G7의 양자 경고, 암호화폐는 한 번도 언급 안 했다

몇 달에 한 번씩 정부 사이버보안 문서가 나오고, 암호화폐 해설가들은 "encryption"이라는 단어를 읽은 뒤 비트코인의 부고를 또다시 쓰기 시작합니다. G7의 포스트 양자 경고가 최근 사례입니다. 하지만 원문 문서가 말하는 내용은 그 헤드라인들보다 더 좁고, 오히려 더 실용적입니다.

G7의 양자 경고는 실제로 비트코인에 적용될까?

아니요. 직접적으로는 아닙니다. 2026년 9월 3일 발행된 G7 Cyber Security Working Group의 Preparing for the Post-Quantum Era: A Call to Action 은 정부와 규제 대상 기관을 겨냥한 범용 암호학 문서입니다. 이 문서는 다섯 가지 우선순위를 제시하지만, cryptocurrency, blockchain, digital assets라는 표현은 한 번도 언급하지 않습니다. 비트코인과의 연결은 G7의 판단이 아니라 해설가들의 추론입니다.

빠른 답변: G7의 포스트 양자 문서들은 암호화폐 자체가 아니라 규제 대상 금융 부문에 경고합니다. 2026년 9월의 "Call to Action"과 2026년 1월 Cyber Expert Group 로드맵에는 Bitcoin, blockchain, digital assets에 대한 언급이 없으며, 최종 이전 목표 시점을 2035년으로 잡고 있습니다. 핵심 시스템은 대략 2030~2032년 전후에 다루는 일정입니다.

9월 문서는 영국 NCSC, 프랑스 ANSSI, 독일 BSI, 캐나다 CSE, 일본 NCO, 이탈리아 ACN이 공동 발표했고, 유럽위원회와 ENISA가 지원했습니다. 특정 원장에 대한 기술 평가라기보다 약 8쪽 분량의 국가 전략 지침에 가깝습니다 . 이 문서의 다섯 가지 우선순위는 대부분의 국가 PQC 실행 지침에서 반복되는 항목들과 같습니다.

• 인식 제고 — 리더십이 양자 위험을 IT의 부차적 문제가 아니라 거버넌스 이슈로 이해하게 한다.
• 국가 전략 — 국가 차원의 이전 일정을 발표하고 국경을 넘어 조율한다.
• 연구개발 — 포스트 양자 알고리즘과 구현 테스트 작업을 지속한다.
• 민관 협력 — 규제기관, 공급업체, 핵심 인프라 운영자 사이의 조율을 강화한다.
• 조달 — 새로 구매하는 시스템에 암호 민첩성을 요구해 기존 교체 주기에 맞춰 이전이 이뤄지게 한다.

G7이 명시한 위협 모델도 구체적이며, "누군가 당신의 비트코인을 훔친다"는 이야기가 아닙니다. CSE, BSI, ACN, ANSSI, CISA, NCSC/DSIT, 일본 NCO가 유럽위원회와 함께 2026년 6월 공동 발표한 이전 성명은 harvest now, decrypt later (HNDL)를 "a scenario, where adversaries store encrypted data for decryption once a cryptographically relevant quantum computer emerges"라고 정의합니다 . 이는 데이터 기밀성 문제입니다. 가로챈 트래픽, 보관된 기록, 저장된 계약 같은 것입니다. 두 번째로 지목된 위험은 인증입니다. 기반 수학이 깨질 수 있게 되면 디지털 서명된 계약에서 위조 서명이 가능해지는 문제입니다. 비트코인의 노출은 이 두 번째 범주에 속하며, HNDL과는 다른 경로로 발생합니다. 공개 블록체인은 무엇을 암호화하는 것이 아니라 서명을 공개하기 때문입니다.

"G7 양자 경고"로 가장 자주 인용되는 금융 부문 문서는 또 별도입니다. 2026년 1월 미국 재무부를 통해 발표되고 독일 분데스방크와 영국 정부에도 게재된, 조율된 포스트 양자 로드맵에 관한 G7 Cyber Expert Group 성명입니다 . CEG는 2015년부터 G7 사이버 정책을 조율해 왔으며, 미국 재무부 부차관보 Cory Wilson과 영국은행 집행이사 Duncan Mackinnon이 공동 의장을 맡고 있습니다 . 재무부의 설명은 다음과 같은 톤을 잡고 있습니다.

"The introduction of quantum computers that can break our encryption tools presents a significant risk to the safety and soundness of our financial ecosystem." — G7 Cyber Expert Group statement, U.S. Department of the Treasury, January 2026 (source: Treasury, 2026-01)

세 문서 전반의 실무 조언은 일관적이고 화려하지 않습니다. 먼저 암호 인벤토리를 만들라는 것입니다. 어떤 알고리즘이 어느 시스템에서, 어떤 공급업체를 통해, 어디에서 작동하는지 파악한 뒤, 이미 예산이 잡힌 교체 주기에 양자 안전 업그레이드를 끼워 넣으라는 내용입니다 . G7은 이를 긴급 패치가 아니라 천천히 진행되는 이전 작업으로 명확히 설명하면서, "unlike some cyber security threats which require rapid changes that can be disruptive and expensive, an advantage of PQC migration is its relatively long timeframe for implementation"라고 언급합니다 . 은행이라면 그 인벤토리 작업을 이번 분기에 바로 실행할 수 있습니다. 비트코인 보유자에게 그에 해당하는 단계는 아직 존재하지 않는 프로토콜 변경에 달려 있습니다. 이 가이드의 나머지는 바로 그 지점으로 이어집니다.

