八年投资急转直下，以太坊为何突然放弃Poseidon？

원문 저자: ChandlerZ, Foresight News

8월 13일, 이더리움 연구원 Justin Drake가 X에 글을 올려, 이더리움 재단이 L1 레이어에서 SNARK 친화적 해시 알고리즘인 Poseidon을 포기하고 SHA2 또는 BLAKE2와 같은 전통적인 해시 함수로 전환하기로 결정했다고 밝혔다.

이 결정 뒤에는 8년간의 연구, 수천만 달러의 투자가 축적되어 있으며, 후양자 암호화 로드맵에 대한 중대한 수정이 담겨 있다.

Poseidon은 2019년 출시 이후 줄곧 zkRollup 및 zkVM과 같은 애플리케이션에 이상적인 해시 솔루션으로 여겨져 왔다. 그 구조는 SNARK 회로에서 기존의 이진 연산 기반 해시 함수보다 더 저렴하고 효율적이게 만든다. 그러나 후양자 보안이 이더리움의 하드 요구사항이 되면서 Poseidon의 한계가 드러나기 시작했다.

Justin Drake는 이러한 전환이 획기적인 SNARK 설계 발전, 즉 '이진 체(Binary Field)' 연산 방식을 통해 전통적인 해시 함수가 SNARK 회로에서 이전에 SNARK에 최적화되어 설계된 Poseidon에 필적하는 성능을 발휘하게 되어, 단일 노트북으로 초당 약 100만 회의 전통적인 해시 호출 검증이 가능해진 덕분이라고 밝혔다.

글에서 소개하길, Poseidon은 2019년 출시 이후 줄곧 주류 SNARK 친화적 해시 솔루션이었으며, zkRollup 및 zkVM과 같은 애플리케이션에 보안을 제공해 왔다. Justin Drake는 계획에 따르면 프로덕션급 leanVM이 2027년에 출시될 예정이며, 합의 레이어, 데이터 레이어 및 실행 레이어의 관련 배포는 2028년에 완료될 것으로 예상된다고 밝혔다. 이더리움 재단의 후양자 팀도 이진 체 관련 연구를 가속화하고 있다.

왜 지금인가?

전통적인 해시는 오랫동안 SNARK에 진입하기 어려웠으며, 주요 장애물은 계산 언어의 차이에서 비롯된다. SHA2, BLAKE2s 및 Keccak은 XOR, 시프트와 같은 부울 연산을 많이 사용하며, 기존 SNARK는 일반적으로 큰 소수 체에서 산술을 처리하므로 각 비트 연산을 시뮬레이션하면 높은 제약 비용이 발생한다. Poseidon은 소수 체 산술을 중심으로 직접 설계되어 더 적은 제약으로 더 빠른 증명 속도를 얻는 대신, 알고리즘의 역사가 짧고 지속적인 암호 분석이 필요하다는 단점이 있다.

이진 체는 기본 수학을 0과 1만 포함하는 최소 소수 체로 전환하고, 이진 확장 체를 사용하여 더 큰 데이터를 수용한다. 따라서 비트 연산이 증명 시스템에 직접 들어갈 수 있게 되었고, SNARK가 전통적인 해시에 적응하기 시작하면서 기술적 초점은 SNARK 친화적 해시 설계에서 해시 친화적 SNARK 설계로 전환되었다.

Jim Posen과 Benjamin Diamond가 2023년에 제안한 Binius는 이진 타워 체 SNARK 경로를 보여주었으며, Benedikt Bünz, Ron Rothblum 및 William Wang의 Flock 논문은 2026년 7월 29일 arXiv에 게재되었다. 그 M4 Max 벤치마크는 단일 코어에서 초당 8.2만 회의 BLAKE3 압축, 4.2만 회의 SHA-256 압축 및 3만 회의 Keccak 치환을 증명하며, 10코어 BLAKE3 처리량은 66만 회를 초과한다.

Drake는 노트북이 초당 약 100만 회의 전통적인 해시 호출을 증명할 수 있으며, 오버헤드는 네이티브 CPU 부울 연산의 약 100배라고 밝혔다. SNARK.fast는 며칠 전 M3 Max에서 초당 180만 회의 BLAKE3를 달성했다.

2027년 leanVM, 2028년 3개 레이어 배포

Poseidon이 포기된 또 다른 핵심 이유는 후양자 보안의 일정이 가속화되고 있기 때문이다. Project Eleven이 발표한 《The Quantum Threat to Blockchains - 2026 Report》는 양자 컴퓨터의 빠른 발전이 블록체인 보안에 심각한 위협이 되고 있다고 지적한다. 일단 '암호학적 관련 양자 컴퓨터'(CRQC)가 등장하면, Shor 알고리즘은 ECDSA(비트코인 및 대부분의 퍼블릭 체인이 채택) 및 RSA와 같은 비대칭 암호화를 빠르게 해독할 수 있다. Q-Day(양자 해독의 날)는 2030년에서 2033년 사이에 도래할 것으로 예상되며, 그 시점에 수조 달러의 온체인 자산이 위험에 처할 수 있다.

블록체인 공개 키는 장기간 정적이고 롤백이 불가능하기 때문에 마이그레이션이 매우 어렵다. 보고서는 격자 기반, 해시 기반 등의 양자 저항 서명 체계를 포함한 후양자 암호화(PQC) 마이그레이션을 즉시 시작하고, 하이브리드 방식을 통해 점진적으로 전환하여 양자 위협의 전면적인 발발을 피할 것을 권고한다.

