비트코인과 이더리움, 양자 컴퓨터는 정말 위협일까

2026년 3월 30일, Google Quantum AI와 이더리움 재단, 스탠퍼드가 공동으로 발표한 논문 한 편이 암호화폐 커뮤니티를 술렁이게 했다. secp256k1 타원곡선(비트코인·이더리움 서명에 쓰는 곡선)의 개인키를 양자 컴퓨터로 복원하는 데 필요한 물리 큐비트 수가, 이전 최선 추정치보다 20배 가까이 줄어들었다는 내용이었다. 몇 년 전만 해도 “수백만 큐비트, 수십 년 뒤 얘기"였던 위협이 “50만 개 미만, 어쩌면 이번 10년 안"으로 압축된 셈이다.

그렇다고 내일 비트코인 지갑이 털리는 건 아니다. 2026년 6월 기준 가장 강력한 양자 하드웨어도 물리 큐비트 2,500개 수준이라, 필요량과는 여전히 수백 배 격차가 있다. 하지만 알고리즘 개선 속도가 하드웨어보다 빠르게 좁혀지고 있다는 점, 그리고 이미 수백만 개의 코인이 공개키를 온체인에 노출한 채 놓여 있다는 점은 블록체인 개발자가 지금부터 챙겨야 할 이유가 된다. 이 글은 지난 몇 달 사이 나온 연구와 제안들을 자세히 정리해 무엇이 실제 위험이고 무엇이 과장인지 가른다.

핵심 요약

• 오늘 당장 붕괴하지 않는다. secp256k1을 깨는 데 필요한 물리 큐비트는 50만 개 미만(논리 큐비트 1,200~1,450개)인데, 현존 최고 하드웨어는 약 2,500개 수준이다. 격차는 여전히 수백 배다.
• 타임라인 추정치는 빠르게 압축되었다. 하드웨어가 그대로인 상태에서도 알고리즘 개선만으로 필요 큐비트 수가 2017년 이후 급감했고, 전문가별 확률 추정도 “수십 년 후"에서 “이번 10년 내 일정 확률"로 좁혀지고 있다.
• 당장의 실질 위험은 이미 노출된 공개키다. 약 690만 BTC가 공개키를 온체인에 드러낸 채 있고, 이는 양자 컴퓨터가 등장하는 순간 곧바로 공격 대상이 될 수 있는 물량이다.

양자 컴퓨터의 서명 공격 방식

비트코인과 이더리움의 서명 알고리즘 ECDSA는 타원곡선 이산로그 문제(ECDLP, elliptic curve discrete logarithm problem)의 어려움에 기대고 있다. 공개키는 Q = d·G 형태로 계산되는데, 여기서 G는 곡선 위의 고정된 기준점이고 d는 개인키 스칼라다. Q와 G가 주어졌을 때 d를 역산하는 건 고전 컴퓨터로는 사실상 불가능하다. 곱셈의 역연산인 나눗셈과 달리, 타원곡선의 점 덧셈을 반복한 결과에서 반복 횟수를 되짚는 문제이기 때문이다.

Shor 알고리즘은 이 구조를 정면으로 공략한다. 양자 푸리에 변환을 이용해 특정 함수의 주기를 찾아내는 주기 찾기(period finding) 절차로, ECDLP를 다항 시간에 풀어낸다. 이산로그 문제가 무너지면 공개키에서 개인키가 바로 도출된다. secp256k1 기반 ECDSA뿐 아니라 같은 곡선을 쓰는 Schnorr 서명(비트코인 Taproot)도 동일한 이산로그 가정에 의존하므로 예외 없이 영향을 받는다. 즉 서명 방식이 ECDSA든 Schnorr든, 곡선이 secp256k1인 이상 Shor 알고리즘 앞에서는 같은 처지다.

반면 비트코인 마이닝에 쓰이는 SHA-256 해시는 사정이 전혀 다르다. 해시 함수는 이산로그 같은 대수적 구조에 기대지 않고 비구조적 탐색 문제에 가깝기 때문에, Shor가 아니라 Grover 알고리즘의 대상이 된다. 그리고 Grover는 제곱근 속도 향상만 준다는 점에서 근본적인 한계가 있다.

Grover 알고리즘과 해시 함수의 안전 마진

Grover 알고리즘은 비구조적 탐색 공간에서 제곱근만큼의 속도 향상을 제공한다. SHA-256의 프리이미지 저항성은 이론상 2²⁵⁶에서 2¹²⁸로 줄어든다. 2¹²⁸은 여전히 천문학적인 숫자라 실질적 위협이 되지 않는다. 비트코인 주소 해시인 HASH160(RIPEMD-160 위에 SHA-256을 얹은 구조)은 160비트에서 80비트로 줄어들어 마진이 가장 얇은 축에 속하지만, 이마저도 주소를 재사용해 해시 원상을 추가로 노출하는 특수한 상황에서나 의미가 생기는 수준이다.

실제로는 이 계산보다도 훨씬 나쁘다. 결함 허용(fault-tolerant) 환경에서 SHA-256 프리이미지 공격을 수행하려면 대략 2¹⁶⁶ 논리 큐비트 사이클이 필요하다는 추정이 있는데, 이는 단순 쿼리 횟수만 따진 분석 대비 최대 2,750억 배 더 비싼 자원 소모다. 오류 수정 오버헤드가 Grover의 이론적 이득을 대부분 잡아먹는다는 뜻이다.

