BIP-360과 움직일 수 없는 비트코인

서론

비트코인을 양자내성 출력으로 옮기려면, 양자컴퓨터가 뚫을 수 있는 바로 그 키로 타원곡선 서명을 만들어야 한다. 모든 마이그레이션 계획의 한복판에 있는 구조적 함정이 바로 이것이다. 가장 심각하게 노출된 코인은 소유자가 부재한 코인들인데, 부재한 소유자는 스윕 트랜잭션에 서명할 수 없다. 지갑 툴링을 아무리 개선하고 거래소들이 조율하고 클라이언트 측 업그레이드 작업을 아무리 해도 이 현실은 바뀌지 않는다. 이런 코인들을 프로토콜 차원에서 처리하려면 사용자 행동이 아니라 컨센서스 차원의 결정이 필요하다.

Project Eleven CEO 알렉스 프루든(Alex Pruden)은 2026년 5월 초 Consensus Miami에서 이 조율 문제를 공개적으로 제기했고, 그의 논지는 이 문제 전체를 이해하는 데 하나의 준거점이 된다. 이번 마이그레이션은 탭루트보다 어려울 것이라는 것이다. 탭루트는 옵트인 방식이었고 부분적 채택만으로도 충분했지만, 포스트퀀텀 마이그레이션은 사실상 모든 사람이 참여해야만 보안상의 이득을 얻을 수 있다. 그는 탭루트 도입에 약 5년이 걸렸다는 점을 기준점으로 제시하면서, 비트코인은 하드웨어 발전의 타임라인이 확정되기 전에 포스트퀀텀 서명 방식을 연구 단계에서 프로덕션 단계로 옮겨야 한다고 주장했다. 이는 확신에 찬 예측이 아니라 비대칭적 리스크에 근거한 논리다.

이 주제에 대한 우리의 취재는 2026년 5월 초까지이며, 주제가 요구하는 만큼 두텁지는 못하다. BIP-360이 2025년 양자내성 탭루트 스타일 출력 유형을 추가하기 위해 제안된 것은 확인된 사실이다. 다만 2026년 2월 Bitcoin Core로의 머지, 후속 마이그레이션 BIP의 구체적인 단계별 구성, secp256k1을 깨는 데 필요한 자원 추정치를 낮췄다는 2026년 구글 퀀텀 AI의 결과, 이더리움의 전담 포스트퀀텀 팀에 관한 주장들은 1차 문서로 검증할 수 없었다. 이런 내용들은 미확인으로 처리하고 메커니즘에 근거해 추론하며, 해당되는 대목마다 공백을 명시한다. 공개키 노출, 스윕 트랜잭션, 블록 무게, UTXO 모델의 작동 방식은 프로토콜 자체에서 검증 가능하며, 이 마이그레이션이 어디서 깨지는지를 보여준다.

노출은 균일하지 않으며, 문제의 핵심은 공개키다

1994년 발표된 쇼어 알고리즘이 이 문제를 이론적 추상이 아니라 살아 있는 엔지니어링 과제로 만드는 이유다. 충분한 성능의 양자컴퓨터가 이 알고리즘을 돌리면 secp256k1 같은 타원곡선 상의 공개키로부터 개인키를 도출할 수 있다. 따라서 위험에 처한 자산은 주소가 아니라 공개키이며, 비트코인의 출력 유형들은 공개키를 노출하는지 여부에서 차이가 난다.

여기서 세 가지 범주가 중요하다. Patoshi 채굴 패턴과 연관된 코인베이스 출력을 포함한 초기 pay-to-public-key 출력은 스크립트 자체에 원시 공개키를 담고 있다. 이 코인들은 2009년부터 훤히 노출된 채로 놓여 있었다. pay-to-public-key-hash와 그 witness 변형은 미사용 상태에서는 키의 해시만 공개하지만, 소비되는 순간 키를 드러낸다. 따라서 소비된 적이 있고 이후 재사용된 주소는 완전히 노출된 상태다. 탭루트 출력은 32바이트 트윅된 공개키를 scriptPubKey에 직접 커밋하는데, 이는 미사용 탭루트 출력이 애초부터 공개키가 노출되어 있다는 뜻이다. 가장 최근에 설계되어 널리 쓰이는 출력 유형이 이 기준에서는 오히려 가장 보호가 취약한 축에 속한다.

