Un ordinateur quantique pourrait bientôt casser la cryptographie qui protège Bitcoin et Ethereum, et beaucoup plus vite que prévu. Selon une étude publiée par Google Quantum AI et mise à jour le 18 août 2026, la courbe elliptique secp256k1, utilisée par les deux plus grandes cryptomonnaies du monde, pourrait être compromise avec moins de 1 450 qubits logiques, contre plusieurs millions estimés il y a encore deux ans. Dans un scénario optimiste pour l’attaquant, la clé privée derrière une transaction en attente de confirmation pourrait être retrouvée en neuf minutes. Fortune évoque un marché de plus de 2 000 milliards de dollars exposé à ce risque, soit la quasi-totalité de la capitalisation crypto mondiale. Ce n’est plus un débat théorique réservé aux cryptographes : c’est un compte à rebours que régulateurs, bourses et détenteurs de portefeuilles commencent à prendre au sérieux.

Ce que Google Quantum AI a réellement publié

Le document technique, intitulé Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations, est apparu sur arXiv le 30 mars 2026 et a été révisé une dernière fois le 18 août 2026, ce qui le maintient au cœur de l’actualité cryptographique de la mi-août. L’équipe y présente deux configurations de circuits quantiques capables de résoudre le problème du logarithme discret sur courbe elliptique (ECDLP) appliqué à secp256k1, la courbe à 256 bits qui sert de base aux signatures ECDSA de Bitcoin et d’Ethereum.

La première configuration nécessite moins de 1 200 qubits logiques et moins de 90 millions de portes Toffoli. La seconde, plus économe en portes mais plus gourmande en qubits, mobilise moins de 1 450 qubits logiques pour moins de 70 millions de portes Toffoli. Sous des hypothèses matérielles standard pour du matériel supraconducteur (taux d’erreur physique de 10⁻³, connectivité planaire), ces circuits pourraient tourner en quelques minutes avec moins de 500 000 qubits physiques. C’est un ordre de grandeur que plusieurs constructeurs de puces quantiques visent déjà à l’horizon 2030-2032, ce qui rapproche sérieusement l’échéance d’un ordinateur quantique cryptographiquement pertinent, ou CRQC dans le jargon du secteur.

Cette étude n’est pas une simple mise à jour incrémentale. Elle représente, selon les analyses reprises par The Quantum Insider, une réduction d’environ 20 fois du nombre de qubits physiques requis par rapport aux meilleures estimations antérieures pour attaquer secp256k1. Un tel bond change la temporalité de la menace : ce qui semblait relever d’un horizon lointain se rapproche d’une fenêtre de dix ans, voire moins selon le rythme des progrès matériels.

Le scénario d’attaque en neuf minutes, expliqué

Le chiffre qui a le plus circulé dans la presse spécialisée est celui des neuf minutes. Il correspond à un scénario précis appelé attaque à la dépense (on-spend attack). Sur Bitcoin, une clé publique n’est révélée sur la blockchain qu’au moment où son propriétaire dépense les fonds associés, pas avant. Entre l’instant où la transaction est diffusée au réseau et l’instant où elle est confirmée dans un bloc, la clé publique est visible de tous, mais la transaction n’est pas encore définitive.

Le papier de Google avance qu’avec une horloge suffisamment rapide, un ordinateur quantique de première génération pourrait dériver la clé privée correspondante en moyenne en neuf minutes, soit un délai compatible avec le temps moyen de confirmation d’un bloc Bitcoin (environ dix minutes). Un attaquant théorique pourrait alors forger une transaction concurrente et la faire miner en premier, détournant les fonds avant que le propriétaire légitime ne voie sa transaction confirmée. Ce scénario ne concerne pas les fonds dormants dans une adresse dont la clé publique n’a jamais été exposée : il vise spécifiquement le court instant de vulnérabilité qui suit une dépense.

