🛡️ 51% 공격이 성공하면 남의 코인도 가져갈 수 있나요, 백서와 이더리움 문서로 본 한계

51% 공격에 성공한 공격자도 남의 주소에 있는 코인을 옮기거나 규칙에 없는 새 코인을 만들 수는 없어요. 51% 공격은 블록을 만드는 힘(작업증명에서는 해시 파워, 지분증명에서는 스테이킹한 코인)의 과반을 한 주체나 손잡은 무리가 쥐고 최근 거래 기록을 고쳐 쓰는 공격을 부르는 이름이에요. 비트코인 백서 11장은 공격자가 정직한 체인보다 빨리 대체 체인을 만들어 내도 허공에서 가치를 만들거나 원래 공격자 것이 아니었던 돈을 가져가는 식의 변경은 열리지 않고, 공격자가 시도할 수 있는 것은 자기가 최근 보낸 거래 하나를 바꿔 그 돈을 되찾는 것뿐이라고 적었어요. 이더리움 공식 문서(ethereum.org)도 공격자가 새 이더를 만들거나 아무 계정에서나 이더를 빼 갈 수 있다는 생각을 「흔한 오해」라고 부르고, 모든 거래가 보낸 사람의 개인키 서명과 잔액 조건을 통과해야 하기 때문이라고 설명해요. 이중지불로 손해를 보는 쪽은 공격자에게 결제를 받고 그 대가를 먼저 내준 상대예요. 2018년 비트코인골드 공지는 실제 위험이 공격자와 모르고 큰 금액을 자동으로 거래한 상대, 곧 거래소였다고 적었어요. 지분증명으로 바뀐 이더리움에서는 51%가 유일한 문턱이 아니라, 전체 스테이킹 이더 가운데 공격자 몫이 33%, 34%, 51%, 66%일 때마다 할 수 있는 일이 달라져요.

먼저 요약하면 이래요.

• 할 수 없는 일: 남의 주소에 있는 코인을 서명 없이 옮기기, 규칙에 없는 새 코인 만들기예요. 비트코인 백서 11장, bitcoin.org 자주 묻는 질문, ethereum.org가 같은 말을 해요.
• 할 수 있는 일: 자기가 최근 보낸 결제를 되돌리는 이중지불, 특정 거래를 블록에 넣지 않는 검열, 최근 블록을 다시 짜는 재구성이에요. bitcoin.org 자주 묻는 질문은 「강력한 채굴자는 최근 거래를 임의로 막거나 되돌릴 수 있다」고 적었어요.
• 절반이 안 돼도 가능해요: 백서의 C 코드를 그대로 돌리면, 다음 블록을 찾을 확률이 30%인 공격자가 6확인(6컨펌)짜리 거래를 뒤집을 확률은 약 17.7%, 40%면 약 55.1%예요. 백서 식에서 확률이 1이 되는 선은 공격자 몫이 절반 이상일 때예요.
• 이더리움은 네 단계예요: ethereum.org는 33%면 최종 확정 지연, 34%면 이중 확정, 51%면 검열과 앞으로의 블록 통제, 66%면 이미 확정된 과거까지 바꿀 수 있다고 정리해요.

이 글은 2026년 10월 20일 오전 11시 56분부터 낮 12시 5분 사이(한국 시각)에 비트코인 백서 PDF, bitcoin.org의 자주 묻는 질문과 안내 페이지, 비트코인 코어 최신 릴리스 v31.1의 소스 코드, ethereum.org의 「지분증명 공격과 방어」 문서(영문 원문 마지막 수정 2026년 4월 13일)와 한국어판, 이더리움 합의 명세, 비트코인골드 공식 블로그를 직접 받아 읽고 정리했어요. 확률은 백서 7쪽의 C 코드를 그대로 옮겨 돌려 8쪽 결과표의 값이 모두 똑같이 나오는 것을 확인한 뒤 계산했어요. 현재 해시레이트나 스테이킹 분포, 실제 공격 비용은 재지 않았어요.

