L’Europe Alerte Sur Le Risque Quantique Des Blockchains

Et si le vrai basculement n’était pas le prochain halving, ni un ETF de plus, mais une machine encore trop bruyante pour exister vraiment, et déjà assez sérieuse pour que Bruxelles lève le sourcil ? Le 23 septembre 2026, le comité conjoint des autorités de surveillance européennes a rappelé une évidence que le marché aime reporter : la cryptographie qui tient les blockchains n’est pas éternelle. Elle est historique. Elle est contingente. Elle dépend d’hypothèses mathématiques que l’ordinateur quantique, le jour où il cessera d’être un prototype capricieux, pourra peut-être retourner comme une chaussette.

Ce Que Les Gendarmes Européens Viennent De Dire

Le message n’est pas un cri d’alarme de science-fiction. Il est administratif, technique, presque froid. L’Autorité bancaire européenne, l’Autorité européenne des assurances et des pensions professionnelles et l’Autorité européenne des marchés financiers ont publié ensemble leur mise à jour des risques de l’automne 2026. Dedans, une phrase revient comme un fil rouge : un ordinateur quantique suffisamment avancé pourrait affaiblir les systèmes cryptographiques qui protègent les transactions, les communications, les bases de données et, oui, les blockchains.

Personne, dans ce document, n’affirme qu’une telle machine existe aujourd’hui. Personne ne prétend que Bitcoin est déjà ouvert comme une porte de grange. L’accent est mis sur la préparation. Les risques liés au quantique, écrivent les autorités, pourraient se matérialiser avant que les applications commerciales vraiment utiles de cette technologie ne deviennent pratiques. Autrement dit : le danger peut arriver plus tôt que le bénéfice.

Les risques posés pourraient aussi se matérialiser plus vite que n’importe quelle application commercialement viable.

Comité conjoint des autorités européennes de surveillance, automne 2026

Cette formulation n’est pas anodine. Elle inverse le récit habituel de la Silicon Valley, où l’innovation précède toujours le problème. Ici, le régulateur dit le contraire : le problème de sécurité peut précéder l’utilité. C’est une manière de forcer les institutions financières à cesser d’attendre le miracle pour commencer à changer de serrures.

Une Technologie À Double Tranchant Pour La Finance

Le même texte reconnaît que le calcul quantique pourrait améliorer des processus financiers, le pricing, la détection de fraude, le suivi de la conformité. Ce n’est pas un réquisitoire contre la recherche. C’est un rappel que la même famille d’algorithmes qui accélère un modèle de risque peut, un jour, casser une signature numérique.

Pour le comprendre sans sombrer dans le jargon, il faut séparer deux familles de problèmes. D’un côté, les fonctions de hachage, que Bitcoin utilise pour lier les blocs et pour certaines adresses. De l’autre, la cryptographie à clé publique, celle qui dit « cette pièce m’appartient » et « j’autorise ce transfert ». C’est surtout la seconde qui inquiète. L’algorithme de Shor, s’il tourne sur une machine assez stable, assez large, assez corrigée d’erreurs, vise précisément les schémas fondés sur la factorisation ou sur le logarithme discret, dont font partie RSA et la cryptographie sur courbes elliptiques.

Bitcoin s’appuie sur des signatures à courbe elliptique pour l’ownership et l’autorisation des transactions. Ce n’est pas un détail d’ingénieur. C’est le cœur du droit de propriété on-chain. Si l’on peut dériver une clé privée à partir d’une clé publique exposée, on peut signer à la place du propriétaire. Le réseau, lui, ne « sait » pas qui est légitime. Il vérifie une signature. Point.

L’Analyse Technique De L’Esma, Plus Fine Que Le Communiqué

Dès mai, l’ESMA avait publié une note plus mécanique. Elle rappelait que des machines suffisamment avancées pourraient utiliser Shor contre RSA et contre l’ECC. Elle soulignait aussi, avec une prudence de laboratoire, que ces attaques restent hors de portée des dispositifs actuels dits NISQ, ces machines intermédiaires, bruyantes, encore trop instables pour tenir un calcul long sans s’effondrer sous leurs propres erreurs.

