비트코인 위의 영지식: 증명과 비공개 전송

호기심

1. 합의 규칙을 변경하지 않고도 암호화된 가치는 공개 체인 위에서 어떻게 이동할 수 있을까요?
2. 널리파이어는 사용된 노트에 대해 무엇을 드러내고, 무엇을 숨길까요?
3. 프로토콜이 핵심 상태를 검증하기 위해 풀 노드 대신 인덱서에 의존하는 이유는 무엇일까요?

탐구

파트 IShielded Bitcoin: 소프트 포크 없는 비공개 전송

1. 클라라 시헬만, 미하일 코마로프, 알렉세이 모스크빈은 2026년 9월 24일 ‘Shielded Bitcoin’을 발표했습니다. 56페이지 분량의 이 논문은 Zcash의 Sapling 및 Orchard 풀 아키텍처를 비트코인에 차용한 설계를 제안합니다. 가치는 일반 UTXO가 아니라 암호화된 노트 형태로 보관됩니다. 노트를 사용하면 이중 지불을 막기 위해 널리파이어가 공개되지만, 이 식별자는 해당 노트나 그 원래 출처로 거슬러 연결되지 않습니다.
2. 각 전송은 OP_RETURN 출력 하나를 담은 일반 비트코인 거래로 이루어집니다. 이 출력에는 약 192바이트 크기의 Groth16 영지식 증명을 담은 엔벨로프가 들어 있습니다. 이 증명은 기반 데이터를 노출하지 않고도 전송이 유효하며 금액이 맞는다는 것을 보여줍니다. 표준적인 2입력·2출력 엔벨로프는 약 610바이트를 차지하고, OP_RETURN 출력은 약 625vB입니다. 비트코인 합의 규칙은 이 데이터를 완전히 무시하며, 사용할 수 없는 페이로드로 취급합니다.
3. 풀노드는 OP_RETURN의 내용을 검증하지 않기 때문에, 인덱서가 이러한 엔벨로프를 블록 순서대로 재생하여 노트 트리, 널리파이어 집합, 머클 루트를 재구성해야 합니다. 블록에 유효하지 않은 전송이 포함되어 있으면, 인덱서는 블록을 거부하는 대신 그 전송을 그냥 무시합니다. 이로써 검증의 책임은 풀노드에서 인덱서 소프트웨어로 옮겨갑니다. 부정직한 인덱서는 오래되었거나 불완전한 상태를 제공할 수는 있지만 자금을 가져갈 수는 없으며, 누구나 자신의 인덱서를 직접 운영할 수 있습니다.
4. 이 설계는 금액, 송신자, 수신자, 그래프상의 위치를 체인 분석으로부터 숨깁니다. 하지만 타이밍, 수수료, 캐리어 구조, 입출력 개수는 여전히 온체인에서 보입니다. 이러한 거래의 중계는 Bitcoin Core v30에서 커진 기본 데이터 캐리어 한도에 의존하는데, 이는 합의 업그레이드가 아니라 정책 변경입니다. 많은 운영자가 더 엄격한 한도를 설정하면 이런 거래는 중계되기 더 어려워지겠지만, 이를 받아들이려는 채굴자는 여전히 블록에 포함시킬 수 있습니다.
5. 이 논문은 초기 설계에서 페그인과 페그아웃 메커니즘을 명시적으로 범위에서 제외합니다. 저자들은 위트니스 암호화를 사용해 개인 키를 암호학적 명제 뒤에 잠그는 Bitcoin PIPEs v2 위에 이러한 구성 요소를 구축할 계획입니다. 이 접근법은 새로운 옵코드가 아니라 기존 슈노르 서명을 통해 프로그래밍 가능성을 제공합니다. 현재 이 프로젝트에는 구현체도, 사용자도, 유통 중인 자금도 없으며, 여전히 이론적인 사양에 머물러 있습니다.
6. 이 설계에는 알려진 한계가 있습니다. Groth16은 일회성 신뢰 설정(trusted setup)이 필요하며, 세리머니 참여자 중 최소 한 명이 정직했다면 안전합니다. 새로운 풀은 익명성 집합(anonymity set)이 0인 상태에서 시작하므로, 초기 사용자들은 서로 구별하기가 더 쉽습니다. 전송 한 건의 크기는 약 700 vB로 보고되며, 이는 일반 결제의 몇 배입니다. 증명은 대형 양자 컴퓨터가 깨뜨릴 수 있는 타원곡선에 기반합니다. 그리고 인덱서가 자신의 상태를 저렴하게 증명할 수 있게 되기 전까지, 라이트 지갑은 조회하는 인덱서를 신뢰해야 합니다. 다만 그 인덱서가 지갑의 자금을 가져갈 수는 없습니다.

