Trail of Bits face au Q-Day : Bitcoin et la menace quantique

Le marché crypto surveille le prix du Bitcoin, les flux des ETF et le calendrier de la Réserve fédérale. Pendant ce temps, un cabinet de sécurité new-yorkais mesure une horloge très différente : le temps qu’il reste avant qu’un ordinateur quantique puisse forger une signature Bitcoin. Trail of Bits, connu pour ses audits de smart contracts et ses outils open source comme Slither, Echidna et Medusa, s’est imposé comme l’une des voix les plus techniques sur la menace quantique qui pèse sur secp256k1, la courbe elliptique qui protège la quasi-totalité de l’écosystème.

En 2026, ce cabinet a publié cinq nouveaux circuits quantiques qui rapprochent le fameux Q-Day, battu une preuve à divulgation nulle de connaissance signée Google en exploitant des failles dans son code, et livré la cryptographie post-quantique à l’une des briques logicielles les plus téléchargées de la planète. Le tout en continuant à trouver des bugs beaucoup plus prosaïques, comme celui qui permettait, fin août, de s’octroyer des droits d’administrateur sur une blockchain bâtie avec le Cosmos SDK sans détenir le moindre jeton.

Cet article détaille ce que Trail of Bits fait réellement sur le front quantique, pourquoi secp256k1 constitue un point de défaillance unique pour Bitcoin et Ethereum, combien de bitcoins sont vraiment exposés (en euros), et ce qu’un détenteur peut faire dès aujourd’hui. Les montants sont convertis en euros, et le cadre français (AMF, ANSSI) est rappelé là où il compte.

Pourquoi Trail of Bits regarde du côté du quantique

Fondé en 2012 à New York par Dan Guido et Alexander Sotirov, Trail of Bits n’est pas un laboratoire quantique. C’est un cabinet de sécurité offensive et de recherche appliquée, dont la réputation s’est construite sur l’audit de code : smart contracts Solidity, protocoles DeFi, mais aussi cryptographie, sécurité des systèmes, chaîne d’approvisionnement logicielle et, depuis peu, sécurité de l’IA. Le cabinet revendique des centaines d’audits publics et une bibliothèque d’outils open source réunis sous l’organisation GitHub Crytic : l’analyseur statique Slither, le fuzzer Echidna et son successeur Medusa.

Cette expertise transversale explique pourquoi Trail of Bits s’est retrouvé, presque naturellement, à travailler sur le quantique. Casser une signature ECDSA avec un ordinateur quantique n’est pas un problème de finance ou de tokenomics : c’est un problème de cryptographie et d’ingénierie logicielle, exactement le terrain du cabinet. Là où beaucoup de commentateurs se contentent d’agiter le mot quantique, Trail of Bits compte les qubits, mesure les portes logiques et lit le code des chercheurs qui prétendent avoir avancé l’échéance.

Le fil conducteur de la maison, résumé par son cofondateur Dan Guido dans un entretien accordé à Decential, tient en une phrase : « I don’t ever want to find the same bug twice » (je ne veux jamais retrouver deux fois le même bug), la motivation derrière ses outils d’analyse statique et de vérification. Cette obsession de ne pas répéter les erreurs se retrouve dans son approche du quantique : plutôt que d’annoncer une date, le cabinet documente précisément l’état de l’art et traque les failles dans les démonstrations des autres.

secp256k1, la serrure unique de la crypto

Presque toute la crypto repose sur une seule et même serrure. Bitcoin, Ethereum et la grande majorité des altcoins signent leurs transactions avec ECDSA (Elliptic Curve Digital Signature Algorithm) sur une courbe appelée secp256k1. Votre clé privée est un nombre secret ; la clé publique correspondante est un point sur cette courbe ; et la sécurité repose sur un fait mathématique : à partir de la clé publique, retrouver la clé privée exige de résoudre le problème du logarithme discret sur courbe elliptique, infaisable pour un ordinateur classique.