해시 기반 보호는 겉보기보다 약하다. 이는 영구적인 비밀성을 제공하는 게 아니라, 소유자가 소비를 시도하는 순간까지만 유효한 지연에 불과하다. 소비 트랜잭션은 같은 메시지 안에서 공개키와 서명을 동시에 드러내고, 이 메시지는 확정되기 전까지 일정 시간 동안 멤풀에 머문다. 프루든은 이로 인해 발생하는 경쟁 상황을 이렇게 설명했다. 암호학적으로 의미 있는 성능의 양자컴퓨터가 존재하게 되면, 멤풀을 지켜보던 공격자가 드러난 공개키로부터 개인키를 도출하고, 자신에게 지불하는 경쟁 트랜잭션을 만들어 더 높은 수수료를 붙여서 정당한 소유자보다 먼저 블록에 포함시킬 수 있다는 것이다. 방어 가능한 시간은 확정 간격 한 번뿐이며, 공격자의 키 복구 시간이 짧아질수록 이 시간은 더 줄어든다.

이 메커니즘은 마이그레이션 시점 설정에 즉각적인 함의를 갖는다. 양자컴퓨터의 존재가 알려진 뒤에야 서둘러 코인을 양자내성 출력으로 스윕하려는 보유자는, 공격자가 지켜보고 있는 바로 그 순간에 공격자가 필요로 하는 정보를 그대로 방송하는 셈이 된다. 스윕은 키 복구가 아직 실현 불가능한 동안에 이루어져야 하며, 이는 마이그레이션 타이밍이 실제 공격의 증거로 정해질 수 없다는 뜻이다. 예측에 따라 정해져야 하는데, 이 예측 자체가 논쟁의 대상이다.

프루든은 비트코인 코어 개발자들의 이 위협에 대한 정서가 단일하지 않고 엇갈린다고 설명했다. 일부 기여자는 실용적인 양자컴퓨터가 결코 등장하지 않을 것이라 믿는 반면, 그가 전한 물리학자들 다수의 견해는 등장할 것이며 그 시점이 앞당겨지고 있을 수도 있다는 쪽이다. 이 의견 불일치는 사소한 디테일이 아니다. 하드웨어 발전에 대한 확률 분포가 주된 근거인 마이그레이션은 기술적 논증만으로는 명확한 마감시한을 만들어낼 수 없고, 비트코인에는 다른 방식으로 마감시한을 강제할 메커니즘이 없다.

옵트인 출력 유형이 해결하는 것과 해결하지 못하는 것

2025년 제안된 BIP-360의 핵심은 Schnorr나 ECDSA가 아니라 포스트퀀텀 서명 방식으로 소비를 인증하는 새로운 출력 유형이다. 개념적으로 보면 이는 문제의 절반, 즉 다룰 수 있는 절반에 해당한다. 새로운 출력 유형 추가는 익숙한 종류의 소프트포크다. 업그레이드하지 않은 노드는 새 유형에서 나온 소비를 기존 규칙 하의 anyone-can-spend로 간주하고, 실제 조건 집행은 업그레이드된 노드에 맡긴다. SegWit과 탭루트를 출시했던 것과 같은 패턴이다. 기존 UTXO는 아무것도 바뀌지 않는다. 새 유형을 쓰고 싶은 지갑은 쓰고, 원치 않는 지갑은 쓰지 않는다.

