원문 | Odaily 星球日报(@OdailyChina)
저자 | jk
읽기 전 안내: 먼저 다섯 가지를 이해하자
이 보고서는 독자가 암호학이나 양자물리학을 안다고 전제하지 않는다. 결론만 궁금하다면 바로 '핵심 발견'으로 건너뛰어도 된다. 본문에 들어가기 전에 일상적인 비유로 다섯 가지 핵심 개념을 먼저 설명하겠다.
1. 암호화폐의 '열쇠'란 무엇인가
당신의 비트코인이나 이더는 어떤 파일에 들어 있는 것이 아니라 블록체인의 특정 주소 명의로 등록돼 있다. 이 돈을 쓰려면 '디지털 서명'을 제시해 자신이 그 주소의 주인임을 네트워크 전체에 증명해야 한다. 서명을 생성하려면 개인키가 필요하고 개인키는 자신만 안다. 서명을 검증할 때는 공개키를 쓰며, 공개키는 공개돼 있어 누구나 대조할 수 있다.
은행에 보관된 서명 견본이라고 생각하면 된다. 은행은 당신의 서명 견본(공개키)을 갖고 있고, 누군가 돈을 찾으러 오면 견본으로 필적을 대조한다(서명 검증). 그러나 누구도 견본만 보고 똑같은 자필 서명을 위조할 수는 없다(개인키 도출). 이 메커니즘이 오늘날 신뢰할 수 있는 이유는 공개키에서 개인키를 역산하는 것이 수학적으로 완료 불가능할 만큼 어렵다고 여겨지기 때문이다. 양자컴퓨터의 위협은 바로 이 '불가능한 일'을 가능하게 만들 수 있다는 데 있다.
2. 양자컴퓨터는 무엇을 바꾸는가
평범한 컴퓨터로 암호를 깨는 것은 한 사람이 거대한 열쇠 꾸러미를 들고 하나씩 시도하는 것과 같다. 아무리 빨리 시도해도 천문학적인 시간이 걸린다. 양자컴퓨터는 더 빨리 시도하는 것이 아니라 다른 방식으로 문제를 푼다. 특정한 종류의 수학 문제에 대해 1994년 제안된 Shor 알고리즘은 소요 시간을 '우주 나이 규모'에서 '수 분에서 수 시간'으로 압축할 수 있다.
양자컴퓨터가 만능은 아니라는 점을 강조할 필요가 있다. 대다수 일상적 계산 작업에서 양자컴퓨터는 우위가 없다. 그러나 불행히도 그것이 잘하는 문제 유형은 오늘날 인터넷과 블록체인이 의존하는 공개키 암호(RSA와 타원곡선 포함)가 세워진 기초다. 반대로 해시 함수(어떤 입력이든 고정 길이 지문으로 휘저어 만드는 단방향 분쇄기로 이해할 수 있다)는 양자 알고리즘에 의해 소폭 가속될 뿐이므로, 해시로 구축한 보안 메커니즘은 상대적으로 견고하다. 다수 포스트양자 방안이 '해시 기반'으로 기우는 이유도 여기에 있다.
3. 왜 '공포에 떨 필요는 없지만 방치해서도 안 되는가'
현재 양자컴퓨터는 비트코인을 위협하기에 훨씬 역부족이다. 비트코인 키 하나를 깨는 데 약 50만 개의 물리 큐비트가 필요하지만, 현재 가장 앞선 공개 칩은 100여 개에 불과해 격차가 수천 배다. 따라서 오늘날 양자컴퓨터로 코인을 훔칠 사람은 없다.
그러나 일정표에는 불안하게 만드는 두 가지 요인이 있다. 첫째, 마이그레이션 자체에 시간이 매우 오래 걸린다. 블록체인 전체를 새 서명 체계로 바꾸려면 코드 작성, 감사, 테스트, 네트워크 전체 업그레이드 조율, 수억 사용자의 자산 이전이 필요하며 업계는 보통 5~10년이 걸린다고 본다. 둘째, 추정치가 빠르게 낮아지고 있다. 1년 전만 해도 수백만 큐비트(양자컴퓨터가 블록체인을 깨는 데 필요한 연산력으로 간단히 이해할 수 있다)가 필요하다고 했지만 올해는 50만 개 미만으로 떨어졌다. 10년 걸려 다리를 놓아야 하는데 홍수가 언제 올지 예측할 수 없다면, 물이 불어나기를 기다리지 말고 지금 공사를 시작하는 것이 합리적이다.
4. 왜 일부 코인이 더 위험한가
한 주소의 코인이 위험한지는 공개키가 이미 공개됐는지에 달려 있다. 봉투를 상상하면 된다. 많은 주소에는 공개키 자체가 아니라 공개키의 해시 지문이 들어 있어 공개키를 봉투에 넣은 셈이고, 이 돈을 쓸 때만 봉투가 열린다. 봉투가 열리지 않은 한 양자컴퓨터는 손을 댈 수 없다.
문제는 일부 주소의 봉투가 이미 열려 있다는 점이다. 비트코인 초기(사토시 나카모토 시대 포함)의 한 유형 주소는 공개키를 체인에 그대로 적어 봉투가 없었다. 또 많은 사용자가 같은 주소를 재사용해 처음 돈을 쓸 때 봉투가 열렸고, 이후 남은 코인은 같은 주소에 그대로 있어 공개키가 계속 공개돼 있다. 이것이 보고서에서 반복해 언급하는 '노출' 자산이며 비트코인 총량의 약 3분의 1을 차지한다. 또한 봉투가 닫혀 있어도 송금을 시작하고 트랜잭션이 확정되기 전의 짧은 창에서 공개키가 브로드캐스트된다. 이는 찰나에 불과하지만 불가능하지는 않은 공격 기회다.
5. 소위 '포스트양자'는 무엇을 해결하는가
해결책은 복잡하지 않다. 양자컴퓨터로도 열 수 없는 새 자물쇠로 바꾸는 것이다. 학계는 이미 해시 기반 서명, 격자 기반 서명 같은 여러 후보를 제시했고 미국 NIST가 2024년 표준화를 완료했다. 진짜 어려운 것은 다음 세 가지다. 새 자물쇠는 더 크고 무거워 서명 크기가 현재의 10~40배이므로 거래 속도를 직접 떨어뜨리고 비용을 높인다. 자물쇠 교체에는 네트워크 전체의 동의가 필요하지만 탈중앙화 네트워크는 의견 통일이 가장 어렵다. 그리고 주인이 연락이 끊겨 영원히 자물쇠를 바꾸지 않을 코인을 동결할지, 소각할지, 그대로 둘지 어떤 방안도 모두를 만족시킬 수 없다.
