Le 7 octobre 2026, Europol n’a pas annoncé la mort du bitcoin. Elle a fait quelque chose de plus gênant : elle a séparé, noir sur blanc, ce qui tient encore de ce qui peut céder. Deux rapports, publiés le même jour, dessinent une ligne nette. D’un côté, la chaîne elle-même, protégée par des fonctions de hachage que la physique quantique ne balaie pas d’un revers. De l’autre, le portefeuille, ce petit geste de signature qui prouve que l’argent est à vous. C’est là que l’agence place le vrai risque. Pas un effondrement théâtral du marché. Une faille de propriété, ciblée, silencieuse, et déjà théorisée depuis 1997.
La question n’est donc plus de savoir si un ordinateur quantique « va tuer les cryptos ». Elle est plus sèche. Qui contrôle encore les clés le jour où l’algorithme de Shor cesse d’être un exercice de cours ? Et qui, en Europe, accepte de payer le prix d’une migration que personne ne peut faire à la place des réseaux ?
Deux rapports, une seule fracture : la chaîne tient, le wallet non
Le premier document sort de l’European Cybercrime Centre, l’EC3. Il ne dramatise pas le registre. Il isole le point d’exposition. Les fonctions de hachage qui verrouillent l’intégrité d’une blockchain restent, pour l’essentiel, hors de portée d’une attaque quantique utile. Modifier un bloc ancien, recalculer une preuve de travail, réécrire l’histoire d’un réseau comme Bitcoin : ce n’est pas le scénario que retient Europol. Le scénario retenu est plus prosaïque, et plus dangereux pour un détenteur. Il concerne la cryptographie à clé publique, celle qui autorise une dépense.
Autrement dit, la mémoire du réseau peut rester intacte pendant que la serrure de votre coffre devient lisible. Un attaquant n’a pas besoin de casser Bitcoin. Il a besoin de dériver une clé privée à partir d’une clé publique déjà exposée, puis de signer à votre place. La propriété change de mains. Le registre, lui, enregistre la transaction comme parfaitement valide. C’est toute la malice du sujet : l’attaque ne ressemble pas à un piratage. Elle ressemble à un ordre légitime.
Le second rapport, mené avec l’université Carlos III de Madrid dans le cadre de l’Advisory Group Research and Development, quitte la blockchain pour parler de données. Il décrit une pratique que les spécialistes résument en trois mots anglais, harvest now, decrypt later. On collecte aujourd’hui ce qu’on ne sait pas encore lire. On parie que la machine de demain saura ouvrir l’enveloppe. Aucun ordinateur quantique n’est requis pour commencer. Il suffit d’un disque, d’une patience, et d’une donnée qui vaudra encore quelque chose dans dix ans.
Ce que les deux textes d’Europol séparent, et ce qu’ils refusent de confondre.
- L’intégrité de la chaîne, portée par le hachage, reste largement résistante.
- Le contrôle des actifs, porté par la clé publique, est le point faible désigné.
- La collecte de chiffrés en attente ne demande aucune machine quantique aujourd’hui.
- Europol ne décrit pas un effondrement des cryptomonnaies, mais une vulnérabilité de propriété.
- La réponse recommandée est organisationnelle avant d’être un simple pari technologique.
Pourquoi le hachage n’est pas la même bataille que la signature
On mélange souvent deux outils qui n’ont pas le même métier. Une fonction de hachage prend un contenu quelconque et en tire une empreinte courte, à sens unique. Elle sert à lier les blocs, à vérifier qu’une transaction n’a pas été retouchée, à ancrer un état. Une signature à clé publique fait autre chose : elle prouve qu’une personne disposant d’un secret accepte une dépense, sans révéler ce secret. Casser l’empreinte et casser la signature ne relèvent pas du même théorème, ni du même calendrier.
L’algorithme de Shor, publié en 1997, vise précisément les problèmes sur lesquels reposent RSA, Diffie-Hellman et les courbes elliptiques. Il ne « casse pas Bitcoin » au sens où un journaliste presse le bouton. Il rend inopérante, sur une machine quantique suffisamment grande et stable, la difficulté mathématique qui protège la clé privée. Grover, l’autre grand nom du bestiaire quantique, affaiblit la recherche par force brute et donc, à la marge, certaines fonctions de hachage. L’affaiblissement est quadratique, pas exponentiel. On le compense en allongeant l’empreinte. On ne le confond pas avec une porte ouverte sur les portefeuilles.
