MSTR Cat

블록체인/레벨 IV · 프로토콜 심화/4.2 업그레이드/수업 6

암호학의 최전선: 위트니스 암호화와 PIPEs

옵코드가 끝내 도입되지 않을 때, 증명 안에 키를 잠그는 법

준비물BIP-119와 BIP-347의 사본스크립트 디버깅 기능이 있는 블록 탐색기 접근 권한제안 진행 상황을 기록할 노트IACR ePrint 2026/186 사본

호기심

  1. 비트코인은 서명은 확인할 수 있지만, 생성된 코인이 어디로 가는지는 제한할 수 없는 이유는 무엇인가요?
  2. 비밀 자체를 밝히지 않고 그 비밀을 알고 있다는 것을 증명하는 데에는 얼마의 비용이 드나요?
  3. 기본 규칙이 고정되어 변경될 수 없는 상황에서 프로토콜은 어떻게 보안을 유지할 수 있을까요?

탐구

    파트 I암호학의 최전선: 코버넌트와 위트니스 암호화

  1. 비트코인 스크립트는 의도적으로 제한되어 있습니다. 서명이 공개키와 일치하는지는 검증할 수 있지만, 코인이 사용된 뒤 어디로 가는지는 검사할 수 없습니다. 이러한 제한 덕분에 스크립트는 단순하고 예측 가능합니다. 하지만 동시에 지출 조건이 향후 트랜잭션 구조에 따라 달라지는 특정 설계도 막힙니다.
  2. 제레미 루빈의 OP_CHECKTEMPLATEVERIFY(BIP-119) 제안은 이 공백을 겨냥합니다. 이 오퍼코드는 지출 트랜잭션이 미리 커밋된 템플릿과 일치하도록 스크립트가 요구할 수 있게 하며, 이로써 출력과 일부 다른 필드가 고정됩니다. 이를 통해 비재귀적 코버넌트, 즉 자금을 볼트(vault)에 잠그거나 상환 경로를 제한하는 것처럼 코인이 다음에 어디로 갈 수 있는지에 관한 규칙이 가능해집니다. 이 제안은 아직 활성화되지 않았으며 비트코인 커뮤니티에서 계속 논쟁 중입니다.
  3. 별도의 제안인 OP_CAT(BIP-347)은 목적지 제약을 직접 부과하기보다 스택상의 데이터를 연결(concatenation)하는 데 초점을 두지만, 슈노르(Schnorr) 서명과 결합하면 코버넌트도 구현할 수 있습니다. 이 단순한 연산으로 매우 큰 멀티시그 정책을 압축적으로 표현하는 트리 서명을 비롯한 복잡한 암호학적 구성이 가능해집니다. 또한 스크립트 엔진 안에서 해시와 값을 직접 다룰 수 있게 해, 양자내성을 갖춘 램포트(Lamport) 서명의 구현도 쉽게 해 줍니다.
  4. 새로운 오퍼코드 외에도, 프로그래밍 가능성에 이르는 대안적 경로로 위트니스 암호화가 연구되고 있습니다. 위트니스 암호화는 발신자가 데이터를 잠가, 특정 비밀(위트니스)을 가지고 있음을 증명할 수 있는 사람만 그 데이터를 풀 수 있게 합니다. 이론적으로는 이를 통해 네트워크가 연산을 직접 검증하지 않아도, 어떤 명제가 증명될 때에만 비트코인 키가 공개되도록 할 수 있습니다.
  5. 학술 문헌에는 위트니스 암호화의 초기 구성이 존재하지만, 비트코인에 배포하기에는 여전히 비실용적입니다. 일반적인 명제에 대한 실용적인 구성은 아직 없습니다. 알려진 방식들은 규모가 막대하고, 아직 널리 신뢰받지 못하는 암호학적 가정에 기대고 있습니다. 이론적 토대는 탄탄하지만, 개념 증명과 실제 운용 가능한 프로토콜 사이의 엔지니어링 격차는 여전히 큽니다.
  6. 트레이드오프는 분명합니다. 코버넌트는 표현력을 더하지만 신중한 검토가 필요한 새로운 합의 규칙을 도입하고, 위트니스 암호화는 프라이버시와 유연성을 더하지만 막대한 저장 및 연산 비용을 부과합니다. 두 접근법 모두 고정되고 예측 가능한 발행과 제한된 스크립팅 능력이라는 비트코인의 핵심 보안 모델을 버리지 않으면서 그 기능을 확장하려 합니다.

