Coinbase a publié le 9 septembre un compte rendu d’un atelier organisé avec le cryptographe Dan Boneh de Stanford et Localhost Research autour de la préparation post-quantique de Bitcoin.

La réunion rassemblait des développeurs Bitcoin, des chercheurs en cryptographie, des spécialistes de la conservation institutionnelle et des fabricants de hardware wallets. L’objectif n’était pas de choisir immédiatement un nouvel algorithme, mais d’identifier les problèmes qu’une migration devrait résoudre avant qu’un ordinateur quantique suffisamment puissant devienne une menace pratique.

Le premier constat est plutôt rassurant : Coinbase ne présente pas la situation comme une urgence immédiate et indique qu’aucun participant ne prétend connaître précisément la date d’arrivée d’une machine capable de casser la cryptographie actuelle de Bitcoin.

Le second l’est moins : lorsque ce risque deviendra urgent, modifier Bitcoin rapidement sera probablement beaucoup plus difficile que de commencer les travaux plusieurs années en amont.

Le problème n’est pas SHA-256

Lorsque le sujet « Bitcoin contre ordinateur quantique » apparaît, SHA-256 est souvent cité en premier. Ce n’est pourtant pas la partie la plus directement exposée.

La menace la plus importante concerne les signatures à courbe elliptique utilisées pour prouver qu’un propriétaire possède la clé privée autorisant une dépense. Bitcoin utilise notamment ECDSA et, avec Taproot, des signatures Schnorr reposant sur la courbe secp256k1.

Un ordinateur quantique cryptographiquement pertinent utilisant l’algorithme de Shor pourrait, en théorie, résoudre efficacement le problème du logarithme discret qui protège ces clés. À partir d’une clé publique exposée, il pourrait alors retrouver la clé privée correspondante.

Cela ne veut pas dire qu’un ordinateur quantique actuel peut le faire. Les machines nécessaires devraient être tolérantes aux fautes, disposer d’un nombre suffisant de qubits logiques et exécuter un calcul extrêmement complexe avec une fiabilité encore hors de portée des systèmes actuels.

Tous les bitcoins ne sont pas exposés de la même manière

La structure des sorties Bitcoin change beaucoup le niveau de risque.

Certaines sorties historiques Pay-to-Public-Key affichent directement une clé publique sur la blockchain. C’est notamment le cas de nombreux bitcoins minés au début du réseau. Si une machine quantique capable d’exécuter l’attaque existait, elle disposerait théoriquement de tout son temps pour travailler sur ces clés déjà publiques.

Taproot présente également une clé publique dans sa sortie normale. Le projet BIP 360 classe donc les sorties P2TR parmi celles vulnérables aux attaques dites de longue exposition.

En revanche, des formats comme P2PKH ou P2WPKH stockent généralement un hash de la clé publique jusqu’au moment où les fonds sont dépensés. La clé n’est révélée que lorsque la transaction est diffusée.

Cela protège contre une attaque où l’adversaire peut travailler pendant des mois ou des années sur une clé déjà publiée. Mais cela ne constitue pas une protection complète : une machine quantique suffisamment rapide pourrait théoriquement tenter de retrouver la clé privée pendant que la transaction attend sa confirmation dans le mempool.

BIP 360 supprime volontairement la clé publique de Taproot

L’une des propositions actuellement à l’étude est BIP 360, intitulée Pay-to-Merkle-Root, ou P2MR.

L’idée est relativement conservatrice. P2MR reprend une grande partie du fonctionnement des arbres de scripts de Taproot, mais supprime le chemin de dépense fondé directement sur une clé publique.

Une sortie P2MR engage uniquement la racine de Merkle de son arbre de scripts. Sur le réseau principal, les adresses proposées commenceraient par bc1z.

Le bénéfice est qu’aucune clé publique n’est exposée en permanence par la sortie elle-même. BIP 360 vise donc principalement les attaques quantiques de longue exposition.

Mais le document est très clair sur sa limite : P2MR n’est pas à lui seul une nouvelle signature post-quantique. Lorsqu’une clé est révélée pendant une dépense, une attaque extrêmement rapide pourrait toujours devenir possible.

Pour aller plus loin, Bitcoin devra probablement changer de signatures

Une protection complète demanderait une primitive de signature qui reste sûre même face à un ordinateur quantique à grande échelle.

Ce domaine n’est plus purement expérimental. Le NIST a standardisé en 2024 ML-DSA, dérivé de CRYSTALS-Dilithium, ainsi que SLH-DSA, dérivé de SPHINCS+, pour les signatures numériques post-quantiques.