서로 다른 세 갈래의 G7 양자 작업 흐름 — 그리고 크립토 트위터는 이를 모두 뒤섞었다

단일한 "G7 양자 경고"는 없다. 서로 다른 세 기관이 서로 다른 날짜에 낸 세 문서가 하나의 헤드라인처럼 유통됐다. 2026년 6월 G7 사이버보안 워킹그룹의 마이그레이션 성명, 2026년 1월 G7 사이버 전문가 그룹의 금융권 로드맵, 그리고 2026년 9월 3일 G7 사이버보안 워킹그룹의 행동 촉구 문서다 . 이들은 대상 독자, 권위, 구속력에서 서로 다르다. 이 차이를 뒤섞은 탓에 조달 일정이 비트코인 비상사태처럼 바뀌었다.

2026년 6월 마이그레이션 성명이 실무 문서에 해당한다. 이 문서는 2026년 6월 1일 캐나다 CSE, 독일 BSI, 이탈리아 ACN, 프랑스 ANSSI, 미국 CISA, 영국 NCSC 및 DSIT, 일본 NCO가 유럽연합 집행위원회와 협력해 공동 발표했으며 , 이후 다른 문서들이 빌려 쓴 용어의 기준을 정했다. 암호학적으로 관련 있는 양자컴퓨터(CRQC)는 오늘날의 공개키 암호를 깨뜨릴 수 있는 기계를 뜻한다. 수집 후 나중에 복호화하는 공격(HNDL)은 본문에서 "a scenario, where adversaries store encrypted data for decryption once a cryptographically relevant quantum computer emerges"로 정의된다 . 암호 민첩성, 즉 시스템 전체를 다시 설계하지 않고도 암호 원시 요소를 교체할 수 있게 만드는 것이 권고되는 최종 상태다. 민간 부문의 마이그레이션 완료 시점은 국가별로 다르지만 "2030년대 중"으로 제시된다 .

2026년 1월 사이버 전문가 그룹 로드맵은 범위가 더 좁고, 규제 대상 금융권을 정면으로 겨냥한다. 미국 재무부가 발표했고 독일 분데스방크 와 영국 정부 도 같은 내용을 게시했으며, 미국 재무부 부차관보 코리 윌슨과 영란은행 집행이사 덩컨 매키넌이 공동 의장을 맡았다 . 중요한 점은 이 문서가 지침도, 규제 기대치도 설정하지 않는다는 것이다. 명시적으로 처방적 문서가 아니며, 대신 "시의적절하고 안전하며 조율된 전환"에 참고가 되도록 한다는 성격으로 제시된다 . CEG 자체는 2015년에 출범했으며 캐나다, 프랑스, 독일, 이탈리아, 일본, 영국, 미국 전반의 사이버 정책을 조율하고, EU는 세 기관을 통해 참여한다 .

2026년 9월 3일 행동 촉구 문서인 Preparing for the Post-Quantum Era가 현재 뉴스 흐름의 배경이다. 핵심 입장은 신중하다. 정확한 CRQC 일정은 여전히 불확실하며, 각 조직은 PQC 전환을 "가능한 한 빨리" 시작해야 한다는 정도다 .

네 번째 흐름도 혼선을 키웠다. 2025년에 설립되고 프랑스은행과 캐나다은행이 공동 의장을 맡은 G7 중앙은행 양자기술 워킹그룹은 첫 참고 보고서를 발표했다. 약 20쪽 분량으로, 분데스방크가 호스팅하며 파일 날짜는 2026년 5월 13일이고, 캐나다은행이 2026년 6월에 발표했다 . 이 발표에서 티프 매클럼 캐나다은행 총재가 말한 "With continuing advances in quantum computing, the window to being quantum-ready is narrowing"라는 문장은 실제 발언 시점으로부터 석 달 뒤인 9월의 행동 촉구 문서와 나란히 널리 인용됐다.

네 흐름을 모두 거쳐도 남는 핵심은 이렇다. 전문을 읽을 수 있는 모든 G7 1차 출처 페이지에는 비트코인, 암호화폐, 크립토자산, 블록체인, 분산원장기술이 언급되지 않는다. 범위는 은행, 보험사, 거래소, 결제 프로토콜, 벤더 공급망 전반의 암호 인프라다. 단, 한 가지 단서는 분명히 밝혀둘 필요가 있다. CEG 로드맵 PDF 자체는 재무부와 영국 미러 양쪽에서 압축 바이너리 형태로 반환됐기 때문에 , 읽을 수 있는 텍스트만으로는 문서 내부에 디지털 자산 언급이 없다고 단정할 수 없다. 비트코인으로 이어지는 해석은 논평가들이 끌어낸 추론이다. 그 추론이 여전히 합리적일 수는 있다. 다음 섹션에서 그 합리성을 따져본다. 그러나 그것은 G7의 공식 성명이 아니다.

비트코인을 깰 양자컴퓨터는 실제로 얼마나 가까이 왔을까?

오늘날 비트코인의 서명을 깰 수 있는 양자컴퓨터는 존재하지 않으며, 공개적으로 시연된 사례도 없다. 2026년에 달라진 것은 그런 컴퓨터를 만드는 데 드는 비용 추정치다. Google Quantum AI가 2026년 3월 31일 발표한 암호화폐 논문은 비트코인 소유권의 기반이 되는 가정, 즉 secp256k1 위의 256비트 타원곡선 이산로그 문제를 푸는 데 논리 큐비트 1,200개와 Toffoli 게이트 9,000만 개면 충분할 수 있으며, 다른 방식으로는 논리 큐비트 1,450개와 Toffoli 게이트 7,000만 개 이하로 가능할 수 있다고 추정한다 . 해당 논문이 전제한 초전도 방식 가정에서는 물리 큐비트 50만 개 미만으로 연산이 수분 안에 끝난다.

