전체 연구 보고서: 암호화폐 세계의 양자 공격 대응, 각 진영은 준비가 되어 있는가?

原创 | Odaily 星球日报（@OdailyChina）

作者｜jk

읽기 전 안내: 먼저 다섯 가지를 명확히 하자

본 보고서는 독자가 암호학이나 양자물리학 지식을 갖추고 있다고 전제하지 않습니다. 결론만 궁금하다면 바로 “핵심 발견”으로 건너뛰어도 됩니다. 본문에 들어가기 전에 먼저 일상적인 비유로 다섯 가지 핵심 개념을 설명하겠습니다.

1. 암호화폐의 “열쇠”란 무엇인가

당신의 비트코인이나 이더는 어떤 파일에 저장된 것이 아니라 블록체인상의 특정 주소 명의로 등록되어 있습니다. 이 돈을 쓰려면 “디지털 서명”을 제시해 자신이 이 주소의 주인임을 네트워크 전체에 증명해야 합니다. 서명을 생성하려면 개인키가 필요하며, 개인키는 자신만 알고 있습니다. 서명을 검증할 때는 공개키를 사용하며, 공개키는 공개되어 있어 누구나 확인할 수 있습니다.

은행에 보관된 서명 견본이라고 생각하면 됩니다. 은행에는 당신의 서명 견본(공개키)이 있고, 누군가 돈을 찾으러 오면 은행은 견본으로 필적을 대조합니다(서명 검증). 하지만 누구도 견본만 보고 똑같은 친필 서명을 위조할 수는 없습니다(개인키 도출). 이 메커니즘이 오늘날 신뢰할 수 있는 이유는 공개키로부터 개인키를 역산하는 것이 수학적으로 완료 불가능할 정도로 어렵다고 여겨지기 때문입니다. 양자컴퓨터의 위협은 바로 이 “불가능한 일”을 가능하게 만들 수 있다는 데 있습니다.

2. 양자컴퓨터가 바꾸는 것

일반 컴퓨터가 암호를 해독하는 것은 한 사람이 큰 열쇠 꾸러미를 들고 하나씩 시도하는 것과 같아서, 아무리 빨리 시도해도 천문학적인 시간이 필요합니다. 양자컴퓨터는 더 빨리 시도하는 것이 아니라 문제를 푸는 방식을 바꿉니다. 특정 유형의 수학 문제에 대해 1994년에 제안된 Shor 알고리즘은 소요 시간을 “우주 나이 규모”에서 “몇 분에서 몇 시간”으로 압축할 수 있습니다.

강조할 점은 양자컴퓨터가 만능은 아니라는 것입니다. 대다수의 일상적인 계산 작업에서는 우위가 없습니다. 그러나 불행히도 그것이 잘하는 문제 유형은 오늘날 인터넷과 블록체인이 의존하는 공개키 암호(RSA와 타원곡선 포함)의 기반과 정확히 일치합니다. 반면 해시 함수(어떤 입력이든 고정 길이 지문으로 갈아버리는 단방향 분쇄기라고 이해하면 됩니다)는 양자 알고리즘에 의해 소폭 가속될 뿐이므로, 해시에 기반한 보안 메커니즘은 상대적으로 견고합니다. 이것이 대부분의 포스트 양자方案이 “해시 기반” 방향으로 기우는 이유이기도 합니다.

3. 왜 “공포할 필요는 없지만 방치해서는 안 된다”고 하는가

현재의 양자컴퓨터는 비트코인을 위협하기에는 아직 거리가 멉니다. 비트코인 키 하나를 해독하는 데 필요한 것은 약 50만 개의 물리적 큐비트인데, 현재 가장 앞선 공개 칩은 100여 개에 불과하며 격차는 수천 배입니다. 따라서 오늘날 양자컴퓨터로 당신의 코인을 훔칠 수 있는 사람은 없습니다.

그러나 시간표에는 불안하게 만드는 두 가지 요인이 있습니다. 첫째, 마이그레이션 자체가 극도로 시간이 많이 걸립니다. 블록체인 전체를 새로운 서명 체계로 바꾸려면 코드 작성, 감사, 테스트, 네트워크 전체 업그레이드 조율, 그리고 수억 명의 사용자가 자산을 옮겨야 하며, 업계에서는 일반적으로 5~10년이 필요하다고 봅니다. 둘째, 추정치가 빠르게 낮아지고 있습니다. 1년 전만 해도 수백만 개의 큐비트(양자컴퓨터가 블록체인을 해독하는 데 필요한 연산력이라고 간단히 이해하면 됩니다)가 필요하다고 했지만, 올해는 이미 50만 개 미만으로 떨어졌습니다. 이는 다리를 놓는 데 10년이 걸리는데 홍수가 언제 올지 예측할 수 없는 것과 같습니다. 합리적인 방법은 물이 불어나기를 기다리는 것이 아니라 지금 공사를 시작하는 것입니다.

