양자 컴퓨터는 정말 비트코인을 깨뜨릴 수 있는가

비트코인을 처음 접한 사람이 가장 자주 던지는 반론 중 하나가 양자 컴퓨터다. 그리고 가장 자주 돌아오는 답은 이렇다. "그런 컴퓨터는 아직 없다. 10~20년은 걸린다. 그때쯤이면 비트코인도 업그레이드되어 있을 것이다."

이 답은 틀리지 않았지만, 2026년에는 더 이상 충분하지 않다. 지난 1년 사이 공격에 필요한 자원 추정치가 한 자릿수 배가 아니라 스무 배 가까이 줄었고, 비트코인 저장소에는 양자 대응을 다루는 제안이 두 개 올라왔으며, 그중 하나는 "옮기지 않은 코인을 어떻게 할 것인가"라는 질문을 정면으로 꺼냈다. 이제 이 주제는 기술 상식 문제가 아니라 비트코인이 무엇인지에 대한 문제가 되었다.

정확하게 짚어보자.

위협은 하나가 아니라 둘이다

양자 컴퓨터가 비트코인에 미치는 영향은 서로 완전히 다른 두 갈래로 갈라진다. 이 둘을 섞으면 논의가 곧바로 엉킨다.

쇼어 알고리즘(Shor)은 서명을 겨눈다. 비트코인의 소유권 증명은 타원곡선 이산로그 문제의 난이도에 의존한다. 개인키에서 공개키를 계산하는 것은 쉽지만 그 반대는 사실상 불가능하다는 전제다. 쇼어 알고리즘은 충분히 큰 양자 컴퓨터에서 이 전제를 무너뜨린다. 공개키를 알면 개인키를 복원할 수 있다. 이것이 진짜 위협이다.

그로버 알고리즘(Grover)은 채굴과 해시를 겨눈다. 이쪽은 사정이 전혀 다르다. 그로버는 탐색 속도를 제곱근만큼만 개선한다. 2의 256승이 2의 128승이 되는 것인데, 이는 여전히 우주적 규모의 숫자다. 게다가 작업증명에는 난이도 조정이라는 자동 흡수 장치가 있다. 양자 채굴기가 등장해도 네트워크는 그저 난이도를 올린다. SHA-256이 깨지는 것이 아니라 채굴 하드웨어 경쟁의 한 세대가 바뀌는 것에 가깝다.

즉 "양자 컴퓨터가 2,100만 개 한도를 무력화한다"거나 "블록체인을 다시 쓴다" 같은 이야기는 근거가 약하다. 위험한 것은 오직 서명 쪽이고, 더 정확히는 이미 드러난 공개키다.

깨지는 것은 지갑이 아니라 노출된 공개키다

여기가 이 주제의 핵심이며, 대부분의 기사가 건너뛰는 지점이다.

비트코인 주소는 공개키 그 자체가 아니라 공개키의 해시다. 그리고 양자 컴퓨터도 해시 함수를 역산하지는 못한다. 다시 말해 한 번도 쓰지 않은 주소에 들어 있는 코인은 공개키가 해시 뒤에 숨어 있어서, 쇼어 알고리즘을 들이댈 대상 자체가 없다.

문제는 공개키가 체인에 드러나는 경로가 여럿이라는 것이다.

첫째, P2PK 출력이다. 비트코인 초창기의 채굴 보상은 주소가 아니라 공개키 앞으로 직접 지급됐다. 해시가 없다. 공개키가 스크립트에 그대로 박혀 있고, 15년 넘게 그 상태로 놓여 있다.

둘째, 주소 재사용이다. 어떤 주소에서든 코인을 한 번 쓰면 서명과 함께 공개키가 공개된다. 그 주소를 계속 쓰면, 남은 잔고는 이제 해시가 아니라 노출된 공개키가 지키고 있는 셈이 된다. 지금까지 프라이버시 때문에 하지 말라고 하던 그 습관이다.

셋째, 탭루트 키패스다. P2TR 출력은 트윅된 공개키를 스크립트에 그대로 담는다. 설계상 그렇다. 프라이버시와 효율 면에서는 훌륭한 선택이었지만, 양자 관점에서는 잔고가 처음부터 노출된 상태로 놓인다는 뜻이다.