다만 이 숫자는 세 가지 단서를 함께 봐야 한다. 첫째, 논리 큐비트는 물리 큐비트가 아니다. 여러 개의 잡음 많은 물리 큐비트를 오류 보정으로 묶어 만든 추상 단위이며, 그 비율은 전적으로 어떤 오류 보정 구조와 물리 오류율을 가정하느냐에 달려 있다. 구글이 제시한 틀, 즉 논리 큐비트 약 1,200개에 물리 큐비트 50만 개 미만이라는 수치만 봐도 배율은 수백 배 수준이고, 다른 코드나 더 나쁜 오류율을 적용하면 그 숫자는 자릿수 단위로 달라질 수 있다. 둘째, 이는 작동하는 기계를 발표한 것이 아니라 회로 분석에서 도출한 공격 비용의 하한에 가까운 자원 추정치다. 셋째, 구글은 의도적으로 공격 회로를 공개하지 않았다. 영지식 증명을 사용해 자원 추정치는 공개하되 구체적인 구성은 숨겼고, 근거 없는 능력 과시가 암호화폐 시장에 해로운 소음을 만든다는 경고도 함께 내놓았다 .

이런 신중함은 비트코인 자체 표준화 과정에서 오가는 일정과 나란히 놓고 보면 다소 어색해 보인다. 2026년 2월 11일 배정되고 2026년 9월 8일 마지막으로 업데이트된 BIP-361 초안 Post Quantum Migration and Legacy Signature Sunset 제안은 암호학적으로 의미 있는 양자컴퓨터(CRQC)가 이르면 2027~2030년에 등장할 수 있다는 McKinsey 연구를 인용한다 . 이는 마이그레이션 일정을 정당화하기 위해 제안서 안에서 인용된 자료이지 독립적인 전망은 아니며, 공개된 범위 중에서도 공격적인 쪽에 놓여 있다.

공식 기관들은 훨씬 덜 구체적이다. G7 Cybersecurity Working Group이 2026년 9월 3일 발표한 Preparing for the Post-Quantum Era: A Call to Action 문서는 정확한 CRQC 시점은 여전히 불확실하다고 밝히면서도 조직들이 “가능한 한 빨리” 전환을 시작해야 한다고 권고한다 . NIST는 2024년 8월 13일 FIPS 203(ML-KEM), FIPS 204(ML-DSA), FIPS 205(SLH-DSA)를 승인했으며, 양자 공격에 취약한 알고리즘은 2035년까지 폐기 및 제거하고 고위험 시스템은 그보다 앞서 이전한다는 계획을 세우고 있다 . 두 기관 모두 깨지는 날짜를 못 박지는 않는다. 대신 마이그레이션 날짜를 제시한다.

"With continuing advances in quantum computing, the window to being quantum-ready is narrowing," — Tiff Macklem, Governor, Bank of Canada, announcing the G7 central banks' Quantum Technologies Working Group report (source: Bank of Canada, 2026-06).

종합하면 유용한 관점은 특정 날짜가 아니라 범위다. 기관들의 준비 목표는 가장 중요한 시스템의 경우 2030~2032년에, 광범위한 전환은 2035년에 모여 있다 . 공격적인 민간 부문 전망은 2027년까지 당겨진다. 구글의 기여는 “이론적으로 가능하다”와 “막대한 비용을 들이면 만들 수 있다” 사이의 공학적 간격을 좁혔지만, 그 간격을 완전히 닫지는 않았다. 비트코인 보유자에게 이 범위보다 더 중요한 구조적 사실이 있다. 다음 섹션에서 다루듯 노출은 체인 전체에 균일하지 않기 때문에, 언제라는 질문은 어떤 코인이라는 질문과 분리될 수 없다.

이미 양자 공격에 노출된 비트코인 주소는 무엇일까?

비트코인 주소는 공개키가 온체인에 나타나는 순간 양자 공격에 노출된다. 쇼어 알고리즘은 주소 해시가 아니라 키를 공격하기 때문이다. BIP-360은 노출을 두 가지 유형으로 나누며, 유통 공급량의 대략 3분의 1이 노출된 범주에 들어간다. BIP-361은 2026년 3월 1일 기준 전체 비트코인의 34% 이상이 온체인에서 공개키를 드러낸 상태였다고 기록한다 .

자신의 코인을 분류할 때 가장 깔끔한 기준은 BIP-360의 분류법이다. 이는 Pay-to-Merkle-Root 초안 버전 0.12.1이며, BIP 340, 341, 342를 요구한다 :

• 장기 노출(설계상 키가 무기한 보임): 원시 공개키를 담는 P2PK 및 멀티시그 출력, 32바이트 x-only 키 자체가 출력인 Taproot P2TR 출력, 그리고 이미 한 번 지출된 뒤 재사용된 모든 주소가 여기에 해당한다. 과거 체인 데이터와 무제한 시간이 있는 공격자는 이런 키를 오프라인에서 공략할 수 있다 .
• 단기 노출(지출 전까지 키가 숨겨짐): P2PKH, P2SH, P2WPKH, P2WSH 출력은 해시에만 커밋한다. 공개키는 지출 시점에 드러나므로 공격 가능 시간은 트랜잭션이 멤풀에 머무는 몇 초에서 몇 분이다. BIP-360은 P2MR이 장기 노출 공격만 완화하며, 단기 노출 공격을 완전히 막으려면 비트코인 자체에 양자 내성 서명이 필요할 수 있다고 명시한다 .
• 체인 밖 유출: 확장 공개키(xpub)와 월릿 디스크립터는 온체인 지출이 단 한 번도 없어도 계정 트리 전체의 양자 취약 공개키 정보를 넘겨줄 수 있다 .

여기서 Taproot는 따로 표시해둘 필요가 있다. 많은 보유자가 가진 직관을 뒤집기 때문이다. 최신이면 대체로 더 안전하다고 생각하기 쉽지만, 이 경우 BIP-340 Schnorr 출력은 32바이트 x-only 공개키를 직접 공개하며, 그 보안은 타원곡선 이산로그 문제의 어려움에 명시적으로 기대고 있다 . 바로 그 가정이 쇼어 알고리즘의 표적이다. 이 한 가지 축만 놓고 보면, 한 번도 지출된 적 없는 2013년식 P2PKH 주소가 새로 자금이 들어간 P2TR 주소보다 더 나은 위치에 있다.

