Charles Guillemet (Ledger) : “La confiance dans la cryptographie est érodée, il faut migrer les blockchains maintenant”

The Big Whale : Google vient de publier un article de recherche qui fait beaucoup parler dans l'écosystème crypto. Pouvez-vous nous expliquer simplement de quoi il s'agit ?

Charles Guillemet : Google a présenté un nouvel algorithme qui permet, en théorie, de casser ECDSA — c'est-à-dire la cryptographie à courbes elliptiques — de manière plus efficace. Cet algorithme s'appuie sur l'algorithme de Shor, l'un des deux grands algorithmes conçus pour briser la cryptographie asymétrique à l'aide d'un ordinateur quantique. Jusqu'ici, Shor était surtout bien étudié pour attaquer RSA, qui n'est pas utilisé dans les blockchains. Ce que nous utilisons, ce sont les courbes elliptiques, et la recherche sur l'application de Shor à ce type de cryptographie était moins avancée. Ce que Google montre, c'est un algorithme encore meilleur, qui permettrait théoriquement — avec un ordinateur quantique — de casser ECDSA et la cryptographie à courbes elliptiques en général.

Sauf que cet ordinateur quantique n'existe toujours pas…

C'est toujours le même problème. La recherche progresse sur deux fronts en parallèle. D'un côté, les algorithmes théoriques : quel est le meilleur algorithme, la meilleure implémentation, pour attaquer les courbes elliptiques de manière efficace. De l'autre, le hardware : construire un ordinateur quantique avec un nombre suffisant de qubits, et surtout un système stable. Les deux fronts avancent. Est-ce qu'on arrivera un jour à tout casser ? C'est de la roulette, personne ne sait. Ceux qui affirment que ça arrivera dans deux ou cinq ans sont souvent des gens qui ont quelque chose à vendre. Mais pour moi, ce n'est pas le sujet. Le vrai sujet, c'est la confiance dans la cryptographie, dans les mathématiques. À partir du moment où il y a un doute sur cette confiance, c'est le moment de résoudre le problème.

Quelles blockchains sont concernées par cette menace ?

Quasiment toutes. Il existe très peu de blockchains post-quantiques parmi les projets existants. Algorand a fait des choses, il y a des blockchains qui se positionnent sur le créneau PQC d'un point de vue marketing. Ensuite, il y a les Layer 2 et les protocoles basés sur les STARK — comme StarkNet — qui sont résistants par construction, avec quelques nuances. Mais globalement, il y en a très peu. Toutes les grosses blockchains sont vulnérables : Bitcoin, Ethereum, et les autres.

Vous mentionniez StarkNet parmi les blockchains les mieux préparées. Un mot là-dessus ?

StarkNet, d'un point de vue technologique, fait des choses très intéressantes qui font avancer la recherche bien au-delà des blockchains. Les STARK sont une vraie avancée scientifique, efficace et post-quantique résistante, avec quelques nuances. Pour autant, l'usage de StarkNet reste très faible aujourd'hui. C'est un exemple typique d'une technologie réussie avec une adoption basse. Alors que d'autres projets, techniquement moins aboutis, ont beaucoup plus de succès.

Quelle est votre position sur la migration des blockchains vers des systèmes résistants au quantique ?

Il faut migrer le plus rapidement possible. Même si on n'est pas du tout certain qu'un ordinateur quantique fonctionnel arrive bientôt, la question n'est plus celle de la certitude : c'est celle de la confiance. La confiance est érodée, donc il faut migrer. La vraie difficulté, c'est de trouver le consensus sur comment migrer et vers quoi — surtout sur Bitcoin.

Un point particulièrement original de l'article de Google : ils avancent une preuve sans révéler leur algorithme. Comment est-ce possible ?

C'est le point le plus fascinant de leur papier. C'est la première fois que je vois ça dans un article de recherche : les auteurs affirment avoir un résultat meilleur que l'état de l'art, mais ils n'expliquent pas comment. En revanche, ils fournissent une preuve mathématique — basée sur le zero-knowledge — que leur résultat est bien ce qu'ils prétendent. Personne ne peut réfuter ce qu'ils avancent, mais personne ne sait comment ils y parviennent. C'est à la fois élégant et complètement nouveau.

