// 목차
62분, 그리고 큐비트 29,588개. 프랑스 양자컴퓨팅 기업 Alice & Bob이 비트코인 지갑 키를 깨는 데 필요하다고 내놓은 값이다. 2026년 10월 28일 암호학자들의 프리프린트 저장소에 올라온 자원 추정치에 나온다. 올봄 구글이 제시한 수치는 큐비트 50만 개였다. 4년 전만 해도 연구자들은 수억 개를 이야기했다. 이를 해낼 기계를 가진 곳은 아직 없다.
그래도 어느 코인이 먼저 털릴지는 이미 분명하다. 도둑에게 필요한 키가 공개된 주소에 놓인 비트코인이 600만 개가 넘는다. 이는 소유자와 무관한 경우가 많다. Glassnode의 집계로는 Robinhood는 고객 비트코인 100%의 키가 노출돼 있고, Coinbase는 10%다. 비트코인이 이것으로 끝장나는 것은 아니다. 그렇다고 웃어넘길 일도 아니다.
결제하면 열리는 봉투
?양자컴퓨터는 어떻게 비트코인을 훔칠까?
지갑에는 256비트 숫자인 개인 키가 있고, 이로부터 계산한 공개 키가 있다. 앞으로 가는 계산은 순식간이지만, 거꾸로 가는 계산은 일반 컴퓨터로는 손이 닿지 않는다. 이런 문제를 푸는 양자 기법인 쇼어 알고리즘은 그 역방향 계산을 가능하게 한다. 비트코인 주소는 공개 키의 지문이라서, 그 주소에서 코인을 쓰기 전까지 키 자체는 봉인된 봉투 속 편지처럼 숨어 있다. 결제는 그 봉투를 찢는다. 공개 키가 거래에 실려 모두가 볼 수 있게 되기 때문이다.
?키가 몇 분만 보이는데 왜 문제일까?
공격 방법은 두 가지다. 첫째는 경주다. 도둑이 새 거래를 발견하고 개인 키를 계산해, 원래 거래가 승인을 기다리는 동안 경쟁 거래를 뿌린다. 새 비트코인 블록은 약 10분마다 나온다. 이 경주에는 62분이 너무 느리지만, 구글의 봄 추정치에 나온 9분이면 충분히 빠르다. CoinDesk는 도둑이 이길 확률을 약 41%로 계산했다. 둘째는 더 단순하고 더 무섭다. 일부 코인은 공개 키가 이미 블록체인에 올라 있고, 그런 코인에는 서두를 이유가 전혀 없다.
코인을 떨어뜨리지 않는 고양이
?Alice & Bob은 정확히 무엇을 계산했나?
무언가를 실제로 해킹한 것은 아니다. 논문의 저자 열 명은 쇼어 알고리즘을 회사가 만들기를 바라는 기계용 개별 연산으로 쪼갰다. 결과물은 부품 명세서다. 부품이 몇 개이고 얼마나 오래 돌아야 하는가. 비트코인 키의 바탕이 되는 타원곡선 secp256k1은 최대 큐비트 3만 개와 약 한 시간이 나왔다. 널리 쓰이는 암호 표준 RSA-2048은 약 2만 3,000큐비트에 3.14일이다.
?왜 ‘고양이 큐비트’라고 부를까?
쉽게 말해 일반 큐비트는 돌아가는 동전과 같다. 동전이 엉뚱한 면으로 떨어질 수 있는데, 0이 1로 뒤집히는 비트 플립이다. 아니면 회전이 흔들릴 수도 있다. 이것이 위상 손실이라는 두 번째 오류다. 일반 초전도 큐비트로 만든 기계는 두 가지를 동시에 막아야 하고, 그러면 비용이 크게 불어난다. 구글의 모델에서는 믿을 만한 ‘논리’ 큐비트 하나에 물리 큐비트가 약 400개 든다. Alice & Bob은 정보를 작은 공진기 안에 가둔 마이크로파 장에 저장한다. 물리학자들은 이 상태를 슈뢰딩거의 사고실험에서 이름을 따 ‘고양이 상태’라고 부른다. 고양이가 살아 있으면서 죽어 있듯 장이 서로 반대인 두 상태에 동시에 있고, 그 두 상태가 0과 1 역할을 한다. 이 동전은 엉뚱한 면으로 거의 떨어지지 않아서 회전만 지켜보면 되고, 기계는 훨씬 적은 부품으로 버틴다.
