Bitcoin Face Au Quantique: Une Migration Longue Et Fragile

Et si le vrai danger pour Bitcoin n’était pas une machine quantique capable de casser les clés demain matin, mais une bascule trop lente, trop mal coordonnée, trop humaine? C’est précisément le diagnostic posé par Charles Guillemet, directeur technique de Ledger. Selon lui, le réseau n’affronte pas aujourd’hui une crise cryptographique instantanée. Il affronte un chantier de migration qui pourrait durer des années, toucher les portefeuilles, les sauvegardes, les pièces oubliées et, au bout du compte, la confiance collective.

Pourquoi La Menace Quantique Change De Visage

Le débat public a longtemps tourné autour d’une image spectaculaire: un ordinateur quantique qui, d’un coup, récupérerait les clés privées exposées. Cette image n’est pas absurde sur le papier. Les signatures actuelles de Bitcoin s’appuient largement sur l’ECDSA et sur Schnorr, deux familles construites sur la cryptographie des courbes elliptiques. Un adversaire assez puissant, armé de l’algorithme de Shor, pourrait théoriquement inverser le problème et retrouver une clé privée à partir d’une clé publique visible.

Mais le directeur technique de Ledger insiste sur un point trop souvent oublié: aucune machine publiquement démontrée n’est aujourd’hui capable de mener cette attaque contre Bitcoin. Le calendrier d’un tel appareil reste incertain. Dire «pas aujourd’hui» n’est pas une invitation à l’inaction. C’est une invitation à traiter le vrai goulot d’étranglement: déplacer des utilisateurs, des logiciels, des dispositifs matériels et des fonds déjà existants sans casser le réseau en route.

Bitcoin n’a pas un problème d’ordinateur quantique aujourd’hui. Il a un problème de migration, et les migrations peuvent prendre des années pour être faites correctement.

Charles Guillemet

Cette phrase, publiée dans une analyse technique et relayée ensuite sur X, a déplacé le centre de gravité de la discussion. On ne parle plus seulement d’un nouvel algorithme. On parle de la manière dont des millions de personnes devront un jour dépenser autrement, signer autrement, sauvegarder autrement. Et l’on parle aussi des pièces qui n’ont pas bougé depuis des années, parfois parce que leurs propriétaires ont perdu l’accès à leurs clés.

Trois Problèmes Distincts, Pas Un Seul Chantier

Guillemet découpe la transition en trois dossiers. Le premier consiste à choisir un schéma de signature post-quantique. Le deuxième consiste à adapter les portefeuilles, les nœuds, les dispositifs matériels et toute l’infrastructure protocolaire. Le troisième, souvent le plus politique, consiste à décider comment les bitcoins déjà en circulation devront basculer vers des sorties résistantes au quantique.

Ce troisième dossier n’est pas un détail comptable. Il englobe les pièces dont les propriétaires ont disparu, les portefeuilles oubliés, les sauvegardes illisibles, les héritages mal documentés. Une communauté peut s’accorder assez vite sur une primitive cryptographique. Elle s’accorde beaucoup moins vite sur le destin de fonds que personne ne peut plus déplacer, ou que personne ne veut voir gelés.

D’autres cryptographes tiennent une ligne voisine. Dan Boneh, à Stanford, a plaidé pour une préparation sérieuse au risque quantique, tout en mettant en garde contre une bascule précipitée qui ouvrirait la porte à des pannes logicielles graves. Autrement dit: mieux vaut avancer tôt, mais pas dans le brouillard.

SHRINCS, Une Proposition Faite Pour Bitcoin

Au cœur de l’analyse se trouve SHRINCS, une ébauche de signature post-quantique conçue spécifiquement pour Bitcoin. Le texte n’a pas encore de numéro de BIP. Il n’est pas terminé. Sa preuve de sécurité formelle est même indiquée comme «TODO». Autant dire qu’il s’agit d’un prototype à lire, pas d’un standard activé.

L’idée générale est hybride. SHRINCS combine un chemin compact mais stateful, c’est-à-dire dépendant d’un état interne, et un chemin de secours plus lourd mais stateless. Le tout s’appuie sur la famille SHA-256, déjà omniprésente dans Bitcoin. Les concepteurs visent environ 128 bits de sécurité classique et 64 bits de sécurité quantique avec les paramètres retenus.

La clé publique fait 48 octets et engage deux routes de signature. La route compacte utilise Flexible XMSS et WOTS+C. Elle produit des signatures stateful allant de 548 octets à 4 619 octets. La route de repli, inspirée des concepts de SLH-DSA, grimpe à 5 777 octets. Ces chiffres importent, parce qu’une version antérieure de SHRINCS avait popularisé une signature stateful de 324 octets. Selon Guillemet, ce chiffre ne décrit plus le brouillon actuel.