Le régulateur n’attend donc pas « demain matin ». Il attend une fenêtre. Or une fenêtre de migration, dans la finance, se compte en années. Remplacer des protocoles, recertifier des systèmes, former des équipes, réécrire des contrats de custody, faire voter un changement de consensus : rien de tout cela ne se fait pendant un week-end. C’est précisément pourquoi l’ESMA parle de préparation précoce alors même que la menace n’est pas immédiate.

IBM a tenu un discours voisin au printemps. L’entreprise estime que des systèmes tolérants aux fautes pourraient commencer à frôler une pertinence cryptographique vers la fin de la décennie. Elle n’a pas dit qu’une machine casse-Bitcoin existe. Elle a dit que le calendrier se resserre assez pour que l’on cesse de traiter le sujet comme une curiosité de conférence.

Combien De Bitcoins Sont Déjà « À Découvert » ?

C’est ici que le débat quitte les couloirs de Paris et de Francfort pour entrer dans le grand livre public. Une attaque quantique contre Bitcoin n’est pas un sort jeté sur tout le réseau d’un seul coup. Elle dépend d’une condition très concrète : la clé publique doit être visible. Or toutes les adresses ne se valent pas.

Dans plusieurs formats courants, la clé publique reste cachée derrière un hash jusqu’au moment où les pièces sont dépensées. D’autres types de sorties exposent la clé dès la création. La réutilisation d’adresse, elle, laisse sur la chaîne une clé qui n’aurait dû apparaître qu’un instant. Le stock potentiellement vulnérable n’est donc pas « tout Bitcoin ». C’est un sous-ensemble, contesté, parce que les chercheurs ne comptent pas les mêmes objets.

En février, le fondateur de CryptoQuant, Ki Young Ju, a avancé le chiffre d’environ 6,89 millions de BTC susceptibles d’une exposition future selon sa méthode. Dans ce total, il incluait près de 1,91 million de BTC associés à des clés directement visibles, plus d’autres pièces dont les clés auraient pu être révélées par des dépenses antérieures. L’estimation englobait aussi des avoirs dormants attribués aux tout premiers utilisateurs.

Glassnode, en mai, a produit un autre compteur : 6,04 millions de BTC, soit 30,2 % de l’offre émise, présentés comme ayant une exposition de clé publique « au repos ». À l’intérieur de ce chiffre, 1,92 million de BTC étaient classés comme structurellement exposés, parce que le type de sortie révèle la clé par conception.

Le cadre de Glassnode range dans la catégorie structurelle les anciennes sorties pay-to-public-key, certaines sorties multisig nues et les sorties Taproot. L’exposition opérationnelle, elle, couvre la réutilisation d’adresse, les dépenses partielles ou des pratiques de custody qui laissent une clé visible alors que les pièces restent associées à cette clé.

Pourquoi La Clé Publique Change Tout

Imaginez un coffre dont le numéro de série reste sous scellé jusqu’à l’ouverture. Tant que personne n’a ouvert, l’attaquant quantique n’a rien à factoriser, rien à inverser. Le jour où vous dépensez, le scellé saute. La clé publique apparaît. Si la transaction traîne dans le mempool, si le réseau est congestionné, si l’attaquant est déjà assez rapide, le scénario bascule d’une attaque « longue exposition » vers une course contre la confirmation.

C’est pour cela que les développeurs ne parlent pas d’un unique bouclier. Ils parlent de familles de risques. L’exposition longue vise les pièces dont la clé est déjà sur la chaîne depuis des années, parfois depuis 2009. L’exposition courte vise la fenêtre entre diffusion et inclusion dans un bloc. Les deux ne se traitent pas avec le même outil.

Les premières pièces, celles des pay-to-public-key, sont un cas d’école. Le format lui-même montrait la clé. Des fortunes dormantes, souvent associées à des adresses mythiques, relèvent de cette archéologie. Personne ne sait si les clés correspondantes existent encore, si elles ont été perdues, si un héritier les détient dans un tiroir. Le quantique, s’il arrive, ne demandera pas l’autorisation de l’héritier.

