지난 몇 달 동안, 비트코인의 오랜 “양자 내성(quantum resistance)” 우려는 학술적 호기심 단계에서 실질적인 리스크 관리 단계로 옮겨갔다. 제퍼리즈(Jefferies)의 크리스토퍼 우드는 양자 리스크를 이유로 장기 모델 포트폴리오에서 비트코인을 제외했다.
코인베이스는 “양자 컴퓨팅 및 블록체인 독립 자문 위원회(Independent Advisory Board on Quantum Computing and Blockchain)”를 출범시켰다. 기술 커뮤니티 내부에서는 양자 내성 출력 타입인 BIP 360이 초안 상태로 공식 BIP 저장소에 머지되었고, 블록스트림은 실제 운영 중인 사이드체인에서 최초의 포스트 양자 서명 트랜잭션을 브로드캐스트했다.
그 이후로 타임라인 압축은 더 빨라지고 있다. 2026년 3월 25일, Google announced that all of its systems must migrate to post-quantum cryptography by 2029. 2025년 5월부터 2026년 3월 사이에 나온 세 편의 논문은 공개키 암호를 깨는 데 필요한 큐비트 비용을 약 3자릿수(천 배)나 낮췄다. 약 2,000만 개의 물리 큐비트에서 잠재적으로 10만 개 미만까지 떨어진 것이다.
2026년 3월 구글 Quantum AI 논문은 타원곡선 암호(ECC)를 50만 개 미만의 물리 큐비트로 몇 분 만에 깰 수 있다고 추정했다. 구글은 실제 공격 회로는 공개하지 않고, 결과에 대한 영지식 증명만 발표했다. 칼텍/Oratomic 팀은 약 26,000개의 재구성 가능한 원자 큐비트로 ECC-256을 약 열흘 만에 깰 수 있다고 제안했다. “실험실 장난감”과 “암호학적 위협” 사이의 간극은 알고리즘 압축과 하드웨어 스케일링이 동시에 진행되면서 양쪽에서 좁혀지고 있다.
위협을 이해하려면, 양자 컴퓨터가 할 수 있는 것과 할 수 없는 것을 보는 게 도움이 된다. 양자 컴퓨터는 “모든 키를 병렬로 시도”하지 않는다. 쇼어(Shor) 알고리즘은 이산 로그와 인수분해 문제에서 지수적 속도 향상을 제공하는데, 이는 타원곡선과 RSA 암호가 의존하는 문제들이다. 반면 대칭키 암호와 해시 함수는 그로버(Grover) 알고리즘으로 인한 제곱근 수준의 속도 향상만 당하며, 이는 파라미터를 키워서 상쇄할 수 있다.
“양자가 암호를 깬다”는 말은 맞으면서도 오해를 부른다. 이는 군 구조(group-structure) 문제로 안전성이 환원되는 원시(primitive)들을 겨냥하지, 무차별 대입을 마법처럼 모두 병렬로 돌리는 것이 아니다. 포스트 양자 암호는 이미 존재하고, 오늘날도 배포 가능하다. NIST는 ECC/RSA에서 벗어나기 위한 마이그레이션을 지원하기 위해 ML-KEM, ML-DSA, SLH-DSA 표준을 확정했다.
비트코인에서 특히 문제는 서명이다. 공격자가 당신의 공개키를 볼 수 있다면, 쇼어 알고리즘으로 개인키를 복원할 수 있다. 공개키 해시 기반 주소(P2PKH/P2WPKH)의 경우 공개키는 당신이 쓸 때에만 노출되므로, 주요 위험은 주소 재사용이다. 하지만 탭루트 출력(P2TR)과 예전 pay-to-pubkey 출력은 지출 여부와 상관없이 생성 시점에 공개키를 노출한다. BIP 360의 Pay-to-Merkle-Root(P2MR)는 이를 직접 겨냥한다. 공개키를 온체인에 올리지 않는, 탭루트와 비슷한 출력 타입이다.
지금 우선순위는 비트코인의 포스트 양자 스토리를 종이 위에서 완벽하게 만드는 것이 아니다. 사용자 마이그레이션을 지금 당장 시작하는 것이다. 사용자들이 기존 타원곡선 경로 옆에 포스트 양자 지출 경로를 붙일 수 있게 하면 된다. 평시에는 기존 슈노르/ ECDSA를 계속 쓰되, 포스트 양자 키는 손대지 않고 둔다. “명백하고 현존하는 위협”이 드러나는 순간이 오면, 네트워크는 수년간의 대규모 마이그레이션을 기다리지 않고도 타원곡선 서명을 폐기(deprecate)할 수 있다. 반드시 최종 스킴일 필요도 없다. 지금은 보수적인 것을 택하고, 나중에 개선하면 된다. 마이그레이션 시계는 엔지니어링 난이도가 아니라 채택 속도로 측정된다.
