IonQ vient de publier le calcul le plus précis jamais produit sur ce qu’il faudrait, concrètement, pour casser une signature Bitcoin avec un ordinateur quantique. Le 8 septembre 2026, l’entreprise américaine a détaillé un plan technique complet : 19 397 qubits physiques, 25,7 jours de calcul et une probabilité de succès comprise entre 40,7 % et 63,3 % par tentative. La cible est secp256k1, la courbe elliptique qui protège les clés privées de Bitcoin, d’Ethereum et d’une bonne partie des systèmes de paiement en Europe. Aucune machine de cette taille n’existe aujourd’hui. Mais le chiffre marque une rupture nette avec les estimations d’il y a cinq ans, qui parlaient de millions de qubits et de délais hors d’atteinte.
Pour les lecteurs français et européens, l’annonce tombe à un moment sensible. L’ANSSI a fixé 2027 comme échéance pour ses premières exigences de certification post-quantique, et la Commission européenne pousse les États membres à démarrer leur migration avant fin 2026. Le travail d’IonQ donne, pour la première fois, un ordre de grandeur physique à cette urgence réglementaire : casser du secp256k1 n’est plus un problème à plusieurs millions de qubits, mais un problème à quelques dizaines de milliers.
Ce que révèle exactement le rapport d’IonQ
IonQ décrit son travail comme la première estimation entièrement compilée, de bout en bout, pour casser une signature elliptique à 256 bits, descendue jusqu’aux primitives de correction d’erreur quantique. Concrètement, l’entreprise ne s’est pas arrêtée à un calcul théorique d’algorithme. Elle a modélisé toute la chaîne : l’algorithme d’attaque, le circuit logique qui en découle, les codes de correction d’erreur qLDPC nécessaires, puis les contraintes physiques réelles de son architecture d’ions piégés baptisée Walking Cat.
Le document technique, daté du 3 septembre 2026 et long de 70 pages, porte la signature de 14 chercheurs d’IonQ. Trois d’entre eux, Thomas Häner, Felix Tripier et Jacob Young, sont crédités à égalité comme auteurs principaux. On retrouve aussi Michael Naehrig et Martin Roetteler, deux noms connus du petit monde de la cryptographie post-quantique, ainsi que Nicolas Delfosse et John Gamble. Le titre du papier ne laisse aucune ambiguïté sur l’objectif : calculer un logarithme discret elliptique à 256 bits en 26 jours sur un ordinateur quantique tolérant aux fautes de 20 000 qubits.
IonQ précise sur son blog que l’estimation d’environ 20 000 qubits physiques et 26 jours par tentative s’appuie sur une borne inférieure rigoureuse et démontrable de la probabilité de succès de l’algorithme, et non sur un simple argument heuristique (IonQ, blog technique). Cette distinction compte : dans la recherche en cryptanalyse quantique, beaucoup d’estimations publiées jusqu’ici reposaient sur des hypothèses optimistes, difficiles à vérifier indépendamment.
Les chiffres clés : qubits, jours et probabilités de succès
Le cœur du résultat tient en quelques nombres, mais ils méritent d’être détaillés un par un pour comprendre ce qu’ils impliquent vraiment.
Qubits physiques et qubits logiques
IonQ chiffre à 19 397 le nombre de qubits physiques nécessaires, organisés en 1 457 qubits logiques grâce à des codes correcteurs d’erreur de type qLDPC (quantum low-density parity-check). Le circuit compilé requiert environ 39 millions de portes logiques Toffoli. Ces chiffres sont ceux d’une seule machine effectuant une seule tentative d’attaque, pas d’un réseau de machines.