Le document précise toutefois qu’il s’agit d’une hypothèse pour la discussion, fondée sur des CRQC de première génération à horloge rapide, et non d’une démonstration réalisée sur du matériel existant. Aucun ordinateur quantique actuel n’approche les capacités nécessaires. Mais la trajectoire de réduction des ressources requises est ce qui inquiète la communauté cryptographique.

Pourquoi Google n’a pas publié le circuit d’attaque complet

Plutôt que de diffuser un schéma de circuit exploitable, l’équipe de recherche a choisi une divulgation responsable en publiant une preuve à divulgation nulle de connaissance (zero-knowledge proof, ou ZKP), hébergée sur un enregistrement de données Zenodo. Cette preuve certifie mathématiquement que les chercheurs ont bien compilé des circuits quantiques implémentant correctement l’addition de points sur la courbe secp256k1, sans en révéler le détail exploitable.

Concrètement, l’enregistrement Zenodo décrit deux circuits d’addition de points : l’un avec 1 175 qubits logiques et 2,7 millions de portes Toffoli, l’autre avec 1 425 qubits logiques et 2,1 millions de portes Toffoli. Ces chiffres portent sur le sous-composant d’addition de points, la brique élémentaire répétée des milliers de fois dans l’attaque complète, à distinguer des estimations globales de 70 à 90 millions de portes Toffoli citées plus haut pour l’ensemble du circuit d’attaque.

Cette approche par ZKP est elle-même une démonstration d’usage concret des preuves à divulgation nulle de connaissance en dehors du monde de la blockchain où elles sont surtout connues via des protocoles comme zk-SNARK. Elle permet à des tiers indépendants de vérifier la validité des affirmations de Google sans que l’équipe ait à publier une arme cryptographique directement utilisable, un compromis de plus en plus courant dans la recherche en cryptographie post-quantique sensible.

Une course mondiale : la Chine descend déjà sous la barre de Google

Google n’est pas seul sur ce terrain. Le 20 juillet 2026, une équipe rattachée à quatre institutions de recherche chinoises a publié un circuit quantique révisé pour attaquer secp256k1, ramenant le nombre de qubits logiques nécessaires à seulement 835, la valeur la plus basse rapportée à ce jour pour une courbe elliptique à 256 bits. Ce résultat, antérieur de quelques semaines à la dernière mise à jour du papier de Google, illustre une dynamique de compétition scientifique où chaque nouvelle publication réduit encore le coût théorique de l’attaque.

Le tableau ci-dessous retrace cette accélération sur les dix-huit derniers mois, à partir des estimations publiques les plus citées dans la littérature récente.

Tableau 1 : évolution des estimations pour casser secp256k1

DateÉquipe / sourceQubits logiquesPortes ToffoliPortée de l’estimation
2022 (référence historique)Estimations académiques antérieuresPlusieurs millionsNon comparableAttaque ECDLP générique
30 mars 2026Google Quantum AI (arXiv)moins de 1 200 à 1 45070 à 90 millionsCircuit d’attaque complet
20 juillet 2026Consortium académique chinois (4 institutions)835Non détaillé publiquementCircuit révisé, record actuel
18 août 2026Google Quantum AI (mise à jour arXiv)1 175 à 1 425 (addition de points, via ZKP)2,1 à 2,7 millions (sous-circuit)Preuve vérifiable sans divulgation du circuit complet

Cette trajectoire descendante rappelle celle observée sur le chiffrement RSA depuis une dizaine d’années : chaque nouvelle publication réduit le nombre de qubits jugé nécessaire, ce qui raccourcit d’autant l’horizon jugé « sûr » par les cryptographes. Le sujet dépasse donc largement le seul cas de Bitcoin : toute infrastructure encore fondée sur des courbes elliptiques classiques, y compris hors du monde des cryptoactifs, doit surveiller cette dynamique.

