스타크웨어, 소프트포크 없이 비트코인 964번 블록서 양자내성 거래 첫 완료

스타크웨어(StarkWare)가 양자컴퓨터 공격에도 안전하도록 설계된 비트코인(BTC) 거래를 메인넷에서 실제로 완료했다고 밝혔다. 8월 26일(현지시각) 블록 964,199에 포함된 거래 305a24ff…ab07은 비트코인 합의 규칙을 전혀 바꾸지 않고 처리됐다. 이 거래는 스타크웨어의 “퀀텀 세이프 비트코인(Quantum Safe Bitcoin, QSB)” 설계를 적용한 사례로, 회사와 연구자 아비후 레비(Avihu Levy)는 이를 “최초의 양자내성 비트코인 거래”라고 소개했다. 다만 온체인 기록은 이 거래가 블록에 포함됐다는 사실만 증명할 뿐, 양자 공격에 대한 저항력 자체를 독립적으로 검증해 주지는 않는다.

블록 964,199에 새겨진 거래의 실체

블록스트림(Blockstream) 기록에 따르면 이 거래는 39,179사토시와 10,000사토시 두 입력을 합쳐 4만4,000사토시 출력 하나를 만들었고 수수료로 5,179사토시를 지불했다. 거래 크기는 1,403바이트였다. 보호 대상이 된 1만 사토시 출력을 담고 있던 원천 자금 거래는 앞서 7월 16일(현지시각) 확인됐으며 크기는 1만125바이트, 수수료는 3만 사토시였다.

이 거래는 비트코인 코어의 기본 중계 정책상 “비표준(Non-Standard)” 거래로 분류됐다. 멤풀닷스페이스(Mempool.space)는 이 거래를 “Non-Standard”이자 “Not seen in Mempool”로 표시했고, 채굴자는 마라풀(MARA Pool)로 확인됐다. 스타크웨어는 마라의 슬립스트림(Slipstream) 서비스를 통해 직접 채굴 경로를 확보했다고 밝혔다. 일반 노드는 이런 비표준 거래를 확정 전에 전파하지 않기 때문에 채굴자에게 직접 제출하는 과정이 필요했다. 스타크웨어 대변인 네이선 제프리(Nathan Jeffay)는 이번 계산에 약 150~200달러, 수 시간의 연산이 들었다고 말했다.

소프트포크 없이 어떻게 양자내성을 구현했나

QSB는 비트코인의 기존 레거시 스크립팅 규칙을 그대로 활용해 소프트포크 없이 동작하도록 설계됐다. 이 방식을 고안한 아비후 레비는 스타크웨어의 애플리케이션 부문 제너럴 매니저로, 지난 4월(현지시각) 관련 연구를 처음 공개했다. 스타크웨어 엔지니어 토메르 길라디(Tomer Giladi)가 이 설계를 실제 메인넷 거래로 구현하는 작업을 맡았다.

레비의 오픈소스 구현체는 해시 기반 일회용 서명과 “해시-투-시그니처” 퍼즐을 결합한다. 이 퍼즐의 안전성은 타원곡선을 깨는 난이도가 아니라 RIPEMD-160 해시함수의 프리이미지(preimage) 저항성에 달려 있다고 설명한다. 구체적으로는 시퀀스·락타임 값을 오프체인에서 반복 탐색해 거래에 결속된 공개키의 RIPEMD-160 해시가 유효한 DER 인코딩 ECDSA 서명처럼 보이는 값을 찾는 과정을 거친다. 이런 값이 나올 확률은 약 2의 46제곱분의 1로 추정된다. 이후 두 차례 추가 탐색을 거쳐 더미 서명들의 부분집합을 고르고, 선택된 인덱스가 거래의 식별자 역할을 하며 조립 단계에서 HORS 프리이미지를 추출한다. ECDSA 서명 절차는 여전히 검증 경로에 남아 있지만 레비의 설명에 따르면 이는 “단지 하나의 수단”일 뿐이며 실제 보안은 해싱에서 나온다.

