Christine Kim, 비트코인(BTC) 양자 방어 로드맵에 4개 제안 정리

비트코인 양자 방어가 뼈대를 갖춰간다

비트코인(BTC) 개발 커뮤니티가 수년간 흩어져 있던 연구 결과를 하나로 묶어 양자컴퓨팅 리스크에 대한 조율된 대응책을 마련하고 있다. 연구자 Christine D. Kim은 2026년 9월 14일 X에 올린 평가에서 BIP-360, SHRINCS, Lifeboat, DropKick 등 네 개의 병행 노력을 네트워크의 잠재적 양자 보안 로드맵 조각으로 매핑했다. 위협 모델의 중심에는 CRQC(암호학적으로 의미 있는 양자컴퓨터)가 있다. 블록체인에 이미 노출된 공개키에서 개인키를 도출해 정당한 소유자보다 앞서 가짜 지출을 집어넣을 수 있는 수준의 기계다. 현재까지 그런 능력을 가진 컴퓨터는 존재한다는 확인이 없지만, 오랫동안 잠자는 코인 뒤의 공개키는 영구적으로 그대로 노출되어 있다. 바로 이 지점이 네 제안이 겨냥하는 공격면이다.

@christine_dkim · X 게시물

Kim의 X 평가.

X에서 보기

BIP-360은 아직 초안 상태인 소프트포크 제안으로, Pay-to-Merkle-Root(P2MR)라는 새 출력 유형을 도입한다. 자금을 P2MR 출력으로 옮긴 사용자는 지출하는 순간까지 공개키를 숨길 수 있고, 여러 지출 경로를 동시에 유지할 수도 있다. 현재 비트코인 모델에서는 지출 시점에 공개키 노출이 불가피한데, 이는 장기 노출을 구조적으로 제거하는 예방적 설계다. 이런 하위호환 업그레이드는 Segregated Witness(SegWit) 이래로 네트워크에서 선례가 있다. Blockstream 연구자들이 개발한 SHRINCS는 보완적인 서명 계층이다. SHA-256 기반의 해시형 양자후(shield) 서명 방식으로, 비트코인의 작업증명 채굴을 지탱하는 동일한 함수 위에 놓여 새로운 수학적 가정을 추가하지 않는다. 초안 기여자에 따르면 공개키는 48바이트, 최소 서명은 548바이트, 상태비저장 대안은 5,777바이트로, 유사한 해시 기반 설계보다 대략 한 자릿수 작고 검증도 빠르다. 다만 SHRINCS는 여전히 실험적 단계이며 사양은 독립적 보안 검토를 통과하지 못했다. 네 제안 모두 오늘날 네트워크에서 활성화된 것은 없다. 전부 초안 또는 연구 과제이며, 평가문 자체도 이 점을 명시한다.

Lifeboat와 DropKick, 노출된 코인을 겨냥하다

더 까다로운 문제는 옮기지 않는 장기 HODL 코호트다. 보유자가 레거시 주소 형식에서 코인을 꺼내기 전에 CRQC가 등장하면, 노출된 공개키에서 개인키를 도출한 공격자가 출금을 앞질러 자금을 가로챌 수 있다. 정확히 이 집단을 겨냥한 복구 프로토콜이 둘 있다. 하나는 라이트닝 네트워크와 Utreexo 연구로 잘 알려진 Tadge Dryja의 Lifeboat, 다른 하나는 Brink 개발 펀드의 지원을 받는 Bitcoin (BTC) Core 기여자 conduition의 DropKick이다. 양쪽 모두 커밋-리빌(commit-reveal) 구조에 기반한다. 사용자가 공격자보다 먼저 특정 주소 정보를 알고 있었다는 사실을 온체인에서 증명해 구제 거래의 우선권을 확립하는 방식이다.

Dryja는 평가문이 나오기 몇 주 전 뉴욕 비트데브스(Bitdevs) 개발자 밋업에서 Lifeboat를 발표했으며, 더 깊은 설계도 제시했다. CRQC의 존재를 온체인에서 증명하면 소프트포크가 자동으로 트리거되는 구조다. Lifeboat 발표 하루 전인 2026년 8월 말 SHRINCS BIP 초안을 공개한 conduition은 DropKick의 활성화 메커니즘은 의도적으로 미결로 남겨뒀다. 분석의 토대가 된 개발자 인터뷰에 따른 것이다. 미해결 과제는 계속 쌓인다. SHRINCS의 보안 증명은 미완성이고, 테스트 벡터가 부족하며, 제3자 사양 검토도 이뤄지지 않았다. 서명 크기는 오늘날의 Schnorr 서명의 약 10배 수준이며, 키 재사용이나 상태비저장 대안을 쓰면 더 커진다. conduition은 이더리움 개발자들의 연구를 참고해 여러 서명을 하나의 증명으로 압축하는 집계 기법을 연구 중이다. CRQC가 실체화됐을 때 접근 불가능한 '유실' BTC를 어떻게 처리할지도 답이 나오지 않았다. 두 복구 프로토콜 모두 활성 코드가 아닌 제안으로 분류되므로, 합의가 바뀌기 전까지는 사용자가 얻는 것도 없다. 시장을 실시간으로 추적하는 독자는 Gate에서 현물과 선물 가격을 확인할 수 있다.

초안일 뿐, 배포된 코드는 아니다

로드맵과 함께 실용적인 검증 데이터도 나왔다. Blockstream은 2026년 8월 해시 기반 양자후 서명을 Jade, Trezor, Ledger, BitBox02 등 하드웨어 월렛에서 생성할 수 있음을 보여주는 결과를 공개했다. 이 시연이 의미 있는 이유는 SHRINCS가 서명 크기의 팽창을 막도록 명시적으로 설계됐기 때문이다. 기존 양자저항 서명 대부분은 오늘날의 Schnorr 서명보다 훨씬 큰 데이터를 만들어 블록 공간을 더 빨리 채우고, 거래 처리량을 줄이고, 수수료를 밀어 올린다. 동일 보도는 BIP-360을 Taproot와 구조적으로 유사한 것으로 프레임한다. 결정적 차이는 공개키 직접 지출 경로를 제거하고 거래 조건을 대표하는 머클 루트로 대체했다는 점이다. 주목할 점은 BIP-360만으로는 비트코인이 완전히 양자저항적이 되지 않는다는 것이다. 장기 공개키 노출을 겨냥할 뿐, 브로드캐스트와 컨펌 사이 짧은 창구에서의 빠른 공격은 여전히 양자저항 서명 방식을 필요로 한다.

(14:43 UTC 기준) 핵심 문서인 9월 14일 X 게시물의 무게는 명시적 단서에 있다. BIP-360, SHRINCS, Lifeboat, DropKick 중 어느 것도 오늘날 비트코인 네트워크에서 활성화되어 있지 않으며, 암호학을 깰 수 있는 CRQC의 존재도 알려진 바 없다. 9월 15일 기준 COINOTAG의 판단은 이 로드맵의 의미가 즉각적인 위협 대응이 아니라 아키텍처라는 것이다. CRQC 도래 전의 예방, 이후의 복구, 그리고 각 계층이 의도적으로 분리되어 있다는 점까지. 관문은 소프트포크 합의이며, 큰 서명이 차지하는 블록 공간, SHRINCS 보안 검토, 유실 코인 처리 같은 열린 비용 문제가 이 로드맵이 이론에 머물지 실현되는지를 결정할 것이다.