비트코인과 양자컴퓨터, 15년 후에도 안전할까요? 양자컴퓨터가 비트코인 보안을 위협할 수 있는지, 최신 연구와 업계 대응을 총정리해드립니다.
최근 몇 년 사이 양자컴퓨팅 기술이 빠르게 발전하면서, 암호화폐 투자자들 사이에서 “양자컴퓨터가 상용화되면 비트코인 지갑이 정말 해킹될 수 있는가”라는 질문이 자주 오가고 있습니다. 흔히 양자컴퓨터 상용화까지는 10~15년 정도 걸릴 것으로 예상되곤 하는데, 그 시점에 도달했을 때 현재 암호화폐 수준의 보안 체계가 정말 쉽게 무너질 수 있는지, 아니면 업계가 그 사이 충분히 대응책을 마련해 낼 수 있는지를 여러 학술 논문, 기업 보고서, 개발자 커뮤니티 논의를 교차 검증하여 정리해보았습니다.
진짜 위협은 채굴이 아니라 서명
암호화폐 보안은 크게 두 가지 축으로 이루어져 있습니다. 하나는 채굴과 블록 연결에 쓰이는 해시함수(비트코인의 경우 SHA-256, 이더리움은 Keccak-256)이고, 다른 하나는 “내가 이 지갑의 주인이다”를 증명하는 전자서명(타원곡선 암호, ECDSA)입니다. 이 둘은 양자컴퓨터 앞에서 전혀 다른 운명을 맞이합니다.
1994년 수학자 피터 쇼어가 발표한 쇼어 알고리즘(Shor’s Algorithm)은 타원곡선 이산로그 문제를 효율적으로 풀어내는 방법을 제시했습니다. 이 문제는 공개키에서 개인키를 역산하는 것으로, 고전 컴퓨터로는 우주의 나이보다 오랜 시간이 걸린다고 알려져 있지만, 충분히 강력한 양자컴퓨터라면 원리적으로 몇 분 안에 풀어낼 수 있다는 것이 여러 연구에서 반복적으로 확인되었습니다.
반면 채굴에 쓰이는 해시함수는 그로버 알고리즘(Grover’s Algorithm)의 영향을 받는데, 이 알고리즘은 보안 강도를 대략 절반으로 줄이는 ‘이차 가속’ 효과만 있습니다. 256비트 해시라면 128비트 수준으로 낮아지는 정도인데, 이는 여전히 천문학적인 계산량이 필요해 실질적인 위협으로 보기 어렵습니다. 대부분의 연구자들은 양자컴퓨팅이 비트코인 채굴에 임박한 실존적 위협이 되지는 않는다는 데 동의하고 있습니다.
공격에 필요한 큐비트 수, 계속 줄어들고 있습니다
비트코인 서명을 깨는 데 필요한 양자컴퓨터 규모에 대한 추정치는 시간이 지날수록 계속 낮아지는 흐름을 보이고 있습니다.
- 2022년 서식스 대학 연구진: 1,300만~3억 개의 물리 큐비트 필요 추정
- 기존 통념: 수백만 개의 물리 큐비트 필요
- 2026년 3월 구글 퀀텀 AI 백서: 50만 개 미만의 물리 큐비트, 약 1,200~1,450개의 논리 큐비트로 축소
- 2026년 7월 한루오(Han Luo) 등 연구: 약 835개 논리 큐비트로 추가 축소
이런 추정치 하락 자체가 새로운 위협을 의미하는 것은 아닙니다. 현재 IBM 등 선도 기업이 목표로 하는 논리 큐비트 규모는 2029년 기준으로 200개 수준에 불과해, 여전히 실제 공격에 필요한 규모와는 상당한 격차가 있습니다. 다만 이런 알고리즘 최적화 추세는 “예상보다 대응 시간이 줄어들고 있다”는 경고 신호로 업계에서 받아들여지고 있습니다.