NIST a standardisé SLH-DSA sous le nom FIPS 205 en août 2024. Ce standard est stateless et dérive de SPHINCS+. Le brouillon SHRINCS, lui, mixe une configuration de paramètres personnalisée et un composant stateful distinct. On n’est donc pas face à une simple copie d’un standard fédéral collée dans Bitcoin.

Pourquoi Les Signatures Plus Grosses Changent Tout

Les signatures Schnorr utilisées aujourd’hui pèsent 64 octets. Passer à des centaines, voire des milliers d’octets, n’est pas un ajustement cosmétique. Cela pèse sur l’espace des blocs, sur le débit des transactions, sur les frais, sur la bande passante des nœuds. Blockstream Research a souligné que les signatures post-quantiques standardisées sont nettement plus volumineuses, ce qui crée une pression structurelle sur le débit du réseau.

Le même laboratoire a aussi défendu les signatures fondées sur des fonctions de hachage: hypothèses cryptographiques conservatrices, vérification relativement bon marché. Dans cette lecture, le coût se paie surtout en octets, pas forcément en calcul de vérification. Le brouillon actuel affirme même que le coût de vérification au pire cas, rapporté à chaque octet de signature, resterait inférieur à celui de BIP340 Schnorr.

Une démonstration a déjà eu lieu sur la sidechain Liquid, via Simplicity. Vérifier SHRINCS dans cet environnement n’équivaut toutefois pas à l’activer sur le réseau principal. L’expérience prouve qu’une implémentation est concevable. Elle ne prouve ni le consensus, ni la maturité du texte, ni la sécurité d’un déploiement grand public.

L’État Interne, Nouvelle Faiblesse Des Portefeuilles

Le chemin compact de SHRINCS impose une discipline implacable: chaque clé de signature à usage unique ne doit servir qu’une fois. Le portefeuille doit donc conserver un compteur. Ce compteur désigne le prochain créneau à utiliser. Il doit avancer de façon définitive avant qu’une signature ne quitte l’appareil.

Réutiliser le même créneau pour deux messages différents n’est pas un simple bug d’interface. Les informations révélées par les deux signatures peuvent permettre à un observateur de forger une signature valide. L’attaquant n’a pas forcément besoin de récupérer toute la graine privée. Il peut néanmoins rendre les fonds volables. C’est une bascule de risque: on quitte un monde où la graine suffit, pour entrer dans un monde où l’état du compteur devient aussi critique que la graine elle-même.

Les sauvegardes aggravent le tableau. Restaurer un portefeuille à partir d’une copie ancienne peut ramener un compteur périmé. Deux dispositifs matériels initialisés avec la même graine peuvent commettre la même erreur s’ils empruntent indépendamment la voie stateful sans se coordonner sur les clés déjà consommées. Le risque n’est plus seulement «perdre sa phrase de récupération». Il devient «ressusciter un état déjà dépensé».

Une revue indépendante de Project Eleven, signée notamment par Alex Pruden et Conor Deegan, aboutit à une conclusion voisine. Le schéma déplace une exigence de sécurité critique vers les portefeuilles et les systèmes de conservation. Une restauration maladroite, un rollback d’état, une resynchronisation imparfaite entre appareils, et le créneau à usage unique peut être réutilisé.

Le Filet De Sécurité Stateless

SHRINCS n’abandonne pas l’utilisateur si l’état devient douteux. La graine d’origine peut encore dériver la clé de signature stateless. Les fonds restent alors déplaçables, au prix d’une signature de 5 777 octets. En contrepartie, le portefeuille doit cesser définitivement d’utiliser la voie compacte pour cette clé dès que le compteur n’est plus digne de confiance.

Guillemet voit dans ce filet l’une des meilleures idées du projet. Perdre l’état dégrade l’efficacité. Cela ne rend pas automatiquement les pièces indépensables. Dans un écosystème où les utilisateurs oublient des mots de passe, restaurent de vieilles sauvegardes et jonglent entre plusieurs appareils, cette propriété n’est pas un luxe. C’est presque une condition de survie sociale du schéma.

Ce Que Les Portefeuilles Actuels Perdraient En Route

Changer de famille cryptographique, ce n’est pas seulement allonger une signature. C’est casser des habitudes d’ingénierie. La dérivation non durcie de BIP32 permet aujourd’hui à une clé publique étendue de générer des clés publiques enfants sans exposer les clés privées. C’est le socle de nombreux portefeuilles en lecture seule. Guillemet estime qu’un équivalent efficace ne se transporte pas naturellement vers les signatures fondées sur le hachage.