채굴(PoW)에 대한 양자 위협이 사실상 없다고 보는 것도 같은 맥락이다. 이유는 두 가지다. 첫째, Grover의 제곱근 이득 자체가 양자 오류 수정 오버헤드에 상당 부분 소진된다. 둘째, Grover는 병렬화가 잘 안 되는 알고리즘인 반면 비트코인 채굴은 대규모 병렬화와 전용 하드웨어(ASIC) 가속에 훨씬 유리한 구조다. 여기에 2,016블록마다 이뤄지는 난이도 재조정이 설령 양자 채굴자가 등장하더라도 그 속도 이점을 빠르게 흡수해 버린다. “양자 컴퓨터가 채굴을 장악한다"는 이야기는 SHA-256 공격에 필요한 큐비트 수를 약 10²³개로 추산한 연구도 있을 만큼, 별의 에너지 출력에 근접하는 규모의 자원을 가정해야 성립하는 오해에 가깝다.

결국 진짜 위협은 서명 쪽, 그중에서도 ECDSA와 Schnorr가 공유하는 ECDLP 하나로 좁혀진다.

논리 큐비트와 물리 큐비트, 오류 수정이라는 벽

지금 만들어지는 양자 하드웨어의 큐비트는 노이즈가 많아 오류율이 높다. 그래서 실용적인 계산을 하려면 물리 큐비트 여러 개를 묶어 오류를 억제한 하나의 논리 큐비트를 만들어야 한다. 표면 코드(surface code)가 대표적인 방식으로, 물리 큐비트를 격자 형태로 배치하고 오류를 반복적으로 감지·정정해 논리 오류율을 지수적으로 낮춘다.

여기에는 핵심 조건이 하나 있다. 물리 오류율이 특정 임계값(threshold) 아래로 내려가야 한다는 것이다. 임계값 이하에서는 큐비트를 더 많이 묶을수록 논리 오류율이 오히려 줄어들지만, 임계값을 넘으면 아무리 큐비트를 늘려도 오류가 개선되지 않는다.

secp256k1 공격에 필요한 논리 큐비트는 1,200~1,450개 수준이지만, 표면 코드의 오버헤드를 감안하면 물리 큐비트 요구량은 50만 개 미만으로 뛴다. 이 격차, 즉 논리 큐비트 하나를 만드는 데 필요한 물리 큐비트 수가 바로 “오류 수정 오버헤드"다. Google·이더리움 재단·스탠퍼드 논문은 이 계산에 물리 오류율 10⁻³, 평면상에서 이웃한 큐비트 4개와만 연결되는 degree-4 연결 구조, 1마이크로초 사이클, 10마이크로초 제어 반응 시간을 가정했다.

이보다 공격적인 가정도 있다. degree-7 qLDPC(quantum low-density parity-check) 코드처럼 평면을 벗어난 비국소 연결 구조를 쓰면 물리 큐비트 요구량이 10만 개 이하로 더 줄어들 수 있다는 추산도 존재한다. 다만 이런 수준의 큐비트 간 연결성은 아직 실제 하드웨어에서 시연된 적이 없다. 그래서 논문은 검증된 평면 degree-4 연결과 50만 큐비트 추정치 쪽을 “이해가 잘 되고 실현 가능성이 높은 엔지니어링 경로"로 채택했다.

자원 추정치가 빠르게 줄어든 배경

같은 하드웨어를 가정해도 알고리즘이 좋아지면 필요 자원이 준다. 이 흐름을 시간순으로 보면 압축 속도를 체감할 수 있다.

• 2017년 (Microsoft Research, Roetteler 외): n비트 소수체 곡선 기준 9n + 2⌈log₂n⌉ + 10 개의 논리 큐비트, 448n³log₂n + 4090n³개의 Toffoli 게이트가 필요하다는 공식을 제시했다. P-256급 곡선에 대입하면 약 2,330개의 논리 큐비트와 약 1,260억 개의 Toffoli 게이트가 나온다. 타원곡선 암호가 같은 안전성 수준의 RSA보다 양자 공격에 더 쉬운 표적이라는, 2003년 Proos와 Zalka의 결과를 재확인한 수치이기도 하다.
• 2023년 (Litinski): 광자 기반 아키텍처를 가정해 약 900만 개의 물리 큐비트, 단일 인스턴스 기준 약 2억 개의 Toffoli 게이트가 필요하다고 계산했다.
• 2026년 3월 (Google·이더리움 재단·스탠퍼드, arXiv:2603.28846): 두 가지 회로 변형을 제시했다. 논리 큐비트를 최대한 아낀 저큐비트형은 1,200개 이하의 논리 큐비트와 9,000만 개 이하의 Toffoli 게이트를, 게이트 수를 더 줄인 저게이트형은 1,450개 이하의 논리 큐비트와 7,000만 개 이하의 Toffoli 게이트를 쓴다. 앞서 설명한 표면 코드 조건(물리 오류율 10⁻³, degree-4 연결, 1마이크로초 사이클) 아래에서 두 변형 모두 50만 개 미만의 물리 큐비트로 수렴한다. Litinski의 2023년 추정과 비교하면 물리 큐비트는 약 20배, 총 계산량(spacetime volume)은 약 10배 줄어든 값이다.