Un temps de calcul de 25,7 jours, deux probabilités de succès
En supposant un cycle de correction d’erreur de 29,5 millisecondes, l’attaque complète prend environ 25,7 jours de calcul continu, chiffre qu’IonQ arrondit publiquement à environ 26 jours. La probabilité de succès varie selon la méthode d’analyse retenue. En reprenant les travaux du cryptographe Michele Mosca sur le cumul des échecs logiques, la borne inférieure prouvée tombe à 40,7 %. En utilisant l’analyse heuristique du post-traitement classique proposée par Martin Ekerå, l’estimation grimpe à 63,3 %. IonQ ajoute qu’avec cinq machines identiques tournant en parallèle, la probabilité qu’au moins une réussisse sur une clé donnée atteint environ 99,3 %, en retenant l’hypothèse heuristique de 63,3 % par machine.
| Paramètre | Valeur retenue par IonQ | Remarque |
|---|---|---|
| Qubits physiques | 19 397 | Architecture d’ions piégés “Walking Cat” |
| Qubits logiques | 1 457 | Obtenus via des codes qLDPC |
| Portes logiques Toffoli | ≈ 39 millions | Circuit compilé pour l’attaque |
| Durée par tentative | 25,7 jours | Cycle de correction d’erreur de 29,5 ms |
| Probabilité de succès (borne prouvée) | 40,7 % | Analyse de Michele Mosca |
| Probabilité de succès (heuristique) | 63,3 % | Analyse de Martin Ekerå |
| Succès avec 5 machines en parallèle | ≈ 99,3 % | Sur une même clé ciblée |
| Taux d’erreur porte à 2 qubits (hypothèse) | 10⁻⁴ | Extrapolé depuis des essais sur 2 ions |
Un point mérite d’être souligné : ces taux d’erreur ne sont pas encore démontrés sur une machine de 19 397 ions. IonQ les extrapole à partir de résultats obtenus sur des systèmes beaucoup plus petits, de l’ordre de deux ions. Le document reste donc un plan directeur, pas la description d’une machine existante.
Pourquoi secp256k1, et pourquoi Bitcoin est la cible naturelle
La courbe secp256k1 sert de base à la signature ECDSA utilisée par Bitcoin, par la plupart des adresses classiques d’Ethereum et par de nombreuses autres chaînes de blocs. Casser le problème du logarithme discret sur cette courbe revient à retrouver une clé privée à partir d’une clé publique, ce qui permettrait de forger des signatures et de dépenser les fonds associés. C’est précisément le scénario que modélise le papier d’IonQ, sans jamais l’exécuter contre un système réel.
Le choix de secp256k1 n’est pas anodin sur le plan symbolique. En ciblant la courbe de Bitcoin plutôt qu’une courbe NIST générique comme P-256, IonQ ancre son résultat dans un cas d’usage concret et chiffrable en dollars : les réserves en Bitcoin exposées à une clé publique visible représentent des dizaines de milliards de dollars, notamment sur les adresses réutilisées ou celles dont la clé publique a déjà été révélée lors d’une transaction de dépense.
Shor, Ekerå et la correction d’erreur qLDPC : comment fonctionne l’attaque
L’attaque décrite par IonQ s’appuie sur une variante de l’algorithme de Shor adaptée au logarithme discret elliptique, avec les raffinements proposés par le chercheur suédois Martin Ekerå pour réduire le nombre de qubits nécessaires au post-traitement classique. Shor a montré dès 1994 qu’un ordinateur quantique pouvait factoriser de grands nombres et résoudre des logarithmes discrets en temps polynomial, un résultat qui rendrait RSA et les courbes elliptiques vulnérables si une machine suffisamment grande existait. Pendant trente ans, la question a été de savoir combien de qubits, exactement, une telle machine devrait posséder.
Problème ECDLP visé par IonQ :
Étant donné un point G sur secp256k1 et un point public Q = k·G,
retrouver l'entier k (la clé privée)
Ressources IonQ (2026) :
qubits physiques : 19 397
qubits logiques : 1 457 (codes qLDPC)
portes Toffoli : ~39 000 000
durée / tentative : 25,7 jours
succès (prouvé) : 40,7 %La contribution technique la plus citée dans le papier concerne les codes correcteurs d’erreur quantiques de type qLDPC, une famille de codes plus compacts que les codes de surface utilisés jusqu’ici dans la plupart des estimations. En réduisant le nombre de qubits physiques nécessaires pour encoder un seul qubit logique fiable, ces codes expliquent une bonne partie de la chute des estimations depuis 2019. IonQ n’est pas seule à explorer cette voie, mais l’entreprise revendique la première application complète à un problème cryptographique concret plutôt qu’à un exemple académique.