우리는 현재 스펙 문서 자체는 검토할 수 없었고, 정확한 방식 선정, 스크립트 포맷, 활성화 메커니즘은 우리가 감추고 있는 확정 사실이 아니라 취재상의 공백으로 남아 있다. 확인된 부분은 암호학적 선택의 큰 틀이다. NIST는 해시 함수 기반과 격자 기반의 포스트퀀텀 서명 계열을 표준화했고, 알려진 바로는 비트코인 개발자 논의는 해시 기반 쪽으로 기울고 있다. 구체적인 이유는 우리 취재원에는 없지만, 일반적인 트레이드오프는 암호학 문헌에서 잘 알려져 있다. 해시 기반 구성은 더 새롭고 구조화된 격자 문제보다 더 약하고 오래된 해시 함수 보안 가정에 의존하는 대신, 서명 크기가 크고 일부 구성에서는 상태 관리(statefulness)로 인해 키 관리가 복잡해진다는 대가를 치른다. 실패가 돌이킬 수 없는 프로토콜에서 가정에 대해 보수적으로 접근하는 것은 정당화될 수 있는 우선순위다.

Blockstream은 이미 Liquid 네트워크에 해시 기반 서명 방식을 배포했고, 이는 이 논의에서 흔치 않은 것을 제공한다. 실제 가치를 담고 포스트퀀텀 방식으로 돌아가는 프로덕션 시스템에서의 관측 가능한 운영 데이터다. Liquid는 연합형 사이드체인으로 비트코인 베이스 레이어와는 신뢰 구조와 처리량 프로필이 크게 다르기 때문에 메인넷 수수료 시장이나 블록 무게에 관한 질문에는 답할 수 없다. 다만 구현 성숙도, 서명 성능, 키 관리 모델이 커스터디 운영과 실제로 맞부딪혔을 때 버텨내는지에 관한 더 좁은 질문에는 답할 수 있다.

옵트인 출력 유형이 풀 수 없는 부분은 커버리지다. 양자내성 출력으로 옮겨지지 않은 코인은 계속 노출된 상태로 남고, 새 출력 유형을 도입하는 소프트포크 자체는 코인을 움직이게 만드는 아무 힘이 없다. 기존 UTXO 세트의 마이그레이션은 별개의 정치경제학을 가진 별개의 문제이고, 여기서 레거시 출력 유형의 단계적 폐지 제안들이 등장한다. 우리 취재원에는 이런 제안의 구체적인 단계 구성이 나와 있지 않으며, 이를 임의로 재구성하지는 않겠다. 분명히 짚어야 할 메커니즘상의 요점은, 진정한 의미의 폐지란 결국 ECDSA와 Schnorr 소비를, 그 자체로는 유효한데도 거부하는 컨센서스 규칙을 의미한다는 것이다. 이것이 프로토콜이 가진 유일한 집행 수단이며, 남겨진 것의 소비 가능성을 영구히 파괴한다.

옵트인은 남겨진 코인이 모두의 문제가 되기 전까지만 통한다

탭루트의 부분적 채택이 용인될 수 있었던 이유는 채택하지 않은 데 따르는 비용이 온전히 미채택자 본인에게 돌아갔고, 그 비용도 크지 않았기 때문이다. 트랜잭션이 조금 더 크고, 스크립트 경로 프라이버시가 없고, 키 집계가 안 되는 정도였다. 채택 곡선은 다른 사람에게 외부성을 지우지 않으면서 몇 년이고 이어질 수 있었다.

포스트퀀텀 마이그레이션은 이 역학을 뒤집는다. 노출된 출력 유형에 남아 있음으로써 생기는 1차 손실은 보유자에게 돌아가지만, 2차 효과는 거기서 멈추지 않는다. 세 가지 경로가 이 효과를 실어 나른다.

첫째는 담보다. BTCFi는 비트코인 UTXO가 확정된 청구권이라는 가정 위에 대출 시장, 스테이킹 시스템, 래핑된 표현물을 몇 년에 걸쳐 쌓아 올렸다. 담보로 쓰이는 양자취약 UTXO는 만료 시점이 확률적인 청구권이며, 이를 담보로 잡은 프로토콜에는 이 리스크를 가격에 반영할 방법이 없다. 대출 프로토콜 담보 풀의 노출 정도가 무관한 거래상대방들이 키 교체를 완료했는지 여부에 좌우된다면, 마이그레이션 상태 자체가 신용 파라미터가 되어야 하는데, 현재 어떤 대출 프로토콜도 이를 그런 식으로 추적하지 않는다.

