Google a indiqué que sa puce quantique Willow a réduit les erreurs d'environ 40 fois lors de la préparation des « magic states », une ressource spécialisée nécessaire aux calculs quantiques qui pourraient à terme menacer les portefeuilles Bitcoin. Les résultats ont été publiés cette semaine dans Science.

L'expérience a atteint une fidélité d'environ 99,99 % parmi les états ayant passé l'inspection, bien que seulement environ 8 % des tentatives de préparation aient abouti, et d'importants défis de mise à l'échelle subsistent.

Ces résultats ne rendent pas une attaque contre Bitcoin 40 fois moins coûteuse. Ils font plutôt progresser une méthode d'ingénierie qui pourrait aider de futurs ordinateurs quantiques à maintenir les quelque 500 000 magic states fiables par seconde requis dans un modèle d'attaque.

Ces travaux abordent un défi qui figure rarement dans le débat sur l'informatique quantique et bitcoin, généralement centré sur la taille de la machine dont un attaquant aurait besoin, tout en minimisant la part de cette machine qui serait occupée à se préparer au calcul.

Pourquoi les plus anciennes pièces laissent plus de temps à un attaquant

Un portefeuille bitcoin utilise une clé privée pour approuver les paiements et une clé publique correspondante qui permet au réseau de vérifier ces approbations. Dépenser révèle généralement la clé publique, tandis que certains types de paiement l'exposent dès le départ.

Remonter de la clé publique vers la clé privée est censé exiger une puissance de calcul irréaliste, ce qui rend pratiquement impossible la rétro-ingénierie des portefeuilles crypto. Cependant, un ordinateur quantique suffisamment puissant exécutant l'algorithme de Shor pourrait, en théorie, accomplir ce calcul. Quiconque récupérerait la clé privée pourrait signer des transactions comme le propriétaire, et le réseau les accepterait comme authentiques. Le mathématicien Peter Shor a publié cette méthode pour la première fois en 1994, mais personne n'est encore parvenu à la démontrer.

Une phrase de récupération enfermée dans un tiroir n'offre aucune protection contre une telle attaque, car l'attaquant travaillerait à partir d'informations déjà présentes sur la blockchain.

Certains formats de paiement plus récents masquent la clé publique derrière un hachage — une empreinte numérique — jusqu'à ce que le propriétaire dépense. Un attaquant visant une clé auparavant masquée devrait attendre cette exposition et pourrait devoir récupérer la clé privée assez rapidement pour interférer avec le paiement.

C'est aussi pourquoi les pièces perdues posent un problème difficile. Bitcoin peut introduire des protections de dépense plus solides, mais quelqu'un doit toujours détenir les clés existantes pour transférer les anciens avoirs vers celles-ci. Si ces clés sont perdues, propriétaire ne peut pas effectuer le transfert, et la clé publique exposée reste accessible à un futur attaquant.

Les avoirs des premières années de Bitcoin sont souvent décrits comme datant de « l'ère Satoshi », du nom du créateur pseudonyme du réseau, et de nombreuses premières récompenses étaient versées directement à la clé publique — un format qui plaçait la clé elle-même sur la blockchain plutôt qu'un hachage de celle-ci. Certains des plus anciens avoirs en bitcoin ont leurs clés publiques exposées depuis leur minage, et d'anciennes pièces ont circulé à mesure que le débat quantique prend de l'ampleur. Le 7 octobre, 100,02 BTC intouchés depuis juillet 2010 ont été déplacés après plus de 16 ans, pour une valeur d'environ 8,5 millions de dollars. En août, six portefeuilles inactifs depuis 2011–2014 ont déplacé 553,59 BTC supplémentaires, d'une valeur d'environ 40 millions de dollars à l'époque.

Ces transferts ne prouvent pas à eux seuls que les détenteurs réagissent aux craintes quantiques ; déplacer des pièces peut tout aussi bien signifier changer de portefeuille, réorganiser ses avoirs ou se préparer à vendre.

