양자컴퓨터와 비트코인: 무엇이 위협받고 대응은 어디까지 왔나

양자컴퓨터가 비트코인에 주는 위협으로 가장 많이 거론되는 것은 서명입니다. 비트코인 서명은 secp256k1 타원곡선 위의 이산로그 문제가 어렵다는 가정에 기대는데, 충분히 큰 양자컴퓨터가 쇼어 알고리즘을 실행하면 공개키에서 개인키를 계산할 수 있다는 것이 BIP-360 초안의 설명입니다. 다만 같은 문서는 그런 컴퓨터가 언제 실현될지, 실현될지조차 불확실하다고 적습니다. 이 글은 시기를 예측하지 않고, NIST 표준 발표와 비트코인 개선 제안(BIP) 원문에 적힌 내용만 정리했습니다.

확인 기준일 2026-10-27 · 다음 확인 예정 2027-01-27

무엇이 위협받나: 서명과 공개키

비트코인은 secp256k1 곡선의 ECDSA와, 탭루트 이후 BIP-340 슈노르 서명을 씁니다. BIP-360 초안의 동기 부분은 “암호학적으로 의미 있는 양자컴퓨터(CRQC)”가 이산로그 문제를 고전 컴퓨터보다 지수적으로 빨리 풀 수 있고, 이를 통해 공개키에서 개인키를 얻는 것을 ‘양자 키 복구’라고 부릅니다. 주석에는 256비트 타원곡선 공개키 하나를 깨는 데 약 10의 8제곱 번 연산이 필요할 것으로 본다는 추정도 실려 있습니다.

그래서 핵심 질문은 “내 공개키가 체인에 이미 드러나 있는가”입니다. 출력 유형마다 무엇이 체인에 드러나는지는 P2PKH·P2SH·P2WPKH 출력 글과 탭루트가 바꾼 서명 공개 방식 글에서 설명했습니다.

긴 노출 공격과 짧은 노출 공격

BIP-360 초안은 P2SH 같은 일부 출력 유형은 긴 노출 공격에 안전하지만 탭루트는 그렇지 않다고 적습니다. 탭루트가 현재 활성화된 출력 유형 가운데 탭스크립트와 스크립트 트리를 지원하는 유일한 유형이라는 점도 덧붙입니다.

대응은 어디까지 진행됐나

NIST 표준은 양자 공격에 견디도록 설계된 일반 암호 표준이며 비트코인 규칙이 아닙니다. 비트코인 쪽의 BIP-360은 아직 초안이고, 그 자체도 긴 노출 공격을 줄이는 “보수적인 첫 단계”라고 소개합니다. 멤풀에서 짧은 시간 안에 공개키를 노리는 공격까지 막으려면 양자 내성 서명을 비트코인에 도입해야 할 수 있다고 적습니다. 문서가 초안에서 바뀌거나 채택되지 않을 수도 있으므로 상태는 BIP 저장소에서 다시 확인해야 합니다.

자주 묻는 질문