흔한 오해 몇 가지
오해 하나는 '양자컴퓨터가 등장하면 모든 암호화폐가 0이 된다'는 것이다. 실제로 위협받는 것은 서명 단계이며, 네트워크는 서명 방식을 업그레이드해 대응할 수 있다. 각 체인의 진척이 다르고 위험도 균등하지 않다.
오해 둘은 '양자컴퓨터가 채굴을 무의미하게 만든다'는 것이다. 채굴은 해시 계산에 의존하며 양자 알고리즘은 제한적인 가속만 제공할 뿐 작업증명을 뒤엎지 않는다.
오해 셋은 '이건 공상과학이라 나와 무관하다'는 것이다. 현재 양자컴퓨터가 실제로 비트코인을 깰 수는 없지만, 규제 당국과 커스터디 기관, ETF 발행사는 이미 이를 공식 위험 목록에 올렸고 마이그레이션 시간 창도 각국 정책에 반영됐다.
핵심 발견
암호화폐 업계의 양자 공격 대비 수준은 1년 전보다 분명히 높아졌지만, 메인넷에서 실제로 사용할 수 있는 포스트양자 보호는 여전히 매우 적어 전반적으로 아직 준비되지 않았다.
블록체인은 개인키 서명으로 자산 소유권을 증명하며, 서명의 안전성은 타원곡선 이산로그라는 수학 난제에 기초한다. 고전 컴퓨터는 이 문제를 실행 가능한 시간 안에 풀 수 없지만, 충분히 크고 오류 정정 능력을 갖춘 양자컴퓨터는 Shor 알고리즘을 통해 이론적으로 공개된 공개키에서 개인키를 역산해 타인의 자산을 옮길 수 있다. 포스트양자 암호는 양자컴퓨터 앞에서도 안전하다고 여겨지는 서명 및 암호화 방식을 뜻한다.
'타원곡선 이산로그'는 추상적으로 들리지만 생활 속 비유로 이해할 수 있다. 특이한 모양의 격자 위에 공개된 시작점이 있고, 정해진 규칙에 따라 시작점에서 연속으로 '점프'를 여러 번 해 마지막에 어떤 위치에 도착한다고 상상해 보자. 당신의 개인키는 점프 횟수, 즉 극도로 거대한 난수이고, 공개키는 최종 도착 지점의 위치로 공개된다. 점프 횟수를 알면 도착점 계산은 쉽고 수백 번의 연산이면 끝난다. 반대로 도착점만 보고 처음에 몇 번 점프했는지 알려면 가능한 모든 횟수를 하나씩 대입해 보는 것 외에 현재 더 나은 방법이 없다. 비트코인과 이더리움이 쓰는 곡선은 가능한 횟수가 약 2의 256제곱에 달하는 천문학적 숫자여서, 전 세계 모든 컴퓨터를 동원해도 인류 또는 우주의 수명 안에 다 시도할 수 없다. 이것이 개인키를 공개키에서 도출할 수 없는 이유다.
양자컴퓨터가 위협이 되는 이유는 하나씩 시도할 필요가 없기 때문이다. Shor 알고리즘은 양자 중첩의 특성을 이용해 대량의 가능한 횟수를 동시에 검토하고 그 안에서 점프 과정에 숨은 규칙을 추출해, 천문학적 단계가 필요했던 탐색을 규모를 통제할 수 있는 계산량으로 압축한다. 다시 말해 고전 컴퓨터는 바다에서 바늘을 한 방울씩 건져 찾는 셈이고, 양자컴퓨터는 바늘이 있는 규칙을 찾아내는 셈이다.
실제 공격은 대략 세 단계다. 첫째, 공격자가 블록체인에서 특정 주소의 이미 공개된 공개키를 읽는다. 둘째, 충분히 큰 양자컴퓨터로 대응 개인키를 계산한다. 셋째, 이 개인키로 합법적인 서명을 위조해 해당 주소의 코인을 자기 명의로 옮긴다. 네트워크는 이 서명이 진짜인지 구분할 수 없는데, 수학적으로 주인이 직접 서명한 것과 완전히 같기 때문이다. 그래서 뒤에서 '공개키가 이미 공개됐는지'를 거듭 강조한다. 공개키가 공개되지 않았다면 공격의 첫 단계부터 시작할 수 없다.
위협은 언제 닥치는가?
지난 1년간 학계가 암호화폐를 깨는 데 필요한 양자 자원 추정치는 크게 낮아졌다. Google Quantum AI가 2026년 3월 발표한 백서(공저자: 스탠퍼드대 Dan Boneh, 이더리움 재단 Justin Drake)는 secp256k1 곡선을 겨냥한 두 가지 공격 회로를 제시했으며 각각 1,200개와 1,450개 이하의 논리 큐비트가 필요하다. 논리 큐비트는 오류 정정을 거쳐 신뢰할 수 있게 계산할 수 있는 큐비트를 뜻한다. 실제 하드웨어로 환산하면 오류율이 약 1,000분의 1인 초전도 경로에서 필요한 물리 큐비트는 50만 개 미만이고, 전체 실행에는 약 18~23분이 걸린다. 계산의 약 절반을 미리 완료할 수 있기 때문에 트랜잭션 브로드캐스트 시 공개키가 드러나면 공격자는 약 9분 만에 개인키를 도출할 수 있다. CoinDesk는 이를 두고 공격자가 원래 트랜잭션이 확정되기 전에 자금을 빼돌릴 확률이 약 41%라고 보도했다. 포브스는 이 결과가 기존의 수백만 물리 큐비트 추정치보다 약 20배 줄어든 것이라고 평가했다.
큐비트는 간단히 양자컴퓨터가 블록체인을 깨는 데 필요한 연산력으로 이해할 수 있다. 이에 따라 Q-day는 충분히 강력한 양자컴퓨터가 등장하는 날을 뜻한다.
