비트코인의 양자컴퓨터 위험은 암호화 알고리즘을 교체하는 데 그치지 않는다. 암호화폐 투자자 닉 카터는 10월 13일 루크 마틴과의 인터뷰에서, 향후 비트코인 키를 해독할 수 있는 양자컴퓨터가 등장하면 공격자가 휴면 비트코인의 개인키를 복원해 약 10개 블록에 걸쳐 대규모 이체를 내보낼 수 있다는 극단적 시나리오를 제시했다. 초기 비트코인이 한꺼번에 움직이면 네트워크의 소유권과 결제 규칙에 대한 신뢰가 먼저 흔들릴 수 있다.
공개키 노출 비트코인 약 604만 개
Glassnode는 5월 20일 분석에서 약 604만 BTC, 당시 발행량의 30.2%가 공개키 노출 상태라고 추산했다. 여기에는 과거 비트코인을 사용했거나 주소를 재사용해 공개키가 드러난 자산뿐 아니라, 구조적으로 공개키가 노출되는 P2PK 방식의 초기 코인과 일부 Taproot 관련 출력도 포함된다.
양자 공격의 핵심 가정은 충분히 강력한 양자컴퓨터가 쇼어 알고리즘을 이용해 공개키에서 개인키를 도출하고, 유효한 지출 승인처럼 보이는 서명을 만들 수 있다는 것이다. 구글은 이런 공격에 필요한 계산 자원을 모델링한 공개 연구를 내놓았지만, 현재까지 비트코인 키 복구에 성공했다는 증거는 없다. 양자 키 공격은 현실화된 네트워크 사건이 아니라 미래의 위험이다.
다만 블록 공간만 놓고 보면 짧은 시간에 대규모 이체가 이뤄질 가능성을 배제할 수 없다. 초기 출력 5만 건이 각각 50 BTC를 보유한다고 가정하면 총액은 250만 BTC다. 비트코인 개발자 문서의 P2PK 입력 예시를 적용할 경우 이들 입력에는 약 570만 바이트가 필요하다. 거래의 추가 부담을 제외해도 무게 단위로 약 2,280만 WU다. 블록 가중치 규칙상 10개 블록의 총 한도는 4,000만 WU다. 거래를 나누고 각 묶음을 Bitcoin Core의 표준 제한인 약 40만 WU 이내로 맞추면 이론적으로는 10개 블록 안에 처리할 수 있다.
10개 블록 안에 처리가 끝난다는 보장은 없어
실제 거래가 블록에 포함되는 시점은 수수료와 네트워크 혼잡도, 채굴자의 거래 선택에 달려 있다. 비트코인은 평균 약 10분마다 블록을 생성하므로 10개 블록은 통상 약 100분이지만, 실제 소요 시간은 크게 달라질 수 있다. 출력의 스크립트 유형과 지출 조건, 수신 출력의 개수도 한 번에 옮길 수 있는 물량에 영향을 준다.
양자 공격이 발생하더라도 기존 비트코인의 통제권이 이전될 뿐, 신규 발행량이 늘어나는 것은 아니다. 대규모 이체가 공개되면 매도 여부가 확인되기 전부터 보유자들의 불안이 커질 수 있다. 이후 시장 변동성이 확대될지는 거래소의 대응과 가용 유동성, 시장 참여자들이 이체 출처를 어떻게 판단하는지에 달려 있다. 공개키가 노출된 상태, 보유자의 장기 미활동, 개인키의 영구 분실, 일부 초기 자산의 사토시 나카모토 소유 여부는 서로 다른 문제다.
보안 연구원 제임슨 롭은 5월 21일 분석에서 공개키가 이미 노출된 비트코인 가운데 약 260만 BTC는 이전이 불가능할 수 있다고 추산했다. 그는 보유자의 장기 미활동과 알려진 주체의 주소 라벨 등을 판단 기준으로 활용했다. 다만 이는 해당 자산을 합법적 보유자가 실제로 옮길 수 없다고 확인한 수치는 아니다.
방어 규칙 강화, 합법적 보유자 접근권도 제한할 수 있어
기존 지출 규칙을 유지하면 유효한 개인키를 제시하는 누구나 해당 자산을 쓸 수 있다. 여기에는 향후 공격자가 복원한 개인키도 포함될 수 있다. 반대로 구형 서명을 제한하면 자산을 제때 이전하지 못했거나 새로운 구제 조건을 충족하지 못한 합법적 보유자가 접근권을 잃을 수 있다. 양자 방어책은 이전되지 않은 자산의 보안을 높이는 동시에 실제 보유자가 자산을 되찾을 여지를 줄일 수 있다는 딜레마를 안고 있다.
현재 BIP-360 초안은 Pay-to-Merkle-Root 출력 유형을 제안한다. Taproot에서 키가 노출될 수 있는 지출 경로를 제거하고, 공개키가 숨겨진 상태에서 장기 노출 위험을 낮추려는 구상이다. BIP-361은 단계적 대응 방안을 제시한다. 활성화 약 3년 뒤 취약한 신규 수신 대상을 제한하고, 이후 약 2년에 걸쳐 구제 조건을 통해 구형 서명 사용을 추가로 제한하는 내용이다. 구글의 암호기술 전환 일정은 예방적 전환 목표 시점을 2029년으로 잡고 있지만, 이는 비트코인 합의 규칙과는 별개의 계획이다.
일부 구제 방안은 강화된 파생 경로의 지갑 상위 비밀값을 활용한다. 공격자가 특정 지출의 키를 복원하더라도 추가적인 상위 비밀값까지 얻기는 어렵다는 논리다. 다만 P2PK 출력의 경우 소유권을 입증하는 방법은 관련 초안 작성자들도 아직 해결되지 않은 문제로 보고 있다.
양자 대응책은 모두 연구·제안 단계
댄 로빈슨은 5월 1일 주소 통제권을 증명하는 프라이버시 타임스탬프를 활용하는 PACT 개념을 제안했다. 향후 규칙이 이런 증거를 인정한다면 보유자는 양자 키 복구가 현실화되기 전에 준비를 마치고 증명 자료를 보관해야 한다. 실제 보호 효과는 검증 규칙이 표준화되고 생태계 전반에서 채택되는지에 달려 있다.
2월 공개된 Hourglass V2 초안은 보다 직접적인 처리량 제한을 제시했다. 블록당 P2PK 지출을 한 건으로 제한하고, 블록당 순지출량도 1 BTC 이하로 묶는 방식이다. 이는 잠재적 공격자의 자금 유출 속도를 늦출 수 있지만 합법적 보유자에게도 같은 제한이 적용된다. 규모가 큰 자산을 옮기려면 더 많은 시간이 걸릴 수 있다.
이들 방안은 아직 연구나 제안에 머물러 있으며 비트코인 네트워크의 공통 규칙으로 채택되지 않았다. BIP 절차에 따라 변경안이 실제 적용되려면 소프트웨어 구현과 노드 운영, 생태계 전반의 수용이 필요하다. 카터가 제기한 시나리오의 핵심 쟁점은 일반 서명만으로 원래 보유자와 양자 공격자를 구분할 수 없을 때 네트워크가 어떤 소유권 증명을 인정할지, 사전에 자산을 이전하지 못한 합법적 보유자에게 어떤 구제 경로를 제공할지다.