9분 공격 윈도우, 710만 개 BTC 노출: 양자 위협 아래 비트코인은 어떻게 자구해야 할까

저자: 비트코인 보안 컨소시엄, 비트코인 프로토콜의 장기적인 안전성과 안정성을 위해 헌신하는 업계 리더들로 구성된 연합

편집: 구이, ChainCatcher

비트코인 보안 컨소시엄 보고서, 프레시디오 비트코인과 협력하여 완료됨.

핵심 요점 (TL;DR)

양자 컴퓨팅의 최근 발전은 실제로 존재하지만------단지 점진적이다: 구글의 윌로우와 최근의 쇼어 알고리즘 최적화와 같은 발전은 우려를 불러일으켰지만, 암호학 관련 양자 컴퓨터(CRQC)는 아직 시연되지 않았다.

비트코인은 양자 컴퓨팅의 위험에 직면해 있으며, 이는 두 가지 측면에서 나타난다: 공격받기 쉬운 토큰에 대한 정적 공격과 메모리 풀 거래에 대한 전송 중 공격.

해결책은 이미 확인되었으며, 적극적으로 추진되고 있다: (1) 반복 사용되는 주소에서 자금을 이전하고, (2) 후양자 서명 계획 을 개발하고, (3) 이미 잃어버린 P2PK 토큰에 대한 합의 문제를 해결한다.

양자 컴퓨팅의 부흥?

수년간 정체된 것처럼 보였던 양자 컴퓨팅 분야에서 점점 더 많은 학술 논문과 그에 따른 헤드라인이 나타나면서 투자자들 사이에서 비트코인 보안에 대한 우려를 불러일으켰다. 이러한 헤드라인은 다음과 같다:

구글의 윌로우(2024년 12월). 물리적 양자 비트를 추가하여 오류 수정된 "논리" 양자 비트를 보호하면 해당 논리 양자 비트가 더 신뢰할 수 있게 된다는 것을 처음으로 증명했다.

구글 양자 AI, 오라토믹/칼텍 및 ECDSA.fail의 쇼어 알고리즘 최적화(2026년). 구글 양자 AI는 이더리움 재단 및 스탠포드와 협력하여 쇼어 알고리즘을 통해 비트코인 타원 곡선을 해독하는 회로를 약 20배 줄였다. 오라토믹과 칼텍은 그들의 쇼어 알고리즘 최적화가 며칠 내에 단일 비트코인 개인 키를 해독할 수 있다고 주장한다. 마지막으로, ECDSA.fail 프로젝트------Eigen Labs의 점수판------은 연구자와 AI 에이전트를 모아 구글의 회로를 다음 몇 달 동안 거의 70% 줄였다.

아이온큐의 종단 간 쇼어 알고리즘 최적화(2026년 9월). 쇼어 알고리즘을 실행하기 위한 완전한 컴파일 청사진으로, 소프트웨어와 하드웨어 모두를 대상으로 계산한다------이론적으로 매번 시도할 때 약 26일 내에 단일 개인 키를 해독할 수 있으며, 성공률은 63.3%이다.

구글의 매직 상태 배양(2026년 10월). 양자 컴퓨팅은 매번 사용될 때 소모되고 생산 비용이 높은 자원 상태인 "매직 상태"를 필요로 한다. 구글은 윌로우에서 이 필터링 프로토콜이 이러한 상태의 오류를 약 40배 줄여 99.99%의 논리적 충실도를 달성했다고 증명했다.

퀀티넘의 "다섯 개의 아홉" 논리적 충실도(2026년 10월). 퀀티넘의 헬리오스 컴퓨터는 백만 번의 작업 중 5번의 오류(99.9995% 논리적 충실도)를 발생시키며, 이는 구글의 시연보다 약 100배 낮다. 인코딩 규모가 커질수록 오류는 12배 줄어든다(λ = 12).