이 논문에서 가장 화제가 된 숫자는 “공개키 노출 후 개인키 복원까지 평균 9분"이다. 다만 여기엔 조건이 붙는다. 프라이밍(알고리즘 전반부를 미리 계산해 두는 것) 없이 도는 원 회로는 7,000만9,000만 개의 Toffoli 게이트를 처리하는 데 1823분이 걸린다. 알고리즘 전반부를 사전계산해 두면, 실제 공개키가 노출된 뒤 걸리는 시간이 그 절반가량인 약 9분(경우에 따라 12분)으로 줄어든다. 논문은 이를 “1세대 fast-clock CRQC가 secp256k1 ECDLP를 평균 약 9분에 풀 수 있다"는 가정으로 표현했는데, 이 시간이 비트코인의 평균 블록 생성 시간(10분)에 근접한다는 점이 의미를 키운다.

한 가지 더 짚을 조건은 이 수치가 단일 인스턴스 기준이라는 점이다. 한 번에 하나의 키만 공격하도록 기계 전체를 전용한 계산이며, 배치 최적화(여러 키를 동시에 노리는 방식)는 의도적으로 제외했다. 여러 키를 동시에 공격하려면 프라이밍된 기계를 여러 대 두어야 하는데, 예컨대 11대를 동시에 운용하면 약 6.5배의 가속을 얻을 수 있다는 식이다.

같은 연구 그룹의 Craig Gidney는 2025년 5월 RSA-2048 인수분해에 필요한 큐비트 수도 100만 개 미만으로 낮췄다(arXiv:2505.15917). 2019년 자신의 추정치였던 2,000만 큐비트·8시간 대비 20배 줄어든 결과로, 근사 잉여 산술(approximate residue arithmetic), yoked surface code, magic state cultivation이라는 세 가지 혁신을 결합해 Toffoli 게이트 수를 이전 연구 대비 100배 이상 절감했다. 두 논문은 공통적으로 “공격은 항상 개선된다(attacks always get better)“는 패턴을 지적한다. RSA-2048을 깨는 데 필요한 물리 큐비트 추정치가 논문이 나올 때마다 대략 20배씩 줄어드는 흐름이 반복되어 왔다는 뜻이다.

하드웨어와 로드맵은 어디까지 왔나

자원 추정치가 줄어드는 속도와 별개로, 실제 하드웨어가 이를 따라잡은 건 아니다.

**Google Willow 칩(2024년 12월)**은 105개의 큐비트로 임계값 이하(below-threshold) 오류 수정을 처음으로 입증했다. 격자를 3×3에서 5×5, 7×7로 키울 때마다 논리 오류율이 절반씩 줄었고, 오류 억제 계수는 Λ=2.14±0.02로 측정됐다. distance-7 코드에서는 사이클당 논리 오류율이 0.143%±0.003%까지 낮아졌다. 실시간 디코딩과 “손익분기(beyond break-even)” 조건, 즉 논리 큐비트의 수명이 이를 구성하는 물리 큐비트 개별 수명의 2.4배에 이르는 지점도 이때 처음 시연됐다.

IBM은 Willow와 별개로 qLDPC 계열의 bivariate bicycle 코드를 활용해 물리 큐비트 오버헤드를 약 90% 절감할 수 있다고 2024년 Nature에 발표했다. 로드맵은 Loon(2025), Kookaburra(2026), Cockatoo(2027)를 거쳐 2029년 Starling(논리 큐비트 200개, 게이트 1억 개), 2033년 Blue Jay(논리 큐비트 2,000개, 게이트 10억 개)로 이어진다. 2026년 안에 양자 우위(quantum advantage)를 달성하겠다는 목표도 세워 두었다.

Quantinuum은 트랩드 이온 방식으로 2030년경 완전한 결함 허용을 목표로 하고 있으며, 2024년에는 Microsoft와 협업해 12개의 논리 큐비트를 시연한 바 있다.

이런 로드맵과 별개로 실제 공개 하드웨어로 이산로그 문제를 깨 보인 사례도 있다. 2026년 4월 24일, Project Eleven은 독립 연구자 Giancarlo Lelli에게 Q-Day Prize(1 BTC)를 수여했다. 그는 누구나 접근 가능한 클라우드 양자 하드웨어에서 Shor 알고리즘 변형을 돌려 15비트 ECC 키(경우의 수 32,767개)를 깨고 공개키에서 개인키를 도출해 냈다. 2025년 9월 이전 최고 기록이던 6비트에 견주면 512배 도약이다.

이 시연을 256비트 secp256k1과 곧바로 비교하는 건 무리다. Shor 회로의 규모는 대략 비트 수에 비례해 커지므로, 15비트에서 256비트까지는 여전히 막대한 하드웨어 격차가 남아 있다. 다만 이 성과가 국가 연구소나 전용 장비가 아니라 상업용 클라우드 서비스로 이뤄졌다는 점은 눈여겨볼 만하다. Project Eleven CEO Alex Pruden은 “국가 연구소도, 사설 칩도 아니었다"고 강조했는데, 진행 속도가 물리 법칙 자체의 한계보다 엔지니어링 문제 쪽으로 옮겨 가고 있다는 신호로 읽힌다.

이미 노출된 공개키가 진짜 위험이다

양자 컴퓨터가 등장하기 전부터 존재하는 위험도 있다. 전통적인 HNDL(Harvest Now, Decrypt Later, 지금 수집해 나중에 복호화) 공격은 암호화된 데이터를 미리 확보해 두는 방식인데, 블록체인에서는 이보다 한 걸음 더 나아간다. 공개키 자체가 이미 원장에 영구 기록돼 있기 때문이다. 즉 공개키가 노출된 주소는 이미 “수확이 끝난” 상태이고, 공격자는 양자 컴퓨터가 등장하는 날(Q-Day)만 기다리면 된다. 미국 연준(Federal Reserve)이 낸 관련 워킹페이퍼도 비트코인을 HNDL 사례 연구로 다루면서, 이후 포스트양자 서명으로 전환하더라도 이미 기록된 과거 거래의 데이터 프라이버시는 여전히 취약하다는 점을 지적한다.

