이더리움 재단, 8년 쓴 포세이돈 해시 포기…SHA·BLAKE로 방향 전환

저스틴 드레이크(Justin Drake) 이더리움 재단(Ethereum Foundation) 연구원이 8월 13일(현지시각) 자신의 X(옛 트위터) 계정에 이더리움이 레이어1(L1) 미래 설계에서 포세이돈(Poseidon) 해시 함수를 포기한다고 밝혔다. 앞으로는 SHA나 BLAKE 계열의 전통적 해시로 방향을 튼다는 것이다. 드레이크는 이를 “8년, 8자리 규모”를 쏟아부은 끝에 도달한 결론이라 표현하며 “안녕, 포세이돈(Goodbye, Poseidon)”이라는 글을 남겼다. 이번 발표는 포세이돈에 결함이 발견됐거나 즉각적인 이전(마이그레이션)을 요구하는 것은 아니다. 최근 증명 시스템(proof system) 성능이 크게 개선되면서, 애초 포세이돈을 선택하게 했던 비용 구조 자체가 바뀌었다는 게 핵심이다.

왜 8년 만에 포세이돈을 접나

이더리움 재단은 2018년부터 영지식증명(영지식증명(zero-knowledge proof), SNARK) 시스템에 최적화된 전용 해시 함수 개발에 투자해왔다. 포세이돈은 2019년 등장해 이 분야의 대표 해시로 자리잡았다. SNARK는 계산이 올바르게 수행됐음을 증명하는 압축된 증거를 만드는 기술이다. 주로 소수체(prime field) 위의 산술을 쓰는데, SHA-256이나 Keccak(Keccak) 같은 전통 해시의 비트 연산은 이 방식에서 증명 비용이 크게 든다는 문제가 있었다. 포세이돈은 이 증명 비용을 낮추려고 SNARK 친화적으로 설계된 해시였다.

드레이크는 “돌아보니 핵심은 SNARK 친화적 해시가 아니라 해시 친화적 SNARK였다”고 적었다. 이진체(binary field)(binary field) 기반 증명 시스템 연구가 진전되면서 SHA-2나 BLAKE2s 같은 전통 해시도 포세이돈에 준하는 SNARK 효율을 낼 수 있게 됐다는 설명이다.

이진체(binary field) 증명이 뒤집은 판도

이번 전환의 기술적 배경에는 이진체(binary field) 연산을 활용하는 새로운 증명 시스템 연구가 있다. 벤저민 다이아몬드(Benjamin Diamond)와 짐 포즌(Jim Posen)이 진행한 비니어스(Binius) 연구는 0과 1로 이뤄진 비트 연산을 그대로 다루는 방식이다. Keccak의 비트 연산과 자연스럽게 맞아떨어진다는 점이 특징이다. 7월 29일(현지시각) 공개된 플록(Flock) 논문은 이런 기법을 대규모 표준 해시 연산 배치에 적용했다.

플록 연구팀에 따르면 M4 맥스(M4 Max) 코어 1개로 초당 약 8만2000회의 BLAKE3 압축 연산, 4만2000회의 SHA-256 압축, 3만 회의 Keccak 순열을 증명할 수 있었다. 코어 10개를 쓰면 초당 66만 회 이상의 BLAKE3 압축을 처리했다. SHA-256 증명 속도는 기존 비니어스64(Binius64) 대비 9배 이상 빨랐다. 다만 이는 내부 해시 연산만을 측정한 개념증명(proof-of-concept) 벤치마크로, 이더리움의 실제 트랜잭션 처리량과는 다른 척도라는 점을 유의해야 한다.

드레이크는 이런 증명 시스템으로 노트북 한 대에서 초당 약 100만 건의 전통 해시 호출을 증명할 수 있다고 밝혔다. 이는 CPU 네이티브 연산 대비 약 100배의 오버헤드에 해당한다. AI를 활용해 증명 코드를 자동으로 개선하는 오픈 연구 프로젝트 SNARK.fast(SNARK.fast)는 초당 180만 회의 BLAKE3 압축을 달성해 초기 기준 대비 255% 성능 향상을 기록하기도 했다.