현재 암호학 관련 양자 컴퓨터(CRQC)는 존재하지 않으며------이 기술은 물리적으로 오류 수정 양자 비트를 확장하는 등 많은 공학적 도전 과제가 남아 있다------왜 이러한 헤드라인이 비트코인 커뮤니티의 관심을 끌고 있을까? 비트코인과 양자 컴퓨터 사이의 관계는 무엇일까? 함께 살펴보자.

양자 컴퓨팅 개요

양자 컴퓨팅의 핵심은 양자 비트, 즉 큐비트이다. 0 또는 1 값을 저장하는 고전 비트와 달리, 큐비트는 양자 역학 세계에서 고유한 두 가지 특성을 나타낸다:

중첩: 하나의 큐비트는 동시에 0과 1의 혼합 값을 저장할 수 있으며, 측정은 이러한 값이 가중 확률에 따라 하나로 붕괴되게 한다.

얽힘: 두 개 이상의 큐비트는 하나의 결합 상태를 공유할 수 있으며, 그 중 하나를 측정하면 다른 하나의 값을 결정하게 된다, 거리가 얼마나 멀든지 간에.

이러한 특성 덕분에 양자 컴퓨터는 동시에 많은 후보 답안을 탐색할 수 있으며, 잘못된 답안을 상쇄할 수 있다. 그러나 물리적 양자 비트는 매우 취약하여 탈상관이 발생하기 쉬우며, 이는 양자 정보의 손실을 의미한다. 그래서 현재 많은 회사의 로드맵은 최소한의 논리적 양자 비트 수를 목표로 하고 있다------논리적 양자 비트는 여러 개의 중복 물리적 양자 비트로 구성된 오류 수정 양자 비트로, 오류를 감지하고 수정할 수 있어 계산과 정보의 신뢰성을 유지할 수 있다.

최소 물리적 양자 비트와 논리적 양자 비트 비율을 찾기 위해, 양자 컴퓨터 연구소는 가장 효율적인 하드웨어 아키텍처를 연구하고 있으며, 여기에는 다음이 포함된다:

초전도 회로(구글, IBM): 절대 영도에 가깝게 냉각된 작은 도선 링으로, 그 안에서 전류의 행동이 하나의 큐비트처럼 작용한다. 이 기술은 빠른 계산 시간을 가능하게 하지만, 발전 확장은 느리다.

중성 원자(오라토믹): "핀셋"이라고 불리는 레이저 배열로 고정된 전하가 없는 원자로, 그 전자가 큐비트 역할을 한다. 이 기술은 빠르게 확장되지만, 이론적으로 계산 시간이 더 느리다.

포획 이온(퀀티넘, 아이온큐): 전자기장 내에서 레이저로 조작되는 전하를 가진 원자------즉 이온; 이 경우 이온의 바닥 상태 또는 여기 상태가 큐비트 역할을 한다. 계산은 상대적으로 느리며; 확장 속도는 중간이다.

광학(사이퀀텀, 자나두): 칩과 광학 장치를 통과하는 광자(빛 입자); 각 광자의 속성이 큐비트 역할을 한다. 빠른 계산 시간을 가능하게 하지만, 발전 시간선도 더 느린 것처럼 보인다.

비트코인의 양자 공격 면

이론적으로, 쇼어 알고리즘을 실행하는 암호학 관련 양자 컴퓨터는 비트코인의 타원 곡선 디지털 서명 알고리즘(ECDSA)을 해독할 수 있으며, 이는 네트워크에서 소유권과 재산권을 유지하는 서명 계획 이다------이는 거래 상대방에게 개인 키의 소유권을 증명하지만, 해당 개인 키를 드러내지 않는다. 중요한 것은, 비트코인의 대부분 핵심 게임 이론과 경제 원칙은 이 공격 면에 포함되지 않는다는 것이다. 예를 들어, 거래 합의, 발행 일정 및 공급 한도 등이다.