얼마나 노출되어 있는가

추정치는 출처마다 갈리지만, 규모의 감각은 일치한다.

글래스노드가 2026년 5월 집계한 수치는 604만 BTC, 발행량의 30.2%였다. 이 물량은 성격이 다른 둘로 나뉜다. P2PK 같은 구조적 노출이 192만 BTC, 주소 재사용으로 인한 운영적 노출이 412만 BTC다. BIP-361 본문은 공급량의 34% 이상이 노출되어 있다고 적었고, 구글 연구진과 코인베이스 자문단의 집계는 650만~700만 BTC 선이다.

추정이 갈리는 이유는 방법론이다. 재사용을 어디까지로 볼 것인지, 소각된 것이 분명한 출력을 뺄 것인지, 분실 추정분을 어떻게 처리할 것인지에 따라 수백만 BTC가 움직인다. 그러나 어떤 방법론을 써도 "전체 공급의 30% 안팎"이라는 결론은 흔들리지 않는다.

그중 특히 다루기 어려운 덩어리가 있다. 사토시 시대의 P2PK 출력 약 170만 BTC다. 이 코인들은 15년 동안 움직인 적이 없다. 주인이 살아 있는지, 키를 갖고 있는지 아무도 모른다. 누군가 안전한 주소로 옮겨줄 수 없는 코인이라는 뜻이고, 뒤에서 볼 논쟁 전체가 사실상 이 덩어리를 둘러싸고 벌어진다.

짧은 창: 멤풀

해시 뒤에 숨어 있어 안전하다던 코인도 영원히 안전하지는 않다. 쓰는 순간 서명과 공개키가 드러나기 때문이다.

거래를 브로드캐스트하고 블록에 담기기까지 몇 분에서 수십 분이 걸린다. 이론적으로 충분히 빠른 양자 컴퓨터라면 그 사이에 멤풀에 뜬 공개키에서 개인키를 복원하고, 더 높은 수수료를 붙인 경쟁 거래를 만들어 원래 거래를 앞지를 수 있다. RBF와 수수료 시장이 공격자에게도 똑같이 열려 있다.

이 짧은 노출 구간은 뒤에 볼 BIP-360조차 막지 못한다고 제안서가 스스로 밝히고 있다. 다만 이쪽 공격은 장기 노출 공격보다 훨씬 어렵다. 몇 년이 아니라 몇 분 안에 끝내야 하기 때문이다.

그래서 얼마나 남았나

2026년 3월 31일, 구글 퀀텀 AI 팀이 발표한 논문이 기준선을 크게 바꿨다. 크레이그 기드니를 비롯한 연구진은 256비트 타원곡선 이산로그 문제를 논리 큐빗 1,200개 미만과 9천만 개 미만의 토폴리 게이트로 풀 수 있다고 추정했다. 초전도 방식에 물리 오류율 1e-3을 가정하면 물리 큐빗 50만 개 미만으로 수 분 내에 실행 가능하다는 계산이다. 이전까지 통용되던 논리 큐빗 2,330개 이상이라는 추정에서 스무 배 가까이 줄어든 값이다.

그렇다면 지금 수준은 어디쯤인가. 2026년 1월 네이처에 실린 QuEra의 결과가 검증된 논리 큐빗 96개로 현재 최고 기록이고, 마이크로소프트와 퀀티넘의 H2 시스템이 논리 큐빗 12개를 오류율 1e-3 수준에서 시연했다. 필요한 값과 실제 값 사이에 여전히 두세 자릿수의 간격이 있다.

정직한 결론은 이렇다. 오늘 당장 위험하지는 않다. 그러나 "10~20년"이라는 관용구는 이제 근거가 약하다. 저 격차는 물리 법칙이 아니라 공학 로드맵의 문제이고, 로드맵은 최근 3년간 계속 앞당겨져 왔다. 그리고 중요한 것은 정확한 예측이 아니다. 준비에 걸리는 기간이 위협이 도착하는 시점보다 짧아야 한다는 것, 그것만이 실질적인 조건이다.