4. 왜 어떤 코인이 더 위험한가

한 주소의 코인이 위험한지는 공개키가 이미 공개되었는지에 달려 있습니다. 봉인된 봉투라고 생각하면 됩니다. 많은 주소에는 공개키 자체가 아니라 공개키의 해시 지문이 저장되어 있어, 공개키를 봉투에 봉인한 것과 같습니다. 당신이 이 돈을 쓸 때에만 봉투가 열립니다. 봉투가 열리지 않는 한 양자컴퓨터는 손을 댈 수 없습니다.

문제는 일부 주소의 봉투가 이미 열려 있다는 것입니다. 비트코인 초기(사토시 나카모토 시대 포함)의 한 유형의 주소는 공개키를 직접 체인에 기록하여 봉투가 없었습니다. 또한 많은 사용자가 동일한 주소를 반복 사용하여, 처음 돈을 쓸 때 봉투가 열렸고 이후 남은 코인은 같은 주소에 그대로 있어 공개키가 계속 공개되어 있습니다. 이것이 보고서에서 반복적으로 언급하는 “노출된” 자산이며, 비트코인 총량의 약 3분의 1을 차지합니다. 또한 봉인된 봉투라도 당신이 송금을 시작하고 거래가 아직 확인되지 않은 짧은 창구에서 공개키가 브로드캐스트되므로, 이는 순간적이지만 불가능하지는 않은 공격 기회입니다.

5. 이른바 “포스트 양자”는 무엇을 해결하는가

해결 아이디어는 복잡하지 않습니다. 양자컴퓨터도 열 수 없는 새 자물쇠로 바꾸는 것입니다. 학계는 이미 해시 기반 서명, 격자 기반 서명 등 여러 후보를 제안했고, 미국 NIST가 2024년에 표준화를 완료했습니다. 진짜 어려운 것은 다음 세 가지입니다. 새 자물쇠는 더 크고 무거워 서명 크기가 현재의 10~40배에 달해 거래 속도를 직접 늦추고 비용을 높입니다. 자물쇠 교체에는 네트워크 전체의 동의가 필요하며, 탈중앙화 네트워크는 바로 의견을 통일하기 가장 어렵습니다. 그리고 주인이 이미 연락이 끊겨 영원히 자물쇠를 바꾸러 오지 않을 코인을 동결할지, 소각할지, 그대로 둘지 모든 사람을 만족시키는 방안은 없습니다.

몇 가지 흔한 오해

오해 중 하나는 “양자컴퓨터가 등장하면 모든 암호화폐가 제로가 된다”는 것입니다. 사실 위협받는 것은 서명环节이며, 네트워크는 서명 방식을 업그레이드하여 대응할 수 있고, 각 체인의 진행 상황이 달라 위험이 균등하지 않습니다.

오해 중 둘은 “양자컴퓨터가 채굴을 무의미하게 만든다”는 것입니다. 채굴은 해시 계산에 의존하며, 양자 알고리즘은 제한적인 가속만 가져올 뿐 작업 증명을 뒤엎지 않습니다.

오해 중 셋은 “이것은 공상과학이며 나와 무관하다”는 것입니다. 현재 양자컴퓨터는 확실히 비트코인을 해독할 수 없지만, 규제 기관, 수탁 기관, ETF 발행사는 이미 이를 공식 위험 목록에 포함시켰고, 마이그레이션 시간 창구도 각국 정책에 명시되었습니다.

핵심 발견

암호화폐 업계의 양자 공격 대비 수준은 1년 전보다 눈에 띄게 높아졌지만, 메인넷에서 실제로 사용할 수 있는 포스트 양자 보호는 여전히 매우 적어 전반적으로 아직 준비되지 않았습니다.

블록체인은 개인키 서명으로 자산 소유권을 증명하며, 서명의 보안은 타원곡선 이산대수라는 수학적 난제에 기반합니다. 고전 컴퓨터는 이 문제를 실행 가능한 시간 내에 풀 수 없지만, 규모가 충분히 크고 오류 정정 능력을 갖춘 양자컴퓨터는 Shor 알고리즘을 통해 이론적으로 공개된 공개키로부터 개인키를 역산하여 타인의 자산을 전송할 수 있습니다. 포스트 양자 암호는 양자컴퓨터 앞에서도 안전하다고 여겨지는 서명 및 암호화 방식을 말합니다.

“타원곡선 이산대수”는 추상적으로 들리지만 생활 속 비유로 이해할 수 있습니다. 특별한 모양의 격자 위에 공개된 시작점이 있고, 고정된 규칙에 따라 시작점에서 연속으로 여러 번 “점프”하여 마지막에 어떤 위치에 떨어진다고 상상해 보세요. 당신의 개인키는 점프 횟수, 즉 극도로 거대한 난수입니다. 당신의 공개키는 최종 착지점의 위치이며 공개됩니다. 점프 횟수를 알면 착지점 계산은 쉬워 몇 백 번의 연산으로 완료됩니다. 반대로 착지점만 보고 처음에 몇 번 점프했는지 알고 싶다면, 가능한 모든 횟수를 하나씩 시도하는 것 외에 현재 더 나은 방법이 없습니다. 비트코인과 이더리움이 사용하는 곡선은 가능한 횟수가 약 2의 256제곱에 달하는 천문학적인 숫자로, 전 세계 모든 컴퓨터를 동원해도 인류는 물론 우주의 수명 내에도 다 시도할 수 없습니다. 이것이 개인키를 타인이 공개키로부터 도출할 수 없는 이유입니다.

