Bitcoin constitue un modèle décentralisé de monnaie numérique. En cela, il évite le recours à un tiers de confiance, qui constituerait un point de défaillance unique du système. Comme l'ont montré les exemples de eCash, des devises en or numérique et de Liberty Reserve, la centralisation d'un système voulant constituer une alternative au système en place mène inévitablement à sa fermeture, d'une façon ou d'une autre.

Bitcoin n'est cependant pas le premier concept de monnaie décentralisée à avoir été proposé. Dès la fin des années 1990, de tels modèles ont été décrits par les cypherpunks, qui étaient obsédés par la liberté et la confidentialité des individus sur Internet, et qui jugeaient (à l'instar de David Chaum) que les systèmes surveillés menaient à un avenir dystopique. Ils appelaient à « écrire du code » et considéraient la « monnaie électronique » comme un élément essentiel à leur idéal.

Dans ce chapitre, nous étudierons l'émergence des divers éléments techniques fondateurs qui ont plus tard été utilisés dans Bitcoin : le consensus distribué, l'horodatage et la preuve de travail. Ensuite, nous parlerons de b-money, de bit gold et de RPOW, respectivement conçus par les cypherpunks Wei Dai, Nick Szabo et Hal Finney. Enfin, nous évoquerons le cas de Ripple, dont le modèle est légèrement différent, mais qui a toute sa place dans l'histoire de la création de Bitcoin.

Avec l'émergence des ordinateurs dans les années 1950, est apparue la possibilité de les connecter entre eux. C'est ainsi que les premiers réseaux informatiques se sont formés, menant au développement d'Internet, le « réseau des réseaux », dans les années 70. La question de l'infrastructure de ces réseaux s'est inévitablement posée. C'est pourquoi l'informaticien polono-américain Paul Baran, dans son article fondateur de 1964 (décrivant la commutation de paquets), recensait trois types de réseaux : le réseau centralisé, reposant sur un nœud unique ; le réseau distribué, où chaque point est un nœud ; le réseau décentralisé (non distribué), reposant sur un réseau distribué de nœuds multiples.

On peut dégager deux modèles purs de ces considérations : le modèle client-serveur, où un serveur central répond aux requêtes des clients, et le modèle pair à pair, où chaque nœud a le même rôle dans le système. Ce dernier modèle a particulièrement été utile pour le partage de fichiers dans les années 2000, avec la création de BitTorrent et d'autres protocoles similaires. Le réseau Tor est lui décentralisé, pas purement pair à pair.

Un problème qu'on rencontre dans le cas des architectures distribuées est le problème du consensus distribué, qu'on appelle généralement le problème des généraux byzantins, qui a été formalisé par Leslie Lamport, Robert Shostak et Marshall Pease dans un article publié en 1982. Ce problème traite de la remise en cause de la fiabilité des transmissions et de l'intégrité des participants dans les systèmes pair à pair, et il s'applique dans les cas où les composants d'un système informatique ont besoin d'être en accord.

Le problème est énoncé sous la forme d'une métaphore faisant intervenir des généraux de l'armée de l'Empire byzantin, qui assiègent une ville ennemie avec leurs troupes dans le but de l'attaquer et qui ne peuvent communiquer qu'à l'aide de messagers. L'objectif est de trouver une stratégie (c'est-à-dire un algorithme) permettant de gérer la présence de traîtres et de s'assurer que tous les généraux loyaux se mettent d'accord sur un plan de bataille pour que l'attaque soit un succès. En voici une illustration (source : L'Élégance de Bitcoin) :

La résolution de ce problème est importante pour les systèmes distribués qui gèreraient une unité de compte. De tels systèmes demandent en effet que les participants se mettent d'accord sur la propriété des unités de compte, à savoir sur qui possède quoi.

Avant Bitcoin, le problème était résolu de manière absolue par des algorithmes dits « classiques » qui nécessitaient que les nœuds soient connus à l'avance et que deux tiers d'entre eux soient honnêtes. Le plus connu d'entre eux est probablement l'algorithme de consensus PBFT (sigle de Practical Byzantine Fault Tolerance), qui a été mis au point par Miguel Castro et Barbara Liskov en 1999 et qui permettait à un nombre donné de participants de se mettre d'accord en gérant des milliers de requêtes par seconde avec une latence de moins d'une milliseconde.

