Q-Day란 무엇인가?

Q-Day는 충분히 강력한 양자 컴퓨터가 실제 시스템을 보호하는 공개키 암호를, 위조된 거래나 데이터 유출 같은 보안 실패를 일으킬 만큼 빠르게 깰 수 있게 되는 시점이다.

RSA와 타원곡선 암호는 키 교환과 디지털 서명에 널리 쓰인다.

블록체인의 경우 위험은 양자 능력, 공개키 노출, 마이그레이션 상태에 달려 있다. 아래 프레임워크는 이 세 조건이 어떻게 결합해 실제 공격이 되는지 설명한다.

Q-Day는 언제 오는가

누구도 Q-Day에 대해 믿을 만한 날짜를 제시할 수 없다. 연구자들은 여전히 양자 하드웨어, 오류 정정, 대규모 연산에서 어려운 문제를 풀어야 한다.

전문가들의 예측도 이러한 불확실성을 반영한다. Global Risk Institute의 2025년 설문조사는 암호학적으로 유의미한 양자 컴퓨터(CRQC)가 10년 내에 등장할 가능성이 꽤 있고, 15년 내에는 가능성이 높다고 봤다. 이러한 확률 범위는 특정 연도를 지목하지 않은 채 2030년대를 가리킨다.

구글은 자사의 포스트양자 암호 마이그레이션을 2029년까지 완료하겠다는 목표를 발표했다. 이는 CRQC가 언제 등장할지 예측한 것이 아니다. 이 목표는 마이그레이션에 필요한 시간과, 암호해독 기술의 발전이 이전의 자원 추정치를 낮출 수 있다는 가능성을 함께 반영한 것이다. 구글은 2026년 3월 마이그레이션 일정을 발표했다.

오래 기밀을 유지해야 하는 데이터는 Q-Day 이전에 보호가 필요하다.

하베스트-나우, 디크립트-레이터 공격에서 공격자는 오늘 암호화된 정보를 수집해 두었다가, 미래의 양자 컴퓨터가 이를 복호화할 수 있을 때까지 저장한다. 오랫동안 기밀을 유지해야 하는 데이터는 이 전략만으로도 이미 위험에 노출돼 있다.

하베스트-나우, 디크립트-레이터는 암호화된 데이터에 가장 직접적으로 적용된다. 일부 공개 블록체인은 관련된 위험에도 노출돼 있다. 온체인에 노출된 공개키는, 개인키를 유도하는 데 여전히 CRQC가 필요하더라도, 미래의 공격을 위해 계속 이용 가능한 상태로 남는다.

Q-Day에는 암호학적으로 유의미한 양자 컴퓨터가 필요하다

암호학적으로 유의미한 양자 컴퓨터, 즉 CRQC는 실제 시스템에서 쓰이는 암호를 깰 만큼 강력하고 신뢰할 수 있는 양자 컴퓨터를 말한다.

연구자들은 이 능력을 여러 지표로 평가한다. 신뢰할 수 있는 논리 큐비트 수, 오류 정정 오버헤드, 필요한 양자 연산 횟수, 공격을 완료하는 데 쓸 수 있는 시간 등이다.

오늘날의 양자 프로세서는 신중하게 선택된 실험에서는 고전 컴퓨터를 능가할 수 있다. 하지만 Shor 알고리즘을 이용해 블록체인 개인키를 복원할 만큼의 규모와 결함 허용성에는 아직 도달하지 못했다.

구글의 2026년 논문은 secp256k1(비트코인을 비롯한 많은 체인이 쓰는 타원곡선)에서 ECDLP-256을 풀기 위해 미래의 초전도 CRQC가 필요로 할 자원을 추정한다. 제시된 하드웨어 전제 하에서, 이 논문은 한 번의 공격에 물리적 큐비트 50만 개 미만, 실행 시간 몇 분이 필요하다고 추정한다. 구글의 연구는 이러한 전제와 자원 추정치를 설명한다.

이 추정치는 미래의 기계를 그린 것이다. 하드웨어가 필요한 규모에 도달하기 전에 알고리즘과 오류 정정의 발전이 자원 추정치를 바꿀 수 있음을 보여준다.

Q-Day는 무엇을 위협하는가

블록체인에 대한 Q-Day의 주된 우려는 Shor 알고리즘이다. 충분히 강력한 양자 컴퓨터는 이를 이용해 RSA와 타원곡선 시스템을 보호하는 수학적 문제를 풀 수 있다. NIST는 RSA, DSA, 타원곡선 암호를 취약한 부류로 지목한다.

