Q-Day는 아직 없다: 그래도 QRL이 먼저 움직인 이유

1. 위협의 본질은 블록체인 붕괴가 아닌 서명 문제다

본질적 질문은 양자가 비트코인을 깰지가 아니라 어떤 암호 가정을 공격할지입니다. 비트코인은 secp256k1 기반 ECDSA와 슈노르 서명을 씁니다. 오류 수정 양자 컴퓨터가 쇼어 알고리즘으로 공개키에서 비밀키를 도출하면 위조 지출이 가능하지만, 과거 블록이나 SHA-256을 바꾸지는 못합니다.^[1][2]

이는 주소 체계를 보안 경계로 만듭니다. 레거시 P2PKH와 P2WPKH는 지출 전까지 공개키 해시만 기록해 단일 사용 시 노출을 줄입니다. 반면 주소 재사용은 미사용 잔액의 공개키를 노출하며, 초기 P2PK 출력은 생성부터 공개키를 온체인에 노출합니다.^[2][1]

탭루트는 출력에 공개키를 직접 포함해 효율을 높였습니다. BIP 341 저자들은 공개키 해시가 임시 방어일 뿐이라고 명시했습니다. 멤풀 대기 중 공개키가 드러나며 많은 물량이 이미 노출되어 있습니다. 해시 포장은 일시적 지연일 뿐 포스트 양자 서명을 대신하지 못합니다.^[2]

따라서 “양자 취약 비트코인” 통계는 구분이 필요합니다. 위험은 온체인 노출 여부, 멤풀 전파, 주소 재사용, 공격 속도 가정에 좌우됩니다. 2026년 3월 구글 퀀텀 AI 백서는 장기 노출 키 공격과 미확인 거래 지출 시점 공격을 구분해 현실적 위험을 다룹니다.^[1]

“공개키나 스크립트의 해시를 출력에 저장하던 전형적인 이전 구조와 달리, 공개키가 출력에 직접 포함됩니다.”^[2]

— Pieter Wuille, Jonas Nick, and Anthony Towns, BIP 341

2. 확정된 기일 없는 시계

양자 위험 논의는 자원 추정과 일정 예측을 혼동하곤 합니다. 구글 퀀텀 AI의 2026년 3월 논문은 secp256k1에 최대 1,200 논리 큐비트와 9,000만 토폴리 게이트, 또는 1,450 큐비트와 7,000만 게이트 및 50만 개 미만의 물리 큐비트를 제시했습니다. 이는 가상 장치의 벤치마크일 뿐 실존 증거가 아닙니다.^[1]

연산 시간도 중요합니다. 구글은 빠른 클록과 사전 연산을 갖춘 공격자가 공개키 노출 후 약 9~12분 만에 비밀키를 도출한다고 추산했습니다. 이는 10분 블록 주기를 위협할 수 있으나 이상적 성능을 전제합니다. 느린 장비는 장기 노출 키만 위협하므로 이는 엔지니어링 지표일 뿐입니다.^[1]

NIST는 일정을 신중히 봅니다. 암호학적 양자 컴퓨터는 “수년 또는 수십 년” 걸릴 수 있으나 전환에는 긴 시간이 듭니다. NIST 전환 계획은 2035년까지 취약 알고리즘을 폐기하는 것입니다. 2035년은 표준 행정 목표일 뿐 예측된 Q-데이나 비트코인 붕괴 시한이 아닙니다.^[3]

합리적 관점은 공포와 방관을 모두 피합니다. 현재 secp256k1을 깰 양자 컴퓨터가 실존한다는 증거는 없습니다. 그러나 노드와 지갑 전반에 포스트 양자 서명을 도입하는 데는 수년이 걸립니다. 비트코인의 시계는 연구소 돌파구가 아닌 네트워크 준비 기간을 뜻합니다.^[3][1]

“이 표준들은 지금 바로 사용할 수 있으며, 실제로 사용해야 합니다.”^[3]