Avec l'algorithme de consensus de Bitcoin, Satoshi Nakamoto l'a résolu de manière probabiliste, permettant de supprimer certaines contraintes en sacrifiant la finalité stricte des transactions. Le 13 novembre 2008, il écrivait ainsi que « la chaîne de preuves de travail [était] une solution au problème des généraux byzantins ».

L'horodatage (timestamping en anglais) est une technique qui consiste à associer une date et une heure à une information comme un évènement ou un document. D'un point de vue légal, cela permet par exemple de s'assurer de l'existence d'un contrat avant une date donnée. Dans le monde réel, il existe ainsi une multitude de moyens d'horodater quelque chose, comme l'envoi d'un document dans une enveloppe scellée ou l'inscription d'une ligne chronologique dans un carnet de notes.

Mais l'horodatage est particulièrement utile dans le monde numérique, où les fichiers (texte, image, audio ou vidéo) sont facilement modifiables. L'horodatage peut être réalisé par des services centralisés, qui se chargent de sauvegarder des documents reçus (ou bien leurs empreintes) et d'y associer la date et l'heure de réception. On parle dans ce cas d'horodatage certifié (ou de trusted timestamping en anglais).

En 1991, une technique d'horodatage confidentielle et sécurisée a été proposée par Stuart Haber et Scott Stornetta, deux chercheurs travaillant pour Bell Communications Research Inc. (communément appelé « Bellcore »), un consortium de R&D situé dans le New Jersey. Dans leur article, intitulé « How to time-stamp a digital document », ils décrivaient comment un service d'horodatage certifié pouvait utiliser une fonction à sens unique (comme la fonction de hachage MD4) et un algorithme de signature pour accroître la confidentialité des documents des clients et la fiabilité de la certification. En particulier, l'idée était de chaîner les informations en faisant intervenir l'horodatage précédent dans l'application de la fonction à sens unique.

Exemple d'horodatage certifié (source : Wikimedia)

Haber et Stornetta ont mis leur idée en application par la publication d'empreintes cryptographiques (résultant d'un hachage des données utiles) dans les petites annonces du New York Times à partir de 1992. Ils ont ensuite créé leur propre société en 1994, Surety Technologies, dans le but de se consacrer pleinement à cette activité. Ils sont ainsi connus pour avoir créé la première chaîne temporelle d'horodatages, l'empreinte précédente étant prise en compte dans le calcul de la nouvelle empreinte à publier dans le journal, ce qui préfigurait la chaîne de blocs de Bitcoin.

Trois articles de Haber et Stornetta ont été cités par Satoshi Nakamoto dans livre blanc de Bitcoin : l'article de 1991 précédemment mentionné, un article de 1993 qui améliorait les protocoles proposés dans le précédent, notamment par l'utilisation des arbres de Merkle, et un article de 1997 qui présentait une façon de nommer les fichiers de manière universelle au moyen de fonctions à sens unique. Était aussi cité un article décrivant un nouveau système d'horodatage écrit en 1999 par Henri Massias, Xavier Serret-Avila et Jean-Jacques Quisquater, trois hommes travaillant pour le groupe de recherche en cryptographie de l'Université catholique de Louvain, en Belgique.

La preuve de travail (proof of work en anglais) est un procédé permettant à un appareil informatique de démontrer de manière objective et quantifiable qu'il a dépensé de l'énergie, afin d'être sélectionné pour accéder à un service ou à un privilège. Il s'agit essentiellement d'un mécanisme de résistance aux attaques Sybil, qui rend difficile pour un attaquant de multiplier des identités à l'excès pour perturber ou prendre le contrôle d'un système de réputation quelconque.