비트코인 개인 키에 대한 공격은 네트워크에 두 가지 공격 면을 제시한다:

장기 노출 또는 정적 공격. 반복 사용되는 주소나 보안성이 낮은 구형 주소(공개 키로 지급, P2PK)에서의 토큰은 공개 키를 노출시켰으며, 양자 컴퓨터는 이러한 공개 키를 이용해 해당 개인 키를 얻을 수 있다. 현재 대부분의 현대 출력 유형 기반의 활성 주소는------공개 키가 사용되기 전까지 숨겨져 있는------이러한 공격에 쉽게 노출되지 않는다. 그러나 프로젝트 일레븐은 약 710만 개의 BTC, 즉 총량의 약 35%가 오늘날 유능한 양자 컴퓨터가 존재한다면 도난당하기 쉬울 것이라고 추정한다. 그 중 약 4분의 3은 반복 사용되는 주소에 보관되어 있으며------대부분 대형 거래소에------거래소가 자금을 일회용 주소로 이전하고 더 나은 관리 관행과 기준을 채택하면 위험을 줄일 수 있다. 그러나 또 다른 180만 개의 BTC는 P2PK 주소에 위치해 있으며, 대부분 이미 잃어버린 것으로 추정되어 안전한 주소로 이전하는 것이 불가능할 수 있다. 빠르든 느리든 양자 컴퓨터는 이러한 노출된 공개 키를 하나씩 이용해 투자자의 자금을 보유하는 개인 키를 얻을 수 있다.

단기 노출 또는 전송 중 공격. 비트코인 네트워크의 토큰은 사용될 때만 공개 키를 드러내어 약 10분의 취약한 창을 형성한다(또는 더 정확히 말하면, 거래 제출과 블록에 포함되는 시간 사이의 시간). 충분히 빠른 양자 컴퓨터는 이 창을 이용해 거래 중에 토큰을 훔칠 수 있다. 구글은 예열된 빠른 시계 양자 장치가 개인 키를 얻는 계산을 가장 빠른 9분 내에 완료할 수 있다고 추정하여, 원래 공격받기 어려운 주소에 보관된 토큰조차도 전형적인 거래를 경험할 때 도난 위험에 처할 수 있음을 시사한다.

위협을 과장할 수 있는 오해

"양자 하드웨어는 이미 확장 완료되고 준비가 되었다." 현재 시연 효과가 가장 좋은 시스템------퀀티넘의 시스템------은 48개의 오류 수정 논리적 양자 비트를 생성했다. 비트코인의 타원 곡선을 해독하는 데는 최소 약 1,200개가 필요하다.

"양자 시연이 암호학 관련 양자 컴퓨팅을 증명했다." 그렇지 않다. 윌로우는 대규모 오류 수정 계산이 아닌 오류 수정 메모리를 증명했다. 구글, 오라토믹 및 아이온큐의 2026년 논문은 청사진이지 작동하는 기계가 아니다. 많은 논리적 양자 비트 간의 낮은 오류 작업은 여전히 해결해야 할 병목 현상이다.

"모든 비트코인은 즉시 도난당할 것이다." 대부분의 비트코인은 정적 상태에서 공격받기 쉽지 않다. 왜냐하면 공개 키는 사용되기 전까지 해시 뒤에 숨겨져 있기 때문이다. 가장 큰 단일 노출 원인------주소 반복 사용------은 현재 새로운 미사용 주소로 전환함으로써 해결할 수 있다. 공격이 오늘 발생하더라도, 이는 모든 공격받기 쉬운 공급을 한 번에 대상으로 하는 것이 아니라, 개별 개인 키를 대상으로 하는 시도일 것이다.

위협을 과소평가할 수 있는 오해

"쇼어 알고리즘 최적화는 중요하지 않다." 3월, 구글은 이론적으로 비트코인 ECDSA를 해독하는 데 필요한 논리적 양자 비트 요구 사항을 약 20배 줄였으며, 타원 곡선에 대한 최적화 관심이 RSA(리베스트-샤미르-아들만) 암호 시스템보다 훨씬 적다는 점을 지적했다. 이는 여전히 더 많은 최적화 공간이 있음을 의미한다. 예를 들어, ECDSA.fail 프로젝트는 구글의 회로를 거의 70% 더 최적화했다.