De 20 millions à 20 000 qubits : cinq ans d’estimations en chute libre
Pour mesurer l’ampleur du changement, il faut revenir au point de départ. En 2019, une analyse largement citée de Craig Gidney, chercheur chez Google Quantum AI, et de ses collègues estimait qu’il fallait environ 20 millions de qubits physiques bruités pour casser RSA-2048 en huit heures. En mai 2025, une révision signée par le même chercheur a fait tomber ce chiffre sous le million de qubits physiques, pour un temps de calcul de moins d’une semaine, grâce à de meilleurs algorithmes et à une correction d’erreur plus efficace. C’est une réduction d’un facteur 20 en six ans, sur RSA seul.
Sur les courbes elliptiques, la tendance est encore plus marquée. Un article de blog technique publié en 2026 par un ingénieur en cryptographie évoque des travaux de Google qui ont revu drastiquement à la baisse le nombre de qubits logiques nécessaires pour casser des courbes à 256 bits comme P-256 ou secp256k1, avec des temps d’attaque évoqués en minutes sur des architectures supraconductrices rapides. Une autre équipe, Oratomic, a publié une estimation à environ 10 000 qubits physiques sur une architecture à atomes neutres à connectivité non locale, citée notamment dans la feuille de route post-quantique de Cloudflare (Cloudflare, feuille de route post-quantique). L’estimation d’IonQ, à 19 397 qubits sur ions piégés, se situe environ au double de ce chiffre, mais avec une méthodologie plus complète et vérifiable de bout en bout.
| Date | Équipe / architecture | Cible | Qubits physiques estimés |
|---|---|---|---|
| 2019 | Gidney & Ekerå (Google) | RSA-2048 | ≈ 20 000 000 |
| Mai 2025 | Gidney (Google) | RSA-2048 | < 1 000 000 |
| 2025-2026 | Oratomic (atomes neutres) | P-256 / secp256k1 | ≈ 10 000 |
| Septembre 2026 | IonQ (ions piégés, qLDPC) | secp256k1 | 19 397 |
Le tableau se lit dans un seul sens : les barres de ressources baissent année après année, portées par de meilleurs algorithmes de post-traitement, des codes correcteurs plus denses et une modélisation plus fine des architectures matérielles. Les comparaisons chiffre contre chiffre restent imparfaites, car chaque équipe ne modélise pas les mêmes hypothèses de bruit ni la même architecture physique. Mais la direction est claire, et c’est elle qui inquiète les organismes de normalisation.
IonQ face à Google et Oratomic : trois architectures, trois paris technologiques
Les trois résultats évoqués ci-dessus ne reposent pas sur la même technologie de qubit, ce qui complique toute comparaison directe. IonQ mise sur des ions piégés, une technologie où les qubits sont des atomes chargés maintenus par des champs électromagnétiques, réputée pour ses temps de cohérence longs mais des cycles d’opération plus lents. Google travaille sur des qubits supraconducteurs, plus rapides à cadencer mais historiquement plus sensibles au bruit. Oratomic explore les atomes neutres, une piste plus récente qui promet une connectivité non locale entre qubits, un atout pour réduire le nombre de portes nécessaires dans un circuit de correction d’erreur.
Sur le papier, l’estimation d’Oratomic à 10 000 qubits physiques paraît plus favorable pour un attaquant que celle d’IonQ à 19 397. Mais IonQ insiste sur le caractère entièrement compilé de son travail, ce qui inclut les temps de cycle réels de son matériel et une modélisation détaillée des défaillances par mémoire, par facteur de production d’états magiques et par mesure. Beaucoup d’estimations antérieures s’arrêtaient au niveau du circuit logique, avec des hypothèses de bruit idéalisées. La différence méthodologique compte au moins autant que la différence de chiffres bruts.
Contexte historique : trente ans de menace théorique qui se rapproche
L’algorithme de Peter Shor date de 1994. Pendant près de trois décennies, la menace qu’il représente pour RSA et les courbes elliptiques est restée largement théorique, faute de matériel quantique suffisamment grand et fiable. Les premières estimations de ressources, publiées dans les années 2000 et 2010, parlaient de dizaines de millions de qubits parfaits, un chiffre si éloigné des capacités matérielles de l’époque qu’il servait surtout d’argument pour repousser le problème à plus tard.
