비트코인 양자컴퓨터 노출 30%대, XRP 0.03%와 단순 비교는 착시였다

비트코인(BTC)과 XRP를 둘러싼 양자컴퓨터 위협 논쟁이 최근 구체적인 숫자 싸움으로 번졌다. 8월 18일(현지시각) 코인마켓캡(CoinMarketCap) 보도에 따르면 비트코인 개발자들은 양자컴퓨터에 취약한 주소를 동결하는 제안 ‘BIP-361’을 내놓았다. 앞서 8월 13일(현지시각) 비트노보(Bitnovo)는 공개키가 이미 블록체인에 노출된 지갑에 담긴 약 690만 BTC를 보호하기 위한 기술 계획을 보도했다. 이를 두고 글래스노드(Glassnode)의 5월 20일(현지시각) 연구는 비트코인 발행량의 30.2%(604만 BTC)가 양자컴퓨터에 노출돼 있다고 짚었고, 4월 7일(현지시각) 공개된 XRP 레저(XRP Ledger) 검증인 감사에서는 노출 비율이 전체 공급량(약 1,000억 XRP)의 0.03% 수준인 약 2,100만 XRP에 불과하다는 결과가 나왔다. 두 수치가 나란히 회자되면서 XRP가 훨씬 안전하다는 해석이 퍼졌지만, 두 조사는 사실상 같은 것을 측정하지 않았다.

비트코인 “30%대 노출”은 어디서 나온 숫자인가

글래스노드 조사를 뜯어보면 604만 BTC(30.2%) 중 192만 BTC(9.6%)는 구조적으로 노출된 물량이고, 나머지 412만 BTC(20.6%)는 주소 재사용으로 인해 운영상 노출된 물량이다. 구조적 노출은 초창기 비트코인에서 쓰인 P2PK(Pay-to-Public-Key) 출력, 베어 멀티시그(bare multisig), 설계상 공개키가 드러나는 탭루트(Taproot) 출력을 포함한다. 운영상 노출은 한 번이라도 거래를 보낸 주소가 공개키를 블록체인에 남기면서 발생한다.

수탁기관별 노출 정도는 크게 갈렸다. 글래스노드 집계로 코인베이스(Coinbase)는 약 5%만 노출됐지만 그레이스케일(Grayscale)은 약 50%, 바이낸스(Binance)·비트파이넥스(Bitfinex)·로빈후드(Robinhood)·위즈덤트리(WisdomTree)는 85~100%에 달했다. 미국·영국·엘살바도르의 국가 보유분은 0%로 나타났다. BIP-361 초안 작성자들도 3월 초안에서 발행량의 34% 이상이 공개키 노출 상태라고 밝혔고, 테크타임스(Tech Times)는 7월 4일(현지시각) 노출 비율이 34%를 넘어서면서 전문가들 사이에 동결안을 둘러싼 의견이 갈렸다고 전했다. 신뢰할 만한 수치들은 대체로 30~35% 구간에 몰려 있을 뿐 50%까지 가는 경우는 없다. 앞서 2월 11일(현지시각) 비트코인 코어(Bitcoin Core) 제안 저장소에 병합된 BIP-360은 ‘bc1r’로 시작하는 양자 내성 주소 유형(Pay-to-Quantum-Resistant-Hash)을 새로 만드는 내용이다.

진짜 위협 물량은 훨씬 적다는 반론

기술적으로 노출됐다는 것과 현실적으로 탈취 가능하다는 것은 다른 얘기다. 코인셰어스(CoinShares)는 2월 9일(현지시각) 진짜 취약하다고 볼 수 있는 레거시 P2PK 주소는 약 160만 BTC(발행량의 8%)이며, 이 중에서도 단일 주소에 집중돼 탈취 시 시장에 의미 있는 충격을 줄 수 있는 물량은 약 1만200 BTC에 그친다고 분석했다.

나머지는 3만2,000개가 넘는 UTXO(미사용 거래 출력)에 평균 50 BTC씩 흩어져 있어 매력적인 공격 대상이 아니라는 설명이다. 코인셰어스는 이런 공격에 필요한 내결함성 양자컴퓨터 하드웨어가 현존 최고 수준보다 약 10만 배 강력해야 한다고 추정했다. 실질적 위협까지는 최소 10년 이상 걸릴 것이라는 뜻이다. 30~35%라는 노출률과 1만200 BTC라는 실질 위험 물량은 서로 다른 질문에 대한 답이고, 이를 뒤섞어 쓰면 둘 다 왜곡된다는 게 코인셰어스의 지적이다.

