// Sommaire
62 minutes et 29 588 qubits. C’est le prix que la société quantique française Alice & Bob attache au piratage d’une clé de portefeuille bitcoin, dans une estimation des ressources publiée le 28 octobre 2026 sur l’archive de prépublications des cryptographes. Au printemps, le chiffre de Google était d’un demi-million de qubits. Il y a quatre ans, les chercheurs parlaient de centaines de millions. Personne ne possède encore une machine capable d’y parvenir.
On voit toutefois déjà clairement dont les pièces tomberaient en premier : plus de 6 millions de bitcoins reposent sur des adresses où la clé dont un voleur a besoin est exposée au grand jour. Souvent, cela n’a rien à voir avec le propriétaire : selon le décompte de Glassnode, Robinhood a des clés exposées pour 100 % des bitcoins de ses clients, Coinbase pour 10 %. Rien de tout cela ne condamne le bitcoin. Mais ce n’est pas non plus un sujet à balayer d’un haussement d’épaules.
Une enveloppe qui s’ouvre quand on paie
?Comment un ordinateur quantique volerait-il des bitcoins ?
Un portefeuille possède une clé privée, un nombre de 256 bits, et une clé publique calculée à partir d’elle. Le sens aller est instantané ; le sens retour est hors de portée de tout ordinateur ordinaire. L’algorithme de Shor, une méthode quantique pour des problèmes de ce genre, rend le trajet inverse faisable. Une adresse bitcoin est l’empreinte de la clé publique, et tant qu’on n’a rien dépensé depuis cette adresse, la clé elle-même reste cachée, comme une lettre dans une enveloppe scellée. Payer déchire l’enveloppe : la clé publique est versée dans la transaction, où tout le monde peut la voir.
?Pourquoi est-ce important si la clé n’est visible que quelques minutes ?
Il existe deux façons d’attaquer. La première est une course : le voleur repère une transaction toute fraîche, calcule la clé privée et diffuse une transaction concurrente pendant que l’originale attend sa confirmation. Un nouveau bloc bitcoin arrive environ toutes les 10 minutes. Pour cette course, 62 minutes, c’est trop lent, mais les neuf minutes de l’estimation de Google au printemps suffisent : CoinDesk a chiffré les chances de victoire du voleur à environ 41 %. La seconde est plus simple et plus inquiétante. Certaines pièces ont déjà leur clé publique inscrite sur la blockchain, et pour celles-là, rien ne presse.
Le chat qui ne laisse pas tomber la pièce
?Qu’ont calculé exactement Alice & Bob ?
Personne n’a rien piraté. Les dix auteurs de l’article ont pris l’algorithme de Shor et l’ont décomposé en opérations élémentaires pour une machine que l’entreprise espère construire. Le résultat est une nomenclature : combien de composants, pendant combien de temps. Pour secp256k1, la courbe elliptique qui sous-tend les clés bitcoin, on arrive à 30 000 qubits au plus et environ une heure. Pour RSA-2048, une norme de chiffrement très répandue, la note s’élève à environ 23 000 qubits et 3,14 jours.
?Pourquoi parle-t-on de qubits de chat ?
Pour faire simple, un qubit ordinaire ressemble à une pièce qui tourne sur elle-même. Elle peut retomber du mauvais côté : c’est l’inversion de bit, de 0 à 1. Ou elle peut vaciller dans sa rotation, second type d’erreur, appelé perte de phase. Les machines fondées sur des qubits supraconducteurs ordinaires doivent se prémunir contre les deux à la fois, et cela coûte cher : dans le modèle de Google, un qubit « logique » fiable en demande environ 400 physiques. Alice & Bob stocke l’information dans un champ micro-ondes piégé à l’intérieur d’un minuscule résonateur. Les physiciens appellent son état un « état de chat », d’après l’expérience de pensée de Schrödinger : le champ se trouve dans deux états opposés à la fois, comme le chat à la fois vivant et mort, et ces deux états servent de 0 et de 1. Cette pièce ne retombe presque jamais du mauvais côté, il suffit donc de surveiller la rotation, et la machine se contente de beaucoup moins de composants.