필자의 견해로는, 비트코인은 이 비상 탈출구로 해시 기반 서명을 선택해야 한다. 격자(lattice, ML-DSA)가 나빠서가 아니라, 해시 기반이 암호학에서 “최대한 안전한 것”에 가장 가까운 존재이기 때문이다. 구조가 최소이고, 마법 같은 부분이 최소이며, 트랩도어가 숨을 여지가 최소하다. 감사와 이해도 놀랄 만큼 쉽고, 이는 비트코인의 정서(ethos)와 잘 맞는다.
SPHINCS+(SLH-DSA)는 표준 선택지지만, “stateless” 속성을 얻기 위해 약 8 KB의 큰 서명을 만든다. 비트코인은 정말로 그 속성이 필요하지는 않다. UTXO 모델은 본질적으로 사용 후 폐기(use-and-discard) 모델이다. 체계적인 주소 재사용은 애초 설계에 없었고, 인프라도 이를 잘 수용하고 있다. XMSS 같은 stateful 스킴은 약 2.5 KB 수준의 훨씬 작은 서명을 만들어내고, 비트코인의 지출 모델은 이러한 제약과 자연스럽게 잘 맞는다.
블록스트림 리서치의 SHRINCS 구성(construction)은 둘 다 제공한다. 상태를 쓰는 주요 모드와, 상태를 잃었을 때를 위한 stateless SLH-DSA 폴백 모드다. 요나스 닉(Jonas Nick)의 SHRIMPS 확장은 멀티 디바이스 서명을 해결한다. 둘 다 순수 해시 기반이고, 둘 다 이미 리퀴드(Liquid)에서 돌아가고 있다.
“쇼어가 진짜 도착했다”라고 믿을 만한 문턱을 넘는다면, 첫 번째 임무는 모든 레거시 출력을 구출하는 것이 아니라, 되돌릴 수 없는 도난을 멈추는 것이다. 가장 안전한 기본값은 킬 스위치다. 합의 레벨에서 타원곡선 서명을 지출 불가능(non-spendable)하게 만드는 것이다. 일시적인 잠금은 되돌릴 수 있지만, 양자 도난은 되돌릴 수 없다. 공개키가 한 번도 노출되지 않은 출력에 대해서는, 예를 들어 STARK 같은 영지식 증명으로 키를 드러내지 않고도 정당한 소유자가 잠금을 푸는 증거를 제시할 수 있다. 이미 키가 노출된 경우, 현실적인 구제책은 HD 지갑 시드 같은 추가 비밀에 의존하는 것뿐이다. 두 경로 모두 없는 코인—휴면 코인, 초기 코인, 사토시의 코인— 은 계속 잠긴 상태로 남게 된다. “여전히 잃어버린 상태”가 “이제 도난당한 상태”보다 낫다.
2026년 4월 스타크웨어(StarkWare)의 한 논문은 기존 합의 규칙 하에서도 양자 안전 비트코인 트랜잭션이 오늘날 가능함을 보여준다. 정말 영리한 구성물이지만, 이에 대한 반응은 비트코인 커뮤니티의 실제 문제를 드러낸다. 이 트릭은 광범위하게 실용적이지 않고 소프트포크를 대체할 수도 없는데, 무언가를 “하는 것”에 대한 반대가 워낙 뿌리 깊다 보니 이미 이를 근거로 “간단한 스위치만 켜면 다 고칠 수 있는데, 그럴 필요가 없다”라고 주장하는 데 쓰이고 있다.
모두에게 구명조끼를 나눠줘야 한다. 과도하게 고민하지 말자. 어려운 부분은 암호가 아니다. 수백만 명의 사용자와 모든 지갑, 커스터디, 거래소, 서명 장치를 마이그레이션시키는 것이 어렵다. 테조스(Tezos)가 취하는 접근도 이와 같다. 포스트 양자 대비를 두 개의 트랙으로 본다. (사용자 키 마이그레이션 vs 프로토콜 암호학) 사용자들이 지금 포스트 양자 백업 키를 붙일 수 있게 하고, 위협이 현실화되면 나중에 타원곡선 서명을 폐기한다. 긴급 상황이 아닌 지금, 사회적 마이그레이션을 시작해야 한다. 긴급한 순간에야말로 생태계가 실수를 저지르기 때문이다. 먼저 구명조끼부터 입히고, 배 설계에 대한 논쟁은 그다음에 하자.