대표 수치는 스캔마다 다르며, 그 차이는 체인에 대한 의견 불일치라기보다 방법론의 차이다. 블록 960,681(2026년 8월 2일)의 ChainQuery 스냅샷은 유통량 20,081,095 BTC 중 7,052,314 BTC가 노출됐다고 집계했다. 약 35.1%이며, 항상 노출되는 출력 유형에 1,934,419 BTC, 주소 재사용으로 노출된 물량에 5,117,895 BTC가 포함됐다. 2026년 6월 Bitcointalk에 올라온 다른 전체 체인 순회 결과는 블록 952,694 기준 5,071,264 BTC, 즉 25.3%를 보고했고, 지출된 P2SH 및 P2WSH 스크립트를 더 넓게 집계하면 약 34.55%로 올라갔다. 어느 쪽도 합의된 지표는 아니다. BIP-361의 수치 역시 제안에서 나온 것이며 방법론에 따라 달라진다고 설명된다 . 이 10%포인트 차이는 “대략 3분의 1”이라는 표현에 붙는 현실적인 오차 범위로 보는 편이 맞다.

실제로 대응할 가치가 있는 부분은 그 3분의 1 안의 분포다. 늘 노출되어 있는 레거시 범주에는 약 190만 BTC만 들어 있다. 흔히 이야기되는 사토시 시대 P2PK 코인이 여기에 해당한다. 더 큰 비중인 500만 BTC 이상은 지출 과정에서 키가 드러난 뒤 같은 주소가 계속 입금을 받으면서 노출된 것이다. 이것은 고고학적 문제가 아니다. 거래소, 결제 처리업체, 채굴 풀, 그리고 하나의 입금 주소를 공개하고 재사용하는 개인들이 만들어내는 문제이며, 매 블록마다 커진다. 주소 재사용은 활동 중인 사용자와 커스터디언 사이에서 현재 진행형인 운영 습관이다. 동시에 합의 변경을 기다리지 않고도 보유자가 오늘 줄일 수 있는 노출 범주라는 뜻이기도 하다.

BIP-360 vs BIP-361: 비트코인 개발자들이 실제로 제안한 것

비트코인의 두 가지 양자 이후 제안은 서로 다른 역할을 한다. BIP-360은 코인을 넣어둘 수 있는 양자 내성 공간을 만들고, BIP-361은 모두가 그곳으로 옮기도록 강제하는 방안을 제안한다. BIP-360, Pay-to-Merkle-Root (P2MR)는 Hunter Beast, Ethan Heilman, Isabel Foxen Duke가 작성했으며 2024년 12월 18일 배정됐다. 현재 버전 0.12.1, 상태는 Draft이며 BIPs 340, 341, 342가 필요하다 . 구조적으로는 양자에 취약한 키 경로 지출을 제거한 Taproot이며, SegWit witness version 2의 소프트포크로 배포될 수 있다. 두 제안 모두 메인넷에서 활성화되어 있지 않다.

대부분의 요약이 건너뛰는 핵심은 P2MR이 하지 않는 부분이다. BIP-360은 공개된 공개키에서 개인키를 도출하기 위해 공격자가 과거 체인 데이터와 무제한의 시간을 갖는 장기 노출 공격과, 트랜잭션이 멤풀에 머무는 동안에만 키가 보이는 단기 노출 "지출 시점" 공격을 구분한다. P2MR은 전자를 완화한다. BIP-360 자체도 단기 노출 공격에 대한 완전한 보호에는 비트코인 안의 양자 이후 서명이 필요할 수 있다고 인정한다 . 실제 PQ 서명 알고리즘인 ML-DSA와 SLH-DSA는 일부러 함께 묶지 않고 별도의 동반 BIP로 미뤄졌다.

이 문서는 2026년 2월 11일 PR #1670을 통해 bitcoin/bips 저장소에 병합됐으며, 139개 커밋이 포함됐다 . 병합은 활성화를 뜻하지 않는다. 병합은 그 문서가 공식 논의를 위한 BIP 편집 기준을 충족했다는 신호일 뿐이며, 합의도, 시그널링 기간도, 배포 일정도 의미하지 않는다.

BIP-361, Post Quantum Migration and Legacy Signature Sunset는 강제 집행에 해당하는 절반이다. 2026년 2월 11일 배정되고 2026년 9월 8일 마지막으로 업데이트된 이 제안은 아직 명시되지 않은 "TBD Post Quantum Signature BIP"에 의존하는 draft informational proposal이다. 즉, 아직 존재하지 않는 출력 유형을 전제로 한다 . 작동 방식은 두 단계다. Phase A는 활성화 후 대략 160,000블록, 약 3년 뒤 양자에 취약한 주소로 보내는 것을 금지한다. Phase B는 그로부터 2년 뒤 양자 안전 구조의 구제 프로토콜과 함께 ECDSA 및 Schnorr 지출을 더 엄격하게 제한한다 .

BIP-361은 그 결과를 숨기지 않고 직접 표시한다. Phase A가 취약한 스크립트 유형으로의 출력을 막기 때문에, 지원을 끝내 추가하지 않는 지갑은 결국 자금을 받을 수 없게 된다. 사토시의 것으로 널리 여겨지는 초기 P2PK 잔액을 포함한 휴면 레거시 코인은 사실상 지출할 수 없게 된다. 이를 마이그레이션할 사람이 존재하지 않기 때문이다. 여기서 곱씹어볼 구조적 핵심은 이것이다. 잃어버린 키는 누구도 업그레이드할 수 없으므로, 어떤 제안이 채택되든 노출의 일부는 영구적이다.