비트코인 주소 유형별로 공개키 노출 여부가 갈린다.

Taproot는 가장 최신의 주소 형식이지만, tweaked 공개키를 해시 층 없이 스크립트에 직접 담는 구조라 오히려 양자 안전성 관점에서는 뒷걸음질이다. Google 논문은 이를 P2PK 수준으로의 “보안 퇴행(security regression)“이라고 명시적으로 짚었다.

**2026년 3월 ARK Invest와 Unchained가 공동 발표한 백서(“Bitcoin and Quantum Computing”)**에 따르면 전체 공급량의 약 34.6%, 약 690만 BTC가 공개키 노출 상태다. 세부 구성은 다음과 같다.

• 약 170만 BTC(8.6%): 사토시 시대 P2PK 주소. 초기 채굴자와 사토시 본인 추정 물량(약 110만 BTC)을 포함하며, 개인키 보유자가 없다고 추정돼(분실) 애초에 이동이 불가능하다.
• 약 500만 BTC(25%): 재사용된 주소. 보유자가 나서면 지금이라도 이동할 수 있다.
• 약 20만 BTC(1%): P2TR(Taproot) 주소.
• 나머지 약 65%는 아직 공개키가 노출되지 않은 주소 유형에 있다.

추정치는 출처마다 다소 갈린다. 2025년 Chaincode Labs 연구는 재사용된 공개키 기준으로 최대 626만 BTC까지 노출됐다고 봤고, Ledger Donjon은 가치 기준으로 약 25%를 노출 상태로 추정했다. 방법론 차이는 있지만 Google 논문과 Project Eleven 모두 690만 BTC 근방으로 수렴한다.

공격 시점은 두 갈래로 나뉜다. 공개키가 상시 노출된 P2PK·재사용 주소·Taproot는 “장기 공격(at-rest)” 대상으로, 공격자가 시간에 쫓기지 않는다. 반면 해시형 주소는 지출 순간 서명에 공개키가 포함돼 멤풀에 브로드캐스트되는데, 이때는 다음 블록이 채굴되기 전(평균 10분)에 개인키를 복원해 자금을 자신에게 리다이렉트해야 하는 “단기 공격(on-spend)“이다. 블록 채굴은 평균과 표준편차가 모두 약 10분인 포아송 과정이라, Google 논문은 이상적인 조건(단일 서명 P2WPKH 지출, 9분 키 복원, 공개키 노출 즉시 전파, 멤풀 혼잡 없음)에서 공격 성공 확률을 약 41%로 모델링했다. 블록 시간이 짧은 체인일수록 이 확률은 급격히 낮아진다. Litecoin(2.5분)은 3% 미만, Zcash(75초)는 1,300분의 1 미만, Dogecoin(1분)은 8,000분의 1 미만이다. 다만 이는 방어자에게 유리한 쪽으로만 해석할 수 없다. 논문은 충분히 높은 수수료를 내거나 멤풀이 한산할 때 공격자가 30분에서 1시간 안에 깨지 못하면 어떤 트랜잭션도 사실상 안전해 보인다고 언급하면서도, 반대로 공격자가 고수수료 트랜잭션을 대량으로 뿌려 멤풀을 인위적으로 혼잡시켜 시간을 벌 가능성도 함께 지적한다.

포스트양자 암호는 이미 표준이 나왔다

암호학 쪽 숙제는 상당 부분 풀렸다. NIST는 2024년 8월 13일, 8년에 걸친 표준화 과정을 마무리하고 포스트양자 암호(PQC, post-quantum cryptography) 표준을 확정했다.

블록체인에 이를 그대로 얹기엔 트레이드오프가 크다. ECDSA 서명은 6472바이트인데 ML-DSA-44는 그 4050배, SLH-DSA는 수백 배에 달한다. 블록 공간과 가스 비용에 직접적인 영향을 준다.

상태 관리 방식도 발목을 잡는다. XMSS 같은 stateful 해시 기반 서명은 같은 키로 두 번 서명하면 개인키가 새어 나가는 구조라, UTXO 모델이나 주소 재사용, 지갑 백업 복원과 근본적으로 궁합이 나쁘다. 특히 XMSS의 하위 구성 요소인 WOTS(Winternitz One-Time Signature)는 이름 그대로 키 하나당 정확히 한 번의 서명만 안전하다는 제약이 있어서, 지갑처럼 언제 몇 번 서명할지 통제하기 어려운 환경에는 부적합하다. 그래서 지갑용으로는 stateless인 ML-DSA가 우선 후보로 꼽히고, 검증자 키처럼 상태 관리가 가능한 합의 계층에는 XMSS 계열도 여전히 유효한 선택지로 남는다.

서명 크기 문제를 완화하려는 연구도 함께 진행 중이다. STARK 기반 서명 집계(aggregation)로 여러 서명을 하나의 증명으로 압축하는 방식, 그리고 벡터 산술 연산을 위한 precompile을 두어 검증 비용 자체를 낮추는 방식이 대표적이다.

