“예상보다 가까워졌다”…암호화폐를 위협하는 양자컴퓨터의 공포

2026년 10월 9일 읽는 시간 약 10분

유럽연합 경찰기구(유로폴)는 암호화폐 지갑이 미래 양자 컴퓨터의 주요 취약점이라고 밝혔습니다.
구글 연구진은 비트코인 암호화를 공격하는 데 필요한 하드웨어 사양을 낮췄습니다.
현재로서는 어떤 양자 컴퓨터도 비트코인이나 이더리움 키를 해독할 수 없습니다.
비트코인과 이더리움 개발자들은 이미 마이그레이션 계획을 수립하고 있습니다.

유럽연합 경찰기구 (유로폴)는 10월 7일 두 건의 보고서를 발표하여 미래의 양자 컴퓨터가 암호화폐 지갑을 보호하는 암호화 기술을 무력화할 수 있다고 경고하고, 그러한 기계가 언제 등장할지는 아무도 알 수 없지만 지금부터 대비를 시작해야 한다고 촉구했습니다. 이러한 경고는 지난 8월 동료 평가를 거친 구글 양자 AI의 연구 결과에 따른 것으로, 해당 연구는 비트코인에 사용되는 타원 곡선 암호화 기술에 대한 공격이 기존 연구에서 예상했던 것보다 훨씬 적은 하드웨어로도 가능할 수 있음을 밝혀냈습니다. 현재까지 개인 키가 해킹된 사례는 없습니다. 이론적으로는 현재의 양자 컴퓨터와 위험한 양자 컴퓨터 사이의 거리가 단축되었으며, IBM과 IonQ는 주요 기술적 난제인 오류 수정 분야에서 진전을 보였다고 보고했습니다.≤1,200제안된 공격 회로 중 하나의 논리 큐비트50만 미만모델링된 아키텍처의 물리적 큐비트604만 BTC글래스노드 추산에 따르면, 유로폴은 공개 키가 노출된 경우를 예로 들었습니다.76일양자 컴퓨팅으로부터 모든 비트코인 출력을 안전하게 만들기 위해 다운타임을 모델링했습니다.

유로폴은 76일간의 가동 중단으로 인한 손실의 주요 원인을 재정적인 문제와 수리비로 지목했습니다.

유로폴의 보고서는 블록체인 보안의 두 가지 구성 요소를 명확히 구분합니다. 지갑은 개인 키를 보호하는 암호화 기술에 의존하며, 유로폴은 바로 이 부분에서 취약점을 발견했습니다. 블록을 연결하고 안전한 채굴을 가능하게 하는 해싱 함수는 훨씬 더 강력한 보안성을 갖고 있다고 유로폴은 평가합니다. 유로폴은 “양자 컴퓨팅 때문에 암호화폐가 붕괴되지는 않을 것”이라며 블록체인 시스템의 붕괴를 예측하지는 않았습니다.

유로폴은 양자 컴퓨팅에 대한 방어력을 갖춘 시스템으로의 전환이 복잡하고 시간이 오래 걸릴 것으로 예상합니다. 암호화폐 보고서에 인용된 2024년 연구에 따르면 모든 비트코인 출력을 양자 컴퓨팅으로부터 안전하게 만드는 데 드는 비용은 누적 네트워크 다운타임으로 76일 이상, 또는 마이그레이션에 블록의 4분의 1씩 소요될 경우 약 300일이 걸릴 것으로 추산됩니다. 이 수치는 모델링된 마이그레이션 비용이며, 계획된 네트워크 중단 시간을 나타내는 것은 아닙니다.

쇼어의 알고리즘은 개인 키를 역추적하지만, 그로버의 알고리즘은 해시값에 거의 영향을 주지 못한다.

비트코인이나 이더리움의 개인 키는 숫자이고, 공개 키는 이 숫자로부터 계산된 secp256k1 곡선 상의 한 점입니다. 일반 컴퓨터로는 실질적으로 이 계산을 역으로 수행할 수 없습니다. 하지만 쇼어의 알고리즘은 오류 허용 기능을 갖춘 양자 컴퓨터에서 실행될 경우, 즉 긴 계산을 완료할 수 있을 만큼 자체 오류를 잘 수정할 수 있는 컴퓨터에서 실행될 경우 역으로 계산할 수 있습니다.

