Bitcoin Face À La Menace Quantique : Trois Chantiers

Chaque trimestre, ou presque, un titre promet que l’ordinateur quantique ouvrira les portefeuilles Bitcoin comme on ouvre une boîte de conserve. La formule revient, se fatigue, puis revient encore. Cette semaine, pourtant, le bruit a laissé place à des chiffres, à des noms et à des choix techniques que l’on peut discuter sans recourir au folklore. Le devis estimé d’une transaction présentée comme résistante au quantique est passé d’environ 320 à 67 dollars en sept jours. Un conservateur institutionnel de premier plan a détaillé son plan de repli. Et deux propositions de protocole attendent, sur la table, que la communauté décide si elle veut migrer, contraindre, ou laisser le temps décider à sa place.

Le sujet n’est pas de savoir si une machine capable de vider les adresses exposées existe déjà. Elle n’existe pas. Le sujet est de savoir comment un réseau lent par construction, gouverné par le consensus et jaloux de chaque octet, se prépare à une rupture cryptographique dont la date reste floue, mais dont le mécanisme, lui, est parfaitement identifié. Trois chantiers avancent en parallèle. Aucun ne suffit seul. Ensemble, ils dessinent déjà une carte plus précise que les annonces alarmistes.

Trois chantiers, une seule échéance floue

Le premier chantier ne touche pas au consensus. Il cherche à faire passer, sous les règles actuelles, des transactions dont la dépense ne repose plus sur la courbe elliptique habituelle. Le deuxième passe par le protocole : de nouveaux types de sorties, puis éventuellement l’extinction progressive des signatures héritées. Le troisième se joue chez les conservateurs, là où des centaines de milliards d’actifs institutionnels sont déjà découpés entre plusieurs machines. Chacun de ces fronts a son calendrier, son coût et sa zone d’ombre.

Avant d’entrer dans le détail, il faut poser le décor sans dramatiser. Bitcoin protège les fonds par une asymétrie mathématique. Relier une clé privée à une clé publique est facile. Remonter de la clé publique à la clé privée est, avec les ordinateurs classiques, impraticable à l’échelle d’une vie humaine, et même de plusieurs civilisations. L’algorithme de Shor, exécuté sur un ordinateur quantique suffisamment stable, casserait cette asymétrie. Il ne « devinerait » pas un mot de passe. Il exploiterait la structure du problème. De la clé publique visible, il reconstruirait la clé privée, forgerait une signature valide et viderait l’adresse.

Le secteur a donné un nom à cette hypothèse : le Q-Day. Le mot est commode, presque trop. Il suggère une date unique, un matin où tout bascule. La réalité technique sera plus graduelle. Une machine capable de casser une courbe de démonstration n’est pas une machine capable de casser la courbe de Bitcoin dans la fenêtre d’un bloc. Entre les deux, il y a des ordres de grandeur, du bruit, de la correction d’erreurs, et une course entre la puissance disponible et la migration des fonds. C’est précisément cette zone grise que les trois chantiers tentent d’occuper avant que le calendrier ne se resserre davantage.

Shor, la courbe elliptique et le compte à rebours

Pour comprendre pourquoi le débat revient sans cesse, il faut accepter une idée simple. La sécurité de Bitcoin ne repose pas sur le secret du code. Le code est public. Elle repose sur la difficulté d’un problème mathématique précis, celui du logarithme discret sur courbe elliptique. Tant que ce problème reste dur, une signature ne se forge pas. Dès qu’il devient facile pour une classe de machines, la signature ne prouve plus rien. Le registre continuerait de fonctionner. Les blocs continueraient d’être trouvés. Mais la preuve de propriété, elle, changerait de nature.

Les estimations de puissance nécessaire se resserrent d’année en année, sans jamais se transformer en échéancier fiable. Craig Gidney, chercheur chez Google Quantum AI, a revu ses calculs en 2025. Selon lui, moins d’un million de qubits bruités suffiraient à casser une clé RSA-2048 en moins d’une semaine. En 2019, le même calcul en réclamait vingt millions. Le rapprochement est spectaculaire. Il ne dit pas que Bitcoin tombera la semaine prochaine. RSA-2048 n’est pas la courbe de Bitcoin, et un qubit bruité n’est pas un qubit logique corrigé. Il dit autre chose : les ordres de grandeur bougent, et ils bougent dans un seul sens.

À titre de comparaison, le processeur Willow, présenté par Google fin 2024, aligne 105 qubits. Le fossé reste immense. Pour la courbe elliptique utilisée par Bitcoin, le compteur ecdsa.fail situait fin août le seuil à 813 qubits logiques. En 2017, l’estimation tournait autour de 2 330. Là encore, la baisse ne vaut pas prophétie. Elle vaut rappel. Ce qui semblait hors de portée à l’horizon d’une génération se discute désormais en centaines de qubits logiques, un objet que les laboratoires n’ont pas encore, mais dont la feuille de route n’est plus purement théorique.

Le Q-Day n’est pas une date inscrite dans un calendrier. C’est le moment où remonter d’une clé publique à une clé privée cesse d’être un exploit de laboratoire pour devenir une opération réalisable dans la fenêtre utile d’une dépense.

Cette fenêtre utile mérite qu’on s’y arrête. Sur Bitcoin, une transaction n’est pas instantanément irréversible au sens social du terme, mais elle devient très difficile à défaire après quelques confirmations. Un attaquant quantique n’a pas besoin de rester invisible pendant des mois. Il a besoin d’extraire une clé, de signer, et de faire inclure sa transaction avant que le propriétaire légitime ne déplace lui-même les fonds, ou avant qu’un mécanisme de réseau ne rende l’ancienne signature inutile. Plus la cryptanalyse est lente, plus le détenteur a de temps. Plus elle est rapide, plus la course se joue à l’intérieur d’un bloc, voire de quelques blocs.

C’est pourquoi les comparaisons avec RSA, utiles pour mesurer les progrès des laboratoires, ne se transposent pas mécaniquement. Casser une clé de démonstration de quelques bits prouve une méthode. Casser une clé de production prouve une capacité. Entre les deux, la correction d’erreurs, le nombre de portes, le temps de cohérence et le coût énergétique font le vrai travail. Le discours public aime les seuils ronds. L’ingénierie, elle, vit dans les marges.

