Le débat de Bitcoin sur l'informatique quantique n'est pas simplement une question technique de cryptographie. Il s'agit aussi d'une dispute sur les principaux qui devraient prévaloir si les signatures à courbes elliptiques ne peuvent plus authentifier de manière fiable la propriété : la promesse que les monnaies valides restent dépensables par leurs propriétaires, ou la nécessité de protéger Bitcoin contre un attaquant quantique capable de saisir une part importante de son offre.

Chaque option sérieuse crée un conflit. Ne rien faire préserverait les règles de consensus actuelles, mais pourrait permettre à de futurs attaquants quantiques de saisir des monnaies dont les propriétaires n'ont jamais consenti. Geler les monnaies vulnérables pourrait empêcher ce vol, mais invaliderait rétroactivement des conditions de dépense établies. Une migration forcée vers des signatures post-quantiques pourrait être une prudence d'ingénierie tout en paraissant imposer un régime de confiscation adossé à une échéance.

La question centrale est donc de savoir comment minimiser le total des violations des droits de propriété si les signatures à courbes elliptiques ne permettent plus d'identifier de manière fiable les propriétaires légitimes.

La menace quantique

Le système d'autorisation actuel de Bitcoin repose sur la cryptographie à courbes elliptiques. Les signatures ECDSA historiques et les signatures Schnorr utilisent toutes deux la courbe secp256k1. Selon les hypothèses classiques de l'informatique, dériver une clé privée à partir d'une clé publique est computationnellement infaisable. Un ordinateur quantique suffisamment puissant et cryptographiquement pertinent exécutant l'algorithme de Shor pourrait changer cela : une fois une clé publique exposée, un attaquant pourrait dériver la clé privée correspondante et créer une transaction que le réseau accepterait comme valide.

Tous les outputs Bitcoin n'exposent pas les clés publiques au même moment. Les anciens outputs pay-to-public-key et les outputsroot révèlent les clés publiques on-chain et pourraient faire l'objet d'attaques à longue portée. D'autres outputs masquent la clé publique derrière un hash jusqu'à ce que le propriétaire dépense. Dans ces cas, un attaquant à courte portée pourrait observer une transaction, dériver rapidement la clé privée et tenter de remplacer ou de devancer la dépense.

Le minage quantique pose un problème différent. L'algorithme de Grover pourrait théoriquement fournir une accélération quadratique dans la recherche d'un hash de bloc valide, tandis que l'algorithme de Shor fournit une accélération superpolynomiale contre les hypothèses derrière ECDSA et Schnorr. L'avantage de l'informatique quantique pour le minage est donc considéré comme nettement moins pratique que son utilisation pour attaquer les signatures à courbes elliptiques.

L'incertitude autour des ordinateurs quantiques

La question de savoir si un ordinateur quantique cryptographiquement pertinent sera un jour construit demeure incertaine. Les sceptiques du quantique ne contestent généralement pas que l'algorithme de Shor puisse casser la cryptographie à courbes elliptiques. Leur argument est qu'il n'y a aucune raison claire de croire que les ingénieurs produiront les machines puissantes et tolérantes aux pannes nécessaires pour l'exécuter à une échelle pertinente.

Les processeurs quantiques bruités actuels ne peuvent pas casser l'ECC. Une telle attaque exigerait de nombreux qubits logiques fiables, des taux d'erreur extrêmement bas, de longs calculs cohérents et une correction d'erreur quantique fonctionnant à grande échelle.

Mikhail Dyakonov a fait valoir que le théorème du seuil de tolérance aux pannes quantique repose sur des hypothèses idéalisées, notamment un bruit suffisamment indépendant, des portes précises, des interactions indésirables limitées et la capacité de maintenir les erreurs sous un seuil dans un très grand système. Gil Kalai a proposé une critique plus structurelle, arguant que le bruit corrélé et son accumulation pourraient empêcher les codes correcteurs d'erreurs quantiques de haute qualité de passer à l'échelle. Dans son article de 2011, Kalai a examiné comment les implémentations physiques de codes quantiques, les corrélations dans les systèmes stochastiques et le bruit accumulé pourraient empêcher des ordinateurs quantiques évolutifs.