2 000 milliards de dollars : ce que Fortune (et le marché) ont retenu

Le 15 août 2026, Fortune a publié un article largement relayé évoquant « la grande migration quantique » à venir, estimant que plus de 2 000 milliards de dollars d’actifs numériques sont exposés à ce type d’attaque, soit à peu près la totalité de la capitalisation du marché crypto mondial à cette date. Ce chiffre inclut Bitcoin et Ethereum, dont les schémas de signature ECDSA reposent tous deux sur des courbes elliptiques à 256 bits vulnérables au même type d’attaque que celle décrite par Google.

Ce cadrage médiatique mérite une nuance importante. Une part significative des adresses Bitcoin, notamment celles au format P2PKH ou P2WPKH les plus courantes, ne révèlent leur clé publique qu’au moment de la dépense. Les fonds qui n’ont jamais bougé restent donc protégés par le hachage de la clé publique, une couche de sécurité supplémentaire que l’attaque ECDLP seule ne suffit pas à percer. En revanche, les adresses ayant déjà servi à une transaction sortante, ou les schémas exposant directement la clé publique comme certains contrats Ethereum, sont dans le périmètre direct du risque décrit.

Reste que l’ampleur symbolique du chiffre de 2 000 milliards de dollars a suffi à faire remonter le sujet jusque dans les rédactions financières généralistes, un signe que la fenêtre de traitement du risque quantique par l’industrie crypto se referme plus vite que prévu.

Contexte historique : d’une menace lointaine à un calendrier concret

L’idée qu’un ordinateur quantique pourrait un jour casser RSA et les courbes elliptiques n’a rien de nouveau : l’algorithme de Shor, qui rend ce type d’attaque possible en théorie, date de 1994. Pendant près de trente ans, la question est restée largement académique faute de matériel quantique suffisamment stable et puissant. Le tournant s’est amorcé avec la standardisation post-quantique du NIST, qui a finalisé ses premiers algorithmes résistants au quantique (ML-KEM, ML-DSA, SLH-DSA) fin 2024, posant un cadre de migration pour les infrastructures classiques.

Le monde des cryptoactifs, lui, est resté en retrait de ce mouvement plus longtemps, en partie parce que changer un schéma de signature sur une blockchain déployée suppose un consensus communautaire bien plus lourd qu’une simple mise à jour logicielle côté serveur. Les publications successives sur la réduction des ressources nécessaires pour attaquer secp256k1, qui culminent avec les travaux de Google et de l’équipe chinoise cet été, changent la nature du débat : il ne s’agit plus de savoir si la migration post-quantique de Bitcoin et Ethereum aura lieu, mais quand, et sous quelle contrainte de calendrier.

La réponse réglementaire : l’Europe accélère aussi côté cryptoactifs

En France, l’ANSSI a déjà posé un jalon clair pour les infrastructures classiques : à partir de 2027, l’agence cessera de certifier les produits de sécurité qui n’intègrent pas de chiffrement résistant au quantique, avec un objectif d’achats exclusivement post-quantiques pour les opérateurs critiques d’ici 2030 (voir notre couverture complète de l’échéance ANSSI 2027). Ce calendrier ne cible pas explicitement les cryptomonnaies aujourd’hui, mais la pression monte pour qu’il s’étende au secteur.

Au niveau de l’Union européenne, la feuille de route post-quantique fixe un début de déploiement dès fin 2026 et une migration des infrastructures critiques d’ici 2030, un calendrier que nous détaillons dans notre article sur l’échéance post-quantique imposée par l’UE. Aux États-Unis, la NSA et le NIST poussent dans la même direction via leurs propres recommandations de migration. Le National Cyber Security Centre britannique publie également des lignes directrices sur la transition post-quantique, tandis que l’ENISA coordonne les positions techniques au niveau européen, un signal que l’alignement transatlantique se renforce sur ce dossier.

Ce qui manque encore, en Europe comme ailleurs, c’est un cadre réglementaire spécifique aux cryptoactifs qui impose des délais de migration aux protocoles blockchain eux-mêmes, à la différence des obligations déjà posées pour les infrastructures étatiques et les opérateurs de services essentiels.