Craig Gidney는 2025년 5월 프리프린트에서 RSA-2048을 깨는 데 필요한 잡음 있는 큐비트가 100만 개 미만으로 줄었다고 밝혔다. 그가 Ekerå와 2019년 추정한 값은 2,000만 개였다. 캘리포니아공과대학(Caltech), Oratomic, UC버클리가 백서 공개 당일 제출한 또 다른 프리프린트는 중성 원자 경로를 쓰면 1만~2만6,000개 큐비트로 충분할 수 있다고 주장했지만, 이 결론은 시뮬레이션에서 나온 것이며 하드웨어 검증은 없다. 또한 Google은 공격 회로 자체를 공개하지 않고 영지식 증명으로 회로의 유효성만 설명했는데, 이는 이 분야에서 처음 채택된 '책임 있는 공개' 방식이다.
그러나 공포에 떨 필요가 없는 이유는 하드웨어 현황과 위 추정치 사이에 여전히 큰 격차가 있기 때문이다. Google의 Willow 칩은 105개 큐비트에 불과하고, 공개 시연에서 성공적으로 깬 가장 큰 타원곡선 키는 15비트였으며 비트코인은 256비트 키를 쓴다. Project Eleven이 이를 위해 수여한 Q-Day상도 논란이 있다. 비트코인 개발자들은 그 출력이 무작위 추측과 유의미한 차이가 없다고 본다.
실제로 깨는 능력을 갖춘 기계가 언제 나올지에 대한 전문가 판단은 대체로 2030년대 초중반에 모여 있으며, 2030년 이전에도 위험이 있다. Coinbase 자문위원회는 NIST가 정한 2035년 마이그레이션 기한까지 이런 기계가 나오지 않는다고 확신할 수 없다고 밝혔다. Charles Hoskinson은 2033년까지 상용급 양자컴퓨터가 나올 확률이 절반을 넘는다고 보고, Nic Carter는 2035년까지 비트코인이 취약해질 확률을 70~80%로 추정한다. Google은 자사의 포스트양자 마이그레이션 일정을 2029년으로 잡았다.
위험의 성질과 노출 규모
공개 원장에서 주요 위험은 서명 위조다. 즉 공개키가 이미 노출된 전제에서 공격자가 개인키를 도출해 자산을 훔치는 것이며, 업계에서 흔히 말하는 '먼저 수집하고 나중에 복호화'가 아니다. 공개키가 이미 체인에 나타난 주소의 자산은 대형 양자컴퓨터가 등장하는 날부터 '정적 노출' 상태가 된다. 해시값만 주소로 쓰고 한 번도 사용한 적 없는 자산은 트랜잭션이 브로드캐스트된 뒤 확정될 때까지의 짧은 창에서만 노출된다. '먼저 수집하고 나중에 복호화' 위협은 주로 프라이버시 코인에 해당한다. 오늘 기록된 거래가 미래에 소급해 익명성을 해제할 수 있기 때문이다. 해시 함수 자체가 약점은 아니다. SHA-256과 Keccak은 양자 알고리즘 앞에서 제곱근 수준의 보안 강도만 잃으며, 작업증명 채굴과 해시 기반 커밋먼트는 전반적으로 여전히 안전하다. 다수 포스트양자 방안이 해시 기반을 선호하는 이유도 여기에 있다.
노출된 자산 규모는 상당하다. Coinbase 자문위원회는 약 690만 BTC(총 공급량의 약 32%)의 공개키가 체인에 노출됐다고 추정했다. 그중 약 170만 BTC는 약 2만 개의 초기 P2PK 주소에 있고, 약 500만 BTC는 주소 재사용에서 비롯됐으며 일부 대형 거래소의 콜드월렛도 포함된다. BIP-361 저자들은 비율이 조금 더 높다고 보며 2026년 3월 1일 기준 34%를 넘는다고 말했다. 반면 Ripple은 공개키가 노출된 휴면 계정에 보관된 XRP가 0.03%에 불과하다고 밝혔다. 수치 차이는 주로 P2PK, 주소 재사용, Taproot 출력을 집계하는 기준이 다르기 때문이다.
각 체인의 진척과 분화
실제 진척을 보면 각 체인은 뚜렷하게 분화했다. QRL은 2018년부터 네이티브 포스트양자 서명으로 운영돼 왔고, Algorand는 2026년 8월 네이티브 Falcon 계정을, NEAR는 2026년 7월 ML-DSA 계정을 출시했다. Starknet의 Falcon 계정은 메인넷에서 운영 중이지만 아직 감사를 받지 않았고, Tezos 관련 코드는 업그레이드와 함께 메인넷에 들어갔지만 기본값은 꺼져 있다. 이더리움(약 2029년), XRPL(2028년), Sui(2027년 1분기), Stellar와 Hedera(2027년 전후)는 날짜가 붙은 로드맵을 갖고 있다. Solana는 Falcon을 선택했지만 일정표가 없고, Cosmos SDK는 지원을 발표했지만 각 체인이 직접 활성화해야 한다. 비트코인의 두 관련 제안은 여전히 초안 단계로 활성화 경로가 없으며, Cardano는 연구 단계이고, Monero, Avalanche, BNB Chain은 공식 계획이 없다.
계정 추상화가 가장 중요한 구조적 차이다. 계정이 스스로 서명 방식을 바꿀 수 있어 체인 전체가 일괄 포크할 필요가 없는 네트워크(Starknet, Algorand, NEAR, Sui, Aptos, 그리고 EIP-8141이 적용된 뒤의 이더리움)는 사용자가 하나씩 마이그레이션할 수 있다. 비트코인의 계정 모델에는 이런 유연성이 없어 새 주소 유형과 수년간의 자발적 이전에 의존할 수밖에 없다.
난제는 거버넌스: 모든 사람이 일치하게 행동하도록 어떻게 보장할까?
암호학적 방안 자체는 이미 따를 표준이 있다. 진짜 미해결 과제는 거버넌스와 엔지니어링 문제다.
첫째, 소프트포크 또는 하드포크를 조율해 네트워크 전체를 동시에 업그레이드하는 방법이다. 둘째, 끝까지 마이그레이션하지 않는 자산을 어떻게 처리할지다. 약 170만 BTC의 사토시 시대 자산을 동결할지, 취소할지, 현상 유지할지에 대해 현재 명확히 입장을 밝힌 체인은 소수다. 셋째, 새 서명은 기존 64바이트 서명보다 10~40배 커서 거래 처리량을 직접 떨어뜨리고 비용을 높인다. Ripple은 Dilithium 서명이 기존 서명의 약 40배라고 지적했고, Coinbase 자문위원회는 전환 후 블록 크기가 최대 38배까지 커질 수 있다고 경고했으며, Hoskinson은 Cardano가 너무 일찍 전환하면 네트워크 속도가 약 10배 느려질 수 있다고 경고했다.
