Deux articles scientifiques publiés à six jours d’intervalle viennent de faire chuter, une nouvelle fois, le coût théorique d’une attaque quantique contre la cryptographie à courbe elliptique. Le 9 septembre 2026, une équipe de 36 auteurs (dont plusieurs agents IA) publie “ECDSA.Fail” et réduit le circuit d’addition de points sur secp256k1 à 1 151 qubits logiques. Six jours plus tard, deux chercheurs de Georgia Tech et de la société d’audit QED Audit annoncent un résultat encore plus radical : environ 640 qubits logiques pour casser une courbe de 256 bits comme secp256k1 ou P-256, contre plus de 2 300 selon l’estimation de référence de 2017. Pour la finance française et les millions de BTC qui dorment dans des adresses exposées, la fenêtre de sécurité rétrécit plus vite que prévu.
Ce qui s’est passé le 15 septembre 2026
Le 15 septembre 2026, TechTimes révèle les conclusions d’un article intitulé “Quantum Algorithm for Elliptic Curve Discrete Logarithm Problem in Prime Fields”, signé par Sunghyeon Jo et Gye Jin Lee, chercheurs rattachés au Georgia Institute of Technology et à la société QED Audit. Leur résultat porte sur le problème du logarithme discret sur courbe elliptique (ECDLP), le fondement mathématique qui protège Bitcoin, Ethereum, TLS et une bonne partie du web chiffré depuis vingt ans.
Le chiffre qui frappe : leur circuit quantique nécessite environ 5n/2 + o(n) qubits logiques, où n désigne la taille en bits du corps premier de la courbe. Pour une courbe de 256 bits comme secp256k1 (celle de Bitcoin et Ethereum) ou P-256 (le standard NIST utilisé dans TLS), cela donne environ 640 qubits logiques, contre 2 330 selon l’estimation historique de Martin Roetteler, Michael Naehrig, Krysta Svore et Kristin Lauter, publiée en 2017 chez Microsoft Research. Le nombre de portes Toffoli, qui mesure le temps de calcul du circuit, tombe lui aussi d’une complexité cubique (environ n³ log n) à une complexité quasi quadratique (Õ(n²)). Ces deux réductions combinées expliquent pourquoi TechTimes qualifie le papier de double avancée, sur l’espace mémoire et sur le temps de calcul à la fois.
Le papier de Georgia Tech n’a pas encore fait l’objet d’une publication en conférence ou en revue à comité de lecture au moment de la rédaction de cet article : il circule sous forme de prépublication. Cela n’empêche pas la communauté de la cryptographie post-quantique de le prendre très au sérieux, car il s’inscrit dans une séquence de résultats qui, depuis mars 2026, s’enchaînent à un rythme inhabituel.
ECDSA.Fail : quand des agents IA optimisent un circuit quantique
Six jours avant le papier de Georgia Tech, le 9 septembre 2026, une équipe de 36 auteurs menée par Jieyi Long publie sur arXiv un article au nom sans détour : “ECDSA.Fail: Open Autoresearch for Optimizing Elliptic-Curve Point Addition in Shor’s Algorithm”. La particularité de ce travail tient à sa méthode : les chercheurs ont mobilisé des agents d’intelligence artificielle pour explorer automatiquement l’espace des circuits quantiques possibles, plutôt que de s’appuyer uniquement sur l’optimisation manuelle traditionnelle.
Le résultat concret : un circuit d’addition de points sur secp256k1 ramené à 1 151 qubits logiques et environ 1,30 million de portes Toffoli, soit une réduction de 86 % par rapport à certaines estimations antérieures selon The Quantum Insider. Jieyi Long, cofondateur et directeur technique de Theta Labs, a commenté ce travail en expliquant que ces estimations aident à comprendre l’écart restant et à planifier la migration avant qu’il ne se referme, une déclaration rapportée par The Quantum Insider le 10 septembre 2026.
Ce chiffre de 1 151 qubits logiques se situe dans la fourchette publiée par Google en mars 2026 (entre 1 200 et 1 450 qubits logiques selon la variante de circuit retenue), mais le confirme avec une méthode indépendante et un usage inédit d’agents autonomes pour la recherche. Unchained Crypto, qui a également couvert la publication, souligne que le circuit vise spécifiquement le calcul qui domine le coût total d’une attaque de type Shor sur Bitcoin et Ethereum, à savoir l’addition de points sur la courbe elliptique.