C’est précisément ce fait que l’algorithme de Shor renverse. Sur un ordinateur quantique suffisamment grand, Shor résout ce problème de manière efficace : la clé publique suffit alors à reconstituer la clé privée. Trail of Bits le formule sans détour dans ses travaux, en rappelant que secp256k1 « secures Bitcoin, Ethereum, and most coins », ce qui fait de cette courbe un point de défaillance unique pour tout l’écosystème. Une seule avancée mathématique ou matérielle menacerait, d’un coup, la plupart des chaînes.

Nuance capitale, souvent perdue dans les gros titres : le quantique menace les signatures, pas le hachage. Les fonctions de hachage comme SHA-256 (au cœur du minage Bitcoin et de la génération d’adresses) ne sont pas cassées par Shor ; elles ne subissent qu’un affaiblissement quadratique via l’algorithme de Grover, que l’on compense en doublant la taille. Une adresse Bitcoin qui n’a jamais servi à dépenser ne révèle qu’un condensé (hash) de la clé publique, pas la clé publique elle-même : tant qu’elle dort, elle reste protégée. Le danger se concentre sur les clés publiques déjà exposées en clair sur la chaîne.

Q-Day et le principe « récolter maintenant, déchiffrer plus tard »

Le secteur a un nom pour l’échéance : le Q-Day, que Trail of Bits définit comme le jour où un ordinateur quantique suffisamment grand existe. La menace ne se déclenche pas seulement ce jour-là. Elle est déjà active sous une forme différée que les cryptographes appellent « harvest now, decrypt later » (récolter maintenant, déchiffrer plus tard), que le cabinet transpose en « récolter maintenant, casser plus tard » pour les clés publiques exposées.

La particularité d’une blockchain aggrave ce risque. Contrairement à un trafic réseau chiffré qu’un attaquant devrait d’abord enregistrer, la chaîne est déjà une archive publique et permanente. N’importe qui peut copier aujourd’hui l’intégralité des clés publiques exposées, les stocker, et attendre patiemment le matériel capable de les casser. Chaque clé publique visible sur la chaîne est donc une cible immobile, offerte à un adversaire qui joue le temps long. Cette asymétrie explique pourquoi les cryptographes sérieux considèrent que l’horloge tourne déjà, même si aucune machine ne peut encore mener l’attaque.

trailmix : cinq circuits qui rapprochent le Q-Day

En juin 2026, Trail of Bits a publié trailmix, un ensemble de cinq nouveaux circuits quantiques pour l’étape la plus coûteuse de l’algorithme de Shor appliqué aux courbes elliptiques : l’addition de points. Cette opération élémentaire est répétée des milliers de fois au cours de l’attaque ; en réduire le coût en qubits fait mécaniquement baisser la taille de la machine nécessaire. Selon le compte rendu de CoinSpectator, ces circuits établissent un nouveau record en atteignant environ 1 066 qubits logiques, sous les meilleures constructions publiées jusque-là.

Pour situer ce chiffre, voici les principales estimations publiées pour un circuit d’attaque sur secp256k1, la brique de point-addition servant de référence commune :

Un avertissement s’impose, et Trail of Bits est le premier à le poser. Ces chiffres désignent des qubits logiques, c’est-à-dire corrigés d’erreur : chacun mobilise des milliers de qubits physiques bruités. Les meilleures machines actuelles alignent quelques centaines à quelques milliers de qubits physiques, très loin des millions nécessaires pour orchestrer 1 066 qubits logiques stables. trailmix déplace les poteaux du côté de l’algorithme, pas du côté du matériel. Le fossé matériel reste immense, et c’est précisément ce que la firme cherche à quantifier au lieu de le dramatiser.

ecdsa.fail : un classement public pour « casser » Bitcoin

La course ne se joue plus dans quelques laboratoires fermés. Sur un tableau de classement public baptisé ecdsa.fail, des chercheurs et des agents d’IA s’affrontent pour construire le circuit quantique le plus léger capable de casser secp256k1, la courbe sous chaque signature Bitcoin et Ethereum. Chaque soumission est notée sur le produit de deux nombres : les qubits logiques nécessaires et les portes Toffoli consommées. Les deux courbes baissent depuis des semaines.

