양자 해킹 경고에 BTCPay 취약점까지…크립토 보안·규제 리스크 커졌다

암호화폐 업계가 보안과 규제 이슈로 다시 긴장하고 있다. 블록체인 창업자는 ‘양자컴퓨터’가 현실화될 경우 첫 공격은 대형 탈취보다 평범한 지갑 해킹처럼 보일 수 있다고 경고했고, BTCPay Server는 치명적 취약점 악용 뒤 라이트닝 네트워크 접근을 제한했다. 미국 상원은 ‘CLARITY Act’의 9월 절차 표결을 예고하며 크립토 규제 논의도 재점화했다.

코인텔레그래프에 따르면, 블록체인 스타트업 퀀터스 네트워크(Quantus Network)의 창업자이자 CEO인 크리스토퍼 스미스(Christopher Smith)는 양자컴퓨터가 기존 공개키 암호를 깨는 순간, 그 징후가 ‘대규모 해킹’처럼 드러나지 않을 수 있다고 말했다. 그는 “키가 깨졌다고 해서 공격자가 어떻게 침투했는지 통보받는 것은 아니다”라며, 온체인에 공개된 키를 바탕으로 비밀키를 역산해 자금을 빼갈 수 있다고 설명했다.

스미스의 경고는 이른바 ‘Q-day’, 즉 양자컴퓨터가 표준 공개키 암호를 무력화하는 시점이 생각보다 조용하게 올 수 있다는 점에 초점을 맞춘다. 특히 보안 체계가 잘 갖춰진 기관일수록 외부 침입 흔적이 없기 때문에, 오히려 이상 출금만 대거 발생하는 형태가 될 수 있다는 분석이다. 최근 양자 알고리즘이 발전하면서 비트코인(BTC) 등 주요 블록체인이 사용하는 타원곡선암호를 공격하는 데 필요한 연산 자원 추정치도 낮아지고 있다.

실제 보안 취약점과 대응

보안 이슈는 실제 피해로도 이어졌다. BTCPay Server는 라이트닝 네트워크 다이몬(LND) 기반 노드에 대한 공개 원격 연결을 일시 차단했다. 공격자가 치명적 취약점을 악용해 인증 정보를 탈취한 뒤 자금을 이동시킨 사실이 확인된 뒤다. BTCPay는 외부 지갑이 도커 배포 환경의 서버 도메인이나 토르(onion) 주소를 통해 연결되는 기능을 막았고, 라이트닝 결제 자체는 계속 운영된다고 밝혔다.

프로젝트는 2.4.2 버전에 LND 0.21.1을 포함하고, 일반 설치 환경에서는 마카롱 자격증명을 자동 재생성하도록 했다. 운영자들에게는 비정상 결제, 예기치 않은 채널 종료, 낯선 피어, 온체인 및 라이트닝 잔액 불일치 등을 점검하라고 권고했다. 이번 사건은 콜드카드(Coldcard) 하드웨어 지갑 취약점에 이어 나온 사례로, 비트코인 네트워크 자체보다 이를 둘러싼 소프트웨어 생태계의 취약성이 다시 부각되고 있다.

미국 상원의 규제 논의 재개

규제 측면에서는 미국 상원이 ‘CLARITY Act’ 논의를 되살렸다. 상원 다수당 원내대표인 존 튠(John Thune)이 9월 회기 재개 이후 이 법안을 상정하기 위한 ‘클로처’ 절차 표결을 예고한 것이다. 클로처는 토론을 마무리하고 본격 심의로 넘어가기 위한 절차로, 통과에는 60표가 필요하다. 공화당만으로는 부족해 민주당 표가 일부 필요하다.

법안이 곧바로 통과되는 것은 아니지만, 시장 구조를 둘러싼 미국의 입법 논의가 다시 속도를 내고 있다는 점은 의미가 크다. CLARITY Act는 디지털자산에 대한 연방 차원의 시장 구조를 정비하고, 증권거래위원회(SEC)와 상품선물거래위원회(CFTC)의 권한을 나누는 내용을 담고 있다. 다만 윤리 조항과 스테이블코인 보상 규정을 둘러싼 이견은 여전히 남아 있으며, 트럼프 대통령의 크립토 관련 이해상충 문제를 둘러싼 조정도 변수로 거론된다.

결국 이번 이슈는 크립토 시장이 ‘보안’과 ‘규제’라는 두 축에서 동시에 압박을 받고 있음을 보여준다. 양자컴퓨터라는 장기 리스크부터 실제 지갑·인프라 취약점, 그리고 미국 의회의 입법 속도까지 맞물리며 시장의 경계감은 당분간 이어질 가능성이 크다.