Combien de bitcoins sont vraiment exposés

L’exposition ne se mesure pas en « tout Bitcoin » ou « rien ». Elle se mesure adresse par adresse, selon un critère très concret : la clé publique a-t-elle déjà circulé en clair sur le registre ? Lors d’une première dépense depuis une adresse classique, cette clé s’inscrit dans la transaction. Avant cela, le réseau ne voit souvent qu’un empreinte, un hash. Shor a besoin de la clé publique, pas du hash. Les pièces qui dorment sur des adresses jamais dépensées ne sont donc pas dans le même bateau que celles qui ont déjà bougé.

Il existe une exception historique, et elle pèse lourd. Le format des origines, dit P2PK, affiche la clé publique dès la réception des fonds. Pas besoin d’attendre une dépense. Le lot est visible tout de suite. Une étude de Deloitte, déjà ancienne, chiffrait la part vulnérable à plus de 4 millions de BTC, soit environ un quart de l’offre de l’époque. Le million attribué à Satoshi Nakamoto en fait partie. Ces chiffres ne sont pas un inventaire notarié. Ils restent l’ordre de grandeur le plus cité, et ils suffisent à rendre le sujet matériel : on ne parle pas d’une poche anecdotique.

Cette distinction change la conversation des détenteurs. Quelqu’un qui n’a jamais dépensé depuis une adresse moderne n’est pas dans la même urgence que le détenteur d’une sortie ancienne dont la clé est déjà publique. Quelqu’un qui réutilise ses adresses, pratique longtemps déconseillée pour des raisons de vie privée, élargit au passage sa surface quantique. La réutilisation n’était pas un péché quantique à l’origine. Elle le devient, rétrospectivement, parce qu’elle publie exactement l’objet dont Shor a besoin.

Le marché institutionnel a commencé à écrire ce risque noir sur blanc. BlackRock a inscrit le risque quantique dans le prospectus de son ETF iShares Bitcoin Trust. Ce n’est pas une prévision de cours. C’est une clause de prospectus : un facteur que l’émetteur juge assez sérieux pour le porter à la connaissance des souscripteurs. Quand un produit régulé mentionne une menace cryptographique, le sujet sort du cercle des cryptographes. Il entre dans le langage du devoir d’information.

Du côté des démonstrations, Project Eleven a remis en avril son Q-Day Prize, doté d’un bitcoin, à Giancarlo Lelli. Ce chercheur a cassé une clé elliptique de 15 bits sur une machine quantique accessible au public. Une adresse Bitcoin en utilise 256. L’écart est abyssal, et il faut le dire clairement pour ne pas transformer un prix de recherche en alerte rouge. Mais un prix public, versé en bitcoin, pour une casse réelle sur machine réelle, a une fonction : il rend la trajectoire visible. On ne célèbre pas la fin du réseau. On mesure la distance qui reste.

Il faut ajouter une nuance que les titres oublient souvent. Même une adresse « saine », dont la clé n’a jamais été publiée, devient exposée au moment où son propriétaire la dépense, si la dépense révèle la clé et si un attaquant peut calculer plus vite que le réseau ne confirme. C’est le scénario dit de la fenêtre de mempool. Il ne concerne pas les pièces dormantes. Il concerne l’acte de bouger. Le jour où la cryptanalyse serait assez rapide, dépenser deviendrait lui-même un risque, sauf à disposer d’un format qui ne révèle rien d’utile à Shor, ou qui s’appuie sur une signature que Shor ne casse pas.

Pourquoi le réseau ne peut pas simplement « changer d’algorithme »

Changer l’algorithme de signature d’une application bancaire est déjà un projet. Le changer sur Bitcoin est autre chose. Il n’y a pas d’administrateur. Il n’y a pas de week-end de maintenance. Chaque nœud vérifie les mêmes règles. Une signature plus grosse occupe plus de place dans un bloc dont la capacité est disputée. Une règle nouvelle ne s’active que si une masse critique de mineurs, de nœuds et d’utilisateurs économiques l’accepte. Le précédent Taproot le rappelle mieux qu’un discours. Gregory Maxwell a proposé cette évolution en janvier 2018. L’activation n’est intervenue qu’en novembre 2021, près de quatre ans plus tard.

Quatre ans, pour un changement voulu, compris, et relativement peu controversé dans son principe, donnent la mesure du temps politique du protocole. Un basculement post-quantique serait plus lourd. Il toucherait à la taille des transactions, à la compatibilité des portefeuilles, aux conservateurs, aux places de marché, et éventuellement au sort des fonds qui ne migrent pas. Croire qu’on « appuiera sur un bouton » le jour où un laboratoire publiera un papier est une erreur de calendrier. La préparation doit donc commencer tant que la menace reste hypothétique. C’est inconfortable. C’est aussi la seule fenêtre où l’on peut encore choisir sans panique.

Cette lenteur n’est pas un défaut accidentel. Elle est le prix de l’absence de chef. Un réseau qui peut être mis à jour en une nuit par une équipe centrale n’a pas le même modèle de confiance. Bitcoin a choisi l’autre modèle. La conséquence, rarement dite aussi clairement, est qu’une menace cryptographique à horizon incertain doit être traitée comme un chantier de gouvernance autant que comme un chantier de mathématiques. Les trois fronts de cette semaine illustrent exactement cette double nature.

StarkWare et la chute du devis, de 320 à 67 dollars

Le premier chantier a le mérite d’être déjà visible sur le réseau principal. La méthode portée par StarkWare a permis de miner, le mois dernier, une première transaction Bitcoin présentée comme quantum-safe, sans modifier les règles de consensus. L’entreprise a ensuite ouvert, avec Eigen Labs, une compétition publique pour en faire baisser le coût. En une semaine, le devis estimé est tombé d’environ 320 à 67 dollars. Les modèles d’intelligence artificielle dominent les classements. Le chiffre est assez net pour sortir du registre de la promesse.

Soixante-sept dollars, ce n’est pas anodin, et ce n’est pas non plus un tarif de détail pour une dépense ordinaire. C’est le prix d’une construction lourde, vérifiée dans les règles actuelles, qui encode une preuve plutôt qu’une signature elliptique classique. La baisse rapide dit deux choses. D’abord, le coût initial n’était pas une loi de la nature : il y avait de l’optimisation à prendre, et la compétition l’a prise. Ensuite, l’optimisation peut aller vite quand le problème est bien posé et que des équipes, humaines ou automatiques, se disputent le même objectif mesurable.