“C'est la première fois que je vois ça dans un article de recherche : ils ont un résultat fascinant, mais ils ne t'expliquent pas comment il est. Et pourtant, personne ne peut le réfuter”

Peut-on leur faire confiance ? Google a-t-il un intérêt à faire peur sur le sujet blockchain ?

L'article n'a pas encore été entièrement validé par la communauté scientifique — il faut laisser le temps au processus de peer review. Mais a priori, je n'ai pas de doute. Il y a Google derrière, et Dan Boneh figure parmi les signataires, c'est l'un des cryptographes les plus respectés au monde. Quant à un éventuel biais d'intérêt : Google n'a pas de blockchain post-quantique à vendre. Ce n'est pas comme les start-ups spécialisées en PQC qui annoncent l'armageddon dans deux ans — là, on est obligé de se poser la question de leur intérêt commercial. Pour Google, c'est moins évident. En tout cas, ils ont annoncé il y a quelques jours qu'ils prévoyaient de migrer leurs propres systèmes en 2029, et ce papier est publié juste après. Ça va dans le même sens.

On entend souvent que l'ordinateur quantique sera un supercalculateur universel. C'est une idée fausse ?

Complètement fausse. Les gens ont l'impression que l'ordinateur quantique, c'est un ordinateur classique mais beaucoup plus rapide. Pas du tout. La plupart des problèmes continueront d'être résolus plus efficacement par des ordinateurs classiques. Les algorithmes quantiques sont supérieurs pour quelques tâches très spécifiques, et la principale, c'est casser la cryptographie. C'est pour ça que le sujet est si central.

Où en est-on concrètement sur le hardware quantique ? Google parle de 2029…

En réalité, on ne sait pas grand-chose. Ce qu'on observe, c'est que les deux fronts progressent : les algorithmes théoriques s'améliorent, et le hardware aussi, avec de nombreuses technologies différentes qui exploitent des phénomènes quantiques variés. La difficulté principale reste d'obtenir un grand nombre de qubits stables dans le temps. Pour maintenir l'intrication entre les qubits, il faut un environnement avec le minimum de bruit, notamment thermique, ce qui implique de travailler à des températures proches du zéro absolu. Les grands équipements dorés que l'on voit sur les photos, ce sont des réfrigérateurs. L'ordinateur lui-même est une petite puce au fond. Le défi, c'est que le circuit produit quelques microwatts de chaleur, et cette chaleur génère du bruit qui détruit la cohérence quantique. Plus on augmente le nombre de qubits, plus c'est difficile de maintenir cette cohérence. Ce sont de vrais problèmes de physique.

“Même si on n'est pas du tout certain qu'un ordinateur quantique fonctionnel arrive bientôt, la question n'est plus celle de la certitude : c'est celle de la confiance”

Est-ce que ce genre de publication est de nature à freiner l'appétit institutionnel pour la blockchain et la tokenisation ?

À chaque fois qu'il y a un résultat comme celui-ci, ça érode un peu la confiance dans la cryptographie. Et les blockchains reposent principalement sur cette confiance — d'autant plus que dans un système décentralisé, il n'y a pas de tiers de confiance, toute la sécurité repose sur la cryptographie. Donc oui, ça pose des questions. Mais il y a des solutions : des solutions de migration existent.

Comment Ledger se prépare-t-il concrètement ?

Tant que Bitcoin, Ethereum et les grandes blockchains restent vulnérables, on a beau sécuriser nos devices, si quelqu'un peut voler des coins directement sur la blockchain, le wallet n'y changera rien. Cela dit, nous utilisons aussi la cryptographie pour nos propres systèmes : la mise à jour des devices, la preuve d'authenticité, etc. Nous travaillons à migrer ces briques vers des solutions post-quantiques. Nous avons aussi un système d'exploitation embarqué sur nos devices et nos HSM, qui expose des services cryptographiques aux applications qui tournent par-dessus. Ce que nous faisons en ce moment, c'est ajouter de nouveaux services cryptographiques post-quantiques.

Il y a un standard unique vers lequel tout le monde converge ?

