How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

큐비트 추정치, 하드웨어 궤적 및 숫자의 크기 순서 붕괴가 ECDSA 보안 블록체인에 대해 무엇을 의미하는지에 대한 조사입니다.

Bitcoin의 전체 보안 모델은 한 가지 가정에 기초합니다. secp256k1 ECDSA 계산적으로는 불가능합니다.

그 가정은 곧 죽을 것입니다.

Peter Shor는 1994년에 이를 증명했습니다. 그의 알고리즘을 실행하는 충분히 강력한 양자 컴퓨터는 공개 키에서 개인 키를 파생할 수 있습니다. 분 — 몇 년이 아니라 수십 년, 몇 분이 아닙니다. 남은 유일한 질문은 컴퓨터에 필요한 큐비트 수입니다. 문헌에는 답이 있으며, 다시 방문할 때마다 하향 수정되었으며 이제 Bitcoin 보유자가 믿고 싶어하는 것보다 훨씬 더 가까워졌습니다.

secp256k1와 이산대수 문제

모든 Bitcoin 거래는 다음에 지정된 256비트 타원 곡선인 secp256k1 곡선에서 ECDSA로 인증됩니다. 초 2 2009년 나카모토 사토시(Satoshi Nakamoto)가 채택했습니다. 이 계획의 보안은 다음 사항에 달려 있습니다. 타원곡선 이산대수 문제(ECDLP): 공개 키가 제공됨 Q = 킬로그램, 스칼라를 구하세요 k.

일반적으로 가장 잘 알려진 공격(Pollard's rho)에는 ~2가 필요합니다.¹²⁸ 운영. 초당 1조 번의 작업을 수행하면 우주의 나이보다 더 오랜 시간이 걸립니다. 이 문제는 클래식 기계에서는 정말 어렵습니다.

양자 기계에는 어렵지 않습니다. 1994년 Peter Shor는 이산 로그 문제를 해결하는 양자 알고리즘을 발표했습니다. 다항식 시간, 기존 컴퓨터에서 수십억 년이 걸리는 작업을 몇 분 만에 측정 가능한 계산으로 줄입니다. 이 알고리즘은 양자 중첩을 활용하여 기하급수적으로 많은 후보를 병렬로 평가한 다음 양자 푸리에 변환을 사용하여 기간을 추출하여 개인 키를 생성합니다.

secp256k1의 ECDSA는 Shor의 알고리즘이 설계된 문제 클래스에 완전히 속합니다. 이것은 추측이 아닙니다. 이는 32년 전에 발표되었으며 단 한 번도 반박된 적이 없는 수학적 증명입니다.

논리적 큐비트와 물리적 큐비트: 추정치가 서로 다른 이유

대중적인 보도의 혼란은 근본적으로 다른 두 가지 지표를 혼동하는 데서 비롯됩니다. 논리적 큐비트 Shor의 알고리즘에 필요한 오류가 수정되고 수학적으로 완벽한 단위입니다. 물리적 큐비트 각 논리 큐비트를 생성하기 위해 그룹화하고 오류를 수정해야 하는 시끄럽고 오류가 발생하기 쉬운 하드웨어 요소입니다.

ECDLP 큐비트 비용에 관한 문헌이 최신순입니다. 이동 방향을 확인하세요.

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

표를 위에서 아래로 읽으면 이야기가 저절로 쓰여집니다. 논리적 큐비트 요구 사항은 2,000–2,500에서 유지되지 않았습니다. 그것은 떨어졌다 1,200–1,450. 물리적 오버헤드는 2,000만 달러나 3억 1,700만 달러를 유지하지 못했습니다. 그것은 떨어졌다 500,000 미만 — 그리고 중성 원자 하드웨어에서는 대략적으로 26,000. 공격 런타임은 몇 시간 동안 지속되지 않았습니다. 그것은 떨어졌다 분.

이는 더 나은 회로가 더 나은 오류 수정을 충족할 때 발생하는 현상입니다. 업계가 발표한 모든 추정치는 매년 자신들이 너무 비관적이었다는 것을 발견한 사람들이 작성한 상한선이었습니다. Bitcoin의 수비수들은 2017년 수치를 인용합니다. Google은 2026년 버전을 게시했습니다.