둘째는 커스터디 집중이다. 거래소와 커스터디언은 접근이 드물게 설계된 콜드 스토리지 구조, 즉 지리적으로 분산된 키 조각과 며칠 단위로 걸리는 서명 의식을 갖춘 멀티시그 설정에 코인을 보관한다. 이런 키를 새 출력 유형으로 교체하는 것은 단순한 소프트웨어 업그레이드가 아니다. 전체 장부에 걸쳐 원래의 키 의식을 다시 수행하고, 그 뒤에 준비금 증명 대조 작업까지 해야 한다. 가장 많은 코인을 보유한 기관일수록 이동 속도가 운영상 가장 느리다.

셋째는 통화적 측면이다. 오랫동안 잠자던 코인, 특히 사토시 귀속 코인의 절도가 성공한다면 이는 고립된 손실로 읽히지 않을 것이다. 비트코인의 발행 스케줄과 재산권 보장이 조건부라는 증거로 읽힐 것이고, 시장은 이 해석을 이전이든 아니든 모든 코인에 걸쳐 재가격화할 것이다. 이 경로는 개별 보안 결정을 집단적 결정으로 바꿔놓으며, 이것이 자발적 마이그레이션이 포괄적 방어책으로는 실패하는 이유다.

프루든의 비대칭성 논증은 여기서 나온다. 양자 하드웨어 발전이 정체된다면 기다리는 비용은 상대적으로 작다. 쓰이지 않고 놓여 있는 포스트퀀텀 출력 유형은 그저 소소한 유지보수 부담일 뿐이기 때문이다. 반면 UTXO 세트 대부분이 여전히 secp256k1에 머무는 동안 하드웨어가 등장한다면 기다리는 비용은 막대하다. 공격자들이 멤풀을 지켜보는 순간 마이그레이션 자체가 안전하지 않아지기 때문이다. 반대 논증도 공정하게 짚을 필요가 있다. 비트코인의 역사에는 예정대로 실현되지 않았던 긴급 예측된 위협들의 목록이 길게 이어져 있고, 컨센서스 변경 자체도 나름의 꼬리 리스크를 지니며, 2026년에 시간 압박 속에서 선택한 방식이 2040년에는 잘못된 선택으로 판명 날 수도 있다. 위협이 멀다고 믿는 개발자들이 지금 이 문제에 비트코인의 한정된 조율 역량을 쓰지 않기로 하는 것은 부주의한 판단이 아니다. 이들은 어느 리스크가 더 큰지에 대해 다른 계산을 하고 있을 뿐이다.

스윕이 곧 그 작업이고, 그 작업에는 비용이 든다

마이그레이션은 소프트웨어 업데이트가 아니다. UTXO 세트의 상당 부분이 소비되어 새로운 출력으로 옮겨가는 온체인 이벤트이며, 여기서 특정한 순서 제약이 따른다.

가장 먼저 지갑과 라이브러리 지원이 갖춰져야 한다. 포스트퀀텀 키를 생성하고 새 출력 유형을 구성하고 서명하고 검증할 수 있는 검증된 구현이 없으면 그 이후 단계는 아무것도 움직일 수 없기 때문이다. 다음은 하드웨어 서명기다. 펌웨어 심사 주기가 길고, 상태를 갖는 해시 기반 방식의 경우 기존 기기가 설계할 때 고려하지 않았던 스토리지와 상태 추적 동작이 필요할 수 있다. 그 다음은 거래소의 핫월렛 인프라다. 키가 이미 온라인 상태이므로 기관 계층 중 가장 옮기기 쉽다. 이어서 콜드 스토리지와 커스터디가 따라온다. 기관 계층 중 가장 느리며 가장 큰 잔고를 보유한다. 마지막으로 종이 백업, 상속받은 시드 문구, 잠자는 지갑에 남아 있는 긴 꼬리의 자기보관 코인들이 옮겨져야 한다. 이 순서는 발표된 계획을 보고하는 게 아니라 기술적 의존 구조에서 추론한 것이다. 우리가 검토한 어떤 출처도 운영상의 순서를 명시하지 않으며, 실제 일정은 프로토콜 규칙이 아니라 참여자들에 의해 결정될 것이다.

