BitVM과 브리지 문제

호기심

1. 비트코인은 온체인에서 코드를 실행하지 않고 어떻게 임의의 계산 결과를 강제할 수 있을까요?
2. 탭루트 스크립트로 구성된 챌린지-응답 게임이 소프트 포크 없이도 거의 튜링 완전한 검증을 가능하게 하는 이유는 무엇일까요?
3. 사기성 주장에 이의를 제기하려고 누군가 지켜보고 있어야만 라이브니스가 유지된다면, 보안상의 트레이드오프는 무엇일까요?

탐구

파트 IBitVM

1. 비트코인의 합의 규칙은 의도적으로 임의의 코드 실행을 배제합니다. 이러한 설계는 복잡한 스마트 컨트랙트 취약점을 방지하지만, 스크립트를 서명, 멀티시그, 타임락, 해시락 같은 조건으로 제한합니다. 2023년 10월, 로빈 리누스는 최종 결과를 온체인에서 검증 가능하게 유지하면서 오프체인 계산을 가능하게 하는 프로토콜인 BitVM을 선보였습니다. 이를 통해 당사자들은 블록체인 밖에서 수행된 외부 계산 결과에 따라 사용 여부가 결정되는 트랜잭션에 비트코인을 잠글 수 있습니다.
2. 핵심 메커니즘은 비트코인의 기존 옵코드로 NAND 논리 게이트를 재현합니다. OP_BOOLAND는 AND 게이트 역할을, OP_NOT은 NOT 게이트 역할을 합니다. NAND 게이트는 범용 게이트이므로, 이를 조합한 회로는 원칙적으로 어떤 계산이든 표현할 수 있으며 합의 규칙을 바꿀 필요도 없습니다. 이 방식은 온체인 보안을 유지하면서 계산 부담을 오프체인으로 옮깁니다.
3. 이러한 복잡한 NAND 연산 시퀀스는 탭루트 트랜잭션의 머클화된 추상 구문 트리(MAST) 안에 리프로 저장됩니다. 이는 2021년 11월 블록 709,632에서 활성화된 탭루트가 제공하는 프라이버시 및 효율성 이점을 활용해, 복잡한 스크립트를 필요할 때까지 숨겨 둘 수 있게 합니다. 이 구조는 다단계 검증 게임에 필요한 대규모 스크립트 트리를 지원합니다.
4. 증명자가 오프체인에서의 계산을 통해 부정한 결과를 주장할 경우, 검증자는 온체인상에서 이에 이의를 제기할 수 있습니다. 그러면 증명자는 반드시 그 이의에 답변해야 합니다. 만약 어떤 단계에서 모순이 발견되거나 증명자가 적절한 시간 내에 응답하지 못하면, 검증자는 잠긴 자금을 가져갑니다. 이러한 ‘옵티미스틱’ 검증 모델은 대부분의 작업을 오프체인으로 옮기면서도 분쟁 가능성이라는 위협을 통해 보안성을 유지합니다.
5. 첫 번째 버전은 두 당사자 간에만 작동했지만, BitVM2(2024)는 누구나 주장에 이의를 제기할 수 있게 하여 무허가형 검증으로 나아가고 있습니다. 주된 목표는 신뢰를 최소화한 브리지로, 온체인에 잠긴 비트코인은 다른 시스템의 주장된 상태가 유효한 경우에만 해제될 수 있습니다.
6. 주요 한계는 무거운 초기 설정, 대량의 오프체인 데이터 요구, 그리고 라이브니스 가정입니다. 누군가 정해진 기간 안에 사기성 주장에 이의를 제기하기 위해 적극적으로 지켜보고 있어야 하며, 아무도 그렇게 하지 않으면 잘못된 상태가 최종 확정될 수 있습니다. 탈중앙화와 운영 부담 사이의 이러한 트레이드오프가 현재 BitVM 구현의 실질적인 한계를 규정합니다.

