Le 27 août 2026, Blockstream Research a publié une proposition d’amélioration Bitcoin (BIP) pour un schéma de signature baptisé SHRINCS. Trois semaines plus tôt, la société américaine AmericanFortress avait mis en ligne un préprint concurrent nommé ZKPoSP. Les deux projets visent le même objectif : protéger le réseau Bitcoin contre un futur ordinateur quantique capable de casser l’algorithme de signature ECDSA sur la courbe secp256k1. Aucun des deux textes n’a de numéro de BIP officiel ni de preuve de sécurité formelle achevée, mais leur publication à quelques jours d’intervalle relance un débat resté largement théorique pendant des années : comment migrer treize ans de transactions sans casser le réseau ni forcer les détenteurs à déplacer leurs fonds.
Selon le cabinet Deloitte, plus de 4 millions de bitcoins, soit environ 25 % de l’offre en circulation, reposent sur des adresses dont la clé publique est déjà visible sur la blockchain. River Financial va plus loin et chiffre l’exposition totale à 6,8 millions de BTC en intégrant toutes les adresses réutilisées. À ce niveau, la réserve concernée représente plusieurs centaines de milliards de dollars qu’un ordinateur quantique suffisamment puissant pourrait, en théorie, dérober sans jamais avoir accès à une seule clé privée. Cette perspective, encore lointaine selon la plupart des experts, structure désormais deux approches techniques rivales pour la cryptographie post-quantique de Bitcoin.
Combien de bitcoins l’ordinateur quantique peut-il réellement viser ?
Le risque quantique sur Bitcoin ne concerne pas toutes les adresses de la même façon. Une adresse P2PKH classique, jamais utilisée en dépense, ne révèle que le hachage de sa clé publique. Une adresse de type pay-to-public-key (P2PK), héritée des tout premiers blocs minés par Satoshi Nakamoto, ou une adresse P2PKH déjà utilisée pour envoyer des fonds, expose en revanche la clé publique complète sur la chaîne. C’est cette différence qui trace la ligne entre bitcoins protégés et bitcoins vulnérables face à l’algorithme de Shor.
Le rapport « Quantum computers and the Bitcoin blockchain » de Deloitte recense environ 2 millions de BTC dans des adresses P2PK d’origine, dont près de 1,1 million attribués à l’ère Satoshi, auxquels s’ajoutent des adresses P2PKH réutilisées. River Financial, de son côté, avance 1,72 million de BTC en P2PK et 4,9 millions de BTC supplémentaires dans des adresses réutilisées de tous types, pour un total proche de 6,8 millions de bitcoins potentiellement exposés à une attaque dite « longue portée », qui exploite une clé publique déjà visible.
| Source | Adresses concernées | BTC exposés | Part de l’offre |
|---|---|---|---|
| Deloitte | P2PK d’origine + P2PKH réutilisées | ~4 millions de BTC | ~25 % |
| River Financial | P2PK (1,72 M) + adresses réutilisées (4,9 M) | ~6,8 millions de BTC | ~34 % |
| Synthèse des deux analyses | Toutes catégories exposées confondues | 6 à 7 millions de BTC | ~30 % |
Ces chiffres n’impliquent pas un vol immédiat. Ils délimitent le périmètre que SHRINCS et ZKPoSP cherchent, chacun à leur manière, à mettre hors de portée d’un futur ordinateur quantique capable d’exécuter l’algorithme de Shor à grande échelle.
SHRINCS : le pari de Blockstream sur les fonctions de hachage
Conçu par les chercheurs Mikhail Kudinov et Jonas Nick de Blockstream Research, SHRINCS (contraction de « Shrunken SPHINCS ») est un schéma de signature basé uniquement sur SHA-256, la même fonction de hachage que celle qui sécurise déjà le minage de Bitcoin. Le choix n’est pas anodin : en évitant toute nouvelle hypothèse mathématique, l’équipe cherche à limiter le risque d’introduire une faille inconnue dans le protocole.