StarkWare parle elle-même d’un contournement. Le mot est important. Les transactions produites sont non standard. Elles ne bénéficient pas du relais habituel entre nœuds. Pour les faire entrer dans un bloc, il faut passer par un mineur coopératif. Autrement dit, la parade existe sur le registre, mais elle ne circule pas comme une transaction banale. Elle dépend d’un accord de place. Ce n’est pas un détail d’implémentation. C’est une limite de déploiement. Une protection que seuls quelques mineurs acceptent de regarder n’est pas une protection de réseau.

Surtout, le procédé ne protège que les bitcoins dont la clé publique n’a jamais été exposée. Il ne répare pas le passé visible. Il offre un chemin à ceux qui peuvent encore dépenser sans avoir déjà publié la clé, en s’appuyant sur une construction que Shor ne casse pas de la même manière. C’est précisément pour cette raison que l’entreprise voit dans le soft fork la vraie réponse de long terme. Le contournement achète du temps et de l’expérience. Il ne remplace pas une règle commune.

Un devis qui chute de 320 à 67 dollars en sept jours prouve que l’ingénierie avance. Il ne prouve pas que le réseau, lui, a déjà changé de règles.

Il faut aussi lire la compétition pour ce qu’elle est : un banc d’essai. Quand des modèles d’intelligence artificielle dominent un classement d’optimisation de preuves, on apprend quelque chose sur la vitesse à laquelle un coût jugé prohibitif peut fondre. On n’apprend pas encore comment dix mille portefeuilles, trois conservateurs et une dizaine de places intégreront la chose sans erreur. Le passage du papier à la transaction minée est une étape. Le passage de la transaction minée au geste quotidien en est une autre, beaucoup plus longue.

Pour le détenteur individuel, la leçon immédiate est modeste. Il ne s’agit pas de « passer en quantum-safe » en cliquant sur un bouton d’un portefeuille grand public. Il s’agit de savoir que des équipes savent déjà produire, sous les règles actuelles, une dépense qui ne repose plus sur la seule courbe elliptique, à un coût qui vient d’être divisé par près de cinq. Le geste reste artisanal, non standard, et réservé aux fonds dont la clé n’a pas circulé. C’est peu pour une promesse marketing. C’est beaucoup pour une preuve de faisabilité.

Ce que le contournement ne couvre pas

Lister les trous est plus utile que vanter la première. Le contournement ne réécrit pas l’historique. Les millions de pièces déjà associées à une clé publique visible restent visibles. Il ne standardise pas le relais : sans mineur volontaire, la transaction n’entre pas. Il ne règle pas la question des portefeuilles matériels, des places de marché, ni des processus de conformité qui exigent une transaction reconnaissable. Il ne dit rien, enfin, du jour où il faudra dépenser une pièce ancienne dont la clé est déjà dans le registre. Pour celle-là, la course est différente. Il faut la déplacer vers un format sûr avant qu’un tiers ne le fasse à votre place.

Cette limite explique pourquoi le chantier hors consensus et le chantier de protocole ne sont pas en concurrence marketing. Ils répondent à des horizons différents. L’un montre qu’on peut déjà faire quelque chose sans attendre l’unanimité. L’autre cherche l’unanimité, précisément parce que sans elle la protection reste un couloir privé. Une industrie accusée d’improviser a, sur ce point, séparé les rôles avec une certaine clarté. Le prototype d’un côté. La règle de l’autre. Le conservateur au milieu, qui ne peut attendre ni l’un ni l’autre pour dire à ses clients institutionnels comment les clés sont gardées.

On peut même voir dans la baisse de 320 à 67 dollars un argument politique, au sens du protocole. Plus le contournement est cher, plus il reste une curiosité. Plus il devient abordable, plus il sert de pression douce : voilà ce que l’on sait déjà faire, voilà ce que cela coûte, voilà pourquoi une règle commune serait moins bancale. Les soft forks bitcoin n’avancent pas seulement parce qu’un papier est élégant. Ils avancent quand le coût de l’inaction devient descriptible.

BIP-360, ou le Taproot sans la porte la plus exposée

Le deuxième chantier s’écrit en propositions, pas encore en règles actives. Le BIP-360, aussi appelé P2MR, est porté par Hunter Beast et Ethan Heilman. L’idée est de proposer un nouveau type de sortie. Il reprend l’esprit de Taproot, cette évolution qui a rendu les dépenses plus compactes et plus discrètes, mais il retire la dépense par clé publique, précisément la voie la plus exposée à un adversaire quantique. On garde une structure moderne. On ferme la porte que Shor saurait forcer.

Les signatures post-quantiques standardisées par le NIST en août 2024 viendraient ensuite prendre place dans ce cadre. L’ordre des opérations compte. On ne remplace pas tout le parc d’adresses d’un coup. On crée d’abord un endroit où envoyer les fonds, un endroit dont le chemin de dépense ne publie pas la clé elliptique comme unique serrure. Puis on y branche des algorithmes que les organismes de normalisation jugent résistants aux machines quantiques connues. Le BIP prépare le terrain. Il ne décrète pas le jour du déménagement.

Pourquoi retirer la dépense par clé, plutôt que simplement « ajouter » une signature nouvelle à côté ? Parce que, dans Taproot, le chemin le plus courant est aussi le plus économe, et c’est celui qui révèle la clé. Si ce chemin reste ouvert, un attaquant futur n’a pas besoin de s’attaquer au reste de la structure. Il prend la porte principale. Fermer cette porte oblige la dépense à passer par un script, donc par un chemin que l’on peut faire reposer sur autre chose. Le prix est une perte de compacité et de discrétion. Le gain est une surface d’attaque réduite. Tout le débat de conception tient dans cet échange.

P2MR n’est pas, à ce stade, une promesse d’activation. Un BIP est un texte. Il peut rester des années en discussion, être réécrit, être concurrencé par une autre proposition, ou être absorbé. Son intérêt immédiat est ailleurs. Il donne un vocabulaire commun. Les portefeuilles, les conservateurs et les chercheurs peuvent tester la même idée au lieu de juxtaposer des prototypes incompatibles. Dans un réseau sans chef de projet, le texte partagé est déjà une infrastructure.

BIP-361 et le gel possible des fonds non migrés

Le BIP-361, cosigné par Jameson Lopp, va plus loin, et c’est là que la technique devient politique. Il prévoit d’éteindre par phases les signatures héritées. Traduction concrète : après des délais, les anciennes façons de signer ne seraient plus acceptées. Les fonds qui n’auraient pas été déplacés vers un format nouveau ne pourraient plus bouger. Le mot juste, même s’il est dur, est le gel.

