솔라나의 포스트 양자 역설: 40배 커진 서명과 90% 속도 저하가 가장 빠른 체인의 정체성을 위협할 때
솔라나는 그 어떤 레이어 1보다 '속도'라는 가치를 강력하게 내세웁니다. 400밀리초의 슬롯 시간, 65,000 TPS라는 마케팅 벤치마크, 그리고 서명은 작고 검증 비용은 저렴하다는 단 하나의 가정을 바탕으로 설계된 병렬 실행 모델이 그것입니다. 2026년 4월, 이 가정은 양자 컴퓨터를 마주하게 되었습니다.
프로젝트 일레븐(Project Eleven)과 솔라나 재단이 첫 번째 엔드 투 엔드 양자 내성 서명 테스트를 마쳤을 때, 결과는 경고와 위기 사이 그 어딘가에 있었습니다. 포스트 양자 서명은 현재 솔라나가 사용하는 Ed25519 서명보다 20배에서 40배 더 크게 나타났습니다. 처리량(Throughput)은 약 90% 급감했습니다. 이더리움을 앞지르는 것으로 브랜드를 구축한 체인이, 테스트 환경에서는 지난 5년 동안 조롱해온 네트워크보다 더 느려 보였습니다.
이것은 일반적인 성능 저하가 아닙니다. 이것은 솔라나가 오래전에 내린 설계 결정에 대해 청구된 아키텍처 비용이며, 이제 전체 생태계는 그 비용을 지불해야 할 때 어떤 종류의 체인이 되고 싶은지 결정해야 합니다.
청구서: 양자 내성 서명이 솔라나에 치명적인 이유
모든 레이어 1은 타원 곡선 암호화(Elliptic Curve Cryptography)를 사용하여 트랜잭션에 서명합니다. 비트코인과 이더리움은 ECDSA를 사용하며, 솔라나는 Ed25519를 사용합니다. 둘 다 빠르고 64바이트 정도의 조밀한 서명을 생성하며, 타원 곡선 이산 대수 문제(Elliptic Curve Discrete Logarithm Problem)라는 동일한 수학적 난제에 기반합니다. 충분히 큰 양자 컴퓨터에서 실행되는 쇼어 알고리즘(Shor's algorithm)은 이 문제를 다항 시간 안에 해결합니다. 그 기계가 등장하면 ECDSA나 Ed25519로 보호되는 모든 계정은 몇 분 안에 열릴 수 있게 됩니다.
NIST가 표준화한 포스트 양자 대안들 — 딜리튬(Dilithium) 및 팔콘(Falcon)과 같은 격자 기반 방식, SLH-DSA와 같은 해시 기반 방식 — 은 쇼어 알고리즘에 대해 수학적으로 견고합니다. 하지만 대역폭 측면에서는 결코 우호적이지 않습니다. 딜리튬 서명은 2.4 KB에 달할 수 있고, SLH-DSA는 매개변수 선택에 따라 7-49 KB까지 늘어날 수 있습니다. NIST 표준 격자 방식 중 가장 컴팩트한 팔콘조차도 약 666바이트의 서명을 생성하는데, 이는 Ed25519 크기의 약 10배이며 이것이 그나마 '좋은' 선택지입니다.
비트코인에게 이러한 비대함은 번거로운 수준이지만, 솔라나에게는 존재론적 문제입니다. 솔라나의 처리량 모델은 400밀리초 슬롯에 가능한 한 많은 트랜잭션을 채워 넣는 것에 의존하며, 리 더는 페이로드가 작다는 가정하에 설계된 터빈(Turbine) 트리를 통해 슈레드(Shreds)를 전파합니다. 트랜잭션당 서명 크기를 20-40배 부풀리면 대역폭, 멤풀 전파(또는 그에 상응하는 걸프 스트림), 검증인 검증, 원장 저장소 등 다운스트림의 전체 파이프라인이 동일한 배수의 비용을 지불하게 됩니다. 테스트에서 나타난 90%의 처리량 감소는 소프트웨어 버그가 아닙니다. 이미 용량이 정해진 파이프에 40배 더 많은 바이트를 밀어 넣었을 때 발생하는 현상입니다.
비대칭적 취약성: 솔라나가 비트코인보다 시간이 부족한 이유
대부분의 블록체인 양자 분석은 모든 체인을 하나로 묶어서 생각합니다. 하지만 그렇게 해서는 안 됩니다. 솔라나는 비트코인에는 없는 구조적 문제를 가지고 있습니다.
