Des chercheurs, pour la plupart d’Alice & Bob, entreprise basée à Paris, projettent qu’un ordinateur quantique de moins de 30 000 qubits de chat (« cat qubits ») pourrait résoudre secp256k1, la courbe des signatures de Bitcoin, en une heure environ. Leur article, publié sur arXiv le 27 octobre 2026 puis sur l’archive IACR ePrint le lendemain, est un calcul, pas une attaque. Aucune machine de ce type n’existe, le travail n’a pas été évalué par des pairs, et le chiffre repose sur une résistance aux inversions de bit que les auteurs eux-mêmes situent très au-delà de tout ce qui a été mesuré à ce jour.
Pour qui suit la menace de l’ordinateur quantique sur le bitcoin, l’arithmétique a pourtant bougé. L’estimation de Google de mars 2026 pour la même courbe était de moins de 500 000 qubits physiques, et l’article de 2023 d’Alice & Bob réclamait 126 133 qubits de chat et 9 heures. La baisse par rapport au chiffre de Google vient d’un autre type de qubit, pas d’une meilleure façon d’attaquer Bitcoin, et cette distinction décide du poids que l’on peut accorder au chiffre.
Le résumé de l’article dit que résoudre la courbe « requires at most 30 000 cat qubits and 1 hour » (« nécessite au plus 30 000 qubits de chat et 1 heure »). Les tableaux de ce texte de 128 pages sont plus précis : 29 588 qubits de chat et 61,8 minutes, soit les valeurs données dans un communiqué de l’entreprise repris par The Quantum Insider le 29 octobre. Les auteurs parlent de bornes supérieures. Ils ont réutilisé des opérations compilées pour RSA au lieu d’ajuster une conception à la courbe, et estiment que la plupart de ces sous-programmes et l’agencement pourraient encore être optimisés. Une version plus lente réduit la machine à 28 183 qubits de chat et allonge l’exécution à 146 minutes.
Bitcoin n’est pas le sujet principal de l’article. Son titre porte sur RSA-2048, le chiffrement qui protège une bonne partie du web, avec 22 593 qubits en 3,14 jours, et RSA est la seule configuration compilée en entier.
Ordinateur quantique et bitcoin : ce que suppose l’article, et pourquoi cela compte plus que le titre
Toute estimation de ressources est un ensemble de conditions suivi d’un nombre. Ici, les conditions ouvrent la seconde moitié du résumé.
- Un cycle de correction d’erreurs de 1 microseconde et un temps de réaction de 10 microsecondes.
- Un bruit de phase-flip au niveau du circuit de 5 sur 10 000 (p_Z = 5 × 10⁻⁴).
- Aucune inversion de bit (bit-flip) pendant le calcul, ce que le résumé assimile à un temps de bit-flip d’environ 100 ans.
La troisième ligne pèse le plus lourd. Un qubit de chat est une conception supraconductrice pensée pour supprimer, directement dans le matériel, l’une des deux sortes d’erreur quantique, l’inversion de bit. L’autre, l’inversion de phase, est prise en charge par un code correcteur, ici un code à répétition ou un code LDPC plus compact. Si les inversions de bit sont assez rares pour être ignorées, la machine a besoin de beaucoup moins de qubits. Toute la question est de savoir à quel point elles sont rares. L’examen des expériences publiées, dans l’article, cite des temps de bit-flip de quelques dizaines de secondes, toujours sur un seul qubit de chat. L’entreprise a annoncé mieux : PostQuantum écrivait en septembre 2025 qu’un billet de blog d’Alice & Bob décrivait 41 inversions en 61 heures, soit une toutes les 44 minutes, avec un intervalle de confiance de 33 à 60 minutes, là encore sur un seul qubit.
Un temps de bit-flip de 100 ans est environ 880 000 fois plus long qu’une heure, soit près de six ordres de grandeur selon notre arithmétique. Une annexe fixe un seuil plus bas pour le seul calcul sur la courbe de Bitcoin, 16,9 ans, parce qu’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il est bien plus court que celui de RSA. C’est encore environ 150 000 fois une heure, toujours selon notre calcul, et il faudrait que cela tienne sur des dizaines de milliers de qubits réunis sur une même puce pendant qu’ils exécutent des portes logiques. Les auteurs listent ces conditions comme restant à démontrer.
L’article donne bien une solution de repli. Avec un temps de bit-flip d’environ une heure et une couche supplémentaire de correction des inversions de bit (un code de distance 3), RSA-2048 coûte environ 45 000 qubits de chat, soit à peu près le double, ce que les auteurs décrivent comme une estimation grossière. Ce chiffre assoupli n’est donné que pour RSA. Il n’existe pas d’équivalent pour la courbe de Bitcoin : « moins de 30 000 » se lit donc comme le cas où le problème des inversions de bit est déjà résolu.
