Q-Day는 아직 없다: 그래도 QRL이 먼저 움직인 이유

1. 위협의 본질은 블록체인 붕괴가 아닌 서명 문제다

본질적 질문은 양자가 비트코인을 깰지가 아니라 어떤 암호 가정을 공격할지입니다. 비트코인은 secp256k1 기반 ECDSA와 슈노르 서명을 씁니다. 오류 수정 양자 컴퓨터가 쇼어 알고리즘으로 공개키에서 비밀키를 도출하면 위조 지출이 가능하지만, 과거 블록이나 SHA-256을 바꾸지는 못합니다.^[1][2]

이는 주소 체계를 보안 경계로 만듭니다. 레거시 P2PKH와 P2WPKH는 지출 전까지 공개키 해시만 기록해 단일 사용 시 노출을 줄입니다. 반면 주소 재사용은 미사용 잔액의 공개키를 노출하며, 초기 P2PK 출력은 생성부터 공개키를 온체인에 노출합니다.^[2][1]

탭루트는 출력에 공개키를 직접 포함해 효율을 높였습니다. BIP 341 저자들은 공개키 해시가 임시 방어일 뿐이라고 명시했습니다. 멤풀 대기 중 공개키가 드러나며 많은 물량이 이미 노출되어 있습니다. 해시 포장은 일시적 지연일 뿐 포스트 양자 서명을 대신하지 못합니다.^[2]

따라서 “양자 취약 비트코인” 통계는 구분이 필요합니다. 위험은 온체인 노출 여부, 멤풀 전파, 주소 재사용, 공격 속도 가정에 좌우됩니다. 2026년 3월 구글 퀀텀 AI 백서는 장기 노출 키 공격과 미확인 거래 지출 시점 공격을 구분해 현실적 위험을 다룹니다.^[1]

“공개키나 스크립트의 해시를 출력에 저장하던 전형적인 이전 구조와 달리, 공개키가 출력에 직접 포함됩니다.”^[2]

— Pieter Wuille, Jonas Nick, and Anthony Towns, BIP 341

2. 확정된 기일 없는 시계

양자 위험 논의는 자원 추정과 일정 예측을 혼동하곤 합니다. 구글 퀀텀 AI의 2026년 3월 논문은 secp256k1에 최대 1,200 논리 큐비트와 9,000만 토폴리 게이트, 또는 1,450 큐비트와 7,000만 게이트 및 50만 개 미만의 물리 큐비트를 제시했습니다. 이는 가상 장치의 벤치마크일 뿐 실존 증거가 아닙니다.^[1]

연산 시간도 중요합니다. 구글은 빠른 클록과 사전 계산된 상태를 갖춘 가상 공격자가 공개키 노출 후 약 9~12분 만에 개인키를 도출할 수 있다고 추산했습니다. 이는 비트코인의 10분 블록 주기와 경쟁할 수 있지만, 빠른 게이트 동작과 대규모 하드웨어 등 모델의 전제를 충족해야 합니다. 논문은 현재 가정하는 초기 저속 클록 구조에서는 장기간 노출된 키에 대한 공격이 거래 전파 중 공격보다 먼저 가능해질 것으로 예상합니다. 향후 기법이 이 제약을 바꿀 가능성도 열어 두므로, 추정치는 설계 지표이지 확정된 공격 시점이나 영구적인 성능 한계가 아닙니다.^[1]

NIST는 일정을 신중히 봅니다. 암호학적 양자 컴퓨터는 “수년 또는 수십 년” 걸릴 수 있으나 전환에는 긴 시간이 듭니다. NIST 전환 계획은 2035년까지 취약 알고리즘을 폐기하는 것입니다. 2035년은 표준 행정 목표일 뿐 예측된 Q-데이나 비트코인 붕괴 시한이 아닙니다.^[3]

합리적 관점은 공포와 방관을 모두 피합니다. 현재 secp256k1을 깰 양자 컴퓨터가 실존한다는 증거는 없습니다. 그러나 노드와 지갑 전반에 포스트 양자 서명을 도입하는 데는 수년이 걸립니다. 비트코인의 시계는 연구소 돌파구가 아닌 네트워크 준비 기간을 뜻합니다.^[3][1]

“이 표준들은 지금 바로 사용할 수 있으며, 실제로 사용해야 합니다.”^[3]