9분의 창과 영원한 노출, 두 가지 공격 시나리오
구글 퀀텀 AI가 2026년 3월 발표한 백서는 흥미로운 공격 시나리오를 제시했습니다. 타원곡선의 고정 파라미터에 의존하는 계산 부분은 미리 준비해둘 수 있어서, 양자컴퓨터가 절반쯤 계산을 끝낸 대기 상태로 있다가 목표 공개키가 나타나는 순간 나머지 절반만 계산하면 되는데, 이 나머지 계산에 약 9분이 걸릴 것으로 추정됩니다.
비트코인의 평균 블록 확정 시간이 10분이라는 점을 고려하면, 사용자가 거래를 전송하고 공개키가 멤풀(미확정 거래 대기열)에 노출된 순간부터 약 9분의 경쟁이 벌어지는 셈이며, 계산상 공격자가 원래 거래보다 먼저 성공할 확률은 약 41%로 추정됩니다. 이런 공격 방식은 업계에서 온스펜드(on-spend) 공격이라 불립니다.
더 심각한 것은 앳레스트(at-rest) 공격입니다. 이미 블록체인상에 영구적으로 공개키가 노출된 주소들은 시간 제약 없이 공격자가 원하는 만큼 여유롭게 공략할 수 있는 상태입니다. 초기 방식인 P2PK(Pay-to-Public-Key) 주소나, 한 번이라도 송금에 사용된 뒤 재사용된 P2PKH 주소, 그리고 탭루트(Taproot) 업그레이드 이후 거래된 P2TR 주소 일부가 여기에 해당합니다.
사토시의 코인부터 양자공격에 취약한 비트코인은 얼마나 될까
여러 분석 기관의 추정치를 종합하면 대략 전체 비트코인 공급량의 25~30% 수준이 양자공격에 잠재적으로 취약한 상태로 파악됩니다.
- 초기 분석: 약 400만 BTC(전체의 약 25%), 당시 가격 기준 400억 달러 이상
- 2026년 6월 보고서: 약 170만 BTC가 P2PK 형태로 노출
- 다른 추정: P2PK 약 172만 BTC + 재사용 주소 약 490만 BTC, 합계 약 680만 BTC
- 글래스노드(Glassnode) 2026년 5월 추정: 약 604만 BTC(30.2%), 가격 8만 달러 기준 약 4,830억 달러
- 양자보안 전문기업 Project Eleven 추정: 약 7,180억 달러 상당(비트코인 가격 상승분 반영)
특히 사토시 나카모토가 채굴한 것으로 추정되는 약 96만~110만 BTC가 대표적인 사례로 꼽힙니다. 이 코인들은 15년 넘게 한 번도 이동한 적이 없고, 초기 P2PK 방식으로 저장되어 있어 공개키가 이미 영구적으로 원장에 기록되어 있습니다. 콜드월렛(하드웨어 지갑)에 보관되어 있다 하더라도, 블록체인에 이미 기록된 공개키 데이터 자체를 되돌릴 수는 없기 때문에 물리적 보안과는 무관하게 취약한 상태로 남습니다.
양자컴퓨터 대응 로드맵
업계는 손 놓고 있지 않습니다. 표준화 기관, 각국 정부, 비트코인 개발자 커뮤니티가 각자의 층위에서 이미 구체적인 대응책을 내놓고 있습니다. 지금까지 확인된 주요 대응을 시기와 주체별로 정리하면 다음과 같습니다.