Sept ans de dégringolade : le tableau des estimations
Pour mesurer l’ampleur du mouvement, il faut remonter à 2017. Cette année-là, l’article de référence de Roetteler, Naehrig, Svore et Lauter, publié dans les actes d’Asiacrypt, fixait la barre à environ 2 330 qubits logiques pour casser une courbe de 256 bits, avec un nombre de portes Toffoli de l’ordre de 10^11. Ce chiffre a servi de référence pendant près de huit ans. Depuis mars 2026, cinq résultats successifs ont fait chuter cette estimation, comme le montre le tableau ci-dessous.
| Date | Auteurs / Source | Qubits logiques (courbe 256 bits) | Portes Toffoli |
|---|---|---|---|
| 2017 | Roetteler, Naehrig, Svore, Lauter (Microsoft Research / Asiacrypt) | ≈ 2 330 | ≈ 1,26 × 10^11 |
| 30 mars 2026 | Google Quantum AI, Ethereum Foundation, Stanford (secp256k1) | 1 200 à 1 450 | 70 à 90 millions |
| Juin 2026 | André Schrottenloher (reproduction indépendante) | 1 192 à 1 446 | 58 à 69 millions |
| Juillet 2026 | Han Luo et al. (Tsinghua, Pékin, Sun Yat-sen) | ≈ 835 (composant point-addition) | non communiqué en détail |
| 9 septembre 2026 | Jieyi Long et al., “ECDSA.Fail” (36 auteurs, dont agents IA) | 1 151 | ≈ 1,30 million |
| 15 septembre 2026 | Sunghyeon Jo, Gye Jin Lee (Georgia Tech, QED Audit) | ≈ 640 | Õ(n²), quasi quadratique |
Ce tableau appelle une précision technique : les différents papiers ne mesurent pas toujours exactement la même chose. Certains estiment le coût complet d’une attaque par l’algorithme de Shor sur la courbe entière, d’autres se concentrent sur le sous-circuit d’addition de points, qui domine le coût global mais n’en constitue pas la totalité. Le papier de Georgia Tech, avec ses 640 qubits logiques, porte sur l’estimation complète du problème ECDLP, ce qui en fait la comparaison la plus directe avec le chiffre historique de 2 330 qubits de 2017. La tendance, elle, est sans ambiguïté : en moins de sept mois, le coût logique de l’attaque a été divisé par un facteur supérieur à trois selon les métriques retenues.
Qubits logiques contre qubits physiques : ne pas confondre les deux
La confusion la plus fréquente dans ce débat porte sur la nature même des qubits comptés. Un qubit logique est un qubit protégé par correction d’erreur quantique : il regroupe en réalité plusieurs centaines, voire plusieurs milliers, de qubits physiques bruités pour produire une unité de calcul fiable. Les 640 qubits logiques du papier de Georgia Tech, ou les 1 151 d’ECDSA.Fail, ne correspondent donc pas directement à un nombre de qubits physiques qu’un fabricant de matériel devrait atteindre.
Google Quantum AI, dans son livre blanc de mars 2026 mis à jour en septembre, chiffre le besoin en qubits physiques à moins de 500 000 pour ses circuits d’attaque sur ECDLP-256, avec deux variantes : moins de 1 200 qubits logiques et 90 millions de portes Toffoli d’un côté, ou moins de 1 450 qubits logiques et 70 millions de portes Toffoli de l’autre. Ces circuits atteignent, selon le résumé publié par PostQuantum, une amélioration d’un facteur d’environ 10 en volume espace-temps par rapport aux meilleures estimations antérieures, ce qui se traduit par un temps d’exécution de l’ordre de quelques minutes sur une architecture supraconductrice une fois la machine disponible.