Le concept de preuve de travail a été décrit pour la première fois en 1992 par les informaticiens Cynthia Dwork et Moni Naor, qui travaillaient alors au centre de recherche IBM d'Almaden, situé au sud de San José en Californie. Au sein d'un article de recherche intitulé « Pricing via Processing or Combatting Junk Mail », ils ont présenté une méthode pour combattre le courrier indésirable (spam) dans les boîtes e-mail. Le modèle consistait à forcer les utilisateurs à résoudre un puzzle cryptographique pour chaque courriel envoyé, afin de limiter la capacité à envoyer des courriels en masse tout en permettant aux expéditeurs ponctuels de ne pas être gênés. Toutefois, ils n'ont jamais été jusqu'à mettre en œuvre leur idée.

Avec la popularisation d'Internet dans les années 90, le problème du courrier électronique indésirable est devenu de plus en plus prégnant, y compris sur la liste de diffusion des cypherpunks. C'est pourquoi le concept de Dwork et Naor a été implémenté par le jeune cypherpunk britannique Adam Back en 1997 avec Hashcash, un algorithme produisant des preuves de travail simples au moyen d'une fonction de hachage. Plus précisément, il s'agit de trouver une collision partielle de la fonction de hachage considérée, c'est-à-dire à obtenir deux messages ayant une empreinte commençant par les mêmes bits de données (note : à partir de la version 1.0 sortie en 2002, il s'agit de découvrir une collision partielle pour l'empreinte zéro, à savoir trouver un antécédent dont l'empreinte commence par un nombre de zéros binaires déterminés). Puisque la fonction de hachage est à sens unique, une telle obtention ne peut être réalisée qu'en testant une à une les différentes possibilités, ce qui demande une dépense énergétique.

Adam Back en 2001 (source : archive de la page personnelle d'Adam Back)

Mais les cypherpunks ne se limitaient pas à considérer la preuve de travail comme un simple moyen de limiter le spam ; ils souhaitaient également l'utiliser comme une manière de garantir le coût de production d'une monnaie numérique. Ainsi, en 1997, Adam Back envisageait lui-même cette idée, mais il avait conscience que les preuves de travail ainsi obtenues ne pouvaient pas être transférées d'une manière pleinement distribuée (à cause du problème de la double dépense) et qu'il fallait par conséquent passer par un système centralisé à la eCash. De même, en 1996, les cryptographes Ronald Rivest et Adi Shamir ont décrit MicroMint, un système de micropaiement centralisé dont les pièces devaient être impossibles à contrefaire grâce à la production de preuves de travail.

Il fallait trouver un bon agencement qui puisse permettre à un tel modèle de fonctionner de manière robuste et durable. C'est ce que les cypherpunks Wei Dai, Nick Szabo et Hal Finney ont essayé de mettre au point avec leurs protocoles respectifs, b-money, bit gold et RPOW, que nous allons étudier dans la suite. Et c'est ce que Satoshi Nakamoto a fini par faire en incluant Hashcash dans sa conception de Bitcoin.

Le premier protocole à être issu du mouvement des cypherpunks était b-money, un modèle de monnaie numérique décentralisée conceptualisé par Wei Dai en 1998. Ce dernier était un jeune cryptographe sino-américain vivant à Seattle et travaillant pour Microsoft, qui s'était impliqué sur la liste de diffusion à partir de 1994. Il s'est notamment illustré par la création de la bibliothèque libre Crypto++, qui a plus tard été utilisée dans le logiciel de Bitcoin.

Wei Dai a publié le texte descriptif de b-money le 26 novembre 1998 sur sa page personnelle et en a partagé le lien à la liste de diffusion des cypherpunks le même jour. Dans son courriel, il décrivait b-money comme « un nouveau protocole d'échange monétaire et d'exécution des contrats pour les pseudonymes ».

Dans son idée, le système se fondait sur un réseau pair à pair intraçable. Chaque participant était identifié par un « pseudonyme numérique », c'est-à-dire une clé publique, et chaque message de transaction était signé par l'expéditeur et chiffré pour le destinataire. Chaque participant maintenait une base de données qui recensait les montants d'unités de b-money détenus par chaque pseudonyme.