"그것은 수십 년 후의 일이며, 왜 걱정해야 할까?" 최근 전문가 조사에 따르면, 유능한 기계가 2030년에서 2035년 사이에 등장할 확률은 약 50%이며, 각국 정부의 목표는 2030년대 초반에서 중반까지 후양자 이전을 완료하는 것이다. 구글과 클라우드플레어는 내부 마감일을 2029년으로 설정했다. 이러한 마감일은 정부나 기업이 "먼저 수확하고, 나중에 해독하는" 공격을 방지하는 데 더 긴급하게 적용될 수 있다------주로 미래에도 여전히 관련이 있을 수 있는 개인 정보와 관련된다. 비트코인은 참여자가 공개 키가 숨겨진 주소로 이전하여 스스로를 방어할 수 있기 때문에, 이러한 마감일은 네트워크의 최선의 관행으로 간주될 수 있으며, 필연적인 기한이 아니다.

"우리는 그것이 오는 것을 미리 볼 수 있을 것이다." 돌파구는 비밀로 유지되거나 국가에 의해 기밀로 간주될 수 있으며, 초기 도난은 산발적으로 발생하는 것처럼 보일 수 있어 일반적인 관리 회전이나 지불 거래와 구별하기 어려울 수 있다.

현재 진행 중인 작업

현재 비트코인 보유자------거래소, 기관 및 투자자------는 양자 위협을 방지하기 위해 해결책에 대한 적극적인 논의를 통해 다음과 같은 우선 순위를 두고 있다:

공격에 취약한 공급을 재사용 주소에서 미사용 주소로 이전합니다. 이는 네트워크 합의나 소프트 포크가 필요 없는 가장 쉽게 구현할 수 있는 사항입니다. 이는 전적으로 대형 거래소와 호스팅 제공업체, 그리고 자가 관리 투자자가 더 나은 보안 관행을 채택하는 데 의존합니다. 예를 들어, 잔돈 출력 회전 및 주소 재사용을 피하기 위해 모든 수단을 강구하는 것입니다.

포스트 양자 서명 계획을 설계합니다. 지금까지 비트코인에서 양자 저항 지출을 구현할 수 있는 주요 제안은 Blockstream의 SHRINCS("Shrunken SPHINCS"의 약자)입니다. 이는 SHA-256을 기반으로 구축되었으며, 초당 최대 3건의 거래를 처리할 수 있습니다. 반면 미국 국가 표준 기술 연구소(NIST)의 표준 SPHINCS+는 단 0.36건입니다. Blockstream은 2026년 3월 Liquid Network에서 이 계획을 테스트했으며, 다른 기여자들과 함께 8월에 비트코인 개선 제안(BIP)을 발표했습니다. 공식적인 보안 증명은 아직 완료되지 않았으며, 전체 네트워크 배포는 소프트 포크가 필요합니다.

비트코인에서 공격에 취약하지만 아마도 이미 잃어버린 P2PK 주소 토큰을 어떻게 처리할 것인지에 대한 합의가 이루어집니다. 비트코인이 향후 몇 년 동안 양자 위협에 직면하면서, 이는 아마도 가장 논란이 많은 문제일 것입니다. 약 170만 개의 BTC가 약 20,000개의 P2PK 주소에 저장되어 있으며, 그 중 약 110만 개는 사토시 나카모토에게 속하는 것으로 추정됩니다. Presidio Bitcoin에 따르면 현재 논의되고 있는 주요 옵션은 다음과 같습니다: 구식 지출을 유효하게 유지하기(양자 공격자가 "훔치도록" 허용); 구식 지출을 느리게 하기(공격에 취약한 토큰의 이동 속도를 제한하는 것, 즉 "속도 제한"); 그리고 토큰을 동결하고 복구 경로를 제공하기(모든 구식 비트코인 지출을 비활성화하지만, 소유자가 자신의 시드 문구의 제로 지식 증명을 통해 토큰을 회수할 수 있도록 허용하는 것, 즉 "소프트 동결"). 이 중요한 주제에 대해 더 광범위한 독서를 원하신다면, Presidio Bitcoin은 여기에서 기초 지식을 설명하고 업데이트합니다.