스윕 단계의 두 가지 경제적 특징을 살펴볼 필요가 있다. 첫째, 이는 마이그레이션이 실제로 일어나는 구간에 집중되는 블록 공간 수요 충격이다. 마이그레이션되는 UTXO마다 입력이 필요하고, 통합(consolidation)은 이 부담을 부분적으로만 상쇄한다. 폐지 마감시한이 존재한다면 합리적인 보유자는 마감이 임박할 때까지 기다릴 것이고, 이는 수요를 더욱 압축시켜 가장 미숙한 보유자들이 이동을 시도하는 바로 그 시점에 수수료를 치솟게 만든다. 둘째, 스윕 트랜잭션은 기존 공개키를 드러내므로, 늦게 옮기는 보유자는 공격자의 능력이 가장 존재할 가능성이 높은 구간에서 노출된다. 늦은 마이그레이션은 비용이 더 들면서 동시에 더 위험해지며, 이 창을 놓치는 사람에게는 가파른 페널티가 생긴다.

서명 크기와 고정된 블록 무게의 충돌

비트코인의 블록 무게 상한선은 더 무거운 서명 방식을 수용하도록 조정되지 않는다. 탭루트 하의 Schnorr 서명은 64바이트이며, 단일 입력·단일 출력의 키 경로 소비는 프로토콜이 지원하는 트랜잭션 중 가장 작은 축에 속한다. NIST가 표준화한 해시 기반과 격자 기반 두 계열 모두, 포스트퀀텀 서명 방식은 서명이 상당히 크고 여러 경우 공개키도 더 크다. 비트코인에서 검토 중인 구체적인 파라미터 세트에 대한 검증된 수치는 우리에게 없으며, 미확인 방식의 크기를 인용하는 것은 무책임할 것이다. 정확한 수치가 없더라도 방향성 결론은 성립한다.

여기서 두 가지 별개 효과가 따라온다. 마이그레이션 자체는 일회성 비용이다. 기존 출력을 소비하는 대량의 트랜잭션들이 여전히 간결한 ECDSA나 Schnorr 서명으로 인증되므로, 스윕 단계가 비싼 주된 이유는 서명 크기가 아니라 트랜잭션 개수 때문이다. 영구적인 비용은 그 이후에 온다. 양자내성 출력으로부터의 모든 소비가 witness에 더 큰 서명을 담게 되면서다. 새 witness 데이터가 부과하는 비율만큼 블록당 유효 트랜잭션 수가 줄어들고, 블록 공간의 일정 비율을 차지하는 데 필요한 수수료가 그에 상응해 올라간다. SegWit이 도입한 witness 할인, 즉 witness 데이터가 non-witness 데이터 대비 4분의 1의 가중치를 받는다는 점이 이를 완화하지만, 오버헤드를 없애지는 못한다.

그 여파는 베이스 레이어 수수료 수준을 넘어선다. 라이트닝 채널 운영, 코인조인 구성, 다수의 입력을 쓰는 배칭 방식은 모두 서명 하나당 크기에 비례해 온체인 발자국이 늘어난다. 멀티시그는 가장 급격한 증가를 겪는다. 임계값 구조가 서명 개수를 곱셈으로 늘리기 때문이다. 포스트퀀텀 서명이 충분히 크다면, 오늘날 경제적으로 일상적인 일부 멀티시그 구성이 커스터디 구조 자체를 바꿀 만큼 비싸질 수 있고, 이는 기관 보유자들을 더 적고 더 큰 서명 쿼럼 쪽으로, 혹은 선택된 프리미티브에 대해 아직 존재하지 않을 수도 있는 집계 방식 쪽으로 밀어붙일 것이다. 이를 제대로 모델링하려면 실제 파라미터 세트와 마이그레이션된 UTXO 구성에 대한 가정이 필요하다. 둘 다 아직 없으며, 포스트퀀텀 비트코인의 처리량 비용은 공개 연구에서 여전히 정량화되지 않은 채 남아 있다.