Non, et c'est une des difficultés. Il y a plusieurs standards, et les débats ne sont pas les mêmes selon les écosystèmes. En gros, deux grandes familles d'algorithmes se distinguent. D'un côté, les schémas hash-based : on construit des primitives cryptographiques — notamment des signatures — à partir de fonctions de hachage, qui sont des fonctions à sens unique très bien étudiées depuis longtemps. On a un bon niveau de confiance dans leur sécurité. En revanche, les clés et les signatures sont volumineuses, ce qui pose des problèmes pratiques. De l'autre côté, on a les schémas lattice-based, fondés sur un autre type de problème mathématique. Le principe reste le même — il est facile de dériver une clé publique à partir d'une clé privée, mais l'inverse est très difficile. C'est moins étudié, les mathématiques sont pointues et maîtrisées par peu de personnes. Mais c'est plus élégant, ce qui permet des constructions plus efficaces.

Et Bitcoin et Ethereum ne font pas le même choix ?

Ethereum s'oriente plutôt vers les lattices, les constructions mathématiques avancées. Bitcoin penche davantage vers le hash-based. C'est assez symptomatique : une nouvelle ligne de fracture entre les deux écosystèmes, jusque dans les choix cryptographiques.

“Si on casse Bitcoin, ça sera un véritable problème, il faut migrer le plus rapidement possible”

Question simple en apparence : comment fait-on migrer une blockchain ?

C'est effectivement beaucoup plus simple dans un monde centralisé. Une entité décide, et elle exécute. Dans une blockchain, il faut trouver le consensus. Mais il ne faut pas sous-estimer non plus la difficulté de migrer le monde centralisé. Il y a de la cryptographie partout : dans les télécoms, le paiement, l'internet, la finance, la défense. Les implémentations sont dans du hardware, sur des serveurs, dans de vieux langages, dispersées dans des stacks entières. Et à chaque point de cryptographie, il y a deux parties : celui qui signe et celui qui vérifie. Cette migration sera un chantier immense, partout.

Concrètement, sur quoi la communauté Bitcoin doit-elle se mettre d'accord ?

La question centrale, c'est le nouvel algorithme de signature. On considère qu'ECDSA présente un risque, donc il faut le remplacer — soit par un schéma hash-based, soit lattice-based. Et dès que tu changes ça, tu crées une cascade de problèmes. Les nouvelles signatures sont plus volumineuses, il faut les stocker on-chain, donc chaque bloc contient moins de transactions. Le coût de vérification d'une signature augmente aussi, ce qui est un problème pour Bitcoin, où pouvoir faire tourner un nœud sur du matériel modeste a toujours été un principe fondamental.

Et la migration des fonds existants ?

C'est le problème le plus épineux. Tous les bitcoins qui existent aujourd'hui sont sur des adresses liées à l'ancienne cryptographie. Chaque utilisateur devrait créer une nouvelle adresse post-quantique et y transférer ses fonds. Sauf que Bitcoin traite environ 7 transactions par seconde. Si on remplissait tous les blocs uniquement avec des transactions de migration, il faudrait environ 8 mois rien que pour migrer les UTXO existants. On ne peut clairement pas attendre le dernier moment.

Et les bitcoins qui ne bougent pas ? Ceux dont les détenteurs ont perdu leurs clés, ou qui appartiennent à des entités disparues ?

C'est la question la plus difficile. Tu définis une période de migration — disons plusieurs années, minimum. À la fin de cette période, pour ceux qui n'ont pas bougé, tu n'as pas beaucoup d'options. Soit tu les laisses en l'état, en attendant que quelqu'un les casse un jour — ce n'est pas satisfaisant. Soit tu déclares qu'ils sont perdus : il n'y a plus 21 millions de bitcoins, il y en a 16 millions, par exemple. Soit tu réémets les bitcoins restants, ce qui n'est pas une mauvaise idée en soi — ça résoudrait aussi en partie le problème du budget de sécurité à long terme pour les mineurs. Mais ça pose un problème de souveraineté. Il n'y a pas de bonne solution ; toutes les options ont des inconvénients majeurs.

“La plupart des gens pertinents dans la communauté Bitcoin sont persuadés qu'il n'y aura pas d'ordinateur quantique de sitôt. Peut-être qu'ils ont raison. Peut-être pas”

La communauté Bitcoin est-elle consciente de l'enjeu ?