ECC classique face aux signatures post-quantiques : le comparatif

Pour comprendre l’ampleur du chantier de migration, il faut comparer les schémas de signature actuellement utilisés par les cryptomonnaies avec les alternatives résistantes au quantique déjà standardisées par le NIST. Le tableau ci-dessous synthétise les principaux écarts en taille de clé, taille de signature et niveau d’adoption actuel.

Tableau 2 : ECDSA/secp256k1 face aux signatures post-quantiques standardisées

SchémaTaille de clé publiqueTaille de signatureRésistance quantiqueAdoption dans les cryptoactifs
ECDSA (secp256k1)33-65 octets~72 octetsNon (ECDLP cassable par Shor)Standard Bitcoin et Ethereum
EdDSA (Ed25519)32 octets64 octetsNon (même famille de problème)Utilisé par Solana, Stellar
ML-DSA (ex-Dilithium, NIST)~1 300 à 2 600 octets~2 400 à 4 600 octetsOui (fondé sur les réseaux euclidiens)Expérimental, aucun réseau majeur en production
SLH-DSA (ex-SPHINCS+, NIST)32 à 64 octets7 800 à 49 800 octetsOui (fondé sur les fonctions de hachage)Étudié comme solution de repli, signatures volumineuses
Schéma hybride (ECDSA + ML-DSA)Cumul des deuxCumul des deuxOui, tant qu’un des deux tientApproche transitoire recommandée par l’ANSSI et l’ETSI

L’écart de poids est le principal frein pratique : une signature ML-DSA pèse jusqu’à 60 fois plus lourd qu’une signature ECDSA, ce qui a un impact direct sur la taille des blocs et les frais de transaction si un réseau comme Bitcoin devait migrer intégralement. C’est pour cette raison que l’approche hybride, qui superpose temporairement un schéma classique et un schéma post-quantique, est privilégiée par les agences de cybersécurité européennes comme voie de transition plutôt qu’un basculement direct. Nous détaillons cette logique de migration algorithme par algorithme dans notre comparatif RSA/ECC face à la cryptographie post-quantique.

Ce que disent les chercheurs de Google Quantum AI

Les extraits ci-dessous sont tirés directement des publications de l’équipe Google Quantum AI associées à cette étude.

« Le problème du logarithme discret sur courbe elliptique à 256 bits peut être résolu avec un ordinateur quantique nettement plus petit qu’on ne le pensait jusqu’ici, en utilisant seulement 1 200 à 1 450 qubits logiques et 90 à 70 millions de portes Toffoli. »

Chercheurs de Google Quantum AI, équipe de recherche – livre blanc du 30 mars 2026

« Avec des vitesses d’horloge suffisamment rapides, l’attaque pourrait être exécutée dans une fenêtre aussi courte que neuf minutes. »

Chercheurs de Google Quantum AI, équipe de recherche – livre blanc du 30 mars 2026

« La preuve à divulgation nulle de connaissance porte sur l’affirmation selon laquelle nous avons compilé deux circuits quantiques qui implémentent correctement l’addition de points sur la courbe secp256k1 : l’un avec 1 175 qubits logiques et 2,7 millions de portes Toffoli, l’autre avec 1 425 qubits logiques et 2,1 millions de portes Toffoli. »

Chercheurs de Google Quantum AI, équipe de recherche – enregistrement de données associé, 2026

« Dans cette discussion, nous supposons que les CRQC de première génération à horloge rapide pourraient résoudre l’ECDLP sur secp256k1 et des courbes elliptiques similaires en environ neuf minutes en moyenne. »

Chercheurs de Google Quantum AI, équipe de recherche – article arXiv, version révisée

Impact sur les bourses, les dépositaires et les portefeuilles

Pour les bourses et les dépositaires institutionnels, le risque immédiat n’est pas une attaque en neuf minutes avec le matériel d’aujourd’hui, inexistant à cette échelle, mais l’obligation de démontrer une trajectoire de mise en conformité crédible face à des clients institutionnels et des régulateurs de plus en plus attentifs à la résilience quantique. Les grands custodians commencent à intégrer des clauses de « quantum readiness » dans leurs audits de sécurité, en cohérence avec les recommandations déjà appliquées côté infrastructures classiques.