이 글이 읽은 자료

백서 11장이 그은 선

백서 11장(Calculations)은 첫 문단에서 공격의 범위부터 정해요. 공격자가 정직한 체인보다 빨리 대체 체인을 만드는 데 성공해도 시스템이 임의 변경에 열리지는 않는다고 하고, 그 예로 허공에서 가치를 만드는 것과 원래 공격자 것이 아니었던 돈을 가져가는 것을 들어요. 이유는 바로 이어지는 문장에 있어요. 노드는 무효 거래를 결제로 받지 않고, 정직한 노드는 그런 거래가 든 블록을 절대 받지 않는다는 거예요. 그래서 공격자에게 남는 것은 자기 거래 하나를 바꿔 최근에 쓴 돈을 되찾으려는 시도뿐이라고 적었어요.

무효 거래가 무엇인지는 2장에서 알 수 있어요. 백서는 전자 코인을 디지털 서명의 사슬로 정의하고, 주인이 다음 주인에게 코인을 넘길 때 이전 거래의 해시와 다음 주인의 공개키에 디지털 서명을 한다고 적었어요. 남의 코인을 옮기는 거래에는 그 주인의 서명이 없으니, 정직한 노드는 그 거래도, 그 거래가 든 블록도 받지 않아요.

bitcoin.org의 자주 묻는 질문도 같은 결론이에요. 「사용자가 비트코인에 맞서 담합할 수 있나요」 항목은 현재 명세상 같은 블록체인에서 이중지불도, 유효한 서명 없는 지출도 불가능하므로 비트코인을 통제 없이 만들어 내거나 다른 사용자의 자금을 쓰는 일은 불가능하다고 적고, 바로 뒤에 「다만 강력한 채굴자는 최근 거래를 임의로 막거나 되돌릴 수 있다」고 덧붙였어요. 51% 공격으로 할 수 있는 일은 이 마지막 문장 쪽에 있어요.

이중지불은 받은 사람의 거래를 지우는 방식이에요

11장은 공격 장면을 구체적으로 그려요. 보내는 사람이 공격자이고, 받는 사람이 한동안 돈을 받았다고 믿게 한 뒤 시간이 지나면 그 거래를 자기에게 돌려보내는 거래로 바꿔치기하려 한다고 가정해요. 거래를 보낸 순간부터 공격자는 다른 버전의 거래를 담은 평행 체인을 몰래 캐요. 받는 사람은 거래가 블록에 담기고 그 뒤로 블록 몇 개가 더 이어질 때까지 기다리고요. 받는 사람이 서명 직전에 새 키 쌍을 만들어 공개키를 건네는 것도 공격자가 미리 블록을 쌓아 두지 못하게 하려는 장치로 설명돼요.

4장은 작업증명이 가장 많이 들어간 가장 긴 체인을 다수의 결정으로 보고, 5장은 노드가 언제나 가장 긴 체인을 올바른 체인으로 여기고 그 체인을 이어 간다고 적었어요. 공격자의 평행 체인이 정직한 체인을 따라잡아 넘어서면 노드는 그 체인을 이어 가고, 받는 사람에게 갔던 거래는 그 체인에 없어요. 백서는 받는 사람이 그때 알게 되지만, 보내는 사람은 그때가 너무 늦었기를 바란다고 적었어요.

6장은 같은 상황을 공격자의 손익으로 봐요. 정직한 노드 전체보다 많은 CPU 파워를 모은 욕심 많은 공격자는 그 힘을 자기 결제를 되찾아 사람들을 속이는 데 쓸지, 새 코인을 만드는 데 쓸지 골라야 하고, 규칙대로 하는 쪽이 더 이익일 것이라고 적었어요. 여기서 새 코인은 채굴 보상처럼 규칙이 정한 몫을 말해요.

비트코인 코어 지갑에는 이 상황에 쓰이는 표시가 있어요. 지갑은 블록에 담긴 다른 거래와 충돌한 거래의 확인 수를 음수로 세고(src/wallet/wallet.cpp), 화면에는 「Conflicted」로 표시해요. 소스 주석은 이 상태를 「다른 거래나 mempool과 충돌」로 설명해요.

절반이 안 돼도 성공할 수 있어요, 확인 수별로 다시 계산한 확률

「51%」라는 이름 때문에 해시 파워가 절반을 넘지 않으면 공격이 불가능하다고 생각하기 쉬워요. 백서의 식은 그렇게 말하지 않아요. 11장은 공격자가 다음 블록을 찾을 확률을 q, 정직한 노드 쪽을 p(1에서 q를 뺀 값)로 두고, p가 q보다 크면 공격자가 z블록 뒤에서 끝내 따라잡을 확률이 q를 p로 나눈 값의 z제곱이라고 적었어요. p가 q보다 크지 않으면, 곧 공격자 몫이 절반 이상이면 그 확률은 1이에요. 절반 미만이면 0이 아니라 블록이 쌓일수록 지수적으로 줄어드는 값이고요. 비트코인 개발자 안내서도 과반 해시 파워가 있어야 51% 공격을 확실하게(reliably) 할 수 있지만, 50% 미만으로도 성공할 가능성이 꽤 있다고 적었어요.