La création monétaire était ouverte à tous les participants et se faisait par preuve de travail en diffusant la solution d'un problème informatique connu et précédemment non résolu. Le nombre d'unités créées dépendait du coût de cet effort exprimé par rapport à un panier standard de marchandises (incluant par exemple des métaux précieux), de sorte à maintenir le cours de l'unité autour d'un point d'équilibre « stable ». Le système offrait également la possibilité de créer et d'exécuter des contrats directement sur le réseau, grâce à un procédé rudimentaire de dépôt fiduciaire.

Même s'il était assez ingénieux, le concept de b-money présenté par Wei Dai n'était pas tout à fait fonctionnel. Il présentait ainsi des défauts majeurs comme la vulnérabilité aux attaques Sybil sur le réseau (n'importe qui pouvait théoriquement ajouter de nouveaux nœuds sur le réseau), la centralisation du réseau dans le cas où on présélectionnerait les serveurs, et celle liée à la stabilisation de l'unité de compte (qui décrète les prix observables sur le marché ?).

Après sa publication sur la liste, b-money a attiré l'attention des cypherpunks, et en particulier celle d'Adam Back. Néanmoins, Wei Dai n'a jamais implémenté son modèle, non seulement parce que ce dernier était dysfonctionnel, mais aussi à cause de la désillusion du cryptographe à l'égard de la cryptoanarchie. Toutefois, b-money a fini par être cité dans le livre blanc de Bitcoin, ce qui en fait l'un de ses précurseurs.

Le deuxième modèle à avoir émergé des idées des cypherpunks était le concept de bit gold imaginé par Nick Szabo en 1998. Ce dernier était un informaticien américain d'origine hongroise, qui avait notamment travaillé comme consultant pour DigiCash pendant six mois. Cypherpunk, il est connu pour avoir formalisé la notion de smart contract en 1995.

En 1994, Nick Szabo avait créé une liste de diffusion privée appelée libtech-l, qui avait pour but, comme son nom l'indique, d'héberger des discussions sur les techniques libératrices, permettant de protéger les libertés individuelles face aux assauts des autorités. Y avaient accès des cypherpunks comme Wei Dai et Hal Finney, ainsi que les économistes Larry White et George Selgin, partisans de la concurrence des monnaies hayekienne et de la banque libre.

Nick Szabo en 1997 (source : Adrien Chen)

C'est sur la liste libtech-l que Nick Szabo a initialement décrit son concept, avant d'héberger une ébauche de livre blanc en 1999 sur son site personnel. Il a ensuite présenté bit gold en 2005, dans un article publié sur son blog, Unenumerated.

Le protocole était censé gérer la création et les échanges d'une ressource virtuelle appelée le bit gold. Contrairement à l'e-gold qui était garanti par de l'or physique, ou la b-money indexée en théorie sur un panier de marchandises, le bit gold ne devait être adossé à aucun autre bien, mais posséder une rareté infalsifiable intrinsèque, et constituer ainsi un or intégralement numérique.

L'élément central du protocole était que la création monétaire se faisait par preuve de travail : les morceaux de bit gold étaient créés grâce à la puissance de calcul des ordinateurs et chaque solution était calculée à partir d'une autre, ce qui conduisait à former une chaîne de preuves de travail. La date et l'heure de production de ces preuves de travail étaient certifiées au moyen de serveurs d'horodatage multiples. Le système reposait sur un registre public de titres de propriété, référençant les possessions et les échanges des utilisateurs, ces derniers étant identifiés par leurs clés publiques et autorisant les transactions grâce à leurs clés privées. Le registre était vérifié et maintenu par un réseau de serveurs appelé « club de propriété », coordonné par un algorithme de consensus classique appelé Byzantine Quorum System.

La ressemblance de bit gold avec Bitcoin est frappante. Les trois éléments constitutifs du système (la production des preuves de travail, leur horodatage et la gestion du registre de propriété), qui étaient séparés dans bit gold, se retrouvent dans Bitcoin en un seul et même concept : la chaîne de blocs. C'est pourquoi beaucoup y ont vu une ébauche de Bitcoin et spéculé sur le fait que Nick Szabo pourrait être Satoshi.