De son côté, IonQ a publié en septembre 2026 un plan de référence complet, de bout en bout, pour attaquer une signature elliptique de 256 bits. Selon The Quantum Insider, IonQ estime qu’un ordinateur quantique tolérant aux fautes, à base d’ions piégés, doté d’environ 20 000 qubits physiques, pourrait résoudre le problème du logarithme discret sur secp256k1 en 25,7 jours par tentative. IonQ précise dans son propre billet de blog que cette estimation s’appuie sur une borne inférieure rigoureuse et démontrable de la probabilité de succès de l’algorithme, et non sur un simple argument heuristique.
Où en sont réellement les ordinateurs quantiques en septembre 2026
C’est là que le tableau redevient rassurant, au moins à court terme. Aucune machine existante ne s’approche des seuils nécessaires. IBM affiche 1 121 qubits physiques sur sa puce Condor, un chiffre en qubits bruts et non en qubits logiques corrigés. Google, avec son processeur Willow, revendique 105 qubits corrigés en 2024, un chiffre resté la référence publique de l’entreprise sur le sujet de la correction d’erreur. IonQ, pour sa part, communique désormais en “qubits algorithmiques” plutôt qu’en comptage physique brut, avec un score de l’ordre de 36 à 64 selon les générations de machines évoquées en 2026.
Autrement dit, même en retenant le chiffre le plus optimiste pour un attaquant, celui de Georgia Tech avec ses 640 qubits logiques, la distance à parcourir reste considérable une fois traduite en qubits physiques bruités avec correction d’erreur : plusieurs centaines de milliers d’unités selon les architectures de correction envisagées. Aucun industriel du secteur, ni IBM, ni Google, ni IonQ, ni Quantinuum, n’a annoncé de calendrier officiel garantissant l’atteinte de ce seuil avant la fin de la décennie. La chute rapide des estimations logiques ne doit donc pas être confondue avec une capacité de calcul quantique immédiatement disponible.
Des millions de BTC dans la ligne de mire théorique
Le sujet dépasse la pure recherche académique parce qu’une part significative de Bitcoin reste exposée par construction. Selon le livre blanc de Google Quantum AI, la somme des BTC détenus dans des adresses vulnérables atteint environ 6,7 millions de bitcoins. D’autres analyses publiées en 2026, notamment celle relayée par 247 Wall St. le 12 septembre 2026, avancent un chiffre légèrement supérieur, autour de 6,9 millions de BTC, réparti en deux catégories bien distinctes.
La première catégorie regroupe environ 1,7 million de BTC logés dans des adresses au format Pay-to-Public-Key (P2PK), héritées de la période 2009-2010, dont une bonne partie du stock attribué à Satoshi Nakamoto. Sur ces adresses, la clé publique est visible sur la chaîne depuis le tout premier jour, sans qu’aucune transaction supplémentaire ne soit nécessaire pour l’exposer : elles constituent la cible la plus immédiate en cas de percée quantique. La seconde catégorie, plus large, correspond à environ 4,1 à 5,2 millions de BTC issus de la réutilisation d’adresses aux formats P2PKH, P2SH ou P2WPKH : la clé publique n’apparaît qu’au moment où le propriétaire dépense une première fois depuis cette adresse, ce qui la rend vulnérable pour toute transaction future si elle reste active.
| Catégorie d’exposition | BTC concernés (estimation) | Mécanisme d’exposition |
|---|---|---|
| Adresses P2PK (ère 2009-2010) | ≈ 1,7 million | Clé publique visible dès la création de l’adresse |
| Adresses réutilisées (P2PKH, P2SH, P2WPKH) | ≈ 4,1 à 5,2 millions | Clé publique révélée à la première dépense |
| Total estimé exposé (Google Quantum AI) | ≈ 6,7 millions | Somme des deux catégories |
| Total estimé exposé (247 Wall St., sept. 2026) | ≈ 6,9 millions | Méthodologie affinée incluant le SegWit imbriqué |
Coinbase, via son conseil consultatif sur le risque quantique, a évoqué un chiffre proche de 7 millions de BTC exposés, en citant les travaux de la société spécialisée Project Eleven et en soulignant qu’une partie de ces réserves se trouve dans les portefeuilles froids d’exchanges actifs, et non uniquement dans des portefeuilles perdus ou abandonnés. Cette nuance compte : un attaquant capable de casser secp256k1 ne viserait pas seulement des pièces figées depuis quinze ans, mais potentiellement des fonds détenus par des acteurs institutionnels toujours en activité.