| 시기 | 주체 | 내용 |
|---|---|---|
| 2024년 8월 | NIST(미국 국립표준기술연구소) | 양자내성암호 표준 3종 확정 — 키 캡슐화용 ML-KEM(CRYSTALS-Kyber), 전자서명용 ML-DSA(CRYSTALS-Dilithium), 해시 기반 서명 SLH-DSA(SPHINCS+). 격자 기반과 해시 기반이라는 두 갈래 수학적 접근을 병행 |
| 2026년 2월 11일 | 비트코인 코어 개발자(머치 외) | BIP 360(Pay-to-Merkle-Root, P2MR)이 공식 비트코인 개선 제안 저장소에 등록. 헌터 비스트, 이단 힐먼, 이자벨 폭센 듀크 공동 저술. 탭루트 구조를 기반으로 하되 최대 취약점인 키패스 지출(온체인 공개키 노출)을 제거하는 것이 목표. 아직 활성화된 변경은 아니지만 양자 저항성이 처음으로 공식 기술 로드맵에 오른 사건 |
| 2026년 (진행 중) | 비트코인 개발자 커뮤니티 | “아워글래스(Hourglass)” 제안 — 이미 노출된 공개키를 가진 코인의 탈취 속도를 제한하는 절충안. 제로지식증명(ZKP)을 활용해 개인키 노출 없이 소유권을 증명하는 연구도 병행 |
| 2026년 (발표 시점) | 스타크웨어(StarkWare) | 연구원 아비후 레비가 개발한 QSB(Quantum-Safe Bitcoin) 시스템으로, 소프트포크나 합의 규칙 변경 없이 비트코인 메인넷에서 최초의 양자내성 거래를 성공적으로 전송. 다만 거래 1건당 수백 달러의 GPU 연산 비용이 들고, 양자컴퓨터가 이미 존재하는 시점에는 자금 이동 자체가 위험해질 수 있어 일반 결제가 아닌 비상 탈출 수단으로 제시 |
| 2026년 6월 | 미국 행정부(행정명령) | 연방 시스템 전환 시한 명시 — 키 설정 부문 2030년 12월 31일까지, 전자서명 부문 2031년 12월 31일까지 NIST 승인 양자내성암호로 전환 의무화. 백악관은 에너지부에 2028년까지 애플리케이션 개발용 확장 가능 양자컴퓨터 제공을 지시 |
양자 내성 보안(PQC), 체인별 대응 속도
이더리움 재단은 2026년 1월 ‘양자 내성 보안팀(PQC Team)’을 신설하고 2029년까지 관련 인프라 구축을 목표로 하고 있습니다. 트론(TRON)은 2026년 말까지 네트워크 전체의 양자내성 전환을 목표로 내걸었으며, 테스트넷에 FN-DSA-512와 ML-DSA-448 서명 알고리즘을 이미 구현·테스트해 비트코인이나 이더리움보다 빠른 전환 속도를 강점으로 내세우고 있습니다. 솔라나는 윈터니츠 볼트(Winternitz Vault)라는 옵트인 방식을 도입했고, 모시모(Mochimo)나 양자내성원장(QRL) 같은 프로젝트는 애초에 해시 기반 서명으로 설계되었습니다.
기관들의 착각, MPC는 양자저항성이 아닙니다.
기술적 대응책만큼 중요한 것이 실행 비용입니다. NIST의 ML-DSA-65는 3,309바이트 서명과 1,952바이트 공개키를 사용하는데, 기존 타원곡선 서명이 수십 바이트에 불과했던 것과 비교하면 상당한 크기 증가입니다. 이는 블록체인의 대역폭·저장공간 부담을 늘리고 수수료 상승으로 이어질 수 있습니다.
특히 주목할 만한 지적은, 다자간 컴퓨팅(MPC)을 활용한 임계값 서명 방식이 양자저항성을 전혀 제공하지 않는다는 점입니다. 암호학 전문가들은 MPC가 계산을 여러 당사자에 분산시킬 뿐 알고리즘 자체를 바꾸는 것은 아니며, 양자컴퓨터는 공개키만으로 개인키를 유도하기 때문에 서명자가 몇 명으로 나뉘어 있든 상관이 없다고 지적합니다. 즉 “우리는 MPC 커스터디를 쓰니 더 안전하다”는 일부 기관의 인식은 양자 위협 앞에서는 착각일 수 있다는 경고입니다.
기관들은 자사 시스템 전반에서 취약한 암호가 어디에 쓰이고 있는지 전수 조사하는 ‘암호 자산 명세서(Cryptographic Bill of Materials)’ 작업부터 시작해야 하는 상황이며, 이 비용을 누가 부담할지에 대한 합의도 아직 명확하지 않습니다.
진짜 난제는 기술이 아니라 합의
모든 자료가 공통적으로 도달하는 결론이 하나 있습니다. 개인키를 분실했거나 소유자가 사망한, 혹은 사토시 나카모토처럼 의도적으로 손대지 않는 코인들은 아무리 좋은 양자내성 기술이 나와도 스스로 안전한 주소로 옮겨갈 수 없습니다.
