Le dilemme de la taille des blocs post-quantique : que devient la scalabilité on-chain quand les signatures passent de 64 octets à 3,3 KB ?
Un message publié sur r/btc met en avant un problème rarement abordé dans la transition vers la cryptographie post-quantique : la taille des signatures. Selon son auteur, le passage à ML-DSA-65 à la place de secp256k1 ferait exploser le volume de données à propager sur la couche de base, au point de créer un goulet d’étranglement physique.
Des signatures bien plus lourdes
Le poste rappelle d’abord les ordres de grandeur actuels. Une signature compacte en secp256k1 pèse environ 64 bytes, tandis qu’une clé publique compressée atteint environ 33 bytes. À l’inverse, une signature ML-DSA-65 est donnée à environ 3,309 bytes, et sa clé publique à environ 1,952 bytes.
« That is an immediate ~50× footprint multiplier per input before accounting for script or transaction metadata », souligne l’auteur, qui met en avant une multiplication d’environ 50× de l’empreinte par entrée. Cette hausse s’appliquerait avant même d’ajouter les métadonnées de script ou de transaction.
Pour illustrer l’effet sur la propagation des blocs, le texte prend l’exemple d’un réseau traitant 2,000 transactions par bloc avec en moyenne 1.5 inputs par transaction. Dans le cas des courbes elliptiques classiques, les données de witness consommeraient environ 300 KB. Avec ML-DSA-65, la même série de transactions exigerait environ 15 MB à 16 MB de données brutes de signature.
Les limites évoquées pour la couche de base
Le message va plus loin en affirmant que, dans des régimes à haut débit, par exemple à partir de 50–100+ tx/sec, la taille des blocs grimperait immédiatement vers des centaines de mégaoctets. Sur les réseaux de gossip P2P classiques, cela créerait selon lui des risques d’orphelinage, des coûts d’allocation mémoire dans les runtimes asynchrones, ainsi qu’une saturation de la bande passante montante pour les opérateurs de nœuds indépendants.
Face à ce problème, plusieurs pistes sont citées. La première est l’agrégation récursive STARK/SNARK, qui consisterait à prouver des centaines de signatures de type lattice dans une seule preuve succincte, au prix d’une forte latence de calcul pour le prouveur. L’auteur mentionne aussi des schémas alternatifs comme Falcon / FN-DSA, présenté comme plus compact avec des signatures d’environ 666 bytes, mais difficile à implémenter de façon sécurisée à cause des opérations en virgule flottante et de la complexité d’un code constant-time résistant aux attaques temporelles.
Une troisième option évoquée est la Tiered Witness Propagation, qui séparerait la vérification brute des signatures, confiée à des nœuds de consensus à haut débit, de la diffusion générale de l’état. Dans ce modèle, les nœuds grand public ou légers vérifieraient seulement des engagements cryptographiques succincts, comme des racines de Merkle en SHA3-256, et des preuves à la demande.
Le message se termine par une question ouverte adressée aux partisans du scaling on-chain : « When quantum migration becomes non-negotiable, how should base layers handle the 50x witness data explosion without compromising full-node auditability? »