La divulgation responsable selon Google : preuve à divulgation nulle de connaissance
Le 17 septembre 2026, Google Research publie un billet intitulé “Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly”. L’équipe y explique avoir choisi de ne pas publier l’intégralité des circuits quantiques sous-jacents à ses estimations, pour éviter de fournir une feuille de route trop précise à d’éventuels attaquants. À la place, Google affirme avoir eu recours à une preuve à divulgation nulle de connaissance, un outil cryptographique qui permet à un tiers de vérifier une affirmation sans que l’auteur ait besoin de révéler les détails sensibles qui la sous-tendent.
Cette approche illustre un dilemme classique de la recherche en sécurité offensive appliquée à la cryptographie : publier des résultats précis aide la communauté défensive à prioriser sa migration, mais publier le circuit complet pourrait accélérer le travail d’un acteur malveillant disposant déjà d’un accès à du matériel quantique avancé. En s’appuyant sur une preuve à divulgation nulle de connaissance plutôt que sur une divulgation intégrale, Google cherche à concilier transparence scientifique et prudence opérationnelle, une position qui n’est pas allée sans débat dans la communauté des chercheurs en cryptographie post-quantique.
De Craig Gidney à aujourd’hui : une dynamique qui dépasse Bitcoin
Cette accélération sur la courbe elliptique fait écho à un mouvement similaire sur RSA. En mai 2025, le chercheur de Google Quantum AI Craig Gidney publiait un article montrant qu’un ordinateur quantique tolérant aux fautes, doté de moins d’un million de qubits physiques bruités, pourrait factoriser une clé RSA-2048 en moins d’une semaine. Ce résultat représentait déjà une réduction d’un facteur 20 par rapport à sa propre estimation précédente, publiée en 2019. Une mise à jour parue en juillet 2026 a encore affiné ce chiffre, avec environ 1 400 à 1 600 qubits logiques et environ 6,5 milliards de portes Toffoli pour un temps d’exécution sous la barre de la semaine.
RSA et courbe elliptique reposent sur des problèmes mathématiques différents, la factorisation d’un côté et le logarithme discret sur courbe elliptique de l’autre, mais les deux attaques utilisent une variante de l’algorithme de Shor et bénéficient des mêmes progrès en ingénierie de circuits quantiques : meilleure gestion de la mémoire, addition modulaire plus efficace, parallélisation accrue. La chute conjointe des deux estimations, RSA et ECC, dans la même fenêtre 2025-2026, explique pourquoi les agences de cybersécurité occidentales ont durci le ton sur les calendriers de migration post-quantique au cours de l’année.
Comparatif des générations d’estimations : ce qui a vraiment changé
Trois leviers techniques expliquent la baisse continue des estimations depuis 2017. Le premier concerne l’arithmétique modulaire : les circuits d’addition et d’inversion modulaire ont été redessinés pour consommer moins de portes Toffoli à chaque étape, un travail auquel ont notamment contribué les équipes chinoises de Tsinghua et de l’Académie des sciences avec leur circuit à 835 qubits logiques publié en juillet 2026. Le deuxième levier porte sur la gestion de la mémoire quantique elle-même, avec des architectures qui réutilisent davantage de qubits auxiliaires au lieu d’en allouer de nouveaux à chaque opération, ce qui réduit le nombre total de qubits logiques nécessaires en parallèle. Le troisième levier, le plus récent et le plus inattendu, tient à l’automatisation de la recherche d’optimisation elle-même : le papier ECDSA.Fail du 9 septembre 2026 est le premier à documenter explicitement l’usage d’agents d’intelligence artificielle pour explorer l’espace des circuits candidats, une méthode que Jieyi Long présente comme un moyen de mieux cerner l’écart restant avant qu’il ne se referme.
Le résultat de Georgia Tech du 15 septembre 2026 combine une partie de ces avancées avec une nouvelle approche mathématique du problème du logarithme discret sur corps premier, ce qui lui permet d’atteindre une complexité en qubits proche de 5n/2, sensiblement plus favorable que les 9n de l’estimation Roetteler de 2017. Il reste toutefois à confirmer par une revue par les pairs, une étape que la communauté cryptographique surveillera de près dans les prochaines semaines.
