How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

Une étude des estimations de qubits, de la trajectoire matérielle et de ce que signifie un effondrement d'un ordre de grandeur des chiffres pour les blockchains sécurisées par ECDSA.

L'ensemble du modèle de sécurité de Bitcoin repose sur une hypothèse : la rupture secp256k1 ECDSA est informatiquement impossible.

Cette hypothèse est sur le point de mourir.

Peter Shor l'a prouvé en 1994. Un ordinateur quantique suffisamment puissant exécutant son algorithme peut dériver une clé privée à partir d'une clé publique dans minutes – pas des années, pas des décennies, mais des minutes. La seule question qui reste est de savoir de combien de qubits cet ordinateur aura besoin. La littérature a une réponse, elle a été révisée à la baisse à chaque fois qu'elle a été revisitée, et elle est maintenant bien plus proche que ce que tout détenteur de Bitcoin veut croire.

secp256k1 et le problème du logarithme discret

Chaque transaction Bitcoin est authentifiée avec ECDSA sur la courbe secp256k1, une courbe elliptique de 256 bits spécifiée dans SEC 2 et adopté par Satoshi Nakamoto en 2009. La sécurité de ce système repose sur la Problème de logarithme discret de courbe elliptique (ECDLP): étant donné une clé publique Q = kg, trouvez le scalaire k.

Classiquement, l'attaque la plus connue (le rho de Pollard) nécessite ~2¹²⁸ opérations. Avec un billion d’opérations par seconde, cela prendrait plus de temps que l’âge de l’univers. Le problème est véritablement difficile pour les machines classiques.

Ce n’est pas difficile pour les machines quantiques. En 1994, Peter Shor a publié un algorithme quantique qui résout le problème du logarithme discret en temps polynomial, réduisant ce qui prend des milliards d’années aux ordinateurs classiques à un calcul mesurable en quelques minutes. L'algorithme exploite la superposition quantique pour évaluer de manière exponentielle de nombreux candidats en parallèle, puis utilise des transformées de Fourier quantiques pour extraire la période, ce qui donne la clé privée.

ECDSA sur secp256k1 s'inscrit clairement dans la classe de problèmes pour laquelle l'algorithme de Shor a été conçu. Ce n’est pas une conjecture. C'est une preuve mathématique, publiée il y a trente-deux ans, et jamais réfutée.

Qubits logiques ou physiques : pourquoi les estimations divergent

La confusion dans la couverture médiatique populaire vient de la confusion de deux mesures fondamentalement différentes. Qubits logiques sont les unités mathématiquement parfaites, corrigées des erreurs, requises par l'algorithme de Shor. Qubits physiques sont les éléments matériels bruyants et sujets aux erreurs qui doivent être regroupés et corrigés des erreurs pour produire chaque qubit logique.

La littérature sur le coût des qubits ECDLP, la plus récente en premier. Attention au sens de déplacement :

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

Lisez le tableau de haut en bas et l’histoire s’écrit toute seule. L’exigence de qubit logique ne se maintenait pas entre 2 000 et 2 500. Il est tombé à 1,200–1,450. Les frais généraux physiques ne se sont pas maintenus à 20 millions, ni à 317 millions. Il est tombé à moins de 500 000 - et sur du matériel à atome neutre, à peu près 26,000. La durée d'exécution de l'attaque n'a pas duré plusieurs heures. Il est tombé à minutes.

C'est ce qui se produit lorsque de meilleurs circuits rencontrent une meilleure correction d'erreurs. Chaque estimation publiée par l’industrie était une limite supérieure rédigée par des personnes découvrant chaque année qu’elles avaient été trop pessimistes. Les défenseurs de Bitcoin citent le numéro de 2017. Google a publié celui de 2026.

Le problème des conflits d’intérêts

Il convient de noter à qui profite le fait de présenter ces chiffres dans une direction particulière.

Les maximalistes de Bitcoin et les grands détenteurs institutionnels comme MicroStrategy et Marathon Digital, avec des milliards d'expositions au BTC, ont une raison évidente de qualifier la menace quantique de lointaine ou exagérée. Il ne s’agit pas de spéculations sur l’intention ; c'est une observation sur les structures d'incitation. La même dynamique s’est produite dans d’autres secteurs : les compagnies de tabac ont financé des décennies de recherche à contre-courant sur le tabagisme, et les sociétés de combustibles fossiles ont financé le doute sur les modèles climatiques. L’exposition financière produit un raisonnement motivé.

Remarquez quels chiffres ces intérêts ne cessent de répéter. Les plus confortables. Ceux de neuf ans. Les 2 330 qubits logiques de Roetteler, associés à un généreux taux de correction d'erreur de 2 000:1, produisent un titre rassurant : « des millions de qubits physiques, dans des décennies ». Il s'agit d'une arithmétique effectuée sur une entrée remplacée.