양자컴퓨터가 위협이 되는 이유는 하나씩 시도할 필요가 없기 때문입니다. Shor 알고리즘은 양자 중첩의 특성을 이용해 대량의 가능한 횟수를 동시에 고려하고 그로부터 점프 과정에 내재된 규칙을 추출하여, 원래 천문학적인 단계가 필요한 검색을 규모를 제어할 수 있는 계산량으로 압축합니다. 즉, 고전 컴퓨터는 바다에서 한 방울씩 바늘을 건지는 것이고, 양자컴퓨터는 바늘이 있는 규칙을 찾는 것입니다.

실제 공격의 구체적인 과정은 대략 세 단계로 나뉩니다. 첫째, 공격자가 블록체인에서 특정 주소의 이미 공개된 공개키를 읽습니다. 둘째, 충분히 큰 양자컴퓨터로 해당 개인키를 계산합니다. 셋째, 이 개인키로 합법적인 서명을 위조하여 해당 주소의 코인을 자신의 명의로 전송합니다. 네트워크는 이 서명이 진짜인지 가짜인지 구별할 수 없는데, 수학적으로 주인이 직접 서명한 것과 완전히 같기 때문입니다. 이것이 후문에서 “공개키가 이미 공개되었는지”를 반복해서 강조하는 이유입니다. 공개키가 공개되지 않았다면 공격의 첫 단계부터 시작할 수 없습니다.

위협은 언제 오는가?

지난 1년간 학계의 암호화폐 공격에 필요한 양자 자원 추정치는 크게 낮아졌습니다. Google Quantum AI가 2026년 3월 발표한 백서(공저자로 스탠퍼드 대학의 Dan Boneh와 이더리움 재단의 Justin Drake 포함)는 secp256k1 곡선에 대한 두 가지 공격 회로를 제시했으며, 각각 1,200개와 1,450개 이하의 논리 큐비트가 필요합니다. 논리 큐비트는 오류 정정을 거쳐 신뢰할 수 있게 계산할 수 있는 큐비트를 말하며, 실제 하드웨어로 환산하면 오류율이 약 1천 분의 1인 초전도 노선에서 필요한 물리적 큐비트는 50만 개 미만이고, 완전 실행에는 약 18~23분이 걸립니다. 계산의 약 절반을 미리 완료할 수 있기 때문에, 특정 공개키가 거래 브로드캐스트 시 공개되면 공격자는 약 9분 만에 개인키를 도출할 수 있습니다. CoinDesk는 보도에서 이는 공격자가 원래 거래가 확인되기 전에 자금을 빼돌릴 확률이 약 41%라는 것을 의미한다고 언급했습니다. 포브스는 이 결과가 이전의 수백만 물리적 큐비트 추정치보다 약 20배 줄어든 것이라고 봅니다.

큐비트는 양자컴퓨터가 블록체인을 해독하는 데 필요한 연산력이라고 간단히 이해할 수 있으며, 이에 따라 Q-day는 충분히 강력한 양자컴퓨터가 등장하는 날을 의미합니다.

Craig Gidney는 2025년 5월 프리프린트에서 RSA-2048을 해독하는 데 필요한 잡음 포함 큐비트가 100만 개 미만으로 떨어졌다고 지적했으며, 그와 Ekerå가 2019년에 추정한 것은 2,000만 개였습니다. 캘리포니아 공과대학, Oratomic, 캘리포니아 대학 버클리 캠퍼스가 백서 발표 당일 제출한 또 다른 프리프린트는 중성 원자 노선을 사용하면 1만~2만 6천 개의 큐비트로 충분할 수 있다고 주장했지만, 이 결론은 시뮬레이션에서 나온 것으로 아직 하드웨어 검증이 없습니다. 또한 Google은 공격 회로 자체를 공개하지 않았고, 영지식 증명만으로 회로의 유효성을 설명했으며, 이는 해당 분야에서 처음 채택된 “책임 있는 공개” 방식입니다.

Google 논문 스크린샷, 출처: arxiv

그러나 공포할 필요가 없는 이유는 하드웨어 현황과 위 추정치 사이에 여전히 큰 격차가 있기 때문입니다. Google의 Willow 칩은 105개의 큐비트에 불과하며, 공개 시연에서 성공적으로 해독한 가장 큰 타원곡선 키는 15비트에 불과했고 비트코인은 256비트 키를 사용합니다. Project Eleven이 이를 위해 수여한 Q-Day 상에도 논란이 있으며, 비트코인 개발자들은 해당 출력이 무작위 추측과 유의미한 차이가 없다고 봅니다.

실제 해독 능력을 갖춘 기계가 언제 등장할지에 대해 전문가 판단은 대체로 2030년대 초중