비트코인에서 지갑 주소는 공개 키의 해시입니다. 주소에서 자산을 지출하지 않는 한, 공개 키는 SHA-256 벽 뒤에 숨겨져 있으며 양자 공격자는 공격할 대상이 없습니다. 오직 지출하는 순간에만 공개 키가 온체인에 노출됩니다. 트랜잭션을 브로드캐스트하고 마이닝되기까지의 몇 초 또는 몇 분이라는 시간만이 취약점 노출 영역(Vulnerability Surface)이며, 이는 매우 좁습니다.
솔라나는 다르게 작동합니다. 솔라나 계정 주소는 곧 공개 키입니다. 해시는 존재하지 않습니다. Ed25519 공개 키가 곧 주소이며, 계정에 자금이 입금되는 순간부터 온체인에 노출됩니다. 암호학적으로 유의미한 양자 컴퓨터가 솔라나를 공격할 때는 사용자가 거래하기를 기다릴 필요가 없습니다. 자금이 있는 모든 계정을 언제든, 병렬로, 무기한 공격할 수 있습니다.
프로젝트 일레븐의 분석에 따르면, 사용자가 이미 키를 노출한 비트코인과 이더리움 주소의 일부만이 노출된 것과 달리, 양자 시나리오에서 솔라나 네트워크의 100%가 취약합니다. 이것은 작은 차이가 아닙니다. 마이그레이션의 시급성을 수만 배로 증폭시킵니다. 비트코인은 "코인을 옮기지 않으면 안전하다"라고 말할 수 있지만, 솔라나는 그럴 수 없습니다.
위협은 얼마나 현실적인가? 2026년 4월 Q-Day 상금
이 모든 것에 대한 일반적인 반론은 실제 암호를 깰 수 있는 양자 컴퓨터가 아직 10-15년은 남았는데 왜 지금 패닉에 빠지느냐는 것입니다. 하지만 2026년 4월의 두 가지 뉴스는 이러한 반론을 유지하기 어렵게 만들었습니다.
첫째, 한 독립 연구자가 공개적으로 접근 가능한 양자 하드웨어를 사용하여 15비트 타원 곡선 키를 해독함으로써 프로젝트 일레븐의 1비트코인 Q-Day 상금을 차지했습니다. 이는 현재까지 타원 곡선 암호화에 대한 최대 규모의 공공 양자 공격입니다. 15비트는 256비트가 아니며 그 격차는 엄청납니다. 하지만 시간 단위로 임대되는 하드웨어에서 이론적 단계를 넘어 실행 가능한 단계로 넘어섰다는 점이 중요합니다.
둘째, 이더리움 재단의 연구원 저스틴 드레이크(Justin Drake)와 스탠퍼드의 댄 본(Dan Boneh)이 공동 저술한 구글 퀀텀 AI(Google Quantum AI) 논문은 실제 암호화 키를 해독하는 데 필요한 큐비트 추정치를 대폭 낮췄습니다. 기존 합의는 약 2,000만 개의 물리적 큐비트였으나, 새로운 분석에 따르면 500,000개 미만의 물리적 큐비트면 충분하며, 한 설계에서는 약 26,000개의 큐비트 시스템이 "며칠 안에" 비트코인 암호를 깰 수 있다고 제안했습니다. 별도의 구글 주도 논문은 양자 컴퓨터가 노출된 공개 키로부터 개인 키를 유도해내는 시간을 약 9분으로 모델링했습니다.
이것들은 여전히 미래의 시스템입니다. IBM의 현재 최대 칩인 컨도르(Condor)는 1,121 큐비트입니다. 노이즈가 있는 1,121 큐비트에서 26,000개의 결함 허용(Fault-tolerant) 큐비트로 가는 길은 실제 엔지니어링 작업이 필요하며 하루아침에 이루어지지 않습니다. 하지만 타임라인은 압축되었고, 이를 압축하는 사람들은 바로 그 기계를 만드는 연구원들입니다. "지금 저장하고 나중에 해독(Store-now-decrypt-later)"하는 리스크, 즉 하드웨어가 성숙했을 때 공격하기 위해 오늘 온체인 공개 키를 수집하는 것은 암호화폐 수탁을 관리하는 기관들에게 더 이상 가설이 아닙니다.