Les sceptiques rejettent également les extrapolations simples à partir des progrès du nombre de qubits physiques. Passer de 50, 100 ou 1 000 qubits physiques à des millions de qubits physiques ou des milliers de qubits logiques exigerait de contrôler la diaphonie, les fuites, les erreurs corrélées, la dérive d'étalonnage, les effets thermiques, les erreurs de mesure, les variations de fabrication et le bruit de contrôle. Les démonstrations actuelles, qui surpassent les simulations classiques uniquement sur des tâches d'échantillonnage soigneusement sélectionnées, apportent des preuves limitées quant à la capacité d'exécuter un algorithme long et structuré tel que celui de Shor avec une fiabilité suffisante pour récupérer une clé privée ECC de 256 bits.

Pourquoi la migration importe

Si un ordinateur quantique cryptographiquement pertinent apparaît, simplement donner aux utilisateurs la possibilité d'adopter la cryptographie postquantique ne protégerait pas tous les bitcoins vulnérables. L'ensemble exposé comprend les premières monnaies pay-to-public-key, les monnaies contrôlées par des clés publiques réutilisées, les outputs Taproot et les monnaies dont les clés publiques ou clés publiques étendues ont été divulguées hors de la blockchain.

Les anciens outputs P2PK représentent une faible part des UTXOs en nombre mais environ 1,7 million de BTC. Des estimations plus larges fondées sur les types d'outputs, les schémas d'activité et la propriété connue suggèrent qu'au moins 2,6 millions de BTC resteraient vulnérables même si les utilisateurs actifs de Bitcoin migraient leurs portefeuilles vers la cryptographie post-quantique. L'article estime qu'environ 2,6 millions de BTC, soit 13 % de l'offre totale actuelle, pourraient être incapables de migrer vers des scripts de verrouillage quantiquement sûrs.

Ces monnaies pourraient créer des risques systémiques au-delà de la simple vente. Un attaquant quantique pourrait les utiliser pour déstabiliser les marchés, miner la confiance, nuire au réseau ou acquérir suffisamment de hashrate pour tenter une attaque à 51 %. Protéger ces monnaies exigerait donc des changements de consensus empêchant l'utilisation des signatures ECDSA ou Schnorr vulnérables.

Des termes tels que « confiscation », « destruction », « gel », « vol » et « récupération » décrivent des mécanismes différents. Un gel ne transférerait pas les monnaies à l'État, aux mineurs, aux développeurs ou à un fonds de récupération. Il rendrait certains outputs non dépensables avec des signatures vulnérables. Les défenseurs emploient parfois « brûler » car les monnaies ne seraient pas réattribuées ; toutefois, un propriétaire légitime possédant toujours la clé d'origine pourrait raisonnablement considérer l'effet pratique comme confiscatoire.

Le BIP-361 divise la migration en phases. Une fois qu'un type d'adresse résistant au quantique existera, les nouvelles monnaies ne seraient plus envoyées vers des adresses vulnérables au quantique. Après une période pluriannuelle, les dépenses ECDSA et Schnorr historiques pourraient devenir invalides. La proposition laisse également ouvertes des méthodes de récupération pour les utilisateurs capables de prouver la propriété sans dépendre uniquement d'un ECC cassé, potentiellement via une preuve à divulgation nulle de connaissance dérivée d'une phrase seed ou d'une structure de portefeuille HD. Son objectif déclaré est de créer des incitations et des échéances pour que les utilisateurs, les plateformes d'échange, les dépositaires, les portefeuilles et les institutions migrent avant que l'ECC ne soit abandonné.

Les arguments pour le gel

Les partisans du gel soutiennent qu'un attaquant dérivant une clé privée par calcul quantique n'est pas le propriétaire légitime en aucun sens significatif. Laisser les monnaies vulnérables être prises ne serait pas de la neutralité, arguent-ils ; cela permettrait aux premiers acteurs quantiques de piller des outputs protégés par une faiblesse connue.

Un balayage réussi pourrait redistribuer la richesse à un acteur ayant dépensé relativement peu de ressources pour l'obtenir, sapant potentiellement le modèle de sécurité de Bitcoin, qui suppose que des participants économiquement rationnels sont incités à protéger la valeur de leurs avoirs. Les monnaies perdues constituent une préoccupation particulière. Si des attaquants récupèrent des monnaies considérées comme définitivement perdues, l'offre effective en circulation pourrait augmenter même si le plafond formel de 21 millions resterait inchangé.