이해상충 문제

이러한 숫자를 특정 방향으로 구성함으로써 누가 이익을 얻는지는 주목할 가치가 있습니다.

수십억 달러에 달하는 BTC 노출을 보유한 MicroStrategy 및 Marathon Digital과 같은 Bitcoin 극대주의자들과 대규모 기관 보유자들은 양자 위협을 멀리 있거나 과장된 것으로 특징짓는 분명한 동기를 가지고 있습니다. 이것은 의도에 대한 추측이 아닙니다. 이는 인센티브 구조에 대한 관찰입니다. 다른 산업에서도 동일한 역동성이 나타났습니다. 담배 회사는 흡연에 대한 수십 년간의 반대 연구에 자금을 지원했고, 화석 연료 회사는 기후 모델에 대한 의심에 자금을 지원했습니다. 재정적 노출은 동기 부여된 추론을 낳습니다.

이러한 관심사가 계속 반복되는 숫자를 확인하세요. 편안한 것들. 아홉 살짜리 아이들. Roetteler의 2,330개 논리적 큐비트는 2,000:1의 넉넉한 오류 수정 비율과 결합되어 "수십년 뒤에 있는 수백만 개의 물리적 큐비트"라는 안심할 수 있는 헤드라인을 생성합니다. 대체된 입력에 대해 수행되는 산술입니다.

현재 입력은 500,000개 미만의 물리적 큐비트 내에 1,200~1,450개의 논리적 큐비트(분 단위) (구글 양자 AI, 2026년 3월). IBM이 발표한 로드맵에 따르면 Starling의 논리 큐비트는 약 200개입니다. 2029 Blue Jay는 약 2,000개 이상의 논리적 큐비트를 가지고 있습니다. 2033년에는 물리적 큐비트가 100,000개 — 여유 공간이 있는 요구 사항을 곧바로 통과합니다. Google의 Hartmut Neven은 그의 팀이 암호화 관련 양자 컴퓨팅을 기대한다고 공개적으로 밝혔습니다. 2029년까지. 현재 하드웨어와 위협 임계값 사이의 격차는 세대가 아닌 수년 단위로 측정됩니다. 하드웨어가 위로 이동하는 동안 대상이 아래로 이동하기 때문에 양쪽 끝에서 동시에 닫힙니다.

현재 하드웨어: 2026 스냅샷

현존하는 어떤 양자 컴퓨터도 secp256k1를 깨뜨릴 수 없습니다. 가장 잘 알려진 기계는 대략적으로 위치합니다. 2,500개의 물리적 큐비트, 그 중 어느 것도 규모에 따라 내결함성을 갖지 않습니다. 위협 모델은 즉각적이지 않고 미래 지향적입니다. 그러나 궤적은 현재 스냅샷보다 더 중요하며 결승선은 수십만 큐비트 더 가까워졌습니다.

두 가지 데이터 포인트에 주목할 필요가 있습니다. 첫째, IBM은 4년 동안 큐비트 수를 약 3배로 늘렸으며 로드맵이 공개되었습니다. 둘째, 2024년 12월 Google의 105큐비트 Willow 프로세서가 내결함성 경계: 물리적 큐비트를 더 추가하면 전체 시스템 오류가 증가하는 것이 아니라 감소하는 지점입니다. 기존 슈퍼컴퓨터로는 10분의 1 정도 소요되는 벤치마크를 5분 이내에 완료했습니다.²⁵ 연령. 이는 점진적인 개선이 아닌 질적 한계점입니다. 이는 이제 확장이 해를 끼치는 것이 아니라 도움이 된다는 것을 의미하며, 이것이 바로 위 표의 오류 수정 오버헤드가 그랬던 것처럼 축소된 이유입니다.

2022년에 발표된 NSA의 CNSA 2.0 권고는 모든 미국 국가 보안 시스템이 2035년까지 포스트 양자 암호화로의 마이그레이션을 완료하도록 요구합니다. 정보 기관은 원격으로 간주되는 위협에 대한 마이그레이션 기한을 공개하지 않습니다.