비트코인의 마이그레이션 경로

BIP-360은 Hunter Beast가 2024년 6월 제안했다. 초기 형태인 P2QRH는 PQC 서명을 직접 도입하려 했지만, 논쟁을 분리하기 위해 서명 스킴 자체는 별도의 미래 BIP로 떼어 냈다. 현재 형태는 Taproot의 양자 취약한 key-path 지출을 제거한 P2MR(Pay-to-Merkle-Root)로, 2026년 2월 10일 이전 이름이던 P2TSH에서 개명됐다. SegWit v2 구조에 bc1z 접두사(Bech32m)를 쓰며, 32바이트 스크립트 트리 머클 루트에 커밋하는 방식으로 P2WSH와 동일한 수준의 128비트 충돌 저항과 256비트 프리이미지 저항을 제공한다. 2026년 2월 11일 비트코인 공식 저장소에 머지되며 BIP 번호를 배정받았지만, 활성화 시점은 아직 정해지지 않았고 여전히 초안 단계다. PQ 서명 자체는 OP_SUCCESSx를 재정의해 OP_CHECKMLSIG 같은 opcode로 ML-DSA와 SLH-DSA를 tapscript에 추가하는 계획으로 별도 관리되며, 이는 정보성 계획으로만 포함돼 있어 독립적으로 활성화될 수 있다. 논쟁거리 중 하나는 해시 기반 서명(WOTS/Lamport)이 일회용이라, RBF(수수료 대체)나 CPFP(자식 트랜잭션을 이용한 수수료 가속) 같은 흔한 관행에서 같은 키로 두 번 서명하게 될 위험이 있다는 점이다. stateless 스킴이 선호되는 이유이기도 하다.

더 뜨거운 쟁점은 **BIP-361(Post Quantum Migration and Legacy Signature Sunset)**이다. Jameson Lopp(Casa 공동창업자 겸 CSO) 외 5명이 2026년 4월 14일 비트코인 공식 제안 저장소에 제출했다. 3단계로 구성된다.

• Phase A(활성화 후 약 3년): 레거시 주소로의 신규 송금을 금지한다.
• Phase B(약 5년): 레거시 ECDSA·Schnorr 서명을 완전히 무효화해, 이전에 이동하지 못한 코인을 영구 동결한다.
• Phase C: 시드 문구를 제시할 수 있는 보유자를 위한 ZK 증명 기반 구제 메커니즘을 연다.

BIP-361 문서 자체는 2026년 3월 1일 기준 전체 비트코인의 34% 이상이 공개키를 온체인에 노출했다고 밝히고 있다. 커뮤니티는 세 갈래로 나뉜다. 프로토콜 레벨에서 동결하자는 입장(BIP-361 쪽), 양자 절도 리스크를 감수하고 아무것도 하지 말자는 입장(“code is law”), 법적 신탁 모델로 우회하자는 입장(투자자 Nic Carter의 제안)이다. Lopp은 “해커가 훔치게 두느니 550만 개 넘는 휴면 BTC를 동결하겠다"는 입장이고, Binance 창업자 CZ는 2026년 6월 18일 팟캐스트에서 사토시의 약 110만 BTC를 6~12개월의 유예 기간 뒤 동결하자고 제안했다. 반대편에서는 Bitcoin Magazine 편집자 Brian Trollz, TFTC 창업자 Marty Bent, Metaplanet의 Phil Geiger, 투자자 Michael Terpin 등이 “허가 없는 시스템의 원칙 위배"라며 강하게 반발한다. Bitwise CIO Matt Hougan은 Nic Carter의 법적 신탁 제안 쪽을 지지한다. 결국 재산권 절대주의(“your keys, your coins”)와 네트워크 보안(690만 BTC 절도가 시장에 쏟아질 경우의 신뢰 붕괴)이 정면으로 부딪히는 지점이라, 2026년 7월 현재까지 컨센서스도 활성화 일정도 없다. Grayscale의 리서치 책임자는 이 문제를 “기술보다 사회적 문제"라고 평가했다.

과거 프로토콜 업그레이드 사례(SegWit는 20152017년, Taproot도 개념적 지지에도 불구하고 활성화까지 수년이 걸렸다)에 비추어 볼 때, 완전한 포스트양자 전환에는 통상 57년이 걸릴 것으로 추정된다. 급작스러운 양자 돌파에 대한 비상 대응이라도 2년가량은 필요하다는 게 대략적인 업계 합의다. 공식 투표 절차나 리더십이 없는 비트코인의 창발적 컨센서스(emergent consensus) 구조가 이런 시간표의 근본 제약이다.

이더리움의 포스트양자 로드맵

이더리움은 계정 추상화(ERC-4337, EIP-7702) 덕분에 서명 스킴을 유연하게 교체할 수 있는 구조를 이미 갖추고 있어, 비트코인보다 마이그레이션 경로가 훨씬 명확하다.

2026년 1월 이더리움 재단은 포스트양자 암호를 “최우선 전략 과제"로 지정하고, 실용적 마이그레이션 솔루션에 200만 달러의 연구 상금을 걸었다. 2026년 3월 24~25일에는 pq.ethereum.org 허브가 출범해 10개 이상의 클라이언트 팀이 매주 포스트양자 상호운용성 devnet을 운영하고 있다. 2018년 STARK 기반 서명 집계 연구에서 출발한 노력이 이제는 다중 팀 오픈소스 프로젝트로 성장한 셈이다. 2026년 2월 Vitalik Buterin은 로드맵에서 취약한 영역 네 곳을 짚었다.