공개키 암호에는 두 가지 주요 역할이 있다.

1. 신뢰할 수 없는 네트워크를 통해 두 당사자가 공유 비밀을 확립하도록 돕는다.
2. 개인키 소유자가 권한을 증명하는 디지털 서명을 만들 수 있게 한다.

블록체인은 디지털 서명에 크게 의존한다. 비트코인은 오래된 지출 경로에는 ECDSA를, Taproot에는 Schnorr 서명을 쓴다. 다른 체인들은 ECDSA와 EdDSA를 포함한 타원곡선 서명 방식 중에서 각자 선택한다. 공격자가 노출된 공개키에서 개인키를 유도할 수 있다면, 네트워크가 유효하다고 받아들일 수 있는 서명을 만들어낼 수 있다.

따라서 비트코인의 디지털 서명과 SHA-256은 서로 다른 양자 위협에 직면한다.

ECDSA는 지출을 승인한다. Shor 공격이 성공하면 공개키에서 개인키를 복원해 위조 거래를 가능하게 할 수 있다.

SHA-256은 채굴과 그 외 해시 의존 기능을 뒷받침한다. 관련된 양자 위협은 탐색에 범용적인 속도 향상을 제공하는 Grover 알고리즘이다. 이는 공격자에게 동일한 직접적 개인키 복원 경로를 주지는 않는다. NIST의 포스트양자 지침은 이 두 공격 모델을 별도로 다룬다.

양자 능력이 블록체인 공격으로 이어지는 과정

블록체인은 포스트양자 마이그레이션이 관련 자산을 보호하기 전에, 유능한 양자 컴퓨터가 노출된 공개키를 악용할 수 있게 되면 취약해진다.

기계가 공격을 완료할 수 있다

공격자는 대상에 허용된 시간 내에 개인키를 유도할 만큼 충분히 신뢰할 수 있는 양자 능력이 필요하다.

허용된 시간은 대상에 따라 다르다. 몇 년 동안 온체인에 노출된 공개키는, 거래가 브로드캐스트된 후 확정되기 전에 드러나는 키보다, 공격자에게 해당 개인키를 유도할 시간을 훨씬 더 많이 준다.

공개키를 손에 넣을 수 있다

양자 컴퓨터는 대응하는 공개키 없이는 개인키를 유도할 수 없다.

일부 비트코인 출력은 공개키를 직접 기록한다. 다른 출력은 처음에는 공개키의 해시만 저장하고, 소유자가 지출할 때 완전한 키를 노출한다. 주소를 재사용하면 이미 노출된 키로 보호되는 새 자금이 생길 수 있다.

구글의 2026년 분석은 노출되었거나 재사용된 공개키를 가진 주소에 약 670만 BTC가 있으며, 이는 미래의 CRQC로부터 보관 중 자산에 대한 공격에 노출될 수 있다고 추정한다.

이 분석에서 약 230만 BTC는 최소 5년간 활동이 없었고, 약 170만 BTC는 초기의 pay-to-public-key 출력에 잠겨 있다. 구글의 논문이 이러한 추정치의 전제와 방법을 설명한다.

이 잔액들은 CRQC가 대응하는 개인키를 유도할 수 있게 되면 공격 대상이 된다. 여전히 자신의 키를 통제하고 있는 소유자는, 체인이 포스트양자 지출 경로를 배포하고 이를 지원하는 지갑과 서비스가 이를 채택한 뒤에 자금을 마이그레이션할 수 있을 것이다. 분실되거나 방치된 키는, 마이그레이션을 승인할 사람이 아무도 없을 수 있다는 더 어려운 문제를 만든다.

비트코인의 마이그레이션 문제는 조정 문제이기도 하다. 중앙 운영자가 모든 보유자, 지갑, 거래소, 커스터디언, 노드 운영자가 업그레이드하도록 보장할 수 없기 때문이다.

마이그레이션은 여전히 미완성이다

프로토콜에 포스트양자 서명 방식을 추가하는 것은 마이그레이션의 한 부분일 뿐이다. 노드는 새 규칙을 강제해야 하고, 지갑은 새 키를 생성하고 관리해야 하며, 거래소와 커스터디언은 새 거래 형식을 지원해야 한다.

