양자 위협 대응 위해 이더리움, Poseidon 포기하고 전통 해시로 전환

작성자: ChandlerZ, Foresight News

8월 13일, 이더리움 연구원 Justin Drake가 X에 글을 올려 이더리움 재단이 L1 계층에서 SNARK 친화형 해시 알고리즘 Poseidon을 포기하고 SHA2 또는 BLAKE2 등 전통적인 해시 함수로 전환하기로 결정했다고 밝혔다.

이 결정 뒤에는 8년간의 연구, 수천만 달러 투자의 축적, 그리고 포스트 양자 암호학 로드맵에 대한 중대한 수정이 있다.

Poseidon은 2019년 출시 이후 zkRollup 및 zkVM 등 애플리케이션의 이상적인 해시 방안으로 여겨져 왔으며, 그 구조 덕분에 SNARK 회로에서 전통적인 이진 연산 기반 해시 함수보다 저렴하고 효율적이다. 그러나 포스트 양자 보안이 이더리움의 필수 요건이 되면서 Poseidon의 한계가 드러나기 시작했다.

Justin Drake는 이번 전환이 획기적인 SNARK 설계 진전 덕분이라고 밝혔다. 즉 ‘이진체(바이너리 필드)’ 연산 방식을 통해 전통적인 해시 함수가 SNARK 회로에서 기존에 SNARK에 최적화되어 설계된 Poseidon에 필적하는 성능을 낼 수 있으며, 노트북 한 대로 초당 약 100만 회의 전통적인 해시 호출 검증을 완료할 수 있다는 것이다.

해당 글에 따르면 Poseidon은 2019년 출시 이후 주류 SNARK 친화형 해시 방안으로 자리하며 zkRollup과 zkVM 등 애플리케이션에 보안을 제공해 왔다. Justin Drake는 계획상 프로덕션급 leanVM이 2027년 출시될 예정이고, 합의 계층·데이터 계층·실행 계층의 관련 배포는 2028년 완료될 예정이며, 이더리움 재단 포스트 양자 팀도 이진체 관련 연구를 가속하고 있다고 밝혔다.

왜 지금인가?

전통적인 해시가 오랫동안 SNARK에 도입되기 어려웠던 주된 장애물은 계산 언어의 차이에서 비롯됐다. SHA2, BLAKE2s, Keccak은 XOR, 시프트 등 부울 연산을 대량으로 사용하는데, 전통적인 SNARK는 보통 큰 소수체 위에서 산술을 처리하므로 비트 연산 하나하나를 시뮬레이션하면 높은 제약 비용이 발생한다. Poseidon은 소수체 산술을 중심으로 직접 설계되어 더 적은 제약으로 더 빠른 증명 속도를 얻지만, 알고리즘 이력이 짧고 지속적인 암호 분석이 필요하다는 단점이 있다.

이진체는 기반 수학을 0과 1만으로 구성된 최소 소수체로 전환하고, 이진 확대체로 더 큰 데이터를 담는다. 이에 따라 비트 연산이 증명 시스템에 직접 들어갈 수 있게 되고, SNARK는 전통적인 해시에 적응하기 시작한다. 기술의 초점은 SNARK 친화형 해시 설계에서 해시 친화형 SNARK 설계로 이동한다.

Jim Posen과 Benjamin Diamond가 2023년 제안한 Binius는 이진 타워체 SNARK 경로를 제시했고, Benedikt Bünz, Ron Rothblum, William Wang의 Flock 논문은 2026년 7월 29일 arXiv에 업로드됐다. 해당 논문의 M4 Max 벤치마크 기준 단일 코어에서 초당 BLAKE3 압축 8.2만 회, SHA-256 압축 4.2만 회, Keccak 치환 3만 회를 증명하며, 10코어 BLAKE3 처리량은 66만 회를 넘는다.

Drake는 노트북에서 초당 약 100만 회의 전통적인 해시 호출을 증명할 수 있고, 오버헤드는 네이티브 CPU 부울 연산의 약 100배라고 밝혔다. SNARK.fast는 며칠 전 M3 Max에서 초당 BLAKE3 180만 회를 달성했다.

2027년 leanVM, 2028년 3개 계층 배포

Poseidon이 포기된 또 다른 핵심 이유는 포스트 양자 보안의 일정이 가속화되고 있기 때문이다. Project Eleven이 발표한 《The Quantum Threat to Blockchains - 2026 Report》는 양자컴퓨터의 빠른 발전이 블록체인 보안에 심각한 위협이 되고 있다고 지적했다. ‘암호학적으로 유의미한 양자컴퓨터’(CRQC)가 등장하면 Shor 알고리즘은 ECDSA(비트코인과 대다수 퍼블릭 체인이 채택)와 RSA 등 비대칭 암호를 빠르게 해독할 수 있다. Q-Day(양자 해독의 날)는 2030년에서 2033년 사이 도래할 수 있으며, 그때가 되면 수조 달러 규모의 온체인 자산이 위험에 처하게 된다.

블록체인 공개 키는 장기간 고정되어 있고 롤백할 수 없기 때문에 마이그레이션 난도가 매우 높다. 보고서는 격자 기반, 해시 기반 등 항양자 서명 방안을 포함한 포스트 양자 암호학(PQC) 마이그레이션을 즉시 시작하고, 하이브리드 방안을 통해 단계적으로 전환해 양자 위협이 전면적으로 폭발하는 것을 피하라고 권고한다.