C'est assez récent comme prise de conscience. La plupart des gens avec qui j'ai discuté, qui sont vraiment dans le cœur de la communauté Bitcoin et pertinents sur ces sujets, sont persuadés qu'il n'y aura pas d'ordinateur quantique de sitôt et que c'est un faux problème. Peut-être qu'ils ont raison. Peut-être pas. Le problème, c'est qu'on n'en sait rien, et que la confiance se joue maintenant. On est déjà dans une phase de doute, et les progrès vont continuer.

Et du côté d'Ethereum, comment ça se passerait ?

Au début des discussions, il y avait une idée que je ne partageais pas du tout : puisqu'Ethereum est programmable, il suffirait de mettre ses tokens et ses ETH dans un smart contract — un smart wallet — dont la condition de dépense serait la vérification d'une signature post-quantique. En théorie, on peut implémenter un wallet post-quantique sur Ethereum dès maintenant.

Ça semble prometteur. Pourquoi ça ne vous convainc pas ?

Parce que ce n'est pas efficace — la vérification consomme beaucoup de gas — et surtout, ce n'est pas une solution pérenne. C'est un pansement. On ne peut pas dire que toutes les signatures sont cassées, mais que ce n'est pas grave parce qu'on a ce bout de scotch pour tenir le système. Il y a donc de vraies discussions en cours sur quel algorithme adopter et quels changements au niveau du protocole. Il y a un call toutes les deux semaines avec l'Ethereum Foundation auquel nous participons et où nous donnons notre avis.

Un hard fork de Bitcoin vous semble-t-il inévitable ?

Je pense que c'est la seule possibilité. Quelqu'un va sortir une nouvelle chaîne, dire que c'est Bitcoin, et proposer un Bitcoin post-quantum résistant, avec un débit plus élevé pour résoudre le problème de migration. C'est une possibilité. Ensuite, est-ce que les gens reconnaîtront cette blockchain comme étant Bitcoin ? On ne sait pas. Il y a aussi d'autres approches, comme ajouter un nouvel opcode qui permettrait de vérifier des preuves STARK directement sur Bitcoin via Starknet, ce qui relancerait l'intérêt pour le protocole au-delà de la seule question quantique.

‍

The Big Whale : Google vient de publier un article de recherche qui fait beaucoup parler dans l'écosystème crypto. Pouvez-vous nous expliquer simplement de quoi il s'agit ?

Charles Guillemet : Google a présenté un nouvel algorithme qui permet, en théorie, de casser ECDSA — c'est-à-dire la cryptographie à courbes elliptiques — de manière plus efficace. Cet algorithme s'appuie sur l'algorithme de Shor, l'un des deux grands algorithmes conçus pour briser la cryptographie asymétrique à l'aide d'un ordinateur quantique. Jusqu'ici, Shor était surtout bien étudié pour attaquer RSA, qui n'est pas utilisé dans les blockchains. Ce que nous utilisons, ce sont les courbes elliptiques, et la recherche sur l'application de Shor à ce type de cryptographie était moins avancée. Ce que Google montre, c'est un algorithme encore meilleur, qui permettrait théoriquement — avec un ordinateur quantique — de casser ECDSA et la cryptographie à courbes elliptiques en général.

Sauf que cet ordinateur quantique n'existe toujours pas…

C'est toujours le même problème. La recherche progresse sur deux fronts en parallèle. D'un côté, les algorithmes théoriques : quel est le meilleur algorithme, la meilleure implémentation, pour attaquer les courbes elliptiques de manière efficace. De l'autre, le hardware : construire un ordinateur quantique avec un nombre suffisant de qubits, et surtout un système stable. Les deux fronts avancent. Est-ce qu'on arrivera un jour à tout casser ? C'est de la roulette, personne ne sait. Ceux qui affirment que ça arrivera dans deux ou cinq ans sont souvent des gens qui ont quelque chose à vendre. Mais pour moi, ce n'est pas le sujet. Le vrai sujet, c'est la confiance dans la cryptographie, dans les mathématiques. À partir du moment où il y a un doute sur cette confiance, c'est le moment de résoudre le problème.

Quelles blockchains sont concernées par cette menace ?