Pourquoi envisager une mesure aussi radicale ? Parce qu’un parc d’adresses anciennes, aux clés déjà publiques, constitue une réserve que le premier acteur capable de Shor pourrait tenter de vider. Si ces pièces restent indéfiniment dépensables avec l’ancienne signature, le réseau conserve une porte ouverte après avoir construit la porte neuve. Éteindre l’ancienne signature, c’est fermer cette porte. Le coût social est évident. Des pièces perdues, oubliées, ou détenues par des personnes qui ne migrent pas à temps deviendraient immobiles. Le million attribué à Satoshi, s’il n’est pas déplacé, entrerait dans cette catégorie. Le geste n’est donc pas un réglage. C’est un choix de société monétaire.

Les défenseurs d’une extinction progressive font valoir un argument de propreté. Mieux vaut un gel annoncé, étalé sur des phases, qu’une course le jour où la cryptanalyse devient pratique. Les opposants répondent que Bitcoin n’a pas à confisquer, même par inaction forcée, des fonds dont les propriétaires sont simplement absents. Les deux positions sont cohérentes. Elles ne parlent pas de la même priorité. L’une protège le registre futur contre un pillage massif. L’autre protège la promesse qu’une sortie valide le reste, tant que les règles sous lesquelles elle a été créée ne sont pas reniées.

Éteindre les signatures héritées, c’est accepter qu’une pièce non migrée cesse d’être dépensable. Ne pas les éteindre, c’est accepter qu’une pièce exposée reste une proie.

Le phasage est la tentative de réconcilier les deux. On n’éteint pas tout un matin. On annonce, on laisse des années, on restreint d’abord certains chemins, on maintient une fenêtre de migration, puis on ferme. Encore faut-il que la fenêtre soit réelle : des portefeuilles à jour, des places qui créditent le nouveau format, des conservateurs capables de signer, une pédagogie qui touche au-delà des forums techniques. Un gel théoriquement annoncé et pratiquement invisible serait le pire des deux mondes. Il punirait les absents sans avoir donné aux présents les outils du déménagement.

Il faut aussi mesurer l’effet sur l’offre perçue. Des millions de pièces gelées ne sont pas des pièces vendues. Elles sortent du flottant. Selon les récits, on y verra une raréfaction ou une confiscation déguisée. Le protocole, lui, n’a pas d’intention. Il appliquera la règle que les nœuds auront choisi d’appliquer. D’où l’importance de traiter le BIP-361 comme un débat de légitimité, pas seulement comme une optimisation de sécurité. La sécurité qui rompt la promesse initiale peut gagner la bataille cryptographique et perdre la bataille sociale. L’inverse laisse une proie sur la table.

Le poids des signatures, ou la note salée du blockspace

Même si le principe était acquis, la place dans le bloc resterait un obstacle. Une signature Schnorr occupe 64 octets. C’est l’élégance actuelle de Bitcoin : peu de données, une vérification rapide, des transactions que le réseau sait absorber. Les candidats post-quantiques retenus dans la discussion n’ont pas cette légèreté. ML-DSA réclame près de 2,5 kilo-octets. SLH-DSA dépasse les 7 kilo-octets. On parle d’un facteur qui peut aller jusqu’à plus de cent fois le poids d’une signature Schnorr.

Ce n’est pas un détail d’esthétique. Le blockspace est la ressource rare du réseau. Une signature plus lourde, c’est moins de paiements par bloc, des frais plus sensibles à la congestion, et des incitations différentes pour les mineurs. À volume égal d’activité, le réseau deviendrait plus cher à utiliser, ou plus lent à absorber les pics. Les défenseurs des nouveaux algorithmes répondent que la sécurité n’est pas négociable, et qu’on peut réserver les grosses signatures aux chemins qui en ont vraiment besoin. Les sceptiques demandent lequel de ces algorithmes le réseau peut encaisser sans se transformer en pipeline réservé aux grosses transactions.

Le choix entre ML-DSA et SLH-DSA n’est donc pas seulement un choix de cryptographe. C’est un choix d’économie du bloc. Une signature de 2,5 kilo-octets pèse déjà lourd face à 64 octets. Une signature de plus de 7 kilo-octets change l’échelle. On peut imaginer des usages hybrides, des agrégations, des preuves qui compressent la vérification, exactement dans l’esprit du contournement StarkWare. Chaque couche ajoutée pour compenser le poids est une couche de complexité, de risques d’implémentation, et de délais. Le blockspace est le lieu où la menace quantique cesse d’être un sujet de laboratoire pour devenir un sujet de frais.

Il existe une tentation, face à ces chiffres, de repousser le choix en espérant qu’un schéma plus compact apparaisse. La tentation est raisonnable, et dangereuse. Raisonnable, parce que standardiser trop tôt un algorithme lourd fige un coût pour des années. Dangereuse, parce que le temps de gouvernance, on l’a vu avec Taproot, se compte en années même quand le choix est mûr. Attendre le schéma parfait et attendre le consensus sont deux attentes qui se cumulent. Le BIP-360 a précisément l’intérêt de séparer les temps : préparer le type de sortie maintenant, brancher l’algorithme quand le standard et le poids seront jugés acceptables.

Les portefeuilles devront, eux, apprendre à expliquer ce poids. Un utilisateur qui voit des frais multipliés ne lira pas un papier du NIST. Il lira un montant. Si la migration post-quantique se traduit par une note salée sans pédagogie, elle sera retardée par ceux-là mêmes qu’elle est censée protéger. Le coût de 67 dollars du contournement actuel est déjà une indication. Une protection qui coûte le prix d’un repas pour certains et le prix d’un loyer pour d’autres ne se diffuse pas uniformément. La sécurité cryptographique a toujours eu un prix. Ici, le prix se voit dans le bloc.

Le précédent Taproot, mesure du temps politique

Revenir sur Taproot n’est pas une digression historique. C’est le seul grand précédent récent de modification du langage de script acceptée par le réseau. Proposé en janvier 2018, activé en novembre 2021. Entre les deux : relectures, débats sur la méthode d’activation, inquiétudes de mineurs, pédagogie, puis un déploiement que les portefeuilles ont mis encore du temps à rendre naturel. Pour l’utilisateur moyen, Taproot est longtemps resté invisible. C’est le signe d’une activation réussie. C’est aussi le signe qu’entre la règle et l’usage, il faut compter une seconde horloge.