받는 사람이 실제로 기다리는 경우를 따지려고 백서는 공격자의 진행을 푸아송 분포로 놓고 C 코드까지 붙였어요. 이 코드를 그대로 옮겨 돌리면 8쪽 결과표의 값이 소수점 일곱째 자리까지 똑같이 나와요. q가 0.1이고 z가 5일 때 0.0009137, q가 0.3이고 z가 10일 때 0.0416605예요. 공격 성공 확률을 0.1% 미만으로 낮추는 데 필요한 블록 수 표는 비트코인 백서 9쪽 정리 글에 옮겨 두었으니, 여기서는 지갑이 보여 주는 확인 수에 맞춰 다시 계산했어요.

여기서 한 칸을 맞춰야 해요. 백서의 z는 거래가 담긴 블록 뒤에 이어진 블록 수예요. 비트코인 코어 지갑은 확인 수를 마지막 블록 높이에서 거래가 담긴 블록 높이를 빼고 1을 더해 세서, 최신 블록에 막 담긴 거래가 1확인이에요. 그래서 6확인은 백서의 z가 5인 경우예요.

q가 0.4인 공격자는 해시 파워가 절반에 못 미쳐도 6확인 거래를 뒤집을 확률이 절반을 넘어요. q가 0.1이면 6확인에서 약 0.091%로 떨어지고요. 이 값들은 백서 모형의 가정 위에서 나온 계산이에요. 정직한 블록이 평균 시간대로 나오고, 공격자는 거래를 보낸 순간부터 몰래 캔다는 가정이에요. 실제 네트워크에서 누가 해시 파워를 얼마나 가졌는지는 이 글에서 재지 않았어요.

비트코인 코어가 6을 권하는 자리

비트코인 코어 v31.1의 src/qt/transactionrecord.h에는 「거래를 받아들이는 데 권장되는 확인 수」라는 주석과 함께 6이 상수로 들어 있어요. 지갑 화면은 확인 수가 0이면 「Unconfirmed」, 1에서 5까지는 「Confirming (n of 6 recommended confirmations)」, 6 이상이면 「Confirmed」로 표시해요. 이 6은 지갑 화면의 권장값이고, 블록을 검증하는 합의 규칙은 아니에요.

bitcoin.org의 안내도 6을 같은 자리에 둬요. 자주 묻는 질문은 거래를 언제 충분히 확인된 것으로 볼지는 사용자가 정하지만 6확인은 흔히 신용카드 거래에서 6개월을 기다린 것만큼 안전하다고 여겨진다고 적었어요. 「You need to know」 페이지의 표는 확인 0을 보내는 사람을 믿을 때만 안전한 단계, 6을 고액 송금의 최소 권장, 30을 비상시 사람이 개입할 시간을 주기 위한 권장으로 적었어요. 1과 3은 라이트 지갑과 비트코인 코어를 따로 평가했는데, 3확인은 라이트 지갑에서 「대체로 신뢰할 만함」, 비트코인 코어에서 「매우 신뢰할 만함」이에요.

지분증명 이더리움은 33·34·51·66%로 나뉘어요

이더리움은 2022년에 작업증명을 끄고 지분증명으로 옮겼어요(ethereum.org 작업증명 문서). 지분증명에서는 해시 파워 대신 검증자가 맡긴 이더가 투표권이 돼요. ethereum.org의 「지분증명 공격과 방어」 문서는 공격자가 현실적으로 노릴 수 있는 결과를 재구성, 이중 확정, 최종 확정 지연 세 가지로 꼽고, 공격자 몫이 커질수록 할 수 있는 일이 단계적으로 늘어난다고 정리해요.

