptuelle fondamentale. Bitcoin ne repose en rien sur le chiffrement des données stockées dans la chaîne de blocs. La blockchain fonctionne comme un registre public, où chaque transaction, montant et adresse sont visibles de tous. La menace réelle sur laquelle il faut se concentrer concerne non pas le déchiffrement, mais la potentielle falsification des signatures numériques associées à la clé publique divulguée.

Où se situe réellement la vulnérabilité : du chiffrement aux signatures

Les systèmes de signatures Bitcoin—ECDSA et Schnorr—constituaient la base du contrôle des fonds. Les coins sont transférés en générant une signature valide acceptée par le réseau. Dans cette architecture, la divulgation de la clé publique devient une faiblesse critique lorsqu’un ordinateur capable d’exécuter l’algorithme de Shor apparaît.

Si un attaquant disposait d’une machine quantique cryptographiquement significative, il pourrait :

• Extraire la clé privée à partir de la clé publique visible dans la chaîne
• Générer une signature concurrente pour une autre dépense
• Prendre le contrôle des fonds

La limitation de l’exposition de la clé publique détermine l’ampleur de ce risque. De nombreux adresses Bitcoin cryptent la clé publique dans des hash, ne révélant la clé brute qu’au moment de la transaction. D’autres formats—tels que pay-to-pubkey ou certains multisig—révèlent la clé plus tôt. La réutilisation d’une adresse prolonge cette fenêtre temporelle, transformant une exposition unique en une cible permanente pour un attaquant potentiel.

La menace quantique en chiffres : ce qui est mesurable aujourd’hui

Project Eleven publie chaque semaine une analyse du blockchain, identifiant les UTXO avec clé publique divulguée. Leur tracker public indique environ 6,7 millions de BTC répondant aux critères d’exposition quantique.

Du point de vue computationnel, selon les recherches de Roettler et co-auteurs, casser le logarithme discret de courbe elliptique 256 bits nécessiterait :

La différence entre qubits logiques et physiques est fondamentale. Transformer un circuit en une machine capable de correction d’erreurs à faible taux d’erreur—condition pour une attaque pratique—engendre des coûts énormes de mise à l’échelle et de temps.

Taproot change le paysage de l’exposition

L’implémentation de Taproot (P2TR) modifie le modèle par défaut de divulgation des clés. Les sorties Taproot contiennent une clé publique modifiée de 32 octets directement dans le script de sortie, plutôt que la clé publique hashée. Cela signifie que les nouvelles dépenses créeront par défaut une plus grande réserve de UTXO avec clé divulguée lorsque la technologie quantique deviendra une menace pratique.

Cependant, la sécurité jusqu’à présent ne change pas—l’exposition devient une variable mesurable, traçable, qui détermine l’ampleur de la menace future.

De Grover à la migration : le contexte de tout le spectre quantique

Les fonctions de hachage, comme SHA-256, font face à un autre type d’attaque quantique. L’algorithme de Grover offre une accélération par racine pour la recherche brute, mais pas la rupture du logarithme discret comme Shor. Pour les préimages de SHA-256, le coût reste à 2^128 opérations même avec Grover—bien moins pratique et dangereux que la rupture d’ECDSA.

La narration sur la menace quantique manque souvent de faire la distinction entre ces algorithmes. Le NIST a déjà standardisé des primitives post-quantiques (ML-KEM, FIPS 203), et Bitcoin développe des solutions telles que BIP 360 proposant « Pay to Quantum Resistant Hash ». Le défi réside dans la migration, et non dans une rupture immédiate.

Pourquoi c’est un problème infrastructurel, et non un scénario apocalyptique

Selon les derniers rapports de Reuters, IBM planifie une voie vers un système résistant aux erreurs vers 2029. Dans ce contexte, les progrès dans les composants de correction d’erreurs suggèrent qu’une rupture quantique serait le résultat d’un développement sur plusieurs années, et non d’une attaque inattendue.

Le vrai problème se résume à trois dimensions :

1. Quelle part des UTXO possède des clés publiques déjà divulguées (identifiable aujourd’hui)
2. À quelle vitesse les portefeuilles et protocoles peuvent adopter des dépenses résistantes aux quantiques
3. Si le réseau maintiendra sa capacité, sa sécurité et la rentabilité des frais lors de la transition

Les signatures post-quantiques ont des tailles de plusieurs kilo-octets au lieu de dizaines d’octets, ce qui modifie le calcul du poids des transactions et l’expérience utilisateur. La migration nécessite une coordination, et non une reprogrammation désespérée.

Le risque quantique réel est mesurable, mais avant tout, c’est un défi de temps et de conception—et non une raison de paniquer face à un paysage narratif de sécurité modifié dans les cryptomonnaies.