Le défi quantique : faut-il geler les cryptomonnaies ?

Bitcoin Magazine

La question quantique : faut-il geler les bitcoins ou non ?

Le débat quantique autour de Bitcoin est un véritable bourbier. Il ne s’agit pas simplement d’un débat technique sur les compromis entre différents types de cryptographie et leur résistance à un ordinateur quantique théorique. Il s’agit de déterminer quelles valeurs de l’éthique de Bitcoin priment lorsqu’il est confronté à un dilemme difficile : respecter la promesse que leurs propriétaires pourront dépenser les bitcoins valides, ou privilégier la sécurité du système en empêchant qu’une part importante de sa masse monétaire soit dérobée en exploitant une vulnérabilité connue depuis de nombreuses années.

Au cœur de cette controverse se trouve un dilemme : chaque option sérieuse enfreint un principe cher aux utilisateurs de Bitcoin. Ne rien faire pourrait préserver les règles de consensus actuelles, tout en permettant à de futurs acteurs dotés de capacités quantiques de s’emparer de bitcoins sans le consentement de leurs propriétaires. Geler les bitcoins vulnérables pourrait empêcher ce vol, mais invaliderait rétroactivement des conditions de dépense établies de longue date. Imposer une migration vers des signatures résistantes aux attaques quantiques pourrait relever d’une ingénierie prudente, mais aussi ressembler à un régime de confiscation assorti d’une échéance. Le débat est houleux parce qu’aucune voie ne permet de préserver parfaitement, en même temps, les droits de propriété, la prévisibilité économique, la résistance à la censure, la rétrocompatibilité et la souveraineté des utilisateurs.

C’est pourquoi je trouve ce problème fascinant. Il comporte de multiples facettes : il est à la fois technique, sociologique, philosophique et économique. Toute discussion sérieuse de ce problème doit donc en examiner tous les aspects.

Tout au long de cet essai, je défendrai l’idée que le débat sur la migration quantique est bien plus nuancé qu’une simple question consistant à savoir s’il faut ou non geler les bitcoins vulnérables. Il s’agit plutôt de déterminer comment réduire au minimum les atteintes globales aux droits de propriété lorsque les signatures à courbe elliptique ne permettent plus d’authentifier de manière fiable les propriétaires légitimes.

La menace quantique

Le mécanisme d’autorisation actuellement utilisé par Bitcoin pour garantir que seuls leurs propriétaires légitimes dépensent les fonds repose sur la cryptographie à courbe elliptique. Les signatures ECDSA historiques et les signatures Schnorr utilisent toutes deux la courbe elliptique secp256k1. Dans le cadre des hypothèses ordinaires de l’informatique classique, il est impossible, en pratique, de déduire une clé privée à partir d’une clé publique. Un ordinateur quantique suffisamment puissant pour avoir une pertinence cryptographique et exécutant l’algorithme de Shor remet en cause cette hypothèse : dès qu’une clé publique est disponible, un attaquant quantique suffisamment puissant pourrait en déduire la clé privée correspondante et signer une transaction permettant de dépenser les fonds, que le réseau accepterait comme valide. Les ordinateurs quantiques menacent donc de briser l’hypothèse de difficulté du calcul permettant de passer d’une clé publique à une clé privée, sur laquelle reposent ECDSA et Schnorr.

Cette distinction est importante, car toutes les sorties Bitcoin ne révèlent pas les mêmes informations au même moment. Certains types de sorties révèlent immédiatement une clé publique et restent vulnérables indéfiniment. D’autres dissimulent la clé publique derrière un hachage jusqu’à ce que leur propriétaire dépense les fonds. Cela donne lieu à deux grandes catégories d’attaques. Une attaque à longue portée cible les sorties dont les clés publiques sont déjà visibles sur la chaîne, comme les anciennes sorties pay-to-public-key et les sorties Taproot. Une attaque à courte portée cible les pièces au moment où elles sont dépensées : le propriétaire diffuse une transaction, la clé publique devient visible et un attaquant quantique rapide tente de retrouver la clé privée assez vite pour remplacer la transaction ou la devancer.

La menace pour le minage est différente. En théorie, l’algorithme de Grover peut accélérer la recherche par force brute d’un hachage de bloc valide, mais il n’offre qu’une accélération quadratique, tandis que l’algorithme de Shor offre une accélération superpolynomiale. L’avantage concurrentiel est donc bien moins important, ce qui rend beaucoup moins pertinent le recours à un ordinateur quantique pour le minage.

La menace quantique quantique

Il est amusant de constater que la menace des ordinateurs quantiques est elle-même dans un état quantique de superposition. Un ordinateur quantique dont il faudrait se préoccuper sera peut-être construit, ou peut-être pas, et personne ne peut prouver ni réfuter que cela arrivera. Les sceptiques du quantique ne contestent pas que l’algorithme de Shor pourrait casser l’ECC. Ils affirment qu’il n’y a aucune bonne raison de croire que nous construirons un jour le type d’ordinateur quantique puissant et tolérant aux pannes nécessaire pour exécuter l’algorithme de Shor à une échelle pertinente sur le plan cryptographique.