표준과 규제
전통 금융과 정부 부처는 이미 명확한 마이그레이션 일정을 제시했고, 암호화폐 업계의 각 체인은 이런 배경 속에서 움직이도록 압박받고 있다. 가장 중요한 것은 미국 NIST의 포스트양자 표준으로, 블록체인이 선택할 수 있는 서명 방식을 규정할 뿐 아니라 구 알고리즘의 퇴장 기한도 정한다.
업계의 금본위제: NIST 표준
NIST는 미국 상무부 산하 미국국립표준기술연구소로 기술 표준을 제정한다. 암호학 분야의 표준(AES, SHA 해시 등)은 전 세계에서 널리 채택된다. 2024년 8월 첫 포스트양자 암호 표준을 발표했기 때문에 대부분 블록체인의 포스트양자 방안은 이를 기준으로 삼는다.
NIST는 2024년 8월 13일 세 가지 포스트양자 표준을 공식 발표했고 네 번째는 아직 제정 중이다. FIPS 203(ML-KEM)은 키 캡슐화 메커니즘으로 통신 암호화에 쓰이며 서명 방식은 아니다. FIPS 204(ML-DSA, 구 Dilithium)는 격자 기반 서명으로 서명 크기가 약 2.44.6KB이며 현재 가장 흔한 기본 선택이다. FIPS 205(SLH-DSA, 구 SPHINCS+)는 해시 기반 서명으로 보안 가정이 가장 보수적이지만 서명 크기가 약 7.850KB에 달한다. 아직 확정되지 않은 FIPS 206(FN-DSA, 구 Falcon)도 격자 기반이며, Falcon-512 서명은 약 0.7KB로 세 방식 중 가장 작다. Hedera는 2026년 4월 분석에서 이것이 2027년 초 무렵 완료될 것으로 예상했다. 참고로 비트코인의 Schnorr 서명과 Solana의 Ed25519 서명은 모두 64바이트에 불과하다.
NIST의 전환 지침에 따르면 양자 공격에 취약한 공개키 알고리즘은 2030년에 사용 중단되고 2035년에 금지된다. 업계에서 흔히 말하는 '2035년' 기한이 여기서 나온다.
기관 공개
기관 차원에서도 양자 위험을 공식 문서에 쓰기 시작했다. 블랙록은 2025년 5월 9일 iShares 비트코인 트러스트(IBIT) 투자설명서의 양자 위험 요인을 확대했고, 이더리움 상품에도 유사한 문구를 넣어 양자컴퓨터가 비트코인의 암호학을 무력화할 수 있다고 경고했다. VanEck은 2026년 BNB ETF 투자설명서에서 BNB 스마트 체인에 대해 비슷한 경고를 했다. 이런 공개는 표준적인 위험 고지이며 미래 예측은 아니지만, 양자 대비 태세가 커스터디 기관과 ETF 발행사의 실사 일부가 됐음을 보여준다.
각 기관의 준비
Coinbase: 독립 자문위원회로 업계 전체의 방향을 제시
Coinbase는 2026년 양자 의제를 주류 논의로 끌어올린 가장 중요한 기관 중 하나다. 외부 전문가로 독립 위원회를 구성해 분석을 공개하고 각 체인에 조기 입장 표명을 요구하는 방식이다.
Coinbase 독립 양자컴퓨팅·블록체인 자문위원회는 2026년 1월 설립됐고 첫 논문은 2026년 4월 21일 공개됐으며 분량은 약 50페이지다. 멤버는 Scott Aaronson, Dan Boneh, Justin Drake, Sreeram Kannan, Yehuda Lindell, Dahlia Malkhi다. Boneh와 Drake는 앞서 언급한 Google 백서의 공저자이기도 해 두 문서의 판단이 서로 호응한다.
논문의 기본 판단은 내결함성 양자컴퓨터가 결국 만들어질 것이라는 것이며 위원회는 이에 높은 확신을 보인다. 동시에 현재 그런 기계는 존재하지 않는다고 강조한다. 2035년 이전에 등장할지에 대해서는 보장할 수 없다고 보아, 긴박한 신호가 나타난 뒤가 아니라 지금부터 준비해야 한다고 주장한다. 노출 규모에 대해서는 약 690만 BTC의 공개키가 이미 노출됐다고 추정했다. 6월 발표한 후속 보고서는 이 숫자를 나눠 약 170만 BTC는 약 2만 개의 구형 P2PK 주소에, 약 500만 BTC는 주소 재사용에서 비롯됐으며 주로 활성 사용자, 그중에서도 대형 거래소 콜드월렛에 속한다고 설명했다. 논문은 또 포스트양자 서명으로 전환하면 블록 크기가 최대 38배 커질 수 있다고 경고했다. Google 백서와 달리 위원회는 트랜잭션 확정 전 선행 공격을 상대적으로 덜 우려하지만, Google이 제시한 9분 공격 창은 이런 공격을 현실적인 관심사로 만든다.
각 체인에 대한 핵심 권고는 가능한 한 빨리 결정하고 공개 선언하라는 것이다. 포스트양자 서명으로 끝내 마이그레이션하지 않는 자산을 동결할지, 취소할지, 현상 유지할지 정하라는 뜻이다. 위원회 자체는 비트코인 등 네트워크의 편을 들지 않지만, 입장 표명을 미루는 것 자체가 위험이라고 본다.
이 문서의 의미는 Coinbase가 상장사이자 최대 커스터디 기관 중 하나로서 제품 책임을 다하는 동시에 업계에 인용 가능한 제3자 분석을 제공해, 양자 준비를 거래소·커스터디 기관·ETF 발행사가 반드시 답해야 할 질문으로 만들었다는 데 있다. 다만 이 위원회는 Coinbase가 자금을 대 설립했으므로 의견의 무게는 크지만 완전히 중립적인 판결로 보아서는 안 된다.
Project Eleven: 업계 양자 안보의 선두주자
Project Eleven은 현재 이 분야에서 가장 활발한 보안 기업으로 연구와 프로토타입을 수행하면서 이슈를 대중의 시야로 끌어오는 역할도 맡는다. 회사의 수익과 영향력은 상당 부분 양자 위협이 현실화된다는 판단에 의존한다.