파트 IIBitVM과 브리지 문제

7. 비트코인의 합의 규칙은 서명과 UTXO의 유효성을 검증하지만, 임의의 오프체인 상태 전환을 실행할 수는 없습니다. 가치를 레이어2로 옮기려면 외부 체인의 상태를 비트코인에 고정하는 브리지가 필요합니다. 기존 브리지는 서명자 연합체에 의존하며, 다수가 공모하면 사용자는 자금을 잃습니다. 이러한 중앙화된 신뢰 모델은 비트코인의 무허가형 설계와 모순되며, 합의 규칙을 바꾸지 않고도 수탁 위험을 최소화하는 메커니즘이 필요해집니다.
8. 로빈 리누스는 2023년 10월 BitVM을 소개하며, 옵티미스틱 챌린지 게임을 통해 임의의 연산을 온체인에서 검증할 수 있는 방법을 보여 주었습니다. 이 프로토콜은 복잡한 로직을 비트 단위 연산, 구체적으로는 디지털 회로에서 범용적인 NAND 게이트로 분해합니다. 이러한 연산은 탭루트 트랜잭션의 MAST 구조 안에 인코딩됩니다. 비트코인은 전체 프로그램을 실행하지 않으며, 분쟁이 제기될 때에만 개별 단계의 정확성을 검증합니다.
9. BitVM은 낙관적 가정 위에서 작동합니다. 즉, 반대로 증명되지 않는 한 연산은 기본적으로 올바르다고 봅니다. 운영자가 유효하지 않은 상태 전환을 제출하면, 다른 참여자가 반증을 제출해 챌린지할 수 있습니다. 이로써 신뢰 모델은 신뢰받는 연합체에서 ‘n명 중 1명은 정직하다(1-of-n)’는 가정으로 옮겨 갑니다. 사기를 잡아내려면 정직한 검증자가 적어도 한 명은 있어야 합니다. 이는 연합체에 비해 공모 위험을 줄여 주지만, 누군가가 계속 지켜보면서 챌린지 비용을 낼 준비가 되어 있어야 합니다.
10. 이 메커니즘에는 상당한 비용이 따릅니다. 운영자는 출금을 지급하기 위해 자기 자본을 먼저 내놓고 나중에 회수하므로 유동성이 묶입니다. 챌린지 트랜잭션은 비트 단위 증명의 복잡성 때문에 크기가 커서 상당한 블록 공간을 소비합니다. 게다가 많은 구현체가 상태 관리를 단순화하기 위해 고정된 페그 금액을 사용하므로 유연성이 제한됩니다. 이러한 제약 때문에 BitVM은 신뢰가 최소화되어 있을 뿐 신뢰가 필요 없는(trustless) 것은 아니며, 사용자는 여전히 챌린지 프로토콜의 경제적 인센티브와 기술적 정확성에 의존합니다.
11. BitVM2 같은 최근의 발전은 이러한 챌린지를 다듬어 트랜잭션 크기를 줄이고 효율을 높였습니다. Citrea 같은 프로젝트는 이 프레임워크로 롤업을 구축하며, 정직한 당사자 한 명만으로도 사기를 막을 수 있는 보안 보장을 목표로 합니다. 하지만 브리지 문제는 여전히 남아 있습니다. 비트코인은 다른 체인의 상태 루트를 네이티브로 해석할 수 없습니다. 브리지는 비트코인 위에 세워진 인센티브 게임일 뿐, 비트코인 자체가 강제하는 것이 아닙니다. 사용자는 줄어든 공모 위험과 늘어난 복잡성 및 자본 요건을 저울질해야 합니다.
12. BitVM 기반 트랜잭션을 살펴보면 그 구조가 드러납니다. 블록 탐색기를 열고 롤업 브리지와 연관된 탭루트 출력을 찾아보세요. 탭루트는 사용되지 않은 스크립트 경로를 숨기므로 실제로 사용된 경로만 드러납니다. 분쟁이 생기면 그 경로에는 단순한 서명보다 훨씬 많은 위트니스 데이터가 담깁니다. 트랜잭션 무게(weight)에서 나타나는 이 뚜렷한 차이는 비트코인의 고정된 블록 공간에서 옵티미스틱 보안을 유지하는 데 드는 연산 부담을 반영합니다.

핵심 사실

연습 아홉, 여섯, 셋, 하나

팩트 체크

날짜, 수치 및 주장은 아래에 명시된 출처들을 통해 확인되었습니다.

• R. Linus, 'BitVM: Compute Anything on Bitcoin' (October 2023)
• R. Linus et al., 'BitVM2: Bridging Bitcoin to Second Layers' (2024)
• Bitcoin Optech, 'Accountable Computing Contracts' topic page (BitVM)
• Citrea Clementine bridge documentation
• BIP-341: Taproot