Pour les détenteurs individuels, le principal enseignement pratique concerne l’hygiène des adresses : réutiliser une adresse Bitcoin après une première dépense expose durablement sa clé publique sur la blockchain, l’exposant au risque décrit dans l’étude de Google dès qu’un CRQC suffisamment puissant existera. Les portefeuilles matériels modernes et les bonnes pratiques de gestion de clés, que nous détaillons dans notre guide sur la sécurité des signatures numériques, restent la meilleure protection disponible en attendant une migration protocolaire plus large.

Les fournisseurs de portefeuilles matériels et les grandes plateformes d’échange n’ont pas encore communiqué de calendrier public de migration vers des schémas de signature post-quantiques, mais plusieurs projets de recherche communautaires sur Bitcoin et Ethereum explorent déjà des propositions d’amélioration (BIP et EIP) pour intégrer des schémas hybrides à terme.

Un exemple concret : pourquoi la réutilisation d’adresse compte

La différence entre une adresse Bitcoin exposée et une adresse protégée tient à un détail technique simple : le format de l’adresse détermine si la clé publique est visible avant ou seulement au moment de la dépense.

Adresse P2PKH (protégée jusqu'à la dépense) :
  clé publique -> HASH160(clé publique) -> adresse
  la clé publique n'apparaît sur la chaîne qu'au moment
  où les fonds associés sont dépensés

Adresse P2PK ou UTXO déjà dépensée une fois (exposée) :
  clé publique visible directement dans le script
  ou dans l'historique de transactions déjà diffusé
  -> cible directe d'une attaque ECDLP quantique

Ce détail explique pourquoi certaines estimations de fonds « à risque » varient fortement selon les analystes : tout dépend de la proportion de l’offre en circulation qui a déjà exposé sa clé publique, un chiffre que personne ne peut établir avec précision à l’échelle de tout le réseau.

Cinq prédictions pour les prochains mois

  • D’autres équipes descendront sous la barre des 835 qubits logiques d’ici fin 2026. La compétition entre laboratoires occidentaux et chinois sur la réduction des ressources nécessaires pour casser secp256k1 ne montre aucun signe de ralentissement.
  • Les premières propositions BIP et EIP pour une migration hybride gagneront en visibilité. Sans imposer de calendrier contraignant, les communautés Bitcoin et Ethereum devraient formaliser des pistes techniques concrètes d’ici 2027.
  • Les régulateurs européens élargiront leur vigilance post-quantique aux cryptoactifs. À mesure que la feuille de route UE 2026-2035 se précise pour les infrastructures classiques, la pression pour y intégrer explicitement les prestataires de services sur cryptoactifs (PSAN/CASP) devrait s’accentuer.
  • Les dépositaires institutionnels commenceront à exiger des audits de résilience quantique. À l’image des exigences de certification ANSSI 2027 côté infrastructures classiques, les grands clients institutionnels devraient intégrer des clauses similaires dans leurs contrats de garde d’actifs numériques dès 2027-2028.
  • Le débat sur un hard fork défensif de Bitcoin s’intensifiera si un nouveau resserrement des estimations survient. Une nouvelle publication ramenant l’estimation sous quelques centaines de qubits logiques suffirait probablement à relancer une discussion communautaire plus pressante sur un changement de schéma de signature.

Ce que peuvent faire les détenteurs de cryptoactifs dès maintenant

Aucune mesure d’urgence n’est nécessaire aujourd’hui : le matériel quantique capable d’exploiter ces circuits n’existe pas encore, et les meilleurs systèmes actuels restent à des années d’un tel niveau de qubits logiques stables et corrigés d’erreurs. Mais plusieurs réflexes limitent déjà l’exposition individuelle. Éviter de réutiliser une adresse après une première dépense réduit la fenêtre d’exposition de la clé publique. Privilégier des portefeuilles matériels à jour, qui intègrent les évolutions de sécurité au fil des mises à jour de firmware, reste la meilleure pratique disponible. Et suivre l’évolution des propositions de migration post-quantique portées par les développeurs cœur de Bitcoin et d’Ethereum permet d’anticiper plutôt que de subir un futur changement de protocole.