아직 풀리지 않은 문제는 복구다. BIP-361은 노출된 휴면 코인의 정당한 보유자가 양자에 취약한 키를 드러내지 않고 소유권을 증명할 수 있게 하는 구제 프로토콜을 제안한다. 유력한 제안은 영지식 복구 증명이다. 하지만 이는 제안됐을 뿐, 구현된 것은 아니다. BIP-361은 그런 프로토콜이 실제로 레거시 공급량의 어느 정도를 포괄할 수 있는지는 아직 알 수 없다고 명확히 말한다 . 이 간극이 닫히기 전까지 비트코인 앞에 놓인 선택은 기술적 문제가 아니라 정치적 문제다. 취약한 코인을 그대로 노출해둘 것인가, 동결할 것인가, 아니면 인내심 있는 소유자와 인내심 있는 공격자를 완전히 구분할 수 없는 구제 메커니즘을 받아들일 것인가.

의사결정 기준: 내 비트코인 보유분에는 얼마나 긴급한 문제인가?

비트코인 보유자마다 긴급도는 같지 않습니다. 긴급도는 세 가지 측정 가능한 변수, 즉 코인이 어떤 주소 유형에 보관되어 있는지, 공개키 자료가 이미 노출되어 있는지, 그리고 그 코인이 얼마나 오래 손대지 않은 채 남아 있을 가능성이 있는지에 따라 달라집니다. BIP-361은 2026년 3월 1일 기준 전체 비트코인의 34% 이상이 온체인에서 공개키를 드러냈다고 보고합니다 . 다만 이는 합의된 지표라기보다 제안서에 근거한, 방법론에 따라 달라지는 수치입니다. 실제로 중요한 질문은 내 코인이 그 비중 안에 들어가는지, 그리고 앞으로 몇 년이나 그 상태로 남아 있을지입니다.

기준 1 — 주소 유형. BIP-360은 출력 유형에 따라 취약성을 분류합니다. P2PK와 P2TR은 출력 안에서 공개키를 직접 노출하므로 장기 노출에 취약합니다. P2PKH, P2SH, P2WPKH, P2WSH는 지출이 발생하거나 스크립트가 키를 드러내기 전까지는 노출되지 않습니다. 재사용된 주소는 첫 지출 이후 취약해집니다 . 잔액이 레거시 P2PK 출력, 이미 키를 공개한 멀티시그 스크립트, 또는 한 번 지출한 뒤 다시 입금한 주소에 있다면 노출 시계는 이미 돌아가고 있으며, 이후의 지출 여부가 그 사실을 바꾸지는 않습니다. 한 번도 지출되지 않은 P2WPKH 잔액은 다른 범주에 속합니다. 키가 보이려면 먼저 내 거래가 멤풀에 도달해야 하는데, BIP-360은 이를 단기 노출 공격이라고 부르며 P2MR이 이를 완화하지 못한다고 명시합니다 .

기준 2 — 수탁 방식. 셀프 커스터디라고 해서 자동으로 노출 위험이 낮아지는 것은 아닙니다. BIP-360은 xpub과 지갑 디스크립터가 양자 공격에 취약한 공개키 정보를 유출할 수 있다고 지적합니다 . 즉 확장 공개키를 포트폴리오 추적기, 블록 익스플로러의 보기 전용 가져오기, 세금 도구 등에 붙여넣으면, 아직 거래한 적 없는 주소까지 포함해 파생된 모든 주소의 키 자료가 한꺼번에 노출될 수 있습니다. 수탁 보관의 경우 문제는 반대입니다. 키 관리는 전문적으로 이루어질 수 있지만 외부에서는 감사할 수 없습니다. 거래소의 출력 유형 분포나 주소 재사용 정책을 직접 확인할 수 없으므로, 수탁 보관의 긴급도는 온체인 문제가 아니라 거래상대방 실사 문제입니다. Ledger의 2026년 6월 SDK는 ML-KEM 및 ML-DSA API를 추가했습니다 . 또한 Trezor는 Safe 7이 펌웨어 검증에 SLH-DSA-128을, 기기 증명에 ML-DSA-44를 사용한다고 밝히면서도, 암호자산을 완전히 보호하려면 여전히 블록체인 업그레이드가 필요하다고 설명합니다. 기기 수준의 강화는 실제로 의미가 있지만, 체인 수준의 보호는 아닙니다.

기준 3 — 규모와 보유 기간. 여기서 비대칭성은 구조적입니다. BIP-361이 제안한 Phase A는 활성화 후 160,000블록, 대략 3년 동안 진행된 뒤 양자 취약 주소로의 전송을 금지하고, Phase B는 그로부터 2년 뒤 도입됩니다 . 아직 아무것도 활성화되지 않았으므로, 이 5년짜리 시계는 시작조차 하지 않았습니다. 분기마다 지갑을 확인하는 보유자라면 그런 기간 안에서 충분히 대응할 수 있습니다. 반면 이미 키를 공개한 주소 유형에 코인을 넣어두고 10년 동안 콜드 스토리지에서 손대지 않을 보유자는 선택권 없이 위험의 전체 기간을 떠안게 됩니다. 휴면 코인이나 분실 코인은 누구도 이전할 수 없습니다.

• 긴급도 높음: P2PK, P2MS 또는 재사용 주소에 큰 잔액이 있음; xpub을 제3자 서비스와 공유함; 보유 기간이 몇 달이 아니라 몇 년 단위임.
• 긴급도 보통: 주소 유형이 섞여 있고 일부 지출 이력이 있으며, 사용은 활발하지만 빈번하지 않음; 무엇보다 먼저 어떤 UTXO가 키를 드러냈는지 감사해야 함.
• 긴급도 낮음: 새로 생성된, 한 번도 지출되지 않은 P2WPKH 또는 P2TR 출력; 주소 재사용 없음; 공개된 디스크립터 없음; 향후 이전 기간이 열렸을 때 대응할 수 있을 만큼 시장에 계속 참여하는 거래 주기.

사용자 관점에서 보면 결론은 직관과 다릅니다. 새 수신 주소를 계속 사용하며 자금을 순환시키는 활발한 트레이더는 인내심 있는 장기 보유자보다 장기 노출 위험이 실질적으로 낮습니다. 잦은 로테이션은 단일 공개키가 온체인에 공개된 채 머무는 시간을 줄이고, 적극적으로 관리하는 보유자는 이전 경로가 생겼을 때 대응할 수 있습니다. 더 위험한 프로필은 2013년 이전 시대의 주소에 코인을 두고 10년 동안 움직이지 않은 규율 있는 저축자입니다. 지난 15년 동안 비트코인 문화가 권장해 온 바로 그 행동입니다.