Le tournant est venu des progrès en correction d’erreur quantique entre 2019 et 2026 : codes de surface optimisés, puis codes qLDPC, meilleure modélisation des taux d’erreur physiques réels, et surtout des algorithmes de post-traitement classique plus économes en qubits, notamment les travaux de Martin Ekerå sur le logarithme discret. Ces avancées ont fait chuter les estimations d’un facteur supérieur à 1 000 en un peu plus de six ans, sans qu’aucune loi physique fondamentale n’ait changé entre-temps. C’est ce déplacement progressif, plus que l’annonce isolée d’IonQ, qui a poussé le G7 à qualifier la menace quantique de risque à court terme dans son rapport du 3 septembre 2026, et l’ANSSI à fixer des échéances de certification post-quantique dès 2027.
Impact sur Bitcoin, Ethereum et le marché des cryptoactifs
Pour les détenteurs de Bitcoin et d’Ethereum, le risque concret ne concerne pas toutes les adresses de la même façon. Une adresse dont la clé publique n’a jamais été exposée sur la blockchain reste protégée par le hachage qui la précède, une couche de sécurité supplémentaire que l’attaque d’IonQ ne contourne pas directement. En revanche, toute adresse ayant déjà effectué une dépense, ou toute adresse réutilisée, expose sa clé publique en clair, ce qui la rend théoriquement vulnérable dès qu’une machine capable d’exécuter le calcul décrit par IonQ existerait.
Plusieurs analyses évoquent des millions de bitcoins dormant sur des adresses de ce type, notamment celles associées aux débuts du réseau, dont les clés publiques ont pu être révélées lors d’anciennes transactions. Aucun exploit réel n’a eu lieu, et IonQ le rappelle explicitement : son papier est un plan directeur, pas une attaque exécutée. Mais l’écart entre l’impossible et le difficile-mais-chiffrable a un effet direct sur la perception du risque par les investisseurs institutionnels, les gestionnaires de garde d’actifs et les assureurs qui commencent à intégrer la résistance post-quantique dans leurs grilles d’évaluation.
Impact sur TLS et l’infrastructure à clé publique du Web
Le risque ne se limite pas aux cryptoactifs. La grande majorité du trafic TLS chiffré aujourd’hui repose sur des échanges de clés ECDHE et des signatures de certificats ECDSA utilisant des courbes à 256 bits, le plus souvent P-256. Les estimations de ressources pour P-256 se situent dans le même ordre de grandeur que celles de secp256k1, autour de 10 000 à 20 000 qubits physiques selon l’architecture retenue. Autrement dit, le jour où une machine de la taille décrite par IonQ existerait, elle menacerait aussi bien les clés Bitcoin que les certificats TLS qui sécurisent la navigation web.
C’est ce raisonnement qui alimente depuis plusieurs années la stratégie dite du “harvest now, decrypt later” : des acteurs étatiques ou des groupes bien financés collectent déjà du trafic chiffré aujourd’hui, dans l’espoir de le déchiffrer plus tard une fois qu’une machine suffisante existera. Pour des données à durée de vie longue, comme des dossiers médicaux, des secrets industriels ou des communications diplomatiques, le calendrier de mise en danger n’est pas celui du jour où la machine existera, mais celui d’aujourd’hui, puisque les données interceptées maintenant resteront exploitables plus tard.
Ce que dit IonQ, et comment le lire
IonQ a choisi de communiquer largement sur ce résultat, dans un communiqué de presse, un billet de blog technique et un centre de ressources dédié. L’entreprise revendique avoir publié « la première estimation de ressources entièrement compilée, de bout en bout, pour casser des signatures elliptiques à 256 bits, ramenée jusqu’aux primitives de correction d’erreur quantique » (IonQ, communiqué du 8 septembre 2026).