문서의 요약은 이 단계를 「33%: 완결성 지연, 34%: 완결성 지연, 이중 완결성, 51%: 완결성 지연, 이중 완결성, 검열, 블록체인 미래에 대한 통제, 66%: 완결성 지연, 이중 완결성, 검열, 블록체인 미래 및 과거에 대한 통제」로 묶어요(한국어판 표현). 이미 확정된 블록은 이더리움 클라이언트가 재구성하지 않고, 확정을 되돌리는 일은 공격자가 전체 스테이킹 이더의 3분의 1 넘게를 잃어야만 가능하다고 적었어요. 문서는 이 보장을 경제적 완결성이라고 불러요.

66%에서 말하는 「쓰고, 되감고, 다시 쓰기」도 남의 이더를 옮긴다는 뜻이 아니라 공격자가 쓴 거래를 되감는 일로 읽어야 해요. 같은 문서 첫머리가 공격에 성공한 공격자라도 새 이더를 만들거나 임의 계정에서 이더를 빼낼 수는 없다고 적었기 때문이에요. 문서는 공격자를 처벌하는 마지막 방어선으로 커뮤니티의 대응도 들어요. 공격자 검증자를 강제로 내보내면 다시 들어오기까지 검증자 수가 서서히 늘도록 하는 활성화 대기열을 거쳐야 한다고 적었어요. 문서는 그 대기 기간을 일수로도 예를 들었지만, 그 값은 활성화 한도 규칙과 그때의 스테이킹 규모에 따라 달라지는 숫자라 옮기지 않았어요. 일렉트라(Electra) 이후 합의 명세는 한 에폭에 새로 활성화되는 잔액을 최대 256이더로 묶어 두어서, 이 상한이 걸리는 동안에는 스테이킹된 이더가 많을수록 공격에 필요한 만큼 다시 들어오는 데 오래 걸려요. 다만 정직한 체인으로 되돌아가는 과정에서 공격 뒤에 검증된 블록의 거래가 되돌려질 수 있다는 점도 함께 적었어요.

3분의 2라는 숫자가 나오는 곳

33%와 66%가 경계가 되는 이유는 합의 명세의 한 줄에 있어요. 이더리움 합의 명세(phase0 비콘 체인)의 정당화 판정 함수는 어떤 에폭의 목표 체크포인트에 투표한 잔액에 3을 곱한 값이 전체 활성 잔액에 2를 곱한 값 이상일 때만 그 체크포인트를 정당화해요. 투표한 쪽이 3분의 2 이상이어야 한다는 뜻이에요. 식의 부등호대로라면 정직한 쪽이 정확히 3분의 2만 있어도 정당화되니 확정을 멈추려면 3분의 1을 넘어야 하고, 다른 검증자 없이 혼자 이 문턱을 넘는 선은 정확히 3분의 2(약 66.7%)예요. 알테어(Altair) 이후 포크 명세는 이 함수를 그대로 불러 쓰고, 이번에 확인한 이후 포크 명세 여덟 개에서 이 함수를 다시 정의한 곳은 없었어요.

34%가 지분을 전부 잃는 이유

ethereum.org는 34%로 이중 확정을 만들려면 공격자 검증자가 동시에 이중 투표를 해야 하고, 이는 최대 상관 벌점이 붙는 슬래싱 대상이라 지분 전부를 잃는다고 설명해요. 명세의 식으로 따져도 같은 결과가 나와요. 벨라트릭스(Bellatrix) 포크부터 쓰는 상관 슬래싱 배수는 3이에요. 일렉트라 명세의 슬래싱 처리 함수는 기록 기간 동안 슬래싱된 잔액 합계에 3을 곱한 값(전체 활성 잔액보다 크면 전체 활성 잔액)을 전체 활성 잔액으로 나눈 비율을 슬래싱된 각 검증자의 유효 잔액에 곱한 만큼 벌점으로 깎아요. 슬래싱된 잔액이 전체의 3분의 1 이상이면 이 비율이 1이 되어 유효 잔액 전부가 벌점이 돼요.

지분이 적어도 가능한 공격

지분이 작다고 공격이 아예 없는 것은 아니에요. 문서는 블록을 숨겼다가 정해진 순간에 내보내 정직한 블록 하나를 밀어내는 재구성을 소개하면서, 34% 지분이면 성공 가능성이 매우 높고, 이후 연구에서 전체 지분의 2%로, 그다음에는 밸런싱 기법을 쓴 검증자 하나로도 가능하다고 제시됐다고 적었어요. 그러면서 문서에 소개된 공격은 이상적인 포크 선택 알고리즘이나 일어나기 어려운 네트워크 조건이 필요하거나, 이미 클라이언트 소프트웨어의 비교적 작은 수정으로 막혔다고 덧붙였어요. 아직 알려지지 않은 결함이 있을 가능성까지 배제하지는 않는다는 문장도 함께 있어요.