기존 자산은 사용자가 활성화되고 지원되는 포스트양자 경로를 통해 이동할 수 있을 때까지 취약한 상태로 남는다. 제안, 연구 논문, 테스트넷, 선택적 메인넷 기능은 진전을 보여주지만, 취약한 키로 통제되는 자산을 보호하지는 못한다.

마이그레이션이 Q-Day보다 몇 년이나 먼저 시작되는 이유

NIST는 2024년 8월 첫 세 가지 포스트양자 표준을 확정했다.

• FIPS 203은 공유 키를 확립하기 위한 격자 기반 방식인 ML-KEM을 규정한다.
• FIPS 204는 격자 기반 디지털 서명 방식인 ML-DSA를 규정한다.
• FIPS 205는 해시 기반 디지털 서명 방식인 SLH-DSA를 규정한다.

격자 기반 표준은 키 확립과 서명을 위한 효율적인 주요 선택지를 제공한다. 해시 기반 표준은 구현자에게 다른 수학적 전제 위에 세워진 서명 선택지를 제공한다.

우리는 Q-Day, 포스트양자 마이그레이션, 그리고 취약한 암호를 업그레이드해야 한다는 압박에 대해 QDay Podcast에서 Alex Pruden과 이야기를 나눴다.

알고리즘을 선택하는 것은 마이그레이션의 시작이다. 일반적인 소프트웨어에서는 새 암호 라이브러리가 일상적인 업데이트로 사용자에게 전달될 수도 있지만, 벤더는 그래도 프로토콜, 인증서, 하드웨어 지원, 의존 서비스를 변경해야 한다.

NIST는 표준화된 암호 알고리즘을 정보 시스템 전반에 통합하는 데 역사적으로 10년에서 20년이 걸렸다고 밝혔다.

정부와 표준화 기구는 무엇을 하고 있는가

각국 정부는 이미 포스트양자 마이그레이션을 다년간에 걸친 보안 프로그램으로 다루고 있다.

이러한 프로그램들은 확인된 CRQC보다 몇 년이나 먼저 시작된다. 취약한 알고리즘은 모두 먼저 발견되고, 대체되고, 테스트되고, 폐기되어야 하기 때문이다.

블록체인의 양자 대비 수준을 평가하는 방법

신뢰할 수 있는 마이그레이션 계획은 현재 쓰이는 암호를, 그 대체를 채택해야 하는 사람들과 시스템에 연결한다.

이 평가를 실용적으로 만드는 다섯 가지 점검이 있다.

1. 사용 중인 암호를 파악한다. 어떤 서명 방식, 키 확립 방법, 해시, 증명 시스템, 암호 라이브러리가 오늘날 체인을 보호하는지 확인한다.
2. 공개키 노출을 매핑한다. 키가 언제 노출되는지, 재사용되는지, 공격 가능 창이 얼마나 오래 열려 있는지, 어떤 자산이나 권한을 통제하는지 파악한다.
3. 실제로 배포된 것을 검증한다. 발표된 연구, 제안, 테스트넷, 선택적 메인넷 기능, 필수적인 메인넷 보호를 구분한다.
4. 마이그레이션 경로를 추적한다. 노드, 지갑, 거래소, 커스터디언, 브리지, 사용자가 어떻게 대체를 채택할지 확인한다. 계획에는 비활성 상태이거나 접근 불가능한 보유 자산에 어떤 일이 생기는지도 설명돼 있어야 한다.
5. 증거를 살펴본다. 사양, 구현 코드, 독립 감사, 성능 테스트, 명확한 사용자 안내를 찾는다. 포스트양자 서명은 현실적인 조건에서 전체 환경에 걸쳐 작동해야 한다.

양자 저항 주장을 평가하려면, 아직 쓰이고 있는 암호를 파악하고, 포스트양자 경로가 활성화돼 있는지 확인하며, 기존 계정과 자산이 이를 사용할 수 있는지 확인해야 한다.

이더리움 지갑의 양자 위험 확인하기

이더리움의 외부 소유 계정(EOA)은 공개된 거래 서명에서 공개키를 복원할 수 있기 때문에, 비트코인 출력과는 다른 노출 패턴을 가진다.

이더리움에는 또한 자체적인 포스트양자 마이그레이션 경로가 필요한 합의 서명, 데이터 가용성 커밋먼트, 증명 시스템이 있다.

Quantum Risk Checker는 이더리움 주소나 ENS 이름에 대한 공개키 노출과 잔액 민감도를 평가하기 위해 공개 블록체인 데이터를 사용한다. 개인키를 요청하는 일은 결코 없다.