Bitcoin : cette erreur courante expose déjà 7 millions de BTC au risque quantique, vérifiez si votre portefeuille est concerné

Selon les dernières estimations de Glassnode, plus de 7,12 millions de bitcoins sont aujourd’hui considérés comme exposés au risque quantique Bitcoin. Cela représente 35,4 % de l’offre en circulation dont la clé publique est déjà visible sur la blockchain, condition nécessaire à une attaque par ordinateur quantique appliquant l’algorithme de Shor pour remonter à la clé privée.

Derrière ce pourcentage, il ne s’agit pas d’une faille découverte du jour au lendemain, mais du résultat de choix techniques et d’habitudes d’usage qui s’accumulent au fil des années : formats d’adresses anciens, réutilisation d’adresses, recours à Taproot qui rend la clé publique visible dès la réception. La vraie question devient alors simple : un détenteur peut-il agir dès maintenant pour réduire cette exposition sans attendre une refonte du protocole ? La réponse n’est pas si tranchée.

Risque quantique Bitcoin : que signifie une clé publique exposée ?

Chaque bitcoin est protégé par une paire de clés : une clé privée, qui permet de signer les transactions, et une clé publique, qui sert de base au script de verrouillage de l’UTXO. Quand seule une empreinte ou un hash de cette clé publique apparaît dans l’adresse, la clé elle-même reste cachée jusqu’à la première dépense. Quand la clé publique est déjà inscrite en clair dans l’historique, un ordinateur quantique suffisamment puissant pourrait, en théorie, l’exploiter pour calculer la clé privée via l’algorithme de Shor et signer une transaction frauduleuse.

Glassnode parle de quantum risk at rest lorsque des BTC restent associés à une clé publique déjà visible, même s’ils ne bougent plus depuis des années. Les analystes distinguent deux grandes familles d’exposition : une exposition structurelle, liée au type de script ou d’adresse choisi – anciennes sorties P2PK ou scripts Taproot par exemple, qui rendent la clé publique visible par conception – et une exposition opérationnelle, liée au comportement des utilisateurs, comme la réutilisation d’adreses après une dépense. Être classé comme “non exposé” signifie simplement que la clé publique n’apparaît pas encore sur la chaîne, pas que le système est déjà protégé par une cryptographie post-quantique.

Les chiffres de Glassnode sur les Bitcoins exposés au quantique

Le 10 novembre, Glassnode a recensé 7,12 millions de BTC dont la clé publique est visible, soit 35,4 % de l’offre en circulation. Sur cette part, l’explosion vient en grande partie de l’exposition opérationnelle : la réutilisation d’adresses touche à elle seule 25,8 % de l’offre totale, dont 11,6 % hébergés sur des plateformes d’échange. Le reste, soit 9,6 % de l’offre, provient de l’exposition structurelle liée au format de sortie, en particulier les anciennes sorties P2PK attribuées aux premiers mineurs, dont Satoshi Nakamoto, et les sorties Taproot qui affichent une clé publique dès la réception des fonds.

Cette photographie fait écho à un précédent travail de Glassnode daté du 20 mai 2026, qui estimait alors l’exposition “at rest” à 6,04 millions de BTC, soit 30,2 % de l’offre. En quelques mois, l’exposition aurait donc augmenté d’environ 1,08 million de BTC et de plus de cinq points de pourcentage. À mesure que le réseau vieillit, que des scripts plus complexes sont adoptés et que des adresses sont réutilisées, davantage de clés publiques se retrouvent inscrites sur la blockchain, ce qui élargit mécaniquement la surface potentielle d’attaque pour un futur ordinateur quantique capable de casser la cryptographie de Bitcoin.

Comment réduire aujourd’hui l’exposition de ses bitcoins au quantique ?

Pour les BTC considérés comme exposés à cause de la réutilisation d’adresses, la mesure immédiate reste assez simple : transférer les fonds vers une nouvelle adresse issue de son portefeuille dont la clé publique n’a jamais été révélée sur la blockchain. En pratique, cela revient à générer une nouvelle adresse de réception, envoyer la totalité du solde depuis l’ancienne, puis cesser de l’utiliser. Ce geste limite la durée pendant laquelle une même clé publique protège un montant important, ce qui complique une attaque qui reposerait sur un long travail de calcul en arrière-plan.

Le cas de Taproot est plus subtil. Ce script améliore la confidentialité de certains scénarios et peut réduire les frais, mais dans le cadre précis du risque quantique Bitcoin, il rend une clé publique visible dès la réception des fonds. Un utilisateur qui souhaite minimiser l’exposition “at rest” peut donc privilégier des adresses dont la clé publique reste masquée tant que l’UTXO n’est pas dépensé, et éviter de réutiliser une adresse après une première transaction. Un portefeuille matériel protège la clé privée contre de nombreuses attaques classiques, mais il ne change rien au fait que la clé publique associée puisse déjà être écrite dans la blockchain.

Reste la question du calendrier. Aucun ordinateur quantique connu aujourd’hui n’est capable de casser la cryptographie utilisée par Bitcoin. Les prototypes existants souffrent encore d’un taux d’erreur élevé et doivent être refroidis par des systèmes complexes ; il faudrait en plus que le coût de la machine, de son refroidissement et de l’électricité reste inférieur à la valeur des BTC dérobables. Le NIST évoque pour beaucoup d’applications quantiques un horizon de plusieurs années, parfois de plusieurs décennies, ce qui laisse du temps au réseau pour débattre d’éventuelles solutions post-quantiques, pendant que les détenteurs soignent déjà leur hygiène d’adresses.