L’informatique quantique et vos pièces : ce qui est vraiment menacé
L’informatique quantique est le sujet crypto dont on parle le plus mal, avec une régularité admirable. Un camp affirme que tout va s’effondrer ; l’autre répond que c’est dans plusieurs décennies et cesse d’y penser. Les deux sautent la partie réellement utile : savoir quelle partie du système est vulnérable et lesquelles de vos pièces sont exposées.
Car la réponse n’est pas uniforme. Certaines sorties sont nettement plus menacées que d’autres, et cette différence est quelque chose sur quoi vous pouvez agir dès aujourd’hui.
Deux algorithmes, deux problèmes très différents
Presque toute l’inquiétude se ramène à deux résultats des années 1990.
L’algorithme de Shor résout efficacement les problèmes sur lesquels repose la cryptographie à clé publique : la factorisation et le logarithme discret sur lequel sont bâties les signatures secp256k1. Un ordinateur quantique suffisamment grand exécutant Shor pourrait déduire une clé privée d’une clé publique. C’est là la menace réelle, et elle n’est pas mince : elle casse les signatures purement et simplement au lieu de les affaiblir.
L’algorithme de Grover accélère la recherche non structurée, mais seulement de façon quadratique. Face à une fonction de hachage, il divise à peu près par deux la sécurité effective. SHA-256 passe de 256 bits à environ 128 bits de résistance, ce qui reste très hors de portée. Le minage y gagne une accélération théorique qui compte bien moins qu’il n’y paraît, car la preuve de travail est une course contre les autres mineurs, pas contre une cible fixe.
D’où le résumé qui compte vraiment : le hachage va bien, les signatures non. Toute inquiétude sérieuse découle de cette seule phrase.
Pourquoi une adresse n’est pas une clé publique
Voici la partie que la plupart des discussions omettent, et c’est justement celle qui détermine votre exposition.
Les adresses Bitcoin ne sont pas des clés publiques. Ce sont des empreintes de clés publiques — ou, pour les adresses fondées sur un script, des empreintes d’un script. La clé publique n’apparaît pas sur la chaîne quand vous recevez des fonds. Elle apparaît quand vous les dépensez, car dépenser exige de publier une signature et la clé qui la valide.
Cela crée deux catégories de pièces :
Hachées et non dépensées. La chaîne ne montre qu’une empreinte. Pour l’attaquer, un adversaire quantique devrait d’abord casser le hachage, et Grover ne l’y mène pas. Ces sorties sont protégées par une couche supplémentaire qui n’a rien à voir avec les signatures.
Clé publique exposée. Dès que vous dépensez depuis une adresse, la clé est publique pour toujours. Tout ce qui reste ensuite à cette adresse n’est protégé que par le schéma de signature lui-même.
Cette distinction explique pourquoi « ne réutilisez pas vos adresses » se révèle un conseil pertinent face au quantique, après des années où on le recommandait pour des raisons de confidentialité seules. Réutiliser une adresse, c’est faire reposer le second paiement sur une clé publique exposée plutôt que sur une empreinte.
Ce qui est réellement exposé aujourd’hui
Les premières sorties de Bitcoin. Les toutes premières transactions payaient directement vers des clés publiques plutôt que vers des empreintes. Ces clés brutes sont visibles sur la chaîne en ce moment même. Une part importante des pièces très anciennes et jamais déplacées — dont une bonne partie de ce qu’on attribue à Satoshi — entre dans cette catégorie.
Toute adresse réutilisée. Dépensez une fois, et tout ce que vous y recevez ensuite se trouve derrière une clé publiée.
Toute adresse Ethereum ayant déjà transigé. Cela mérite d’être dit franchement, car cela surprend : sur les chaînes EVM, la clé publique se retrouve à partir de n’importe quelle signature. Si une adresse a envoyé ne serait-ce qu’une transaction, sa clé est de fait publique. Ethereum n’a pas d’équivalent de la catégorie « hachée et non dépensée » de Bitcoin.
Les sorties Taproot. Taproot place une clé publique directement dans la sortie plutôt qu’une empreinte de celle-ci. C’est une conception élégante, avec de vrais gains de confidentialité et d’efficacité, et cela signifie bien que les sorties par voie de clé exposent une clé dès leur financement. Bon à savoir ; pas de quoi s’alarmer aujourd’hui.
La fenêtre du mempool. Quand vous dépensez, votre clé publique devient visible à l’instant où vous diffusez, avant confirmation. Un attaquant quantique assez rapide pour déduire une clé et faire miner une transaction concurrente dans cette fenêtre pourrait dérober des fonds en vol. C’est une attaque théorique réelle, et elle exige des capacités très au-delà de tout ce qui a été démontré.