이런 자산을 어떻게 처리할지에 대해 업계는 크게 세 가지 입장으로 나뉘어 있습니다.
- 몰수적 접근: 일정 기한을 두고 취약한 주소를 네트워크 합의로 동결하거나 무효화
- 자유방임적 청산: 아무 조치 없이 양자 공격에 의한 탈취를 그대로 감수
- 절충안(아워글래스 등): 완전한 동결도 완전한 방임도 아닌, 탈취 속도만 지연시키는 방식
동결 방안에 대해서는 “코인이 정말로 분실되었는지 증명할 수 없어 몰수적 성격을 띤다”는 반론과, “누군가의 코인을 통제하는 것 자체가 비트코인의 핵심 철학인 검열 저항성에 위배된다”는 반론이 동시에 제기되고 있어, 순수한 암호학 연구보다 오히려 이 사회적 합의 과정이 더 오래 걸릴 수 있다는 관측이 우세합니다.
기관 투자자들의 시각
모든 전문가가 같은 시간표를 이야기하는 것은 아닙니다. 같은 사실관계를 두고도 “서두를 필요 없다”는 쪽과 “지금부터 준비해야 한다”는 쪽으로 견해가 뚜렷하게 갈립니다.
스트래티지(전 마이크로스트래티지) 경영회장 마이클 세일러는 가장 낙관적인 목소리를 내는 인물입니다. 그는 2026년 초 자신의 SNS에 양자컴퓨팅이 비트코인을 무너뜨리는 게 아니라 오히려 “더 단단하게 만들 것”이라는 취지의 글을 올렸는데, 논리는 이렇습니다. 네트워크가 프로토콜 업그레이드로 대응하면 활발히 쓰이는 코인들은 안전한 표준으로 이전되고, 분실되거나 방치된 코인은 그대로 동결되어 유통량이 줄어드는 효과가 나면서 결과적으로 비트코인이 더 강해진다는 것입니다. 이후에도 그는 여러 매체와의 인터뷰에서 신뢰할 만한 양자 위협은 최소 10년 이상 남았으며, 만약 실제로 그런 돌파구가 나온다면 비트코인만이 아니라 글로벌 은행 시스템, 인터넷 인프라, 소비자 기기, AI 네트워크 등 모든 디지털 시스템이 동시에 양자내성암호로 전환해야 하는 압박을 받게 될 것이라고 설명했습니다. 흥미로운 점은, 그가 오히려 더 걱정하는 것은 외부의 양자 위협이 아니라 “성급한 프로토콜 개선을 주장하는 야심 찬 사람들”이라고 밝힌 대목입니다 — 즉 그의 입장에서는 서두른 변경 자체가 외부 공격보다 더 큰 리스크로 여겨지는 셈입니다.
반면 비트코인 진영 내부에서도 다른 목소리가 있습니다. 이더리움 창시자 비탈릭 부테린은 크립토 생태계가 명확한 위험 신호를 기다리지 말고 양자내성 대비 계획을 서둘러야 한다고 반복적으로 주장해왔으며, 이더리움 재단 역시 ‘양자 대비 태세’를 2026년 핵심 우선순위 중 하나로 명시했습니다. 솔라나 공동창업자 아나톨리 야코벤코는 비트코인이 안전하려면 2030년경까지는 양자내성 서명 체계로 이전해야 한다고 주장한 바 있는데, 이는 필연적으로 하드포크를 수반하는 논쟁적인 결정이라는 점도 함께 지적됩니다. 반대로 블록스트림 CEO 아담 백은 양자 위협을 상대적으로 가볍게 평가하는 쪽에 가깝습니다.
