글: @yq_acc
번역: AididiaoJP, Foresight News
Devcon 8은 이더리움에 공식 계획보다 더 공격적인 일정을 제시했다: 2028년 12월 양자내성 전환 완료. 연구팀은 암호학이 따라올 수 있다고 본다. 하지만 올가을의 릴리스 속도를 보면 진짜 병목은 알고리즘이 아니라 하드포크를 제때 내놓을 수 있느냐다.
뭄바이에서 정해진 방향: 2028년 목표, 공식 계획보다 1년 빨라
Devcon 8은 2026년 11월 3일부터 6일까지 뭄바이 Jio 월드 센터에서 열렸으며, Devcon이 인도에서 개최된 것은 이번이 처음이다. 개막일 오전, 이더리움 재단 연구원 Justin Drake는 행사 전체에서 가장 무거운 소식을 꺼냈다: 2028년 12월까지 양자내성 및 포스트 AI 전환을 완료하길 희망한다는 것이다. 이는 Glamsterdam 이후 24개월 안에 하드포크 세 개를 내놓아야 한다는 뜻이다.
이는 이더리움 재단(EF)의 공식 계획보다 1년 빠르다. EF는 9월 발표한 우선순위 글에서 2029년 12월까지 3계층 양자내성을 달성하겠다고 약속했고, 이 날짜는 2027년 1월 외부 전문가 검토 전까지 바뀌지 않는다고 분명히 밝혔다. 즉 연구진은 지금 2028년을 기준으로 진행하고 있고, 2029년은 미리 정해둔 마감일이다.
같은 주에 벌어진 일이 이 격차가 왜 중요한지를 잘 보여준다. 10월 22일, 다음 하드포크인 Glamsterdam이 두 번째 테스트넷에서 철수됐다. Devcon 마지막 날 EF는 그 이유를 설명했다: 한 차례의 gas 재가격 책정이 이미 배포된 컨트랙트가 의존하는 가정을 깨뜨렸다는 것이다. 양자내성 이더리움의 암호학은 거의 준비됐다. 제약은 그것을 포크 하나씩 차례로 출시하면서 이미 돌아가는 것들을 망가뜨리지 않는 데 있다.
뭄바이 행사장 자체도 축소됐다. 나흘 동안 370개 세션, 399명의 연사로, 세션 수는 방콕 Devcon 7보다 약 43% 적다. 이는 의도된 것이다. EF는 올해 54개 일자리를 감축했고, 이는 전체 직원의 약 5분의 1에 해당한다. 메인 행사장 연설의 3분의 2에 EF 정관의 「CROPS」 속성, 즉 검열저항성·오픈소스·프라이버시·보안 태그가 붙었다. 보안 세션이 70개로 가장 많고 프라이버시 65개, AI 57개가 3위다. Vitalik Buterin 개막 연설의 주제는, 언론 보도에 따르면, 기술이 사람들에게 너무 많은 신뢰를 요구하면서 정작 검증할 수 있는 것은 너무 적다는 것이었고, 운영체제와 칩, 헬스테크, 통신, AI를 다뤘다. 다음 Devcon IX는 2027년 10월 11일부터 13일까지 리스본에서 열린다.
24개월에 포크 3개, 이더리움이 근래 이렇게 빨리 달린 적은 없다
EF의 로드맵 초안은 포크 순서대로 배열되어 있고, 뒤쪽 포크는 알파벳 자리표시자를 쓴다: H*는 Hegotá, 그다음이 I*, J*, K*, L*다. 양자내성 이더리움은 이 포크들을 따라 구축된다.
Hegotá는 2027년이며 양자내성 포크는 아니지만, 각 계정이 자신의 서명 방식을 선택하게 하는 프레임 트랜잭션을 도입한다. ECDSA에서 벗어나는 경로다. I*는 최소 증명 가상머신인 leanVM과 양자내성 「lean」 트랜잭션을 도입한다. J*는 해시 기반 검증자 서명과 양자내성 데이터 샘플링을 도입하는데, EF는 이를 「최소 기능 양자내성」 마일스톤이라고 부른다. K*와 L*는 강제 증명과 Lean 아키텍처 재구성의 나머지 부분을 도입한다.