Toutefois, les visions des deux hommes divergeaient. Dans bit gold, la façon dont étaient produits les morceaux d'or numérique faisait qu'ils n'étaient pas fongibles, c'est-à-dire qu'ils ne pouvaient pas être mélangés entre eux : ils devaient donc être évalués sur un marché extérieur au système pour pouvoir servir de base à une réelle unité de compte homogène. Le modèle bit gold était ainsi pensé comme un système de règlement permettant de gérer une monnaie de réserve rare, et au-dessus duquel serait construite une économie bancaire libre, si possible utilisant le modèle chaumien. Ainsi, en avril 2008, dans un commentaire sur son blog, Nick Szabo demandait encore de l'aide pour mettre en œuvre son concept. Cependant, cette mise en œuvre n'a jamais eu lieu.

Le troisième système a être issu de l'esprit des cypherpunks est le système RPOW, abréviation de Reusable Proofs of Work, mis au point par Hal Finney en 2004. Hal Finney était un informaticien et cryptographe américain qui vivait dans la région de Los Angeles. Cypherpunk de la première heure, il s'était passionné pour les idées de David Chaum et pour son fameux modèle eCash. Il travaillait depuis 1996 sur le développement du logiciel de chiffrement PGP avec Phil Zimmermann.

Pour concevoir son système RPOW, Hal Finney a repris les idées derrière eCash et bit gold. La particularité de son système est qu'il se basait sur un serveur transparent qui permettait de rendre transférables les preuves de travail produites par Hashcash. Ce serveur utilisait le cryptoprocesseur IBM 4758 Secure Cryptographic Coprocessor, un élément de haute sécurité résistant aux falsifications, qui permettait, par un procédé d'authentification conçu par IBM, de vérifier quels programmes étaient exécutés sur la machine. Un utilisateur externe pouvait de cette façon s'assurer à tout instant que le serveur RPOW faisait fonctionner le bon programme, dont le code était par ailleurs disponible publiquement.

Les jetons de preuve de travail réutilisable étaient gérés par le serveur, qui se chargeait de les signer à l'aide du chiffrement RSA. Ils étaient fabriqués par la production d'une preuve de travail via Hashcash, ou bien à partir d'un jeton de RPOW précédent. Lors d'un paiement, l'expéditeur donnait ses jetons de RPOW au destinataire qui s'empressait de communiquer avec le serveur pour recevoir un ou plusieurs nouveaux jetons, dont la valeur globale était égale à la valeur en entrée. Le fonctionnement des RPOW était ainsi similaire à celui des billets numériques dans eCash.

En voici une illustration conçue par Hal Finney lui-même :

Hal Finney a non seulement conçu le modèle, mais l'a aussi personnellement mis en œuvre. Le 15 août 2004, il a ainsi annoncé le lancement du système RPOW sur la liste des cypherpunks, en plus de documenter son fonctionnement sur le site web consacré (rpow.net). Il l'a ensuite présenté à la conférence CodeCon 2005 organisée à San Francisco, où il a pu faire part des utilisations qu'il envisageait pour les jetons de preuve de travail, à savoir : le transfert de la valeur, la régulation du courrier indésirable, le commerce dans les jeux vidéos, le jeu d'argent en ligne comme le poker, et l'anti-parasitisme sur les protocoles de partage de fichiers comme BitTorrent.

Toutefois, RPOW présentait des défauts intrinsèques qui peuvent expliquer pourquoi il n'a pas rencontré le succès escompté :

Ainsi, l'utilisation réelle de RPOW a été anecdotique, mais Hal Finney a eu le mérite d'« ouvrir la voie » à Bitcoin en mettant sur pied une preuve de concept expérimentale, quatre ans avant l'arrivée de Satoshi Nakamoto.

Un autre modèle prédécesseur de Bitcoin, moins connu, mais qui a pour autant sa place ici, est le protocole de crédit distribué Ripple, conçu par le développeur canadien Ryan Fugger en 2004. Le jeune homme canadien avait été inspiré par le concept du système d'échange local (SEL), quelque chose qu'il avait expérimenté à Vancouver avant de concevoir son protocole. Il a publié le livre blanc de Ripple le 14 avril 2004 et l'a ensuite mis en œuvre par le biais d'une preuve de concept appelée RipplePay, qui fonctionnait sur un serveur central et qui permettait aux utilisateurs de se connecter avec une simple adresse de courrier électronique.

