양자 컴퓨터가 아직 비트코인 암호를 뚫지 못했으나, 710만 BTC가 잠재적 위험에 직면해 있습니다：어떻게 방어해야 할까?

저자: Bitcoin Security Consortium

번역: TechFlow

TechFlow导读: 최근 몇 년간 구글 Willow 칩 출시와 쇼어(Shor) 알고리즘 최적화 연구들이 지속적으로 발표됨에 따라, 양자 컴퓨팅이 비트코인 보안에 위협이 될지에 대한 논쟁이 재점화되었다. Bitcoin Security Consortium는 Presidio Bitcoin와 공동으로 본 보고서를 발행하여 기술 진전 현황과 리스크의 경계를 체계적으로 정리했다.

보고서에 따르면, 현재 실제 암호학적 해독 능력을 갖춘 양자 컴퓨터는 여전히 막대한 하드웨어 격차에 부딪혀 있으나, 비트코인의 서명 메커니즘은 확실히 '정적 노출'과 '거래 진행 중(In-flight)'이라는 두 가지 주요 공격 면적을 직면하고 있다. 위협의 과소평가 및 과대평가 관련 일반적인 오해를 다루며, 해당 글은 주소 이전, SHRINCS 양자 내성 서명, 그리고 초기 P2PK 잔액 코인의 처리 방안으로 각 안건을 추가로 분해하였다.

본문은 Bitcoin Security Consortium와 Presidio Bitcoin가 공동으로 발행한 보고서입니다.

핵심 요약(TL;DR)

· 최근 양자 컴퓨팅 진전은 실재하지만, 점진적인 돌파구 수준에 머물러 있음: 구글 Willow 칩과 최근의 쇼어 알고리즘 최적화 성과는 시장의 우려를 자아냈으나, 아직 암호학적 의미의 양자 컴퓨터(CRQC)는 출현하지 않았다.

· 비트코인에 대한 양자 리스크는 서명 메커니즘에만 국한되며, 구체적으로는 다음과 같은 두 가지 공격 형태로 나타남: 취약한 잔액 코인에 대한 정적 공격(at-rest)과 트랜잭션 풀(Transaction Pool) 거래에 대한 진행 중 공격(in-flight).

· 대응 방안은 이미 명확해졌으며, 커뮤니티는 적용 추진을 가속화 중임: 자금을 반복 사용되지 않는 주소로 옮기기, 양자 내성 서명 솔루션 개발, 그리고 소멸할 가능성이 높은 P2PK 주소의 비트코인에 대한 네트워크 합의 달성 등이 포함됨.

양자 컴퓨팅은 다시 부상했는가?

오랫동안 정체기를 겪었던 듯했던 양자 컴퓨팅 분야에서 최근 기술 돌파구를 주장하는 학술 논문과 미디어 보도가 끊이지 않아, 투자자들 사이에서 비트코인 보안에 대한 우려가 제기되었다. 이러한 대표적인 진전 사항들은 다음과 같다:

· 구글 Willow 칩(2024년 12월): 단일 '로직' 큐비트(logical qubit)를 보호하기 위해 물리 큐비트(physical qubit)를 추가할 때, 해당 로직 큐비트의 신뢰도가 떨어지는 것이 아니라 오히려 향상됨을 최초로 실험적으로 입증했다.

· Google Quantum AI, Oratomic/Caltech 및 ECDSA.fail의 쇼어 알고리즘 최적화(2026년): Google Quantum AI는 이더리움 재단과 스탠포드 대학과 협력하여 비트코인 타원곡선을 해독하는 쇼어 알고리즘의 회로 규모를 약 20배 축소했다.

Oratomic과 캘리포니아 공과대학(Caltech) 팀 또한 최적화된 쇼어 알고리즘을 통해 단수의 비트코인 비밀키를 며칠 이내에 해독할 수 있을 것이라고 제안했다. 이어 수개월간, Eigen Labs가 출시한 리더보드 프로젝트 ECDSA.fail 는 연구진과 AI 에이전트를 결집하여 구글의 회로 규모를 다시 약 70% 가까이 축약했다.