Quasiment toutes. Il existe très peu de blockchains post-quantiques parmi les projets existants. Algorand a fait des choses, il y a des blockchains qui se positionnent sur le créneau PQC d'un point de vue marketing. Ensuite, il y a les Layer 2 et les protocoles basés sur les STARK — comme StarkNet — qui sont résistants par construction, avec quelques nuances. Mais globalement, il y en a très peu. Toutes les grosses blockchains sont vulnérables : Bitcoin, Ethereum, et les autres.

Vous mentionniez StarkNet parmi les blockchains les mieux préparées. Un mot là-dessus ?

StarkNet, d'un point de vue technologique, fait des choses très intéressantes qui font avancer la recherche bien au-delà des blockchains. Les STARK sont une vraie avancée scientifique, efficace et post-quantique résistante, avec quelques nuances. Pour autant, l'usage de StarkNet reste très faible aujourd'hui. C'est un exemple typique d'une technologie réussie avec une adoption basse. Alors que d'autres projets, techniquement moins aboutis, ont beaucoup plus de succès.

Quelle est votre position sur la migration des blockchains vers des systèmes résistants au quantique ?

Il faut migrer le plus rapidement possible. Même si on n'est pas du tout certain qu'un ordinateur quantique fonctionnel arrive bientôt, la question n'est plus celle de la certitude : c'est celle de la confiance. La confiance est érodée, donc il faut migrer. La vraie difficulté, c'est de trouver le consensus sur comment migrer et vers quoi — surtout sur Bitcoin.

Un point particulièrement original de l'article de Google : ils avancent une preuve sans révéler leur algorithme. Comment est-ce possible ?

C'est le point le plus fascinant de leur papier. C'est la première fois que je vois ça dans un article de recherche : les auteurs affirment avoir un résultat meilleur que l'état de l'art, mais ils n'expliquent pas comment. En revanche, ils fournissent une preuve mathématique — basée sur le zero-knowledge — que leur résultat est bien ce qu'ils prétendent. Personne ne peut réfuter ce qu'ils avancent, mais personne ne sait comment ils y parviennent. C'est à la fois élégant et complètement nouveau.

“C'est la première fois que je vois ça dans un article de recherche : ils ont un résultat fascinant, mais ils ne t'expliquent pas comment il est. Et pourtant, personne ne peut le réfuter”

Peut-on leur faire confiance ? Google a-t-il un intérêt à faire peur sur le sujet blockchain ?

L'article n'a pas encore été entièrement validé par la communauté scientifique — il faut laisser le temps au processus de peer review. Mais a priori, je n'ai pas de doute. Il y a Google derrière, et Dan Boneh figure parmi les signataires, c'est l'un des cryptographes les plus respectés au monde. Quant à un éventuel biais d'intérêt : Google n'a pas de blockchain post-quantique à vendre. Ce n'est pas comme les start-ups spécialisées en PQC qui annoncent l'armageddon dans deux ans — là, on est obligé de se poser la question de leur intérêt commercial. Pour Google, c'est moins évident. En tout cas, ils ont annoncé il y a quelques jours qu'ils prévoyaient de migrer leurs propres systèmes en 2029, et ce papier est publié juste après. Ça va dans le même sens.

On entend souvent que l'ordinateur quantique sera un supercalculateur universel. C'est une idée fausse ?

Complètement fausse. Les gens ont l'impression que l'ordinateur quantique, c'est un ordinateur classique mais beaucoup plus rapide. Pas du tout. La plupart des problèmes continueront d'être résolus plus efficacement par des ordinateurs classiques. Les algorithmes quantiques sont supérieurs pour quelques tâches très spécifiques, et la principale, c'est casser la cryptographie. C'est pour ça que le sujet est si central.

Où en est-on concrètement sur le hardware quantique ? Google parle de 2029…

En réalité, on ne sait pas grand-chose. Ce qu'on observe, c'est que les deux fronts progressent : les algorithmes théoriques s'améliorent, et le hardware aussi, avec de nombreuses technologies différentes qui exploitent des phénomènes quantiques variés. La difficulté principale reste d'obtenir un grand nombre de qubits stables dans le temps. Pour maintenir l'intrication entre les qubits, il faut un environnement avec le minimum de bruit, notamment thermique, ce qui implique de travailler à des températures proches du zéro absolu. Les grands équipements dorés que l'on voit sur les photos, ce sont des réfrigérateurs. L'ordinateur lui-même est une petite puce au fond. Le défi, c'est que le circuit produit quelques microwatts de chaleur, et cette chaleur génère du bruit qui détruit la cohérence quantique. Plus on augmente le nombre de qubits, plus c'est difficile de maintenir cette cohérence. Ce sont de vrais problèmes de physique.