Bip-360 Et Bip-361 : Des Brouillons, Pas Encore Une Loi Du Réseau

Du côté des développeurs Bitcoin, deux propositions circulent. BIP-360, encore listée comme brouillon dans le dépôt officiel des Bitcoin Improvement Proposals, imagine des sorties pay-to-merkle-root destinées à réduire les attaques à longue exposition contre les clés elliptiques. Le texte identifie notamment les P2PK, les sorties réutilisées et certaines sorties Taproot comme des catégories à risque d’exposition longue.

Le document ne prétend pas tout résoudre. Il note qu’une protection contre un attaquant capable de dériver une clé pendant qu’une transaction attend d’être confirmée pourrait exiger un schéma de signature post-quantique. Autrement dit : cacher mieux la clé ne suffit pas si la course au mempool devient possible.

BIP-361 s’attaque à la politique de migration. Le brouillon viserait, à terme, à empêcher l’envoi de fonds vers des types de sorties vulnérables au quantique, puis à durcir les règles de dépense pour les signatures ECDSA et Schnorr héritées. Le calendrier ne commencerait qu’après qu’un type de sortie post-quantique soit implémenté et activé. On n’est donc pas dans le « fork ce soir ». On est dans l’architecture d’un basculement.

Ni l’une ni l’autre n’est une règle de consensus activée. Le dépôt officiel les maintient au statut de brouillons. Le standard technique et la politique de migration restent ouverts. Derrière ces pages arides se cache la question la plus politique du dossier : que fait-on des pièces inaccessibles, perdues, ou dont le propriétaire ne bougera jamais ?

Changer d’algorithme est souvent plus simple que de faire bouger les portefeuilles, les dépositaires et les pièces qui ne bougent plus.

Charles Guillemet, CTO de Ledger, selon les débats publics sur la migration

Le Calendrier Européen : Commencer En 2026, Protéger Le Sensible En 2030

La Commission européenne n’a pas attendu le communiqué de septembre pour tracer une route. Sa feuille de route post-quantique demande à tous les États membres de commencer le mouvement vers une cryptographie post-quantique d’ici la fin 2026. Les cas d’usage à haut risque devraient avoir achevé la transition au plus tard à la fin 2030.

Cette feuille de route vient d’une recommandation de 2024 et d’un plan de mise en œuvre coordonné adopté en juin 2025. Une mise à jour de consultation datée du 2 septembre 2026 indiquait que les répondants favorisaient des échéances claires, une priorisation selon le risque, des approches hybrides et la crypto-agilité, cette capacité à changer d’algorithme sans tout reconstruire.

Pour une banque, un dépositaire, un opérateur d’infrastructure de marché, ces dates ont un goût très concret. Il faudra inventorier les protocoles, classer les données selon leur durée de vie utile, décider où l’on accepte un hybride classique plus post-quantique, où l’on bascule franchement. Les blockchains ajoutent une contrainte que le régulateur bancaire classique n’a pas l’habitude de traiter : on ne « patch » pas un actif déjà émis comme on patch un serveur.

Récolter Maintenant, Déchiffrer Plus Tard

L’ESMA a aussi nommé un scénario que les cryptographes connaissent depuis des années : harvest now, decrypt later. On collecte aujourd’hui des données chiffrées. On les stocke. On attend que la machine future sache les ouvrir. Dans la finance, certaines informations ont une durée de vie longue : secrets d’affaires, historiques de transactions, correspondances, archives de conformité. Plus la donnée doit rester secrète longtemps, plus la migration devient urgente, même si l’ordinateur capable n’existe pas encore.

Sur une blockchain publique, le raisonnement se déplace. On ne « récolte » pas seulement du chiffré. On récolte des clés publiques déjà visibles, des scripts, des habitudes de dépense. L’attaquant patient n’a pas besoin d’entrer par effraction dans un data center. Il a le grand livre. Il peut trier, classer, préparer des cibles. Le jour où la capacité de calcul bascule, la liste est déjà faite.

C’est pourquoi le discours « on verra quand la machine existera » est, pour un régulateur, inacceptable. La machine n’a pas besoin d’exister pour que le stock d’information utile à une attaque future s’accumule. Elle a seulement besoin d’être crédible dans un horizon de dix à quinze ans pour justifier un travail de cinq à dix ans.