Un chantier post-quantique cumulerait cette seconde horloge avec une controverse plus forte. Taproot n’éteignait pas les anciennes signatures. Il ajoutait un chemin. Le BIP-361, lui, parle d’extinction. Le seuil d’acceptation n’est pas le même. On peut très bien voir un type de sortie nouveau adopté relativement largement, et un gel refusé, ou repoussé, ou réservé à une phase que personne ne veut dater. Les deux textes ne forment pas un paquet indivisible. Les lire comme un seul « plan quantique » serait une simplification. L’un prépare une porte. L’autre propose de murer les anciennes.

Cette séparation est une bonne nouvelle pour la lisibilité du débat. On peut être favorable à un format de réception qui ne repose plus sur la clé elliptique, et hostile à toute extinction forcée. On peut juger l’extinction nécessaire, et trouver P2MR incomplet. Le consensus bitcoin se construit souvent par découpage. Plus les décisions sont séparables, plus chacune a une chance d’être tranchée sur son mérite, plutôt que d’échouer en bloc parce qu’un seul point fait dissensus.

Coinbase, 250 milliards, et le mur du découpage de clé

Le troisième front ne se joue pas dans un dépôt de BIP. Il se joue dans les chambres fortes logicielles des conservateurs. Yehuda Lindell, responsable de la cryptographie chez Coinbase, a détaillé cette semaine la stratégie de la plateforme. L’enjeu chiffré est massif : environ 250 milliards de dollars d’actifs institutionnels sous garde. À cette échelle, on ne « migre » pas comme un particulier qui envoie ses pièces vers une adresse neuve un dimanche soir. On migre des procédures, des quorums, des audits, des assurances, et des clients qui ont signé des mandats.

La plateforme bâtit donc une custody post-quantique capable de s’adapter au schéma de signature que Bitcoin finira par adopter. L’humilité de la formule est notable. Elle ne parie pas sur un algorithme unique déjà vainqueur. Elle prépare une conservation qui pourra suivre le standard, quel qu’il soit, dans la famille des schémas discutés. Pour un conservateur, attendre que le protocole ait tranché pour commencer à réfléchir serait une faute. Les cycles d’achat matériel, d’homologation et de revue de sécurité se comptent en trimestres, parfois en années.

Le point dur tient au découpage de clé. Aujourd’hui, les conservateurs sérieux n’entreposent pas une clé privée dans un unique coffre. Ils l’éclatent en fragments répartis entre plusieurs machines, plusieurs sites, plusieurs équipes. C’est le principe du calcul multipartite, le MPC. Aucun fragment seul ne signe. La signature naît d’un protocole entre les fragments, sans que la clé complète ne soit jamais reconstituée. Cette architecture est devenue le standard de fait de la conservation institutionnelle. Elle limite le vol interne, le compromis d’un site, et la dépendance à un seul équipement.

Or les algorithmes retenus par le NIST ne se prêtent pas tous à cette découpe. Un schéma peut être parfaitement sûr contre un adversaire quantique, et très malcommode à partager entre plusieurs parties sans reconstruire le secret. Coinbase envisage ainsi un repli matériel si le standard choisi se révélait incompatible avec le MPC. En clair : si l’on ne peut plus éclater la clé proprement, on revient à des modules matériels, des enclaves, des cérémonies de signature plus classiques, avec ce que cela implique de procédures physiques et de concentration du risque.

Ce repli n’est pas un aveu d’échec. C’est un plan B nommé avant d’en avoir besoin. Il dit aussi quelque chose au reste du marché. Le premier conservateur institutionnel ne attend pas le Q-Day pour choisir entre découpage et matériel. Il traite l’incompatibilité possible comme un paramètre de conception. Pour les clients qui comparent les offres de garde, la question quantique va cesser d’être un paragraphe de risque pour devenir une question d’architecture : votre garde tient-elle si le schéma gagnant ne se découpe pas ?

Pourquoi le MPC et le matériel ne sont pas interchangeables

Le calcul multipartite et le module matériel ne protègent pas contre les mêmes fautes. Le MPC disperse le secret. Il complique le vol, parce qu’il faut compromettre plusieurs parts, souvent dans des environnements distincts. Il complique aussi la vie de l’opérateur : latence, disponibilité, cérémonies de rafraîchissement, casse d’un fragment. Le matériel concentre la protection dans un objet certifié, difficile à extraire, mais physique, donc volable, saisissable, destructible, et dépendant d’une chaîne d’approvisionnement. Passer de l’un à l’autre n’est pas un réglage dans un fichier. C’est un changement de modèle de menace.

Si le schéma post-quantique finalement retenu par Bitcoin se prête mal au partage, les conservateurs qui ont vendu le MPC comme avantage distinctif devront expliquer un retour partiel au coffre. Ce n’est pas injouable. C’est un récit différent, plus proche de la conservation d’actifs traditionnels, avec des salles, des quorums humains, des doubles contrôles. Les clients institutionnels connaissent ce récit. Ils l’ont parfois quitté précisément parce que le découpage logiciel promettait de ne plus faire reposer la survie d’une clé sur un lieu. Le plan de Coinbase consiste à ne pas être pris de court le jour où le récit devra être réécrit.

Pour le particulier, l’écho est plus simple. Un portefeuille matériel actuel signe avec la courbe elliptique. Le jour où le réseau n’acceptera plus cette courbe, l’appareil devra savoir produire la nouvelle signature, ou céder la place à un autre appareil. Les fabricants ont le même problème de calendrier que les conservateurs, en plus petit : ils ne peuvent pas graver dans le silicium un algorithme que le protocole n’a pas choisi. D’où l’intérêt, là aussi, de préparer des architectures adaptables plutôt que de parier sur un seul schéma.

Ce que les trois chantiers ne règlent pas

Aucune de ces briques ne rend Bitcoin résistant au quantique à elle seule. Le contournement StarkWare ne couvre pas les clés déjà publiques, et ne circule pas tout seul. Les BIP attendent une activation qui, si l’on en croit le précédent Taproot, ne se décrète pas. Le plan de Coinbase protège une conservation, pas le registre. Et aucune machine capable de déclencher le Q-Day n’existe à ce jour. Le tenir pour acquis serait aussi faux que le tenir pour impossible à horizon utile.