?함정은 어디에 있나?
CoinDesk는 이것이 구글의 추정치보다 17배 저렴하다고 계산했다. 하지만 이 비교는 구글의 일반 큐비트와 Alice & Bob의 훨씬 정교한 부품을 맞세운 것이다. 더 큰 함정은 가정에 숨어 있다. 논문의 주 설계는 약 100년에 한 번만 저절로 뒤집히는 고양이 큐비트를 요구한다. 회사의 최고 결과는 2025년 9월에 발표한 33~60분이고, 그마저도 예비 결과다. 한 세기 대 한 시간, 약 100만 배의 격차다. 저자들은 오류 보호 층을 하나 더 얹은 대안을 내놓는다. 이 경우 약 한 시간 버티는 큐비트면 충분하지만, 기계에는 부품이 거의 두 배 필요하다. 이 수치는 논문에서 RSA에만 나오며, 2만 3,000개 대신 4만 5,000개다. 비트코인 키에 대한 수치는 없다.
수억에서 3만으로
이야기에서 가장 눈에 띄는 대목은 추정치가 얼마나 빨리 떨어지는가다. 새 하드웨어 덕분은 전혀 아니었다. 수학자와 엔지니어들이 같은 문제를 더 날씬하게 배치하는 방법을 찾아 비용을 깎았다.
// 타임라인
- 수학자 피터 쇼어가 수를 빠르게 소인수분해하고 이산로그 문제를 푸는 양자 알고리즘을 발표한다. RSA와 타원곡선 서명은 이 두 문제 위에 서 있다.
- 서섹스대 연구팀이 비트코인 키를 몇 분에서 몇 시간 안에 깨는 데 필요한 큐비트를 3,000만~3억 개로 추정한다.
- 물리학자 엘리 구지앙과 Alice & Bob 연구진을 포함한 공저자들이 고양이 큐비트 12만 6,133개와 9시간에 도달한다.
- 구글 퀀텀 AI가 이더리움 재단과 스탠퍼드 연구진과 함께 일반 큐비트 50만 개 미만, 소요 시간 몇 분을 제시한다.
- Alice & Bob: 고양이 큐비트 최대 3만 개와 약 한 시간.
구지앙은 이번 논문의 저자이기도 하다. 3년 만에 팀은 자신의 추정치를 큐비트로는 4분의 1로, 시간으로는 9분의 1로 줄였다.
하드웨어는 더 소박한 이야기를 들려준다. 구글이 2024년 12월 공개한 칩 Willow의 큐비트는 105개다. 구글 자체 모델로 공격에는 같은 큐비트가 최대 50만 개 필요하니, 거의 5,000배다. Alice & Bob의 자체 로드맵은 2030년까지 논리 큐비트 100개짜리 칩을 목표로 하지만, 이는 여전히 제품이 아니라 목표다. 회사의 수석 암호 분석가 다흐문 구다르지는 커지는 하드웨어와 줄어드는 요구량이라는 두 곡선이 2030년대 초에 만날 것으로 본다. 그는 비트코인을 새 보호 체계로 옮기는 일을 미룰 수 없다고 본다. 구다르지는 CoinDesk에 “이전을 지금 시작하는 것이 극히 중요해진다”고 말했다.
남의 코인을 얼리거나, 도둑에게 넘기거나
키가 노출된 코인은 부족하지 않다. Glassnode 분석가들은 2026년 10월 기준 600만 개가 넘는 비트코인, 곧 유통량의 31.2%를 집계했다. 일부는 처음부터 키가 드러나는 주소 유형에 있다. 2009~2010년 네트워크 최초의 주소들이 그렇고, 현대적인 Taproot 형식도 그렇다. 그러나 Glassnode의 5월 보고서는 노출된 키의 약 3분의 2가 네트워크 설계가 아니라 주소를 다루는 방식 때문에 새어 나왔다고 밝혔다. 상당 부분은 고객 대신 코인을 보관하는 거래소와 서비스에서 나온다.