Cette distinction change la conversation publique. Annoncer que « la blockchain est quantique-résistante » peut être vrai pour le registre et faux pour l’utilisateur. Annoncer que « tout va sauter en 2029 » peut être faux pour le consensus et vrai, à terme, pour une adresse dont la clé publique a déjà circulé. Europol choisit le second étage, celui de la propriété. C’est moins spectaculaire. C’est plus juste.
La chaîne peut rester debout pendant que la clé qui autorise la dépense devient lisible. Le registre n’a pas besoin de mentir pour que l’argent change de mains.
Lecture des rapports Europol du 7 octobre 2026
Le calendrier que personne ne veut graver dans le marbre
Europol ne date pas l’apocalypse. Elle s’appuie sur le Quantum Threat Timeline Report 2025, construit à partir de l’avis de 32 experts. Le document décrit une probabilité croissante qu’une machine parvienne à casser RSA-2048 en vingt-quatre heures. Ce n’est pas une date. C’est une pente. Google, de son côté, vise une machine tolérante aux fautes autour de 2029. Le rapport européen juge cet horizon incertain. Traduction : on ne pilote pas une migration continentale sur une promesse de laboratoire.
Le repère le plus concret ne vient pas d’un fabricant de qubits. Il vient du NIST, l’institut américain de standardisation. Les configurations classiques de cryptographie à clé publique sont appelées à être dépréciées dès 2030, et retirées d’ici 2035. Ce calendrier n’est pas une prédiction sur l’arrivée d’un ordinateur. C’est une politique de retrait. Il dit aux administrations, aux éditeurs et aux réseaux : ne soyez plus dépendants de RSA et des courbes elliptiques quand la décennie sera à moitié écoulée.
Pour un protocole ouvert, cette phrase pèse plus lourd que pour un logiciel d’entreprise. Une banque peut imposer une mise à jour. Bitcoin ne peut pas. Ethereum peut proposer un chemin, pas l’imposer à chaque contrat déjà déployé. Le temps politique et le temps du consensus ne coïncident pas. C’est exactement l’écart qu’Europol met en lumière en pressant l’Europe d’agir sans attendre la machine.
Ce que « agir » veut dire quand on ne contrôle pas le protocole
La réponse recommandée est double. D’abord, des mises à jour incrémentales, plutôt qu’un grand soir. Ensuite, l’usage de l’abstraction de compte, le standard ERC-4337, qui remplace un compte classique par un contrat capable de faire évoluer ses règles de validation. En parallèle, l’agence pointe les algorithmes standardisés par le NIST en 2024 : FIPS 203, soit CRYSTALS-Kyber, pour l’établissement de clés, et FIPS 204, soit CRYSTALS-Dilithium, pour les signatures.
Le hic tient dans la taille. Une signature fondée sur le hachage, comme XMSS, occupe environ 20 kilo-octets. Une signature ECDSA tient dans 72 octets. Le rapport est d’environ 280 pour un. Sur une chaîne dont les blocs sont déjà comptés à l’octet près, ce n’est pas un détail d’implémentation. C’est un changement de régime économique. Chaque transfert coûte plus de place, donc plus de frais, donc moins de transactions par bloc, donc une file d’attente plus longue au moment précis où tout le monde voudrait migrer.
Une étude citée par le rapport chiffre la migration de l’ensemble des UTXO de Bitcoin à 76 jours de coupure continue, au minimum. Une coupure de cette longueur est intenable pour un réseau de paiement mondial. En réservant un quart de chaque bloc à la migration, le chantier s’étirerait sur environ 300 jours. Trois cents jours pendant lesquels une partie de la capacité sert à déménager le passé, pas à traiter le présent. Et encore : ce calcul suppose une coordination que Bitcoin n’a jamais eue sous cette forme.
Taproot n’est pas un bouclier, et presque personne ne l’utilise
Il faut tordre une idée reçue. Taproot, activé en 2021, a apporté les signatures de Schnorr et une meilleure confidentialité de certaines dépenses complexes. Il n’apporte aucune résistance quantique. Schnorr repose, comme ECDSA, sur le problème du logarithme discret sur courbe elliptique. Shor s’en accommode. Pire, ou plus simplement : l’usage réel reste marginal, sous 1 % selon le constat repris par Europol. On ne peut pas compter sur une fonctionnalité peu adoptée, et de toute façon inadaptée, pour servir de plan de secours.