La menace pourrait aussi être politique plutôt que purement financière. Un attaquant pourrait déstabiliser les marchés, miner la confiance ou détenir de grandes quantités de BTC comme levier. Les commentaires de Pieter Wuille dans le débat sur la liste de diffusion soulignent que le danger pourrait naître de la croyance crédible qu'un ordinateur quantique existera bientôt, avant même une attaque réelle. Un plan crédible de désactivation des dépenses vulnérables pourrait donc servir de mécanisme de rassurance.

Les partisans soutiennent également que la migration volontaire serait lente. Les portefeuilles matériels, les plateformes d'échange, les dépositaires, les plans successoraux, les coordinateurs multisig et les procédures de stockage à froid nécessitent des années pour changer. Matt Corallo a fait valoir que Bitcoin devrait ajouter une capacité post-quantique simple bien avant qu'elle ne devienne nécessaire, permettant aux portefeuilles de commencer à intégrer ou à s'engager sur des clés publiques résistantes au quantique.

Une échéance connue donnerait aux sociétés cotées, ETF, dépositaires, plateformes d'échange, services de conformité et comités des risques un plan de migration concret. Le BIP-361 soutient que les plateformes d'échange et les dépositaires feraient face à des pressions fiduciaires et juridiques pour agir dès qu'une échéance existerait. Les défenseurs notent en outre que la même préparation pourrait aider à répondre à d'autres situations où l'ECC s'affaiblirait avec le temps.

De ce point de vue, un soft fork objectif désactivant un chemin de dépense démontré comme non sûr s'apparenterait davantage au remplacement d'une serrure défectueuse qu'à une confiscation politique arbitraire. La règle s'appliquerait à des types de scripts plutôt qu'à des propriétaires nommés et pourrait être annoncée des années à l'avance avec un chemin de migration viable.

Les arguments contre le gel

Les opposants partent de l'attente établie de Bitcoin en matière de droits de propriété : une monnaie valide reste dépensable par le détenteur de la clé correspondante selon les règles de consensus acceptées lors de sa réception. Invalider rétroactivement ce chemin de dépense, arguent-ils, transforme « not your keys, not your coins » en « not your upgraded-by-deadline, not your coins ».

Les critiques craignent qu'un gel n'établisse un précédent pour désigner des gagnants et des perdants parmi les détenteurs d'UTXOs. Même si la règle était techniquement objective, elle ciblerait des utilisateurs en fonction de leurs choix d'adresses, de la conception de leur portefeuille, de la dormance ou de leur incapacité à agir. De futures coalitions pourraient chercher des interventions similaires pour des sanctions, la récupération de vols, des litiges successoraux, des pressions étatiques ou des monnaies présumées perdues.

Un gel ne pourrait distinguer les monnaies perdues des monnaies dormantes, des propriétaires emprisonnés, des propriétaires décédés avec héritiers, des utilisateurs de juridictions hostiles, des arrangements à verrouillage temporel, du stockage à froid oublié ou de l'épargne délibérée à long terme. Il pourrait aussi créer un conflit d'incitations : les détenteurs actifs pourraient bénéficier d'une réduction de l'offre effective,is que les propriétaires légitimes inactifs supporteraient la perte.

Il existe également une incertitude sur les délais et les capacités quantiques. Un ordinateur quantique pourrait arriver plus tard que prévu, prendre une autre forme, rester secret ou être contré par des mesures moins drastiques. Brûler définitivement des millions de monnaies avant que la menace ne se matérialise pourrait constituer en soi une violation irréversible des droits de propriété.

La destination technique est elle aussi incertaine. Le NIST a standardisé ML-DSA, SLH-DSA et ML-KEM, mais Bitcoin exige des preuves de propriété compactes et compatibles avec les scripts, à coûts de vérification gérables. La comparaison des schémas candidats par Chaincode note que les signatures et clés post-quantiques peuvent être bien plus grandes que Schnorr ou ECDSA et diffèrent sensiblement en maturité, taille, coût de signature, coût de vérification et hypothèses de sécurité. Une mauvaise migration pourrait réduire le débit, augmenter les frais, alourdir la charge des UTXOs ou des données de témoins, introduire de nouvelles hypothèses ou nécessiter une autre migration ultérieure.