— National Institute of Standards and Technology, on the finalized PQC standards

3. 머클 트리를 택한 QRL, 상태 관리의 영수증을 받다

QRL은 반대 관점에서 출발했습니다. 2016년 10월 백서에서 해시 기반 전자서명을 제안한 QRL은 2018년 6월 XMSS 기반 메인넷을 열었습니다. 확장형 머클 서명(XMSS)은 윈터니츠 일회용 서명(WOTS+)을 결합하며, 트리 루트가 공개키 역할을 하고 지출 시 리프 서명과 인증 경로를 공개합니다.^[8][9][5]

XMSS는 이산로그 대신 해시 함수 특성에 의존합니다. RFC 8391은 해시 서명이 양자 공격에 견고하다고 명시합니다. NIST는 SP 800-208로 통제 환경용 XMSS와 LMS를 승인했으나 상태 관리 위험으로 일반 용도에는 부적합하다고 경고했습니다. 이는 매개변수 승인일 뿐 QRL 보증이 아닙니다.^[5][4]

해시 보안의 대가는 엄격한 상태 관리입니다. WOTS+ 비밀키는 1회만 서명할 수 있어 재사용이 금지됩니다. QRL 기본 트리 높이 10은 주소당 1,024회 일회용 서명을 줍니다. 지갑은 복원 시에도 사용된 리프를 추적해야 하며, 인덱스를 재사용하면 보안이 파괴되어 쉽게 위조될 수 있습니다.^[6][5]

상태 기반 서명은 크기와 용량 부담도 큽니다. 해시 서명은 ECDSA나 슈노르보다 커서 블록체인 용량을 늘리며 서명 횟수도 유한합니다. QRL은 주소에 서명 식별자 예약 필드와 다중 해시를 두어 암호 민첩성을 설계했으나, 실제 전환에는 철저한 검증과 사용자 합의가 필요합니다.^[7][6][5]

“비밀키 상태를 두 번 사용하면 어떤 암호학적 보안 보장도 남지 않습니다.”^[5]

— RFC 8391, CFRG note on XMSS

4. 마이그레이션이라는 진짜 난제

NIST 최종 표준은 상태 기반 트리를 넘는 대안을 줍니다. 2024년 8월 NIST는 FIPS 203(ML-KEM), FIPS 204(ML-DSA), FIPS 205(SLH-DSA)를 확정했습니다. 비트코인은 서명 크기, 검증 속도, 대역폭, 하드웨어 호환성, 소프트포크 배포 방식을 종합 평가해 서명을 선택해야 합니다.^[3]

암호 마이그레이션은 보유자를 둘로 나눕니다. 활동 사용자는 새 포스트 양자 주소로 자금을 옮길 수 있지만, 분실 키나 콜드 스토리지, 공개키가 노출된 초기 스크립트 등 휴면 코인은 이동하지 못합니다. 2026년 구글 백서처럼 휴면 자산은 소프트포크로 자동 해결되지 않는 거버넌스 난제입니다.^[1]

QRL은 해시 서명이 실제 체인에서 작동함을 증명하며 상태 관리와 크기 비용을 보여주었습니다. 비트코인은 주소 해싱이 일시적 완화일 뿐 완전한 방어가 아니며 탭루트도 이를 인정했음을 보여줍니다. 두 생태계 모두 양자 대비가 종말론적 공포가 아닌 구체적 엔지니어링 과제임을 입증합니다.^[6][7][2]

실질적 마이그레이션은 노출 출력 분류, 후보 서명 벤치마킹, 소프트포크 설계, 지갑 업그레이드 순으로 진행됩니다. 주소 재사용 방지는 레거시 노출을 줄이나 탭루트 보호나 서명 전환을 대신할 수 없습니다. 휴면 자금 정책을 사전 공개 토론해야 비상 하드포크 혼란을 막을 수 있습니다.^[2][1][3]

양자 컴퓨팅은 미래 암호 가능성을 현실의 조율 시험대로 바꿨습니다. QRL은 해시 서명을 조기 검증했고 NIST는 표준 기반을 확립했습니다. 비트코인은 정해진 카운트다운 없이 준비할 시간을 가집니다. 올바른 결론은 Q-데이 공포도 방관도 아닌, 위기 전에 착수하는 착실한 엔지니어링입니다.^[9][3][1]