Sur son blog technique, IonQ insiste sur la solidité de la méthode retenue : « l’estimation porte sur environ 20 000 qubits physiques et 26 jours par tentative, avec une borne inférieure rigoureuse et démontrable sur la probabilité de succès de l’algorithme, plutôt qu’un argument heuristique » (IonQ, blog technique). L’entreprise précise également, dans le même billet, qu’« un ordinateur quantique à ions piégés tolérant aux fautes, doté de 19 397 qubits physiques, pourrait achever le calcul sous-jacent en 25,7 jours par tentative, avec une borne prouvée sur la probabilité de succès » (IonQ, blog technique).
Ces déclarations, à lire comme des citations d’entreprise et non de chercheurs individuels nommément identifiés dans la communication publique, doivent être replacées dans leur contexte commercial. IonQ traverse une phase de forte visibilité médiatique et a intérêt à démontrer sa maîtrise technique face à des concurrents comme Google, IBM ou Oratomic. Cela ne rend pas le résultat scientifique moins valide, mais cela explique le choix d’une communication aussi soignée autour d’un sujet aussi anxiogène pour le secteur financier et les détenteurs de cryptoactifs.
La France et l’Europe face à une menace qui se précise
En France, l’ANSSI a déjà posé un jalon nettement plus concret que la plupart des textes européens : à partir de 2027, certains produits de sécurité vendus sur le territoire devront intégrer de la cryptographie post-quantique pour continuer à obtenir une certification. Ce calendrier avait été confirmé lors de la conférence France Quantum, à Paris, à la mi-juin 2026. La Commission européenne, de son côté, a publié en juin 2025 une feuille de route qui impose à tous les États membres d’entamer leur transition vers des algorithmes résistants au quantique avant la fin de l’année 2026, avec une échéance à 2030 pour les infrastructures critiques que sont l’énergie, la finance, la santé et les télécommunications.
Le rapport d’IonQ ne change pas ce calendrier réglementaire, mais il lui donne un ancrage matériel plus difficile à ignorer. Jusqu’ici, la migration post-quantique pouvait sembler une précaution abstraite, motivée par un risque théorique et lointain. Une estimation à moins de 20 000 qubits, documentée jusqu’aux primitives de correction d’erreur par une entreprise cotée en bourse, change la nature de la conversation dans les comités de sécurité et les conseils d’administration.
Le calendrier du “Q-Day” : entre optimisme industriel et prudence académique
Les projections sur la date d’arrivée d’un ordinateur quantique cryptographiquement pertinent, ou CRQC, divergent nettement selon la source. Une analyse relayée par la presse spécialisée en cryptoactifs cite une déclaration publique de la direction d’IonQ évoquant l’année 2028 comme horizon plausible pour un tel jalon, une projection qualifiée d’agressive mais pas impossible par les observateurs du secteur. Cet horizon suppose une montée en puissance continue du matériel à ions piégés, l’atteinte de dizaines de milliers de qubits physiques avec les taux d’erreur requis, et le déploiement à grande échelle des codes qLDPC décrits dans le papier de septembre 2026.
Les synthèses académiques plus larges restent nettement plus prudentes. Une revue des différentes projections d’experts, publiée par le chercheur en cryptographie Filippo Valsorda, situe la probabilité d’un CRQC autour de 25 % d’ici 2030 et autour de 50 % d’ici 2035 (Filippo Valsorda, chronologie du CRQC). L’écart entre 2028 et 2035 n’est pas un détail : il représente sept années de plus ou de moins pour migrer des infrastructures entières vers des algorithmes post-quantiques comme ML-KEM ou ML-DSA, déjà normalisés par le NIST depuis août 2024 (NIST, standards post-quantiques finalisés).
Cinq prévisions pour les douze à vingt-quatre prochains mois
- D’autres résultats de ressources vont suivre. Google, IBM et des équipes académiques publieront probablement des estimations concurrentes d’ici mi-2027, chacune cherchant à revendiquer la méthodologie la plus complète ou le chiffre le plus bas.
- La pression réglementaire européenne va s’accélérer. L’échéance ANSSI de 2027 et la feuille de route européenne de 2026-2030 serviront de référence dans les argumentaires commerciaux des fournisseurs de cryptographie post-quantique, qui citeront le chiffre d’IonQ comme preuve de l’urgence.