La signature de seuil pose un problème voisin. Les systèmes Schnorr savent combiner des participants de façon relativement élégante. Les alternatives fondées sur le hachage tendent à demander plus d’espace, plus de stockage, plus de communication, ou d’autres hypothèses de confiance. Attendre de SHRINCS qu’il reproduise tel quel le confort des montages Schnorr de seuil relèverait, selon lui, d’un vœu pieux.

Le matériel n’est pas en reste. L’analyse de Ledger indique que la génération de clés post-quantiques et le chemin stateless de SHRINCS peuvent prendre plusieurs minutes sur certains éléments sécurisés. Le processus enchaîne un grand nombre d’opérations SHA-256 et réclame davantage de mémoire qu’une signature Schnorr. Sur un appareil pensé pour signer vite, en silence, derrière un bouton, quelques minutes deviennent une friction réelle.

Blockstream présente le compromis sous un autre angle: la vérification de SHRINCS serait dominée par des calculs SHA-256, donc encore gérable même si la signature gonfle. Les deux lectures ne se contredisent pas forcément. L’une parle du confort de l’utilisateur et du matériel. L’autre parle du coût pour un nœud qui vérifie. Une migration réussie devra tenir les deux bouts.

BIP 360 Et BIP 361, Deux Brouillons Encore Fragiles

SHRINCS n’est qu’une pièce du puzzle. BIP 360, intitulé Pay-to-Merkle-Root, vise à retirer le chemin de dépense par clé de Taproot, jugé vulnérable au quantique, et à protéger les utilisateurs contre les attaques à longue exposition. Le texte ne introduit pas à lui seul un algorithme de signature post-quantique. Ses auteurs rappellent que les attaques à courte exposition, celles où un adversaire dérive une clé privée après qu’une transaction a révélé une clé publique mais avant confirmation, pourraient exiger plus tard un vrai schéma post-quantique.

BIP 361 s’attaque plus frontalement à la migration. Le brouillon décrit un coucher de soleil progressif des dépenses ECDSA et Schnorr héritées, une fois qu’un mécanisme de sortie post-quantique serait disponible. Le calendrier envisagé commence par une période de bascule, puis resserre les contraintes sur les signatures historiques.

Au 17 septembre 2026, le dépôt officiel des BIP listait encore les deux textes comme Draft. Ni l’un ni l’autre n’est activé dans les règles de consensus. SHRINCS, de son côté, reste une spécification sans numéro, présentée par ses auteurs comme un travail prototypique qui exige relecture et preuve de sécurité achevée.

Que Faire Des Bitcoins Qui Ne Migreront Jamais?

C’est la question qui fâche, parce qu’elle n’est plus seulement technique. Une partie de l’offre n’a pas bougé depuis longtemps. Certaines pièces sont probablement perdues. D’autres appartiennent à des personnes qui ne suivront jamais une mise à niveau, par ignorance, par incapacité, ou par choix. Que doit faire le réseau?

Geler ces sorties reviendrait à trancher un débat philosophique sur la propriété et sur l’immuabilité. Les laisser exposées reviendrait à accepter qu’un futur adversaire quantique puisse s’en emparer. Les deux options ont un coût social. Coinbase, via un conseil consultatif en cryptographie, a appelé à commencer la planification avant l’apparition d’un attaquant réel, tout en renvoyant à la communauté le sort des pièces héritées, gelées ou abandonnées.

On touche ici à ce que Guillemet nomme, en substance, l’un des nœuds les plus durs: obtenir un accord social sur les fonds vulnérables. Choisir SHA-256 plutôt qu’une autre primitive est un débat d’ingénieurs. Décider du destin de pièces dormantes est un débat de société, avec des gagnants, des perdants, et des récits contradictoires sur ce que Bitcoin est censé garantir.

Aujourd’hui, Demain, Et Le Temps Que Prennent Les Humains

Est-ce que Bitcoin est vulnérable aux ordinateurs quantiques aujourd’hui? Non, pas au sens d’une attaque publiquement démontrée contre ses clés elliptiques. Le défi immédiat, dans la lecture de Ledger, consiste à préparer une migration avant que le matériel hostile ne devienne pratique. Has Bitcoin adopté SHRINCS? Non. Le schéma n’est ni dans Bitcoin Core, ni dans les règles de consensus.