Impact sur le marché : signaux de vigilance plutôt que panique
Sur le plan financier, la publication de résultats académiques réduisant le coût théorique d’une attaque quantique n’a pas provoqué de mouvement de marché mesurable sur le cours du bitcoin dans les jours qui ont suivi les deux annonces de septembre. Les acteurs institutionnels du secteur, à commencer par Coinbase et sa cellule dédiée au risque quantique, considèrent ce type de publication comme un indicateur d’urgence de migration plutôt que comme un événement de marché immédiat, dans la mesure où le matériel quantique capable d’exploiter ces circuits reste hors de portée.
En revanche, l’effet indirect se fait sentir du côté des fournisseurs de sécurité et des éditeurs de portefeuilles. Plusieurs entreprises de conseil en cryptographie post-quantique ont vu leur activité commerciale progresser en France et en Europe au cours du premier semestre 2026, portées par la combinaison de deux facteurs : d’une part la chute rapide des estimations académiques documentée ici, d’autre part l’échéance réglementaire fixée par l’ANSSI, qui cessera de certifier les produits de sécurité sans option de chiffrement résistant au quantique à partir de 2027. Les banques et assureurs européens, déjà soumis à des obligations de conformité strictes, figurent parmi les premiers clients de ces prestataires.
Comparatif des grandes familles d’algorithmes concernées
Il est utile de replacer ces deux publications de septembre 2026 dans le paysage plus large des primitives cryptographiques concernées par la menace quantique. La courbe elliptique protège aujourd’hui la quasi-totalité des signatures numériques utilisées sur le web (TLS, SSH, Bitcoin, Ethereum) grâce à des schémas comme ECDSA ou Ed25519, réputés rapides et économes en taille de clé par rapport à RSA. Le problème mathématique sous-jacent, le logarithme discret sur courbe elliptique, est précisément celui que ciblent les papiers de Georgia Tech et d’ECDSA.Fail. RSA, plus ancien, repose sur la difficulté de factoriser de grands nombres premiers et bénéficie lui aussi d’une baisse continue de ses estimations d’attaque quantique depuis les travaux de Craig Gidney. Les algorithmes post-quantiques normalisés par le NIST, comme ML-KEM pour l’échange de clés et ML-DSA pour la signature, reposent sur des problèmes de réseaux euclidiens jugés résistants aux ordinateurs quantiques connus à ce jour, ce qui explique pourquoi l’ANSSI et le G7 recommandent une transition hybride combinant ECC classique et ML-KEM plutôt qu’un remplacement brutal.
Ce que cela change pour les entreprises françaises
Pour une direction des systèmes d’information en France, la lecture pratique de ces deux publications tient en trois points. D’abord, l’inventaire cryptographique reste la priorité numéro un : savoir précisément où et comment ECDSA, Ed25519 ou d’autres schémas à courbe elliptique sont utilisés dans le système d’information, des certificats TLS aux clés SSH en passant par les portefeuilles de cryptoactifs détenus par l’entreprise. Ensuite, la stratégie hybride recommandée par l’ANSSI, combinant algorithme classique et algorithme post-quantique validé par le NIST, conserve tout son sens : elle protège contre la chute continue des estimations quantiques sans dépendre d’un seul mécanisme de sécurité. Enfin, la menace dite “harvest now, decrypt later”, qui consiste à intercepter aujourd’hui du trafic chiffré pour le déchiffrer plus tard une fois le matériel quantique disponible, gagne en pertinence à mesure que les estimations de ressources baissent, même si le calendrier d’un ordinateur quantique opérationnel reste incertain.