노출 표면: 604만 BTC

큐비트 수는 위험 방정식의 절반입니다. 다른 하나는 Bitcoin가 이미 암호화되어 노출된 정도. 해당 숫자도 이동했습니다. Bitcoin의 경우 잘못된 방향으로 이동했습니다.

Glassnode당, 2026년 5월 기준, 604만 BTC — 전체 공급량의 30.2%, 약 4,690억 달러 — 이미 공개 키가 온체인에 표시되어 있습니다. 분할은 유익합니다. 192만 BTC가 구조적으로 노출되어 있습니다. 애초에 키를 숨기지 않은 P2PK(pay-to-public-key) 출력에서 412만 BTC가 운영상 노출되어 있습니다. 주소 재사용을 통해 소유자가 지출하는 순간 키가 공개됩니다. 대충 170만 BTC Satoshi Nakamoto의 110만 개 주소를 포함하여 초기 P2PK 주소에 앉아 있습니다. 전체 중 약 230만 BTC는 돌이킬 수 없는 위험에 처해 있습니다.; 나머지 370만 마리는 소유자가 살아 있고 주의를 기울이고 의지가 있다면 여전히 이주할 수 있습니다.

이러한 키는 해시되지 않습니다. 이는 UTXO 세트에 원시 압축 공개 키로 저장되며, 전체 노드와 인터넷 연결이 있는 사람은 누구나 읽을 수 있습니다.

1,200~1,450개의 논리적 큐비트를 가진 CRQC는 Shor의 알고리즘을 사용하여 이들 중 하나에서 해당 개인 키를 파생할 수 있습니다. 악용이 없습니다. 취약점 발견이 없습니다. 제로데이는 없습니다. 공개적으로 사용 가능한 데이터에 대한 간단한 계산 — 전체 Bitcoin의 거의 3분의 1이 앞면에 답안이 인쇄되어 있는 공개된 상태로 놓여 있습니다.

동적 노출 창도 있으며, 여기에서 2026년 3월 런타임 수치가 학문적이지 않습니다. 누구든지 표준 P2PKH 주소에서 지출하면 공개 키가 멤풀로 브로드캐스트되고 블록 확인 전 평균 10분 동안 표시됩니다. 몇 시간이 걸리는 공격은 해당 창을 이용할 수 없습니다. 몇 분 안에 공격할 수 있습니다. Google의 추정은 단순히 날짜를 앞당기는 것이 아닙니다. 정적 허니팟 문제를 실시간 트랜잭션 문제로 변환합니다. 이는 주소를 재사용하지 않는 완벽하게 위생적인 ​​Bitcoin 사용자라도 코인을 이동할 때마다 노출된다는 의미입니다.

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

지금 수확하고 나중에 해독하세요

HNDL 위협 모델에는 현재 CRQC가 필요하지 않습니다. 단지 적만이 필요하다. 믿는다 하나는 수집되는 데이터의 유효 수명 내에 존재할 것입니다.

Bitcoin의 전체 거래 내역은 공개됩니다. P2PK 주소, 사용된 P2PKH 출력 또는 다중 서명 스크립트를 통해 노출된 모든 공개 키는 영구적으로 기록되며 무료로 다운로드할 수 있습니다. 장기간의 공격자는 지금 이 데이터를 수집하고 양자 하드웨어가 성숙되면 이를 해독할 수 있습니다. 키의 가치에 비해 저장 비용은 미미합니다.

이것은 이론적인 연습이 아닙니다. NSA의 CNSA 2.0 권고와 NIST의 8년간의 PQC 표준화 노력은 모두 미국 정부가 HNDL을 기존 암호화에 대한 신뢰할 수 있고 적극적인 위협으로 간주하기 때문에 존재합니다. 설계상 변경이 불가능하고 공개된 블록체인 데이터는 이 공격 클래스에 특히 취약합니다.

마이그레이션 문제

표준적인 반박은 위협이 구체화되면 Bitcoin가 포스트퀀텀 서명으로 업그레이드된다는 것입니다. 세 가지 구조적 제약으로 인해 보기보다 훨씬 더 어려워집니다.