파트 II오늘날 비트코인에서의 영지식 증명

7. 비트코인 스크립트는 단순성과 보안을 위해 설계되었기 때문에 임의의 코드를 실행하는 능력이 제한됩니다. Groth16 SNARK 같은 표준적인 영지식 증명은 페어링 기반 타원곡선 연산을 필요로 하는데, 비트코인의 현재 옵코드 집합으로는 이를 합리적인 비용으로 수행할 수 없습니다. 이러한 연산상의 격차 때문에, 소프트 포크나 거래당 막대한 자원 소모 없이는 네트워크 자체가 이런 증명을 네이티브로 검증할 수 없습니다.
8. BitVM 방식의 프로토콜은 낙관적 검증으로 이 문제를 해결합니다. 모든 증명을 즉시 확인하는 대신 올바르다고 가정하고, 분쟁이 발생할 때만 비용이 큰 검증을 수행합니다. 정해진 기간 안에 아무도 상태 전환에 이의를 제기하지 않으면 유효한 것으로 받아들여집니다. 보안은 인센티브에 기반합니다. 운영자는 부정행위를 하면 잃게 되는 담보를 예치하고, 지켜보는 사람은 누구나 이의를 제기할 수 있습니다.
9. Citrea의 Clementine 브리지는 이 BitVM2 아키텍처를 사용해 2026년 1월 메인넷에 출시되었습니다. 분쟁 경로에서는 약 1GB 크기(초기 추정치 약 3GB에서 감소)의 Script 검증기로 Groth16 증명을 검증하며, 이 검증기는 여러 조각으로 나뉘어 이의 제기가 있을 때만 실행됩니다. 이 설계 덕분에 모든 풀노드가 일상적인 거래마다 무거운 암호학적 검증을 수행할 필요 없이, ‘정직한 참여자가 한 명만 있으면 된다’는 가정하에 복잡한 상태 전환을 비트코인으로 보호할 수 있습니다.
10. Alpen의 Glock 프로젝트는 가블드 서킷(garbled circuit)을 활용한 대안적 접근법을 시연했으며, 2026년 7월 signet 테스트넷에 도달했습니다. Glock은 가블드 서킷을 사용해 분쟁 중 증명을 검증하는 비용을 온체인에서 훨씬 저렴하게 만듭니다. 여전히 분쟁 기반이지만 온체인 점유 공간은 훨씬 작으며, 두 접근법 모두 고급 암호학을 스크립트에서 네이티브로 검증하는 것은 일반적인 용도로 쓰기에는 여전히 지나치게 비싸다는 점을 인정합니다.
11. 클라이언트 측 검증은 또 다른 길을 제시합니다. 여기서는 베이스 레이어가 아니라 사용자나 인덱서가 증명을 확인합니다. RGB나 Taproot Assets 같은 프로토콜은 참여자가 소유권 증명을 로컬에서 직접 검증하도록 합니다. 마찬가지로 Shielded Bitcoin 설계에서는 인덱서가 거래 엔벨로프를 재생해 노트 트리를 재구성하며, 유효하지 않은 전송은 합의에서는 무시되지만 노드 밖에서 전체 검증 로직을 실행하는 모니터링 소프트웨어로 감지할 수 있습니다.
12. 이러한 시스템에는 고유한 트레이드오프가 있습니다. Groth16은 신뢰 설정(trusted setup)이 필요하며, 세리머니를 통해 증명을 무력화할 수 있는 유해한 비밀값을 아무도 보유하지 않도록 보장해야 합니다. 낙관적 시스템의 분쟁 거래는 크고 복잡해서 중계에 어려움이 생깁니다. 또한 Groth16에 쓰이는 페어링 친화적 곡선은 비트코인 자체의 secp256k1과 마찬가지로 대형 양자 컴퓨터에 취약하므로, 양자 컴퓨터는 증명을 위조하고 ECDH 기반 노트 암호화를 깰 수 있습니다. 다만 Groth16 증명 자체는 어떠한 비밀도 드러내지 않습니다.

핵심 사실

연습 아홉, 여섯, 셋, 하나

팩트 체크

날짜, 수치 및 주장은 아래에 명시된 출처들을 통해 확인되었습니다.

• Shikhelman, Komarov & Moskvin, 'Shielded Bitcoin' ([alloc] init, September 24, 2026)
• D. Hopwood et al., Zcash Protocol Specification (Sapling and Orchard)
• Bitcoin Core v30 release notes
• news.bitcoin.com coverage of Shielded Bitcoin (2026)
• R. Linus et al., 'BitVM2: Bridging Bitcoin to Second Layers' (2024)
• Citrea documentation and mainnet announcement (2026)
• Alpen, 'Glock is here' (July 2026)