?Où est le piège ?
CoinDesk a calculé que c’est 17 fois moins cher que l’estimation de Google, mais cette comparaison met en regard les qubits ordinaires de Google et les composants bien plus élaborés d’Alice & Bob. Un piège plus grand se cache dans les hypothèses. La conception principale de l’article exige un qubit de chat qui s’inverse de lui-même environ une fois par siècle. Le meilleur résultat de l’entreprise, annoncé en septembre 2025, était de 33 à 60 minutes, et même celui-ci est préliminaire. Un siècle contre une heure : un écart d’environ un million de fois. Les auteurs proposent une solution de repli avec une couche supplémentaire de protection contre les erreurs. Là, un qubit qui tient environ une heure suffit, mais la machine a besoin de presque deux fois plus de composants. Ce chiffre n’apparaît dans l’article que pour RSA, 45 000 au lieu de 23 000 ; il n’existe pas de valeur équivalente pour une clé bitcoin.
De centaines de millions à trente mille
Le plus frappant dans cette histoire est la vitesse à laquelle les estimations continuent de chuter. Rien de tout cela ne vient d’un nouveau matériel. Mathématiciens et ingénieurs ont réduit la facture en trouvant des façons toujours plus économes de poser le même problème.
// Chronologie
- Le mathématicien Peter Shor décrit un algorithme quantique qui factorise rapidement les nombres et résout le problème du logarithme discret. RSA et les signatures à courbes elliptiques reposent sur ces deux problèmes.
- Une équipe de l’université du Sussex estime le nombre de qubits nécessaires pour casser une clé bitcoin en quelques minutes ou quelques heures : de 30 à 300 millions.
- Le physicien Élie Gouzien et ses coauteurs, dont des chercheurs d’Alice & Bob, arrivent à 126 133 qubits de chat et 9 heures.
- Google Quantum AI, avec des chercheurs de la Fondation Ethereum et de Stanford : moins de 500 000 qubits ordinaires et quelques minutes.
- Alice & Bob : 30 000 qubits de chat au plus et environ une heure.
Gouzien est aussi l’un des auteurs du nouvel article. En trois ans, l’équipe a divisé sa propre estimation par quatre en qubits et par neuf en temps.
Le matériel raconte une histoire plus modeste. Willow, la puce que Google a dévoilée en décembre 2024, compte 105 qubits. D’après le modèle de Google lui-même, une attaque demande jusqu’à 500 000 qubits de ce type, presque cinq mille fois plus. La propre feuille de route d’Alice & Bob vise une puce de 100 qubits logiques d’ici 2030, et cela reste un objectif, pas un produit. Dahmun Goudarzi, cryptanalyste principal de l’entreprise, s’attend à ce que les deux courbes, celle du matériel qui progresse et celle des besoins qui diminuent, se croisent au début des années 2030. À ses yeux, la migration du bitcoin vers une nouvelle protection ne peut pas attendre : « il devient de la plus haute importance que la migration commence maintenant », a déclaré Goudarzi à CoinDesk.
Geler les pièces des autres, ou les offrir à un voleur
Les pièces aux clés exposées ne manquent pas. Les analystes de Glassnode en ont compté plus de 6 millions de bitcoins en octobre 2026, soit 31,2 % de l’offre en circulation. Certaines se trouvent sur des types d’adresses qui révèlent la clé dès le départ : les toutes premières adresses du réseau, de 2009 et 2010, fonctionnent ainsi, tout comme le format moderne Taproot. Mais le rapport de mai de Glassnode a constaté qu’environ deux tiers des clés exposées avaient fuité à cause de la manière dont les adresses sont gérées, et non à cause de la conception du réseau. Une grande partie vient des plateformes d’échange et des services qui conservent des pièces pour leurs clients.