거버넌스 대기 시간. Bitcoin의 합의 모델은 속도가 아닌 안정성을 최적화합니다. 서명 체계를 변경하지 않고 거래 직렬화를 수정한 SegWit 업그레이드는 4년간의 논쟁이 필요했고 경쟁 포크(Bitcoin Cash)가 생성되었으며 네트워크가 거의 영구적으로 분리되었습니다. 포스트퀀텀 마이그레이션은 네트워크의 모든 지갑에 대해 ECDSA를 교체해야 하며 훨씬 더 침입적입니다. 2026년 3월 현재 Bitcoin Core의 개발 로드맵에는 그러한 제안이 없습니다.

서명 오버헤드. SPHINCS+ 서명(NIST FIPS 205)은 7,856바이트입니다. Bitcoin의 현재 ECDSA 서명은 72바이트입니다. 109:1 비율. Bitcoin의 1MB 기본 블록 크기는 이미 초당 약 7개의 트랜잭션으로 처리량을 제한합니다. 근본적인 아키텍처 변경 없이 포스트퀀텀 서명을 수용하면 이를 거의 0으로 줄일 수 있습니다. 보상을 위해 블록 크기를 늘리면 2017년 포크 전쟁을 일으킨 것과 동일한 거버넌스 싸움이 다시 시작될 것입니다.

마이그레이션할 수 없는 키. 사토시 나카모토의 약 110만 BTC는 키가 분실된 것으로 추정되어 이동할 수 없습니다. 공개 키가 노출된 휴면 지갑에 추가로 수백만 BTC가 있는 경우에도 마찬가지입니다. 이러한 코인은 서명 체계 마이그레이션에 참여할 수 없으며 활성 지갑의 기능에 관계없이 무기한으로 취약한 상태로 유지됩니다. 수백만 개의 BTC가 동시에 도난당할 수 있다는 사실이 시장에 미치는 영향은 아무리 강조해도 지나치지 않습니다.

포스트 양자 암호화: NIST 표준

NIST는 2024년 8월 최초의 양자 이후 암호화 표준을 완성하여 수백 명의 암호화 전문가와 수십 개의 후보 알고리즘이 참여한 8년간의 평가를 마무리했습니다. 그 결과 블록체인 보안과 관련된 두 가지 주요 표준이 탄생했습니다.

• FIPS 203 — ML-KEM (Kyber): 격자 기반 키 캡슐화 메커니즘입니다. 보안은 Shor 및 Grover 알고리즘 모두에 저항하는 모듈 학습 오류 문제의 견고성에 달려 있습니다.
• FIPS 205 — SLH-DSA (SPHINCS+): 상태 비저장 해시 기반 디지털 서명 방식입니다. 보안은 해시 출력 길이를 늘려 쉽게 대응할 수 있는 Grover 알고리즘의 2차 이점 외에 알려진 양자 속도 향상이 없는 문제 클래스인 해시 함수의 충돌 저항에만 의존합니다.

이러한 표준은 암호화 커뮤니티가 기존 공개 키 암호화에 대한 양자 위협이 문제가 아니라는 합의에 도달했기 때문에 존재합니다. if 하지만 언제. ECDSA, RSA 또는 EdDSA를 사용하는 모든 시스템에 대한 관련 질문은 CRQC가 작동하기 전에 이러한 표준으로 마이그레이션할 수 있는지 여부입니다.

블록체인의 경우 이는 마이그레이션이 필요한 체인(현재 ECDSA 또는 EdDSA를 사용하는 모든 체인)과 처음부터 PQC를 배포하고 마이그레이션이 전혀 발생하지 않는 체인이라는 엄격한 구분을 만듭니다.

타임라인 추정

게시된 로드맵은 단일 창에 수렴됩니다. 2029년부터 2033년까지.