Techniquement, SHRINCS associe une seule clé publique de 32 octets à deux chemins de signature. Le premier, avec état, produit des signatures compactes qui démarrent autour de 324 octets et grossissent d’environ 16 octets à chaque nouvelle signature émise avec la même clé. Le second, sans état et inspiré de SPHINCS+, sert de secours si l’appareil perd la trace des clés déjà utilisées, au prix de signatures nettement plus lourdes, entre 4,3 et 5,8 Ko selon les sources. Le registre Project Eleven consacré aux algorithmes post-quantiques confirme que ce chemin de secours a été testé en conditions réelles sur la sidechain Liquid de Blockstream depuis mars 2026, via des contrats intelligents Simplicity.
Le BIP introduit un nouvel opcode, OP_CHECKSHRINCS, chargé de vérifier ces signatures directement dans le langage de script de Bitcoin. Selon les estimations publiées par Blockstream et reprises par postquantum.com, le chemin compact permettrait de maintenir un débit théorique proche de 3 transactions par seconde sous les règles actuelles de taille de bloc et de témoin SegWit, contre seulement 0,36 à 0,5 transaction par seconde pour les schémas déjà validés par le NIST comme SPHINCS+ ou ML-DSA. Le texte publié le 27 août reste néanmoins qualifié de brouillon : aucun numéro de BIP ne lui a encore été attribué et la preuve de sécurité formelle du schéma n’est pas achevée.
// Pseudocode simplifié, à titre d'illustration, basé sur la description publique du BIP
OP_CHECKSHRINCS(cle_publique_32_octets, signature, message):
si signature.type == "compacte_avec_etat":
verifier_chaine_hachage_sha256(cle_publique_32_octets, signature)
verifier_index_non_reutilise(signature.index_etat)
sinon si signature.type == "secours_sans_etat":
verifier_schema_type_sphincs(cle_publique_32_octets, signature)
retourner (signature_valide == vrai)ZKPoSP : éviter tout changement d’adresse grâce à la preuve à divulgation nulle
ZKPoSP part d’un constat différent. Plutôt que de remplacer la signature par un nouveau format cryptographique, la preprint « ZKPoSP: Post-Quantum Zero-Knowledge Proofs for Hierarchical Deterministic Wallets », publiée le 25 juillet 2026 sur l’archive académique ePrint, propose de prouver la possession d’une phrase de récupération (seed phrase) sans jamais l’exposer ni changer le format des adresses. Le sigle signifie Zero-Knowledge Proof of Seed Provenance, soit « preuve à divulgation nulle de provenance de la seed ».
Le schéma, signé par Vincenzo Botta, Michal Pospieszalski, Emanuele Ragnoli et Justus Ranvier, s’appuie sur la société AmericanFortress, basée dans le Wyoming, qui développe par ailleurs une couche de confidentialité destinée à plusieurs blockchains. Le mécanisme repose sur deux preuves distinctes : une « preuve de dérivation », générée une seule fois par paire de clés, qui démontre que l’adresse a bien été dérivée de la seed du portefeuille hiérarchique déterministe (HD wallet), et une « preuve de signature », générée à chaque transaction, qui atteste que le détenteur légitime de la seed autorise l’opération. Les deux preuves reposent uniquement sur des hypothèses fondées sur le hachage, jugées résistantes à un ordinateur quantique, sans dépendre de la difficulté du logarithme discret sur courbe elliptique.
L’argument commercial de ZKPoSP tient en une phrase : aucune migration de fonds, aucune rotation de clé, aucun changement d’adresse. Le schéma est pensé pour s’intégrer aux standards existants de dérivation (BIP32, BIP44, SLIP-10) et, selon ses concepteurs, pourrait s’appliquer aussi bien à Bitcoin qu’à Ethereum, Solana ou d’autres réseaux fondés sur la cryptographie à courbe elliptique. Dans son prototype actuel, la génération d’une preuve prend entre 12 et 13 secondes, un délai jugé acceptable côté portefeuille, tandis que la vérification s’effectue en moins de 10 millisecondes, un temps compatible avec la validation par les nœuds du réseau.