Les règles sont strictes : un circuit soumis doit être réversible et il est vérifié sur 9 024 cas de test, avec remise à zéro des qubits auxiliaires et vérification de la phase globale, faute de quoi il est rejeté. Le banc d’essai a été adapté du code que Google avait publié avec son étude sur la sécurisation des cryptomonnaies face au quantique ; le dépôt est disponible en open source (ecdsafail-challenge sur GitHub). Ce format ouvert, où des agents autonomes optimisent en continu un circuit destiné à casser Bitcoin, résume assez bien 2026 : la marge de sécurité s’érode en public, un point à la fois.

Quand Trail of Bits a battu la preuve de Google

En avril 2026, Trail of Bits a signé l’un de ses coups les plus spectaculaires, et les plus mal compris. Google Quantum AI avait publié une preuve à divulgation nulle de connaissance, générée via le zkVM SP1 de Succinct Labs, censée attester qu’un ordinateur quantique de première génération pourrait casser des clés ECC en aussi peu que neuf minutes, à partir d’un circuit d’environ 1 175 qubits et 2,1 millions de portes Toffoli. Cette étude, coécrite avec la Fondation Ethereum, relève d’une démarche défensive : estimer les ressources réellement nécessaires pour dimensionner la riposte.

Trail of Bits a publié sa propre preuve, meilleure sur tous les indicateurs. Pas grâce à une percée quantique : en exploitant des bugs de sécurité mémoire et de logique dans le code Rust du prouveur de Google. Deux failles principales. La première, un contournement du compteur de portes Toffoli : via des blocs unsafe et une désérialisation non vérifiée (rkyv::access_unchecked), des données sérialisées malformées passaient à côté du comptage. La seconde, un aliasing de registres : rien n’empêchait un même qubit de servir à la fois d’entrée et de sortie, autorisant des opérations non réversibles. Le résultat, une preuve d’apparence parfaitement valide, annonçant 0 porte Toffoli (contre 2,1 millions), 8,3 millions d’opérations et 1 164 qubits. Le code de démonstration est public sur GitHub.

La leçon dépasse le quantique. Une preuve cryptographique ne vaut que par la robustesse du logiciel qui la produit ; il faut vérifier le vérificateur. C’est exactement l’argument de la vérification formelle, cette branche de l’audit qui cherche à prouver le code plutôt qu’à le tester, que nous avons détaillée dans notre dossier sur l’audit crypto qui prouve le code. Il y a aussi une ironie que Dan Guido résume bien : les langages à sécurité mémoire comme Rust ont été conçus pour éliminer des classes entières de bugs, mais leurs échappatoires (les blocs unsafe) les réintroduisent. « They have reinvented every security issue that we eliminated from modern languages like Rust and Go and Swift », déplorait-il à propos des environnements crypto ; ici, c’est le prouveur lui-même qui rouvrait la porte.

Combien de bitcoins sont réellement exposés

Passé la théorie, une question demeure : combien de valeur est réellement en jeu ? Selon une étude de Deloitte, plus de 4 millions de bitcoins, soit environ un quart de l’offre en circulation, se trouvent dans des adresses potentiellement vulnérables à une attaque quantique. Deux catégories concentrent le risque : autour de 2 millions de BTC dans des adresses P2PK de l’ère Satoshi (clé publique visible en permanence) et environ 2,5 millions dans des adresses P2PKH réutilisées (clé publique révélée dès la première dépense).

Au cours de fin août 2026, autour de 67 468 euros le bitcoin selon CoinGecko, cette réserve exposée dépasse 270 milliards d’euros. Le problème le plus insoluble n’est même pas technique : une partie de ces pièces appartient à des propriétaires qui ont perdu leurs clés privées. Elles ne peuvent pas être déplacées vers des adresses sûres et attendent, littéralement, le premier acteur capable de construire une machine assez grande. Ce stock inerte est aussi la meilleure raison de relativiser les objectifs de prix pour 2026 : un événement quantique crédible ne se lirait pas d’abord dans les modèles de valorisation, mais dans une ruée vers les adresses non exposées.