해시 함수는 그로버 알고리즘이라는 약한 양자 컴퓨팅 방식에 직면하는데, 이 알고리즘은 무차별 대입 공격 속도를 높이지만 공격자에게 여전히 비현실적인 양의 작업을 요구합니다. 이것이 유로폴이 해시 함수를 구분하는 기술적 근거입니다.노출된디지털 서명(ECDSA)지갑에 개인 키를 안전하게 보관하세요. 쇼어 알고리즘은 공개된 공개 키로부터 개인 키를 유추할 수 있습니다.더 강한해시 함수블록을 연결하고, 채굴을 안전하게 하며, 공개 키를 주소 뒤에 숨깁니다. 그로버의 알고리즘은 제한적인 속도 향상만 제공합니다.

공개 키가 노출되었는지 여부에 따라 달라집니다. 자금을 수령한 기록만 있는 주소는 키의 해시값만 보여줍니다. 소유자가 자금을 사용하면 키가 온체인에 나타나며, 초기 비트코인 출력은 키를 직접 공개했습니다. 유로폴 보고서는 글래스노드의 추정치를 인용하여 공개 키가 노출된 비트코인이 약 604만 BTC(전체 공급량의 약 30%)에 달하며, 사토시 나카모토 소유였거나 키를 분실한 초기 코인을 포함한 또 다른 추정치는 약 690만 BTC라고 밝혔습니다. 노출되었다는 것은 즉시 탈취될 수 있다는 의미는 아닙니다.

구글, 공격 비용 50만 물리적 큐비트 미만으로 줄여

구글 양자 AI 연구진은 3월 31일

새로운 자원 추정치를 발표했고 , PRX Quantum은 8월에 동료 심사를 거친 논문을 게재했습니다. 제안된 공격 회로 중 하나는 논리 큐비트(계산에 사용되는 오류 수정 단위) 1,200개 이하만 필요로 합니다. 모델링된 아키텍처에서는

물리적 큐비트가 50만 개 미만 으로 계산됩니다 .

이 논문은 또한 특정 초전도 설계 방식이 궁극적으로 10분 이내에 공격을 완료할 수 있다고 추정합니다. 이 속도라면, 블록이 채굴되기 전에 공개 키가 노출되므로 확인을 기다리는 거래도 이론적인 공격 대상이 됩니다. 하지만 지금까지 아무도 이러한 공격을 실행한 적이 없으며, 현존하는 어떤 기계도 이를 수행할 수 없습니다.

IBM은 70개의 논리 큐비트를 운영하는데, 이는 공격에 필요한 큐비트 수의 약 17분의 1에 해당합니다.

논리 큐비트: IBM과 구글의 공격 예측 비교를 통해 입증

70건의 사례가 시뮬레이션된 공격에서

1,200건을 나타냈습니다(2026년 7월).IBM과 시카고 대학은 7월 30일 ,

70개의 논리 큐비트를 사용한 계산을 약 15분 만에 완료했다고 발표했습니다 . IBM은 이 작업이 기존의 고전 시뮬레이션 방식으로는 실질적으로 불가능한 수준이었다고 밝혔습니다. 구글이 제시한 1,200개의 논리 큐비트와 비교하면, 공격에 필요한 훨씬 더 긴 계산 시간을 고려하지 않더라도 논리 큐비트 수만 해도 약 17배나 차이가 납니다.

IonQ의 결과는 다른 병목 현상을 해결합니다. 이 회사의 디코더는 최대 408개의 논리 큐비트와 3,150만 개 이상의 양자 연산을 시뮬레이션하는 벤치마크 회로를 처리했는데, 실행 시간 증가폭은 단 0.02%에 불과했습니다. 이 테스트는 실제 기계가 아닌 시뮬레이션 회로에서 진행되었습니다.