24개월에 포크 3개는 8개월에 하나꼴이다. 이더리움의 최근 간격은 11개월, 14개월, 7개월이었고, Glamsterdam은 이미 11개월째 끝나지 않았다. EF 자체 계산으로 2029년 12월에 L*에 도달하려면 7.2개월에 포크 하나가 필요하다. 12개월 속도라면 J*만이 제때 도달할 수 있다.
긴박감은 양쪽에서 온다.
한쪽은 공격 비용의 하락이다. 올해 3월 Google Quantum AI, UC Berkeley, 이더리움 재단, 스탠퍼드 연구진이 공동 발표한 논문은 이더리움의 타원곡선 서명을 깨는 데 필요한 논리 큐비트가 1200개 미만, 물리 큐비트가 50만 개 미만이며 실행 시간은 분 단위라고 추정했다. 이 정도면 트랜잭션이 아직 멤풀에서 대기하는 동안 공격을 가할 수 있는 속도다.
다른 한쪽은 Drake가 말한 「포스트 AI」 리스크다. 7월 Anthropic은 자사 모델 하나가 격자 기반 서명 기법 HAWK-256의 키 복구 난이도를 약 2^64회 연산에서 약 2^38회 연산으로 낮추는 공격법을 찾아냈다고 보고했다—난이도가 크게 떨어졌다. 10월 Drake는 업계에 「벙커 모드 계획을 차분히 시작하자」고 촉구했다. 즉 최악의 경우, AI의 도움을 받은 수학이 어떤 양자컴퓨터보다 먼저 ECDSA를 깨뜨리는 상황에 대비하자는 것이다.
두 축은 같은 방향을 가리킨다: 해시 함수다. 암호학 원시 요소 가운데 그것이 가장 적은 가정에 의존하고, 가장 깨기 어렵다.
Glamsterdam 교착: gas 재가격 책정 한 번이 메인 라인을 흔들다
Glamsterdam은 10월 6일부터 Sepolia 테스트넷에서 가동됐다. 두 가지 핵심 변경 자체는 설계가 좋다: 내장 제안자-빌더 분리는 빌더 입찰을 프로토콜에 넣어 실행을 슬롯의 핵심 경로에서 빼내고, 블록 단위 접근 목록은 각 블록의 읽기/쓰기 집합을 미리 선언해 클라이언트가 병렬 실행할 수 있게 한다.
문제는 재가격 책정에서 나왔다. EIP-8037은 상태 증가를 늦추기 위해 새 상태를 바이트당 1530 gas로 책정한다. 새 저장 슬롯 쓰기는 22100 gas에서 110020 gas로 오르고, 24 kB 컨트랙트 배포 비용은 약 8배가 된다. 이 규모의 비용은 트랜잭션당 224의 gas 상한(원문 그대로, 2^24의 오기로 보임)에 들어가지 않는다. 그래서 상한을 넘는 gas는 별도의 상태 gas 예비 풀에 들어가 호출된 컨트랙트에 전액 전달되고, 호출이 롤백되면 반환된다.
ChainSecurity는 이 때문에 과거 gas 고갈로 중단되던 오류 핸들러가 이제 끝까지 실행될 수 있어, 흔히 쓰이는 악의적 방해 방지 검사를 우회할 수 있다고 지적했다. EF는 깨진 불변식, 즉 프로토콜이 항상 성립해야 하는 규칙 8개를 나열했고, AllCoreDevs 요약은 13개 DeFi 프로젝트가 영향을 받았다고 집계했다. Hoodi 테스트넷은 연기됐고 Hoodi나 메인넷 날짜는 제시되지 않았다. All Core Devs 조정자 Nixo는 이 일이 "Glamsterdam 메인넷을 2027년으로 밀 가능성이 크다"고 썼다.