Ce que la semaine change, c’est la texture de la préparation. Le prix d’une transaction blindée a chuté de 320 à 67 dollars en sept jours. Le premier conservateur institutionnel du marché travaille déjà un repli matériel. Deux textes de protocole posent, l’un une porte nouvelle, l’autre une extinction possible. Pour une industrie qu’on accuse volontiers d’improviser, l’écart entre le discours et l’ingénierie s’est réduit. La menace n’a pas avancé d’un cran mesurable cette semaine. La réponse, si.

Reste la question que tout détenteur finit par poser : que faire de ses propres pièces ? La réponse honnête tient en quelques gestes, pas en un produit. Ne pas réutiliser les adresses. Savoir si la clé publique a déjà été exposée. Ne pas confondre une transaction non standard à 67 dollars avec une migration de réseau. Suivre les textes, sans les prendre pour des règles actives. Et se méfier des services qui vendraient une « protection quantique » clé en main avant que le protocole ait quoi que ce soit à protéger. L’arnaque précède souvent la norme. Ici, elle aura un terrain fertile, parce que la peur est plus simple à vendre que le blockspace.

Le particulier, le fonds dormant et la fenêtre de dépense

Imaginons trois situations, sans en faire des conseils personnalisés. Première situation : des pièces reçues sur une adresse moderne, jamais dépensée. La clé publique n’est pas dans le registre. Shor n’a pas d’objet à attaquer. Le risque immédiat est faible. Le risque différé apparaît le jour de la dépense, si la dépense révèle la clé et si un adversaire est alors assez rapide. Deuxième situation : des pièces déjà dépensées partiellement, ou reçues sur une adresse réutilisée. La clé est publique. Le lot est dans le périmètre vulnérable le jour où la machine existera. Troisième situation : un format historique qui a publié la clé dès l’origine. Même logique que la deuxième, avec une ancienneté qui rend souvent le propriétaire plus difficile à joindre.

Dans les deux dernières situations, la migration utile consiste à déplacer les fonds vers un format qui ne dépend plus de la courbe, avant qu’un tiers ne puisse signer à votre place. Ce format n’est pas encore une règle standard du réseau. Il existe à l’état de contournement coûteux et non relayé, et à l’état de proposition. D’ici là, le geste le plus concret reste de connaître son exposition, et de ne pas aggraver la surface par des réutilisations inutiles. La panique qui consisterait à brasser toutes ses pièces vers des services tiers « quantiques » créerait un risque opérationnel bien plus immédiat que la machine qui n’existe pas.

Les fonds dormants depuis plus d’une décennie posent un problème que la technique ne résout pas. Personne ne peut migrer à la place d’un propriétaire absent, sauf à casser précisément la promesse du registre. Si une extinction des signatures héritées était un jour activée, ces fonds s’immobiliseraient. S’ils restaient dépensables, ils resteraient une cible. Il n’y a pas de troisième voie magique qui protège à la fois l’absent et le réseau. Il y a un choix, et il n’est pas encore fait. Le dire clairement évite les deux slogans : « vos bitcoins vont disparaître » et « il n’y a rien à préparer ».

Places de marché, ETF et devoir d’information

L’inscription du risque quantique dans un prospectus d’ETF n’est pas une anecdote de juriste. Elle déplace la charge. Un émetteur qui décrit un risque doit pouvoir, plus tard, dire ce qu’il a fait. Les conservateurs sous-jacents aux produits cotés seront interrogés sur leur plan, exactement comme Coinbase commence à l’être sur le sien. Les places qui détiennent des soldes clients dans des formats anciens auront la même conversation, en interne d’abord, puis avec leurs régulateurs. Le Q-Day hypothétique devient un sujet de contrôle, bien avant d’être un sujet de bloc.

Cela a une conséquence pour le récit public. Tant que le sujet restait cantonné aux chercheurs, on pouvait le balancer d’un revers de main comme un épouvantail. Dès qu’il figure dans un document d’offre, il devient un élément de comparaison entre produits. Tel émetteur en parle, tel autre non. Tel conservateur a un plan de repli matériel, tel autre parie que le MPC suffira. La qualité de ces plans sera difficile à auditer pour le non-spécialiste. Elle le sera moins pour les équipes de risque des allocataires. C’est souvent par ce canal, et non par les forums, que les normes finissent par s’imposer.

On peut regretter que le premier écrit institutionnel largement visible soit une clause de risque plutôt qu’un calendrier de migration. C’est pourtant l’ordre naturel. On documente avant de savoir résoudre. Les trois chantiers de cette semaine commencent à remplir le vide entre la clause et le geste. Un coût qui baisse. Un texte qui propose une porte. Un texte qui propose une fermeture. Un conservateur qui nomme son plan B. Ce n’est pas une feuille de route unique. C’est un début de feuille de route distribuée, conforme à la manière dont Bitcoin décide.

Mineurs coopératifs, transactions non standard et souveraineté

Le besoin d’un mineur coopératif pour inclure les transactions du contournement mérite un développement à part. Bitcoin a toujours distingué les transactions valides et les transactions standard. Une transaction peut respecter les règles de consensus, donc être légale si elle est dans un bloc, et ne pas être relayée par les nœuds, parce qu’elle sort des politiques de mempool. Cette distinction protège le réseau contre des constructions exotiques qui encombreraient la mémoire des nœuds. Elle crée aussi un goulet : pour faire miner l’exotique, il faut un accord direct.

Dans un contexte quantique, ce goulet a un goût politique. Si la seule protection disponible avant un soft fork dépend de quelques mineurs volontaires, la protection n’est pas uniforme. Elle est géographique, relationnelle, peut-être tarifaire. Un détenteur qui connaît un pool coopératif n’est pas dans la même situation qu’un détenteur qui ne connaît que le bouton d’envoi de son portefeuille. Le contournement est une prouesse. Il est aussi, tant qu’il reste non standard, une inégalité d’accès. C’est un argument de plus en faveur d’une règle commune, qui remettrait tout le monde dans le relais ordinaire.

Les pools, de leur côté, n’ont pas qu’un rôle technique. Inclure une transaction lourde et inhabituelle a un coût d’opportunité. Le bloc a une taille. Chaque octet donné à une preuve quantum-safe est un octet retiré à d’autres frais. La baisse du devis de 320 à 67 dollars rend l’arbitrage moins douloureux, sans le faire disparaître. Si la demande de ce type de transactions augmentait, les pools devraient afficher une politique : on prend, on ne prend pas, on prend au-dessus de tel tarif. Cette politique deviendrait, de fait, une partie de la gouvernance de transition. Mieux vaut la voir venir que la découvrir dans une file d’attente.

