비트코인 양자내성 초안, 서명 최대 5777바이트

비트코인(BTC)용 양자내성 서명체계 SHRINCS 초안이 공개되며 장기 보안 업그레이드 논의가 구체 문서 단계로 내려왔다. 공개 저장소는 문서 상태를 'BIP: ?', 'Status: Draft'로 표시하고 있어 메인넷 적용을 전제로 한 완성 규격은 아니다.

SHRINCS 문서는 이 체계를 비트코인 거래 승인에 쓰기 위한 해시 기반 양자내성 서명 방식으로 설명한다. SHA256을 기반으로 미국 국립표준기술연구소(NIST) 보안 카테고리 1을 목표로 한다고 적었지만, 보안 증명 항목은 아직 'TODO'로 남아 있다.

이번 논의의 초점은 양자컴퓨터가 당장 비트코인을 위협한다는 데 있지 않다. 공개키가 노출될 수 있는 환경에서 장기적으로 서명 체계를 어떻게 바꿀지, 그 과정에서 블록 공간과 지갑 사용성을 어디까지 감당할 수 있는지가 쟁점이다.

블록스트림(Blockstream)은 2026년 5월 12일 공개한 글에서 OP_CHECKSHRINCS를 비트코인용 양자내성 서명 검증 오퍼코드 제안으로 소개했다. 별도 양자 대응 페이지에서는 2026년 3월 3일 리퀴드(Liquid) 네트워크에서 첫 양자내성 서명 거래를 확인했다고 밝혔다.

블록스트림은 이 방식이 네트워크 전체 자금을 일괄 이전하는 강제 업그레이드가 아니라 미사용거래출력(UTXO) 단위의 선택형 적용에 가깝다고 설명했다. 이용자가 필요한 출력에 양자내성 보호를 붙이는 방식이라는 뜻이다.

기술적 장점은 서명 크기를 줄이려는 시도에 있다. 공개 초안은 SHRINCS 공개키를 48바이트, stateful 서명을 548~4619바이트, stateless 서명을 5777바이트로 제시했다.

이 수치는 비트코인 탭루트의 슈노르 서명보다 크다. 다만 표준 양자내성 서명 후보를 그대로 쓰는 경우보다 블록 공간 부담을 낮추려는 설계라는 점에서 실험의 의미가 있다.

비용은 지갑 운용으로 넘어간다. SHRINCS는 상태를 추적하는 FXMSS 경로와, 상태 관리가 깨졌을 때 쓰는 stateless SLH-DSA 경로를 한 공개키 아래 묶는다.

초안은 같은 키로 같은 상태값을 다시 써 서명하면 보안 취약점이 된다고 경고했다. 지갑은 서명 횟수를 영구 저장소에 먼저 반영한 뒤 서명을 반환해야 한다.

이 대목은 한국 이용자에게도 낯설지 않다. 지갑 복구문구와 실제 지갑 구현의 간극이 이미 이용자 경험의 변수로 지적된 것처럼, 양자내성 서명도 수학적 안전성만으로 끝나지 않는다.

백업 복원, 다중 기기 동기화, 외부 지갑 반입 과정에서 상태값이 어긋나면 compact 경로를 계속 쓰기 어렵다. 상태를 잃은 지갑은 더 큰 stateless 서명 경로로 내려갈 수밖에 없다.

공개 토론에서도 같은 우려가 제기됐다. 패트릭 세리(Patrick Cerri)는 비트코인 개발 메일링리스트에서 상태 유지가 사용자에게 예상보다 훨씬 어렵다고 지적했다.

이에 대해 컨듀이션(conduition)은 현재 공개된 SHRINCS 버전이 비트코인에 최종 제안될 버전은 아니며, 더 유연한 XMSS 구조를 검토하고 있다고 답했다. 논의가 서명 알고리즘 자체보다 지갑 복구와 동시 사용 문제로 옮겨가고 있다는 해석이 나온다.

수치도 아직 정리 단계다. 블록스트림의 양자 대응 페이지는 리퀴드에서 확인한 서명 자체를 324바이트로 소개했고, 5월 글은 전용 서명 장치의 primary device 서명을 약 580바이트로 설명했다.

반면 공개 초안은 stateful 서명 범위를 548~4619바이트로 적었다. 문서별 파라미터와 버전 차이로 읽히지만, 최종 비교 기준은 아직 확정되지 않았다.

비트코인 개선안은 기술 설계만으로 채택되지 않는다. 앞서 BIP-110 논쟁에서도 채굴자와 노드 운영자의 합의 문제가 핵심 변수로 드러났다. SHRINCS 역시 서명 크기, 검증 비용, 지갑 구현, 합의 변경 부담을 함께 통과해야 한다.

현재 단계의 의미는 가격 재료가 아니라 비트코인 보안 로드맵의 실험이 구체 문서로 제시됐다는 데 있다. 초안에는 보안 증명과 최종 파라미터, 지갑 운용 방식 검증이 다음 과제로 남아 있다.