교훈은 EIP 하나가 아니다. 블록체인의 진짜 인터페이스는 모든 관찰 가능한 동작—gas 비용, 63/64 규칙, 계정이 코드를 실행할 수 있는지—이며, 하나하나가 모두 마이그레이션 리스크다. 이게 중요한 이유는 Hegotá의 프레임 트랜잭션이 EIP-8037을 요구 사항으로 명시하기 때문이다.
Hegotá: 검열저항성과 서명 교체 가능성
Hegotá에는 두 가지 핵심 메커니즘이 있다. FOCIL(EIP-7805)은 매 슬롯마다 16명의 검증자가 각각 최대 8 KiB의 트랜잭션 풀 트랜잭션을 담은 포함 목록(inclusion list)을 발행하도록 요구한다. 다음 블록은 트랜잭션이 무효이거나 블록이 가득 차지 않는 한 이 트랜잭션들을 포함해야 하며, 어테스터가 포크 선택을 통해 이를 강제한다. 이제 어떤 트랜잭션을 검열하려면 그것을 본 모든 포함자가 함께 나서야 하고, 빌더 하나만 설득하면 되는 게 아니다.
프레임 트랜잭션(EIP-8141)은 계정이 권한 부여 방식을 스스로 정의하게 해주므로, 서명 방식을 바꿀 때마다 포크를 할 필요 없이 양자내성 서명으로 이전할 수 있다. 거부된 제안들이 설계 철학을 더 잘 보여준다: 선택적 실행 증명, 내장 프라이버시 풀, block-in-blobs—마지막은 KZG 커밋먼트 의존을 심화시키기 때문에 거부됐다. LUCID 암호화 멤풀은 이후 포크로 연기됐다. 이더리움이 반복해서 고른 것은 프로토콜을 더 나은 플랫폼으로 만드는 메커니즘이지, 특정 애플리케이션을 내장하는 메커니즘이 아니다.
양자내성 합의의 대가: 서명은 길어지고, 집계가 메운다
검증자는 기존 키 외에 휴면 상태의 해시 기반 키를 추가로 등록해야 한다(EIP-8450 초안). leanXMSS 서명은 2404바이트인데 BLS는 96바이트다. BLS 서명은 더할 수 있지만 해시 기반 서명은 그럴 수 없어서, 집계자는 대신 자신이 모든 서명을 확인했다는 것을 증명한다. leanVM은 노트북 한 대에서 초당 약 965개 서명을 집계해 1500개 서명을 265 KiB 증명으로 만들고, 7.4밀리초에 검증을 마친다.
데이터 계층에서는 KZG 커밋먼트가 LeanDA에 자리를 내준다. LeanDA는 머클 커밋먼트에 leanVM 증명을 더해 데이터가 올바르게 인코딩됐음을 증명한다. 사용자 쪽에서 지갑은 leanSPHINCS를 받는데, 서명은 7740바이트지만 멤풀에서 집계하면(EIP-8288) 개당 약 33000 gas다. 직접 검증하면 하나에 15만~20만 gas다.
「형식 검증」에는 설명이 필요한 부분이 있다. Drake는 leanVM의 엔드투엔드 형식 검증을 발표했다. 프로젝트의 Lean 4 작업은 명령어 시맨틱과 제약의 건전성을 증명했지만, Rust 구현은 차분 테스트(differential testing)만 했고, 재귀 증명의 건전성은 여전히 미해결 문제이며 코드도 아직 프로덕션 준비 단계가 아니다.
EIP-8288: 암호학을 멤풀로 옮기기
Vitalik Buterin이 이더리움을 어디로 데려가고 싶은지 가장 잘 보여주는 제안이 하나 있다면, 그것은 EIP-8288 「멤풀 내 서명 및 증명 집계」다. 그는 6월 Thomas Coratger와 초안을 공동 작성했다. 10월 19일의 연속 게시물은 논점을 아주 노골적으로 말했다: 프리컴파일과 EVM 모두 이더리움의 암호학 지원 대부분을 감당하기에 적합하지 않다. 둘이 처리하는 데이터가 모두 온체인으로 들어가야 하기 때문이다. 그의 9월 글은 이미 서명과 증명을 멤풀 안에서 병렬 처리하는 것을 이더리움 2030 설계의 일부로 제시했다.