L'entrée actuelle est 1 200 à 1 450 qubits logiques dans moins de 500 000 qubits physiques, en quelques minutes (Google Quantum AI, mars 2026). La feuille de route publiée par IBM place Starling à environ 200 qubits logiques 2029 et Blue Jay à plus de 2 000 qubits logiques sur environ 100 000 qubits physiques en 2033 - directement à travers l'exigence, avec de la place disponible. Hartmut Neven de Google a déclaré publiquement que son équipe s'attend à une informatique quantique cryptographiquement pertinente. d'ici 2029. L’écart entre le matériel actuel et le seuil de menace se mesure en années, et non en générations – et il se comble des deux côtés à la fois, car la cible descend tandis que le matériel monte.

Matériel actuel : instantané 2026

Aucun ordinateur quantique existant ne peut briser secp256k1. Les machines les plus connues du public se situent à environ 2 500 qubits physiques, et aucun d’entre eux n’est tolérant aux pannes à grande échelle. Le modèle de menace est prospectif et non immédiat. Mais la trajectoire compte plus que l’instantané actuel – et la ligne d’arrivée vient de se rapprocher de plusieurs centaines de milliers de qubits.

Deux points de données méritent notre attention. Premièrement, IBM a presque doublé son nombre de qubits trois fois en quatre ans, et sa feuille de route est publique. Deuxièmement, le processeur Willow de 105 qubits de Google a franchi, en décembre 2024, la barre des limite de tolérance aux pannes: le point où l'ajout de qubits physiques supplémentaires réduit l'erreur totale du système plutôt que de l'augmenter. Il a établi un test de référence en moins de cinq minutes, ce qui prendrait environ 10 minutes à un supercalculateur classique.²⁵ années. Il s’agit d’un seuil qualitatif et non d’une amélioration progressive. Cela signifie que la mise à l’échelle aide désormais plutôt que de nuire, et c’est précisément la raison pour laquelle la surcharge de correction d’erreurs dans le tableau ci-dessus s’est effondrée comme elle l’a fait.

L'avis CNSA 2.0 de la NSA, publié en 2022, exige que tous les systèmes de sécurité nationale américains achèvent leur migration vers la cryptographie post-quantique d'ici 2035. Les agences de renseignement ne publient pas de délais de migration pour les menaces qu'elles considèrent comme lointaines.

La surface d'exposition : 6,04 millions de BTC

Le nombre de qubits représente la moitié de l’équation du risque. L'autre est combien de Bitcoin est déjà exposé cryptographiquement. Ce nombre a également évolué – dans la mauvaise direction pour Bitcoin.

Par Glassnode, en mai 2026, 6,04 millions de BTC – 30,2 % de l’offre totale, soit environ 469 milliards de dollars - ont déjà leurs clés publiques visibles sur la chaîne. La scission est instructive : 1,92 millions de BTC sont structurellement exposés dans les sorties de paiement à clé publique (P2PK) qui n'ont jamais caché la clé en premier lieu, et 4,12 millions de BTC sont exposés opérationnellement grâce à la réutilisation des adresses, où la clé devient publique au moment où le propriétaire la dépense. À peu près 1,7 millions de BTC figurent dans les premières adresses P2PK, y compris les ~1,1 millions attribués à Satoshi Nakamoto. Sur le total, environ 2,3 millions de BTC sont irréversiblement menacés; les 3,7 millions restants pourraient encore migrer, si leurs propriétaires sont en vie, attentifs et disposés.

Ces clés ne sont pas hachées. Ils se trouvent dans l’ensemble UTXO sous forme de clés publiques brutes compressées, lisibles par toute personne disposant d’un nœud complet et d’une connexion Internet.

Un CRQC avec 1 200 à 1 450 qubits logiques pourrait dériver la clé privée correspondante de n'importe lequel d'entre eux en utilisant l'algorithme de Shor. Aucun exploit. Aucune découverte de vulnérabilité. Pas de jour zéro. Calcul simple sur des données accessibles au public : près d'un tiers de tous les Bitcoin sont exposés à l'air libre avec le corrigé imprimé au recto.