지금 실제로 해야 할 일: 단계별 마이그레이션 체크리스트

가장 먼저 할 일은 암호학적으로 의미 있는 양자컴퓨터가 언제 등장할지에 베팅하는 것이 아니라, 내 주소 사용 이력을 점검하는 것입니다. 오늘 통제할 수 있는 변수는 공개키 노출입니다. BIP-360은 공개키가 출력에 그대로 보이는 P2PK와 P2TR 출력을 장기 노출 취약 유형으로 분류합니다. 반면 P2PKH, P2SH, P2WPKH, P2WSH는 지출 과정에서 키가 공개된 뒤에야 취약해지며, 재사용된 주소는 첫 지출 시점부터 노출된 것으로 봅니다 . 아래 항목은 모두 프로토콜 변경 없이 지금 바로 실행할 수 있습니다.

1단계 — 인벤토리 작성(이번 주에 하기). 지갑 별칭이 아니라 노출 유형을 기준으로 내 출력을 하나씩 확인하고 라벨링하세요.

• P2PK 출력이나 Taproot 키 경로 출력에 남아 있는 UTXO를 표시하세요. 공개키가 이미 공개된 상태입니다 .
• 한 번 이상 지출에 사용한 주소를 모두 표시하세요. 공개된 키 뒤에 남은 거스름돈 잔액도 같은 범주에 들어갑니다.
• 확장 공개키와 지갑 디스크립터가 어디로 전달됐는지 확인하세요. 블록 익스플로러, 세금 도구, 감시 전용 앱 등이 대상입니다. BIP-360은 xpub와 디스크립터가 양자 취약 공개키 정보를 유출할 수 있다고 지적합니다 .
• 옮길 수 있는 코인과 옮길 수 없는 코인을 분리하세요. 분실한 키에 묶인 코인은 누구도 영구적으로 마이그레이션할 수 없으며, 이는 향후 어떤 수정안이 커버할 수 있는 노출 공급량에도 상한을 만듭니다.

2단계 — 추적하되, 이를 근거로 매매하지 않기. BIP-360은 PR #1670을 통해 2026년 2월 11일 bitcoin/bips 저장소에 병합됐고, 이 PR에는 139개 커밋이 포함됐습니다 . BIP-361도 같은 날 번호가 배정됐으며 2026년 9월 8일에 마지막으로 업데이트됐습니다 . 둘 다 여전히 초안 상태입니다. BIP-361의 단계별 시계, 즉 약 3년에 해당하는 160,000블록의 Phase A와 그 2년 뒤의 Phase B는 아직 발생하지 않은 활성화 시점부터 계산되며, 제안 자체도 아직 구체화되지 않은 "TBD Post Quantum Signature BIP"에 의존합니다 . 아직 선택해 참여할 수 있는 것은 없습니다. 초안을 기준으로 보유 구조를 바꾸기보다 검토 알림을 설정해두는 편이 낫습니다.

3단계 — 기관권의 일정 감각을 빌리기. 규제 금융권이 이미 맞춰 움직이는 날짜는 개인에게도 합리적인 일정표가 됩니다. NIST는 2024년 8월 13일 FIPS 203(ML-KEM), FIPS 204(ML-DSA), FIPS 205(SLH-DSA)를 승인했고, 지금부터 마이그레이션을 시작하라고 권고합니다. 양자 취약 알고리즘은 2035년까지 폐기 및 제거하며, 고위험 시스템은 그보다 앞서 처리하라는 방향입니다 . G7 사이버 전문가 그룹 로드맵도 같은 형태를 취합니다. 2035년을 최종 목표로 두되, 가장 중요한 시스템은 2030~2032년 전후에 다루는 방식입니다 . 2026년 6월 G7 마이그레이션 성명은 완료 시점을 국가별로 다르게 잡되 "2030년대 중"으로 설명합니다 . 실무적으로는 중요하다고 부를 만한 자산은 2030년에 점검하고, 나머지는 2035년을 기준점으로 삼으면 됩니다.

4단계 — 주소 형식이 아니라 지출 습관을 바꾸기. 오늘의 주소 형식 사이에서 코인을 옮긴다고 해서 포스트 양자 안전 상태가 되는 것은 아닙니다. 체인에는 아직 양자 안전 지출 경로가 없기 때문입니다. 실제로 도움이 되는 것은 통합에 대한 절제입니다. 일괄 통합은 여러 공개키를 한 거래에서 드러내므로, 모든 통합을 영구적인 노출 결정으로 취급하고 이미 공개된 키로 자금을 다시 보내지 마세요. 그 외에는 펌웨어를 최신 상태로 유지하고, 사용 중인 벤더가 업그레이드 가능한 프리미티브를 지원하는지 확인하세요. Ledger의 2026년 6월 SDK는 ML-KEM 및 ML-DSA API를 추가했습니다 . Trezor의 Safe 7은 펌웨어 검증에 SLH-DSA-128을, 기기 증명에 ML-DSA-44를 사용하면서도, 암호자산을 완전히 보호하려면 여전히 블록체인 업그레이드가 필요하다고 명확히 밝히고 있습니다 . 기기 수준의 강화는 실제로 출시되고 있지만, 체인 수준의 보호는 아직 아닙니다.