Où se situe SSP, honnêtement
Les adresses Bitcoin de SSP sont en P2WSH — une empreinte d’un script témoin. Vos pièces non dépensées relèvent donc de la catégorie hachée : ce qui figure sur la chaîne avant que vous ne dépensiez est une empreinte, pas des clés. Au moment de dépenser, le script et les deux clés publiques sont révélés, exactement comme pour toute autre sortie fondée sur un script.
Vient maintenant le passage où il serait facile d’en promettre trop, alors ne le faisons pas. Le multisig 2-sur-2 aide-t-il contre le quantique ? À peine.
Un attaquant exécutant Shor contre votre script déjà dépensé doit déduire deux clés au lieu d’une. C’est environ deux fois plus de travail. Le double est un facteur constant, et les facteurs constants ne sont pas de la sécurité : un adversaire capable de casser une clé secp256k1 est presque certainement capable d’en casser deux. Le multisig deux-sur-deux est une excellente protection contre la compromission d’un appareil, l’hameçonnage, le vol et la contrainte exercée sur une seule clé. Face à un ordinateur quantique cryptographiquement pertinent, il est quasiment sans effet, et quiconque vous vend le multisig comme une protection quantique vous induit en erreur.
Ce qui compte vraiment, c’est la migration vers des signatures post-quantiques au niveau de la chaîne, et aucun portefeuille ne peut le faire seul.
À quelle distance sommes-nous ?
Loin, selon toute lecture honnête.
Casser secp256k1 avec Shor exige un grand ordinateur quantique à correction d’erreurs. Comme les qubits physiques sont bruités, il en faut beaucoup pour produire un qubit logique fiable, et les estimations publiées pour attaquer des tailles de clé réelles se chiffrent en millions de qubits physiques. Les machines actuelles en sont éloignées de plusieurs ordres de grandeur — il ne s’agit pas d’une génération de matériel supplémentaire.
Deux choses empêchent d’en conclure qu’on peut ignorer le sujet.
D’abord, le calendrier est réellement incertain. « À plusieurs ordres de grandeur » décrit honnêtement le présent et fonde mal des prédictions assurées sur 2040.
Ensuite, et surtout : les clés exposées n’expirent pas. Pour les données chiffrées, on parle de « récolter maintenant, déchiffrer plus tard ». Pour les pièces, l’équivalent est plus simple et pire — une clé publique visible aujourd’hui le reste, et les pièces qu’elle protège peuvent être prises dès que la capacité arrive. Aucune fenêtre ne se referme. C’est l’argument pour se soucier dès maintenant de la catégorie dans laquelle se trouvent vos pièces, même si la menace demeure lointaine.
Ce qui se fait réellement
Le socle cryptographique existe. Le NIST a normalisé des schémas de signature post-quantiques — ML-DSA et SLH-DSA, issus des soumissions Dilithium et SPHINCS+ — et ils sont déployables dès aujourd’hui dans des logiciels ordinaires.
Les chaînes de blocs sont le cas difficile. Changer de schéma de signature est un changement de consensus : chaque nœud, chaque portefeuille, chaque plateforme d’échange, chaque brique d’infrastructure doit être d’accord et migrer. Les signatures post-quantiques sont en outre nettement plus volumineuses que les actuelles, ce qui pèse directement sur l’espace de bloc et les frais. Et il faudra décider du sort des pièces dont les détenteurs ne migreront jamais — y compris de vieilles sorties dont les propriétaires sont peut-être injoignables ou morts. C’est un problème de gouvernance au moins aussi ardu que le problème technique.
Les travaux avancent. Ce n’est pas encore urgent, et cela prendra des années quand ça le deviendra.
Que faire
Ne réutilisez pas vos adresses. Vous devriez déjà le faire pour la confidentialité. Cela maintient aussi vos pièces dans la catégorie hachée plutôt que derrière des clés exposées. C’est la seule chose utile qu’un particulier puisse faire aujourd’hui, et c’est gratuit.
Ne réorganisez pas vos avoirs pour autant. Aucun mouvement de panique n’est justifié. Quiconque vous presse de déplacer des fonds en urgence à cause du quantique monte une arnaque ou vous vend quelque chose.
Gardez la menace en proportion. En pratique, vous risquez bien davantage de perdre des cryptos à cause d’une phrase de récupération égarée, d’un site d’hameçonnage ou d’une autorisation non lue qu’à cause d’un ordinateur quantique. Ce sont les risques d’aujourd’hui et ils méritent l’attention d’aujourd’hui.
Attendez-vous à un traitement au niveau du protocole. Quand la migration viendra, elle prendra la forme d’une mise à niveau de chaîne avec une longue transition, et non de quelque chose que votre portefeuille corrige discrètement.
La position honnête manque de panache : un problème réel, correctement identifié, encore lointain, sur lequel on travaille — et qui n’est pas, à ce jour, ce qui se dresse entre vous et la perte de votre argent.