Le détail compte pour les détenteurs. Une adresse dont la clé publique n’a jamais été révélée est moins exposée qu’une adresse déjà dépensée, parce que la dépense publie la clé. Réutiliser une adresse, pratique déjà déconseillée pour la vie privée, devient un facteur de risque quantique. Les anciens formats qui exposent la clé dès la réception sont, eux, lisibles sans même attendre une dépense. Le danger n’est pas uniforme. Il dépend de l’historique de chaque pièce.
Harvest now, decrypt later : la menace qui n’attend pas la machine
Le second rapport cesse de parler de blocs. Il parle d’enveloppes. Un attaquant archive aujourd’hui des flux chiffrés, des sauvegardes, des échanges, en pariant qu’un ordinateur quantique les ouvrira plus tard. Europol indique ne pas connaître de cas harvest now, decrypt later avéré et documenté. L’absence de preuve n’est pas une preuve d’absence. Elle dit surtout que l’intention de long terme est difficile à établir devant un juge.
Le comportement, lui, est déjà observable. Des groupes comme REvil ou Clop exfiltrent des données avant même de les chiffrer sur place, pour les revendre ou relancer une extorsion des années plus tard. On n’a pas besoin d’étiqueter ces vols du nom d’une stratégie quantique pour voir le mécanisme : stocker maintenant, monnayer plus tard. Le jour où le déchiffrement devient bon marché, les archives prennent une seconde vie.
Les cibles ne se valent pas. Les communications gouvernementales, les dossiers d’enquête et les identités d’informateurs gardent une valeur sur des décennies. Les entreprises se situent dans une zone de risque moyen à élevé, à cause des secrets commerciaux. Les particuliers restent en risque faible à moyen, sauf pour les dossiers médicaux. L’agence rappelle à ce sujet la cyberattaque Oracle de 2025, qui a déjà exposé des données de santé à grande échelle. Une donnée médicale volée en clair n’a même pas besoin du quantique. Une donnée médicale chiffrée avec un algorithme dépréciable, si.
Où la valeur dure assez longtemps pour justifier l’attente.
- Secrets d’État, instructions diplomatiques, identités de sources.
- Dossiers d’enquête dont la prescription est longue.
- Propriété intellectuelle et négociations commerciales.
- Dossiers de santé, déjà fragilisés par des fuites classiques.
- Clés et sauvegardes de portefeuilles dont la clé publique a circulé.
TLS, SSH, OpenPGP : pas le même degré de fragilité
L’analyse technique du second rapport refuse l’amalgame. TLS, SSH et le stockage OpenPGP sont vulnérables, mais pas au même degré, et pas dans les mêmes configurations. Un échange éphémère, protégé par un secret de session qui ne sert qu’une fois, n’a pas la même exposition qu’une archive chiffrée avec une clé statique conservée dix ans. Le diable est dans le choix d’algorithme, la durée de vie de la clé, et la question de savoir si quelqu’un a déjà enregistré le flux.
Pour la crypto, l’analogie est directe. Une transaction déjà confirmée et dont la clé publique est sur la chaîne est une archive publique. Personne n’a besoin de l’intercepter : elle est là. Le « harvest » est gratuit. Il suffit d’indexer les sorties dont la clé est connue, puis d’attendre. C’est pour cela que le premier rapport et le second se répondent. L’un parle de portefeuilles. L’autre parle de données stockées en attendant la puissance. Sur une blockchain, les deux se confondent.
Ce que l’Europe peut faire, et ce qu’elle ne peut pas décréter
Presser l’Europe d’agir n’est pas la même chose que patcher un logiciel. Les institutions peuvent imposer des algorithmes post-quantiques à leurs propres systèmes, à leurs marchés publics, à leurs échanges avec les banques et les prestataires. Elles peuvent financer l’audit de bibliothèques, former les autorités de supervision, exiger des plans de migration dans les dossiers d’agrément. Elles ne peuvent pas voter à la place des mineurs, des validateurs ou des détenteurs.
C’est le point de fermeture du texte d’Europol, et il est sans consolation. La crypto ne s’effondrera pas d’elle-même. Personne ne migrera à la place des réseaux. Le chantier a un coût en octets, en frais, en coordination, en querelles de gouvernance. La question ouverte est de savoir si ces réseaux accepteront de le payer parce qu’une agence européenne le leur demande, ou seulement le jour où une démonstration publique rendra l’attente indéfendable.
D’ici là, le présent a une mémoire longue. Les clés déjà publiées ne redeviennent pas secrètes. Les archives déjà copiées ne se dé-copient pas. Et 2030, pour une dépréciation décidée par le NIST, n’est plus une date de science-fiction. C’est le prochain cycle de planification.