Tout le monde s’accorde à dire qu’il est impossible de casser l’ECC avec les processeurs quantiques bruités d’aujourd’hui. Cela nécessite de nombreux qubits logiques fiables, des taux d’erreur extrêmement faibles, de longs calculs avec une cohérence élevée, ainsi qu’une correction d’erreurs quantiques fonctionnant avec succès à grande échelle.

Un argument sceptique de poids est que le théorème du seuil de tolérance aux pannes quantiques repose sur des hypothèses qui ne sont peut-être pas réalisables physiquement avec la précision requise. Ces hypothèses comprennent un bruit suffisamment indépendant, des portes suffisamment précises, des interactions indésirables limitées et la capacité de maintenir les erreurs sous un seuil acceptable dans un système de très grande taille. Mikhail Dyakonov soutient que le théorème suppose des conditions idéalisées et ne nous indique pas la précision d’ingénierie réellement nécessaire pour satisfaire chaque hypothèse dans un dispositif réel.

La critique de Gil Kalai est plus structurelle. Selon lui, les systèmes quantiques réalistes peuvent être affectés par un bruit corrélé et son accumulation, ce qui empêche la formation de codes quantiques correcteurs d’erreurs de haute qualité. Dans son article de 2011, il avance que les réalisations physiques des codes quantiques, les corrélations dans les systèmes stochastiques et l’accumulation du bruit pourraient entraîner l’échec des ordinateurs quantiques évolutifs.

C’est peut-être l’argument sceptique le plus fort : la correction d’erreurs quantiques ne fonctionne que si le bruit peut être maîtrisé. Si les systèmes réels comportant un grand nombre de qubits génèrent des erreurs corrélées de manière antagoniste, alors ajouter des qubits pourrait bien rendre l’ordinateur plus fragile et moins fiable.

La capacité des systèmes quantiques à passer à l’échelle reste une grande inconnue. Les sceptiques font valoir que les progrès réalisés avec 50, 100 ou 1 000 qubits physiques ne se transposent pas automatiquement à des millions de qubits physiques ou à des milliers de qubits logiques. Les systèmes quantiques sont analogiques, délicats et couplés à leur environnement. Le défi technique ne consiste pas simplement à « ajouter des qubits », mais à « en ajouter tout en réduisant la diaphonie, les fuites, les erreurs corrélées, la dérive d’étalonnage, les effets thermiques, les erreurs de mesure, les variations de fabrication et le bruit de commande ». C’est pourquoi les critiques rejettent les extrapolations simplistes des échéanciers. À leurs yeux, le raisonnement « nous avons multiplié le nombre de qubits par X cette décennie, donc nous viendrons à bout de l’ECC d’ici l’année Y » est peu convaincant.

Enfin, les démonstrations d’ordinateurs quantiques ont montré que les appareils actuels ne peuvent surpasser les simulations classiques que pour des tâches d’échantillonnage soigneusement sélectionnées. Les critiques ont raison de dire que cela ne nous apprend pas grand-chose sur l’exécution d’algorithmes longs et structurés, comme l’algorithme de Shor, avec une fiabilité suffisante pour retrouver une clé privée ECC de 256 bits.

Pourquoi la migration post-quantique est importante

À supposer qu’un ordinateur quantique capable de compromettre la cryptographie fasse son apparition, le simple fait d’ajouter la possibilité pour les utilisateurs de Bitcoin d’opter pour la cryptographie post-quantique ne suffira pas à empêcher une attaque quantique. L’ensemble des bitcoins vulnérables aux attaques quantiques comprend les anciens bitcoins verrouillés par des sorties pay-to-public-key, ceux contrôlés par des clés publiques réutilisées, les sorties Taproot et les cas où des clés publiques ou des clés publiques étendues ont été révélées hors chaîne. Un chiffre frappant concerne la concentration de BTC dans les anciennes sorties P2PK : elles ne représentent qu’une infime fraction des UTXO en nombre, mais une part bien plus importante de la valeur, soit environ 1,7 million de BTC. Des estimations plus larges, fondées sur l’analyse on-chain des types de sorties, des habitudes d’activité et des propriétaires connus, nous amènent à penser qu’au moins 2,6 millions de BTC resteraient vulnérables, même si tous les utilisateurs actifs de Bitcoin migraient leurs portefeuilles vers la cryptographie post-quantique.

Ainsi, même avec une cryptographie post-quantique (PQ) à adhésion volontaire, il faut s’attendre à ce qu’un ensemble de pièces vulnérables suffisamment important pour constituer un risque systémique subsiste indéfiniment. Un attaquant quantique pourrait utiliser ces pièces pour nuire au système de nombreuses façons, et pas seulement en les vendant et en faisant baisser le cours au comptant du BTC. Protéger ces pièces vulnérables contre une menace quantique nécessite donc une modification des règles qui permettrait effectivement de « tenir à l’écart » un attaquant quantique.