- Les portefeuilles Bitcoin et Ethereum pousseront des mises à jour de bonnes pratiques. L’attention portée aux adresses réutilisées et aux clés publiques exposées devrait s’intensifier, sans provoquer de migration technique immédiate des protocoles eux-mêmes.
- Le secteur financier accélérera ses tests hybrides. Après l’expérimentation menée en 2026 par la Banque de France avec Allianz France sur des échanges post-quantiques, d’autres institutions bancaires européennes devraient annoncer des pilotes similaires.
- Aucune machine capable d’exécuter réellement l’attaque ne verra le jour avant 2028 au plus tôt. Les contraintes d’ingénierie sur les taux d’erreur, non encore démontrées à l’échelle de 19 397 ions, resteront le principal frein, quel que soit le rythme des annonces marketing.
Que doivent faire les entreprises dès maintenant
Pour les équipes de sécurité, la première étape reste l’inventaire cryptographique : savoir précisément où et comment l’entreprise utilise RSA, ECDSA ou ECDH, dans quels systèmes, et pour combien de temps les données protégées doivent rester confidentielles. Les données à durée de vie longue, comme les dossiers de santé ou les secrets industriels, méritent une migration hybride prioritaire, combinant un algorithme classique et un algorithme post-quantique comme ML-KEM, déjà pris en charge par des bibliothèques TLS 1.3 récentes.
Pour les détenteurs de cryptoactifs, la recommandation la plus concrète reste d’éviter la réutilisation d’adresses et de privilégier des portefeuilles dont la clé publique n’est jamais exposée avant une dépense. Ce n’est pas une solution post-quantique à proprement parler, mais elle réduit la surface d’attaque tant que les protocoles eux-mêmes n’ont pas migré vers des schémas de signature résistants au quantique, un chantier que Bitcoin et Ethereum n’ont pas encore engagé de façon définitive à ce stade.
Questions fréquentes
IonQ a-t-il réellement cassé une clé Bitcoin ?
Non. Le papier publié le 3 septembre 2026 est une estimation de ressources théoriques, pas une attaque exécutée. Aucune machine de 19 397 qubits n’existe à ce jour.
Qu’est-ce que secp256k1 ?
C’est la courbe elliptique à 256 bits utilisée par l’algorithme de signature ECDSA de Bitcoin, ainsi que par la plupart des adresses classiques d’Ethereum et d’autres blockchains.
Mes bitcoins sont-ils en danger aujourd’hui ?
Non, dans l’immédiat. Le risque théorique concerne surtout les adresses dont la clé publique a déjà été exposée sur la blockchain, et il suppose l’existence d’une machine quantique qui n’existe pas encore.
Pourquoi le nombre de qubits nécessaires a-t-il autant baissé depuis 2019 ?
Grâce à de meilleurs algorithmes de post-traitement classique, à des codes correcteurs d’erreur plus compacts comme les codes qLDPC, et à une modélisation plus précise des architectures matérielles réelles.
La cryptographie post-quantique protège-t-elle déjà contre ce type d’attaque ?
Oui, lorsqu’elle est déployée. Les standards ML-KEM et ML-DSA, finalisés par le NIST en août 2024, sont conçus pour résister aux algorithmes de Shor et Ekerå qui sous-tendent le travail d’IonQ.
Quelle est la différence entre l’estimation d’IonQ et celle de Google ou d’Oratomic ?
Les trois équipes utilisent des technologies de qubits différentes (ions piégés pour IonQ, supraconducteurs pour Google, atomes neutres pour Oratomic) et des niveaux de détail méthodologique variables. IonQ revendique la modélisation la plus complète, jusqu’aux primitives de correction d’erreur.
Quand un ordinateur quantique capable de casser Bitcoin pourrait-il exister ?
Les estimations divergent fortement. IonQ évoque un horizon possible autour de 2028, tandis que des synthèses académiques plus prudentes situent la probabilité à environ 25 % d’ici 2030 et 50 % d’ici 2035.
Que doit faire une entreprise européenne dès maintenant ?
Réaliser un inventaire de ses usages cryptographiques, prioriser la migration hybride post-quantique des données à durée de vie longue, et suivre les échéances de l’ANSSI, qui a fixé 2027 comme point de départ pour ses exigences de certification.