아무도 옮길 수 없는 500만 개의 코인

프루든의 발언을 다룬 CoinDesk 보도에는 Harper라고만 밝혀진 인물이 언급한 500만 개 이상의 잠자는 코인이라는 수치가 등장하며, 여기에는 Patoshi 패턴 코인이 포함된다. 우리는 이 수치의 산출 방법론을 갖고 있지 않고 독립적으로 확인하지도 못했으며, 잠자는 코인의 정의 자체도 어떤 조회 기간을 선택하느냐에 따라 크게 달라지므로, 이를 정확한 측정치가 아니라 규모의 크기를 보여주는 지표 정도로 취급한다. 정성적 주장 자체는 그럼에도 성립한다. 통화적으로 상당한 규모의 코인 덩어리가 공개키를 노출하는 출력 유형에 놓여 있고, 10년 넘게 움직이지 않았다는 것이다.

정의상 이 코인들은 마이그레이션할 수 없다. 마이그레이션에는 서명이 필요하고, 서명에는 키가 필요하며, 키를 잃어버려서 잠자는 코인은 계속 잠잔다. 따라서 어떤 자발적 마이그레이션 이후에도 계속 양자취약 상태로 남는 코인의 집합은 소유자가 사라진 코인의 집합과 사실상 일치한다. 모든 정책 선택지는 결국 이 코인들을 어떻게 할 것인가에 대한 결정이다.

건드리지 않고 놔둔다는 것은 암호학적으로 유의미한 양자컴퓨터를 가장 먼저 만드는 자가 이 코인들을 소비할 수 있다는 뜻이다. 우리가 검토한 어떤 출처에도 등장하지 않고, 열린 이론적 입장으로서 제시하는 논거가 있다. 이는 비트코인의 허가 없는(permissionless) 설계와 일관된다는 것이다. 채굴에서처럼 코인은 역사적으로 해당 계산 문제를 먼저 푼 자에게 돌아갔다는 논리다. 반론은 직접적이다. 채굴은 사전에 정해진 규칙에 따라 새로 발행되는 코인을 배분하는 것이지만, 양자 공격은 아무도 동의하지 않은 규칙 아래에서 이미 소유된 코인을 재배분하는 것이며, 성능 있는 기계를 가장 먼저 갖는 주체는 개인 사용자보다는 국가나 대기업일 가능성이 훨씬 높다. 이는 허가 없는 결과라고 볼 수 없다.

동결한다는 것은 지정된 블록 높이 이후 양자취약 출력 유형으로부터의 소비를 거부하는 컨센서스 규칙이 필요하다는 뜻이며, 잠자는 공급량을 영구히 소비 불가능하게 만듦으로써 절도로부터 보호한다는 것이다. 코인이 새로 생성되는 것은 아니므로 고정 공급 서사는 온전히 유지되지만, 프로토콜 규칙 변경이 식별 가능한 출력의 소비 권리를 영구히 박탈한다는 점은 변함없다. 훗날 개인키가 합법적으로 복구되더라도 그 코인은 계속 잠긴 채로 남는다.

프루든 본인의 선호는 세 번째 선택지다. 그는 잠자는 코인을 공급 곡선 끝단으로 재활용해 채굴자 인센티브를 서브시디가 0에 가까워진 이후까지 연장하자고 주장하면서도, 이것이 명백히 몰수(confiscation)에 해당한다고 스스로 규정했고 시장과 커뮤니티가 결정해야 할 문제라고 강조했다. 엔지니어링 측면의 매력은 분명하다. 비트코인의 장기 보안 예산은 결국 수수료 수익이 블록 서브시디를 대체하는 데 달려 있는데, 이 전환은 아직 검증된 결과가 없다. 잠자는 코인을 재활용하면 양자 취약성을 해시레이트를 자금 지원할 수십 년치 추가 발행으로 전환할 수 있다.