Le discours autour de cette question emploie souvent des termes comme « confiscation », « destruction », « gel », « vol » ou « récupération », mais ceux-ci désignent des mécanismes différents. Un gel ne transférerait pas les pièces à l’État, aux mineurs, aux développeurs ou à un fonds de récupération. Dans sa forme la plus simple, il s’agirait de modifier les règles de consensus afin que certaines sorties ne puissent plus être dépensées au moyen de signatures ECDSA ou Schnorr vulnérables. C’est pourquoi les partisans de cette mesure disent parfois « détruire » plutôt que « confisquer » : les pièces ne sont pas réattribuées ; elles deviennent inutilisables avec leur clé privée. Mais pour un propriétaire légitime qui possède toujours la clé d’origine, l’effet concret peut tout de même ressembler à une confiscation : une dépense qui était valide ne l’est plus.

BIP-361 divise le concept de migration en plusieurs phases. D’abord, une fois qu’un type d’adresse résistant aux attaques quantiques existera, le réseau Bitcoin n’autorisera plus l’envoi de nouveaux bitcoins vers des adresses vulnérables aux attaques quantiques. Plus tard, après une période de plusieurs années, les dépenses utilisant les signatures ECDSA et Schnorr historiques deviendront invalides. Enfin, reste la question des options de récupération pour les utilisateurs capables de prouver qu’ils sont les propriétaires légitimes, sans s’appuyer uniquement sur l’ECC compromis — par exemple au moyen d’une preuve à divulgation nulle de connaissance dérivée d’une phrase de récupération ou de la structure d’un portefeuille HD. L’objectif principal de la proposition n’est pas de choisir un algorithme de signature post-quantique ; il s’agit plutôt de créer des incitations et des échéances afin que les utilisateurs, les plateformes d’échange, les dépositaires, les portefeuilles et les institutions migrent effectivement dans les délais, ce qui nous permettra de déprécier l’ECC afin de prévenir une attaque quantique.

Les arguments en faveur du gel

L’argument le plus solide en faveur du gel part d’une affirmation simple : un attaquant quantique qui déduit une clé privée à partir d’une clé publique n’est pas le propriétaire légitime, au sens moral du terme. Selon cette conception, « laisser simplement les pièces vulnérables se faire prendre » n’est pas une position neutre : cela revient à laisser une nouvelle catégorie d’acteurs piller d’anciennes sorties parce que le protocole n’a pas renforcé un verrou dont on sait qu’il est vulnérable. Les partisans du gel soutiennent que les préjudices causés par le fait de laisser les vols quantiques se produire ne toucheraient pas seulement les propriétaires négligents, mais tous les détenteurs, car une razzia quantique réussie redistribuerait la richesse au profit de ceux qui disposeraient les premiers d’une capacité quantique. Cela pose problème, car une telle quantité de bitcoins entre les mains d’un seul acteur, qui aurait engagé relativement peu de ressources pour les obtenir, pourrait représenter un grave danger pour la sécurité de l’écosystème. Le modèle de sécurité de Bitcoin repose sur l’hypothèse que les participants agissent de manière économiquement rationnelle et sont incités à protéger la valeur de leurs pièces, mais un acteur doté de capacités quantiques peut remettre en cause cette hypothèse. Selon la position en faveur du gel, Bitcoin ne devrait pas récompenser les premières entités capables de casser la cryptographie à courbes elliptiques en leur fournissant des moyens susceptibles d’être utilisés pour nuire au système.

Cet argument vaut tout particulièrement pour les bitcoins que l’on pense perdus. Si des attaquants quantiques peuvent soudainement récupérer des bitcoins perdus, l’offre en circulation augmente de fait. Cela ne viole pas le plafond formel de 21 millions, mais change la donne économique : des bitcoins que le marché pouvait considérer comme inertes peuvent revenir en circulation, éventuellement très rapidement et se retrouver entre les mains d’un nombre restreint de détenteurs.

Les partisans du gel soutiennent également que la menace ne se limite pas à une simple recherche de profit. Un adversaire disposant de capacités quantiques pourrait s’en prendre politiquement à Bitcoin, déstabiliser les marchés, saper la confiance du public, perturber le réseau pendant de nombreuses années, voire acquérir suffisamment de puissance de hachage pour lancer une attaque à 51 % contre le réseau. L’analyse de la théorie des jeux à l’œuvre montre qu’on ne peut pas simplement supposer qu’un attaquant raflera les BTC vulnérables pour les vendre, puis s’en ira tranquillement : les stratégies possibles et les issues indésirables sont bien plus nombreuses.

Source : BitcoinMagazine