Menace quantique sur le bitcoin : 30 000 qubits contre 500 000
Les chiffres ci-dessous viennent d’équipes différentes, de matériels différents et de modèles d’erreur différents. Ils ne se comparent pas à armes égales. Ceux de Google sortent de son livre blanc daté du 30 mars 2026.
| Estimation | Cible | Matériel | Qubits | Durée |
|---|---|---|---|---|
| Alice & Bob, février 2023 | Courbe elliptique 256 bits | Qubits de chat | 126 133 | 9 heures |
| Gidney (Google), mai 2025 | RSA-2048 | Qubits supraconducteurs bruités | Moins de 1 million | Moins d’une semaine |
| Livre blanc de Google, 30 mars 2026 | secp256k1 | Supraconducteurs, code de surface | Moins de 500 000 | 18 ou 23 minutes ; environ 9 à 12 une fois la machine préparée |
| Cain et al., arXiv, 30 mars 2026 | P-256 | Atomes neutres | 26 000 | Quelques jours |
| Alice & Bob, octobre 2026 | secp256k1 | Qubits de chat | 29 588 | 61,8 minutes |
| Même article, version économe en qubits | secp256k1 | Qubits de chat | 28 183 | 146 minutes |
| Même article, résultat principal | RSA-2048 | Qubits de chat | 22 593 | 3,14 jours |
| Même article, version compromis | RSA-2048 | Qubits de chat | 610 530 | 1,25 heure |
| Même article, bit-flip d’une heure | RSA-2048 | Qubits de chat | Environ 45 000 | Au moins 3,14 jours |
Sur les chiffres bruts, la nouvelle estimation utilise environ 17 fois moins de qubits que celle de Google pour la courbe de Bitcoin. Elle dure environ trois fois plus que l’exécution complète de Google et de cinq à sept fois plus que celle de la machine préparée. Face à l’article de 2023 de l’entreprise, elle emploie environ quatre fois moins de qubits et va environ neuf fois plus vite, sous des hypothèses différentes. Tout cela relève de notre arithmétique. La comparaison de l’article lui-même porte sur RSA : 40 fois moins de qubits physiques que l’article de Gidney de 2025 (arXiv 2505.15917), avec des hypothèses matérielles différentes. Le code LDPC explique une partie de l’écart : la version à code de répétition du même article demande 49 649 qubits pour RSA-2048.
Le nombre de qubits seul n’est pas un record. Un article sur les atomes neutres publié en mars (arXiv 2603.28627) plaçait une courbe de même taille à 26 000 qubits physiques, pour une durée de quelques jours. La nouveauté ici, c’est une heure à cette échelle, et elle dépend d’un cycle de 1 microseconde.
Les qubits de chat et les qubits supraconducteurs à code de surface ne sont pas la même chose : le compte des uns n’est pas celui des autres. Une machine à code de surface corrige les deux types d’erreur par le code. Une machine à qubits de chat déplace une partie de ce travail dans la physique de chaque qubit. Moins de qubits ne veut pas dire automatiquement une machine plus facile à construire.
Les qubits logiques sont l’étalon le plus juste. Les circuits de Google en demandent au plus 1 200 avec 90 millions de portes Toffoli, ou 1 450 avec 70 millions. L’estimation d’Alice & Bob pour Bitcoin repose sur un circuit de 1 462 qubits logiques du coauteur André Schrottenloher, de l’Inria : la machine logique a donc à peu près la même taille, et l’économie se trouve dans les qubits physiques derrière chacun. La feuille de route de l’entreprise, telle que PostQuantum la décrivait en 2025, vise environ 100 qubits logiques d’ici 2030. Le communiqué affirme que les progrès du matériel et la baisse des besoins devraient se rejoindre au début des années 2030, tout en reconnaissant que d’importants défis d’ingénierie demeurent. C’est une prévision d’entreprise sur son propre domaine.
Ce que change « une heure » pour les bitcoins sur des adresses exposées
Une attaque quantique contre une signature Bitcoin exige la clé publique. À partir d’elle, l’algorithme de Shor pourrait en théorie remonter à la clé privée ; notre guide des clés privées et publiques explique le lien entre les deux. Ce qui compte, c’est donc de savoir qui a déjà montré sa clé publique, et depuis combien de temps.
Les anciennes sorties pay-to-public-key (P2PK) la montrent en permanence. Les sorties Taproot (P2TR) aussi, selon le livre blanc de Google, même sans réutilisation d’adresse. Les adresses réutilisées la montrent après leur première dépense. Les pièces sur d’autres adresses hachées qui n’ont jamais dépensé gardent la clé cachée jusqu’à ce que le propriétaire envoie une transaction, moment où elle apparaît dans le mempool, comme le décrit notre explication sur le fonctionnement des transactions crypto.
Pour ces deux groupes, la durée d’exécution n’a pas du tout le même sens.
- Face à une clé visible en permanence, une machine de ce type, si l’on en construisait jamais une, n’aurait aucune échéance à tenir. L’article cite lui-même les sorties P2PK et les adresses réutilisées comme ce que sa version économe en qubits menacerait.
- Les pièces révélées seulement pendant une dépense sont protégées par la course au bloc suivant. Bitcoin produit en moyenne un bloc toutes les 10 minutes : une attaque d’une heure perdrait normalement. Le communiqué de l’entreprise fait ce constat ; l’article, lui, ne l’aborde pas.
