Satoshi Nakamoto avait prédit la défense par hachage du Bitcoin 16 ans avant que les craintes liées à l'informatique quantique ne surgissent

Un message sur le forum qui a établi les règles

Le 16 juillet 2010, un utilisateur nommé bdonlan a remis en question le double hachage SHA-256 du Bitcoin sur le forum Bitcointalk. Il a demandé si cette conception affaiblissait la sécurité.

Satoshi a répondu directement. L’inventeur du Bitcoin a comparé le SHA-256 au passage de l’informatique 32 bits à l’informatique 64 bits, et non à une simple augmentation de la longueur en bits. Les ordinateurs ont épuisé l’espace d’adressage 32 bits à 4 gigaoctets, a-t-il expliqué, mais personne ne s’attend à ce que l’espace 64 bits soit épuisé de sitôt. Le SHA-256 fonctionne de la même manière, et les calculs montrent que le Bitcoin dispose d’une marge de manœuvre suffisante.

Satoshi a également prévu un plan de sortie pour le réseau. Si jamais la fonction SHA-256 venait à s’affaiblir, les développeurs pourraient procéder à un « soft fork » vers une nouvelle fonction de hachage à une hauteur de bloc définie. Les anciens et les nouveaux hachages fonctionneraient en parallèle jusqu’à ce que tous les nœuds aient effectué la mise à jour.

La capitalisation boursière de Bitcoin a depuis dépassé le billion, et le réseau traite quotidiennement des centaines de milliards de dollars. Chaque dollar de cette activité repose toujours sur la fonction de hachage que Satoshi a défendue dans une simple réponse sur un forum il y a seize ans.

Pourquoi Bitcoin utilise deux fonctions de hachage au lieu d’une seule

Le code de Bitcoin hachage les données deux fois : SHA256(SHA256(données)), une méthode que les développeurs appellent SHA256d. Les cryptographes Niels Ferguson et Bruce Schneier ont recommandé cette approche pour contrer les attaques par extension de la longueur de bloc, une faille de la structure Merkle-Damgard utilisée par SHA-2.

Les mineurs hachent deux fois les en-têtes de blocs pour atteindre l’objectif de difficulté du réseau, et les nœuds hachent deux fois les transactions pour construire des arbres de Merkle. Les portefeuilles ajoutent une troisième couche, RIPEMD-160 par-dessus SHA-256, pour raccourcir les clés publiques en adresses.

Satoshi a choisi SHA-256 pour une raison précise. L’Institut national des normes et des technologies (NIST) a publié cet algorithme en 2001 dans le cadre de la famille SHA-2, offrant un gain de sécurité considérable par rapport à SHA-1, qui présentait déjà des failles au moment du lancement de Bitcoin en janvier 2009. SHA-256 nécessite environ 2^128 opérations pour forcer une collision et environ 2^256 pour forcer une préimage. Seize ans plus tard, personne n’a encore réussi à contourner cette conception. Aucun chercheur n’a trouvé d’attaque par collision, par préimage ou par seconde préimage fonctionnelle contre le SHA-256 complet. Des versions à nombre de tours réduit ont été victimes de cryptanalyse, mais ces attaques cessent de s’amplifier avant d’atteindre l’algorithme réel à 64 tours. Le NIST et des groupes indépendants tels qu’ECRYPT-CSA continuent de considérer la fonction complète comme sécurisée. Le matériel de minage confirme cette tendance. Les fabricants de circuits intégrés spécifiques à une application (ASIC) ont développé des gammes de produits entières autour de SHA-256d, et le hashrate du réseau se situe désormais dans la fourchette des exahash. Satoshi avait prédit que la loi de Moore, à elle seule, ne menacerait jamais la fonction, et les ajustements de difficulté ont maintenu la durée de création des blocs à environ dix minutes malgré des gains exponentiels en puissance de minage.

L'informatique quantique change la donne

La force brute classique n’a jamais inquiété Satoshi, et elle ne menace toujours pas le Bitcoin. L’informatique quantique divise le risque en deux problèmes distincts.