Le calendrier : entre 2030 et 2035, mais personne ne sait

Quand ? C’est la question à mille milliards. Les feuilles de route publiées par le NIST, IBM, Google et PsiQuantum convergent, selon Deloitte, vers une fenêtre située entre 2030 et 2035 pour l’apparition d’une machine posant un risque réaliste. La plateforme de prévision Metaculus, citée dans les discussions autour de la feuille de route d’Ethereum, évalue à environ 20 % la probabilité qu’un tel ordinateur arrive avant 2030. Aucune de ces bornes n’est certaine ; elles se resserrent avec chaque annonce matérielle.

Le véritable déclencheur n’est pas le Q-Day, mais une inégalité bien connue des cryptographes : si la durée pendant laquelle une donnée doit rester secrète, additionnée au temps nécessaire pour migrer, dépasse le temps qui nous sépare du Q-Day, alors vous êtes déjà en retard. Or, migrer un écosystème entier vers de nouveaux algorithmes prend, de l’aveu même des agences, plus d’une décennie. Autrement dit, même un Q-Day fixé à 2035 imposerait de commencer maintenant. C’est toute la logique du principe « récolter maintenant, casser plus tard » : l’attaquant n’a pas besoin que la machine existe déjà, il lui suffit de savoir qu’elle finira par exister.

La riposte 1 : durcir le code d’aujourd’hui

Le quantique est une frontière, pas l’urgence quotidienne. La quasi-totalité des pertes crypto de 2026 provient encore de bugs banals et de vols de clés, pas d’ordinateurs quantiques. Le carnet de bord récent de Trail of Bits l’illustre mieux que n’importe quel discours :

• Le 25 août, le cabinet a révélé une divergence d’état sur Provenance Blockchain (une chaîne proof-of-stake bâtie sur le Cosmos SDK) : n’importe quel utilisateur pouvait s’octroyer des droits d’administrateur sur des comptes de type marker sans détenir un seul jeton.
• Le 26 août, il a publié un avertissement au titre éloquent, « VMs won’t contain cyber-capable agents » : une simple machine virtuelle ne suffit plus à confiner un agent d’IA offensif.
• Le 11 août, il a rappelé qu’il est l’un des trois auditeurs indépendants derrière la vérification automatique des clés de Signal, brique qui rend l’application de messagerie digne de confiance.

Le message est clair : un attaquant, en 2026, n’a nul besoin d’un ordinateur quantique. Une erreur d’arrondi dans un pool de liquidité, une clé de déploiement fuitée, une divergence d’état suffisent à vider un trésor. C’est le cas de la plupart des hacks de ponts qui ont marqué la période, où la faille était humaine ou logicielle, jamais quantique. Trail of Bits consacre l’essentiel de son temps à ce front-là, celui du présent, tout en gardant un œil sur l’horizon.

La riposte 2 : livrer la crypto post-quantique

L’autre volet de la réponse est beaucoup moins spectaculaire, et bien plus utile : la plomberie. Fin juin 2026, Trail of Bits a ajouté le support des algorithmes post-quantiques ML-KEM (établissement de clés) et ML-DSA (signatures) à pyca/cryptography, la bibliothèque cryptographique de référence de l’écosystème Python. Ce travail, financé par la Sovereign Tech Agency, touche une brique invisible mais omniprésente : la bibliothèque est le onzième paquet le plus téléchargé de PyPI, avec 1,2 milliard de téléchargements par mois, et elle soutient Ansible, Certbot (le client Let’s Encrypt), Apache Airflow ou encore paramiko.

Ces algorithmes ne sortent pas de nulle part. Le NIST a finalisé les standards FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) et FIPS 205 (SLH-DSA) le 14 août 2024, au terme d’un processus de huit ans lancé en 2016. La demande officielle a suivi : un décret américain du 22 juin 2026 impose aux systèmes fédéraux les plus sensibles d’adopter l’établissement de clés post-quantique d’ici fin 2030, et les signatures post-quantiques d’ici fin 2031. En livrant ces primitives dans une bibliothèque téléchargée plus d’un milliard de fois par mois, Trail of Bits agit exactement là où la migration se joue vraiment : dans les tuyaux, pas dans les communiqués.

