Alice & Bob : Shor sur secp256k1 en 30 000 qubits cat et une heure, selon ePrint 2026/2665

L'équipe de recherche d'Alice & Bob, startup française d'informatique quantique, a publié le 28 octobre 2026 un article soumis à l'archive ePrint de l'IACR qui refait les comptes de l'algorithme de Shor sur l'architecture à qubits cat. Le papier estime que casser ECDLP sur secp256k1 — la courbe elliptique qui protège les signatures Bitcoin et Ethereum — demanderait au plus 30 000 qubits cat et environ une heure. Pour RSA-2048, les auteurs affichent 22 593 qubits en 3,14 jours. Les chiffres sont présentés comme des estimations de ressources, pas comme une démonstration : aucune machine à qubits cat de cette taille n'existe aujourd'hui.

Ce qui est publié

Référence : Axel Pappalardo, Dahmun Goudarzi, Victor Hertz, Hugo Jacinto, Larissa Kroell, André Schrottenloher, Peter Shanahan, Élie Gouzien, Rémi de La Vieuville, Vivien Londe. Shor's algorithm compiled on cat qubits: 22 593 qubits for RSA-2048 in 3.14 days. IACR ePrint 2026/2665, reçu et approuvé le 2026-10-28, licence CC BY 4.0. Lien court : ia.cr/2026/2665.

Affiliations. La majorité des auteurs est chez Alice & Bob ; Hugo Jacinto est aussi à Paris-Saclay, CEA, CNRS ; André Schrottenloher à Univ Rennes, Inria ; Peter Shanahan à l'École d'informatique d'Édimbourg.

Portée. Shor appliqué à trois cibles cryptographiques — RSA (factorisation), ECDLP (log discret sur courbe elliptique), FFDLP (log discret sur corps fini) — compilé sur deux architectures de qubits cat : codes répétition et codes LDPC.

Mécanique — pourquoi les qubits cat changent le budget

Les qubits dits « cat » codent l'information dans des états cohérents d'un oscillateur. L'intérêt pratique : une classe d'erreurs — les basculements de bit (bit-flips) — est supprimée au niveau matériel, laissant essentiellement les erreurs de phase à corriger par code. Résultat, le nombre de qubits physiques à ajouter par qubit logique utile chute. Le papier combine ce socle à trois briques algorithmiques :

1. Une porte parity-CNOT adaptée aux qubits cat.
2. L'extension d'un CNOT multi-cible à l'architecture LDPC-cat.
3. L'adaptation de l'adder RSA-2048 de Gidney (2025) et des factories de magic states et de la compilation lookup de l'estimation FeMoco de Kroell et al.

Les chiffres rapportés sont donc issus d'une compilation complète — circuit logique traduit en opérations physiques, pavé sur une puce avec son schedule — pas d'un calcul enveloppe.

Chiffres

- RSA-2048, configuration principale              : ~23 000 qubits cat, 3,14 jours
- RSA-2048, espace-temps (plus de qubits, plus vite): ~611 000 qubits cat, 1,25 h
- RSA-2048, bit-flip relâché (concaténation d-3)   : ~45 000 qubits cat
- ECDLP secp256k1, maximum                         : ≤30 000 qubits cat, ~1 h
- FFDLP-512, benchmark intermédiaire               : ~6 700 qubits cat, 21 min

Hypothèses communes : cycle d'erreur correcteur 1 µs, temps de réaction 10 µs, bruit de phase au niveau du circuit p_Z = 5×10⁻⁴, et pas de bit-flips — ce dernier point correspond à un temps caractéristique de bit-flip d'environ 100 ans. Une couche de concaténation supplémentaire relâche cette hypothèse à environ une heure de temps de bit-flip, au prix de qubits en plus.