IBM은 10월 7일에 DARPA의 C단계에 도달했는데, 이 단계에서는 산업 규모의 내결함성 컴퓨터 구축이 실현 가능한지 평가합니다. IBM의 첫 번째 내결함성 시스템인 Starling은 2029년 출시 예정입니다.3월 31일구글 양자 AIsecp256k1 공격에 필요한 리소스 추정치를 낮춥니다.7월 30일IBM과 시카고 대학교70개의 논리 큐비트에 대한 계산은 약 15분 정도 소요됩니다.9월 22일이온큐최대 408개의 논리 큐비트를 갖는 시뮬레이션 회로에서 실시간 오류 정정 디코더를 테스트했습니다.10월 7일IBMDARPA의 양자 벤치마킹 이니셔티브 C단계에 진입했습니다.10월 7일유로폴두 건의 보고서에서 암호화폐 지갑을 주요 취약점으로 지목했습니다.

저스틴 드레이크의 최악의 시나리오에는 큐비트가 아니라 GPU 클러스터가 필요합니다.

이더리움 재단 연구원 저스틴 드레이크는 10월 7일 , 양자 하드웨어 없이도 ECDSA와 같은 서명 방식이 취약해질 수 있다고 주장했습니다 . 그의 우려는 오랜 수학 난제를 해결하고 있는 인공지능 시스템이 대규모 GPU 클러스터에서 실행 가능한 고전적인 개인 키 복구 방법을 발견할 수 있다는 점입니다. 최악의 경우, 이러한 상황은 몇 달 안에 발생할 수 있다고 그는 예측했습니다.위협 1양자 공격

필요 조건: 쇼어 알고리즘을 실행하는 내결함성 양자 컴퓨터

현재 상황: 자원 추정치는 존재하지만, 그 능력을 갖춘 기계는 없다.위협 2AI 지원 고전적 공격

필요 조건: 기존 하드웨어에서 키를 복구하는 새로운 수학적 방법

현재 상황: 가상적인 상황이며, 검증된 알고리즘은 없습니다.

드레이크는 그러한 방법을 제시하지 않았으며, 공개적으로 검증된 방법도 없습니다. 그의 실질적인 조언은 양자 컴퓨팅 전략을 반영합니다. 즉, 대규모 자산을 이전에 거래에 서명한 적이 없는 주소로 점진적으로 옮기고, 노출된 키를 재사용하지 않으며, 당황하지 않고 진행하라는 것입니다. 그는 이더리움의 경우 SPHINCS와 같은 해시 기반 서명 방식을 도입하기를 원합니다.

오늘 저는 블록체인 업계에 “벙커 모드”에 대비한 계획을 차분히 시작할 것을 촉구합니다. 개인적으로는 자산을 새로운 주소, 즉 공개 키가 해시 뒤에 숨겨진 주소로 통제된 방식으로 대량 이전하는 것을 권장합니다.

소유자는 대형 소유자부터 시작하여…— 저스틴 드레이크

BIP-361은 비트코인이 마이그레이션되지 않는 코인에 대해 어떻게 처리할지 결정하도록 강제합니다.

비트코인 개발자들은 두 가지 제안을 내놓았습니다. BIP-360은 양자 컴퓨팅 취약점을 줄이기 위해 설계된 출력 유형을 도입하는 것이고, BIP-361은 취약한 출력에 대한 단계적 마이그레이션 및 제한 사항을 명시하고 있습니다. 이더리움 연구진은 9월 초 ETHNews 보도에 따르면

2029년을 목표로 양자 후 암호화 기술 개발에 매진하고 있습니다.

자금 지원과 기관의 관심이 뒤따랐습니다. 갤럭시 디지털은 7월에 양자 컴퓨팅 준비 연구에 최대 5백만 달러의 보조금을 지원하기로 약속했고, 코인베이스는 1월에 양자 컴퓨팅 및 블록체인에 대한 독립 자문위원회를 구성했습니다.보유자에게 있어 즉각적인 영향은 주소 관리의 문제로 제한됩니다. 서명된 적이 없는 주소의 자금은 해시값 뒤에 그대로 남아 있게 됩니다. 하지만 비트코인의 경우, 더 어려운 결정은

BIP-361 에 담겨 있습니다 . 취약한 출력 방식을 제한한다는 것은 소유자가 이체하지 않는 코인, 특히 휴면 상태의 초기 보유 코인에 대해 어떻게 처리할지를 결정하는 것을 의미합니다. 이는 거버넌스 문제이며, 비트코인에는 이를 신속하게 해결할 수 있는 메커니즘이 없습니다.