Que se passe-t-il si un portefeuille SHRINCS perd son état de signature? Le dessin actuel permet de récupérer une voie stateless à partir de la graine, au prix d’une signature beaucoup plus lourde. Le portefeuille ne doit alors plus reprendre la voie compacte. Pourquoi la réutilisation d’état est-elle dangereuse? Parce que la route compacte repose sur des clés à usage unique. Deux messages signés avec le même créneau peuvent livrer assez d’information pour une falsification et, potentiellement, un vol.

BIP 360 et BIP 361 sont-ils actifs? Non. Ils restent des brouillons. Cette banalité administrative a une conséquence concrète: le réseau n’a pas encore de politique de migration adoptée. Les laboratoires expérimentent. Les constructeurs de portefeuilles anticipent. Les chercheurs publient. Le consensus, lui, n’a pas tranché.

Ce Que Change Une Migration Mesurée En Années

Une bascule de quelques mois peut se planifier comme une mise à jour logicielle. Une bascule de plusieurs années ressemble davantage à un changement de génération. Il faudra former les utilisateurs, réécrire des firmwares, revoir des procédures de sauvegarde, inventer des rituels pour les dispositifs multiples, expliquer pourquoi une transaction pèse soudain plus cher, et convaincre des gens qui n’ouvrent leur portefeuille qu’une fois par an.

Les dépositaires institutionnels devront traiter l’état comme un actif opérationnel. Les fabricants de hardware devront accepter que certaines opérations durent des minutes. Les développeurs de portefeuilles en lecture seule devront réinventer des flux qui, aujourd’hui, tiennent dans une clé publique étendue. Les chercheurs devront finir des preuves. Les opérateurs de nœuds devront vivre avec des transactions plus grasses.

Pendant ce temps, le risque quantique reste une courbe d’incertitude. Personne ne peut dater avec autorité l’arrivée d’une machine cryptographiquement pertinente. Cette incertitude est précisément ce qui rend la patience dangereuse et la précipitation tout autant. Trop tôt, on déploie un schéma immature. Trop tard, on court après un adversaire déjà capable. Le terrain raisonnable se situe entre les deux, dans un travail patient de spécification, de revue, d’implémentation et d’éducation.

Une Leçon Plus Large Que Bitcoin

Le cas Bitcoin est spectaculaire parce que l’encours est énorme et que le récit de l’immuabilité est central. Mais la leçon dépasse une seule chaîne. Toute infrastructure qui a misé pendant quinze ans sur les courbes elliptiques devra un jour expliquer à ses utilisateurs pourquoi leurs habitudes changent. Les banques, les messageries, les certificats, les passeports numériques: le même trio revient. Choisir un algorithme. L’intégrer sans casser les outils. Décider du sort des secrets anciens.

SHRINCS a le mérite de poser ces trois problèmes dans un même texte, avec des compromis explicites: plus d’octets contre des hypothèses de hachage conservatrices, un état interne contre une signature plus petite, un repli lourd contre l’impossibilité de dépenser. On peut critiquer les paramètres, les tailles, l’absence de preuve finie. On peut aussi reconnaître qu’une proposition qui refuse de faire semblant d’être un remplacement magique de Schnorr a davantage de chances d’être lue jusqu’au bout.

Le réseau n’a pas besoin d’un slogan. Il a besoin d’une trajectoire. Cette trajectoire commencera sans doute par des sorties optionnelles, des expérimentations hors du consensus principal, des portefeuilles capables des deux mondes, puis, beaucoup plus tard, par un durcissement. Rien de tout cela ne tient si l’état d’un compteur peut être restauré par erreur, si une sauvegarde ancienne ressuscite un créneau déjà utilisé, si deux appareils signent en parallèle sans se parler.

Alors oui, l’ordinateur quantique fascine. Il donne de belles images. Mais le travail réel, celui qui décidera si des fonds restent à leurs propriétaires dans dix ans, se joue dans des détails presque prosaïques: un compteur qui avance, une sauvegarde datée, une signature trop grosse pour un bloc déjà plein, une pièce que personne n’a touchée depuis 2013. C’est moins glamour qu’une machine qui brise les courbes elliptiques. C’est aussi, probablement, beaucoup plus décisif.

La conversation ouverte par Charles Guillemet a au moins ce mérite: elle refuse le confort du «on verra bien». Elle force à regarder la migration comme un problème d’ingénierie sociale autant que de cryptographie. Les brouillons existent. Les preuves manquent encore. Les portefeuilles devront apprendre un nouveau langage. Et le réseau, s’il veut rester fidèle à sa promesse, devra inventer une manière de bouger sans abandonner ceux qui ne bougeront pas.