Google Quantum AI의 자원 추정
Google Quantum AI가 Ethereum Foundation, Stanford 연구자들과 함께, secp256k1(Bitcoin·Ethereum의 서명 곡선) 이산로그를 1,200~1,450 논리 큐비트, 50만 개 미만의 물리 큐비트로 약 9~18분 만에 풀 수 있다는 추정을 발표했습니다. 이전 추정보다 필요한 자원이 크게 줄었습니다.
← 홈으로
2026.03.31 Zcash의 반응 Shielded Labs Project Tachyon 복구 프로토콜 레거시 정리
QUANTUM × ZCASH
양자컴퓨팅과 Zcash
양자컴퓨터는 아직 오지 않았지만, 실드 거래는 체인에 영원히 남습니다. Zcash 진영은 “언제 오든 자금은 지킬 수 있게”를 목표로 양자 복구성을 먼저 배포했고, 완전한 포스트퀀텀 전환을 준비하고 있습니다.
양자컴퓨터는 Zcash의 무엇을 위협하나
충분히 큰 양자컴퓨터는 쇼어(Shor) 알고리즘으로 타원곡선 이산로그를 풀 수 있습니다. Bitcoin의 서명도, Zcash의 실드 프로토콜도 이 문제가 어렵다는 가정 위에 서 있습니다. ZIP 2005는 이산로그를 “단 하나”만 계산할 수 있어도 임의의 인플레이션이나 자금 탈취가 가능하다고 적고 있습니다.
Zcash에는 Bitcoin에 없는 위험이 하나 더 있습니다. 실드 풀의 노트 커밋먼트는 양자 공격자에 대해 바인딩되지 않기 때문에, 증명 시스템을 포스트퀀텀으로 바꾸더라도 트리에 없는 노트를 위조해 쓰는 일이 가능합니다. 그래서 단순히 증명 시스템만 교체해서는 해결되지 않습니다.
| 위험 영역 | 무엇이 위험한가 | 현재 대응 | 상태 |
|---|---|---|---|
| 잔액 (위조·인플레이션) | 이산로그를 단 한 번만 풀어도 실드 풀에서 ZEC를 위조할 수 있습니다. 노트 커밋먼트가 양자 공격에 대해 바인딩되지 않기 때문입니다. | ZIP 2005 양자 복구성 + 향후 복구 프로토콜로 전환 | 대응 중 |
| 지출 권한 (도난) | 서명을 위조해 남의 자금을 쓸 수 있습니다. | 복구 프로토콜에서 새 비밀값(qsk)을 알고 있다는 증명을 추가로 요구 | 대응 중 |
| 프라이버시 (지금 수집, 나중에 해독) | 체인에 공개된 암호문과 받는 사람의 주소를 함께 가진 공격자는, 양자컴퓨터가 생긴 뒤 과거 거래를 복호화할 수 있습니다. | ZIP 2005 범위 밖. Tachyon 등에서 포스트퀀텀 프라이버시 연구 | 연구 단계 |
| 투명 주소 | Bitcoin과 같은 방식의 공격(공개키가 드러난 지출 시점을 노리는 공격)에 노출됩니다. | 변화 없음. 투명 주소 재사용을 피하고 실드 풀에 보관 | 사용자 몫 |
양자 위협은 얼마나 가까운가
아무도 정확한 시점을 모릅니다. 2025년 4월 Arborist 콜에서는 “빠르면 3년, 늦으면 10~30년”으로 전망이 갈리며, NIST 등은 2030~2035년을 타원곡선 암호 폐기 기한으로 본다는 정리가 나왔습니다. #99 회의록 →
“더 서둘러야 한다”
Daira-Emma Hopwood는 이 논문을 근거로 완전한 포스트퀀텀 Zcash 설계와 양자 복구성 배포를 서둘러야 한다고 했고, 논문이 Halo 2가 신뢰 설정이 없어 더 낫다고 한 부분은 정정을 제출하겠다고 했습니다. #122 회의록 →
Zcash는 secp256k1이 아니라 Pallas·Jubjub 같은 다른 곡선을 쓰지만, 모두 타원곡선 이산로그 문제에 기대므로 같은 종류의 위협입니다.
양자 복구성: 지금 깔아 두는 탈출로
ZIP 2005 “Ironwood Quantum Recoverability”는 Daira-Emma Hopwood와 Jack Grigg(str4d)가 쓴 제안으로, 2025년 3월 초안이 만들어져 2026년 5월 Proposed 상태가 됐습니다. 핵심 아이디어는 노트를 만드는 방식만 살짝 바꿔 두는 것입니다.