Intelligence artificielle et optimisation des preuves

Un détail de la compétition mérite qu’on s’y arrête, parce qu’il dit quelque chose de la vitesse. Ce sont des modèles d’intelligence artificielle qui dominent les classements d’optimisation du coût. On peut s’en réjouir comme d’un outil, sans en faire une magie. Un modèle qui explore des réécritures de circuit plus vite qu’une équipe humaine accélère une baisse de devis. Il n’écrit pas le soft fork. Il ne tranche pas le gel. Il ne choisit pas l’algorithme du NIST à la place du réseau. Il comprime le temps d’une étape, celle de l’optimisation, qui était précisément l’étape où l’on craignait un coût rédhibitoire.

La leçon est double. D’abord, un prix annoncé un lundi peut être faux le lundi suivant, dans le bon sens. Ensuite, il ne faut pas figer une analyse de faisabilité sur un devis unique. Ceux qui avaient écarté le contournement à 320 dollars doivent le relire à 67. Ceux qui le célèbrent à 67 doivent admettre qu’il peut remonter si la demande sature le blockspace, ou redescendre encore si l’optimisation continue. Le chiffre est un instantané. La tendance, sur sept jours, est une division par près de cinq. C’est l’instantané qui a le droit de faire la une. C’est la tendance qui a le droit de guider un jugement.

Il y a aussi un risque de récit. Si l’on présente l’intelligence artificielle comme « ce qui sauvera Bitcoin du quantique », on mélange deux couches. L’une optimise une preuve. L’autre devra être acceptée par des dizaines de milliers de nœuds. La première peut aller vite. La seconde ne va vite que dans les communiqués. Garder les couches distinctes est le meilleur service à rendre au lecteur. L’exploit d’optimisation est réel. Il n’abolit pas la gouvernance.

Qubits bruités, qubits logiques, et l’art de ne pas comparer des pommes

Une partie du malentendu public vient d’une unité de compte instable. Le processeur Willow aligne 105 qubits. Gidney parle de moins d’un million de qubits bruités pour RSA-2048. Le compteur de la courbe Bitcoin parle de 813 qubits logiques. Ces nombres ne se divisent pas entre eux pour donner une date. Un qubit bruité est une brique physique, fragile, qu’il faut regrouper par centaines ou par milliers pour obtenir un qubit logique capable de participer à un calcul long. Le ratio exact dépend de la qualité des briques et du code de correction. Il n’est pas un entier gravé dans le marbre.

Dire « on a 105, il en faut 813, donc on y est presque » est une erreur d’unités. Dire « il en fallait vingt millions, il en faut moins d’un million, donc c’est pour demain » en est une autre, parce que le million en question n’est pas le même objet que les 105, et parce que RSA n’est pas la courbe de Bitcoin. La bonne lecture est plus sèche. Les estimations baissent. Les machines progressent. L’écart reste large. La largeur de l’écart n’est plus une raison pour ne rien préparer, parce que le temps de préparation du protocole est du même ordre que les feuilles de route de laboratoire, c’est-à-dire des années.

La démonstration à 15 bits récompensée par Project Eleven sert de garde-fou dans l’autre sens. Elle est réelle, publique, et très loin de 256 bits. La difficulté ne croît pas de façon linéaire avec le nombre de bits. Chaque palier supplémentaire coûte. Annoncer qu’une clé de jouet a été cassée n’annonce pas la chute d’une clé de production. Refuser de regarder la clé de jouet, en revanche, c’est refuser de voir que la méthode sort du tableau noir. Les deux excès se nourrissent. Le travail utile consiste à tenir les deux chiffres en même temps : 15 bits cassés, 256 bits non cassés, 813 qubits logiques estimés, 105 qubits physiques sur une puce récente.

Vie privée, réutilisation et surface d’attaque

La recommandation ancienne de ne pas réutiliser les adresses a été pensée pour la vie privée. Chaque réutilisation relie des paiements entre eux. Le quantique lui donne une seconde justification, plus dure. Réutiliser, c’est publier une clé que l’on aurait pu garder hors du registre jusqu’à la dépense, et parfois au-delà si le format s’y prête. Une pratique mauvaise pour la confidentialité devient une pratique mauvaise pour la durabilité des fonds. Les deux arguments se renforcent, sans se confondre. On peut tenir à la vie privée sans croire au Q-Day proche. On peut croire au Q-Day lointain et néanmoins cesser de réutiliser, parce que le coût de la bonne pratique est nul.

Les outils qui facilitent la réutilisation, par confort, méritent un regard neuf. Un portefeuille qui renvoie toujours vers la même adresse simplifie la vie de l’utilisateur et élargit la surface. Un exchange qui crédite des dépôts successifs sur une même adresse fait de même, à plus grande échelle. Ces choix n’étaient pas des fautes. Ils deviennent des dettes techniques le jour où la clé publique est réinterprétée comme un secret en sursis. La migration future sera d’autant plus simple que le stock d’adresses réutilisées aura été réduit avant.

Il ne faut pas non plus transformer cette hygiène en illusion de sécurité totale. Une adresse jamais réutilisée, dépensée une fois dans un monde où Shor est rapide, reste exposée pendant la fenêtre de confirmation. L’hygiène réduit le stock dormant vulnérable. Elle ne supprime pas la course au moment de bouger. Seul un format qui ne donne rien à casser, ou une signature que l’algorithme ne casse pas, ferme cette course. D’où, encore, la complémentarité entre la bonne pratique individuelle et le chantier de protocole.

Gouvernance : qui décide, et à quel rythme

Sur Bitcoin, personne ne « déploie » un BIP. Des développeurs proposent. Des relecteurs critiquent. Des mineurs signalent, ou non, une préférence. Des nœuds appliquent, ou non, le code qui contient la règle. Des entreprises économiques pèsent par leur usage. Ce jeu est lent, parfois frustrant, et c’est lui qui donne son prix à une règle une fois active. Un chantier quantique devra traverser ce jeu avec un handicap : l’adversaire n’a pas de date, donc l’urgence est contestable à chaque étape. On pourra toujours dire qu’il est trop tôt. On pourra toujours dire, plus tard, qu’il est trop tard.

La manière de sortir de ce piège est de rendre les étapes réversibles quand c’est possible, et irréversibles seulement quand c’est nécessaire. Créer un type de sortie nouveau est relativement réversible : ceux qui ne s’en servent pas ne sont pas affectés. Éteindre une signature ancienne ne l’est pas. Il est logique que la première étape ait une barre plus basse que la seconde. Il est logique, aussi, que la seconde ne soit discutée qu’avec des délais explicites, des critères, et une évaluation du stock réellement migrable. Un gel sans inventaire serait une abstraction. Un gel avec inventaire devient un choix chiffré.