SHRINCS contre ZKPoSP : comparaison technique
Les deux propositions partagent un même ennemi, l’ordinateur quantique, mais divergent presque sur tous les autres points : porteur du projet, hypothèse cryptographique, impact sur le format des adresses et degré de maturité. Le tableau ci-dessous résume les principaux écarts constatés à fin août 2026.
| Critère | SHRINCS (Blockstream) | ZKPoSP (AmericanFortress) |
|---|---|---|
| Publication | 27 août 2026, BIP | 25-26 juillet 2026, préprint ePrint |
| Mécanisme | Signature basée sur le hachage SHA-256, chemin avec/sans état | Preuve à divulgation nulle en deux temps (dérivation + signature) |
| Impact sur l’adresse | Clé publique conservée (32 octets), nouvel opcode OP_CHECKSHRINCS | Aucun changement, compatible BIP32/BIP44/SLIP-10 |
| Taille / délai | 324 à ~580 octets (chemin compact), jusqu’à ~5,8 Ko en secours | Génération de preuve : 12-13 s ; vérification : <10 ms |
| Débit réseau estimé | ~3 transactions/seconde | Non communiqué publiquement à ce stade |
| Test en production | Oui, sidechain Liquid depuis mars 2026 | Non, stade recherche académique |
| Statut | Brouillon de BIP, sans numéro, preuve de sécurité incomplète | Préprint, pas encore déposé comme BIP |
SHRINCS assume un compromis classique de la cryptographie post-quantique fondée sur le hachage : des signatures plus lourdes que Schnorr, avec état à gérer côté portefeuille, en échange d’une sécurité reposant sur des primitives déjà éprouvées. ZKPoSP prend le pari inverse : préserver totalement le format des adresses au prix d’un temps de calcul plus élevé côté émetteur de la preuve. Les deux approches restent, à ce stade, des propositions concurrentes plutôt que des candidats officiellement adoubés par la communauté des développeurs Bitcoin Core.
Quand un ordinateur quantique pourrait-il casser secp256k1 ?
La réponse dépend fortement de la source consultée. Le consensus le plus prudent, cité par la Cambridge Judge Business School, place l’arrivée d’un ordinateur quantique « cryptographiquement pertinent » entre 10 et 20 ans. Un ordinateur de cette classe devrait exécuter l’algorithme de Shor avec environ 4 000 qubits logiques, un seuil qu’aucune feuille de route publique d’IBM ou de Google ne prévoit d’atteindre avant la fenêtre 2030-2035.
Les projections plus agressives resserrent nettement ce calendrier. Justin Drake, chercheur à l’Ethereum Foundation, estime à au moins 10 % la probabilité qu’un ordinateur quantique casse une clé privée ECDSA secp256k1 d’ici 2032. Un « Quantum Doomsday Clock » médiatisé en novembre 2025 avançait pour sa part une échéance nominale autour du début 2028, sur la base d’hypothèses volontairement pessimistes. Des travaux algorithmiques publiés au cours de l’été 2026 ont par ailleurs réduit les ressources nécessaires à une estimation comprise entre 1 200 et 1 450 qubits logiques et environ 70 à 90 millions de portes Toffoli, un calcul qui pourrait, sur une architecture supraconductrice suffisamment avancée, s’exécuter en quelques minutes.