지금: 노트를 ‘양자 대비형’으로 만든다
노트의 모든 필드를 해시에 넣어 무작위값(rcm)을 유도합니다. 이렇게 하면 해시를 깨지 않는 한 노트 내용을 바꿔치기할 수 없어, 커밋먼트가 양자 공격에도 바인딩되는 구조가 됩니다. 수신 뷰잉 키를 만드는 과정에도 같은 기법을 적용합니다.
지금: Ironwood 노트는 모두 이 방식
2026년 7월 28일 NU6.3부터 Ironwood 풀의 노트는 모두 이렇게 만들어집니다. 그래서 “복구 가능한 노트 = Ironwood 노트”로 정확히 구분할 수 있습니다.
나중에: 양자 위협이 현실화되면
타원곡선 기반 프로토콜을 끄고, 포스트퀀텀 증명 시스템을 쓰는 복구 프로토콜을 켭니다. 지출자는 노트가 위 방식대로 만들어졌다는 것과 새 비밀값(qsk)을 안다는 것을 증명해 자금을 되찾습니다.
해결하는 것
Ironwood 노트의 잔액 보존(위조 방지), 지출 권한, 지출 가능성. 멀티시그가 아닌 기존 키와 주소는 새로 만들 필요가 없고, FROST 멀티시그와 하드웨어 지갑도 고려해 설계됐습니다.
해결하지 않는 것
프라이버시는 어느 풀에서도 그대로입니다. 지금 당장 Zcash를 양자내성으로 만들지도 않습니다. Sprout·Sapling·Orchard에 남은 자금은 복구할 수 없습니다.
Zcash 진영의 양자 대비, 지금까지
포스트퀀텀 프라이버시가 NU7 후보로 거론
Daira-Emma Hopwood가 '지금 수집, 나중에 해독' 공격을 막기 위한 하이브리드 포스트퀀텀 노트 암호화를 언급했습니다. 자세히 →
ZIP 2005 초안 작성
노트를 만드는 방식을 바꿔, 미래의 포스트퀀텀 프로토콜로 자금을 되찾을 수 있게 하자는 제안이 시작됐습니다. 자세히 →
Arborist 콜에서 설계 논의
현재 노트 커밋먼트는 양자 공격자가 위조할 수 있다는 문제와, rcm을 해시로 유도해 막는 해법, FROST 키 구조까지 논의됐습니다. 자세히 →
새 키(qsk)와 v6 트랜잭션 적용 제안
하드웨어 지갑에 유용한 양자 대비 키를 추가하고, v6 트랜잭션의 모든 실드 출력에 적용하자는 제안이 나왔습니다. 자세히 →
NU7 의견조사에서 압도적 지지
'Orchard 양자 복구성'에 ZCAP 90.5%, 코인홀더 94.6%가 찬성했습니다. 자세히 →
Google의 양자 자원 추정 논문
secp256k1 이산로그를 1,200~1,450 논리 큐비트, 50만 개 미만 물리 큐비트로 풀 수 있다는 추정이 나왔습니다. Daira-Emma는 4월 Arborist 콜에서 Zcash 대비를 서둘러야 한다고 했습니다. 자세히 →
ZIP 2005가 Proposed 상태로
명세의 최종 변경이 병합됐고, 비공식 보안 논증을 형식적 증명으로 만드는 작업이 이어졌습니다. 자세히 →
Ironwood(NU6.3) 활성화
Ironwood 풀의 노트는 처음부터 양자 복구가 가능한 방식으로 만들어집니다. 지갑은 기존 자금을 Ironwood로 옮기도록 권고받았습니다. 자세히 →
Shielded Labs, Epoch 출범
포스트퀀텀 암호를 실사용 수준으로 개발하고 형식 검증하는 3인 팀이 꾸려졌습니다. 2027년 말 첫 구현이 목표입니다. 자세히 →
완전한 포스트퀀텀 Zcash를 향해
양자 복구성은 다리일 뿐입니다. 그 다리를 건너 실제로 포스트퀀텀이 되기 위한 작업들이 동시에 진행되고 있습니다.
Epoch: 포스트퀀텀 암호 개발
양자컴퓨터, AI 보조 공격, 국가급 공격자까지 견디는 ‘post-everything’ 암호를 목표로 하고, 형식 검증으로 구현까지 보증합니다. StarkWare 출신 Ulrich Haböck과 Aztec 출신 엔지니어 두 명이 합류했고, 2027년 말 실사용 구현이 목표입니다. 자세히 →
포스트퀀텀 프라이버시로 가는 길
지갑 간 결제 프로토콜을 온체인 실드 프로토콜에서 분리해, 양자에 취약한 프라이버시 가정을 체인에서 걷어 냅니다. 로드맵에는 PIR과 포스트퀀텀 키 교환을 쓰는 방안이 올라 있습니다. 공식 개요 →
포스트퀀텀 증명 시스템 선택
ZIP 2005는 복구 프로토콜의 개요만 정하고, 어떤 포스트퀀텀 증명 시스템과 해시를 쓸지는 일부러 열어 두었습니다. 지금 합의 규칙에 넣을 필요도 없다고 봅니다.