Les travaux de Google offrent la comparaison la plus nette sur le second cas. Son livre blanc indique qu’une machine préparée avec la première moitié du calcul pourrait terminer en 9 minutes environ, avec une probabilité d’un peu moins de 41 %, dans des hypothèses idéalisées, de battre le prochain bloc Bitcoin. La conception d’Alice & Bob est plus petite mais plus lente, ce qui rend les dépenses plus sûres face à elle et ne change rien pour les clés déjà publiques. L’article ne dit pas si cette préparation raccourcirait son heure.
Google compte environ 6,9 millions de BTC à clé exposée
Le livre blanc donne plusieurs décomptes, et ils ne mesurent pas la même chose. Un peu plus de 1,7 million de BTC se trouvent dans des scripts P2PK. Environ 2,3 millions de BTC sont dormants et vulnérables tous types de scripts confondus, en comptant les clés inactives depuis au moins cinq ans. Environ 6,9 millions de BTC sont vulnérables tous types de scripts confondus, y compris des pièces qui bougent encore, que leurs propriétaires peuvent migrer s’ils détiennent leurs clés. Les pièces dormantes ne peuvent pas être corrigées de cette façon.
L’article d’Alice & Bob affirme que ses résultats plaident pour un passage immédiat à la cryptographie post-quantique. L’entreprise construit du matériel quantique : elle a donc un intérêt dans l’histoire.
Les seuls éloges viennent du communiqué
Nous n’avons trouvé aucune évaluation indépendante de cet article. Il est en ligne depuis trois jours, il n’a pas passé l’évaluation par les pairs, et nos recherches n’ont fait apparaître aucun cryptographe ou physicien extérieur qui l’ait testé. Les personnes citées dans la couverture à ce stade sont celles que le communiqué a choisi de citer.
Le directeur général Théau Peronnin a déclaré que « moins de 23 000 qubits de chat physiques pourraient suffire à factoriser RSA-2048 en trois jours seulement ». Antoine Joux, cryptanalyste, a qualifié le texte d’« article important » ; les remerciements de l’article le remercient, ainsi qu’André Chailloux, d’avoir relu des versions préliminaires. Ali El Kaafarani, fondateur et directeur général de PQShield, a affirmé que « les standards post-quantiques destinés à remplacer la cryptographie vulnérable existent déjà ». La salle de presse d’Alice & Bob ne listait pas le communiqué quand nous avons vérifié le 30 octobre : nous n’avons donc lu ces citations que dans The Quantum Insider.
La liste des auteurs élargit pourtant le tableau. Outre les chercheurs de l’entreprise, elle comprend des affiliations à l’Inria et à l’université de Rennes, à Paris-Saclay, au CEA et au CNRS, ainsi qu’à l’université d’Édimbourg. Les chiffres pour Bitcoin reposent sur le circuit de Schrottenloher, et l’additionneur est adapté de l’estimation de Gidney de 2025.
Deux vérifications régleraient l’essentiel des questions ouvertes. Des lecteurs extérieurs peuvent confronter l’exigence sur les bit-flips à ce que le matériel sait faire, et ils peuvent calculer ce que devient le chiffre pour Bitcoin avec un temps de bit-flip d’une heure, le cas que l’article ne donne que pour RSA.
Où en est Bitcoin face au correctif
BIP-360, qui propose une nouvelle sortie Pay-to-Merkle-Root, reste un projet de soft fork, avec une entrée de journal datée du 24 juillet 2026 et aucune activation décrite. Il fonctionne comme Taproot sans la dépense par clé, ce qui vise à protéger contre les attaques à longue exposition. Le projet précise qu’il ne protège pas à lui seul contre les attaques à courte exposition, une limite que notre article sur le résultat de Google sur les états magiques relevait aussi. BIP-361, sur la sortie progressive des signatures historiques, n’a pas non plus de date d’activation, selon le même article.
L’échéance plus large vient des recommandations gouvernementales. Selon le communiqué, les conseils américains et britanniques demandent aux organisations d’achever leur passage à la cryptographie post-quantique d’ici 2035. Bitcoin n’a aucun acteur central capable d’imposer une telle date, et tout changement devrait passer par son processus de consensus habituel.
Le livre blanc de Google cite la fin de la réutilisation des clés publiques et la limitation de leur exposition comme première mesure. Une adresse neuve à chaque réception garde une clé hachée hors de la chaîne jusqu’au moment de la dépense, même si le livre blanc note que les sorties Taproot montrent une clé quoi qu’il arrive. Aucune machine ne peut mener cette attaque aujourd’hui, et cette estimation est un preprint pour un matériel qui n’a pas été construit.
La suite à surveiller, c’est la lecture de l’article complet par les cryptographes et les physiciens du matériel extérieurs. Ses auteurs proposent aussi un test bien plus petit, FFDLP-512, avec 6 656 qubits de chat et 21 minutes, pour valider toute l’architecture.