2018년 비트코인골드 공지가 적은 피해 대상

실제 51% 공격 기록 가운데 이번에 프로젝트의 공식 원문을 연 것은 비트코인골드(BTG) 한 건이에요. 비트코인골드 공식 블로그의 「Responding to Attacks」(2018년 5월 24일)는 5월 중 약 3일 반에 걸쳐 비트코인골드 블록체인을 이용한 「51% 공격」이 있었고, 이중지불로 거래소를 공격하는 것이 목적이었다고 적었어요.

공지는 위험한 쪽과 그렇지 않은 쪽을 이렇게 나눴어요. 일반 사용자, 비트코인골드로 보유한 자금, 아는 상대와의 거래는 위험하지 않고, 진짜 위험은 자동화된 시스템에서 공격자와 모르고 큰 금액을 거래한 상대, 곧 거래소라는 거예요. 공격이 몇 번 있었는지는 볼 수 있지만 거래소를 상대로 몇 건이 완전히 성공했는지, 어느 거래소가 공격받았는지는 알 수 없다고도 적었어요. 피해 금액은 공지에 나오지 않아요.

공지에 따르면 마지막으로 알려진 시도는 5월 19일이었고, 많은 거래소가 입금에 요구하는 확인 수를 크게 늘리거나 입금 지갑을 아예 닫았어요. 비트코인골드는 같은 작업증명 알고리즘(Equihash)을 쓰는 코인 전체의 해시 파워가 자기 네트워크보다 훨씬 크다는 점을 들어, 작업증명 알고리즘을 바꾸는 업그레이드를 앞당기겠다고 밝혔어요. 공격자가 이중지불에 실패하더라도 재구성은 정직한 사용자에게 혼란을 주고 정직한 채굴자의 채굴 수익을 빼앗는다는 문장도 있어요. 여기서 빼앗긴다는 채굴 수익은 남의 주소에 있는 코인이 아니라, 재구성으로 밀려난 정직한 블록에 붙어 있던 채굴 보상을 가리키는 것으로 읽혀요. 비트코인 개발자 안내서도 체인이 갈라진 뒤 밀려난 블록의 채굴 보상 거래는 없어진다고 설명해요.

할 수 있는 일과 없는 일 한눈에 보기

내 지갑에 그대로 있는 코인은 이 표의 첫 줄에 해당해요. 51% 공격 소식에서 따져 볼 것은 최근에 받은 결제가 몇 확인을 넘겼는지예요. bitcoin.org는 거래가 곧바로 되돌릴 수 없게 되는 것이 아니라 확인이 쌓일수록 되돌리기 어려워진다고 적었어요.

이어서 볼 글

백서 11장의 0.1% 표와 백서 전체 구성은 비트코인 백서 9쪽 정리 글에, 작업증명과 지분증명이 블록을 기록할 자격을 어떻게 나누는지는 작업증명 vs 지분증명 차이 글에 있어요. 이더리움 블록이 실제로 최종 확정되기까지 걸린 시간은 이더리움 블록 간격과 최종 확정 실측 글에서 재 봤어요.

이 글이 다루지 않은 것

• 현재 비트코인 해시레이트 분포와 이더리움 스테이킹 총량, 그로부터 계산한 공격 비용은 재지 않았어요. ethereum.org 문서에 적힌 이더 수량과 달러 금액은 작성 당시 기준이라 옮기지 않았어요.
• 거래소별 입금 확인 수는 다루지 않았어요.
• 비트코인골드 말고 다른 51% 공격 사례는 원문을 열지 않았어요.
• 이기적 채굴처럼 백서 11장과 다른 공격 모형은 다루지 않았어요.

모든 내용은 2026년 10월 20일 오전 11시 56분부터 낮 12시 5분 사이(한국 시각)에 받은 원문과, 그 원문의 C 코드로 다시 계산한 값 기준이에요.

이 글은 정보 제공 글이며 매매 권유나 투자 자문이 아니에요. 가상자산은 변동성이 크고 원금 손실 위험이 있으며, 투자 판단과 그 결과에 대한 책임은 본인에게 있어요.