2026년 1월 이 회사는 2,000만 달러 규모 시리즈 A 투자를 유치했다. 회사가 만든 Q-Day상 상금은 1 BTC로, 양자컴퓨터로 타원곡선 키를 처음 깬 사람에게 수여된다. 2026년 4월 24일 상금은 Giancarlo Lelli에게 돌아갔는데, 그는 IBM의 클라우드 양자 하드웨어에서 15비트 타원곡선 키를 깼다. 이 결과에서 두 가지를 분명히 봐야 한다. 실제 비트코인 키는 256비트에 달해 15비트 시연은 진짜 위협과 거리가 멀다. 또 비트코인 개발자들은 그 출력이 무작위 추측과 뚜렷한 차이가 없다고 보며 관련 발표에 커뮤니티 주석이 붙었다.
Project Eleven은 Ripple, Solana와도 협력해 위협 평가와 프로토타입 개발을 진행했다. 예를 들어 Ripple의 Denis Angell은 이 회사와 함께 XRPL의 AlphaNet 테스트넷에서 ML-DSA 프로토타입을 완성했다. 회사는 또 약 710만 BTC의 공개키가 노출됐다는 추정치를 내놨다.
종합하면 Project Eleven은 공개적으로 논의할 수 있는 이정표와 각 재단이 테스트할 프로토타입 코드를 제공하는 한편, 상업적 이해관계 측면에서는 긴박성을 강조하는 경향도 있다.
각 퍼블릭 체인의 준비와 핵심 팀
각 체인의 준비 격차는 매우 크다. 이더리움은 프로젝트가 가장 잘 조직됐고, 비트코인은 논쟁이 가장 많고 실제 도입이 가장 적으며, Solana는 알고리즘을 골랐지만 일정표가 없다. 아래에서는 먼저 시가총액 상위 세 체인을 보고, 이어서 양자 대비가 있는 다른 네트워크를 다룬다.
비트코인: 제안은 있지만 활성화 경로가 없다
비트코인에는 재단이 없고 모든 변경은 개발자 제안(BIP)을 거쳐 채굴자와 노드 커뮤니티의 합의를 얻어야 한다. 현재 양자 관련 주요 제안은 두 개이며 별도의 비상 방안도 하나 있다.
BIP-360(Pay-to-Merkle-Root, P2MR)은 Hunter Beast(MARA), Ethan Heilman, Isabel Foxen Duke가 작성했고 2026년 2월 11일 초안으로 공식 제안 저장소에 병합됐다. Taproot와 유사한 새 출력 유형을 추가하지만 키로 직접 지출하는 경로를 없애 코인이 정지 상태일 때 공개키가 노출되지 않게 하며 주소는 bc1z로 시작한다. 이 제안은 의도적으로 어떤 포스트양자 서명 방식도 도입하지 않았고 그 부분은 후속 소프트포크로 남겼다. Heilman은 이미 메일링리스트에서 알고리즘 민첩성에 관한 논의를 시작했다. BIP-360 역시 트랜잭션 확정 전 선행 공격을 막지 못한다.
BIP-361(포스트양자 마이그레이션과 구 서명 일몰)은 Jameson Lopp 등 6명이 작성해 2026년 4월 14일 공개했으며 구 서명을 단계적으로 퇴출하자고 주장한다. 활성화 약 3년 후에는 취약한 주소 유형으로 새 자금을 보내는 것을 금지하고, 약 5년 후에는 기존 ECDSA와 Schnorr 지출이 무효가 되어 해당 자산이 동결된다. 이후 영지식 증명 기반 복구 경로를 제공할 수 있다. 비평가들은 이 방안을 독재적이라고 하며, Lopp 본인도 실제로 쓰이기를 바라지 않는다고 밝혔고 현재 채택 가능한 위치에 있지 않다고 말했다.
쉽게 말하면 BIP-360은 공개키를 숨기는 주소 유형을 하나 추가할 뿐, 이미 공개키가 노출된 구 주소를 보호하지 못한다. 그 코인은 여전히 기존 ECDSA/Schnorr 서명에 의존하므로 양자컴퓨터가 등장하면 서명 위조로 옮겨질 수 있다. 할 수 있는 일은 Q-Day 전에 보유자가 직접 코인을 새 P2MR 주소로 옮겨 이후 공개키가 노출되지 않게 하는 것뿐이다. 주인이 연락이 끊겨 이전할 수 없는 코인(예: 사토시 시대 P2PK)은 BIP-360이 도울 수 없고, 이것이 BIP-361이 동결을 제안한 이유다.
또한 StarkWare의 Avihu Levy는 Quantum-Safe Bitcoin(QSB)을 설계했고 첫 트랜잭션은 2026년 8월 26일 MARA Slipstream을 통해 체인에 올라갔다. 서명 그라인딩으로 트랜잭션에 해시 기반 잠금을 추가하며 소프트포크가 필요 없다. 그러나 트랜잭션당 비용이 수백 달러에 달하고 채굴자에게 직접 제출해야 하며 이미 노출된 키에는 아무 도움이 되지 않아 비상 방안으로만 볼 수 있다.
BIP-360이 내일 활성화된다 해도 각 보유자는 여전히 직접 자산을 새 주소로 옮겨야 한다. 이는 수년간 블록 공간을 차지하고 사토시 시대 자산에는 아무 효과가 없다. 즉 향후 5년 안에 비트코인에 합의된 주요 방안이 없다면 이전의 모든 사토시 시대 주소가 공격받을 위험이 있다. 그때는 하드포크 수준의 합의 분열이 있어야 해결될 수도 있다.
이더리움: 대형 체인 중 조직이 가장 잘 된 편, 목표는 약 2029년
이더리움 재단은 포스트양자 안보를 최우선 과제로 삼고 전담 팀, 전용 웹사이트, 주 1회 상호운용 테스트를 운영한다. 2026년 1월 재단은 Thomas Coratger가 이끄는 포스트양자 팀을 만들고 각 100만 달러 규모의 암호학 상 두 개를 제정했다. pq.ethereum.org는 2026년 3월 25일 문을 열었고 10여 개 클라이언트 팀이 매주 포스트양자 상호운용 개발 테스트넷을 운영한다.
ethereum.org 정리에 따르면 업그레이드가 필요한 부분은 네 가지다. BLS 합의 서명, KZG 데이터 가용성 커밋먼트, ECDSA 계정 서명, 그리고 레이어2 네트워크가 의존하는 영지식 증명 시스템이다. 합의 계층에서 Lean Ethereum 방안은 해시 기반 leanXMSS 서명으로 BLS를 대체하고, leanVM이라는 극소형 zkVM을 통해 대량의 서명을 작은 증명으로 집계해 서명 크기 문제를 완화한다. 계정 계층에서는 Vitalik Buterin 등이 2026년 1월 29일 초안을 마련한 EIP-8141(Frame Transactions)이 계정에 네이티브 계정 추상화 능력을 부여해 각 계정이 포스트양자 방안으로 바꾸는 것을 포함해 서명 검증 방식을 스스로 결정할 수 있게 한다. 이 제안은 이미 Hegotá 업그레이드의 일정에 올랐다. Circle의 Mira Belenkiy는 ecrecover의 포스트양자 경로도 제안했는데, 프레임 트랜잭션이 포스트양자 서명을 담아 컨트랙트가 읽게 하는 방식이다.
