코리 필즈, 비트코인(BTC) '양자 지뢰' 제안: 도둑에게 1 BTC 담보 30일 부과

코리 필즈의 '양자 지뢰'

비트코인 코어 개발자가 양자컴퓨터 기반 도난을 시도하는 공격자에게 자신의 코인을 먼저 걸게 만드는 설계안을 내놨다. MIT 디지털커런시이니셔티브에서 비트코인 소프트웨어를 담당하는 코리 필즈는 수요일 '양자 지뢰'라 부르는 이 개념을 bitcoin-dev 메일링 리스트에 올렸다. 같은 시기 블록체인 시장에서는 비트코인(BTC) 가격이 24시간 동안 5.9% 내렸지만, 이 제안은 시세가 아니라 프로토콜 설계의 문제를 다룬다. 필즈가 겨냥한 문제는 오래된 것이다. 충분히 강한 양자컴퓨터는 지갑의 공개키에서 개인키를 계산해낼 수 있는데, 초기 비트코인 결제 포맷 일부는 그 공개키를 처음부터 온체인에 노출했고 사토시 나카모토와 연관된 코인도 잠재적 표적에 포함된다. 약점은 작업증명이 지키는 장부가 아니라 공개키가 이미 드러난 코인을 둘러싼 암호학에 있다. 세그윗과 함께 도입된 최신 주소 포맷은 코인을 키의 해시에 묶어 지출 전까지 키를 숨겨둔다. 취약 코인을 동결해 업그레이드하지 못한 소유자까지 잠그는 것이 나은지, 아니면 최초로 유효한 서명을 만드는 사람에게 두는 것이 나은지는 커뮤니티에서 오래 논쟁돼 온 주제다. 필즈의 설계는 시도 자체에 비용을 붙인다. 1 Bitcoin (BTC)를 훔치려면 공격자가 양자 안전 지갑에서 1 BTC를 담보로 추가로 예치해야 하고, 두 코인 모두 30일의 대기 기간 동안 잠긴다. 양자 공격이 실용화되기 전에 원래 소유자는 소유권 증명을 숨겨둔 별도의 양자 안전 지뢰를 만들어 둔다. 도둑이 취약한 출력을 움직이면 도난 코인과 담보가 함께 잠긴다. 이 기간 안에 소유자가 증명을 공개하면 코인을 되찾고 도둑의 담보까지 벌금처럼 가져간다. 이 비대칭이 핵심이다. 도둑은 자금을 건네기 전까지 어느 지갑에 함정이 숨어 있는지 알 수 없다. 필즈가 제시한 앨리스 시나리오에서 공격자는 해당 출력을 다시 쓰기 위해 30일을 전부 기다려야 하는 반면, 앨리스는 자신의 지뢰를 입력으로 포함해 잠긴 코인을 지출하며 증명을 공개한다.

잠자는 코인과 정직한 보유자

지뢰에는 명확한 한계가 있다. 키를 아직 쥐고 있는 소유자만 보호한다. 잃어버린 것으로 여겨지는 코인은 이 설계 바깥에 있다. 수년간 손대지 않은 사토시 나카모토의 보유분, 키를 잃었거나 아무 이유 없이 홀딩만 해온 코인이 모두 그렇다. 이 잠자는 공급을 위해 필즈는 경매 형태의 두 번째 메커니즘을 스케치했다. 네트워크의 경쟁자들이 취약 지갑에 미리 비공개 입찰을 걸고, 그 입찰 자체가 암호학적 함정으로 작동한다. 양자 도둑이 공격하면 최고 입찰자의 스마트 계약이 자동으로 발동해 표적 코인을 소각·파괴하고, 도둑이 예치한 담보는 몰수되어 최고 입찰자에게 현상금으로 지급된다. 경매는 지뢰가 못 채우는 공백을 메운다. 소유권을 입증할 사람이 없으면 공개할 증명도 없으므로, 표적을 파괴하면 도둑의 전리품 자체를 없애는 것이고 현상금은 함정을 설치해 기다리는 대신 걸게 만들 유인이 된다. 이 설계는 정직한 사용자에게도 요금을 청구한다. 블록체인은 양자 공격자와 진짜 소유자를 구분할 수 없으므로, 같은 규칙 아래 자기 자신의 1 BTC를 옮기는 데도 1 BTC의 담보가 또 필요하다. 전 재산이 오래된 지갑에 들어 있는 초창기 보유자, 이른바 1세대 고래는 이미 자신의 코인을 옮기기 위해서만 맞춤 자금을 마련해야 한다. 필즈는 한계를 스스로 밝혔다. 이 아이디어들은 사고 실험이고, 비트코인이 먼저 양자 안전 지갑을 갖춘다는 전제 위에 세워졌으며, 지뢰든 경매든 이를 강제하는 규칙은 아직 작성되지 않았다.

공격 비용 계산하기

이 제안이 나온 시점에 비트코인 생태계는 양자 대비를 두고 논의를 벌이고 있다. 지금까지의 논의는 대부분 남은 시간을 세는 방식이었다. Galaxy Digital은 비트코인 양자 대비 펀딩 프로그램에 500만 달러를 약속했고, 엔비디아의 지원을 받는 양자컴퓨팅 기업 PsiQuantum은 상업 운영을 향해 나아가고 있다. 필즈는 문제를 시점에서 인센티브 설계로 옮겨놓았다. 프로토콜이 공격을 단지 어렵게 만드는 게 아니라 비싸게 만들어야 하는지를 묻는 것이다. 우리의 판단으로는, 이 재편에는 구조적 문제가 남는다. 도둑의 담보를 몰수하는 어떤 규칙도 정당한 소유자에게 과세하는 꼴이 된다. 체인은 둘을 구분하지 못하기 때문이다. 코인 동결은커녕 소각에 대한 합의가 형성된 적은 단 한 번도 없다. 게시물의 어떤 것도 활성화되지 않았다. 개발자 리스트 위의 설계 논쟁이며, 그 실무적 무게는 이제 양자 안전 지갑 표준이 위협보다 먼저 도착하는가에 달려 있다.