Si vous détenez des bitcoins dans une application, vous ne savez probablement pas sur quelles adresses le service garde vos pièces. Selon le décompte de Glassnode, Robinhood a des clés exposées pour 100 % de ces pièces, Revolut pour 99 %, Binance pour 83 %, Coinbase pour 10 % et Fidelity pour environ 2 %. Les avoirs des gouvernements des États-Unis, du Royaume-Uni et du Salvador n’en montrent aucune. Comme le souligne CoinDesk, ces chiffres décrivent la manière dont les adresses sont utilisées, pas la proximité d’un vol.
?Qu’est-ce que cela signifie pour un détenteur de bitcoins ?
Deux habitudes exposent une clé : réutiliser la même adresse et en dépenser les fonds par morceaux. Un nouveau type d’adresse ne sauvera rien à lui seul non plus : il faudra y transférer les anciennes pièces.
Ce type d’adresse existe déjà sur le papier. Le brouillon BIP-360, une proposition d’amélioration de Bitcoin numérotée en décembre 2024, propose Pay-to-Merkle-Root (P2MR), un type de sortie qui supprime le chemin de paiement révélant la clé. Ses auteurs admettent qu’il ne protège que les pièces qui restent immobiles longtemps, pas une transaction fraîche prise dans une course. Y passer suppose de déplacer ses pièces. Quelqu’un qui a perdu ses clés, ou qui est mort, ne déplacera jamais rien.
On en vient à la dispute la plus âpre. Le programmeur Jameson Lopp et ses coauteurs ont exposé un calendrier strict dans un brouillon appelé BIP-361. Environ trois ans après l’activation de la règle, le réseau cesse d’accepter les paiements vers les adresses vulnérables. Deux ans plus tard, les anciennes signatures ne fonctionnent plus que via un protocole de secours spécial, censé distinguer le vrai propriétaire d’un voleur quantique. Les pièces qui n’ont jamais été déplacées vers de nouvelles adresses restent bloquées pour toujours, et l’offre en circulation se réduit. Les auteurs donnent leur raison sans détour : « Nous ne saurons peut-être pas que l’attaque est en cours. »
Les plus célèbres de ces pièces sont liées au créateur pseudonyme du bitcoin. Glassnode qualifie les pièces de l’époque de Satoshi Nakamoto, garées sur les toutes premières adresses, de part la plus tenace de l’offre exposée. Les auteurs du BIP-361 concèdent que, pour ces adresses, personne ne pense actuellement qu’un protocole de secours soit possible, et ils renvoient à une proposition distincte appelée Hourglass. Même leur propre plan laisse donc les pièces de Satoshi dans les limbes. Pour justifier le plan, ils citent Satoshi lui-même : « Les pièces perdues ne font que rendre celles de tous les autres un peu plus précieuses. Voyez-y un don fait à tout le monde. » Puis ils retournent la citation : « Les pièces récupérées par le quantique ne font que rendre celles de tous les autres moins précieuses. Voyez-y un vol commis contre tout le monde. »
Pour le bitcoin, c’est presque une hérésie. Depuis 2009, le réseau promet que les pièces n’obéissent qu’à celui qui détient la clé. L’alternative n’est pas plus belle : un jour, des millions de pièces dormantes iraient à celui qui construira le premier la bonne machine. Les auteurs de l’article de Google suggèrent une troisième voie qu’ils appellent le « sauvetage numérique » : des règles pour remettre en circulation les actifs abandonnés ou les détruire, plutôt que de laisser le premier qui s’en empare les garder. Personne ne sait encore qui écrirait de telles règles pour un réseau qui n’a pas de propriétaire.
La course aux transactions fraîches, où l’estimation d’Alice & Bob reste en retard, n’est pas tranchée non plus. L’équipe n’a pas encore calculé si davantage de qubits permettraient de ramener l’attaque sous dix minutes, même si Goudarzi admet que des travaux ultérieurs pourraient rapprocher les estimations des neuf minutes de Google. Et il a ajouté qu’il n’existe pas de limite évidente à la baisse de ces chiffres : « Il n’y a pas de plancher architectural. »