· IonQ의 엔드투엔드 쇼어 알고리즘 최적화(2026년 9월): 소프트웨어 및 하드웨어 측정을 모두 고려한 완전한 컴파일 실행 청사진을 공개했으며, 이론상 단일 비밀키를 해독하는 데 시도당 약 26일이 필요하며 성공률은 63.3%이다.

· 구글의 '매직스테이트(Magic States)' 생성 기술(2026년 10월): 양자 컴퓨팅은 매번 사용 시 소모되며 제조 비용이 막대한 '매직스테이트' 자원 상태에 의존한다. 구글은 Willow 위에서 필터링 프로토콜을 통해 이러한 상태의 오류율을 약 40배 낮추어 99.99%의 로직 무결성(Logical Fidelity)을 달성했음을 입증했다.

· Quantinuum의 '다섯 개의 9' 로직 무결성(2026년 10월): 자체 Helios 컴퓨터는 백만 작업당 오류가 5회만 발생하며(로직 무결성이 99.9995%), 이는 구글의 시연보다 약 100배 낮은 오류율이며, 오류 정정 코드가 한 단계 확대될 때마다 오류율이 12배씩 감소한다(λ = 12).

현재 암호학적 의미의 양자 컴퓨터(CRQC)는 아직 존재하지 않으며, 해당 기술은 물리적 확장 오류 정정 큐비트 등 많은 엔지니어링 난관에 부딪혀 있다. 그럼에도 불구하고 이러한 보도들이 왜 비트코인 커뮤니티의 높은 경각심을 불러일으키는 것인가? 비트코인과 양자 컴퓨팅 간에는 과연 어떤 연관성이 존재하는가? 아래에서 이를 하나하나 분해해 보겠다.

양자 컴퓨팅 원리 간략 분석

양자 컴퓨팅의 핵심은 큐비트(qubit)에 있다. 0 또는 1 상태 중 하나만 저장할 수 있는 기존 고전 비트와 달리, 큐비트는 양자 역학 세계에만 고유하게 존재하는 두 가지 특성을 갖추고 있다:

· 중첩(Superposition): 단일 큐비트는 동시에 0과 1의 혼합 상태에 있을 수 있으며, 관측하여 측정되면 가중 확률에 따라 단일 확정 값으로 붕괴된다.

· 양자 얽힘(Entanglement): 두 개 이상의 큐비트는 동일한 결합 상태를 공유할 수 있으며, 서로 얼마나 멀리 떨어져 있든 하나의 큐비트를 측정하면 다른 쪽의 값이 즉시 결정된다.

이러한 특성 덕분에 양자 컴퓨터는 수많은 후보 답안을 동시에 탐색하면서 잘못된 옵션은 상쇄시킬 수 있다. 그러나 물리 큐비트는 매우 민감하여 결맞음 손실(decoherence), 즉 양자 정보의 상실이极易하게 발생한다.

이러한 이유 때문에 현재 대부분의 양자 컴퓨팅 기업들은 최소한의 숫자 임계치에 도달하는 것을 목표로 삼고 있으며, 그 핵심은 로직 큐비트(logical qubits)에 맞춰져 있다. 이러한 큐비트들은 다수의 redundant 물리 큐비트가 오류 정정을 거쳐 구성되며, 오류를 감지하고 수정함으로써 계산과 정보의 신뢰성을 보장한다.

최소한의 물리 큐비트와 로직 큐비트 비율을 추구하기 위해 각 양자 컴퓨팅 연구실은 가장 효율적인 하드웨어 아키텍처를 연구 중이며, 주로 다음 네 가지 경로에 초점을 맞추고 있다:

· 초전도체 회로(구글, IBM): 미세한 선로 고리를 절대영도 근처로 냉각시켜 전류가 마치 하나의 큐비트처럼 동작하도록 한다. 이 기술은 계산 속도가 빠르지만, 확장성 진척도는 상대적으로 더딘 편이다.