Pour les entreprises qui opèrent des infrastructures critiques dépendantes de la cryptographie à courbe elliptique, classique ou liée aux cryptoactifs, l’enjeu est le même que celui déjà posé par l’ANSSI et l’UE aux opérateurs traditionnels : commencer l’inventaire des systèmes concernés avant que la fenêtre de migration ne se referme sous la pression d’un calendrier réglementaire.

Questions fréquentes

Un ordinateur quantique peut-il casser Bitcoin dès aujourd’hui ?

Non. Les circuits décrits par Google restent théoriques et nécessitent un ordinateur quantique tolérant aux fautes avec plus d’un millier de qubits logiques stables, une capacité qu’aucun système actuel n’atteint. Les meilleurs processeurs quantiques d’aujourd’hui fonctionnent avec des qubits physiques bruités, en nombre bien inférieur à ce qui serait nécessaire une fois la correction d’erreurs prise en compte.

Qu’est-ce que secp256k1 exactement ?

C’est la courbe elliptique à 256 bits utilisée par Bitcoin et Ethereum pour générer les paires de clés et signer les transactions via l’algorithme ECDSA. Elle est distincte des courbes utilisées par TLS ou d’autres protocoles, mais repose sur le même principe mathématique, le logarithme discret sur courbe elliptique, que l’algorithme de Shor peut théoriquement résoudre sur un ordinateur quantique suffisamment puissant.

Pourquoi Google n’a-t-il pas publié le circuit d’attaque complet ?

Par souci de divulgation responsable. L’équipe a préféré publier une preuve à divulgation nulle de connaissance qui certifie la validité de ses résultats sans fournir un schéma directement exploitable, une approche qui permet la vérification scientifique sans accélérer une utilisation malveillante.

Toutes les adresses Bitcoin sont-elles exposées de la même façon ?

Non. Les adresses qui n’ont jamais servi à une dépense sortante ne révèlent pas leur clé publique sur la chaîne et restent protégées par le hachage de cette clé. Seules les adresses ayant déjà émis une transaction, ou les schémas exposant directement la clé publique, entrent dans le périmètre de l’attaque décrite.

Ethereum est-il concerné de la même façon que Bitcoin ?

Oui pour le principe : Ethereum utilise également ECDSA sur secp256k1. La structure des comptes diffère cependant, et certains contrats exposent la clé publique plus tôt dans leur cycle de vie que les adresses Bitcoin classiques, ce qui peut modifier la surface d’exposition selon les cas d’usage.

Existe-t-il déjà des cryptomonnaies résistantes au quantique ?

Quelques projets expérimentaux intègrent des signatures fondées sur des réseaux euclidiens ou des fonctions de hachage, résistantes à l’algorithme de Shor. Aucun réseau majeur comparable à Bitcoin ou Ethereum en capitalisation n’a toutefois migré vers un schéma post-quantique en production à ce jour.

La France ou l’UE imposent-elles déjà des règles aux cryptoactifs sur ce sujet ?

Pas directement. Les échéances ANSSI (2027) et UE (2026-2035) ciblent en priorité les infrastructures classifiées, les opérateurs d’importance vitale et les produits de sécurité certifiés, sans obligation spécifique encore fixée pour les protocoles blockchain eux-mêmes.

Que devrait faire un particulier détenteur de cryptoactifs ?

Éviter la réutilisation d’adresses, garder son firmware de portefeuille matériel à jour, et suivre les annonces des équipes de développement des protocoles qu’il utilise. Aucune action de migration urgente n’est nécessaire à ce stade, mais la vigilance sur ces bonnes pratiques limite déjà l’exposition individuelle.