Alternatives à un gel permanent

Plusieurs propositions cherchent à réduire le risque systémique sans détruire immédiatement d'anciennes revendications de propriété. La phase A du BIP-361 empêcherait de nouveaux outputs vulnérables tout en laissant les existants temporairement dépensables. Boris Nagaev a suggéré un verrouillage temporaire avec une hauteur de réactivation future, tandis que Conduition a examiné les interactions avec des outputs de type P2QRH ou P2MR et averti qu'une interdiction générale des vérifications EC pourrait affecter des constructions hybrides.

La proposition Hourglass V2 limiterait le débit des dépenses P2PK anciennes à une entrée P2PK par bloc, avec une limite nette d'un BTC par bloc. Ses auteurs affirment que cela éviterait à la fois une destruction immédiate et une liquidation quantique sans contrainte. Les critiques répondent que cela restreindrait toujours la dépense sans permission et pourrait créer une course de plusieurs décennies entre propriétaires légitimes et attaquants.

Les schémas commit-delay-reveal, parfois associés aux constructions de type Guy Fawkes, permettraient à un utilisateur de s'engager sur une dépense future, d'attendre la confirmation, puis de révéler ultérieurement les informations nécessaires pour la valider. Chaincode décrit cette approche comme optionnelle, tandis que le résumé d'Optech note qu'elle pourrait réduire l'urgence de la migration et protéger les monnaies des attaques à exposition courte.

Une autre méthode de récupération possible consisterait à prouver la connaissance d'une seed ou d'un chemin de dérivation plutôt que le contrôle d'une clé publique vulnérable. Or Sattath et d'autres ont discuté d'idées de « signature lifting », et Olaoluwa Osuntokun a construit une preuve de concept utilisant des zk-STARKs pour prouver qu'une clé d'output Taproot BIP-86 était dérivée d'un chemin de seed BIP-32. La dernière version optimisée nécessite une preuve de 200 Ko. Récupérer de petits UTXOs pourrait devenir non économique car les frais pourraient coûter plusieurs centaines de dollars et potentiellement atteindre des milliers ou dizaines de milliers de dollars à des taux de plus élevés. D'autres préoccupations incluent la taille des preuves, la complexité de vérification, les fuites de confidentialité, les hypothèses de dérivation des portefeuilles et le risque d'ajouter une cryptographie nouvelle au consensus de Bitcoin.

Marc Johnson et d'autres ont suggéré une migration guidée par le marché fondée sur des outputs résistants au quantique, des doubles signatures optionnelles et des incitations de frais ou de politique. Cette approche préserverait mieux les droits de propriété mais pourrait ne pas traiter le risque systémique si de grandes quantités de BTC de valeur restaient exposées.

Compromis techniques et économiques

Les normes post-quantiques du NIST fournissent un socle : la FIPS 204 standardise ML-DSA, la FIPS 205 standardise SLH-DSA et la FIPS 203 couvre ML-KEM pour l'établissement de clés. Bitcoin nécessite néanmoins des signatures numériques et des preuves de propriété compatibles avec les scripts, et non de simples normes à usage général.

Les signatures à base de hash offrent des hypothèses conservatrices mais sont volumineuses. Les signatures de type Lamport pourraient être activées via des mises à niveau de scripts telles que OP_CAT, mais un chemin de clé Taproot vulnérable au quantique devrait toujours être retiré ou désactivé. La discussion OP_CAT du BIP-347 identifie ce problème. Les schémas en treillis comme ML-DSA sont plus compacts que nombre d'options à base de hash mais comportent des hypothèses et des risques d'implémentation différents. Les signatures de type Falcon sont compactes mais plus délicates à implémenter, tandis que SPHINCS+/SLH-DSA est conservateur mais volumineux.

Chaincode estime que la migration de tous les UTXOs pourrait prendre environ 76 à 142 jours si la migration utilisait tout l'espace de bloc, ou 305 à 568 jours si elle en utilisait 25 %. Ces chiffres excluent les mises à niveau des portefeuilles, les approbations institutionnelles, la signature air-gapped, le remplacement du matériel, les flux comptables et la coordination. Une migration complète prendrait donc probablement des années. L'estimation générale de Chaincode va d'environ cinq ans dans le meilleur des cas à environ quinze ans dans le pire ; une urgence pourrait potentiellement comprimer le processus à deux ans, bien que le rapport note que les correctifs d'urgence historiques ne sont pas directement comparables.