Le coût de la préparation

Les ordinateurs quantiques stockent l'information dans des unités appelées qubits, qui sont extrêmement fragiles. La chaleur, les vibrations et les signaux parasites peuvent les perturber et introduire des erreurs, et l'ajout de qubits multiplie aussi les occasions d'erreur.

Les ingénieurs y remédient en organisant de nombreux qubits physiques en groupes qui détectent et corrigent les erreurs. Chaque groupe se comporte comme une unité plus fiable, appelée qubit logique. Ces unités ont ensuite besoin de l'équivalent numérique d'un carburant pour exécuter certaines opérations : des états quantiques spécialement préparés que les chercheurs appellent « magic states ». Chacun est consommé lors de son utilisation, de sorte que l'ordinateur doit continuer à en produire tout au long d'un calcul.

Imaginez une cuisine de restaurant où chaque plat nécessite une préparation fraîche d'une sauce non réutilisable, où une partie du personnel doit continuellement préparer la sauce pendant que les autres cuisinent. Dans un ordinateur quantique, le matériel consacré à la production de magic states est du matériel qui ne peut être affecté à d'autres tâches.

Cette surcharge signifie qu'un attaquant potentiel fait face à deux problèmes simultanés : assembler une machine assez grande pour exécuter le calcul, et l'approvisionner en états pendant toute la durée de l'opération.

La méthode de Google, appelée cultivation, part d'une version approximative de l'état, vérifie les erreurs et écarte les tentatives défectueuses. L'objectif est de produire des états propres avec moins de matériel que ne l'exigeaient les méthodes antérieures.

L'entreprise a rapporté une fidélité d'environ 99,99 % — une mesure de la proximité des états finaux avec ce que les chercheurs visaient. Ce chiffre ne s'applique qu'aux états ayant passé l'inspection. Willow a conservé environ 8 % de ses tentatives après les contrôles effectués lors de la préparation et de la mesure. Sur 100 essais, environ huit ont été retenusn
Les prochaines étapes incluent l'exécution du processus à une échelle bien plus grande et le maintien de l'utilité de ces états lorsqu'ils alimentent des calculs plus longs. Les chercheurs indiquent que des travaux supplémentaires sont nécessaires sur les opérations en temps réel et sur le transfert des états vers des dispositifs de correction d'erreurs plus robustes.

Place dans les recherches antérieures

En mars, Google avait estimé qu'un futur ordinateur quantique supraconducteur de moins de 500 000 qubits physiques pourrait casser la cryptographie de portefeuille utilisée par Bitcoin et Ethereum, sous un ensemble spécifique d'hypothèses matérielles. En septembre, CoinDesk rapportait que des chercheurs avaient réduit la charge de travail d'un calcul central utilisé dans cette attaque. Ces travaux couvraient une seule composante, omettant l'attaque complète et les coûts matériels physiques de son exécution.

Ces études réduisent la quantité de calcul qu'un attaquant doit effectuer. La cultivation s'attaque au coût d'approvisionnement de la machine pendant qu'elle effectue ce calcul. Les gains ne peuvent pas simplement être multipliés entre eux : l'estimation de mars de Google supposait déjà une production efficace de magic states, et l'expérience teste une partie de cette approche d'ingénierie plutôt que d'apporter une réduction supplémentaire de 40 fois du coût estimé d'une attaque contre le bitcoin.

Prises ensemble, ces travaux cartographient la liste des vérifications d'ingénierie restantes — suffisamment de qubits physiques, un calcul plus économe et un approvisionnement fiable en états — chaque élément ayant été démontré séparément jusqu'ici plutôt que dans une machine complète.

L'article de mars montre également la quantité de carburant qu'une attaque consommerait. Pour un modèle d'attaque durant environ neuf minutes après qu'une clé publique devient disponible, Google a estimé que la machine aurait besoin d'environ 500 000 magic states suffisamment fiables chaque seconde.

Tant que la cultivation et les autres composants n'auront pas démontré leur fonctionnement conjoint à grande échelle, l'attaque modélisée restera une estimation matérielle plutôt qu'une capacité opérationnelle.