— 미국 국립표준기술연구소(NIST), 확정된 포스트 양자 암호 표준에 관하여

3. 머클 트리를 택한 QRL, 상태 관리의 영수증을 받다

QRL은 반대 관점에서 출발했습니다. 2016년 10월 백서에서 해시 기반 전자서명을 제안한 QRL은 2018년 6월 XMSS 기반 메인넷을 열었습니다. 확장형 머클 서명(XMSS)은 윈터니츠 일회용 서명(WOTS+)을 결합하며, 트리 루트가 공개키 역할을 하고 지출 시 리프 서명과 인증 경로를 공개합니다.^[8][9][5]

XMSS는 이산로그 대신 해시 함수 특성에 의존합니다. RFC 8391은 해시 서명이 양자 공격에 견고하다고 명시합니다. NIST는 SP 800-208로 통제 환경용 XMSS와 LMS를 승인했으나 상태 관리 위험으로 일반 용도에는 부적합하다고 경고했습니다. 이는 매개변수 승인일 뿐 QRL 보증이 아닙니다.^[5][4]

해시 보안의 대가는 엄격한 상태 관리입니다. WOTS+ 비밀키는 1회만 서명할 수 있어 재사용이 금지됩니다. QRL 기본 트리 높이 10은 주소당 1,024회 일회용 서명을 줍니다. 지갑은 복원 시에도 사용된 리프를 추적해야 하며, 인덱스를 재사용하면 보안이 파괴되어 쉽게 위조될 수 있습니다.^[6][5]

상태 기반 서명은 크기와 용량 부담도 큽니다. 해시 서명은 ECDSA나 슈노르보다 커서 블록체인 용량을 늘리며 서명 횟수도 유한합니다. QRL은 주소에 서명 식별자 예약 필드와 다중 해시를 두어 암호 민첩성을 설계했으나, 실제 전환에는 철저한 검증과 사용자 합의가 필요합니다.^[7][6][5]

“비밀키 상태를 두 번 사용하면 어떤 암호학적 보안 보장도 남지 않습니다.”^[5]

— RFC 8391, XMSS에 관한 CFRG의 주의사항

4. 마이그레이션이라는 진짜 난제

NIST가 확정한 포스트 양자 표준은 상태를 관리하는 머클 트리 이외의 선택지도 제공합니다. 2024년 8월 확정된 FIPS 203(ML-KEM)은 키 캡슐화용이고, FIPS 204(ML-DSA)는 격자 기반 전자서명, FIPS 205(SLH-DSA)는 상태를 저장하지 않는 해시 기반 전자서명 표준입니다. 비트코인의 서명 방식 후보를 평가할 때는 서명과 공개키의 크기, 검증 속도, 대역폭, 하드웨어 지갑 지원, 소프트포크 도입 경로를 함께 살펴야 합니다.^[3]

암호 체계의 이전에는 보유자의 행동이 필요합니다. 활동 사용자는 새로운 포스트 양자 주소가 마련되면 UTXO를 옮길 수 있습니다. 콜드 스토리지나 공개키가 노출된 초기 스크립트의 보유자도 유효한 개인키를 갖고 있다면 이전을 승인할 수 있지만, 개인키를 분실했거나 접근할 수 없다면 그렇게 할 수 없습니다. 2026년 구글 백서가 지적하듯, 미래 거래에 양자 내성 규칙을 도입하는 것만으로 기존 휴면 잔액이 저절로 옮겨지거나 보호되지는 않습니다. 그대로 남은 자산에 합의 규칙으로 개입할지는 소유권과 거버넌스의 문제입니다.^[1]

QRL은 해시 서명이 실제 체인에서 작동함을 증명하며 상태 관리와 크기 비용을 보여주었습니다. 비트코인은 주소 해싱이 일시적 완화일 뿐 완전한 방어가 아니며 탭루트도 이를 인정했음을 보여줍니다. 두 생태계 모두 양자 대비가 종말론적 공포가 아닌 구체적 엔지니어링 과제임을 입증합니다.^[6][7][2]

실질적 마이그레이션은 노출 출력 분류, 후보 서명 벤치마킹, 소프트포크 설계, 지갑 업그레이드 순으로 진행됩니다. 주소 재사용 방지는 레거시 노출을 줄이나 탭루트 보호나 서명 전환을 대신할 수 없습니다. 휴면 자금 정책을 사전 공개 토론해야 비상 하드포크 혼란을 막을 수 있습니다.^[2][1][3]

양자 컴퓨팅은 미래 암호 가능성을 현실의 조율 시험대로 바꿨습니다. QRL은 해시 서명을 조기 검증했고 NIST는 표준 기반을 확립했습니다. 비트코인은 정해진 카운트다운 없이 준비할 시간을 가집니다. 올바른 결론은 Q-데이 공포도 방관도 아닌, 위기 전에 착수하는 착실한 엔지니어링입니다.^[9][3][1]