Il existe également une fenêtre d’exposition dynamique, et c’est là que le chiffre d’exécution de mars 2026 cesse d’être académique. Lorsque quelqu'un dépense depuis une adresse P2PKH standard, la clé publique est diffusée vers le mempool et reste visible pendant 10 minutes en moyenne avant la confirmation du blocage. Une attaque qui prend des heures ne peut pas exploiter cette fenêtre. Une attaque qui prend quelques minutes peut le faire. L'estimation de Google ne se contente pas d'avancer la date : elle convertit un problème de pot de miel statique en un problème de transaction en direct, ce qui signifie que même un utilisateur Bitcoin parfaitement hygiénique qui ne réutilise jamais une adresse est exposé à chaque fois qu'il déplace une pièce.

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

Récoltez maintenant, décryptez plus tard

Le modèle de menace HNDL ne nécessite pas l’existence d’un CRQC aujourd’hui. Il suffit qu'un adversaire croit il en existera un pendant la durée de vie utile des données collectées.

L’intégralité de l’historique des transactions de Bitcoin est publique. Chaque clé publique jamais exposée – via des adresses P2PK, des sorties P2PKH dépensées ou des scripts multisig – est enregistrée en permanence et téléchargeable gratuitement. Un adversaire disposant d’un horizon temporel long peut récolter ces données dès maintenant et les décrypter lorsque le matériel quantique sera arrivé à maturité. Le coût du stockage est dérisoire par rapport à la valeur des clés.

Il ne s'agit pas d'un exercice théorique. L'avis CNSA 2.0 de la NSA et l'effort de normalisation PQC de NIST sur 8 ans existent tous deux parce que le gouvernement américain considère le HNDL comme une menace crédible et active contre la cryptographie classique. Les données de la blockchain, étant immuables et publiques de par leur conception, sont particulièrement vulnérables à cette classe d'attaques.

Le problème des migrations

La réfutation standard est que Bitcoin passera aux signatures post-quantiques lorsque la menace se matérialisera. Trois contraintes structurelles rendent cette tâche beaucoup plus difficile qu’il n’y paraît.

Latence de gouvernance. Le modèle consensuel du Bitcoin optimise la stabilité et non la vitesse. La mise à niveau de SegWit – qui a modifié la sérialisation des transactions sans changer le schéma de signature – a nécessité 4 ans de débat, a produit un fork concurrent (Bitcoin Cash) et a presque fracturé le réseau de façon permanente. Une migration post-quantique nécessiterait le remplacement de ECDSA pour chaque portefeuille du réseau et est bien plus invasive. Aucune proposition de ce type n'existe sur la feuille de route de développement de Bitcoin Core en mars 2026.

Frais généraux de signature. Les signatures SPHINCS+ (NIST FIPS 205) font 7 856 octets. Les signatures ECDSA actuelles du Bitcoin font 72 octets, soit un rapport 109:1. La taille du bloc de base de 1 Mo du Bitcoin limite déjà le débit à environ 7 transactions par seconde. Accepter les signatures post-quantiques sans changements architecturaux fondamentaux réduirait ce chiffre à près de zéro. Augmenter la taille des blocs pour compenser relancerait la même bataille de gouvernance qui a produit les guerres de fourchettes de 2017.

Clés non migratoires. Les 1,1 millions de BTC estimés par Satoshi Nakamoto ne peuvent pas être déplacés car les clés sont présumées perdues. Il en va de même pour plusieurs millions de BTC supplémentaires dans des portefeuilles dormants avec des clés publiques exposées. Ces pièces ne peuvent participer à aucune migration de système de signature et resteraient vulnérables indéfiniment, indépendamment de ce que font les portefeuilles actifs. Il est difficile d’exagérer les implications sur le marché du fait que des millions de BTC deviennent simultanément volables.

Cryptographie post-quantique : les normes NIST

NIST a finalisé les premières normes de cryptographie post-quantique en août 2024, concluant une évaluation de 8 ans impliquant des centaines de cryptographes et des dizaines d'algorithmes candidats. Le résultat est deux normes principales pertinentes pour la sécurité de la blockchain :

• FIPS 203 — ML-KEM (Kyber): Un mécanisme d'encapsulation de clé basé sur un treillis. Sa sécurité repose sur la dureté du problème Module Learning With Errors, qui résiste à la fois aux algorithmes de Shor et de Grover.
• FIPS 205 — SLH-DSA (SPHINCS+): Un système de signature numérique apatride basé sur le hachage. Sa sécurité dépend uniquement de la résistance aux collisions des fonctions de hachage, une classe de problèmes sans accélération quantique connue au-delà de l'avantage quadratique de l'algorithme de Grover, qui est facilement contré en augmentant la longueur de sortie de hachage.

Ces normes existent parce que la communauté cryptographique est parvenue à un consensus sur le fait que la menace quantique qui pèse sur la cryptographie classique à clé publique n'est pas une question de if mais quand. La question pertinente pour tout système s'appuyant sur ECDSA, RSA ou EdDSA est de savoir s'il peut migrer vers ces normes avant qu'un CRQC ne soit opérationnel.