Justin Drake는 AI의 암호 분석 능력 향상으로 이미 격자 기반 체계인 HAWK와 동형 기반 체계인 SQIsign이 잇따라 타격을 입었다고 경고했다. 이는 이더리움 재단이 해시 기반 체계에 베팅하도록 만들었으며, 이러한 체계는 양자 공격에 대해 더 강력한 저항력을 가진 것으로 간주된다.

이전에 이더리움은 이미 후양자 로드맵을 발표했으며, 여기에는 2027년 프로덕션급 leanVM 배포, 2028년 합의 레이어, 실행 레이어 및 데이터 가용성 레이어 배포가 포함된다. leanVM은 후양자 서명 집계를 위해 특별히 설계된 최소화된 영지식 가상 머신으로, 전체 전략의 핵심 구성 요소로 간주된다.

2026년 3월, 이더리움 재단은 pq.ethereum.org를 후양자 보안 리소스 센터로 출시했으며, 10개 이상의 클라이언트 팀이 매주 후양자 상호운용성 개발 네트워크를 운영하기 시작했다. 재단은 또한 후양자 암호화 연구를 촉진하기 위해 100만 달러의 Poseidon Prize와 동일한 금액의 Proximity Prize를 설립했다. Vitalik Buterin本人도 여러 차례 후양자 보안이 이더리움의 'walkaway test'(안심하고 떠날 수 있는 테스트)의 필수 조건이라고 강조했으며, 이더리움이 양자 보안을 달성하지 않는 한 '경직화'될 수 없다고 말했다.

해시 함수 전환은 이더리움 후양자 경로의 전체 구조를 변경하지 않는다. 검증자가 현재 사용하는 BLS 서명은 타원 곡선에 의존하며, 향후 체계는 여전히 leanXMSS와 같은 해시 서명을 기반으로 하고, leanVM이 많은 서명을 블록당 하나의 소형 증명으로 압축한다. 이더리움 공식 페이지에서 이전에 제공한 비교에 따르면, leanXMSS 서명은 약 3000바이트이고 BLS 서명은 96바이트에 불과하며, leanVM의 데이터 압축 목표는 약 250배이다.

SHA2 또는 BLAKE2s는 더 긴 공개 분석 역사를 가지고 있어, EF는 Poseidon 매개변수가 수년간의 암호 분석을 견디기를 기다리는 시간을 줄일 수 있다. Drake가 제시한 strawmap은 2027년 프로덕션급 leanVM과 2028년 합의 레이어, 데이터 레이어 및 실행 레이어 배포를 가리킨다.

경쟁사와의 레이스, Solana는 Falcon 선택

이더리움만이 후양자 시대를 준비하는 주류 퍼블릭 체인은 아니다. Solana 재단은 2026년 4월 후양자 보안 로드맵을 발표했으며, 핵심 개발 팀인 Anza와 Jump Crypto의 Firedancer는 독립적인 연구 끝에 같은 후양자 서명 체계인 Falcon을 선택했다.

Falcon은 NIST 표준화된 후양자 서명 체계 중 하나로, 서명이 간결하여 Solana와 같은 고처리량 블록체인 환경에 적합하다.

두 검증자 클라이언트 개발 팀인 Anza와 Firedancer는 독립적인 연구 끝에 후양자 디지털 서명 체계인 Falcon을 일치된 의견으로 선택했으며, 각각 GitHub에 초기 구현 코드를 공개했다. 현재 로드맵은 세 단계로 나뉜다: Falcon 및 대안 체계에 대한 지속적인 평가; 양자 위협이 현실화될 때 새 지갑에 후양자 체계 채택; 최종적으로 기존 지갑 전체 마이그레이션. 또한, Blueshift의 Solana Winternitz Vault는 생태계에서 2년 이상 운영되었으며, 올해 초 Google Quantum AI 백서에서 업계 최첨단 사례로 인용되었다.

Solana 재단은 양자 컴퓨팅이 실질적인 위협이 되기까지는 아직 수년이 걸리며, 지금 당장 마이그레이션할 필요는 없지만 연구, 인프라 및 생태계 조정은 모두 준비되어 있어 시기가 무르익으면 빠르게 시작할 수 있으며, 네트워크 성능에 큰 영향을 미치지 않을 것으로 예상된다고 밝혔다.

Starknet은 현재 EF의 새로운 방향에 가장 근접한 대조 사례이다. StarkWare는 6월 30일 로드맵을 발표했으며, 3단계로 진행될 예정이다. 1단계에서는 BLAKE2로 Pedersen 해시 알고리즘을 대체하여 상태 커밋, 계약 주소 및 네트워크 구성에 사용하고, 동시에 Falcon-512와 같은 후양자 합의 서명을 도입한다. 2단계는 기존 계약의 마이그레이션 도구에 중점을 두며, 마지막 단계는 여전히 이더리움과 관련된 외부 의존성(브리지 시스템 호출 및 blob 데이터 가용성 포함)을 해결하는 데 중점을 둔다. 3단계는 이더리움 자체의 마이그레이션 경로에 달려 있다.

다른 퍼블릭 체인과 비교하여, 이더리움은 '표준을 먼저 세우고, 코드를 나중에 움직이는' 경로를 선택했다. Poseidon을 포기하고 SHA2/BLAKE2로 전환하는 것은, 사실 후양자 시대에 더 성숙하고 더 널리 검증된 암호화 프리미티브를 선택하는 것이다.