비트코인 공개키 노출 604만 BTC…비트고, 기관 지갑 위험 관리

비트고(BitGo)가 기관용 비트코인(BTC) 지갑에 공개키 노출을 점검하고 줄이는 양자 위험 관리 기능을 적용했다. 이번 조치는 비트코인 전체 프로토콜을 양자내성 구조로 바꾸는 업그레이드가 아니라 기관 커스터디 운영 단계의 보완책이다.

비트고는 7월 9일 관련 기능을 발표한 뒤 7월 22일 적용을 완료했다. 새 기능은 ‘Quantum Risk Score’, ‘Fix Exposed Addresses’ 절차, 미사용 트랜잭션 출력(UTXO) 선택 방식, 기본 주소 설정 등 네 가지로 구성됐다.

‘Quantum Risk Score’는 지갑 내 자금 가운데 공개키가 블록체인에 이미 노출된 비중을 보여주는 지표다. 비트코인 주소에서 자금이 사용되면 해당 주소의 공개키가 블록체인에 드러날 수 있다.

현재 전통적 컴퓨터로 공개키에서 개인키를 계산하는 것은 현실적으로 어렵다. 다만 충분히 강력한 양자컴퓨터가 등장하면 비트코인에 쓰이는 타원곡선 암호가 공격받을 수 있다는 우려가 있다.

‘Fix Exposed Addresses’는 공개키가 노출된 주소의 자금을 같은 지갑에서 새로 생성한 주소로 옮기는 절차다. 지갑의 소유권과 정책은 유지하면서 주소를 바꾸는 방식이다.

비트고는 주소별 UTXO를 묶고 우선순위를 정해 부분 지출 과정에서 불필요한 공개키 노출이 생기는 것을 줄이도록 설계했다. UTXO는 아직 사용되지 않은 비트코인 거래 출력 단위로, 어떤 UTXO를 먼저 쓰는지가 공개키 노출 정도에 영향을 줄 수 있다.

기본 주소 설정도 공개키 노출 가능성을 낮추는 방향으로 조정됐다. 다만 탭루트(Taproot)와 페이투퍼블릭키(Pay-to-Public-Key)처럼 생성 단계부터 공개키가 드러나는 주소 유형은 별도 조치가 필요하며 이번 기능의 적용 범위에는 포함되지 않는다.

글래스노드(Glassnode)는 5월 20일 보고서에서 공개키가 노출된 비트코인을 604만 BTC로 집계했다. 이는 전체 발행량의 30.2%에 해당한다.

글래스노드는 이 수치가 현재 공개키 노출 상태를 나타내는 분석치라고 설명했다. 실제 도난 가능 자금 규모나 미래의 모든 양자 공격에 취약한 자금 규모와 같은 의미는 아니다.

비트코인 개발자 커뮤니티에서는 주소 관리만으로 해결하기 어려운 위험과 프로토콜 차원의 대응이 함께 논의되고 있다. BIP-360은 장기간 공개키가 노출되는 문제와 주소 재사용에 따른 위험을 구분하고, 새로운 출력 유형과 서명 체계의 필요성을 다루는 초안이다.

앞서 본지는 비트코인 양자 대응에서 BIP-360 초안과 새로운 출력 형식이 논의되고 있다는 점을 전했다. BIP-360은 아직 초안 단계여서 실제 비트코인 네트워크에 적용되는 일정은 정해지지 않았다.

비트고의 기능은 공개키가 아직 노출되지 않은 주소를 사용하고, 주소 재사용과 부분 지출에 따른 노출을 줄이며, 이미 노출된 자금을 새 주소로 옮기는 데 초점을 맞춘다. 반면 비트코인 전체를 양자내성 서명으로 전환하는 네트워크 업그레이드를 대신하지는 않는다.

비트고 커뮤니티 게시판에는 기관 지갑용 기능 출시 소식이 공유됐고 게시물에는 5개의 추천이 표시됐다. 다만 이는 비트고가 운영하는 커뮤니티의 반응으로, 기관 고객의 실제 도입 규모나 시장 가격에 미친 영향으로 해석할 수 있는 자료는 아니다.

국내에서도 거래소와 수탁업체의 주소 재사용 축소와 공개키 노출 관리가 우선 대응 과제로 거론됐다. 대규모 자산을 관리하는 기관 지갑은 주소 생성과 키 승인, UTXO 선택 정책을 함께 점검해야 하는 구조다.

비트고의 기관 고객 수와 해당 기능을 실제 사용하는 고객 비중, 독립적인 보안성 감사 결과는 공개되지 않았다. 현재 양자컴퓨터가 비트코인 개인키를 해독할 수 있다는 사실도 확인되지 않았다.

이번 출시는 양자 공격이 현실화했다는 의미가 아니라 기관 지갑 운영에서 장기 보안 위험을 관리하기 시작한 사례다. 비트고 기능은 커스터디 운영 단계의 보완책으로 적용됐으며, 네트워크 차원의 양자내성 전환은 별도 논의 과제로 남아 있다.