XRP “0.03%”가 낮은 진짜 이유

XRP의 0.03% 수치는 리플(Ripple)이나 XRP 레저 재단이 아니라, @Vet_X0라는 필명의 검증인 운영자가 4월 7일(현지시각) 독자적으로 진행한 감사에서 나왔다. 이 조사는 XRP 레저의 계정 약 780만 개를 분석했는데, 이 중 약 30만 개 계정은 한 번도 거래한 적이 없어 공개키를 노출한 적이 없고, 이 계정들에는 약 24억 XRP가 담겨 있었다. 공개키가 노출된 채 잠들어 있는 대형 보유 계정은 단 두 개, 합쳐서 약 2,100만 XRP뿐이었다. 감사 보고서는 “잠자고 있으면서 취약한 XRP 대형 보유자는 거의 존재하지 않는다. 나머지는 활성 상태이며 공개키가 노출돼 있지만, 필요하면 키를 교체할 것으로 보는 게 합리적이다”라고 정리했다.

이 낮은 숫자는 암호학적으로 더 안전해서가 아니라 레저와 공급구조 자체 때문이라는 분석이 나온다. XRP 레저는 비트코인의 UTXO 방식이 아니라 계정 기반 모델을 쓰고, 약 1,000억 XRP 공급량은 리플과 소수의 대형 보유자에게 집중돼 있다. 검증인 집합도 비트코인 채굴망보다 규모가 작고 중앙화돼 있다. 한 번도 움직이지 않은 계정은 잠자는 계정일 뿐 단단해진 계정은 아니라는 것이다. 여기에 비트코인과 XRP 모두 실제 거래 대부분이 온체인이 아닌 거래소 주문장 안에서 이뤄진다는 점도 변수다. 레저상 조용해 보이는 계정은 보유자가 물량을 늘리는지, 아무것도 안 하는지, 거래소 내부 이전으로 빠져나가고 있는지 구분되지 않는다. 0.03%는 레저에 드러난 부분만 보여줄 뿐 수탁기관이 관리하는 키까지 포함한 전체 노출 프로필은 아니어서, 0.03% 대 30%라는 대비는 애초에 같은 기준으로 잰 성적표가 아니다.

미국 재무부, 양자 대응 전담팀 꾸려

가상자산을 넘어 금융시스템 전반의 양자 리스크에 대응하려는 움직임도 나왔다. 미국 재무부는 8월 25일(현지시각) 트럼프 대통령의 행정명령 14412호에 따라 ‘퀀텀 레디니스 태스크포스(Quantum-Readiness Task Force)’를 출범시켰다고 밝혔다. 정부와 민간이 함께 미국 금융권을 양자컴퓨터 공격에 견딜 수 있는 암호체계로 전환시키기 위한 틀을 만드는 것이 목표다.

스콧 베센트(Scott Bessent) 재무장관은 “미국이 경제를 뒷받침하는 기술을 안전하게 보호하는 데 앞장서야 한다”고 말했다. 그는 전담팀이 “신기술이 세계 경제를 재편하는 상황에서 미국 금융시스템이 강하고 안전하며 경쟁력 있는 상태를 유지하도록 도울 것”이라고 덧붙였다. 재무부의 금융기관 담당 차관보 루크 페팃(Luke Pettit)은 “양자컴퓨팅은 상당한 잠재력을 지녔지만 미국 금융시스템을 지탱하는 암호체계에 심각하고 장기적인 도전을 제기한다”며 “정부와 산업계가 함께 양자 위협에 안전한 금융시스템으로의 전환을 이끌 것”이라고 말했다.

전담팀은 세 가지 영역에 집중한다. 금융권의 양자 내성 암호로의 전환, 외부 기술 공급업체와 공급망의 대비 태세, 가상자산 등 신기술에 결부된 위험이다. 참여 대상은 정부기관, 금융기관, 금융시장 인프라 운영기관, 기술기업 등이다. 재무부는 핵심 금융시스템 전반의 의존관계를 파악하고 암호체계를 신속히 교체할 수 있는 역량을 강화하는 한편, 시스템 간 상호운용성과 운영 복원력을 높이겠다는 계획이다. 외부 기술 공급업체에 대한 의존도와 가상자산에서 발생할 수 있는 양자 관련 위험도 함께 점검할 예정이다.