양자 보안 블록체인 설계로 수수료 절감 및 네트워크 과부하 해소 가능

서명 제거: 96바이트의 온체인 공간 점유량

수년 동안 암호학계는 양자 컴퓨팅과 블록체인 기술 간의 충돌이 임박했다고 경고해 왔습니다. 이 위협의 수학적 근거는 간단합니다. 비트코인 거래부터 스마트 계약에 이르기까지 모든 것을 보호하는 ECDSA와 같은 공개 키 알고리즘은 양자 하드웨어가 성숙해지면 더 이상 적절한 보안을 제공하지 못할 것입니다.

그러나 제안된 해결책은 종종 문제 자체만큼이나 위험해 보였습니다. 양자 이후 암호화 방식은 대개 부풀려진 서명과 방대한 제로 지식(ZK) 증명을 생성하는데, 이러한 데이터 폭발은 P2P 네트워크를 마비시키고, 채굴자들을 압도하며, 거래 수수료를 치솟게 할 위험이 있습니다.

하지만 새로운 아키텍처 패러다임이 양자 보안과 네트워크 확장성 사이의 이러한 제로섬 상충 관계를 타개할 전망입니다. 암호학 연구원 드라고스 일리에(Dragos Ilie)가 임페리얼 칼리지 런던(Imperial College London) 팀과 함께 개척한 ‘컴팩트 실디드 클라이언트사이드 검증(Compact Shielded client-side validation, CSV)’은, 양자 이후 암호화로의 전환이 터무니없이 높은 가스 수수료나 느린 네트워크 성능을 감수해야만 하는 것은 아님을 입증합니다.

실제로, 소유권 증명 방식을 재구상하고 검증 작업을 사용자의 기기로 직접 이전함으로써, 이 프로토콜은 오늘날의 기존 블록체인보다 훨씬 가벼운 온체인 부하를 달성합니다.

양자 확장성 문제의 핵심에는 모든 풀 노드가 확인할 수 있도록 무거운 디지털 서명을 공개 원장에 저장하는 전통적인 설계 방식이 자리 잡고 있습니다. ‘컴팩트 쉴디드 CSV(Compact Shielded CSV)’는 온체인 서명을 완전히 배제하고, 이를 ‘디그리퍼(degriefer)’라고 불리는 새로운 암호화 구조로 대체합니다.

실제로 블록체인에 기록된 단일 입력 거래는 총 96바이트에 불과한 세 개의 간결한 32바이트 해시로 구성됩니다: 이중 지출을 방지하는 ‘널리파이어(nullifier)’, 거래 커밋먼트, 그리고 ‘디그리퍼(degriefer)’ 자체입니다.

“디그리퍼는 코인의 널리파이어, 소유자의 비밀 키, 그리고 해당 코인을 지출하는 거래에 대한 해시일 뿐입니다.”라고 일리(Ilie)는 설명했습니다. “이 작은 해시를 온체인에 추가함으로써, 발신자는 이제 이를 대상으로 오프체인 제로 지식 증명을 구성할 수 있습니다.”

프론트러너 및 그리핑 공격 무력화

동반되는 ZK 증명을 구성하려면 소유자의 비밀 키가 비공개 입력으로 필요하기 때문에, 악의적인 중계자나 프런트러너는 수학적으로 막다른 골목에 빠지게 됩니다. “공격자는 거래를 프런트런할 수는 있지만, 유효한 ZK 증명을 구성할 수는 없으므로 분명히 이로 인해 이득을 볼 수 없습니다,”라고 일리(Ilie)는 지적했습니다.

또한, 공격자가 지출을 지연시키기 위해 상충되는 거래를 방송하더라도, 정당한 소유자는 그 시도를 손쉽게 밝혀낼 수 있습니다. “사용자는 자신의 실제 비밀 키를 넬리파이어로 해시 처리한 결과와 공격자의 거래 내역을 결합해도 공격자가 게시한 ‘그리피어’가 생성되지 않음을 보여줌으로써, 프런트러닝 거래가 무효한 그리핑 시도임을 ZK 증명으로 입증할 수 있습니다,”라고 일리(Ilie)는 강조했습니다.