Ce que le quantique ne casse pas

Il faut dégonfler une partie de la panique. Tout ne tombe pas le même jour. Les fonctions de hachage comme SHA-256, qui sécurisent le minage Bitcoin et la génération d’adresses, résistent bien : l’algorithme de Grover ne les affaiblit que de façon quadratique, un désavantage que l’on neutralise en doublant la taille des clés. La cryptographie symétrique (AES-256) reste solide dans les mêmes conditions. Le minage Bitcoin lui-même n’est pas directement menacé par Shor.

C’est un point utile pour les usages qui reposent sur le hachage et l’engagement (commit-reveal) plutôt que sur les signatures à courbe elliptique. Les mécanismes de casino provably fair, par exemple, s’appuient sur des empreintes cryptographiques et des graines révélées a posteriori : ces primitives sont nettement plus résilientes face au quantique que la signature ECDSA d’une transaction. De même, une adresse Bitcoin qui n’a jamais dépensé ne publie qu’un condensé de la clé publique : elle demeure protégée tant qu’elle n’est pas utilisée. La menace réaliste est donc étroite mais sévère, concentrée sur les clés publiques ECC déjà exposées en clair.

Ethereum, Bitcoin et QRL : trois réponses

Face au même risque, les chaînes n’ont pas la même marge de manœuvre. Ethereum a la gouvernance la plus agile. Vitalik Buterin a placé la résistance quantique au cœur de la dernière feuille de route du réseau, comme l’a rapporté The Block le 10 août 2026. Le plan cible les signatures ECDSA des comptes, les signatures BLS des validateurs et les engagements KZG, avec des signatures à base de STARK et l’abstraction de compte pour permettre la bascule. Buterin a même évoqué un « fork de récupération » : en cas d’urgence quantique, le réseau pourrait revenir à un état antérieur au vol massif et figer les transactions à partir de là. La question touche aussi les clés des validateurs, un sujet que nous avons abordé à propos du staking liquide.

Bitcoin, lui, avance beaucoup plus lentement. Plusieurs propositions d’amélioration (BIP) pour des adresses résistantes au quantique circulent, sans consensus. Et même adoptées, elles se heurteraient à un mur : migrer signifie déplacer des pièces, or les millions de BTC aux clés perdues ne bougeront jamais. QRL (Quantum Resistant Ledger) représente le troisième cas de figure, celui du réseau conçu résistant dès l’origine : quantum-safe dès sa genèse en 2018, il s’appuie sur ML-DSA-87, le plus haut niveau de sécurité post-quantique du NIST (niveau 5), et prépare une version 2.0 compatible EVM en proof-of-stake.

Réglementation : l’AMF encadre les acteurs, pas les courbes

En France, l’AMF et le règlement européen MiCA encadrent les prestataires de services sur crypto-actifs (les anciens PSAN, désormais agréés CASP), pas les primitives cryptographiques d’un protocole décentralisé. Aucun régulateur n’impose à Bitcoin ou Ethereum d’adopter des signatures résistantes au quantique. La période transitoire du régime PSAN issu de la loi PACTE vers l’agrément MiCA s’est achevée le 1er juillet 2026, comme l’a rappelé l’AMF ; mais cette échéance concerne la conformité des acteurs, pas la robustesse cryptographique des chaînes qu’ils servent.

Côté cryptographie, c’est l’ANSSI qui donne le tempo en France. Dès 2022, dans un avis mis à jour fin 2023, l’agence recommandait de lancer sans attendre la transition post-quantique et insiste sur l’hybridation : combiner un algorithme pré-quantique éprouvé et un algorithme post-quantique, pour ne pas troquer une menace future contre une régression de sécurité immédiate. L’ANSSI estime elle aussi que la transition durera plus d’une décennie et touchera tout l’écosystème numérique. Le décalage est net : les régulateurs financiers surveillent les intermédiaires, tandis que les agences de cybersécurité pilotent la migration technique, et aucune des deux ne peut forcer un protocole décentralisé à changer de courbe.