Précédents historiques et gouvernance

L'« Incident du dépassement de valeur » (Value Overflow Incident) illustre le fait que les règles de consensus de Bitcoin ont déjà été modifiées pour supprimer des monnaies créées selon des règles validement suivies à l'époque. Le 15 août 2010, il a été découvert que le bloc 74 638 contenait une transaction créant 184 467 440 737,09551616 BTC pour trois adresses. Deux adresses ont reçu 92,2 milliards de BTC chacune, tandis que le mineur recevait 0,01 BTC supplémentaire. L'erreur résultait d'un dépassement d'entier dans la validation des transactions.

En l'espace de cinq heures, un nouveau client rejetant ces transactions a été publié via un changement de consensus en soft fork. La blockchain s'est scindée, et la « bonne » chaîne a rattrapé l'autre à la hauteur de bloc 74 691. La transaction invalide et les monnaies qu'elle a créées n'existent plus sur la chaîne cumulant la plus grande preuve de travail.

L'incident du DAO sur Ethereum offre une autre comparaison. En 2016, la communauté a disposé d'environ un mois pour répondre à un attaquant contrôlant 5 % de l'ETH, le contrat du DAO incluait un délai avant le retrait des fonds. Ethereum a finalement procédé à un hard fork pour restituer les fonds, tandis que la chaîne d'origine est devenue Ethereum Classic. Ethereum Classic a peiné à atteindre 10 % de la capitalisation d'Ethereum, bien que les deux réseaux aient des histoires et des structures différentes.

Un changement de Bitcoin de type BIP-361 serait un soft fork plutôt qu'un hard fork. Les utilisateurs opposés au fork du DAO pouvaient simplement rester sur les règles d'origine, tandis que s'opposer à un soft fork de migration quantique disposant d'une supermajorité de hashrate exigerait de coordonner un « User Rejected Soft Fork », ce qui n'a jamais été fait.

Bitcoin n'a aucune autorité centrale capable d'imposer un tel changement. Tout abandon de l'ECC exigerait un large accord entre opérateurs de nœuds, mineurs, plateformes d'échange, portefeuilles, dépositaires, commerçants et utilisateurs. Agir uniquement après la preuve d'un ordinateur quantique cryptographiquement pertinent pourrait signifier décider au milieu de la panique et du stress des marchés. Agir trop tôt pourrait imposer des coûts irréversibles avant que la menace ne soit suffisamment crédible.

Une voie possible

Matt Corallo a soutenu que le débat devrait être cadré comme la protection des droits de propriété dans la plus grande mesure possible plutôt que comme le simple refus de geler des monnaies. Selon ce cadrage, l'abandon de l'ECC ne pourrait être défendable que s'il existe une destination quantique-résistante largement examinée, que la fenêtre de migration est suffisamment longue, que les règles sont objectives et étroites, et que des options de récupération sont disponibles.

Une période de migration de cinq ans a été proposée pour le BIP-361, car migrer trop tôt pourrait imposer des coûts inutiles ou enfermer Bitcoin dans un schéma immature, tandis que migrer trop tard pourrait laisser le système exposé à une menace systémique. L'article indique que l'activation ne devrait être sérieusement envisagée que si un ordinateur quantique cryptographiquement pertinent semble vraisemblablement à moins de 10 ans.

Les prochaines étapes n'incluent pas l'activation du BIP-361. Elles comprennent la réduction de la réutilisation d'adresses, la recherche sur les preuves de récupération, la réduction de la dépendance au partage d'xpub, le développement de schémas post-quantiques plus efficaces, l'activation de scripts de verrouillage quantiquement sûrs sur adhésion et la préparation de plusieurs plans d'urgence.

Le problème quantique de Bitcoin n'est pas urgent au sens où les utilisateurs devraient paniquer aujourd'hui. Il est urgent parce que les systèmes décentralisés doivent résoudre d'épineux problèmes de coordination avant qu'ils ne deviennent des urgences. Le débat n'oppose pas simplement le respect et la violation des droits de propriété ; il oppose des formes concurrentes d'échec des droits de propriété. L'article conclut que Bitcoin devrait traiter l'informatique quantique comme un risque systémique réaliste mais inquantifiable, tout en évitant des changements prématurés et controversés fondés uniquement sur l'incertitude.

Cet article figure dans la dernière édition imprimée de Bitcoin Magazine, The Quantum Issue, et est partagé comme un avant-goût des idées explorées tout au long du numéro. Il a été écrit par Shinobi et est paru pour la première fois sur Bitcoin Magazine.