Ces chiffres restent théoriques : la puce Willow de Google, présentée comme une avancée majeure fin 2024, ne compte que 105 qubits physiques, plusieurs ordres de grandeur en dessous du million de qubits physiques que la plupart des analystes jugent nécessaires une fois l’overhead de correction d’erreurs pris en compte.
| Source | Estimation | Horizon |
|---|---|---|
| Cambridge Judge Business School | Consensus « expert » généraliste | 10 à 20 ans |
| Feuilles de route IBM / matériel quantique | ~4 000 qubits logiques nécessaires | Fenêtre 2030-2035 |
| Justin Drake (Ethereum Foundation) | Probabilité estimée à au moins 10 % | D’ici 2032 |
| Quantum Doomsday Clock (nov. 2025) | Compte à rebours sur hypothèses agressives | Début 2028 |
| Recherche algorithmique 2026 | 1 200 à 1 450 qubits logiques, ~70-90 M portes Toffoli | Exécution en minutes, si le matériel existait |
Pourquoi Bitcoin n’a jamais changé son schéma de signature
Depuis le bloc genesis miné en janvier 2009, Bitcoin s’appuie sur ECDSA associé à la courbe secp256k1. La seule évolution majeure du système de signature remonte à l’activation de Taproot en novembre 2021, qui a introduit les signatures Schnorr sans toucher à la nature elliptique de la cryptographie sous-jacente. Cette stabilité tient à la gouvernance du réseau : toute modification du schéma de signature touche à la fois le format des scripts, la taille des blocs, la compatibilité des portefeuilles et, potentiellement, la sécurité de millions d’adresses déjà financées.
C’est dans ce contexte qu’il faut lire l’apparition simultanée de SHRINCS et ZKPoSP. Aucune des deux propositions n’a encore franchi les étapes classiques d’un changement de consensus Bitcoin : revue par les mainteneurs de Bitcoin Core, discussion publique prolongée sur les listes de diffusion, tests extensifs sur testnet, puis activation via un mécanisme de soft fork. Le précédent de Taproot, qui a nécessité plusieurs années entre la proposition initiale et l’activation effective, donne une idée de l’échelle de temps probable pour n’importe quel changement de cette ampleur.
Le processus de gouvernance face à l’urgence quantique
La difficulté centrale ne se limite pas à choisir le meilleur algorithme. Elle porte sur la question des fonds bloqués dans des adresses vulnérables mais inactives, notamment les bitcoins de l’ère Satoshi jamais dépensés. Certaines propositions passées, jugées trop radicales par une partie de la communauté, envisageaient de rendre inutilisables les fonds restés dans des adresses P2PK après une date donnée, afin de les mettre hors de portée d’un vol quantique. SHRINCS et ZKPoSP évitent ce débat explosif : aucun des deux ne propose de geler ou de confisquer des fonds, ils se contentent d’offrir une voie de migration volontaire vers un schéma de signature résistant.
Reste que la coexistence de deux standards concurrents complique la tâche des développeurs de portefeuilles et des exploitants de nœuds, qui devront choisir, ou supporter les deux, avant même qu’un consensus clair ne se dégage sur l’un ou l’autre.
Comparaison avec les autres écosystèmes blockchain
Bitcoin n’est pas seul à affronter la question post-quantique. Ethereum a récemment réorienté une partie de sa feuille de route cryptographique, en s’éloignant de la fonction de hachage Poseidon, conçue spécifiquement pour les preuves à divulgation nulle, au profit de fonctions plus classiques comme SHA ou BLAKE, jugées désormais praticables dans les nouveaux systèmes de preuve à champ binaire. Cette évolution répond à une logique différente de celle de Bitcoin : elle vise avant tout l’efficacité des preuves de type SNARK, pas directement la résistance quantique des signatures de compte.