일정 면에서 핵심 포스트양자 인프라 목표는 2029년 전후이며 일부 보도는 2029년 12월이라고 한다. Hegotá 업그레이드 자체의 시점에 대해서는 출처마다 말이 다르다. 초기 자료는 2026년 하반기라고 했고, ethereum.org는 2026년 7월 표현을 2027년으로 바꿨다.
전체적으로 대형 네트워크 중 가장 앞선 프로젝트다. 그러나 EIP-8141이 출시되고 지갑이 포스트양자 서명자를 지원하기 전까지 ETH 보유자에게는 프로토콜 네이티브 포스트양자 옵션이 없다. 공개키가 노출된 구 계정은 비트코인과 같은 곤경에 처한다. 다만 전반적으로 블랙스완식 양자 공격 위험이 발생하지 않는다면 업그레이드된 이더리움 네트워크는 양자 공격의 영향을 받지 않을 것으로 보인다.
Solana: 알고리즘은 골랐지만 일정표가 없다
Solana의 보호는 현재 주로 애플리케이션 계층에 머문다. Blueshift의 Winternitz Vault는 해시 기반 일회성 서명 금고로 2025년 1월 무렵부터 사용자가 자발적으로 쓸 수 있으며, 프로토콜 업그레이드가 아니라 애플리케이션이다.
프로토콜 계층에서 Solana 재단은 2026년 4월 27일 준비 계획을 발표하며 Anza와 Firedancer 두 클라이언트 팀이 각각 독립적으로 Falcon을 선택했다고 밝혔다. Falcon-512가 NIST 방식 중 서명이 가장 작다는 이유였고 두 팀 모두 초기 구현을 갖고 있다. 계획은 세 단계다. 연구를 계속하고, 위협이 신뢰할 만해지면 먼저 새 지갑에 포스트양자 서명을 제공한 뒤 기존 지갑을 마이그레이션한다. 2026년 10월 8일 기술 부사장 Jacob Creech는 당장 소위 벙커 모드를 켜지도, 대규모 마이그레이션을 하지도 않겠다고 밝혔다.
이 입장의 위험은 Solana의 주소 자체가 원시 Ed25519 공개키라는 데 있다. 자금이 있는 모든 계정은 정지 상태에서 노출된다. 위협이 신뢰할 만해질 때 행동한다는 것은 충분한 경고 시간을 확보할 수 있다는 데 베팅하는 셈이다.
한편 Solana는 Project Eleven과 2025년 12월 협력을 발표했고 Project Eleven이 Solana의 핵심 인프라, 사용자 지갑, 검증자 보안, 장기 암호학 가정을 아우르는 전면적 양자 위협 평가를 수행해 완화 경로와 마이그레이션 옵션을 정리했다. 평가 보고서 외에도 Project Eleven은 Solana 테스트넷에 작동하는 포스트양자 서명 시스템을 배포해 엔드투엔드 양자 내성 트랜잭션이 기술적으로 가능함을 시연했다. Solana 재단 기술 부사장 Matt Sorg는 목표가 네트워크를 향후 수십 년간 안전하게 유지하는 것이라고 말했다.
Algorand: 체인은 열기가 식었지만 주요 퍼블릭 체인 중 포스트양자 배포가 가장 성숙하다
Algorand는 2022년부터 Falcon 서명으로 State Proofs(크로스체인 검증용 상태 증명)를 보호해 왔다. 2025년 11월 3일 메인넷에서 첫 Falcon-1024 트랜잭션이 발생했고, 2026년 8월 v5.0.0 업그레이드로 네이티브 Falcon-1024 계정이 메인넷에 출시됐으며 Pera Wallet, SDK, AlgoKit 모두 지원한다. 2026년 6월 기준 네트워크는 14만 건 넘는 포스트양자 트랜잭션을 처리했다.
2026년 6월 공개된 로드맵에 따르면 Algorand는 2026년 말까지 Falcon-512, 포스트양자 멀티시그와 스테이킹을 구현하고 2027년 말까지 폭넓은 양자 복원력을 확보할 계획이다. 현재 주요 공백은 합의 핵심의 VRF(검증 가능한 난수 함수)가 여전히 고전 알고리즘이라는 점이며 Algorand 스스로 이를 교체하는 것이 가장 어려운 단계라고 말한다. 암호학 팀에는 Chris Peikert와 Falcon 설계에 참여한 Zhenfei Zhang이 있다.
XRP Ledger(Ripple): 날짜가 있는 4단계 로드맵, 목표 2028년
RippleX의 Ayo Akinyele는 2026년 4월 20일 4단계 로드맵을 발표했다. 1단계는 Q-Day 비상 복구 계획이다. 2단계(2026년 상반기)는 ML-DSA 테스트이며 Denis Angell이 Project Eleven과 AlphaNet에서 프로토타입을 완료했다. 3단계(2026년 하반기)는 하이브리드 서명을 포함해 개발넷에서 테스트한다. 4단계는 2028년까지 네이티브 수정안을 출시하는 것이다. XLS-295(ML-DSA-44)는 아직 초안이며 메인넷에는 변화가 없다.
XRPL의 구조적 장점은 네이티브 키 로테이션이다. 활성 사용자는 주소를 바꾸지 않고 키를 교체할 수 있고, 휴면 상태이면서 공개키가 노출된 XRP는 0.03%에 불과하다.