Ce que cela change pour un détenteur en 2026

Faut-il vendre ses bitcoins et fuir ? Non. Le matériel capable de mener l’attaque n’existe pas, et l’écart entre qubits logiques et qubits physiques reste énorme. Mais l’immobilisme n’est pas non plus la bonne réponse, car le principe « récolter maintenant, casser plus tard » rend l’hygiène utile dès aujourd’hui. Quelques réflexes de bon sens :

• Ne pas réutiliser ses adresses : privilégier des adresses qui n’ont jamais servi à dépenser, dont seule l’empreinte est publiée.
• Suivre les feuilles de route de migration des chaînes que vous détenez, et être prêt à déplacer vos fonds vers des schémas résistants le moment venu.
• Se méfier des solutions quantiques vendues dans l’urgence : la plupart surfent sur la peur plus qu’elles ne protègent.
• Pour les gros portefeuilles, évaluer des dispositifs de garde et des schémas de signature évolutifs plutôt que de figer une configuration pour dix ans.

La vraie leçon du dossier Trail of Bits n’est pas quantique, elle est méthodologique. Que l’on parle d’un prouveur Rust buggé, d’une divergence d’état sur une chaîne Cosmos ou d’un circuit de Shor, la même discipline s’applique : lire le code et la science, pas les gros titres. C’est l’esprit du « I don’t ever want to find the same bug twice » de Dan Guido, transposé à l’échelle d’un secteur : mesurer précisément le risque, vérifier le vérificateur, et migrer avant d’y être contraint.

Foire aux questions

Un ordinateur quantique peut-il voler mes bitcoins aujourd’hui ?

Non. Aucune machine actuelle n’approche l’échelle requise : les attaques théoriques demandent autour d’un millier de qubits logiques corrigés d’erreur, soit des millions de qubits physiques, alors que les meilleurs processeurs alignent quelques centaines à quelques milliers de qubits physiques bruités. Les feuilles de route citées par Deloitte visent une fenêtre entre 2030 et 2035. En revanche, les clés publiques déjà exposées peuvent être récoltées dès maintenant en vue d’une attaque future.

Qu’est-ce que le Q-Day ?

Le Q-Day désigne le jour où un ordinateur quantique suffisamment grand existera pour casser la cryptographie à courbe elliptique via l’algorithme de Shor. La menace est déjà partiellement active à cause du principe « récolter maintenant, déchiffrer plus tard » : une blockchain étant une archive publique et permanente, un attaquant peut copier aujourd’hui les clés publiques exposées et attendre le matériel capable de les casser.

Pourquoi Trail of Bits, un auditeur de smart contracts, travaille-t-il sur le quantique ?

Parce que la cryptographie est l’un de ses six domaines de compétence, aux côtés de la sécurité applicative, de la blockchain, de l’IA, des systèmes et de la chaîne d’approvisionnement. En 2026, le cabinet a publié trailmix (cinq circuits quantiques record à environ 1 066 qubits logiques), battu une preuve à divulgation nulle de connaissance de Google en exploitant des bugs de son code, et livré les algorithmes post-quantiques ML-KEM et ML-DSA à la bibliothèque Python pyca/cryptography.

Combien de bitcoins sont menacés par le quantique ?

Selon Deloitte, plus de 4 millions de BTC, soit environ un quart de l’offre en circulation, se trouvent dans des adresses vulnérables : environ 2 millions dans des adresses P2PK et 2,5 millions dans des adresses P2PKH réutilisées. À un cours autour de 67 468 euros, cela représente plus de 270 milliards d’euros. Les adresses qui n’ont jamais dépensé ne publient qu’un condensé de la clé publique et restent protégées tant qu’elles ne sont pas utilisées.

Que puis-je faire pour me protéger ?

Ne réutilisez pas vos adresses, suivez les feuilles de route de migration post-quantique de vos chaînes, et méfiez-vous des solutions quantiques vendues dans l’urgence. Pour les portefeuilles importants, privilégiez des schémas de garde et de signature évolutifs. Il n’y a pas d’urgence à vendre, mais l’hygiène d’adresses est utile dès aujourd’hui à cause du risque différé.

Par la rédaction de HOGE Wire, desk sécurité.