Sur le terrain strictement post-quantique, le NIST a déjà validé des schémas de signature comme ML-DSA et SPHINCS+, que Blockstream cite explicitement comme référence de comparaison pour justifier l’intérêt de SHRINCS : là où SPHINCS+ limiterait le débit de Bitcoin à 0,36-0,5 transaction par seconde, SHRINCS viserait environ 3 transactions par seconde. ZKPoSP, en misant sur des preuves à divulgation nulle plutôt que sur une signature post-quantique classique, se positionne sur un terrain encore différent, plus proche des travaux menés sur les preuves de connaissance pour les portefeuilles multi-chaînes que des standards de signature validés par une agence gouvernementale.
Impact sur le marché : exchanges, dépositaires et fabricants de portefeuilles
Pour les plateformes d’échange et les dépositaires institutionnels, la publication quasi simultanée de deux propositions rivales complique la planification. Adopter une signature post-quantique avant qu’un standard ne se stabilise expose à devoir migrer une seconde fois si la communauté Bitcoin Core tranche finalement en faveur de l’autre schéma. À l’inverse, attendre trop longtemps laisse les réserves exposées si le calendrier de la menace quantique s’avérait plus court que prévu.
Les fabricants de portefeuilles matériels sont concernés au premier chef, puisque ce sont eux qui génèrent et stockent les seeds sur lesquelles reposent aussi bien les signatures ECDSA actuelles que les futures preuves ZKPoSP ou signatures SHRINCS. Un modèle comme le Ledger Flex, ou plus largement l’ensemble du marché structuré autour des comparatifs entre Ledger et Trezor, devra à terme intégrer l’un de ces schémas, voire les deux, dans son firmware. Le choix technique retenu affectera directement la taille des transactions, donc les frais payés par les utilisateurs, et la compatibilité avec les anciennes versions de portefeuilles.
Les risques d’une transition mal maîtrisée
Une migration de signature sur un réseau qui traite plusieurs centaines de milliers de transactions par jour ne se limite pas à un problème d’ingénierie cryptographique. Un déploiement précipité de SHRINCS pourrait figer un opcode dont la preuve de sécurité formelle resterait incomplète au moment de l’activation, un scénario que le BIP lui-même reconnaît explicitement en l’état actuel du texte. Un déploiement précipité de ZKPoSP, à l’inverse, s’appuierait sur un schéma encore cantonné au stade académique, sans historique de production comparable aux mois de tests déjà accumulés par SHRINCS sur la sidechain Liquid.
Le risque de fracture du réseau (hard fork non coordonné) reste également présent si une partie des mineurs et des exploitants de nœuds refusait d’adopter le nouveau schéma pendant que d’autres l’imposeraient. C’est précisément pour éviter ce scénario que les deux équipes présentent leurs travaux comme des propositions ouvertes à la discussion, et non comme des mises à jour prêtes à être activées.
Ce que cela change pour les utilisateurs en France et en Europe
Pour les détenteurs de bitcoins basés en France ou ailleurs en Europe, le sujet reste pour l’instant technique plutôt que réglementaire. Le règlement européen MiCA encadre les émetteurs de jetons et les prestataires de services sur actifs numériques, mais ne fixe aucune obligation spécifique de migration cryptographique côté protocole Bitcoin, qui reste un réseau décentralisé sans autorité centrale capable d’imposer un calendrier. Les plateformes réglementées opérant en zone euro devront néanmoins suivre de près l’évolution du débat SHRINCS/ZKPoSP, dans la mesure où leurs obligations de conservation sécurisée des actifs (custody) pourraient, à terme, intégrer des exigences de résistance quantique, à l’image de ce que l’ANSSI recommande déjà pour d’autres briques cryptographiques utilisées par les infrastructures critiques françaises.
Les épargnants individuels n’ont, à ce stade, aucune action urgente à entreprendre : aucune des deux propositions n’est activée sur le réseau principal de Bitcoin, et la fenêtre de menace la plus consensuelle reste comptée en années plutôt qu’en mois.
Prédictions : à quoi ressemblera la protection quantique de Bitcoin d’ici 2030
- Aucune activation sur le réseau principal de Bitcoin n’interviendra avant 2027 au plus tôt, le temps que la communauté Bitcoin Core mène une revue technique complète des deux propositions.