Cardano: 아직 연구 단계
창립자 Hoskinson이 2026년 2월 제안한 계획은 세 단계다. 먼저 연구 의제를 완료하고(20252026년), 이어 Mithril 인증서와 포스트양자 서명으로 과거 상태를 체크포인트하는 독립 포스트양자 증명 체인을 구축하며, 하드웨어 가속이 성숙한 뒤 메인체인에 통합한다. 그는 너무 이른 마이그레이션이 네트워크 속도를 약 10배 떨어뜨릴 수 있다고 경고했다. 2026년 5월 그는 격자 기반 방안과 FIPS 203206이 로드맵에 포함됐고 양자 계획에 관한 거버넌스 투표가 진행 중이라고 밝혔으며 Google, Microsoft Research, Linux 관련 연구자와 협력하는 Nightstream 프로젝트를 언급했다. 현재 공개적으로 확인된 테스트넷 서명 작업은 없다.
Sui와 Aptos: 자발적 가입형 포스트양자 계정 메커니즘
Sui는 2026년 8월 일상 계정에는 ML-DSA-65를, 고가치 금고에는 Move 컨트랙트에서 SLH-DSA-SHA2-128s를 사용한다고 발표했다. 둘 다 사용자가 자발적으로 켜며 기존 니모닉에서 파생할 수 있고, 메인넷 인증 목표는 2027년 1분기다.
Sui의 구상은 '두 개의 자물쇠, 두 가지 위험'이다. 두 방식은 서로 다른 수학 계열에서 나왔다. ML-DSA-65는 격자 기반 FIPS 204 표준으로 NIST 보안 등급 3이며 일상 계정에 쓰인다. SLH-DSA-SHA2-128s는 해시 기반 FIPS 205 표준으로 보안 등급 1이며 고가치 금고에 쓰인다. 후자를 프로토콜 핵심이 아니라 Move 컨트랙트에 둔 것은 Sui가 핵심 프로토콜을 업그레이드하지 않고도 업계가 최종 채택할 표준을 따라갈 수 있게 하는 한편, 격자 암호가 뚫리더라도 해시 기반 경로는 영향을 받지 않게 하려는 것이다.
Aptos의 AIP-137은 암호학 책임자 Alin Tomescu가 2025년 12월 18일 발표했으며 SLH-DSA-SHA2-128s를 선택적 계정 유형으로 추가한다. 해시에만 의존하는 보수적 보안 가정을 높이 산 것이다. 이 제안은 거버넌스 승인을 받아야 활성화되며 사용자 마이그레이션을 강제하지 않는다.
NEAR: 포스트양자 계정이 이미 메인넷에 출시됐다
NEAR는 2026년 7월 20일 공개한 Protocol 2.13에서 ML-DSA 서명을 메인넷에 정식 추가했고, 언론이 보도한 구체적 등급은 ML-DSA-65다. 이로써 NEAR는 QRL, Algorand에 이어 일반 사용자가 메인넷에서 포스트양자 계정을 보유할 수 있는 또 하나의 퍼블릭 체인이 됐으며, 이 보고서가 다루는 대형 네트워크 중 포스트양자 능력을 일반 사용자 손에 이미 넘긴 사례 중 하나다.
메커니즘상 사용자는 온체인 트랜잭션 한 건을 보내 계정 키를 포스트양자 키로 전환할 수 있고, 새 계정을 만들거나 자산을 새 주소로 옮길 필요가 없다. 계정은 여러 서명 방식을 동시에 보유할 수 있어 구키와 새 키가 공존한다. 일반 사용자에게 이 설계의 장점은 마이그레이션 비용이 낮다는 것이다. 네트워크 전체가 동시에 포크할 필요도, 비트코인처럼 새 주소 유형과 수년간의 자산 이전을 기다릴 필요도 없이 각 사용자가 자기 속도에 맞춰 하나씩 전환할 수 있다. 앞서 말한 '계정 추상화'의 구조적 장점이 NEAR에서 구체적으로 나타난 사례다.
추진 방식에서 Near One은 Ledger와 협력해 포스트양자 키를 하드웨어 기기로 보관할 수 있게 할 예정이며 Meteor Wallet은 이미 지원한다.
이 방안에도 한계가 몇 가지 있다. 첫째, 자발적 가입형이다. 아직 전환하지 않은 계정은 기존 Ed25519 서명을 쓰며 그 공개키가 이미 체인에 공개돼 있어 대형 양자컴퓨터가 등장하면 여전히 노출된다. 둘째, 크기 비용이다. ML-DSA 서명은 약 2.4~4.6KB인 반면 Ed25519는 64바이트에 불과해 트랜잭션이 눈에 띄게 커진다. 네트워크 처리량과 수수료에 미치는 구체적 영향에 관해서는 이번 연구에서 NEAR의 공개 데이터를 찾지 못했다. 마지막이자 가장 중요한 점은 검증자 간 합의에 쓰이는 서명이 여전히 고전 알고리즘이라는 것이다. 포스트양자 합의 목표는 2027년 하반기(일부 출처는 늦어도 2027년 12월 31일이라고 쓴다)이며 그전까지 네트워크 계층의 보호는 완전하지 않다.
종합하면 사용자 계층의 가용성 측면에서 NEAR는 대부분 대형 네트워크보다 앞서 있다. 그러나 전체 보안은 결국 두 변수에 달려 있다. 얼마나 많은 사용자가 실제로 전환을 마쳤는지, 그리고 검증자 합의가 언제 업그레이드되는지다.
Hedera: 공식 로드맵은 있지만 포스트양자 서명은 아직 없다
Hedera의 해시(SHA-384)와 암호화(AES-256)는 이미 포스트양자 요구를 충족하며 아직 빠진 것은 서명이다. Leemon Baird, Rohit Sinha, Ed Marquez는 2026년 4월 공식 블로그에서 FIPS 206이 확정된 뒤 FN-DSA(Falcon)를 채택하고, 먼저 노드 간 포스트양자 TLS를 구현한 뒤 클라이언트로 확장하며, 합의 이벤트에는 Ed25519와 Falcon의 하이브리드 서명을 쓰고, 2027년 전후에 포스트양자 사용자 키 유형을 출시하자고 제안했다. 아직 대응하는 HIP 번호는 발표되지 않았다.
로드맵은 쉬운 것에서 어려운 것 순으로 네 단계다. 먼저 노드 간 TLS를 포스트양자 또는 하이브리드 방식으로 업그레이드하고, 다음으로 클라이언트 연결 TLS를 업그레이드하며, 그다음 합의 이벤트에 Ed25519와 FN-DSA의 하이브리드 서명을 사용하고, 마지막으로 새 사용자 키 유형을 출시한다. TLS를 맨 앞에 둔 이유는 주로 소프트웨어 라이브러리 업데이트만으로 완료할 수 있기 때문이다. Chrome은 2024년 4월부터 X25519와 ML-KEM-768의 하이브리드 키 교환을 기본 활성화했고, Hedera는 자사 네트워크 보안이 TLS에 의존하지 않으며 해시그래프 합의 자체가 전송 계층과 독립적인 무결성 보장을 제공한다고 설명한다.