Justin Drake는 AI의 암호 분석 역량이 강화되면서 격자 기반 방안 HAWK와 아이소제니 기반 방안 SQIsign이 잇달아 타격을 입었다고 경고했다. 이로 인해 이더리움 재단은 해시 기반 방안에 베팅할 수밖에 없게 됐으며, 이 계열 방안은 양자 공격에 더 강한 저항력을 갖춘 것으로 평가된다.

앞서 이더리움은 2027년 프로덕션급 leanVM 배포, 2028년 합의 계층·실행 계층·데이터 가용성 계층에서의 배포 완료를 포함한 포스트 양자 로드맵을 공개한 바 있다. leanVM은 포스트 양자 서명 집계 전용의 최소화된 영지식 가상머신으로, 전체 전략의 핵심 구성 요소로 여겨진다.

2026년 3월, 이더리움 재단은 pq.ethereum.org를 포스트 양자 보안 리소스 센터로 출시했고, 10개 이상의 클라이언트 팀이 매주 포스트 양자 상호운용성 개발 네트워크를 운영하기 시작했다. 재단은 또한 포스트 양자 암호학 연구를 진전시키기 위해 100만 달러 규모의 Poseidon Prize와 같은 금액의 Proximity Prize를 설치했다. Vitalik Buterin 본인도 포스트 양자 보안이 이더리움의 ‘walkaway test’(안심하고 떠날 수 있는 테스트)의 필요조건이라며, 이더리움이 양자 보안을 달성하기 전에는 ‘경직화(ossification)’될 수 없다고 여러 차례 강조했다.

해시 함수 전환은 이더리움 포스트 양자 로드맵의 전반적인 구조를 바꾸지 않는다. 검증자가 현재 사용하는 BLS 서명은 타원곡선에 의존하지만, 향후 방안은 leanXMSS 등 해시 서명을 기반으로 하고, leanVM이 다수의 서명을 블록당 하나의 소형 증명으로 압축한다. 이더리움 공식 페이지가 앞서 제시한 비교에 따르면 leanXMSS 서명은 약 3000바이트, BLS 서명은 96바이트에 불과하며, leanVM의 데이터 압축 목표는 약 250배다.

SHA2 또는 BLAKE2s는 더 오랜 공개 분석 이력을 갖고 있어 EF는 Poseidon 파라미터가 수년간의 암호 분석을 거치기를 기다리는 시간을 줄일 수 있다. Drake가 제시한 strawmap은 2027년 프로덕션급 leanVM과 2028년 합의 계층·데이터 계층·실행 계층 배포를 가리킨다.

동종 업계 경쟁, Solana는 Falcon 선택

이더리움만 포스트 양자 시대를 대비하는 주류 퍼블릭 체인은 아니다. 솔라나(Solana) 재단은 2026년 4월 포스트 양자 보안 로드맵을 발표했다. 핵심 개발팀인 Anza와 Jump Crypto의 Firedancer는 독립적인 연구 끝에 동일하게 포스트 양자 서명 방안인 Falcon을 선택했다.

Falcon은 NIST가 표준화한 포스트 양자 서명 방안 중 하나로, 서명이 콤팩트해 솔라나와 같은 높은 처리량의 블록체인 환경에 적합하다.

두 검증자 클라이언트 개발팀 Anza와 Firedancer는 독립적인 연구를 거친 후 포스트 양자 디지털 서명 방안 Falcon을 만장일치로 선택했고, 각각 GitHub에 초기 구현 코드를 공개했다. 현재 로드맵은 3단계로 나뉜다. Falcon 및 대안을 지속적으로 평가하고, 양자 위협이 현실화되면 새 지갑에 포스트 양자 방안을 채택하며, 최종적으로 기존 지갑 전체를 마이그레이션한다. 또한 Blueshift의 Solana Winternitz Vault는 생태계에서 2년 넘게 운영되어 왔고, 올해 초 구글 퀀텀 AI 백서에서 업계 선도 사례로 인용됐다.

솔라나 재단은 양자 컴퓨팅이 실질적인 위협이 되기까지는 아직 수년이 걸리며 현재 즉시 마이그레이션할 필요는 없지만, 연구·인프라·생태계 조율은 모두 준비되어 있어 시기가 무르익으면 빠르게 시작할 수 있고, 네트워크 성능에는 큰 영향을 주지 않을 것으로 예상한다고 밝혔다.

Starknet은 현재 EF의 새로운 방향에 가장 가까운 비교 대상이다. StarkWare는 6월 30일 로드맵을 공개했으며, 3단계로 진행된다. 1단계에서는 상태 커밋, 컨트랙트 주소, 네트워크 구성에 사용되는 Pedersen 해시 알고리즘을 BLAKE2로 대체하고, Falcon-512와 같은 포스트 양자 합의 서명을 도입한다. 2단계는 기존 컨트랙트의 마이그레이션 도구에 중점을 두며, 마지막 단계는 브리지 시스템 호출과 블롭(blob) 데이터 가용성을 포함해 여전히 이더리움과 관련된 외부 의존성 문제를 해결하는 데 집중한다. 3단계는 이더리움 자체의 마이그레이션 경로에 달려 있다.

다른 퍼블릭 체인들과 비교해 이더리움은 ‘먼저 표준을 세우고, 그다음 코드를 움직이는’ 경로를 선택했다. Poseidon을 포기하고 SHA2/BLAKE2로 전환하는 것은 사실 포스트 양자 시대에 더 성숙하고 더 널리 검증된 암호학 기본 요소를 선택하는 것이다.