대가는 압도적인 이유가 있으면 프로토콜이 특정 잔고의 소유권을 재배정할 수 있다는 선례를 세운다는 것이다. 비트코인의 통화적 신뢰성은 2,100만 개 상한에만 의존하는 게 아니라, 컨센서스 규칙이 잔고를 재배정하지 않는다는 보장에도 의존한다. 잠자는 상태에 취약성이 더해지면 재배분이 정당화된다는 선례는 훗날 다른 정당화 논거들을 초대한다. 어느 선택지가 통화적 신뢰성에 덜 해로운가라는 질문에서는, 동결이 재활용보다 더 좁은 선례를 남긴다. 동결은 아무에게도 가치를 이전하지 않은 채 소비 가능성만 제거하고, 이론상 동결된 출력은 이후 규칙 변경으로 다시 풀릴 수 있는 반면, 재발행된 코인은 회수할 수 없기 때문이다. 그럼에도 동결 역시 누구의 코인을 동결할지 결정해야 하고, 주소 유형이나 나이로 그은 어떤 임계값이든 단지 활동이 뜸했을 뿐인 살아 있는 보유자를 잘못 걸러낼 위험이 있다.

이 역학은 프루든이 의도한 방향에서 탭루트와의 비교를 특히 선명하게 만든다. 탭루트는 복잡한 엔지니어링 문제였지만 사회적 합의는 단순했다. 포스트퀀텀 마이그레이션은 복잡한 엔지니어링 문제가 비트코인이 한 번도 풀어본 적 없는 사회적 질문과 얽혀 있고, 이 결정을 무기한 미룰 수 없다. 방치하는 것 자체가 결국 공격자가 이를 해결하도록 내버려두는 셈이 되기 때문이다.

UTXO 모델이 이 문제를 더 어렵게 만드는 이유

비트코인과 계정 기반 체인 사이의 구조적 차이는 동일한 암호학적 위협이 왜 근본적으로 다른 마이그레이션 과제를 만들어내는지를 설명해준다. 증거의 경계를 분명히 하자면, 이더리움의 전담 포스트퀀텀 팀과 구체적인 계정 추상화 마이그레이션 로드맵에 관한 주장은 우리 취재원에서 확인되지 않았으며, 우리는 특정 프로젝트의 타임라인을 보고하는 것이 아니라 근본적인 데이터 모델로부터 엄격히 추론하고 있다.

비트코인에서는 인증 조건이 출력 자체의 일부다. UTXO는 스크립트와 가치 총액이 결합된 것이고, 그 가치가 인증되는 방식을 바꾸는 유일한 메커니즘은 그것을 소비하고 다른 스크립트를 가진 새 출력을 구성하는 것뿐이다. UTXO를 그대로 놔둔 채 코인의 소비 조건을 수정하는 프로토콜 작업은 존재하지 않는다. 소비를 하려면 기존 개인키의 서명이 필요하고, 이것이 핵심 취약성의 함정을 형성하며, 능동적인 소유자가 필요하다.

계정 모델에서는 잔고가 영속적인 식별자에 위치하고, 인증 로직은 그 식별자와 연관된 상태다. 이 로직이 프로토콜에 하드코딩된 규칙이 아니라 스마트 컨트랙트 코드로 실행된다면, 잔고는 그대로 둔 채 검증 방식만 업데이트할 수 있다. 스마트 컨트랙트 계정은 이미 이런 능력을 활용해 기초 자산을 옮기지 않고도 서명자를 교체하고 검증 로직을 바꾼다. 이런 계정에 대한 포스트퀀텀 업그레이드는 자금 이전이 아니라 로직 마이그레이션이며, 대규모 스윕에 따른 수수료 압박도 없고 노출된 레거시 공개키를 방송할 필요도 없다.

이것이 완전한 해법이 되지 못하게 만드는 세 가지 단서가 있다. 인증 규칙이 프로토콜 차원에서 ECDSA로 고정된 외부 소유 계정(externally owned accounts)은 비트코인과 동일한 근본적 문제에 직면하며, 여전히 계정 기반 네트워크 가치의 상당 부분을 차지한다. 업그레이드 가능한 인증 로직은 그 자체로 공격 표면을 만들어내고, 양자 공격자가 조작할 수 있는 업그레이드 메커니즘은 심각한 위험을 내포한다. 마지막으로, 두 아키텍처 모두에서 키를 잃어버린 소유자는 업그레이드를 개시할 수 없으며, 이는 잠자는 코인 딜레마가 두 패러다임 모두에 그대로 남는다는 뜻이다. 계정 모델은 능동적인 보유자의 마이그레이션 경로는 단순화하지만, 방치된 자산에 대한 거버넌스 딜레마는 해결하지 못한다.