“Même si on n'est pas du tout certain qu'un ordinateur quantique fonctionnel arrive bientôt, la question n'est plus celle de la certitude : c'est celle de la confiance”

Est-ce que ce genre de publication est de nature à freiner l'appétit institutionnel pour la blockchain et la tokenisation ?

À chaque fois qu'il y a un résultat comme celui-ci, ça érode un peu la confiance dans la cryptographie. Et les blockchains reposent principalement sur cette confiance — d'autant plus que dans un système décentralisé, il n'y a pas de tiers de confiance, toute la sécurité repose sur la cryptographie. Donc oui, ça pose des questions. Mais il y a des solutions : des solutions de migration existent.

Comment Ledger se prépare-t-il concrètement ?

Tant que Bitcoin, Ethereum et les grandes blockchains restent vulnérables, on a beau sécuriser nos devices, si quelqu'un peut voler des coins directement sur la blockchain, le wallet n'y changera rien. Cela dit, nous utilisons aussi la cryptographie pour nos propres systèmes : la mise à jour des devices, la preuve d'authenticité, etc. Nous travaillons à migrer ces briques vers des solutions post-quantiques. Nous avons aussi un système d'exploitation embarqué sur nos devices et nos HSM, qui expose des services cryptographiques aux applications qui tournent par-dessus. Ce que nous faisons en ce moment, c'est ajouter de nouveaux services cryptographiques post-quantiques.

Il y a un standard unique vers lequel tout le monde converge ?

Non, et c'est une des difficultés. Il y a plusieurs standards, et les débats ne sont pas les mêmes selon les écosystèmes. En gros, deux grandes familles d'algorithmes se distinguent. D'un côté, les schémas hash-based : on construit des primitives cryptographiques — notamment des signatures — à partir de fonctions de hachage, qui sont des fonctions à sens unique très bien étudiées depuis longtemps. On a un bon niveau de confiance dans leur sécurité. En revanche, les clés et les signatures sont volumineuses, ce qui pose des problèmes pratiques. De l'autre côté, on a les schémas lattice-based, fondés sur un autre type de problème mathématique. Le principe reste le même — il est facile de dériver une clé publique à partir d'une clé privée, mais l'inverse est très difficile. C'est moins étudié, les mathématiques sont pointues et maîtrisées par peu de personnes. Mais c'est plus élégant, ce qui permet des constructions plus efficaces.

Et Bitcoin et Ethereum ne font pas le même choix ?

Ethereum s'oriente plutôt vers les lattices, les constructions mathématiques avancées. Bitcoin penche davantage vers le hash-based. C'est assez symptomatique : une nouvelle ligne de fracture entre les deux écosystèmes, jusque dans les choix cryptographiques.

“Si on casse Bitcoin, ça sera un véritable problème, il faut migrer le plus rapidement possible”

Question simple en apparence : comment fait-on migrer une blockchain ?

C'est effectivement beaucoup plus simple dans un monde centralisé. Une entité décide, et elle exécute. Dans une blockchain, il faut trouver le consensus. Mais il ne faut pas sous-estimer non plus la difficulté de migrer le monde centralisé. Il y a de la cryptographie partout : dans les télécoms, le paiement, l'internet, la finance, la défense. Les implémentations sont dans du hardware, sur des serveurs, dans de vieux langages, dispersées dans des stacks entières. Et à chaque point de cryptographie, il y a deux parties : celui qui signe et celui qui vérifie. Cette migration sera un chantier immense, partout.

Concrètement, sur quoi la communauté Bitcoin doit-elle se mettre d'accord ?