무엇이 문제가 될 수 있나: 선셋 논란과 남은 위험

비트코인의 양자 논쟁에서 가장 큰 미해결 위험은 공격이 아니라 방어입니다. BIP-361이 제안한 레거시 서명 선셋은 설계상, 소유자가 이전하지 않는다면 양자 취약 출력에 남아 있는 코인을 사용할 수 없게 만듭니다. 활성화 후 약 160,000블록, 즉 약 3년 뒤의 Phase A에서는 양자 취약 주소로 보내는 것을 금지하고, 그로부터 2년 뒤 Phase B에서는 양자 안전 구조 프로토콜 뒤로 ECDSA와 Schnorr 지출을 더 엄격히 제한합니다 . 휴면 코인이나 분실 코인은 누구도 이전할 수 없으므로, 사토시 시대 보유분이 포함될 가능성이 있는 공급량 일부가 공격자에게 탈취되는 것이 아니라 프로토콜 규칙에 의해 동결될 수 있습니다. BIP-361 자체도 구조 프로토콜이 실제로 얼마나 많은 레거시 공급량을 포괄할 수 있을지는 아직 알 수 없다고 인정합니다 .

두 번째 위험은 개념을 빌려오는 방식에 있습니다. G7의 마이그레이션 성명은 harvest-now-decrypt-later를 “암호학적으로 의미 있는 양자 컴퓨터가 등장하면 복호화하기 위해 적대자가 암호화된 데이터를 저장해 두는 시나리오”로 정의합니다 . 이 모델은 저장된 암호문을 전제로 합니다. 공개 블록체인에는 복호화할 암호문이 없습니다. 대신 미래의 공격자가 서명을 위조할 수 있는, 영구 공개된 공개키가 있습니다. 실무적 결론은 체인을 양자 후 서명으로 전환하면 앞으로의 원장 무결성은 보호할 수 있지만, 이미 체인에 기록된 키를 소급해 비공개 상태로 되돌릴 수는 없다는 점입니다. 그래서 노출은 한 방향으로만 누적되며, 마이그레이션도 프로토콜 패치로 일괄 적용되는 것이 아니라 보유자가 직접 시작해야 합니다.

세 번째 위험은 숫자 자체입니다. 하드웨어 일정과 노출 공급량 수치는 모두 방법론에 따라 크게 달라지므로, 단일 숫자를 내세운 제목은 신중하게 봐야 합니다. Google Quantum AI가 2026년 3월 31일 제시한 추정, 즉 secp256k1에서 ECDLP-256을 깨는 데 논리 큐비트 1,200개 이하와 Toffoli 게이트 9,000만 개가 필요할 수 있다는 내용은 더 낮은 이론적 공격 비용을 의미할 뿐, 그런 기계가 존재한다는 발표가 아닙니다. 또한 Google은 전체 공격 회로를 공개하는 대신 영지식 증명 방식의 공개를 사용했습니다 . 노출 측면에서도, 2026년 3월 1일 기준 전체 비트코인의 34% 이상이 온체인에서 공개키를 드러냈다는 BIP-361의 수치는 제안서에서 나온 것이며 방법론에 좌우되는 값이지, 합의된 지표가 아닙니다 . “노출”을 어떻게 정의하느냐에 따라, 재사용 주소를 포함할지, 미사용 P2PK 출력을 포함할지, 유출된 디스크립터를 포함할지에 따라 그 숫자는 어느 방향으로든 몇 퍼센트포인트씩 움직일 수 있습니다.

마지막으로, 여기서 확정된 것은 없습니다. BIP-360은 2026년 2월 11일 PR #1670을 통해 bitcoin/bips 저장소에 병합되었지만, 병합은 해당 문서가 공식 논의를 위한 BIP 기준을 충족한다는 신호일 뿐입니다 . 메인넷 활성화는 없고, 양자 후 서명 알고리즘은 의도적으로 동반 BIP로 미뤄졌으며, BIP-361도 아직 지정되지 않은 “TBD Post Quantum Signature BIP”에 의존하고 있습니다 . 오늘 수립하는 모든 마이그레이션 계획은 Bitcoin Core 합의가 실제로 양자 후 출력 유형을 활성화하기 전까지는 잠정안입니다.

구체적인 결론은 이렇습니다. 지금은 위생 관리의 문제로, 나중에는 합의의 문제로 다뤄야 합니다. 새 공개키 노출을 더 만들지 마세요. 주소를 재사용하지 말고, 불필요하게 xpub이나 디스크립터를 공유하지 마세요. 이것이 오늘 할 수 있는 유일한 조치이며, 미래의 소프트포크에 의존하지 않습니다. 하드웨어 펌웨어를 최신 상태로 유지하고, 업그레이드 가능한 암호 프리미티브를 제공하는 벤더를 선호하며, 양자 후 출력 유형이 초안 상태를 넘어 활성화 논의 단계에 도달했을 때 계획을 다시 검토하세요. G7의 일정, 즉 중요 시스템은 2030~2032년 무렵, 광범위한 마이그레이션은 2035년까지라는 기준은 규제 금융을 설명하는 것이지 당신의 지갑을 설명하는 것이 아닙니다 . 당신 지갑의 시계는 비트코인의 시계가 시작될 때 함께 시작됩니다.

자주 묻는 질문

G7의 2026년 양자 경고에 비트코인이나 암호화폐가 언급되나요?

아닙니다. 전문을 읽을 수 있는 모든 G7 1차 문서, 즉 2026년 9월 3일 사이버보안 워킹그룹의 “포스트 양자 시대 준비: 행동 촉구” , 2026년 6월 1일 공동 전환 성명 , 그리고 2026년 1월 발표된 사이버 전문가 그룹의 금융 부문 로드맵 어디에도 Bitcoin, cryptocurrency, crypto-asset, blockchain, distributed ledger technology라는 단어는 나오지 않습니다. 이 문서들은 은행, 보험사, 거래소, 결제 프로토콜, 벤더 공급망의 암호화 인프라를 다룹니다. 단, 한 가지 유의할 점이 있습니다. 로드맵 PDF 자체는 미 재무부와 영국 미러 양쪽에서 압축된 바이너리 형태로 반환됐기 때문에, 문서 내부 언급 가능성을 직접 판독으로 완전히 배제할 수는 없습니다. 암호화폐라는 해석은 일반적인 포스트 양자 암호 전환 지침을 두고 논평자들이 끌어낸 추론이지, 디지털 자산에 대한 G7의 공식 성명이 아닙니다.