실제 진전을 보여줄 지표는 무엇인가

주목할 만한 구체적인 지표들은 그것을 둘러싼 일반적 논의보다 훨씬 좁다.

첫째, 포스트퀀텀 출력 유형이 초안 스펙에 머물지 않고 구체적인 활성화 경로를 확보하는지 여부다. 머지된 BIP와 활성화된 컨센서스 규칙은 서로 다른 이정표이며, 검증된 보도는 BIP-360이 2025년 제안되었다는 사실만 확인해준다. Bitcoin Core에서의 현재 위상과, 단계적 마이그레이션 제안이 있다면 그 세부 사항의 확인이 공개적으로 추적할 수 있는 것들 중 핵심 공백으로 남아 있다.

둘째, 선택된 서명 방식이 정식 파라미터 세트와 실증적 witness 크기와 함께 발표되는지 여부다. 이런 벤치마크가 나오기 전까지 포스트퀀텀 비트코인의 처리량 능력에 관한 주장은 여전히 추측에 머문다. Liquid의 운영 중인 해시 기반 배포가 가장 가까운 실증적 참고 자료이며, 서명 성능과 키 상태 추적에 관한 검증 가능한 데이터가 나온다면 더 많은 타임라인 예측보다 기술적 논의에 훨씬 도움이 될 것이다.

셋째, 주요 커스터디언들이 명시적인 날짜가 담긴 공식 마이그레이션 일정을 발표하는지 여부다. 심층 기관 준비금 전체에 걸친 콜드 스토리지 키 교체가 크리티컬 패스이며, 가장 큰 잔고를 관리하는 기관일수록 운영 절차는 가장 느리면서도 조기에 시작할 동기는 가장 강하다. 2026년 중반 시점 이들이 공개 논의에서 보이지 않는다는 사실은 비공식 개발자 설문조사보다 단기적 시급성에 대해 훨씬 분명한 신호를 준다.

넷째, 잠자는 코인 문제가 논의를 위한 제도적 장을 찾는지 여부다. 현재는 그런 장이 전혀 없다. 프루든은 자신의 코인 재활용 제안을 개인적인 입장으로 제시했고 시장이 결정할 것이라고 언급했는데, 이는 그런 결정을 내릴 공식적인 메커니즘이 존재하지 않는다는 사실을 정확히 반영한다. 500만 개 코인의 소비 가능성을 바꾸는 컨센서스 변경은 표준적인 소프트포크 활성화 주기로는 해결될 수 없으며, 이 논쟁을 위한 포럼의 부재는 근본적인 암호학적 과제 자체보다 마이그레이션에 더 즉각적인 제약을 가한다.

한 가지 분석상의 불일치는 아직 풀리지 않았다. 위험에 처한 디지털 자산이 약 2조 3천억 달러에 이른다는 프루든의 추정치는 방법론이 명시되지 않은 광범위한 프레임이며, 이는 양자 노출 비트코인만을 특정해 흔히 인용되는 약 7,000억 달러 추정치와 대비된다. 이 두 수치는 서로 다른 자산 범위를 평가하고 있으며, 어느 쪽도 어떤 출력 유형을 어느 시점에 평가했는지를 명시하는 공개 장부 회계를 동반하지 않는다. 노출 리스크를 평가하려는 기관이라면 이런 회계 기준선이 먼저 필요하다. 정확한 파라미터가 측정되지 않은 마이그레이션은 예산을 짜기도 어렵고 안정적으로 일정을 잡기도 불가능하기 때문이다.

참고 자료

• Bitcoin’s post-quantum migration will be harder than Taproot and needs to start now, Project Eleven CEO says, CoinDesk, May 6, 2026.