따라서 Compact Shielded CSV는 전 세계 모든 노드가 모든 거래 내역을 영구적으로 다운로드, 실행, 보관하도록 강요하는 대신, 증명 데이터의 저장 및 검증 책임을 해당 거래에 관여한 특정 사용자에게 넘깁니다.

최종 사용자 관점에서 볼 때, Compact Shielded CSV에서 지갑을 운영하는 것은 경량 비트코인 SPV 클라이언트를 사용하는 것과 유사한 느낌을 줍니다. “적어도 하나의 정직한 노드와만 연결되어 있으면 됩니다,”라고 일리(Ilie)는 말했습니다. 수신 결제를 확인하기 위해 지갑은 온체인 데이터와 비교하여 증명의 공개 매개변수를 확인하고, ZK 증명을 로컬에서 검증합니다. “예를 들어, STARK ZK 증명의 경우, 휴대폰에서도 [verification] 100밀리초도 채 걸리지 않습니다,”라고 그는 덧붙였습니다.

송금 증명 생성은 약간 더 많은 연산이 필요하지만, 일리(Ilie)는 증명 회로가 성숙해짐에 따라 이 속도도 빨라질 것으로 예상합니다. 무엇보다도, 이 아키텍처는 고정 크기 재귀 증명에 의존하기 때문에 과거 거래 내역의 깊이가 에지 사용자에게 결코 불이익을 주지 않습니다. 양자 저항형 증명을 오프체인에 저장하는 것에 대한 우려에 대해 일리(Ilie)는 다음과 같이 언급했습니다:

"증명은 실제로 서명보다 크기가 크고 생성 및 검증 속도도 더 느리지만, 이는 전체 네트워크가 이를 저장하고 검증해야 할 때만 부담이 됩니다. 이 프로토콜은 클라이언트 측 검증 방식이기 때문에, 각 사용자는 자신이 직접 관리하는 코인에 대해서만 저장, 검증 및 증명을 수행하므로 관리하기 매우 용이합니다."

저장 공간의 규모를 가늠해 보자면, 일리(Ilie)는 “휴대폰에 저장된 사진 한 장이 증명서 한 개보다 20~40배 더 크다”고 말하며, 결제 전송에는 “사진을 보내는 것보다 더 적은 대역폭과 저장 공간이 필요하다”고 덧붙였다.

제로 스테이트 블로트

거래 내역이 증가함에 따라 기존의 엣지 디바이스는 종종 상태 부풀어오름(state bloat) 문제를 겪습니다. 그러나 Compact Shielded CSV를 사용하면 라이트 클라이언트는 자신의 미사용 코인에 대한 고정 크기 증명 외에는 어떠한 거래 내역도 저장하지 않습니다. “널리파이어(nullifier)가 상충되는 지출 내역을 가지고 있는지 확인하는 것과 같은 그 밖의 모든 작업에 대해서는, 단순히 풀 노드나 아카이브 노드에 쿼리를 보내면 됩니다,”라고 일리(Ilie)는 지적하며, “거래 내역의 증가는 증명 크기나 검증 시간에 전혀 영향을 미치지 않습니다”라고 덧붙였습니다.

양자 저항성이 네트워크 혼잡을 가중시키고 수수료를 비싸게 만든다는 일반적인 믿음과는 달리, 일리(Ilie)는 컴팩트 쉴디드 CSV가 오늘날의 비양자 네트워크보다 훨씬 더 효율적이라고 주장했습니다.

“다소 놀랍게도, 우리의 방식은 기존 체인보다 훨씬 가볍고 빠르며, 오히려 더 무겁지 않습니다. 우리는 완전한 양자 저항성을 갖추었을 뿐만 아니라, 현 상태와 비교해도 훨씬 낮은 거래 수수료와 훨씬 적은 네트워크 혼잡을 경험하게 될 것입니다.”