합의 계층에서는 검증자의 BLS 서명(타원곡선 페어링에 의존)을 해시 기반 leanXMSS로 교체하는 작업이 진행 중이다. Rust로 구현된 leanSig, 서명 집계를 위한 minimal zkVM인 leanMultisig, 약 10개 클라이언트 팀이 참조하는 Python 사양 leanSpec이 이 흐름을 구성한다. leanSig는 XMSS와 Winternitz(WOTS+)를 기반으로 하며 SNARK 검증에 최적화됐고, 키 수명은 8년으로 설계됐다. WOTS+는 파라미터 w=16을 쓸 경우 하나의 메시지를 64개의 해시 체인과 3개의 체크섬 체인, 총 67개 체인으로 서명하는 구조다.

실행 계층에서는 계정 추상화(ERC-4337, EIP-7702)를 핵심 전략으로 삼아, PQ 서명 검증용 벡터 산술 precompile을 통해 별도의 “flag day” 없이 점진적인 opt-in 마이그레이션을 지원하려 한다. EIP-8141(Hegotá 후보 제안)은 임의의 서명 스킴을 허용하는 방향이고, EIP-7851은 EIP-7702로 마이그레이션을 마친 계정의 기존 ECDSA 개인키를 영구히 비활성화한다. precompile이 마커 바이트를 추가하고 7일의 취소 유예 기간을 둔다. 후보 스킴으로는 Falcon, Dilithium, SPHINCS+가 평가되고 있다.

우선순위는 명확하다. (1) 가장 큰 가치가 몰려 있고 첫 트랜잭션 이후 공개키가 노출되는 사용자 계정(EOA), (2) 거래소·브리지·커스터디 핫월렛, (3) 거버넌스·업그레이드 키(관리자 멀티시그), (4) 검증자 키 순이다. Lean Ethereum은 모든 노드가 트랜잭션을 재실행하는 대신 재귀 STARK 검증으로 넘어가는 방향을 잡고 있는데, STARK는 해시 함수에만 의존하므로 그 자체로 양자 내성을 갖는다. 양자 안전 blob 설계는 이미 수개월째 진행 중이며, 컨센서스 재설계(1~2 라운드 finality), 다차원 가스 가격, 새로운 상태 아키텍처 등을 포함한 “The Splurge” 로드맵의 일부로 다뤄지고 있다. Justin Drake는 2030년을 이더리움이 포스트양자 보안을 달성할 목표 시점으로 언급했다.

다른 체인들의 대응

• **QRL(Quantum Resistant Ledger)**은 2018년부터 해시 기반 XMSS(NIST 승인 방식)만을 서명 스킴으로 사용해 온, 설계상 최초의 포스트양자 체인이다. QRL 2.0은 EVM 호환성과 stateless SPHINCS+ 테스트넷을 함께 준비 중이며, “엔지니어링은 이미 해결됐고 남은 건 채택 문제"라는 주장의 실사례로 자주 인용된다.
• Algorand는 2022년 9월부터 Falcon 기반 State Proofs(256블록마다 히스토리에 서명)로 인프라 일부를 양자 공격에서 보호하고 있다. 다만 계정 서명 자체는 여전히 고전 암호인 Ed25519를 쓰기 때문에, 이 보호는 인프라 계층을 덮을 뿐 사용자 자금까지 감싸지는 못한다. 2026년 로드맵에는 네이티브 Falcon 검증과 하드포크 없는 온체인 투표가 계획돼 있다.
• Ripple/XRP는 4단계 계획으로 2028년까지 완전한 양자 내성을 목표로 하고 있다. AlphaNet 테스트 인스턴스에서 ML-DSA 서명을 실행하며 Project Eleven과 검증자 테스트를 협업 중이다.
• Solana는 Winternitz Vault(WOTS 기반 옵션 프리미티브, SIMD 제안)를 검토하고 있다. 각 vault 트랜잭션이 일회용 Winternitz 키페어를 생성하고, Keccak-256을 224비트로 잘라낸 해시로 PDA(Program-Derived Address)를 도출하는 방식이다. 다만 프로토콜 레벨 자체는 아직 Ed25519를 유지해 양자 안전 상태가 아니다. 2025년 12월 Dilithium 테스트넷이 진행됐고, Anza와 Firedancer 팀은 Falcon 마이그레이션을 연구 중이다.
• Zcash는 본질적으로 해시 함수에 의존하는 STARK 기반 구조 덕분에 양자 내성을 자연스럽게 갖추고 있으며, Tachyon 업그레이드로 이 방향을 더 강화하고 있다.

성급한 전환이 더 위험할 수 있다

Google 논문의 공저자이자 스탠퍼드 암호학자인 Dan Boneh는 2026년 5월 25일 Isabel Foxen Duke와의 인터뷰에서 다소 역설적인 메시지를 던졌다. “성급한 포스트양자 전환이 양자 컴퓨터에 공격당할 확률보다 치명적 버그를 일으킬 확률이 더 높다"는 것이다. 그의 논리는 서명과 암호화의 위험 프로필이 다르다는 데서 출발한다. 암호화는 HNDL 공격 때문에 지금 당장 전환해야 한다. 데이터가 이미 수집돼 있으면 나중에 양자 컴퓨터로 복호화될 수 있기 때문이다. 반면 서명은 그런 시간 압박을 받지 않는다. 서명은 지금 만든다고 미래에 위협받는 구조가 아니므로, 성급함보다는 신중함이 낫다는 판단이다.

