팔콘-1024, 비트코인 후속 서명 후보로 꼽혔다

비트코인(BTC)의 양자컴퓨터 대응 논의가 서명 알고리즘 선택을 넘어 지갑과 노드 인프라 설계 문제로 옮겨가고 있다. 핵심은 더 강한 수학적 구조보다 비트코인 체인에 실제로 적용할 수 있는 비용과 배포 조건이다.

비트코인 인프라 개발사 블록스트림(Blockstream)은 26일 연구 글에서 비트코인 후속 서명 후보로 딜리시움(Dilithium), 팔콘(Falcon), 호크(Hawk)를 비교했다. 블록스트림은 공개키와 서명을 합친 크기를 핵심 비용으로 봤다. 출력이 쓰일 때마다 모든 풀노드가 해당 바이트를 내려받고 저장해야 하기 때문이다.

블록스트림이 제시한 수치상 3등급 딜리시움은 공개키 1952바이트, 서명 3309바이트로 합계 5261바이트다. 팔콘-512는 합계 1563바이트, 팔콘-1024는 3073바이트다. 호크는 555바이트 서명이라는 장점이 있었지만 현재는 표준화 후보에서 철회된 상태다.

이 수치는 기존 비트코인 서명 구조와 비교할 때 부담의 성격을 보여준다. 현재 쓰이는 슈노르 서명은 공개키 32바이트, 서명 64바이트로 합계 96바이트다. 비트코인에 새 서명체계를 넣으려면 지갑 업데이트뿐 아니라 노드 검증, 블록 용량, 수수료 구조까지 함께 영향을 받는다.

딜리시움은 구현이 단순한 후보로 평가됐다. 정수 연산을 쓰고 플로팅포인트나 이산 가우시안 샘플링을 요구하지 않아 상수시간 구현 부담이 상대적으로 낮다. 다만 3등급 기준 온체인 비용이 크다는 점이 약점으로 꼽혔다.

딜리시움은 BIP-32식 키 파생에 가장 가까운 후보라는 장점도 있다. 그러나 블록스트림은 공개된 변형들이 아직 배포 가능한 수준은 아니라고 선을 그었다. 표준 검증기와 다르거나, 완전한 비가해성 증명이 없거나, 모든 키의 보안이 하나의 공통 행렬에 묶이는 문제가 남았다는 설명이다.

팔콘은 크기와 검증 속도에서 앞선 후보로 분류됐다. 미국 국립표준기술연구소(NIST)는 팔콘을 FN-DSA 표준화 대상으로 선택했고, FIPS 206으로 개발을 진행하고 있다. 블록스트림은 세 후보 가운데 팔콘이 가장 작고 검증도 빠르다고 평가했다.

다만 팔콘도 배포 부담이 작지 않다. 블록스트림은 팔콘-1024가 약 90kB 램을 쓰는 샘플러를 필요로 한다고 설명했다. 결정적 정수 에뮬레이션을 쓰면 서명 속도는 약 15배 느려지고 키 생성도 약 2배 느려진다.

호크는 최근 비교에서 경고 사례로 남았다. 앤트로픽(Anthropic)은 7월 28일 호크 설계에서 구조적 약점을 발견했다고 발표했다. NIST는 이후 호크 개발팀이 표준화 검토에서 알고리즘을 철회했으며, 이 발견이 ML-DSA 같은 확정 표준에는 영향을 주지 않는다고 설명했다.

포스트양자 암호는 충분히 큰 양자컴퓨터가 기존 공개키 암호를 공격할 수 있다는 전제에서 출발한다. 비트코인의 거래 승인에는 서명이 들어가고, 블록체인은 이 데이터를 모든 노드가 검증·보관하는 구조다. 일반 정보기술 시스템보다 서명 크기와 검증 비용이 더 직접적인 제약으로 작용한다.

NIST는 2024년 8월 13일 ML-DSA, SLH-DSA, ML-KEM을 포스트양자 암호 표준으로 확정했다. 포스트양자 암호 전환은 비트코인과 이더리움의 장기 보안 과제로 다뤄져 왔다. 다만 표준이 마련됐다는 사실만으로 비트코인 적용 방식이 정해지는 것은 아니다.

비트코인 개발 메일링리스트에서도 논의는 이어지고 있다. 26~27일에는 'BIP 324의 포스트퀀텀 경로'와 '비트코인을 위한 해시 기반 서명 슈링크스(SHRINCS) 초안'이 올라왔다. 2025년 2월 BIP-360 업데이트 스레드에서는 팔콘을 우선 후보로 보면서도 BIP-32 호환성, watch-only xpub, 멀티시그 처리가 과제로 지목됐다.

시장 구조상 이해관계자는 넓다. 풀노드는 더 큰 서명 데이터를 장기 보관해야 하고, 하드웨어 지갑 제조사는 제한된 램과 연산 성능 안에서 서명을 생성해야 한다. 거래소와 수탁 사업자는 멀티시그와 키 관리 절차를 바꿔야 할 수 있다.

국내 투자자에게도 이 논의는 단순한 기술 논문 이상의 의미가 있다. 비트코인 보관 방식, 거래 수수료, 지갑 호환성은 장기 보유자와 수탁 서비스 이용자에게 직접 닿는 문제다. 다만 이번 논의는 가격 전망이나 단기 시장 재료가 아니라 프로토콜 보안 설계에 관한 검토다.

블록스트림은 격자 기반 서명만 놓고 당장 하나를 골라야 한다면 팔콘-1024를 택하겠다고 밝혔다. 그러나 단기 보수안은 여전히 해시 기반 서명이라고 했다. 비트코인 양자내성 논의는 후보 이름보다 체인 비용, 하드웨어 지갑 램, 키 파생, 멀티시그 같은 배포 조건을 먼저 따지는 단계에 들어섰다.