비트코인의 대응 ①: BIP-360

헌터 비스트, 이선 하일먼, 이자벨 폭슨 듀크가 작성한 BIP-360은 2024년 12월에 제출되어 현재 Draft 상태다. 제안된 출력 유형의 이름은 P2MR(Pay-to-Merkle-Root)이고, 세그윗 버전 2에 해당하며 주소는 bc1z로 시작한다.

구조는 단순하다. 탭루트에서 키패스 지출을 없앤다. P2TR과 거의 같지만 내부 키가 없고, 스크립트 트리의 머클 루트만 커밋한다. 출력이 만들어지는 시점에 온체인에 나타나는 공개키가 아예 없다는 뜻이다. 대가는 증인 크기 증가다. 협력적인 경우에도 스크립트 경로를 써야 하니 거래가 커진다.

여기서 흔한 오해 하나를 짚어야 한다. BIP-360은 양자내성 서명을 비트코인에 도입하는 제안이 아니다. 제안서는 이 점을 명시한다. 장기 노출 공격을 막는 것은 양자내성 서명의 활성화에 의존하지 않는다는 것이 이 설계의 논지다. 양자내성 서명 자체는 이후의 별도 제안 몫으로 남아 있다. 테스트넷에서 ML-DSA 계열 서명 연산을 P2MR 스크립트 맥락에 넣어 시험한 구현들이 나왔지만, 그것은 구현체의 실험이지 BIP 본문의 내용이 아니다.

비트코인의 대응 ②: BIP-361, 그리고 재산권 논쟁

두 번째 제안이 진짜 논쟁거리다. 제이미슨 롭을 포함한 여섯 명이 2026년 2월에 제출한 BIP-361의 제목은 "Post Quantum Migration and Legacy Signature Sunset"이다. 기존 서명 방식의 일몰(sunset)이라는 표현이 이미 모든 것을 말하고 있다.

구조는 두 단계다.

페이즈 A는 활성화 3년 후 시작된다. 양자 취약 주소로 자금을 보내는 것이 금지된다. 기존 잔고는 쓸 수 있지만 새로 받을 수는 없다. 마이그레이션을 강제하는 압력이다.

페이즈 B는 그로부터 2년 뒤다. 취약 UTXO에서의 ECDSA·슈노르 지출에 대한 검증 요건이 강화된다.

언론은 이 단계를 대체로 "코인 동결"로 요약했다. 정확하지 않다. BIP 본문은 페이즈 B를 단순한 차단이 아니라 양자 안전 레스큐 프로토콜과 함께 서술한다. BIP-32 하드닝 파생 경로처럼 정당한 소유자만 알 수 있는 정보의 비대칭을 이용해, 양자 공격자는 못 하고 진짜 주인은 할 수 있는 형태의 증명을 요구하겠다는 구상이다. 다만 그 프로토콜이 아직 완성되지 않았다는 점, 그리고 어느 쪽이든 정해진 시점까지 움직이지 않은 코인은 예전 방식으로는 쓸 수 없게 된다는 실질은 남는다.

찬성 쪽의 논리는 이렇다. 아무것도 하지 않으면 그 600만 BTC는 결국 최초로 양자 컴퓨터를 확보한 자에게 간다. 도난당한 코인이 시장에 쏟아지는 사건은 옮겨둔 사람의 재산까지 함께 훼손한다. 서명 알고리즘에 유효기간을 두는 것은 몰수가 아니라 프로토콜이 늘 해오던 규칙 갱신이다. 그리고 비트코인의 합의 형성은 느리기 때문에, 시한이 정해진 명확한 경로만이 실제로 작동하는 유일한 방어라는 것이다.

반대 쪽의 논리도 만만치 않다. "네 키, 네 코인"에 만료일이 붙는 것이다. 오프라인에 있는 사람, 수감된 사람, 이미 사망한 사람, 그냥 옮기고 싶지 않은 사람의 코인이 사라진다. 무엇보다 특정 UTXO를 쓸 수 없게 만드는 선례가 한 번 생기면, 다음번에 그 명분을 꺼내기는 훨씬 쉬워진다. 사유재산과 검열 저항성이 비트코인의 핵심이라면, 좋은 이유로 만든 예외도 예외다. 블록사이즈 전쟁이 가르쳐준 것이 정확히 이것이었다.