Ces algorithmes n’ont cependant pas été conçus spécifiquement pour Bitcoin. Ils imposent des clés et surtout des signatures généralement beaucoup plus volumineuses que celles utilisées actuellement par le réseau.

Sur une blockchain où chaque octet doit être stocké, transmis et validé par des milliers de nœuds, la taille n’est pas un détail. Une solution parfaitement acceptable pour signer un document d’entreprise peut être beaucoup moins séduisante lorsque plusieurs milliers de signatures doivent entrer dans chaque bloc.

Coinbase indique que l’atelier a précisément comparé plusieurs familles de signatures en tenant compte de la sécurité, de la taille des transactions, des performances des hardware wallets, de la gestion des clés et de la facilité de migration.

Aucun choix définitif n’a émergé.

BIP 361 pose une question plus brutale : que faire des anciennes adresses ?

Le problème devient encore plus compliqué une fois qu’un nouveau format existe. Il faut ensuite convaincre les détenteurs de bitcoins de migrer.

BIP 361, encore à l’état de brouillon, propose une migration en plusieurs phases après l’introduction d’un véritable type de sortie utilisant des signatures post-quantiques.

Une première étape empêcherait progressivement la création de nouvelles sorties utilisant des formes de signatures considérées comme vulnérables. L’objectif serait de réduire continuellement la quantité de nouveaux bitcoins placés derrière l’ancienne cryptographie.

À terme, la proposition envisage également une extinction des signatures ECDSA et Schnorr traditionnelles.

Et c’est ici que le problème cesse d’être uniquement cryptographique.

Les bitcoins perdus créent un dilemme presque insoluble

Une partie des bitcoins présents sur la blockchain appartient à des personnes qui ont perdu leur clé, sont décédées ou n’utiliseront simplement jamais une nouvelle adresse.

Si l’ancienne cryptographie reste utilisable indéfiniment, un futur détenteur d’ordinateur quantique pourrait potentiellement récupérer ces coins.

Si le protocole interdit au contraire leur dépense après une certaine date, ces fonds deviendraient définitivement bloqués, même si leur propriétaire légitime revenait avec une ancienne clé privée.

Coinbase avait déjà consacré en juin un rapport de son Quantum Advisory Council à ce problème. L’organisation ne recommande pas une solution unique et souligne les implications techniques, économiques et philosophiques de chacune.

Laisser le premier acteur quantique récupérer les coins perdus revient à redistribuer ces fonds au profit de celui qui possède la machine. Les geler revient à modifier volontairement les conditions dans lesquelles des sorties historiquement valides peuvent être dépensées.

Il n’existe pas de réponse purement mathématique à ce choix.

Les hardware wallets peuvent devenir le goulet d’étranglement

Même après avoir choisi un algorithme et modifié le consensus, l’écosystème doit encore l’implémenter.

Les hardware wallets utilisent des microcontrôleurs aux ressources limitées. Certaines signatures post-quantiques exigent davantage de mémoire, de calcul et de stockage que les signatures secp256k1 actuelles.

Les exchanges et custodians doivent de leur côté migrer d’immenses ensembles de clés sans casser leurs systèmes de sauvegarde, leurs règles multisignatures, leurs HSM et leurs procédures internes.

C’est l’une des conclusions principales de l’atelier organisé à Stanford : protéger Bitcoin ne revient pas simplement à fusionner un patch dans Bitcoin Core.

Il faut que toute la chaîne de conservation soit prête.

Le calendrier est inconnu, la durée de migration beaucoup moins

Le NIST encourage déjà les systèmes informatiques classiques à commencer leur transition vers la cryptographie post-quantique. Son projet de calendrier prévoit notamment de retirer progressivement plusieurs algorithmes classiques vulnérables au quantique au cours de la prochaine décennie.

Cela ne signifie pas qu’un ordinateur quantique capable d’attaquer Bitcoin arrivera avant une date précise. Personne ne possède aujourd’hui cette information.

La logique est plutôt celle du temps de migration. Les standards cryptographiques, les systèmes matériels et les infrastructures distribuées prennent des années à changer.

Bitcoin ajoute une difficulté supplémentaire : aucune entreprise ne peut décider seule d’une nouvelle signature et l’imposer à tous les utilisateurs.

BIP 360 et BIP 361 sont toujours des propositions, pas des règles actives du réseau. Aucun algorithme post-quantique n’a encore été adopté par consensus pour remplacer ECDSA ou Schnorr.

Le signe important n’est donc pas que Bitcoin soit soudain en danger. C’est que la discussion est passée de « faudra-t-il un jour faire quelque chose ? » à « comment migrer sans casser vingt ans d’historique lorsque ce jour arrivera ? ».