대가 역시 크기다. Hedera 로드맵에 대한 제3자 해석에 따르면 FN-DSA 서명은 약 1,280바이트로 Ed25519의 약 20배다. ML-DSA-87을 쓰면 서명이 4,627바이트로 70배를 넘는다. Baird는 2022년 Hedera 트랜잭션이 보통 100~200바이트에 불과한데 Falcon으로 바꾸면 서명이 약 1,300바이트에 달한다고 말하며 이를 감수해야 할 비용이라고 표현했다.
Stellar: 단계별 계획, 프로토콜 투표는 미정
Stellar 개발재단은 2026년 6월 9일 양자 준비 계획을 발표했다. 2026년에는 먼저 Soroban 호스트 함수 형태로 ML-DSA-44/65 검증을 제공하고, 2027년 말까지 프로토콜 수준의 포스트양자 서명자 유형을 출시한다. 언론 보도에 따르면 Protocol 30(Bell) 업그레이드에는 CAP-87(Stellar Core의 ML-DSA)이 포함되며 검증자 투표는 2026년 11월 23일로 예정됐다.
Stellar의 구조적 장점은 계정 신원과 서명 키가 분리돼 있다는 점이다. 사용자는 계정에 포스트양자 서명자를 추가한 뒤 기존 Ed25519 키를 제거할 수 있고, 잔액을 옮기거나 모든 연관 시스템을 업데이트할 필요가 없다. 다만 한 번도 서명한 적 없는 휴면 계정을 포함해 모든 Stellar 주소의 공개키가 이미 노출돼 있어 휴면 계정이 가장 어려운 부분이며, 재단은 이를 위해 커뮤니티 논의를 열 계획이다.
단계별 내용은 다음과 같다. 1단계(2026년)는 Soroban에 네이티브 호스트 함수를 추가해 ML-DSA-44와 ML-DSA-65 검증을 지원한다. 이로써 컨트랙트 계정은 Soroban의 계정 추상화를 통해 포스트양자 인증을 구현할 수 있다. 클래식 계정은 프로토콜 계층 변경이 필요 없고 기업 지갑은 2026년에 마이그레이션할 수 있으며, 이후 표준 확정 상황에 따라 FN-DSA와 HSM 지원을 추가한다. 2단계(2027년)는 프로토콜 계층 고정과 자발적 마이그레이션이다. 기존 set_options 작업을 통해 일반 계정도 포스트양자 서명자를 추가할 수 있게 하며 지갑, SDK, 앵커 서비스 제공업체 모두 업데이트해야 하고 목표는 2027년 말까지 모든 계정이 이 능력을 갖추는 것이다. 계획은 총 세 단계지만 필자는 검증 가능한 3단계 세부 내용을 찾지 못했다. 또한 페어링 등 기술에 의존하는 영지식 애플리케이션에도 공백이 있어 재단은 Stellar에서 영지식 애플리케이션을 만드는 팀을 소집해 공동 대응할 계획이다. 재단은 Stellar가 쓰는 SHA-256 해시가 이미 포스트양자 안전으로 간주되며 XLM 보유자는 현재 아무 조치도 취할 필요가 없다고 밝혔고, 계획에서 미국 CNSA 2.0과 EU DORA를 규제 배경으로 인용했다.
Starknet: 중심이 포스트양자, 일부는 이미 제공
Starknet의 아키텍처는 자연스러운 장점을 준다. STARK 증명 자체가 해시 함수에 의존하고 모든 계정이 스마트 컨트랙트여서 스스로 서명 방식을 바꿀 수 있다. Falcon 기반 포스트양자 계정은 메인넷에 출시됐지만(S2morrow가 Cairo로 구현한 Falcon-512) 아직 감사를 받지 않았다.
2026년 6월 공개된 로드맵은 세 단계다. 1단계는 상태 커밋먼트, 주소 파생, 구성에서 여전히 타원곡선에 의존하는 해시를 교체하는 것으로 현재 일부가 제공됐다. 2단계는 이 보호를 기존 컨트랙트로 확장한다. 3단계는 이더리움을 따라가야 하는데, 브리지와 데이터 가용성이 여전히 이더리움 L1의 타원곡선 암호를 물려받기 때문이다.
동시에 Starknet 커뮤니티는 2026년 10월 15~22일 구속력 없는 Snapshot 투표를 진행해 독립 포스트양자 L1으로의 이전을 연구하는 제안을 93.52% 지지로 통과시켰다. 참여 표는 약 3,236표로 약 4억8,900만 STRK를 대표한다. CEO Eli Ben-Sasson은 2027년 완전한 양자 내성 달성을 목표로 하며 백서는 11월 공개될 예정이다. 비판 측은 이더리움을 떠나면 이더리움의 경제적 안전성을 포기하고 Starknet의 아직 미성숙한 자체 스테이킹에 의존해야 한다고 본다. 후자는 네 단계 중 여전히 2단계이며 검증자는 아직 블록 생성을 시작하지 않았다.
Zcash: 먼저 '복구 가능성'을 보장한 뒤 업그레이드
Zcash의 주요 위험은 도난이 아니라 프라이버시가 소급해 훼손되는 것이다. 미래의 양자컴퓨터가 오늘 체인에 기록된 익명 거래를 다시 연결할 수 있다.
ZIP 2005는 노트의 구성 방식을 바꿔, Orchard 자금 풀을 반드시 동결해야 하는 상황이 오더라도 이후 포스트양자 STARK를 통해 자금을 포스트양자 프로토콜로 복구할 수 있게 한다. NU7 투표에서 이 제안은 ZCAP 90.5%, 코인 보유자 94.6%의 지지를 받았고(2026년 2월), 출시 후보 버전은 2026년 5월 22일 테스트넷에 올랐다. 후속 단계는 먼저 Tachyon과 함께 ML-KEM 키 교환을 도입하고, 이어 완전한 포스트양자 자금 풀을 구축하는 것이다. ZODL CEO가 제시한 목표는 2026년 5월부터 12~18개월이다.