· 중성 원자(Oratomic): '광학 집게'라 불리는 레이저 배열을 사용해 전하 없는 원자를 가두어, 그 전자를 큐비트로 활용한다. 이 기술은 확장 속도가 빠르나, 이론적으로 계산 소요 시간이 더 긴 편이다.

· 이온 트랩(Quantinuum, IonQ): 전자기장 내에서 레이저를 이용해 하전된 원자(이온)를 조작하며, 기저 상태와 들뜬 상태의 에너지 차이를 큐비트로 사용한다. 이 경로는 계산 속도가 다소 느린 반면 확장 속도는 중간 수준이다.

· 광자 양자(PsiQuantum, Xanadu): 광자가 칩과 광학 장치를 통과하도록 하여 각 광자의 물리적 특성을 큐비트로 활용한다. 이 경로는 계산 속도가 매우 빠르지만, 전반적인 R&D 상용화 주기가 현재로서는 상대적으로 느려 보인다.

비트코인의 양자 공격 표면

이론적으로, 쇼어 알고리즘을 실행하는 암호학적 수준의 양자 컴퓨터라면 비트코인의 타원곡선 디지털 서명 알고리즘(ECDSA)을 해독할 수 있다. 이 서명 메커니즘은 네트워크상의 소유권과 재산권을 지탱하며, 개인키 노출 없이 거래 상대방에게 개인키의 귀속 관계를 증명한다.

강조해야 할 점은 비트코인의 대다수 핵심 게임이론 및 경제 규칙들은 이러한 공격 표면에서 제외된다는 것이다. 예를 들어 거래 합의 메커니즘, 공급 일정, 총량 제한 등은 영향을 받지 않는다.

비트코인 개인키 대상 양자 공격은 네트워크에 다음과 같은 두 가지 층위의 공격 표면을 제공한다:

· 장기 노출(정적 공격): 반복 사용되는 주소 또는 초기 보안이 약한 주소(예: P2PK 공개키 결제 주소)에 보관된 비트코인은 이미 공개키가 노출되어 있으며, 양자 컴퓨터는 이를 통해 대응 개인키를 유추할 수 있다.

오늘날 대부분의 활성 주소는 현대식 출력 유형을 채택하여 자금 인출 전에 공개키를 숨기므로, 이러한 공격에는 영향을 받지 않는다. 다만 Project Eleven은 산출하기를, 만약 오늘 계산력 기준을 충족하는 양자 컴퓨터가 등장한다면 약 710만 BTC(총 공급량의 약 35%)가 도난당할 위험에 처하게 된다고 지적했다.

이 중 약 4분의 3은 반복 사용되는 주소에 저장되어 있으며, 주로 대형 거래소에 집중되어 있다. 거래소가 자금을 일회용 주소로 이주하고 더 엄격한 위탁 관리 규범을 도입하면 위험을 크게 낮출 수 있다. 나머지 약 180만 BTC는 P2PK 주소에 잠들어 있는데, 대부분 소멸한 것으로 추정되어 안전하게 다른 주소로 이송하는 것이 거의 불가능하다.

빠른 계산 속도를 가진 양자 컴퓨터든 느린 것이든, 이미 노출된 공개키를 활용해 차례대로 투자 자금을 통제하는 개인키를 도출해 낼 수 있다.

· 단기 노출(진행 중 공격): 비트코인 네트워크의 자금은 일반적으로 인출될 때만 공개키가 공개되므로, 약 10분간의 취약한 창구 기간(정확히는 거래 제출부터 블록에 블록화되기까지의 간격)이 형성된다.

고속 양자 컴퓨터라면 이 시간차를 이용해 거래 진행 도중 자금을 탈취할 수 있다. 구글은 사전 준비된 고클럭 양자 장치가 최단 9분 내에 단일 비밀키를 도출할 수 있다고 추산했으며, 이는 안전한 주소에 보관된 비트코인도 일반 송금을 시작할 때 앞서서 강탈당할 위험이 있음을 시사한다.

