서명 교체에만 수년 — 코인베이스가 꺼낸 비트코인 양자 제안
코인베이스가 13일(현지시간) 공식 블로그에서 비트코인의 양자내성 전환 고려사항을 공개했다. 양자컴퓨터가 언제 오느냐보다 서명 체계를 바꾸는 데 “수년이 걸릴 수 있다”는 점에 무게를 두고, 기존 서명과 양자내성 서명을 함께 쓰는 단계적 경로부터 열자는 내용이다. 코인베이스는 이 글이 “공개 논의를 위한 의견이지 지침이나 코인베이스의 최종 입장이 아니다”라고 스스로 밝혔다.
양자컴퓨터가 오기 전에 왜 지금 준비하자고 하나
코인베이스는 암호를 실제로 깰 수 있는 양자컴퓨터(CRQC)가 등장했다고 발표되기 훨씬 전에 준비를 시작해야 한다고 적었다. 비트코인은 합의 규칙을 바꾸는 데도, 지갑과 거래소와 수탁업체가 새 방식으로 옮겨 가는 데도 오래 걸린다는 이유에서다. 코인베이스는 이 과정을 “어렵고 복잡하며 여러 해가 걸리는” 일이라고 표현했다.
위협이 닥치는 시점 자체는 불확실하다. 뒤에서 다룰 BIP-360 문서도 CRQC가 “언제 혹은 과연” 실현될지는 분명하지 않다고 적었다. 제안이 예측보다 소요 기간에 초점을 두는 것도 그래서다. 날짜를 못 맞히더라도 바꾸는 데 걸리는 햇수가 길면 먼저 움직여야 한다는 논리다.
코인베이스는 스스로를 세계 최대 수준의 암호화폐 수탁업체로 소개하면서 전체 비트코인의 약 5%를 보관한다고 밝혔다. 이 수치는 코인베이스 자체 발표이고 별도로 검증된 값은 아니다.
BIP-360은 무엇을 바꾸고 무엇은 막지 못하나
코인베이스가 꼽은 출발점은 출력 구조는 그대로 두고 서명만 갈아 끼울 수 있는 설계다. 후보로 거론된 것이 BIP(비트코인 개선 제안) 360번인 P2MR(Pay-to-Merkle-Root, 머클 루트 지불)과, 아직 공식 BIP 번호 없이 논의 단계에 있는 P2TRv2다. 코인베이스는 둘이 이런 유연성을 제공하는 것으로 보인다고 썼다.
BIP-360은 현재 초안(Draft) 단계의 소프트포크(기존 규칙을 좁히는 방식의 규칙 변경) 제안이다. 탭루트(P2TR) 출력과 거의 같은 기능을 하되 키 경로 사용을 없앴다. 다만 막아주는 범위가 좁다. 문서는 P2MR이 이미 공개된 키를 오래 두고 노리는 “장기 노출 공격”에만 저항한다고 밝혔다. 거래가 멤풀(처리 대기열)에서 확인을 기다리는 동안 드러난 공개키로 개인키를 복원하는 단기 노출 공격을 막으려면 양자내성 서명이 따로 필요하고, 키 경로를 쓸 때 누리던 증인(witness) 데이터 크기 이점도 잃는다.
저자들은 P2MR을 “보수적인 첫걸음”이라 불렀다. 초기 CRQC가 단기 노출 공격을 할 만큼 빠르지 않을 가능성이 커서 장기 노출 대비가 더 시급하다는 판단이다. 코인베이스는 여기에 1-of-2 구조를 얹자고 제안했다. 같은 자금에 사용 경로를 둘 두고 하나는 기존 ECDSA(타원곡선 디지털 서명)·슈노어 키로, 다른 하나는 양자내성 키로 승인하는 방식이다. 최종 서명 정책이 정해지기 전에도 활성 지갑이 먼저 쓸 수 있다는 점을 장점으로 들었다.