Ryan Fugger vers 2010 (source : Crunchbase)

Le concept de Ripple se fondait sur l'idée que la monnaie était essentiellement constituée de reconnaissances de dette (IOUs), c'est-à-dire de crédit. Il s'agissait d'établir un réseau pair à pair dont les liens seraient des relations de crédit entre les personnes. Les paiements se faisaient alors par le routage d'une série d'emprunts, tous les participants étant des banquiers se prêtant de l'argent mutuellement. Alice pouvait payer 10 $ à David, en prêtant 10 $ à Bob, et en demandant à Bob de faire de même auprès de Carole, puis à Carole de faire de même auprès de David : le compte de David était ensuite crédité de 10 $ issus de la création monétaire d'Alice. Le système fonctionnait en quelque sorte par ondulations, ce qui explique le nom du projet.

Voici une vidéo de présentation de Ripple réalisée en 2011 :

Malgré l'enthousiasme de sa communauté et quelques milliers d'utilisateurs, Ripple possédait des défauts majeurs qui l'ont empêché de connaître le succès. En particulier, il souffrait du « problème de l'engagement décentralisé » : durant un paiement, les participants ne pouvaient pas s'engager d'une façon sûre pour assurer la chaîne de prêts, un problème qui serait résolu plus tard par Lightning.

Voyant que son projet n'allait nulle part, Ryan Fugger a laissé les rênes de Ripple aux dirigeants de l'entreprise OpenCoin Inc., Chris Larsen et Jed McCaleb, en novembre 2012. La société a été renommée en Ripple Labs en 2013. Ces derniers en ont fait un protocole sensiblement différent du concept initial, reposant sur un algorithme de consensus et sur une unité de compte native, le XRP. Ryan Fugger a fini par modifier le nom de sa preuve de concept en Rumplepay en 2020 pour éviter la confusion.

Ripple était pour ainsi dire contemporain de Bitcoin, et il s'avère que beaucoup de gens intéressés par ce dernier s'étaient aussi intéressés au premier. En effet, Ripple constituait un modèle novateur, fondé sur une architecture distribuée, une caractéristique partagée avec Bitcoin. À ce sujet, Satoshi Nakamoto écrirait que « Ripple est unique en ce qu'il répartit la confiance plutôt que de la concentrer ».

Ainsi, à la fin des années 2000, tous les éléments constitutifs de Bitcoin étaient connus et plusieurs tentatives de les combiner avaient été réalisées. Toutefois, les assemblages proposés n'avaient pas été probants. Les cypherpunks en particulier se sont progressivement désintéressés de cette question, jugeant que la conception d'une monnaie numérique réellement décentralisée était impossible. Satoshi Nakamoto leur a donné tort.

Bitcoin constitue en effet un assemblage ingénieux de tous ces concepts. Il repose sur la signature numérique, issue de la cryptographie asymétrique proposée par Diffie et Hellmann en 1976. Il est un « argent liquide électronique » comme s'y destinait le modèle eCash de David Chaum mis en application dans les années 90. Par son algorithme de consensus novateur, il résout de manière robuste le problème des généraux byzantins, énoncé par Lamport, Shostak et Pease en 1982. Avec la gestion de sa chaîne de blocs sur un réseau pair à pair, il est une forme de « serveur d'horodatage distribué », reprenant le concept de Haber et Stornetta de 1991. Pour la sélection des blocs de transactions et pour la production des unités, il fait usage de la preuve de travail, utilisant un procédé proche de Hashcash, proposé par Adam Back en 1997. Enfin, il rappelle par sa conception les projets de b-money, bit gold, RPOW et Ripple, auxquels Satoshi Nakamoto a rendu hommage, d'une façon ou d'une autre.

Bitcoin forme donc l'aboutissement d'une quête pour la cybermonnaie, une monnaie existant intégralement sur Internet et n'étant pas à la merci des États. Dans le reste de ce cours, nous raconterons comment il a pris vie et quels ont été les évènements marquants de ses premières années d'existence. Cette histoire est unique et vous intéressera forcément si vous êtes arrivés là. Tenez-vous prêts !