이 원리는 QSB가 대응하려는 위협과도 맞물린다. 공개키가 감춰져 있던 주소라도 코인을 쓰려면 서명을 공개해야 하고, 그 서명이 채굴되기 전까지 멤풀에 노출된 상태로 머문다. 이 틈을 이용해 양자컴퓨터가 공개키를 읽고 개인키를 역산해 코인을 먼저 가로챌 수 있다는 게 우려의 핵심이다. QSB는 여기에 해시함수 기반의 두 번째 잠금장치를 추가해 쇼어 알고리즘(Shor’s algorithm)으로는 풀 수 없는 구조를 만든다. 이런 “서명 그라인딩(signature grinding)” 기법은 비트VM(BitVM) 창시자 로빈 라이너스(Robin Linus)가 제시한 바이노해시(Binohash) 개념을 참고했다.

앞서 지난 3월(현지시각) 구글 연구진은 충분한 성능의 양자컴퓨터가 공개키 노출 후 9~12분 안에 비트코인 개인키를 역산할 수 있다고 추정한 바 있다. 구글은 이 경우 공격자가 확정 대기 중인 거래를 가로채 대체할 수 있다고 설명했다. 레비는 지난 4월(현지시각) 제안 당시 거래 하나를 생성하는 데 75~150달러의 GPU 연산 비용이 들 것으로 추산했는데, 실제 메인넷에서 완료된 거래의 비용은 이보다 다소 높은 150~200달러 선으로 나타났다.

“안전망일 뿐, 만능은 아니다”

스타크웨어는 QSB가 비트코인 전체를 양자컴퓨터로부터 안전하게 만드는 기술이 아니라고 분명히 밝혔다. 이 방식은 코인을 특수하게 설계된 출력으로 옮긴 뒤에야 보호 효과가 생기며, 기존의 일반적인 ECDSA나 슈노어(Schnorr) 서명으로 지켜지던 보유분을 사후적으로 보호해 주지는 않는다. 공개키가 보호 거래 전송 이전에 이미 노출된 주소라면 QSB로도 구제할 수 없다고 회사는 설명했다.

레비의 논문 역시 이 방식을 “최후의 수단”으로 규정했다. 오프체인 연산량과 온체인 비용 구조가 비트코인이 예상하는 사용자 수와 처리량 규모에는 맞지 않고, 거래 생성 과정이 일반적인 비트코인 사용보다 훨씬 복잡하며, 라이트닝 네트워크(Lightning Network) 채널 같은 용도는 아예 다루지 못한다는 한계도 함께 지적됐다.

비트코인 개발자들의 대안, 소프트포크는 여전히 진행형

스타크웨어 CEO 엘리 벤 사손(Eli Ben-Sasson)은 이번 실험을 해결책이 아닌 안전장치로 규정했다. 그는 프로토콜 차원의 보호 장치가 마련되기 전까지 레비의 방식이 임시 안전망 역할을 할 수 있다고 말하면서도 “소프트포크는 일어나야 하고, 나는 그렇게 될 것이라고 믿는다”고 밝혔다. 레비 역시 같은 입장으로, 지난 4월 논문에서부터 QSB를 프로토콜 개선을 대체할 방법이 아니라 임시방편으로 소개했다.

실제로 비트코인 개발자들 사이에서는 별도로 BIP-360이라는 소프트포크 제안이 논의되고 있다. 탭루트(Taproot)의 양자 취약점인 키패스 지출 방식을 제거하고 새로운 페이-투-머클-루트(Pay-to-Merkle-Root) 출력 유형을 도입하는 내용으로, 이 방안이 실현되려면 네트워크 전체의 조율과 활성화 절차가 필요하다. 앞서 비트코인 발행량 중 상당수가 공개키 노출로 양자컴퓨터 위협에 노출돼 있다는 분석이 여러 차례 제기된 바 있다. 스타크웨어는 이번 거래가 프로토콜을 바꾸지 않고도 개별 코인을 보호할 수 있는 방법 하나를 실증했을 뿐이라고 선을 그었다.