코인베이스도 이 방식을 만능으로 내세우지는 않았다. 모든 제약을 만족하는 단일 해법은 없을 수 있다고 인정했다.
양자내성 서명은 왜 비트코인에 그대로 옮기기 어렵나
코인베이스는 일반 인터넷 보안(TLS·PKI)에서 통하는 알고리즘 순위가 비트코인에는 그대로 적용되지 않는다고 설명했다. 비트코인의 서명은 블록체인에 영구히 저장되고 모든 노드가 검증하기 때문이다. 그래서 서명 크기가 블록 공간과 노드 검증에 주는 영향을 따져야 한다는 것이다.
그래서 코인베이스가 내놓은 평가 지표는 서명·키 크기, 검증 시간, 블록 용량과 처리량, 대표 수수료율에서의 수수료 비용, 풀노드 검증과 초기 동기화 영향, 취약한 출력을 옮기는 데 드는 시간과 수수료 등이다. 후보로는 ML-DSA와 SLH-DSA가 올랐고, 표준화되면 FN-DSA도 평가 대상이다. 어느 쪽이 낙점될지는 정해지지 않았다.
상태(state)를 기억해야 하는 서명 방식은 따로 짚었다. 서명이 작고 빠를 수 있지만 상태 관리가 “악명 높게 오류가 잦다”고 코인베이스는 지적했다. 상태 관리 실수가 위조로 이어질 수도 있으니 지원하더라도 상태가 필요 없는 방식을 함께 두라고 했다. 수탁업체의 사정도 담겼다. 키를 여러 조각으로 나눠 서명하는 다자간 계산(MPC) 방식과 맞는 양자내성 체계가 하나는 포함돼야 한다는 요구다.
외부 시계도 있다. 미국 국립표준기술연구소(NIST)의 IR 8547 초안은 ECDSA 같은 서명을 2035년 이후 미 연방정부에서 쓰지 못하게 하는 일정을 제시했다. 비트코인에 걸린 시한은 아니고, 초안 단계의 연방정부 대상 지침이다.
오래 잠든 코인과 수탁 자산은 어떻게 다루자고 했나
코인베이스는 휴면·분실·노출 자금을 서명 교체와 별개의 거버넌스·엔지니어링 문제로 다루는 편이 낫다고 봤다. 공개키가 영구 노출된 출력, 재사용된 키, 휴면 상태지만 정당한 소유자가 있는 자금, 분실된 키, 사토시 시대나 소수에 집중된 보유분이 고려 항목으로 올랐다. 동결, 일몰, 속도 제한, 구제 같은 방안도 선택지에 나열됐지만 코인베이스가 어느 하나를 지지한 것은 아니다. 구제 경로 자체도 양자에 안전해야 한다는 조건만 붙었다.
끝내 옮기지 못한 지갑이 남는 문제는 코인베이스도 “열린 질문”이라 했다. 이 질문은 양자내성 서명 지원 작업과 독립적으로 진행할 수 있고, 그 작업을 늦출 이유가 되지 않는다는 것이 입장이다. 어려운 문제는 떼어 두고 서명 교체부터 진행하자는 구상이다.
거래소나 수탁업체에 맡긴 코인이라면 사실상 업체의 키 관리 문제가 된다. 파이어블록스(Fireblocks)의 마이클 거트킨 리서치 부사장은 노출 여부가 “공개키가 이미 온체인에서 보이는지에 달려 있다”고 말했다. 그는 기관이 노려야 할 목표가 “일회성 대규모 이전”은 아니라고 봤다. 새 입금 주소와 거스름 주소를 쓰며 키를 꾸준히 관리하는 방식을 선호한다고 했다.
BIP-360은 아직 초안 단계다. 코인베이스는 앞으로 나올 최종 권고에 1순위 서명 체계와 대체안, 제외 사유를 함께 담자고 제안했다.
연관 기사
Be the first to leave a comment