Lecture — ce que cela veut dire pour Bitcoin et Ethereum

ECDLP sur secp256k1 est le cœur d'ECDSA, l'algorithme de signature utilisé par Bitcoin et Ethereum. Casser ECDLP sur une clé publique donnée équivaut à retrouver la clé privée associée. Deux précisions importantes :

• Les clés publiques doivent être exposées. Pour Bitcoin, l'exposition dépend du type d'adresse. Une adresse qui a déjà dépensé expose sa clé publique dans la transaction correspondante. Les sorties jamais dépensées (ex. clés publiques jamais révélées sur P2PKH ou P2WPKH) restent protégées tant que leur hash n'est pas inversé. Pour Ethereum, les adresses sont des hash de clés publiques mais toute signature émise expose la clé publique du signataire.
• Le papier ne compare pas directement à l'estimation Google 2025. Les auteurs réutilisent l'adder de Gidney (2025) et un design de factories de Kroell et al., mais aucun chiffre comparatif consolidé n'est donné dans l'abstract. La société, dans sa communication reprise par Cryptoast, met en avant un ordre de grandeur 40 fois inférieur sur RSA-2048 par rapport aux résultats antérieurs de Google. La comparaison exacte est à faire sur le texte complet.

Limites — ce que l'article ne prétend pas

• Aucun calculateur à qubits cat n'approche de ces tailles. Alice & Bob affiche publiquement une feuille de route visant 100 qubits logiques en 2030 pour sa série de puces Graphene.
• La durée d'une heure pour ECDLP dépasse largement le temps de bloc Bitcoin de 10 minutes. Dans la citation du PDG Théau Peronnin : « Pour Bitcoin, environ une heure dépasse le temps de bloc de 10 minutes du réseau : les transactions en cours restent donc hors de portée. » L'attaque viserait donc d'abord les clés publiques déjà exposées et non les transactions en flight.
• Les hypothèses de bruit sont agressives. p_Z = 5×10⁻⁴ et pas de bit-flips à l'horizon de la journée sont des cibles matérielles, pas des mesures.

Supply BTC exposée

Les estimations circulantes mentionnent un ordre de grandeur de 7 millions de BTC sur des adresses dont la clé publique est déjà exposée (chiffre attribué à Coinbase, juin 2026). Ce chiffre ne vient pas du papier Alice & Bob — c'est l'ordre de grandeur à ajouter pour comprendre à quelle partie du stock s'appliquerait la menace, si l'hypothèse hardware se matérialisait.

Pattern — où ce papier s'inscrit

C'est la troisième révision à la baisse majeure du budget matériel pour Shor publiée en moins de deux ans :

• Litinski (2023) : environ 9 millions de qubits physiques pour RSA-2048.
• Gidney et al. (Google, mai 2025) avec Stanford et l'Ethereum Foundation : moins de 500 000 qubits physiques et environ 9 minutes.
• Alice & Bob (ePrint 2026/2665, octobre 2026) : ~23 000 qubits cat pour RSA-2048, ≤30 000 pour ECDLP secp256k1.

Chaque révision déplace la fenêtre d'horizon et accélère la pression sur les travaux de cryptographie post-quantique et de migration des sorties exposées. Bitcoin n'a pas de BIP post-quantique activé en mainnet à ce jour, et le débat communautaire tourne autour d'options Lamport/Winternitz, Falcon et SLH-DSA, sans consensus de déploiement.

Que surveiller

1. Publication d'une version révisée du papier avec comparaisons normalisées à Gidney (2025).
2. Avancement des feuilles de route hardware d'Alice & Bob et des concurrents (IBM, Google, PsiQuantum, Quantinuum) vers plusieurs milliers de qubits logiques.
3. Travaux de BIP post-quantique côté Bitcoin et de transition de signature côté Ethereum (ex. account abstraction + schémas post-quantiques).
4. Position des régulateurs — notamment NIST et ENISA — sur un calendrier de migration pour les signatures d'actifs numériques.

L'article d'Alice & Bob n'est pas, en l'état, une menace matérielle. C'est une mise à jour de budget sur une hypothèse hardware. L'écart entre un budget et une machine reste de dix mille à cent mille fois le nombre de qubits manipulés aujourd'hui en production. Ce que change ce papier, c'est l'intensité avec laquelle les équipes protocolaires ont intérêt à ouvrir sérieusement le chantier post-quantique avant que l'écart ne se referme.