L’algorithme de Grover accélère la recherche par force brute. Appliqué à SHA-256, il réduit la sécurité effective de 256 bits à environ 128 bits, un chiffre qui reste encore bien hors de portée. Les chercheurs affirment qu’un attaquant aurait besoin d’un matériel quantique d’une envergure que le monde n’a pas encore construite ; la sécurité reste donc assurée pour l’instant. L’algorithme de Shor pose un problème plus important, car il cible les signatures, et non les hachages. Un ordinateur quantique l’exécutant pourrait extraire une clé privée à partir d’une clé publique exposée sur la courbe elliptique utilisée par Bitcoin. On estime que 7 millions de bitcoins, soit près de 35 % de l’offre, se trouvent dans des adresses dont les clés publiques sont exposées et présenteraient un risque si ce matériel existait. Google Quantum AI a publié en 2026 une étude qui a ramené le nombre de qubits nécessaires pour casser la courbe de Bitcoin à environ 500 000 qubits physiques. Les machines quantiques actuelles fonctionnent avec un nombre de qubits compris entre 1 000 et 1 500. Les chercheurs estiment toujours que la menace deviendra réelle entre 2029 et 2035, en fonction des progrès réalisés en matière de correction d’erreurs.

Les développeurs reviennent sur la question seize ans plus tard

Satoshi est revenu à plusieurs reprises sur les préoccupations liées au hachage au cours de l’année 2010, notamment sur ce qui se passerait si SHA-256 subissait une collision partielle. Sa réponse est restée cohérente : verrouiller la chaîne honnête avant que le problème ne s’étende, puis migrer vers une nouvelle fonction.

Les mises à jour ultérieures de Bitcoin n’ont pas touché au hachage de base. Segregated Witness a été activé en 2017, et Taproot en 2021 ; ces deux mises à jour visaient l’efficacité et la confidentialité plutôt que le hachage. La résistance quantique n’est devenue un sujet prioritaire pour les développeurs qu’à partir des années 2020, lorsque la communauté cryptographique a pris conscience des algorithmes de Grover et de Shor.

Les développeurs proposent les « rampes de sortie » promises par Satoshi

Les développeurs de Bitcoin ont déjà proposé la voie de migration décrite par Satoshi en 2010, mais en la ciblant sur les signatures plutôt que sur les hachages. Plusieurs idées ont été avancées.

Le BIP-360 introduit un nouveau format d’adresse, les adresses « pay-to-Merkle-root » commençant par bc1z, conçues autour de schémas de signature résistants à l’attaque quantique. Les développeurs ont intégré cette proposition en 2026. Une proposition complémentaire, le BIP-361, expose comment le réseau pourrait à terme abandonner les anciens types d’adresses vulnérables. Cette dernière méthode est toutefois un peu plus controversée. Les fournisseurs de portefeuilles subissent désormais des pressions pour mettre fin à la réutilisation des adresses et orienter les utilisateurs vers les nouveaux types de sorties avant l’échéance quantique. La migration comporte ses propres obstacles. Les développeurs doivent encore élaborer un plan pour les bitcoins bloqués dans d’anciennes adresses dont les propriétaires sont inactifs ou injoignables, y compris les bitcoins liés aux premiers portefeuilles de Satoshi lui-même. Les signatures post-quantiques occupent également plus d’espace dans les blocs que les signatures utilisées aujourd’hui par Bitcoin, et les chercheurs testent actuellement des schémas de signature basés sur des hachages afin de rendre cette migration gérable.

Ce que cela signifie pour les détenteurs de bitcoins

À ce jour, le protocole SHA-256 ne nécessite aucune action particulière. La fonction de hachage qui sécurise l’historique du minage et des transactions reste à l’abri de toute attaque connue, qu’elle soit classique ou quantique.

C’est l’exposition des signatures qu’il convient de surveiller. Les détenteurs dont les bitcoins se trouvent dans des adresses de l’ancienne génération, ou toute personne ayant réutilisé une adresse Bitcoin, sont davantage exposés que ceux qui utilisent des types de sortie modernes avec des clés publiques qui restent cachées jusqu’au moment de la dépense. Satoshi a clôturé le fil de discussion de 2010 par un avertissement qui fait toujours office de ligne directrice. Toute attaque suffisamment puissante pour venir à bout de SHA-256 endommagerait probablement aussi ses cousins plus robustes, tels que SHA-512 ; une rupture totale semble donc peu probable en soi. La défense de Bitcoin n’a jamais reposé sur la permanence, mais sur la capacité à évoluer avant qu’une menace ne devienne réelle.