현재 양자 공격에 취약한 비트코인은 얼마나 되나요?

공개된 추정치는 대체로 유통 공급량의 약 25~35% 사이에 모여 있으며, 이 차이는 사실관계 다툼이라기보다 방법론 차이에서 나옵니다. BIP-361은 2026년 3월 1일 기준 전체 비트코인의 34% 이상이 온체인에서 공개키를 드러냈다고 설명합니다 . 이는 제안서에 근거한 수치이지, 합의된 지표는 아닙니다. 더 낮은 추정치와 더 높은 추정치는 주로 재사용된 P2SH 및 P2WSH 출력, 과거에 이미 소비된 P2SH 및 P2WSH 출력을 어떻게 처리하느냐에서 갈리며, 체인에서 보이는 원시 키 집합 자체에 대한 차이는 아닙니다. 실무적으로는 공급량의 상당한 소수 지분이 장기 노출 영역에 놓여 있다고 보는 편이 맞고, 어떤 단일 숫자도 권위 있는 기준처럼 취급해서는 안 됩니다. 또한 휴면 코인이나 분실 코인은 누구도 이전할 수 없으므로, 그 노출의 일부는 프로토콜이 무엇을 채택하든 영구적으로 남습니다.

BIP-360과 BIP-361은 무엇이 다른가요?

두 제안은 같은 문제의 서로 다른 절반을 해결합니다. BIP-360 “Pay-to-Merkle-Root (P2MR)”는 원래 “Pay-to-Quantum-Resistant-Hash”라는 제목이었고, Hunter Beast, Ethan Heilman, Isabel Foxen Duke가 작성했으며, 2024년 12월 18일 배정된 버전 0.12.1 문서입니다 . 이 제안은 취약한 키 경로 지출을 제거한 Taproot, 즉 더 양자 안전한 새 출력 유형을 정의하며, SegWit witness version 2의 소프트포크로 배포할 수 있습니다. BIP-361 “Post Quantum Migration and Legacy Signature Sunset”은 2026년 2월 11일 배정되고 2026년 9월 8일 업데이트된 문서로, 그런 출력 유형이 이미 존재한다고 가정한 전환 일정을 정의합니다. 활성화 후 160,000블록, 대략 3년 뒤인 Phase A에서는 양자 취약 주소로 보내는 것을 금지하고, 그로부터 2년 뒤인 Phase B에서는 ECDSA와 Schnorr 지출을 더 엄격히 제한합니다 . 둘 다 Draft 상태입니다. BIP-360은 2026년 2월 11일 PR #1670을 통해 bitcoin/bips 저장소에 병합되었습니다 . 하지만 병합은 이 문서가 공식 논의를 위한 BIP 기준을 충족했다는 뜻일 뿐, 메인넷 활성화를 의미하지는 않습니다.

양자컴퓨터가 실제로 비트코인 서명을 깰 수 있는 시점은 언제인가요?

공개적으로 확인된 암호학적으로 유의미한 양자컴퓨터는 아직 없고, 어떤 공식 기관도 특정 날짜를 확정하지 않았습니다. Google Quantum AI의 2026년 3월 암호화폐 논문은 secp256k1에서 ECDLP-256을 깨는 데 논리 큐비트 1,200개 이하와 최대 9,000만 개의 Toffoli 게이트, 또는 논리 큐비트 1,450개와 최대 7,000만 개의 Toffoli 게이트가 필요할 수 있다고 추정합니다. 제시된 초전도 가정 아래에서는 물리 큐비트 50만 개 미만으로 몇 분 안에 실행 가능하다는 계산입니다 . 이는 가상의 공격에 대한 더 낮은 자원 추정치이지, 그런 하드웨어가 만들어졌다는 발표가 아닙니다. Google은 전체 공격 회로를 공개하는 대신 영지식 증명 방식의 공개를 사용했습니다. BIP-361이 인용한 업계 전망은 그 시점을 2020년대 후반으로 보지만, G7 사이버보안 워킹그룹은 일정이 여전히 불확실하다고 명확히 밝히며 가능한 한 빨리 전환을 시작하라고 권고합니다 . 기준점으로 보면, NIST는 양자 취약 알고리즘의 폐기와 제거를 2035년까지 진행할 계획이며, 고위험 시스템은 더 이르게 움직입니다 .

오늘 보유한 비트코인은 어떻게 해야 하나요?

아직 확정되지 않은 제안보다, 내가 통제할 수 있는 기본 위생에 집중해야 합니다. 주소 재사용을 중단하세요. 재사용된 주소는 첫 지출 이후 공개키가 노출됩니다. 보유분이 장기 노출 출력 유형에 있는지 확인하세요. 여기에는 P2PK, bare multisig, 재사용 주소, 이미 온체인에서 키가 보이는 Taproot 출력이 포함되며, BIP-360은 이 범주들을 장기 노출 공격에 취약한 것으로 분류합니다 . xpub과 지갑 descriptor를 불필요하게 공유하지 마세요. 양자 취약 공개키 정보가 유출될 수 있습니다. 하드웨어 펌웨어는 최신 상태로 유지하세요. Ledger의 2026년 6월 SDK에는 ML-KEM 및 ML-DSA API가 추가됐고, Trezor Safe 7은 펌웨어 검증에 SLH-DSA-128, 기기 attestation에 ML-DSA-44를 사용합니다 . 다만 Trezor도 암호자산을 완전히 보호하려면 결국 블록체인 차원의 업그레이드가 필요하다고 설명합니다. 오늘 존재하는 주소 유형 사이에서 코인을 옮기는 것만으로는 포스트 양자 안전성이 생기지 않습니다. BIP-360과 BIP-361의 상태를 추적하고, 둘 중 하나가 활성화 논의에 들어가면 계획을 다시 점검하세요.