BIP-361 : la proposition qui gèlerait les bitcoins non migrés face au risque quantique

Une proposition intégrée au dépôt des BIP

Le BIP-361, intitulé « Post Quantum Migration and Legacy Signature Sunset », a été fusionné dans le dépôt bitcoin/bips le 14 avril 2026 par l'éditeur Murch, selon l'historique de la demande de fusion n° 1895, ouverte en juillet 2025. Ses six auteurs sont Jameson Lopp, Christian Papathanasiou, Ian Smith, Joe Ross, Steve Vaile et Pierre-Luc Dallaire-Demers.

Cette intégration attribue un numéro au texte. Elle ne vaut pas adoption : le BIP porte le statut « Draft » (brouillon) et décrit une modification par soft fork qui nécessiterait un large consensus des nœuds, des mineurs et des portefeuilles avant toute activation. Le document dépend aussi d'un futur BIP définissant un type d'adresse post-quantique, encore à écrire.

Le risque visé : les clés publiques déjà exposées

Les auteurs partent d'un constat chiffré. « Au 1er mars 2026, plus de 34 % de tous les bitcoins ont révélé une clé publique on-chain », écrivent-ils dans le texte du BIP-361. Ces fonds pourraient être volés par un attaquant disposant d'un ordinateur quantique suffisamment puissant, capable de retrouver une clé privée à partir de la clé publique.

Le BIP cite les trois schémas de signature post-quantiques normalisés par le NIST en 2024 et des feuilles de route qui situent l'arrivée d'un ordinateur quantique capable de casser la cryptographie actuelle entre 2027 et 2030. Il vise en particulier les anciennes sorties P2PK et P2TR, dont la clé publique est visible sur la chaîne, ainsi que les adresses réutilisées.

Un calendrier en plusieurs phases

Dans la version intégrée le 14 avril, le mécanisme comptait trois étapes :

• Phase A : 160 000 blocs après l'activation, soit environ trois ans, il devient impossible d'envoyer des fonds vers une adresse vulnérable. Les anciennes adresses ne peuvent plus qu'envoyer vers des adresses post-quantiques.
• Phase B : deux ans plus tard, cinq ans après l'activation, les dépenses signées en ECDSA ou Schnorr deviennent invalides. Les fonds non migrés sont gelés.
• Phase C, « à définir » : un BIP séparé permettrait de récupérer ces fonds par une preuve à divulgation nulle de connaissance de la phrase de récupération BIP-39 associée.

Les auteurs assumaient le caractère inédit du projet, « radicalement différent de tout ce qu'a connu Bitcoin ». Ils présentaient aussi la perte définitive des clés abandonnées comme une réduction de l'offre, en s'appuyant sur une citation de Satoshi Nakamoto reproduite dans le texte : les pièces perdues « rendent celles des autres un peu plus précieuses ».

Le débat sur la confiscation

Le cœur de la controverse tient à la phase B. Bitcoin repose sur l'idée que les fonds d'une adresse n'appartiennent qu'au détenteur de la clé privée. Invalider des signatures revient à rendre inutilisables des pièces que personne n'a déplacées, y compris celles minées dans les premières années du réseau, dont les clés sont peut-être perdues.

Le texte répond que l'alternative serait de laisser ces fonds aux premiers acteurs dotés d'une capacité quantique. Il distingue trois familles de propositions : laisser voler les pièces vulnérables, les détruire, ou les rendre récupérables par leurs seuls détenteurs légitimes.

Ce qui s'est passé depuis

Trois jours après l'intégration, le 17 avril 2026, une modification intitulée « Corrections to BIP-0361 on rescue protocols » a revu le mécanisme. La phase C a disparu en tant que telle. La phase B ne rend plus les signatures ECDSA et Schnorr invalides : elle les soumet à un « protocole de sauvetage » résistant au quantique, censé bloquer un attaquant tout en laissant le détenteur légitime dépenser ses fonds.

La version actuelle du BIP-361 donne un exemple : les portefeuilles conformes à BIP-32 depuis 2012 utilisant une dérivation renforcée pourraient prouver la connaissance de leur clé privée étendue parente, qu'un attaquant quantique ne connaîtrait vraisemblablement pas. Elle mentionne aussi des travaux sur des preuves ZK-STARK. Les auteurs reconnaissent qu'il reste à établir quelle part de l'offre ancienne ces protocoles pourraient couvrir. Si elle est majoritaire, la restriction serait « au plus légèrement confiscatoire », selon le texte.

Le BIP reste au stade de brouillon. Aucun calendrier d'activation n'y figure.

À lire aussi : Bitcoin Core.