앱에 비트코인을 두고 있다면, 서비스가 내 코인을 어떤 주소에 두는지 아마 모를 것이다. Glassnode의 집계로 Robinhood는 그런 코인의 100%, Revolut는 99%, Binance는 83%, Coinbase는 10%, Fidelity는 약 2%의 키가 노출돼 있다. 미국, 영국, 엘살바도르 정부 보유분에서는 노출이 없다. CoinDesk가 강조하듯, 이 수치는 주소를 어떻게 쓰는지를 보여줄 뿐 절도가 얼마나 임박했는지를 말하는 것이 아니다.
?비트코인 보유자에게는 무슨 뜻일까?
키를 노출시키는 습관은 두 가지다. 같은 주소를 재사용하는 것, 그리고 그 주소에서 조각조각 쓰는 것이다. 새 주소 유형도 그것만으로 무언가를 구해주지는 않는다. 오래된 코인을 거기로 옮겨야 한다.
그 주소 유형은 이미 문서로 존재한다. 2024년 12월 번호를 받은 비트코인 개선 제안서 초안 BIP-360은 키를 드러내는 결제 경로를 없앤 출력 유형 Pay-to-Merkle-Root(P2MR)를 제안한다. 저자들은 이것이 오랫동안 움직이지 않는 코인만 지킬 뿐, 경주 중인 새 거래는 지키지 못한다고 인정한다. 전환하려면 코인을 옮겨야 한다. 키를 잃어버렸거나 세상을 떠난 사람은 아무것도 옮기지 못한다.
여기서 가장 불편한 논쟁이 나온다. 프로그래머 제임슨 롭과 공저자들은 BIP-361이라는 초안에 엄격한 일정을 적었다. 규칙이 활성화되고 약 3년 뒤, 네트워크는 취약한 주소로의 결제를 받지 않는다. 그로부터 2년 뒤에는 오래된 서명이 진짜 주인과 양자 도둑을 가려내도록 만든 특별 구제 프로토콜을 통해서만 작동한다. 새 주소로 옮겨지지 않은 코인은 영원히 묶이고, 유통량은 줄어든다. 저자들은 이유를 분명히 밝힌다. “우리는 공격이 진행 중인지 알 수 없을지도 모른다.”
이 코인 가운데 가장 유명한 것은 비트코인의 익명 창시자와 관련된 것들이다. Glassnode는 가장 오래된 주소에 놓인 사토시 나카모토 시대의 코인을 노출 물량 중 가장 완강한 부분이라고 부른다. BIP-361 저자들은 그 주소들에 구제 프로토콜이 가능하다고 보는 사람이 현재는 없음을 인정하고, Hourglass라는 별도 제안에 판단을 넘긴다. 결국 그들 자신의 계획도 사토시의 코인을 애매한 상태로 남긴다. 계획을 정당화하려고 그들은 사토시의 말을 인용한다. “잃어버린 코인은 다른 모든 사람의 코인 가치를 조금 올려줄 뿐이다. 모두에게 하는 기부라고 생각하라.” 그러고는 그 문장을 뒤집는다. “양자로 회수된 코인은 다른 모든 사람의 코인 가치를 떨어뜨릴 뿐이다. 모두에게서 하는 절도라고 생각하라.”
비트코인에게 이것은 이단에 가깝다. 2009년부터 네트워크는 코인이 오직 키를 쥔 사람에게만 응답한다고 약속해 왔다. 대안도 더 낫지 않다. 어느 날 잠자던 수백만 개의 코인이 알맞은 기계를 가장 먼저 만든 쪽에 넘어간다. 구글 논문의 저자들은 세 번째 길을 제안한다. 그들이 ‘디지털 구조’라 부르는 것으로, 버려진 자산을 먼저 낚아채는 사람이 가지게 두지 않고 다시 유통시키거나 파기하는 규칙이다. 주인이 없는 네트워크에서 누가 그런 규칙을 쓸지는 아직 아무도 모른다.
신규 거래를 노린 경주, 즉 Alice & Bob의 추정치가 여전히 뒤처지는 부분도 정리되지 않았다. 팀은 큐비트를 더 늘리면 공격을 10분 아래로 줄일 수 있는지 아직 계산하지 않았다. 다만 구다르지는 추가 연구로 추정치가 구글의 9분에 가까워질 수 있다고 본다. 그리고 이 수치가 얼마나 내려갈 수 있는지는 뚜렷한 한계가 없다고 덧붙였다. “아키텍처상의 바닥은 없다.”