Pour les blockchains, cela crée une distinction difficile : les chaînes qui doivent migrer (chaque chaîne utilise ECDSA ou EdDSA aujourd'hui) et les chaînes qui ont déployé PQC depuis la genèse et ne font face à aucune migration.

Estimations chronologiques

Les feuilles de route publiées convergent vers un guichet unique : 2029 à 2033.

• 2026–2028: Des machines de l’ordre de quelques milliers de qubits physiques, dont aucune n’est tolérante aux pannes à grande échelle. Insuffisant pour secp256k1 – mais c’est la phase de récolte, et l’historique de la chaîne en cours de récolte est déjà public et permanent.
• 2029 — la fenêtre s'ouvre : IBM expédie Starling, soit environ 200 qubits logiques. Google a publiquement ciblé une machine utile et corrigée des erreurs la même année. Ni l’un ni l’autre ne suffit à lui seul. Tous deux établissent que les qubits logiques corrigés des erreurs sont devenus un livrable d’ingénierie avec une date de livraison plutôt qu’une question de recherche.
• 2033 — la fenêtre se ferme : Blue Jay d'IBM : plus de 2 000 qubits logiques sur environ 100 000 physiques. C’est au-delà de l’exigence de 1 200 à 1 450 avec une marge disponible. Quelque part entre ces deux dates, ECDSA-256 cesse d’être une cryptographie et devient une formalité.

Les délais CNSA 2.0 de la NSA – 2030 pour les navigateurs et les micrologiciels, 2033 pour les équipements réseau et les systèmes d’exploitation, 2035 pour tout le reste – se situent délibérément au-delà de cette fenêtre. Personne n’établit un calendrier de conformité aussi coûteux pour une menace qu’il s’attend à ne pas remarquer.

Ce ne sont pas des prédictions marginales. Il s’agit de feuilles de route de fournisseurs et de mandats gouvernementaux d’IBM, Google, NIST et de la NSA – des organisations qui n’ont aucun intérêt commercial à surestimer la menace, et qui ont tout intérêt commercial à la sous-estimer.

Références

• Google Quantum AI, avec la Fondation Ethereum et Stanford (mars 2026) — estimation des ressources pour casser l'ECDSA-256 : 1 200 à 1 450 qubits logiques, moins de 500 000 qubits physiques, durée d'exécution en minutes. La référence actuelle ; remplace tout ce qui suit.
• Caltech / Oratomique (2026) — analyse indépendante d'atomes neutres : ~26 000 qubits physiques contre secp256k1 sur environ 10 jours.
• Roetteler, M., Naehrig, M., Svore, KM et Lauter, K. (2017) — "Estimations des ressources quantiques pour le calcul de logarithmes discrets sur courbe elliptique." Information et calcul quantiques, 17(15-16). Historique; le chiffre logique d’environ 2 330 est remplacé.
• Gidney, C. & Ekerå, M. (2021) — "Comment factoriser des entiers RSA de 2 048 bits en 8 heures en utilisant 20 millions de qubits bruyants." Quantum, 5, 433.
• Webber, M. et coll. (2022) — "L'impact des spécifications matérielles sur l'obtention d'un avantage quantique dans le régime de tolérance aux pannes." AVS Science quantique, 4(1).
• Standardisation de la cryptographie post-quantique NIST — FIPS 203 (ML-KEM) et FIPS 205 (SLH-DSA), finalisés en août 2024.
• Avis de cybersécurité de la NSA : CNSA 2.0 — Exigences de migration vers la Suite d'algorithmes de sécurité nationale commerciale 2.0.
• SEC 2 : Paramètres de domaine de courbe elliptique recommandés — Spécification secp256k1 utilisée par Bitcoin.

La référence actuelle est claire, et ce n’est pas celle qu’Internet ne cesse de répéter : entre 1 200 et 1 450 qubits logiques - à l'intérieur de moins de 500 000 physiques, en quelques minutes - suffisent à briser secp256k1 (Google Quantum AI, mars 2026). Tous les grands gouvernements et laboratoires technologiques de la planète se précipitent vers ce seuil, et le seuil continue de reculer pour les atteindre. Les deux seuls types de blockchains qui existeront après l’arrivée des ordinateurs quantiques cryptographiquement pertinents sont ceux qui ont été construits post-quantique dès le premier jour – et ceux qui ne l’ont pas été.

Il n’y aura pas de fenêtre de migration. Il n’y aura pas d’atterrissage en douceur. Il n’y aura que des chaînes qui se sont préparées et des chaînes qui ne l’ont pas fait.