투자 업계에서는 브리지워터 어소시에이츠 창업자 레이 달리오가 대표적인 신중론자입니다. 그는 여러 인터뷰와 팟캐스트에서 자신의 포트폴리오 중 비트코인 비중을 약 1% 수준으로 제한하고 있으며 금(gold)을 더 선호한다고 밝혀왔는데, 그 이유 중 하나로 양자컴퓨팅이 언젠가 비트코인의 암호화 보안을 깨뜨릴 수 있다는 점을 꾸준히 언급하고 있습니다. 이에 대해 갤럭시의 알렉스 손과 반에크의 매튜 시겔 등은 양자 리스크가 비트코인만의 결함이 아니라 암호화에 의존하는 금융 시스템 전체가 마주한 공통 과제라고 반박했습니다. 한편 제프리스의 크리스토퍼 우드는 실제로 자사 모델 포트폴리오에서 비트코인 비중 10%를 양자컴퓨팅 우려를 이유로 제외하는 결정을 내리기도 했습니다.
온체인 분석가들의 시각은 다소 절충적입니다. 대표적으로 온체인 분석가 윌리 우는 양자컴퓨팅이 비트코인 전체에 실존적 위협이 되지는 않는다는 데는 대체로 동의하면서도, 초기에 채굴된 오래된 코인 일부는 여전히 취약할 수 있다고 경고했습니다. 이는 앞서 살펴본 “위협은 전체가 아니라 특정 조건의 코인에 집중된다”는 패턴과도 일치합니다.
코인베이스 진영은 독자적인 양자컴퓨팅·블록체인 보안 자문위원회를 설립해, 공개 연구와 위험 평가, 기술 가이드를 생태계 전반에 제공하겠다는 방향을 택했습니다. 세일러처럼 “시간 여유가 충분하다”고 단정하기보다는, 기술이 실제로 암호를 깰 수 있게 되기 훨씬 이전부터 준비를 시작해야 한다는 예방적 입장에 가깝습니다.
2026년 7월에는 코인베이스, 스트래티지, 블랙록, 갤럭시, 피델리티 디지털 애셋, 블록스트림 등이 컨소시엄을 결성해 3년간 1,500만 달러를 비트코인 보안 연구에 투입하기로 했으며, 양자내성암호를 첫 번째 연구 주제로 삼았습니다. 흥미로운 지점은 이 컨소시엄에 “서두를 필요 없다”는 세일러의 스트래티지와 “예방적 준비”를 강조해온 코인베이스가 나란히 이름을 올렸다는 것입니다 — 시간표에 대한 견해차와는 별개로, 연구 자체에는 함께 투자해야 한다는 공감대는 분명히 존재하는 셈입니다.
머스크는 비트코인을 언급하지 않았습니다
2026년 8월 말, 일론 머스크가 옥스퍼드 물리학자 팀 파머의 이론(양자컴퓨터가 물리적으로 200~400 큐비트 수준에서 한계에 부딪힌다는 소수설)에 관한 트윗에 짧게 동의를 표하자, 일부 투자자들이 이를 “비트코인은 이미 양자안전하다”는 근거로 확대 재생산한 사례가 있었습니다. 그러나 머스크는 비트코인이나 개인키에 대해 어떤 언급도 하지 않았으며, 팔머 교수의 이론 자체도 아직 검증되지 않은 소수 의견입니다. 이런 사례는 유명인의 무관한 발언이 크립토 커뮤니티에서 아전인수격으로 해석되는 전형적인 패턴을 보여줍니다.
결론
저절로 오는 안전이 아닙니다. 양자컴퓨터가 15년 후 현재 수준의 암호화폐 보안을 손쉽게 무너뜨릴 가능성은 낮다는 것이 업계 컨센서스에 가깝습니다. 다만 이 안전은 저절로 유지되는 것이 아니라, NIST 표준 확정, BIP-360 같은 프로토콜 제안, 각 체인의 자체 로드맵, 기관의 예산 편성, 그리고 무엇보다 소유자 불명 자산을 어떻게 처리할지에 대한 사회적 합의까지 여러 층위의 대응이 계속 쌓여야 유지될 수 있는 안전입니다.
필요 큐비트 추정치가 계속 낮아지고 있다는 흐름은 경계할 만한 신호이지만, 동시에 프로토콜 제안이 공식화되고 실제 양자내성 거래가 메인넷에서 성공하는 등 대응 역시 이론에서 실행 단계로 착실히 넘어가고 있다는 점도 함께 기억할 필요가 있습니다.
Related Posts