La question centrale, c'est le nouvel algorithme de signature. On considère qu'ECDSA présente un risque, donc il faut le remplacer — soit par un schéma hash-based, soit lattice-based. Et dès que tu changes ça, tu crées une cascade de problèmes. Les nouvelles signatures sont plus volumineuses, il faut les stocker on-chain, donc chaque bloc contient moins de transactions. Le coût de vérification d'une signature augmente aussi, ce qui est un problème pour Bitcoin, où pouvoir faire tourner un nœud sur du matériel modeste a toujours été un principe fondamental.

Et la migration des fonds existants ?

C'est le problème le plus épineux. Tous les bitcoins qui existent aujourd'hui sont sur des adresses liées à l'ancienne cryptographie. Chaque utilisateur devrait créer une nouvelle adresse post-quantique et y transférer ses fonds. Sauf que Bitcoin traite environ 7 transactions par seconde. Si on remplissait tous les blocs uniquement avec des transactions de migration, il faudrait environ 8 mois rien que pour migrer les UTXO existants. On ne peut clairement pas attendre le dernier moment.

Et les bitcoins qui ne bougent pas ? Ceux dont les détenteurs ont perdu leurs clés, ou qui appartiennent à des entités disparues ?

C'est la question la plus difficile. Tu définis une période de migration — disons plusieurs années, minimum. À la fin de cette période, pour ceux qui n'ont pas bougé, tu n'as pas beaucoup d'options. Soit tu les laisses en l'état, en attendant que quelqu'un les casse un jour — ce n'est pas satisfaisant. Soit tu déclares qu'ils sont perdus : il n'y a plus 21 millions de bitcoins, il y en a 16 millions, par exemple. Soit tu réémets les bitcoins restants, ce qui n'est pas une mauvaise idée en soi — ça résoudrait aussi en partie le problème du budget de sécurité à long terme pour les mineurs. Mais ça pose un problème de souveraineté. Il n'y a pas de bonne solution ; toutes les options ont des inconvénients majeurs.

“La plupart des gens pertinents dans la communauté Bitcoin sont persuadés qu'il n'y aura pas d'ordinateur quantique de sitôt. Peut-être qu'ils ont raison. Peut-être pas”

La communauté Bitcoin est-elle consciente de l'enjeu ?

C'est assez récent comme prise de conscience. La plupart des gens avec qui j'ai discuté, qui sont vraiment dans le cœur de la communauté Bitcoin et pertinents sur ces sujets, sont persuadés qu'il n'y aura pas d'ordinateur quantique de sitôt et que c'est un faux problème. Peut-être qu'ils ont raison. Peut-être pas. Le problème, c'est qu'on n'en sait rien, et que la confiance se joue maintenant. On est déjà dans une phase de doute, et les progrès vont continuer.

Et du côté d'Ethereum, comment ça se passerait ?

Au début des discussions, il y avait une idée que je ne partageais pas du tout : puisqu'Ethereum est programmable, il suffirait de mettre ses tokens et ses ETH dans un smart contract — un smart wallet — dont la condition de dépense serait la vérification d'une signature post-quantique. En théorie, on peut implémenter un wallet post-quantique sur Ethereum dès maintenant.

Ça semble prometteur. Pourquoi ça ne vous convainc pas ?

Parce que ce n'est pas efficace — la vérification consomme beaucoup de gas — et surtout, ce n'est pas une solution pérenne. C'est un pansement. On ne peut pas dire que toutes les signatures sont cassées, mais que ce n'est pas grave parce qu'on a ce bout de scotch pour tenir le système. Il y a donc de vraies discussions en cours sur quel algorithme adopter et quels changements au niveau du protocole. Il y a un call toutes les deux semaines avec l'Ethereum Foundation auquel nous participons et où nous donnons notre avis.

Un hard fork de Bitcoin vous semble-t-il inévitable ?

Je pense que c'est la seule possibilité. Quelqu'un va sortir une nouvelle chaîne, dire que c'est Bitcoin, et proposer un Bitcoin post-quantum résistant, avec un débit plus élevé pour résoudre le problème de migration. C'est une possibilité. Ensuite, est-ce que les gens reconnaîtront cette blockchain comme étant Bitcoin ? On ne sait pas. Il y a aussi d'autres approches, comme ajouter un nouvel opcode qui permettrait de vérifier des preuves STARK directement sur Bitcoin via Starknet, ce qui relancerait l'intérêt pour le protocole au-delà de la seule question quantique.