    7. 파트 II비트코인의 입출금: PIPEs와 위트니스 암호화

  7. 이전 레슨에서 자세히 다룬 Shielded Bitcoin은 자체 노트 시스템 안에서 비공개 전송을 처리합니다. 하지만 페그인과 페그아웃, 즉 일반적이고 투명한 비트코인의 가치를 실드 계층으로 옮기고 다시 되돌리는 방법은 범위에서 제외합니다. 이러한 브리지의 설계 계획은 위트니스 암호화라는 메커니즘, 구체적으로는 Bitcoin PIPEs v2(IACR ePrint 2026/186, 2026년 2월)에 기반합니다.
  8. 위트니스 암호화는 데이터를 수학적 명제 뒤에 잠급니다. 여기서는 비트코인 개인 키를, 누군가 유효한 위트니스, 즉 그 명제가 참이라는 증명을 제시해야만 복호화할 수 있도록 암호화합니다. 암호문은 오프체인에 공개되며, 해당 위트니스를 만들어 낼 수 없는 사람은 그 안의 키에 접근할 수 없습니다.
  9. 이 메커니즘은 프로그래밍 가능성을 합의에서 암호학으로 옮깁니다. 복잡한 지출 조건을 강제하기 위해 새로운 옵코드나 소프트 포크를 요구하는 대신, 로직이 전적으로 암호화 방식 안에 존재합니다. SNARK 증명 같은 유효한 위트니스를 제시하는 사람은 누구나 개인 키를 복구해 일반적인 슈노르 서명으로 코인을 지출합니다. 비트코인의 합의 규칙에서 보면 이는 평범한 표준 거래일 뿐이며, 그 복잡성은 드러나지 않습니다.
  10. 이 방식은 프로토콜을 변경하지 않고도 CheckTemplateVerify나 볼트 메커니즘 같은 코버넌트 방식의 제한을 모방할 수 있습니다. 위트니스에서 특정 기준이 충족되지 않으면 키를 복호화할 수 없다는 점에 의해 조건이 강제됩니다. 기반 암호학이 견고하다는 전제하에, 비트코인의 기존 검증 규칙과 호환되는 고급 지출 조건으로 가는 길을 열어줍니다.
  11. 가장 큰 장애물은 규모입니다. 2026년 2월 논문은 암호문 하나의 크기를 약 338테라바이트로 추정했고, 저자들의 후속 연구는 약 10테라바이트라고 주장하지만, 이 역시 저장하고 배포하기에는 비현실적입니다. 구현체가 존재하지 않으므로 이 수치들은 추정치일 뿐이며, PIPEs를 실제로 배포할 수 있을지조차 아직 열린 연구 과제로 남아 있습니다.
  12. 이는 아직 연구 단계이며, 구현된 기능이 아닙니다. 배포 일정도 정해져 있지 않으며, 서로 엇갈리는 크기 수치는 이 분야의 불확실성을 잘 보여줍니다. 암호문이 충분히 작아지기 전까지, 위트니스 암호화는 사용자를 위한 실용적인 도구라기보다는 비트코인의 투명한 원장과 복잡한 암호학적 커밋먼트 사이를 잇는 이론적인 다리 역할을 합니다.

핵심 사실

  • OP_CHECKTEMPLATEVERIFY(BIP-119)는 코인이 향후 갈 수 있는 곳을 제한하는 코버넌트 메커니즘을 제안합니다.
  • OP_CAT(BIP-347)는 스택 연결을 가능하게 하여 트리 서명과 해시 기반(Lamport) 서명을 지원합니다.
  • 위트니스 암호화는 비밀을 드러내지 않고, 비밀 위트니스에 대한 증명이 있어야만 풀리도록 데이터를 잠급니다.
  • 일반적인 명제에 대한 실용적인 위트니스 암호화 구성은 아직 존재하지 않습니다.
  • 코버넌트는 아직 활성화되지 않은 제안이며, 합의를 둘러싼 논쟁의 대상입니다.
  • 비트코인 스크립트의 한계로 인해 설계상 많은 공격 유형이 불가능합니다.
  • Bitcoin PIPEs v2는 위트니스 암호화를 사용해 개인 키를 수학적 명제 뒤에 잠급니다.
  • 키를 복구하려면 SNARK 증명과 같은 유효한 위트니스를 제시해야 합니다.
  • 키가 복구되면 일반적인 슈노르 서명으로 지출이 이루어집니다.
  • 이 메커니즘은 새로운 옵코드나 소프트 포크 없이 코버넌트를 모방합니다.
  • 추정 암호문 크기는 약 338TB(논문)에서 약 10TB(후속 주장)로 줄었지만, 여전히 비현실적입니다.
  • Shielded Bitcoin의 페그인 및 페그아웃 계획은 이 위트니스 암호화 인프라에 의존합니다.

연습 아홉, 여섯, 셋, 하나

9모으기비트코인 스크립트의 현재 기능과 한계를 규정하는 기술적 제약이나 특징 9가지를 나열하세요.
6묶기각각이 무엇을 가능하게 하거나 막는지에 따라 9개를 6개로 분류하세요.
3추리기6개 그룹을, 명확한 이론적 이점에도 불구하고 비트코인 스크립트를 확장하기 어려운 3가지 핵심 이유로 줄이세요.
1결정화분산형 시스템에서 프로그래밍 가능성을 추가하는 것과 합의 안정성을 유지하는 것 사이의 근본적인 모순에 대해 한 문장으로 쓰세요.

팩트 체크

날짜, 수치 및 주장은 아래에 명시된 출처들을 통해 확인되었습니다.

인터랙티브 아카데미에서 열기 →

EN PT ES ZH JA RU DE FR MS