일론 머스크의 물리학 발언이 비트코인 ‘양자 안전’ 보장으로 둔갑한 이유

머스크가 실제로 말한 것

논쟁의 출발점은 일론 머스크가 2026년 8월 29일 X에 남긴 짧은 답변이다. 머스크는 인스티튜트 오브 아트 앤드 아이디어스가 소개한 팀 파머 옥스퍼드대 물리학자의 주장에 “The universe is integer in units of Planck cubes”라고 썼다. 이는 우주가 연속적인 실체가 아니라 플랑크 규모의 불연속적인 단위로 구성될 수 있다는 물리학적 아이디어에 대한 호응으로 해석됐다. 68

하지만 이 게시물에는 비트코인, 암호화폐, 개인키, 전자서명, 쇼어(Shor) 알고리즘 또는 비트코인의 보안성에 관한 언급이 없었다. 머스크의 물리학 관련 발언을 곧바로 비트코인 보안에 대한 보증으로 읽은 것은 시장 참여자들의 추가 해석이었다.

‘400큐비트면 충분하다’는 비약

이후 투자자 프레드 크루거는 비트코인이 “이미 양자 안전(quantum-safe)할 수 있다”고 주장했다. 논리는 다음과 같다.

• 파머의 가설대로 현재 양자 하드웨어에서 실용적인 결맞은 얽힘이 약 200~400큐비트에서 한계에 도달한다.
• 어떤 조건에서도 1,000큐비트를 넘을 수 없다.
• 그런데 쇼어 알고리즘으로 비트코인의 서명을 공격하려면 약 835개의 논리큐비트가 필요하다는 최신 추정이 있다.
• 그렇다면 비트코인 서명을 깨는 양자컴퓨터는 물리적으로 실현될 수 없다. 104

문제는 이 결론이 여러 가정이 맞을 때만 성립하는 조건부 추론이라는 점이다. 머스크가 비트코인에 안전 판정을 내렸다는 증거도 아니고, 비트코인 네트워크가 양자컴퓨터 공격에서 영구적으로 자유롭다는 뜻도 아니다.

파머의 상한선은 주류 이론의 결론이 아니다

파머가 제시한 핵심 주장은 자연에 무한히 정밀한 연속체가 존재하지 않으며, 그 결과 양자 상태를 표현하는 공간과 양자컴퓨터의 확장에도 근본적인 한계가 있을 수 있다는 것이다. 파머는 양자컴퓨터가 현재 하드웨어에서 대략 200~400큐비트 수준에 머물 가능성이 있고, 어떠한 경우에도 1,000큐비트를 넘지 못할 수 있다고 예측한다.

그러나 이처럼 400큐비트 또는 1,000큐비트에서 양자 얽힘이 반드시 멈춘다는 상한선은 주류 양자역학에서 확립된 원칙이 아니다. 따라서 해당 가설은 향후 실험과 기술 발전을 통해 검증돼야 하는 논쟁적인 주장이다.

여기서 ‘큐비트’의 종류도 구분해야 한다. 물리큐비트는 실제 양자 장치의 개별 구성 단위로, 잡음과 오류에 취약하다. 반면 논리큐비트는 여러 물리큐비트를 오류 보정 방식으로 묶어 안정적인 계산에 사용하도록 만든 단위다. 비트코인 공격에 필요한 835개 논리큐비트를 현재 장비에 표시되는 물리큐비트 숫자와 그대로 비교할 수 없는 이유다.

835 논리큐비트도 고정된 숫자가 아니다

비트코인은 secp256k1 타원곡선 기반 서명을 사용한다. 쇼어 알고리즘은 충분히 크고 오류 보정된 양자컴퓨터가 이산로그 문제를 풀어 해당 서명 체계를 공격할 수 있는 수학적 경로를 제공한다.

2026년 7월 공개된 프리프린트는 256비트 타원곡선에 필요한 논리큐비트 수를 약 835개로 추산했다. 이는 앞서 널리 인용된 약 1,098개와 1,175개보다 낮은 수치다. 다만 큐비트 수를 줄이는 대신 게이트 연산 비용이 크게 늘어나는 설계상의 대가가 따른다. 213

따라서 835라는 수치는 ‘비트코인이 그 아래에서는 안전하고 그 위에서는 즉시 무너진다’는 영구적인 경계선이 아니다. 알고리즘, 회로 설계, 오류 보정 방식, 필요한 게이트 수가 바뀌면 추정치도 달라질 수 있다.

IBM의 2029년 계획은 무엇을 보여주나

IBM은 2029년까지 200개의 논리큐비트에서 1억 개의 양자 게이트를 실행할 수 있는 오류 허용 양자컴퓨터 Starling을 제공한다는 로드맵을 제시하고 있다. 1

200 논리큐비트는 835개보다 훨씬 적기 때문에 IBM의 계획 자체가 비트코인 공격 가능성을 의미하지는 않는다. 다만 이 시스템이 실제로 장시간 안정적인 계산을 수행한다면, 파머가 제시한 ‘수백 큐비트 부근의 근본적 한계’가 기술적으로 검증되기 시작하는 초기 시험대가 될 수 있다. 반대로 시스템이 수백 큐비트에서 안정적으로 작동하고 이후 1,000큐비트 수준으로 확장된다면 파머의 상한선에는 상당한 압박이 가해진다.

비트코인이 물리학 가설에 기대서는 안 되는 이유

비트코인의 현실적인 대응책은 검증되지 않은 물리학적 상한선이 아니라 양자내성 암호로의 전환이다. 개발자와 연구자들은 새로운 서명 방식, 주소와 지출 정책의 변경, 합의 업그레이드 등 포스트퀀텀 마이그레이션 방안을 검토할 필요가 있다.

양자컴퓨터가 비트코인 서명을 공격할 수 있는 시점은 필요한 논리큐비트 수뿐 아니라 오류 보정 비용, 회로 실행 시간, 알고리즘 개선, 공개키가 노출된 코인의 이동 여부에 달려 있다. 현재 암호학적으로 의미 있는 규모의 양자컴퓨터가 존재한다는 뜻도 아니다.

결국 핵심 질문은 “머스크가 비트코인이 안전하다고 말했는가”가 아니다. 향후 몇 년 동안 오류 허용 양자컴퓨터가 수백 개에서 1,000개 안팎의 논리큐비트로 확장되면서 긴 계산을 안정적으로 수행할 수 있는지, 그리고 그 전에 비트코인이 양자내성 서명을 실제 네트워크에 도입할 수 있는지가 관건이다. IBM의 2029년 목표는 중요한 이정표일 수 있지만, 그 자체로 비트코인 공격이 가능한 기준점은 아니다. 12