Boneh는 기존 ECC와 PQC를 함께 쓰는 하이브리드 서명을 통한 점진적 전환을 지지한다. 그는 2035년 이전에 CRQC(암호학적으로 유의미한 양자 컴퓨터, Cryptographically Relevant Quantum Computer)가 등장할 가능성을 “가능하지만 현재 자금 수준을 감안하면 비개연적"이라 평가했고, 이번 10년 내 등장은 “매우 공격적인” 시나리오라고 봤다. “당황하지 말되 무시하지도 말라"는 게 그의 요지이며, 비트코인이 살아남지 못할 것이라는 주장에 대해서는 “말도 안 된다"고 잘라 말했다.

a16z crypto도 비슷한 주장을 편다. PQC 암호화는 HNDL 위험 때문에 즉시 배포해야 하지만, PQ 서명은 크기·성능·구현 미성숙 문제 때문에 신중하고 즉각적이지 않은 마이그레이션이 필요하다는 것이다. 집계 가능한(aggregatable) 서명과 포스트양자 SNARK 연구가 충분히 성숙하기까지는 여전히 수년이 더 필요하며, 성급하게 움직이면 최적이 아닌 스킴에 락인되거나 구현 버그 때문에 두 번째 마이그레이션을 또 해야 하는 위험을 떠안게 된다는 논리다.

Q-Day 시나리오와 지켜봐야 할 신호

전문가들은 Q-Day, 즉 CRQC가 실제로 등장하는 시점을 두 가지 시나리오로 나눠 본다.

점진적(gradual) 시나리오에서는 하드웨어가 로드맵대로 발전하고 마이그레이션이 그보다 앞서 진행돼, 큰 혼란 없이 흡수된다. 계정 추상화라는 명확한 경로를 가진 이더리움 같은 체인이 이런 흐름에 유리하다.

급진적(abrupt) 시나리오는 예상보다 이른 양자 돌파가 미완료된 마이그레이션과 맞물릴 때 발생한다. 이 경우 실제 자금 절도가 일어나기 전에 시장 패닉이 먼저 올 가능성이 크다. Lopp은 “누군가 양자 컴퓨터로 코인을 복구할 수 있다는 신뢰할 만한 증거만 나와도 즉각적인 시장 전체 패닉을 유발할 것"이라 경고한다. Google 논문 역시 fast-clock CRQC가 등장하면 이더리움 상위 1,000개 최고자산 계정(약 2,050만 ETH 보유)을 9일 이내에 깰 수 있다는 예시를 제시했다.

준비를 “실행"으로 전환해야 할 구체적인 신호는 세 가지로 좁혀볼 수 있다. 첫째, 공개 양자 하드웨어가 100비트에서 256비트 사이의 ECC 키를 깨는 시연이 나오는 경우다(현재는 15비트 수준이다). 둘째, 실제 하드웨어에서 논리 큐비트 수가 1,000개에 근접하는 경우다. 셋째, IBM의 Starling(2029년 목표)이나 경쟁 업체가 로드맵대로 200개 이상의 논리 큐비트를 달성하는 경우다. 이 중 하나라도 현실화되면 마이그레이션은 “준비” 단계에서 “실행” 단계로 넘어가야 한다.

개발자가 지금 해야 할 일

임박한 위협은 없지만, 지금 준비해 두면 나중에 훨씬 수월하다.

1. 공개키 노출을 최소화하라. 주소 재사용을 코드와 UX 차원에서 강제로 막고, HD 지갑의 xpub 노출을 피하라. 비트코인이라면 P2WPKH(bc1q) 위주로 설계하고 Taproot(bc1p)의 key-path 노출을 경계하라. Google 논문이 제시한 사용자 권고와도 일치하는 방향이다.
2. 크립토-어질리티(crypto-agility)를 확보하라. 서명 검증 로직을 추상화해 두면 알고리즘을 나중에 교체하기 쉽다. 이더리움이라면 ERC-4337/EIP-7702 기반 계정 추상화로 서명 스킴 교체 경로를 지금 미리 마련해 두는 편이 유리하다.
3. 다음 신호를 지속적으로 추적하라. BIP-360/BIP-361 거버넌스 논쟁, pq.ethereum.org의 devnet 진행 상황, NIST FIPS 206(Falcon) 확정 시점(2027년 예상), IBM Starling(2029년)·Quantinuum(2030년) 하드웨어 마일스톤, Project Eleven Q-Day Prize 후속 챌린지(AI와 양자 암호해독을 결합한 형태로 확장될 가능성이 있다).
4. 중기적으로는 하이브리드 서명을 우선 검토하라. 기존 ECC와 PQC를 함께 쓰면 단일 스킴 락인과 구현 버그 위험을 동시에 줄일 수 있다. stateless가 필요한 지갑에는 ML-DSA(FIPS 204), 서명 크기가 극도로 제약되는 환경에는 검증된 라이브러리를 전제로 FN-DSA(Falcon)를, 상태 관리가 통제 가능한 합의 계층에는 XMSS·leanXMSS 계열을 검토할 만하다.
5. 멤풀 단기 공격에 대비하라. 지출 시점에 공개키가 잠깐 노출되는 구조라면 private mempool이나 commit-reveal 스킴을 검토하라. Google 논문도 같은 방향을 권고한다.
6. 서명 크기 문제에는 STARK 집계를 눈여겨보라. 여러 서명을 하나로 묶는 집계 기법과 벡터 산술 precompile은 블록 공간·가스 비용 부담을 줄이는 현실적인 완충 장치가 될 수 있다.

과장과 실제를 가르는 기준

이 주제를 다룰 때 놓치기 쉬운 전제들을 정리해 둔다.