이것이 해결하는 것은 크기 문제다. 해시 기반 서명 하나는 23 KB이고 EVM에서 검증하려면 15만20만 gas가 든다. 프라이버시 프로토콜에 필요한 STARK는 128~512 KB다. 하나씩 온체인에 올리면 양자내성 계정은 엄청나게 비싸지고 프라이버시 트랜잭션은 현실성이 없어지며, 둘 다 너무 커서 FOCIL 포함 목록을 통과하지 못한다.
EIP-8288은 무거운 데이터를 블록 밖으로 밀어낸다. 트랜잭션은 선언만 하고 운반하지 않는다: 프레임 트랜잭션(EIP-8141)에 프레임 모드 하나를 추가해 의존성을 96바이트 참조—방식, 데이터 해시, 키 해시—로 나열한다. 한 트랜잭션은 최대 16개의 leanSPHINCS 서명과 STARK 하나를 선언할 수 있다. 노드는 트랜잭션이 도착할 때 실제 서명과 증명을 확인하고, 초당 이들을 재귀 STARK로 접어 넣는다. 빌더와 FOCIL 포함자도 자기가 담은 내용에 대해 같은 일을 한다. 블록 헤더에는 블록 내 모든 의존성을 포괄하는 재귀 STARK 하나만 추가되고, 검증자는 이것 하나만 검증한다.
여기서 몇 가지 결과가 나온다. 양자내성 서명이 싸진다: leanSPHINCS 서명 하나가 약 33000 gas이고, 3000은 프레임 자체에서, 30000은 블록 STARK 안에서의 분담에서 나온다. 직접 검증은 15만~20만 gas다. 프라이버시가 감당 가능해진다: STARK 의존성이 열리면(현재 초안에 이미 자리가 마련돼 있다) 온체인 검증에 수백만 gas가 들 프라이버시 증명이 약 6만 gas면 된다. 방식마다 프리컴파일을 추가할 필요가 없다: 새 서명 방식은 포크를 기다리지 않고 증명에 감쌀 수 있다. 핵심 개발자들은 이미 이 방향으로 움직였다: 10월에 그들은 Hegotá에 ML-DSA 프리컴파일을 추가하는 안을 거부하고 해시 기반 방식을 선호했다. 블록 오버헤드에는 상한이 있다: 명세는 집계 구간당 빌더 오버헤드를 약 256 KB로 제한하며, 그 안에 서명이 몇 개 들어가든 상관없다.
하지만 아직 이르다. EIP-8288은 초안이고, STARK 의존성은 자리만 마련돼 있으며, 집계 키와 의존성 해시는 여전히 「미정」으로 표시돼 있다. 트랜잭션 롤백에도 요금을 매기는데, 저자는 이것이 멤풀 서비스 거부 공격 위험을 높인다고 인정하며 재귀 증명의 건전성은 "널리 믿어지지만" 아직 증명되지 않았다고 말한다. Coverage는 이것이 Hegotá 이후 포크를 겨냥한다고 하지만 아무런 일정도 없다. 또한 Hegotá가 프레임 트랜잭션을 출시하는 데 의존하고, 그것은 다시 검토 중인 Glamsterdam 재가격 책정에 의존한다.