• 2026–2028: 수천 개의 물리적 큐비트 미만의 머신으로 규모에 따른 내결함성이 없습니다. secp256k1에는 충분하지 않습니다. 그러나 이것은 수확 단계이며 수확되는 체인 기록은 이미 공개적이고 영구적입니다.
• 2029년 — 창이 열립니다: IBM은 대략 200개의 논리적 큐비트를 갖춘 Starling을 제공합니다. Google은 같은 해에 유용하고 오류가 수정된 기계를 공개적으로 목표로 삼았습니다. 그 자체로는 충분하지 않습니다. 두 가지 모두 오류 수정 논리 큐비트가 연구 질문이 아닌 납품 날짜가 있는 엔지니어링 결과물이 되었음을 입증합니다.
• 2033년 — 창이 닫힙니다. IBM의 Blue Jay: 대략 100,000개의 물리적 큐비트에 2,000개 이상의 논리적 큐비트가 있습니다. 이는 여유 여유가 있는 1,200-1,450 요구 사항을 초과한 것입니다. 이 두 날짜 사이 어딘가에서 ECDSA-256은 암호화를 중단하고 형식이 됩니다.

NSA의 CNSA 2.0 기한(브라우저 및 펌웨어의 경우 2030년, 네트워크 장비 및 운영 체제의 경우 2033년, 기타 모든 경우는 2035년)은 의도적으로 그 기간을 넘어서 설정되어 있습니다. 놓칠 것으로 예상되는 위협에 대해 그렇게 많은 비용이 소요되는 규정 준수 일정을 작성하는 사람은 없습니다.

이것은 비주류 예측이 아닙니다. 이는 IBM, Google, NIST 및 NSA의 공급업체 로드맵이자 정부 명령입니다. 위협을 과장하는 데 상업적인 관심이 없고 위협을 과소평가하는 데 상업적인 관심이 없는 조직입니다.

참고자료

• Ethereum 재단 및 스탠포드와 함께하는 Google Quantum AI(2026년 3월) — ECDSA-256 위반을 위한 예상 리소스: 논리적 큐비트 1,200~1,450개, 물리적 큐비트 500,000개 미만, 런타임(분). 현재 벤치마크; 아래의 모든 내용을 대체합니다.
• 칼텍/오라토믹(2026) — 독립적인 중성 원자 분석: 약 10일 동안 secp256k1에 대해 ~26,000개의 물리적 큐비트.
• Roetteler, M., Naehrig, M., Svore, K.M., & Lauter, K. (2017) — "타원 곡선 이산 로그 계산을 위한 양자 자원 추정치." 양자정보 및 계산, 17(15-16). 역사적인; ~2,330 논리 숫자가 대체됩니다.
• Gidney, C. & Ekerå, M. (2021) — "2천만 개의 잡음이 있는 큐비트를 사용하여 8시간 안에 2048비트 RSA 정수를 인수분해하는 방법." 양자, 5, 433.
• Webber, M.et al. (2022) — "내결함성 체제에서 양자 이점을 얻는 데 하드웨어 사양이 미치는 영향." AVS 양자과학, 4(1).
• NIST 포스트 양자 암호화 표준화 — FIPS 203 (ML-KEM) 및 FIPS 205 (SLH-DSA), 2024년 8월 완성.
• NSA 사이버 보안 권고: CNSA 2.0 — 상업용 국가 보안 알고리즘 제품군 2.0 마이그레이션 요구 사항.
• 보안 2: 권장 타원 곡선 도메인 매개변수 — Bitcoin에서 사용되는 secp256k1 사양.

현재 벤치마크는 명확하며 인터넷에서 계속 반복되는 벤치마크가 아닙니다. 1,200 및 1,450 논리 큐비트 — 500,000개 미만의 물리적인 내부에서는 몇 분 안에 — secp256k1를 깨기에 충분합니다(Google Quantum AI, 2026년 3월). 지구상의 모든 주요 정부와 기술 연구소는 그 문턱을 향해 질주하고 있으며, 그 문턱은 이를 충족하기 위해 계속해서 뒤로 걸어가고 있습니다. 암호화 관련 양자 컴퓨터가 도착한 이후에 존재하게 될 블록체인의 유일한 두 가지 유형은 첫날부터 포스트퀀텀으로 구축된 블록체인과 그렇지 않은 블록체인입니다.

마이그레이션 기간은 없습니다. 연착륙은 없을 것입니다. 준비한 체인과 준비하지 않은 체인만 있을 겁니다.