기존 롤업·지갑엔 당장 변화 없다

이번 결정은 이더리움의 미래 L1 설계에 관한 것이다. 이미 포세이돈을 쓰는 서비스를 당장 바꾸라는 지시는 아니다. 드레이크 본인도 포세이돈에서 결함이 발견된 것은 아니라고 밝혔고 이전 명령도 내리지 않았다. 포세이돈은 이후 수십억 달러 규모의 암호자산을 지키는 zk롤업과 zkVM 등 여러 프로젝트에서 널리 쓰이는 해시가 됐다. 이런 기존 애플리케이션은 로드맵 변경과 무관하게 포세이돈을 계속 사용할 수 있다. 이더리움 로드맵 역시 사용자에게 지갑을 그대로 두라고 안내하고 있다. 드레이크의 발표에도 기존 롤업이나 zkVM을 바꾸라는 요구나 실제 배포된 포크(fork)는 포함되지 않았다.

SHA와 BLAKE 계열은 영지식 시스템 밖에서도 오랜 기간 검증받은 해시다. SHA-256은 미국 국립표준기술연구소(NIST)의 보안 해시 표준(Secure Hash Standard)에 포함돼 있다. BLAKE2는 2015년부터 공개된 정보성 규격을 갖고 있으며, 이번에 벤치마크 대상이 된 최신 버전 BLAKE3는 이와는 별도의 구현체다. 다만 이더리움 내부에 실제로 이 해시들을 적용하려면 별도의 연구와 감사, 테스트가 여전히 필요하다는 게 관련 보도들의 공통된 지적이다.

양자 내성 로드맵과 맞물린 큰 그림

드레이크는 이번 결정을 이더리움의 양자 내성(post-quantum) 보안 작업과 연결지었다. 이더리움은 현재 사용자 계정에 ECDSA, 검증인(밸리데이터)에는 BLS 서명을 쓰는데 두 방식 모두 미래의 양자 컴퓨터에 취약할 수 있다는 우려가 나온다. 로드맵상 이더리움은 검증인의 BLS 서명을 해시 기반의 lean XMSS 서명으로 교체하고, leanVM으로 방대해진 데이터를 압축된 증명으로 묶어내는 구조를 구상하고 있다. 전통 해시를 저렴하게 증명할 수 있게 되면 이 구조를 가로막던 장애물 하나가 사라지는 셈이다.

드레이크는 격자 기반(lattice-based) 서명 방식인 HAWK와 아이소제니(isogeny) 기반의 SQIsign 같은 신형 암호 방식에서 최근 AI 활용 암호분석(cryptanalysis)으로 취약점이 드러났다고 지적했다. 이 때문에 오래 검증된 단순한 가정에 기반한 해시 기반 서명 쪽에 더 힘을 싣는 흐름이라는 설명이다. 6월에는 한 이더리움 연구자가 스핀크스(SPHINCS) 기반 서명 검증기로 계정 보호를 시연했다. 최적화된 버전은 약 12만7000가스(gas)와 3704바이트 서명을 요구했고, 당시 계정당 검증 비용은 약 0.07달러로 추산됐다.

일정 측면에서 드레이크 개인의 이른바 “스트로맵(strawmap, 초안성 로드맵)”은 상용 수준의 leanVM을 2027년, 합의·데이터·실행 계층 전반의 배포를 2028년으로 잡고 있다. 반면 이더리움의 공식 양자 내성 로드맵은 핵심 인프라 목표 시점을 비확정적으로 2029년 무렵으로 제시하고, 실행 계층 전체 전환은 그 이후로 늦춰 잡고 있다. 두 시점표가 서로 다른 만큼, 이번 포세이돈 폐기 결정이 실제로 얼마나 일정을 앞당길지는 아직 지켜봐야 하는 대목이다. 이번 방향 전환은 비탈릭 부테린(Vitalik Buterin) 공동창립자가 추진해온 기반 계층 단순화 구상과도 맞닿아 있다. 부테린은 이더리움 가상머신(EVM)을 영지식증명에 더 적합한 RISC-V로 점진적으로 대체하자는 제안도 내놓은 바 있다.