위협을 과대평가하는 흔한 오해들

· "양자 하드웨어는 이미 확장 단계에 이르렀으며 언제든지 사용 가능한 상태이다." 현재 공개적으로 시연된 최고 성능 시스템은 Quantinuum의 것으로, 오류 정정된 로직 큐비트 48개만 산출했을 뿐이다. 반면 비트코인 타원곡선을 해독하려면 최소 약 1,200개가 필요하다.

· "최근의 양자 시연은 이미 암호학적 수준의 양자 컴퓨팅 능력을 입증했다." 사실과 다르다. Willow 칩이 검증한 것은 대규모 오류 정정 연산이 아닌, 오류 정정이 가능한 양자 메모리였다.

2026년 구글, Oratomic, IonQ가 발표한 논문들은 모두 이론적 설계 청사진일 뿐, 실제로 가동 중인 기계가 아니다. 대량의 로직 큐비트 사이에서 저오류율 연산을 구현하는 것은 여전히 돌파해야 할 병목 현상이다.

· "모든 비트코인이 순식간에 도둑맞을 것이다." 대부분의 비트코인은 정적 보관 시 취약하지 않은데, 공개키가 인출 전까지 해시 값 뒤에 항상 숨겨지기 때문이다. 최대 위험원인 '주소 중복 사용'은 오늘날 단순히 사용하지 않았던 새 주소로 회전시키면 해결된다.

설령 오늘 양자 공격이 발생한다고 해도, 공격자는 시도당 단일 비밀키에 대해 해독만 가능하므로, 모든 취약한 공급량을 단번에 쓸어갈 수는 없다.

위협을 과소평가하는 흔한 오해들

· "쇼어 알고리즘 최적화는 사소한 허구에 불과하다." 올 3월, 구글은 비트코인 ECDSA를 이론적으로 해독하는 데 필요한 로직 큐비트 수를 약 20배 줄였으며, 타원 곡선 알고리즘이 과거 RSA(Rivest-Shamir-Adleman) 암호 체계에 비해 받았던 최적화 관심사가 훨씬 적었음을 지적했다. 이는 향후 여전히 상당한 압축 여지가 있음을 의미한다.

사실도 이를 입증한다: ECDSA.fail 프로젝트는 이후 구글의 회로 규모를 또 다시 근접 70% 이상 최적화했다.

· "양자 위협은 수십 년 뒤나 찾아올 텐데, 지금 괜히 걱정할 필요가 있나?" 최근 전문가 설문 조사에 따르면, 해독 능력이 구축된 양자 머신이 2030~2035년 사이에 등장할 확률은 약 50%이다. 각국 정부는 포스트 양자 이전 목표를 2030년대 초·중반으로 설정했고, 구글과 Cloudflare는 내부 마감일을 2029년 이전에 잡았다.

지급해야 할 점은 정부와 기업이 이러한 타임라인을 설정한 주요 이유는 '지금 획득 후 나중에 해독(Harvest now, decrypt later)' 공격을 차단하고, 미래에도 여전히 민감한 가치를 지닐 개인정보 보호 때문이라는 것이다.

비트코인 네트워크 참여자는 공개키를 숨기는 새로운 주소로의 이동을 통해 스스로를 방어할 수 있으므로, 이러한 타임라인은 반드시 위기를 촉발하는 시점이 아니라 네트워크의 '모범 사례(Best Practice)' 참고기준으로 간주되어야 한다.

· "양자 돌파구가 닥쳐오는 시점이면 우리는 미리 반드시 알아챌 수 있을 것이다." 기술 돌파구는 비공개 상태로 유지되거나 주권 국가의 기밀로 지정될 수 있다. 초기 단계의 양자 도난 행위는 산발적으로 발생할 수도 있으며, 겉보기에는 전통적인 위탁 기관의 자금 정리 또는 일반 결제 전송과 구분하기 매우 어렵다.

업계가 현재 어떤 조치를 취하고 있는가?

현재 거래소, 기관 및 투자자를 비롯한 비트코인 생태계 참여자들은 이미 양자 위협에 선제적으로 대비하기 시작했으며, 대체로 다음 우선순위에 따라 적극적으로 솔루션을 논의하고 추진 중이다:

· 취약한 자금을 중복 사용 주소에서 미사용 주소로 이전하기: 가장 먼저 확보할 수 있는 쉽게 딸 수 있는 열매(Low-hanging fruit)로, 전 네트워크 합의나 소프트 포크가 필요하지 않다.