Le Problème Spécifique Des Actifs Déjà Émis

Migrer un protocole interne d’une banque, c’est difficile. Migrer Bitcoin, c’est autre chose. Les actifs existent. Les clés existent, ou n’existent plus. Les nœuds, les mineurs, les entreprises, les fabricants de portefeuilles, les dépositaires institutionnels doivent converger. Sans consensus, pas de nouvelle règle. Avec un consensus trop brutal, on ouvre la guerre des forks et la question morale des pièces perdues.

Faut-il un jour interdire de dépenser selon d’anciennes signatures ? Faut-il laisser les pièces dormantes exposées, au risque qu’un acteur futur les « réveille » ? Faut-il un mécanisme de récupération, et qui en serait le juge ? Ces questions ne sont pas dans le communiqué européen. Elles sont dans toutes les conversations techniques depuis que BIP-360 et BIP-361 circulent.

Les dépositaires n’ont pas attendu la fin du débat. Coinbase, par exemple, travaille une architecture de custody post-quantique capable d’accueillir plusieurs schémas de signature possibles. Yehuda Lindell, cryptographe en chef de l’entreprise, a expliqué vouloir une structure encore utilisable quelle que soit la voie finalement choisie par une chaîne. C’est de la crypto-agilité appliquée au coffre-fort.

Ledger, de son côté, insiste sur le temps humain. Choisir un algorithme, même standardisé par un institut national, n’est pas le goulot. Le goulot, ce sont les millions de dispositifs, les phrases de récupération, les procédures froides, les héritages mal documentés, les entreprises dont le Bitcoin est dans un schéma multisig conçu en 2017. La coordination est plus dure que la mathématique.

Ce Que Le Quantique N’Est Pas

Il faut aussi désenchanter. Un ordinateur quantique n’est pas une baguette. Les machines NISQ d’aujourd’hui restent limitées, sujettes au bruit, incapables de tenir les profondeurs de circuit exigées par une attaque réaliste contre une courbe utilisée en production. Confondre une annonce de qubits physiques avec une capacité cryptanalytique est une erreur de catégorie.

Le hachage n’est pas non plus dans le même sac que les signatures à clé publique. Grover, l’autre grand nom, offre un accélérateur quadratique sur certaines recherches. Cela change des marges de sécurité. Cela ne produit pas, à soi seul, le même basculement que Shor contre ECC. Mélanger les deux dans une même phrase d’angoisse est un classique des titres, pas une analyse.

Enfin, « casser Bitcoin » n’est pas synonyme de « éteindre le réseau ». Un attaquant qui pourrait signer à la place de certaines clés viserait des UTXO exposés. Le protocole continuerait de produire des blocs. Le prix, la confiance, la gouvernance, eux, prendraient le choc. La distinction importe : on parle d’un risque de vol ciblé et de crise de confiance, pas d’un arrêt magique de la chaîne.

Institutions, Stablecoins, Bases De Données : Le Périmètre Est Plus Large

L’alerte européenne ne vise pas seulement les maximalistes. Elle parle de transactions, de communications, de bases de données. Une infrastructure de marché qui chiffre mal aujourd’hui peut livrer demain des archives. Un canal de règlement qui s’appuie sur des certificats classiques peut devenir un point de collecte. Les blockchains de règlement, les dépôts tokenisés, les dispositifs de conservation institutionnelle sont dans le viseur autant que les adresses P2PK de 2009.

C’est aussi pour cela que le calendrier 2026-2030 n’est pas un gadget crypto. Il s’adresse d’abord aux États, aux opérateurs d’importance vitale, aux institutions. Le monde des actifs numériques s’y trouve entraîné parce qu’il a choisi, dès l’origine, de fonder la propriété sur des primitives que toute la finance numérique utilise aussi.

On peut le dire autrement. Bitcoin n’est pas une exception cryptographique. Il est un cas très visible d’un problème général. Sa particularité, c’est l’immuabilité publique et l’absence d’un administrateur unique capable d’imposer un correctif. Les banques ont un CIO. Bitcoin a un processus social.