Les entreprises ont un rôle qu’elles n’aiment pas toujours assumer. Si les grands portefeuilles n’implémentent pas un format, le format n’existe pas pour le public. Si les places ne le créditent pas, les marchands ne l’accepteront pas. Le consensus des nœuds est nécessaire. Il n’est pas suffisant. Le précédent des adresses natives récentes le montre : la règle peut être active longtemps avant que l’interface moyenne ne la propose par défaut. Pour le quantique, ce décalage serait plus coûteux, parce que la fenêtre de migration aurait une fin, si le gel était retenu. Implémenter tard, ce serait migrer tard.

Ce que coûterait l’attentisme

L’attentisme a un argument fort. Agir trop tôt, c’est peut-être standardiser un algorithme lourd que l’on regrettera, ou effrayer des utilisateurs pour une machine qui n’arrivera pas de leur vivant. L’argument faible, lui, consiste à confondre absence de machine actuelle et absence de délai de préparation. Si l’on découvrait dans cinq ans une trajectoire crédible à dix ans, et que le protocole met quatre ans à activer une règle simple, le calcul se referme. On n’aurait plus le temps de débattre calmement du gel. On débattrait dans l’urgence, c’est-à-dire mal.

Le coût de l’attentisme se mesure aussi en compétences. Les équipes qui savent implémenter des signatures post-quantiques dans des environnements contraints, portefeuilles, modules, protocoles de garde, ne s’improvisent pas. Une compétition qui fait baisser un devis en sept jours montre qu’un milieu technique est déjà à l’œuvre. Laisser ce milieu sans texte de protocole à viser, c’est le laisser optimiser des contournements. Utile, mais périphérique. Lui donner un type de sortie à implémenter, c’est transformer l’effort en bien commun.

Il y a enfin un coût narratif. Chaque trimestre de titres sur la boîte de conserve sans fait nouveau use le sujet. Le jour où un fait nouveau arrive, une baisse de coût, un plan de conservateur, un texte cosigné, il est reçu comme un énième épisode. La façon de sortir de cette usure n’est pas de crier plus fort. C’est de montrer des objets : une transaction minée, un devis, un BIP, une architecture de garde. C’est ce que cette semaine a commencé à faire. Le lecteur peut juger les objets. Il n’est plus obligé de juger les adjectifs.

Scénarios, sans calendrier fantaisiste

Premier scénario : les laboratoires progressent, mais le seuil utile reste hors d’atteinte pendant longtemps. Les BIP mûrissent, un format nouveau est activé sans extinction, les conservateurs gardent leur MPC ou basculent sans drame vers un matériel compatible. Le contournement à quelques dizaines de dollars reste une curiosité de transition. Le réseau a dépensé de l’attention, pas une crise. C’est le scénario le plus confortable, et il reste compatible avec tout ce qui a été annoncé cette semaine.

Deuxième scénario : les estimations continuent de baisser, une fenêtre de dix à quinze ans devient crédible pour une partie des chercheurs. La pression monte pour activer un format de réception, puis pour dater une extinction. Les places accélèrent la migration des soldes clients. Les pièces dormantes deviennent un sujet de conférence, pas seulement de forum. Le gel est voté par les nœuds avec un délai long. Une partie du stock ancien s’immobilise. Le marché découvre la différence entre offre théorique et offre mobile.

Troisième scénario : une avancée surprend, non pas en cassant Bitcoin du jour au lendemain, mais en cassant des clés de taille intermédiaire assez vite pour rendre la course crédible. Là, le contournement non standard devient un pont d’urgence pour ceux qui peuvent encore s’en servir, et un rappel cruel pour ceux dont la clé est déjà publique. Les mineurs coopératifs deviennent un goulet. Le protocole n’a pas le temps d’un cycle Taproot. On mesure, trop tard, le prix des années non utilisées. Ce scénario n’est pas le plus probable au vu des écarts actuels. C’est celui que la préparation cherche à rendre sans objet.

Aucun de ces récits n’exige de croire à une date. Ils exigent de croire que le délai de réaction du réseau est une donnée, pas une variable que l’on comprimera le moment venu. Les trois chantiers sont trois façons de ne pas miser toute la réaction sur le dernier moment. L’un agit sans consensus. L’autre prépare le consensus. Le troisième prépare ceux qui gardent l’argent des autres. C’est une répartition des rôles plus saine qu’un plan unique annoncé dans un livre blanc.

Ce que cette semaine a vraiment déplacé

Si l’on retire le décor, il reste trois déplacements nets. Le coût d’une parade hors consensus a été divisé par près de cinq en sept jours, sous l’effet d’une compétition où les modèles d’intelligence artificielle mènent. Un responsable cryptographie d’un grand conservateur a dit publiquement que le découpage de clé pourrait ne pas survivre au standard, et qu’un repli matériel est envisagé. Deux propositions attendent, l’une pour ouvrir un format sans la porte la plus exposée, l’autre pour éteindre, par phases, ce qui n’aurait pas migré.

Aucun de ces déplacements ne date le Q-Day. Tous réduisent l’espace du folklore. On peut désormais demander : à quel prix, pour quels fonds, avec quel relais, sous quelle règle, avec quelle garde ? Ce sont des questions d’ingénieur et de gouvernance. Elles valent mieux que la boîte de conserve. Elles obligent aussi à une honnêteté que le titre choc n’a pas : la protection complète n’existe pas encore, la machine redoutée non plus, et l’intervalle entre les deux est exactement l’intervalle où le travail sert à quelque chose.

Pour le détenteur, la semaine ne change pas le solde. Elle change le niveau d’alerte utile. Il n’est plus raisonnable de traiter le sujet comme une légende urbaine. Il n’est pas raisonnable de le traiter comme une urgence de week-end. Entre les deux, il y a un suivi : l’exposition de ses propres clés, l’évolution des textes, la capacité réelle des outils à produire autre chose qu’une signature elliptique, et la méfiance envers ceux qui vendront la peur plus vite que le protocole ne vendra une règle. Bitcoin n’a pas improvisé cette réponse. Il ne l’a pas non plus terminée. C’est, pour un réseau de cet âge, une position assez fidèle à ce qu’il sait faire : avancer par chantiers, pas par décret.