이 조치는 완전히 대형 거래소, 위탁 기관 및 자가_custodia_ 투자자들이 현대식 보안 관행을 이행하는지에 달려 있다. 여기에는 변경 출력(Change Output) 순환을 실시하고 동일 주소의 중복 사용을 최대한 피하는 노력이 포함된다.

· 양자 내성 서명 솔루션 연구 개발: 현재 비트코인 양자 내성 지급 솔루션 중 가장 대표적인 것은 Blockstream이 제안한 SHRINCS(‘Shrunken SPHINCS’의 약자)로, SHA-256 기반이다.

SHRINCS는 초당 최대 3건의 거래를 처리할 수 있으며, 미국 국립표준기술연구원(NIST)의 SPHINCS+ 표준은 초당 0.36건에 불과하다. Blockstream는 이미 2026년 3월 Liquid 네트워크에서 본 솔루션을 테스트했으며, 8월에는 기여자들과 공동으로 비트코인 개선 제안서(BIP)를 발표했다.

현재 공식적인 보안 증명 작업이 진행 중이며, 전체 네트워크 범위에서의 배포는 소프트 포크를 통해 실현해야 한다.

· P2PK 주소에 존재하는 취약 및 소멸할 확률이 높은 비트코인의 처리 방안을 둘러싸고 네트워크 합의를 이루기: 이는 향후 몇 년간 비트코인이 양자 위협에 대응할 때 가장 논란이 많을 수 있는 이슈다. 현재 약 2만 개의 P2PK 주소에는 총 170만 BTC가 보관되어 있으며, 이 중 추정 110만 BTC는 사토시 나카무토의 자산으로 예상된다.

Presidio Bitcoin의 자료에 따르면, 현재 논의 중인 주요 방안은 총 세 가지다. 첫째는 구형 거래 인출 유효성을 그대로 유지하는 것(즉, 양자 공격자가 '탈취'하는 방임). 둘째는 구형 주소의 인출 속도를 제한하는 것(취약 자금에 대해 '유량 조절').

셋째는 동결 후 조회 경로 부여로, 모든 구형 인출을 비활성화하지만 원 소유자가 시드 문구(Mnemonic) 제로 지식 증명을 통해 자금을 회수할 수 있게 하는 것(즉, '소프트 동결').

이 핵심 이슈에 대해 더 자세히 알고 싶다면, Presidio Bitcoin가 지속적으로 업데이트하는 기본 가이드(클릭하여 원문 자료 보기)를 참조하시길 바란다.

면책 성명: 본 문서는 참조 및 과학 교육 목적으로만 제공되며, 어떠한 투자 의사결정의 근거로도 사용되어서는 안 된다. 문서 내에 언급된 회사, 증권 또는 암호화폐 관련 표현은 모두 저자의 견해이며, 추천이나 매수·보유 권유를 구성하지 않는다.

본 문서의 일부 내용은 저자의 현재 견해와 가정 기반한 미래 예측 또는 전향적 진술일 수 있으며, 알려진 것과 알려지지 않은 리스크 및 불확실성에 영향을 받아 실제 결과는 기재 내용과 중대한 차이가 있을 수 있다.

일부 정보는 신뢰할 수 있는 출처를 기반으로 하지만, 제3자에게서 유래한 어떤 정보의 정확성이나 완전성에 대해서도 보증을 제공하지 않는다.

본문에 명시된 리스크 외에도 비트코인은 심한 가격 변동, 시장 조종, 도난, 시장 침체 기간 중 잠재적인 유동성 제한 등의 위험에 직면해 있다.

기관 참여도와 규제 완비가 비트코인 시장 진전을 추진했지만, 그 가치는 여전히 시장 환경, 수요와 공급 변화, 규제 동향의 영향을 받으며 장기적인 가치 보존을 보장받을 수 없다.