- D’autres équipes de recherche publieront probablement des variantes ou des propositions concurrentes supplémentaires au cours des douze prochains mois, ajoutant encore à la fragmentation actuelle des approches post-quantiques pour Bitcoin.
- Les grands dépositaires institutionnels commenceront à exiger des fabricants de portefeuilles matériels une compatibilité anticipée avec au moins un des deux schémas, sans attendre l’activation réseau, pour des raisons d’audit et de conformité interne.
- Le débat sur le sort des bitcoins de l’ère Satoshi restés inactifs dans des adresses P2PK ressurgira, sans qu’un consensus se dégage rapidement sur une éventuelle date limite de migration volontaire.
- Le coût en frais de transaction lié à des signatures plus lourdes (SHRINCS) ou à des temps de génération de preuve plus longs (ZKPoSP) deviendra un argument central dans le choix final, davantage que la seule solidité théorique des hypothèses cryptographiques.
FAQ
Qu’est-ce que SHRINCS en quelques mots ?
SHRINCS est un schéma de signature post-quantique conçu spécifiquement pour Bitcoin par les chercheurs de Blockstream Research Mikhail Kudinov et Jonas Nick. Il repose uniquement sur la fonction de hachage SHA-256 et a été publié sous forme de BIP le 27 août 2026, après des tests de production sur la sidechain Liquid depuis mars 2026.
Qu’est-ce que ZKPoSP ?
ZKPoSP est un schéma alternatif publié le 25 juillet 2026 par les chercheurs d’AmericanFortress. Il remplace la signature ECDSA par une preuve à divulgation nulle de connaissance qui démontre la possession d’une seed de portefeuille hiérarchique déterministe, sans exposer cette seed ni changer le format des adresses existantes.
Combien de bitcoins sont réellement menacés par l’informatique quantique ?
Selon Deloitte, environ 4 millions de BTC (25 % de l’offre) reposent sur des adresses aux clés publiques exposées. River Financial situe l’exposition totale, en tenant compte de toutes les adresses réutilisées, autour de 6,8 millions de BTC.
Faut-il migrer ses bitcoins dès maintenant ?
Non. Ni SHRINCS ni ZKPoSP ne sont activés sur le réseau principal de Bitcoin. Les deux propositions en sont au stade de la discussion technique, sans calendrier d’activation fixé.
Un ordinateur quantique peut-il casser Bitcoin dès aujourd’hui ?
Non. La puce Willow de Google ne compte que 105 qubits physiques, très loin des ressources jugées nécessaires (de l’ordre du million de qubits physiques une fois la correction d’erreurs prise en compte) pour exécuter l’algorithme de Shor contre secp256k1.
SHRINCS et ZKPoSP sont-ils compatibles entre eux ?
Les deux schémas reposent sur des hypothèses cryptographiques différentes et n’ont pas été conçus pour fonctionner ensemble. Un portefeuille ou un nœud devrait, à terme, choisir l’un des deux ou implémenter les deux séparément.
Qu’en est-il d’Ethereum et des autres cryptomonnaies ?
Ethereum suit une trajectoire distincte, davantage centrée sur l’efficacité des preuves à divulgation nulle utilisées dans ses systèmes de mise à l’échelle, avec un abandon progressif de la fonction Poseidon au profit de SHA ou BLAKE. La question de la résistance quantique des signatures de compte y reste traitée séparément.
Quand ces propositions pourraient-elles être activées sur Bitcoin ?
Aucune date n’est fixée. Le précédent de Taproot, qui a nécessité plusieurs années entre la proposition initiale et l’activation, suggère qu’un changement de cette ampleur ne devrait pas intervenir avant 2027 au plus tôt, et probablement plus tard compte tenu de l’absence de preuve de sécurité formelle achevée pour les deux schémas.
