연구진, ECDSA.Fail 대회에서 비트코인(BTC) 양자공격 자원 추정치 86% 감축

양자공격 벤치마크 86% 하락

100명이 넘는 연구자가 AI 코딩 에이전트와 함께 비트코인 암호체계를 겨냥한 잠재적 양자공격의 핵심 단계에 필요한 자원 비용 추정치를 86% 낮췄다. 수요일 공개된 논문에 따른 결과다. 이 성과는 Eigen Labs가 5월 말 출범한 공개 대회 ECDSA.Fail에서 나왔다. 대회 표적은 secp256k1, 즉 이더리움과 비트코인 전반의 거래 서명을 지키는 타원곡선이다. 참가자들은 지갑의 개인키를 도출하는 샤(Shor) 알고리즘이 필요로 하는 타원곡선 점 덧셈 연산 회로에 대해, 논리 큐비트 수에 토폴리(Toffoli) 게이트 수를 곱한 자원 점수를 최소화하기 위해 경쟁했다. 토폴리 게이트는 1980년에 고안된 고비용 양자 연산이고, 논리 큐비트는 회로의 작업 메모리 역할을 하므로 이 점수는 미래의 공격자가 감당해야 하는 양자 메모리와 연산량의 합을 측정한다. 7월 26일 마감까지 선두 설계는 초기 기록 107억 5,000만(10.75B)에서 14억 9,600만(1.496B)으로 점수를 끌어내렸다. 이는 논리 큐비트 1,151개와 약 130만 개의 토폴리 게이트를 사용한 결과로, Google Quantum AI가 3월에 발표한 벤치마크의 절반 수준이다. 다만 측정·계산 방식의 차이 때문에 직접 비교는 불가능하다. 검증된 테스트는 회로의 산술 연산을 확인했을 뿐, 실제 개인키를 뚫지는 못했다. 주목할 점은 취약점이 장부의 순서를 정하는 작업증명 채굴 과정이 아니라 서명 암호화에 있다는 것이다. 약 2개월 동안 참가자들은 400건이 넘는 개선 제출을 쌓아 올렸고, 각 제출이 다음 참가자의 출발점이 됐다. AI 에이전트가 코드 작성·검증·세밀한 최적화를 담당하고 인간은 연구 방향과 핵심 설계 결정을 이끌었다. 논문은 또 전체 샤 알고리즘 구현에 가깝게 조정된 설계가 약 19억 6,000만, 이후 개선안이 약 12억 6,000만의 점수를 기록했다고 밝힌다. 마감 이후에는 별도 작업으로 토폴리 게이트 수를 952,707개까지 낮췄고, 다른 설계에서는 연산 비용이 크게 늘어나는 조건에서 논리 큐비트 수를 813개까지 줄였다.

전환 일정과 노출된 코인

이 대회의 뿌리는 3월 Google Quantum AI의 발표로 거슬러 올라간다. 해당 발표는 검증된 회로가 존재한다는 증명을 공개하면서도 회로 자체는 비공개로 유지했고, Eigen Labs는 그 검증 도구로 공개 벤치마크와 리더보드를 만들었다. Theta Labs 최고기술책임자(CTO) Jay Long은 9월 10일 X에서 이번 결과를 공개했다. Theta Labs, MultiVM Labs, Eigen Labs, Trail of Bits, StarkWare, 이더리움 재단 소속 저자들은 취약한 암호체계에서의 전환이 이미 진행 중이라고 명시한다. NIST IR 8547의 초기 공개 초안은 112비트 보안 수준의 기존 공개키 알고리즘을 2030년 이후 폐기 대상으로 지정하고 2035년 이후 사용을 금지할 것을 제안한다. StarkWare 공동창업자이자 CEO인 Eli Ben-Sasson은 2개월 만에 복호화 비용이 절반으로 줄었다면 양자컴퓨터 도래 시점에 관한 모든 가정을 다시 검토해야 한다고 주장했다. 위협의 시간표는 결코 추상적이지 않다. IonQ의 추정에 따르면 오류 내성을 갖춘 약 20,000 물리 큐비트 규모의 기계가 26일 안에 secp256k1을 깨뜨릴 수 있다. Coinbase 자문위원회는 6월에 약 700만 BTC가 개인키가 공개 노출된 주소에 있다고 추산했다. 반면 이더리움은 2029년 12월까지 완전한 양자저항성 달성을 목표로 한다. 방어 자금도 확대되고 있다. 7월 Galaxy Digital은 최대 500만 달러를 양자방어 연구에 투입했고, 최대 규모 현물 비트코인 ETF 운용사인 BlackRock을 비롯해 Coinbase, Strategy 등 9개 기업은 3년에 걸쳐 합계 1,500만 달러를 더 넓은 비트코인 보안 작업에 약속했다. 이러한 움직임은 체계적 노출에 대한 규제 당국의 경고와 BlackRock의 50/30/20 포트폴리오 개편 보도와 맞물려 나타났다.

Q-Day 추정치 재검토

COINOTAG의 프리프린트 해석은 다음과 같다. 저자들은 최적화된 회로가 주요 단계 하나만을 다루며 물리적 오류 정정과 전체 샤 연산은 제외된다고 분명히 밝힌다. 따라서 이번 결과만으로 오늘의 비트코인을 복호화할 수 없다. 그러나 방향이 중요하다. Long은 공격이 임박하지 않았지만 방어에는 수년이 걸리고 소급 적용이 불가능하다는 점을 강조했다. 2개월 만의 86% 압축은 결국 위기가 아니라 계획의 문제다. COINOTAG의 판단은 이렇다. 이제 진짜 시한을 정의하는 것은 큐비트 수가 아니라 암호체계 전환의 리드타임이다.