양자 이전 풀 닫기
ZIP 2003은 v4 트랜잭션을 막아 Sprout 지출을 중단하자고 제안하고, 포럼에서는 Sapling을 출금 전용으로 바꾸는 논의가 시작됐습니다. Sapling 논의를 시작한 글은 양자컴퓨터가 나오기 전에 양자 이전 방식의 풀을 모두 동결하는 것을 목표로 제시합니다. Sapling 논의 →
사용자가 지금 할 수 있는 것
자금을 Ironwood로 옮기기
복구 프로토콜로 되찾을 수 있는 것은 Ironwood 노트뿐입니다. Ironwood를 지원하는 실드 지갑은 기존 잔액을 Ironwood로 옮기는 기능을 제공합니다. 실드 지갑 목록 →
Sprout·Sapling·Orchard에 묵혀 두지 않기
ZIP 2005는 이 풀들의 자금은 해당 프로토콜이 꺼진 뒤 쓸 수 없게 된다고 명시합니다. 언제 꺼질지는 정해지지 않았지만 미리 옮겨 두는 편이 안전합니다.
투명 주소에 장기 보관하지 않기
투명 주소는 Bitcoin과 같은 양자 위험을 그대로 가집니다. 특히 같은 투명 주소를 반복해 쓰면 공개키가 오래 노출됩니다.
주소를 널리 공개하지 않기
'지금 수집, 나중에 해독' 공격에는 받는 사람의 주소가 필요합니다. 상대마다 새 실드 주소를 쓰면 위험 범위가 줄어듭니다.
지갑·펌웨어 업데이트 유지
양자 복구성은 지갑이 노트를 만드는 방식의 변경입니다. 하드웨어 지갑도 새 키 구조를 지원하는 펌웨어가 필요합니다.
자주 묻는 질문
- Zcash는 지금 양자내성인가요?
- 아닙니다. 현재 실드 프로토콜은 모두 타원곡선 이산로그의 어려움에 기대고 있습니다. 양자 복구성은 '나중에 안전하게 옮겨 갈 수 있는 길'을 미리 깔아 두는 것이지, 지금 당장 양자 공격을 막는 장치가 아닙니다.
- 왜 '양자 저항'이 아니라 '양자 복구성'인가요?
- 제안 자체가 양자 공격을 막거나 자금을 되찾아 주지 않고, 미래에 되찾을 수 있게 해 주기 때문입니다. 프라이버시는 대상이 아니라서 '저항'이라는 말도 과하다는 이유로 이름이 바뀌었습니다.
- 양자컴퓨터가 생기면 제 과거 거래가 드러나나요?
- 공격자가 그 거래의 암호문(체인에 공개)과 받는 사람의 주소를 모두 갖고 있다면 가능합니다. 주소를 모르면 영지식 증명과 서명만으로는 추가 정보가 새지 않는다고 ZIP 2005는 설명합니다.
- Halo 2는 신뢰 설정이 없으니 더 안전하지 않나요?
- 양자 공격에 대해서는 차이가 없습니다. Daira-Emma Hopwood는 이산로그 하나만 풀면 증명 시스템, 값 커밋먼트, 노트 커밋먼트가 모두 깨지므로 신뢰 설정 유무는 중요하지 않다고 반박했습니다.
- Bitcoin보다 나은가요?
- Zcash는 복구 경로를 Ironwood로 이미 배포했고, NU7 의견조사에서 90% 이상의 지지를 받았다는 점이 다릅니다. 다만 투명 주소의 위험은 Bitcoin과 같고, 프라이버시 쪽 위협은 Zcash에만 있는 추가 과제입니다.
출처
- ZIP 2005: Ironwood Quantum Recoverability ↗
- ZIP 2003: Disallow version 4 transactions (Sprout 지출 중단) ↗
- Zcash 포럼: Quantum recoverability (용어 설명) ↗
- Shielded Labs: Epoch 발표 ↗
- Project Tachyon 개요 ↗
- Google Quantum AI 논문 요약 (PostQuantum.com) ↗
- Decrypt: How Zcash Developers Are Preparing for the Quantum Threat ↗
2026년 10월 기준으로 작성했습니다. 양자 관련 제안은 빠르게 바뀌므로 최신 내용은 ZIP 원문과 Arborist 콜을 확인하세요.