Ce Que Les Détenteurs Peuvent Faire Sans Attendre Le Fork

En l’état, personne ne peut « patcher » une pièce dont la clé est déjà sur la chaîne, sauf à la dépenser vers un schéma plus prudent, quand c’est possible. Éviter la réutilisation d’adresse n’est plus un conseil de politesse. C’est une hygiène de surface d’attaque. Préférer des formats qui ne montrent pas la clé au repos reste, aujourd’hui, une réduction de risque, pas une garantie contre une attaque en vol.

Les institutions, elles, peuvent inventorier. Quels schémas de signature ? Quelles pièces sont en P2PK, en Taproot, en multisig nu ? Quels processus révèlent une clé trop tôt ? Quels prestataires promettent déjà une custody capable de basculer ? La question n’est plus seulement « HODL ». Elle devient « HODL dans quel contenant mathématique ».

• Cartographier les types de sorties réellement détenus, plutôt que de parler de Bitcoin comme d’un bloc unique.
• Cesser la réutilisation d’adresses dans les flux opérationnels et les trésoreries.
• Exiger la crypto-agilité des dépositaires et des fabricants de matériel.
• Suivre le statut réel des BIP, et non les rumeurs de fork imminent.
• Séparer le risque long (clés déjà visibles) du risque court (course au mempool).

Une Course Entre Laboratoires, Régulateurs Et Communautés

Trois horloges tournent en même temps. Celle des laboratoires, qui promettent des machines plus calmes, mieux corrigées. Celle des États, qui fixent 2026 et 2030 comme des bornes politiques. Celle des communautés ouvertes, qui ne bougent que lorsqu’un standard, un client, un pool de mineurs et une masse critique d’utilisateurs acceptent le même texte.

Si la première horloge accélère trop vite, les deux autres seront en retard. Si la deuxième impose trop tôt des exigences mal adaptées aux chaînes publiques, elle créera de la fiction de conformité. Si la troisième attend le consensus parfait, elle laissera s’accumuler un stock de cibles. Le bon article n’est donc pas « le quantique va tuer Bitcoin ». C’est « trois cadences incompatibles se regardent ».

On a déjà vu ce genre de décalage. Le passage à SegWit n’a pas été qu’une affaire de lignes de code. Le taproot non plus. Chaque fois, le réseau a montré qu’il savait bouger, lentement, avec des compromis, des portefeuilles à la traîne, des services qui activent tard. Une migration post-quantique serait de même nature, en plus vaste, parce qu’elle touche le droit de signer lui-même.

Ce Qu’Il Faut Retenir Sans Paniquer

Les gendarmes européens n’ont pas annoncé la fin de la cryptographie. Ils ont annoncé la fin du confort. La fenêtre de migration se mesure déjà en années civiles. Les estimateurs de l’exposition Bitcoin ne tombent pas d’accord au satoshi près, mais ils convergent sur un ordre de grandeur : des millions de pièces ont, d’une manière ou d’une autre, montré quelque chose de leur clé.

Les brouillons BIP existent. Ils ne gouvernent encore rien. Les dépositaires avancent en parallèle, parce qu’ils n’ont pas le luxe d’attendre le dernier vote de consensus pour concevoir un coffre. Les États membres sont invités à commencer en 2026. Les cas sensibles visent 2030. Entre les deux dates, le marché continuera de parler prix, ETF, halving. Le sous-texte, lui, sera de plus en plus cryptographique.

Il reste possible que les machines tardent, que le bruit reste trop fort, que les correcteurs d’erreurs déçoivent. Il reste aussi possible que la collecte actuelle rende coûteux le moindre retard le jour où une architecture tolérante aux fautes franchira un seuil. Les deux phrases peuvent être vraies ensemble. C’est précisément le type de risque que l’on gère tôt, ou que l’on subit tard.

Alors non, ce n’est pas encore le moment de jeter les clés dans la rivière. C’est le moment de savoir quelles clés sont déjà sur la place publique, quelles institutions ont un plan B, et quelle Europe entend forcer le calendrier pendant que les développeurs débattent encore du verbe « migrer ». Le communiqué du 23 septembre 2026 n’a pas cassé une courbe elliptique. Il a cassé une habitude : celle de croire que le temps joue forcément pour les détenteurs.