CRQC는 아직 존재하지 않는다. Google 논문이 제시한 “9분, 50만 큐비트 미만"은 실증된 능력이 아니라, 이미 실증된 플랫폼을 확장했을 때의 자원 추정치일 뿐이다. 회로 자체는 책임 있는 공개(responsible disclosure) 차원에서 공개되지 않았고, 자원 비용은 영지식 증명으로만 검증됐다. “9분 안에 비트코인이 붕괴한다"는 식의 헤드라인은 존재하지 않는 기계에 대한 추정치를 마치 확립된 사실처럼 포장한 것이다. 실제 프라이밍 없는 원 회로는 18~23분이 걸리며, 9분은 프라이밍을 마친 단일 기계를 전제로 한 채택 가정치임을 기억해야 한다.

단일 인스턴스 추정이라는 점도 중요하다. 논문의 핵심 수치(논리 큐비트 1,200~1,450개, 9분)는 한 번에 하나의 키만 공격하는 단일 인스턴스 기준이며, 배치 최적화는 의도적으로 제외됐다. 기계 전체가 하나의 키에 전념한다는 전제이며, 여러 키를 동시에 노리려면 별도의 프라이밍된 기계가 더 필요하다.

타임라인 추정은 넓은 스펙트럼을 가진다. Adam Back은 20~40년(중앙값은 2030년대 중후반)을 보는 반면, Justin Drake는 2032년까지 노출된 공개키로부터 secp256k1 개인키가 복원될 확률을 최소 10%로, Vitalik Buterin은 2030년 이전 확률을 20%로 각각 제시한다. 2026년 6월 발표된 독립 연구 “Quantum Horizon”(Gershteyn·Alber)은 몬테카를로 방식으로 CRQC 도래 확률을 2035년까지 약 6분의 1, 2040년까지 약 30%, 2050년까지 약 60%로 이봉분포(bimodal) 형태로 추정했다. ARK Invest는 2026년 3월 현재 양자 컴퓨팅을 “Stage 0”(상용화에 유의미한 능력이 아직 없는 단계)으로 분류했다. 특정 연도를 확정적으로 못 박는 주장은 대체로 과장이라고 보는 편이 안전하다.

시장 가격과 기술적 실체는 구분해야 한다. 최근 가상자산 가격 변동은 양자 위협보다는 거시 경제 요인이 주된 원인이다(2026년 7월 5일 기준 ETH 가격은 약 1,771달러, 시장 Fear & Greed 지수는 27로 “공포” 구간). 다만 양자 리스크는 일종의 “리스크 프리미엄"으로 가격에 서서히 반영되고 있으며, 신뢰할 만한 공격 증거가 나타나면 기술적 붕괴보다 시장 패닉이 먼저 올 수 있다. Polymarket의 “사토시가 2026년 안에 BTC를 이동할까” 확률은 연초 4.5%에서 약 9.3%로 올랐지만, BIP-361 발표 자체에 대한 시장 반응은 미미해서 여전히 거버넌스 논의 수준으로만 받아들여지고 있다.

거버넌스가 진짜 병목이다. 암호학과 엔지니어링 숙제는 QRL과 Algorand가 실사례로 증명하듯 상당 부분 풀렸다. 남은 진짜 문제는 배포와 거버넌스이며, 특히 비트코인처럼 공식 투표 절차나 비상 대응 체계가 없는 창발적 컨센서스 구조에서 이동 불가능한 레거시 공급(사토시 코인 등)을 어떻게 다룰지가 핵심 난제다.

채굴 위협은 흔한 오해다. “양자 컴퓨터가 채굴을 압도한다"는 이야기는 사실과 거리가 멀다. Grover의 제곱근 이득은 오류 수정 오버헤드, 병렬화의 한계, 난이도 재조정 세 가지에 의해 상쇄돼 실용적 위협이 되지 못한다.

정리

2026년 7월 현재, 비트코인과 이더리움이 양자 공격으로 붕괴할 위험은 실행 가능한 위협이 아니다. 하드웨어와 필요 자원 사이의 격차는 여전히 수백 배다. 하지만 알고리즘 개선이 하드웨어 발전보다 빠르게 그 격차를 좁혀 왔고, 이미 690만 BTC 가까이가 공개키를 노출한 채 놓여 있다는 사실은 바뀌지 않는다. NIST 표준은 나왔고 이더리움의 계정 추상화 같은 마이그레이션 경로도 마련돼 있지만, 비트코인의 거버넌스 논쟁처럼 기술보다 사회적 합의가 더 어려운 지점도 분명히 존재한다. 지금 개발자가 할 수 있는 가장 실용적인 일은 공개키 재사용을 피하고, 서명 스킴을 유연하게 바꿀 수 있는 구조를 미리 만들어 두고, 성급하게 움직이기보다 표준과 거버넌스 논의를 계속 지켜보는 것이다.

참고 자료

• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities, Babbush, Zalcman, Gidney 외, arXiv:2603.28846, 조회일 2026-07-05
• How to factor 2048 bit RSA integers with fewer than one million noisy qubits, Craig Gidney, arXiv:2505.15917, 조회일 2026-07-05
• FIPS 203, 204, 205, NIST, 2024년 8월 13일 확정
• BIP-360, Hunter Beast, Ethan Heilman, Isabel Foxen Duke, 비트코인 공식 BIPs 저장소
• pq.ethereum.org, 이더리움 재단 포스트양자 로드맵 허브
• Project Eleven Q-Day Prize, 15비트 ECC 키 공개 양자 하드웨어 시연 발표