Prédictions : ce qui devrait suivre dans les prochains mois
Plusieurs évolutions semblent probables à l’horizon des prochains mois, sur la base des tendances observées depuis mars 2026. Premièrement, d’autres équipes académiques, notamment en Chine et en Europe, devraient publier de nouvelles variantes de circuits d’ici la fin de l’année 2026, poursuivant la course à la réduction du nombre de qubits logiques nécessaires pour casser ECDLP-256. Deuxièmement, le recours à des agents d’intelligence artificielle pour l’optimisation de circuits quantiques, inauguré par l’équipe d’ECDSA.Fail, devrait se généraliser dans d’autres sous-domaines de la cryptanalyse post-quantique, RSA compris. Troisièmement, la pression réglementaire européenne devrait continuer de s’intensifier, avec l’échéance ANSSI de 2027 pour la certification des produits de sécurité qui servira probablement de modèle à d’autres agences nationales du continent. Quatrièmement, les grands détenteurs institutionnels de bitcoin, exchanges et fonds inclus, devraient accélérer leurs projets de migration vers des schémas de signature post-quantiques ou vers des solutions de garde combinant seuils multiples, afin de réduire l’exposition des millions de BTC actuellement vulnérables. Cinquièmement, il est probable que Google, IonQ et d’autres acteurs du matériel quantique publient de nouvelles feuilles de route précisant leur calendrier propre vers les seuils de qubits physiques nécessaires, sans toutefois s’engager sur une date ferme avant la fin de la décennie.
Foire aux questions
Qu’est-ce que le problème ECDLP visé par ces deux publications ?
Le logarithme discret sur courbe elliptique (ECDLP) est le problème mathématique dont la difficulté garantit la sécurité des signatures ECDSA et Ed25519, utilisées par Bitcoin, Ethereum, TLS et SSH. Un ordinateur quantique suffisamment puissant pourrait le résoudre grâce à une variante de l’algorithme de Shor, ce qui permettrait de retrouver une clé privée à partir d’une clé publique connue.
Le papier de Georgia Tech signifie-t-il que Bitcoin peut être piraté dès maintenant ?
Non. Le résultat réduit le nombre théorique de qubits logiques nécessaires, mais aucune machine existante n’approche ce seuil, même une fois traduit en qubits physiques avec correction d’erreur. IBM plafonne à 1 121 qubits physiques bruts et Google à 105 qubits corrigés selon les derniers chiffres publics.
Quelle est la différence entre qubits logiques et qubits physiques ?
Un qubit logique est un qubit protégé par correction d’erreur, construit en combinant plusieurs centaines à plusieurs milliers de qubits physiques bruités. Les estimations de 640 ou 1 151 qubits logiques citées dans cet article ne correspondent donc pas à un compteur de qubits physiques directement comparable aux annonces commerciales des fabricants.
Combien de bitcoins sont réellement exposés à une future attaque quantique ?
Les estimations varient entre 6,7 et 6,9 millions de BTC selon les méthodologies, incluant environ 1,7 million de BTC en adresses P2PK historiques et le reste en adresses réutilisées où la clé publique a déjà été révélée sur la chaîne.
Pourquoi Google n’a-t-il pas publié le circuit complet de son estimation ?
Google explique avoir opté pour une divulgation responsable, en utilisant une preuve à divulgation nulle de connaissance permettant à des tiers de vérifier ses affirmations sans exposer les détails techniques les plus sensibles, afin de limiter le risque qu’un acteur malveillant s’en serve comme feuille de route.
Qu’est-ce que le papier ECDSA.Fail apporte de nouveau par rapport aux travaux précédents ?
Il confirme, par une méthode indépendante impliquant des agents d’intelligence artificielle pour l’optimisation de circuits, un ordre de grandeur proche des estimations de Google publiées en mars 2026, tout en introduisant une approche de recherche automatisée inédite dans ce domaine.
Les entreprises françaises doivent-elles agir dès maintenant ?
Oui, sur le plan de la planification. L’ANSSI cessera de certifier les produits de sécurité sans option post-quantique à partir de 2027, et la recommandation générale consiste à commencer l’inventaire cryptographique et la migration vers des schémas hybrides dès à présent, indépendamment du calendrier incertain d’un ordinateur quantique opérationnel.
Quelle est la prochaine étape probable dans cette course aux estimations ?
D’autres équipes académiques devraient publier de nouvelles réductions du nombre de qubits logiques nécessaires dans les mois à venir, tandis que les fabricants de matériel quantique comme IBM, Google et IonQ continueront de publier leurs propres feuilles de route sans toutefois s’engager sur une date précise pour atteindre les seuils requis.