최종성, 증명, 그리고 나머지 진전
이더리움의 최종성은 현재 약 16분이 걸린다. EIP-8453 초안 「합의 분리」는 이것을 둘로 나눈다: 약 512명의 검증자로 구성된 위원회가 투표로 확정하는 빠른 가용성 체인, 그리고 모든 검증자가 운영하는 독립적 최종성 컴포넌트. 첫 번째 목표는 최종성을 최소 네 배 빠르게 하는 것이다. 더 장기적인 목표는 finality.watch에 적혀 있다: 탐색적 단계인 36초(해당 사이트는 「예측이 아님」이라고 표기)에서 출발해 1초 블록 생성, 2초 최종 확정이라는 북극성을 향한다. 한편 Fast Confirmation Rule은 거래소와 크로스체인 브리지가 입금 확인 시간을 12~24초로 줄일 수 있게 한다.
증명으로 재실행을 대체하자 속도 문제는 해결됐다. 11월 8일, 세 팀의 증명자가 416장의 소비자용 GPU로 Ethproofs의 실시간 기준을 통과했고, 블록당 증명 비용은 약 0.0030.007달러였다. 새로운 병목은 안전성 보장이 됐다. EF의 다음 마일스톤은 12월 초이며 목표는 128비트 증명 가능 안전성이다. Cody Gunton이 Devcon에서 말했듯이, "아직 형식 검증된 검증자 구현을 내놓은 팀은 없다". 증명 통합은 중단됐다: Hegotá에는 선택적 증명이 들어가지 않았고, 로드맵 초안은 강제 증명을 K*에 두었다. gas 상한 인상도 이후 포크를 기다린다: 메인넷은 여전히 블록당 6000만 gas, Sepolia는 약 2억이며, gigagas 목표는 오늘 처리량의 200배를 달성하는 것이다.
나머지 진전은 간단히 짚고 넘어간다.
Blob의 경우, 1월 이후 목표치는 14, 상한은 21이며, 6~9월 평균 사용량은 블록당 약 4.4개에 그쳤고 blob 하나는 1센트 훨씬 아래로, 용량이 수요를 앞선다.
롤업의 경우, 데이터 플랫폼 L2BEAT는 ETHBEAT로 이름을 바꿨고, 대부분 롤업의 가치는 여전히 Stage 1에 머문다. Base는 약 140억 달러, Arbitrum은 약 90억 달러다.
상호운용성의 경우, Ethereum Economic Zone이 devnet에서 L1과 L2의 원자적 호출을 시연했고, Gnosis Chain은 2027년 봄 합류할 계획이다.
프라이버시의 경우, EF의 Kohaku 지갑 스택이 Privacy Pools와 Tornado Cash를 경유하는 프라이버시 전송을 시연했으며 코드는 아직 감사받지 않았다.
보안의 경우, 10월 29일 Binance에서 약 63억 6000만 달러가 도난당했고 북한의 TraderTraitor에 귀속됐다. 공격은 50개의 사전 서명된 EIP-7702 권한을 이용해 핫월렛을 털었다. TRM Labs는 이번 업그레이드가 공격을 증폭시켰지만 원인은 아니라고 밝혔다.
앞으로 지켜볼 것
앞으로 몇 가지를 주목할 만하다.
- 11월 12일 ACDC #191과 11월 19일 ACDE #249에서 EIP-8037/8038 수정안을 논의하고 새로운 Hoodi 테스트넷 날짜를 제시할 예정이다.
- 2027년 1월, 2028년 12월이 공식 양자내성 마감일로 확정될지 지켜볼 것.
- Hegotá 개발망이 FOCIL과 프레임 트랜잭션을 동시에 통과시킬 수 있을지.
- 양자내성 키 등록 방식으로 무엇이 최종 선택되고, 어느 포크에 들어갈지.
- leanVM이 최종적으로 어떤 해시 함수와 유한체를 선택할지, 그리고 그 증명 시스템의 건전성을 증명할 수 있을지.
- 12월, EF의 128비트 zkEVM 안전성 마일스톤이 달성될 수 있을지.
이더리움은 이제 양자내성 버전을 어떻게 설계해야 하는지 안다. 뭄바이가 남긴 열린 질문은 이것이다: 설계를 진전시키면서 동시에 8개월에 하드포크 하나라는 납기 리듬을 유지할 수 있는가.