어느 쪽도 공짜가 아니다. 그리고 이것은 암호학 문제가 아니라 거버넌스 문제다. 두 제안 모두 아직 Draft이고, 활성화 논의는 시작도 하지 않았다.

웹은 이미 옮기고 있는데 비트코인은 왜 어려운가

흔히 "양자 컴퓨터가 비트코인을 깨면 은행도 인터넷도 다 깨진다"고 말한다. 맞는 말이지만, 이 비유는 비트코인 쪽에 유리하게 기울어 있다.

웹과 은행 시스템의 암호는 서버 설정을 바꾸면 교체된다. 실제로 주요 브라우저와 CDN은 이미 하이브리드 방식으로 이전을 진행했다. 중앙에서 일괄적으로 갈아끼울 수 있기 때문이다.

비트코인은 반대다. 과거의 잔고가 체인 위에 영구히 남아 있고, 그것을 옮길 수 있는 사람은 오직 개인키를 가진 각각의 소유자뿐이다. 개발자가 대신 옮겨줄 수 없다. 그리고 그중 상당량은 옮겨줄 주인이 존재하지 않는다. 이 구조 때문에 비트코인의 마이그레이션은 기술적으로 쉬운 축이 아니라 오히려 어려운 축에 속한다.

지금 무엇을 할 것인가

할 것.

• 주소를 재사용하지 않는다. 프라이버시를 위해 이미 권고되던 습관이 그대로 양자 대비이기도 하다. 노출된 412만 BTC 중 상당 부분이 이 습관 하나로 생겼다.
• 오래된 주소에 잔고가 있으면 지금 점검한다. P2PK나 오래 재사용한 주소에 자금이 남아 있다면, 쓰지 않은 새 주소로 옮겨두는 것만으로 위험 등급이 바뀐다.
• 시드 문구를 확실히 보관한다. 어떤 마이그레이션 방식이 채택되든 결국 서명해서 옮겨야 한다. 키를 잃어버린 코인은 양자 컴퓨터 이전에 이미 옮길 수 없는 코인이다.

하지 않을 것.

• "양자 내성"을 내세우는 알트코인으로 갈아타지 않는다. 서명 알고리즘만 바꾼다고 해결되는 문제가 아니며, 그 체인들도 언젠가는 똑같은 마이그레이션 문제를 마주한다. 15년간 검증된 네트워크 효과와 보안 예산을 마케팅 문구와 맞바꾸는 거래다.
• 서두르지 않는다. 표준이 확정되기 전에는 옮겨갈 곳 자체가 없다. bc1z는 아직 Draft다.

남는 질문

결국 비트코인은 두 번 합의해야 한다.

첫 번째는 공학 문제다. 어떤 양자내성 서명을 쓸 것인가. 후보들은 하나같이 서명이 크고, 그것은 곧 블록 공간과 수수료, 노드 운영 비용의 문제로 이어진다. 어렵지만 답이 나오는 종류의 문제다.

두 번째는 다르다. 옮기지 않은 코인을 어떻게 할 것인가. 여기에는 기술적으로 옳은 답이 없다. 지키려는 두 가지가 정면으로 충돌하기 때문이다. 네트워크 전체의 안전과, 개별 소유자의 절대적 재산권이다.

그래서 이 주제의 진짜 무게는 큐빗 개수에 있지 않다. 양자 컴퓨터가 언젠가 비트코인을 무너뜨린다면, 그것은 아마 암호가 깨져서가 아니라 제때 합의에 이르지 못해서일 것이다. 비트코인이 지금까지 어려운 결정을 어떻게 다뤄왔는지를 생각하면, 이번에도 답은 느리고 지저분한 과정 끝에 나올 것이다. 다만 이번에는 마감 시한이 있다는 점이 다르다.