2029 카운트다운: 이더리움 양자 내성 장거리 경주, Hegotá에서 출발 신호

원문 저자: KarenZ, Foresight News

양자 컴퓨터가 아직 블록체인의 문을 두드리지 않았지만, 이더리움 재단은 이미 달력에 날짜를 하나 표시해 두었습니다: 2029년 12월.

이는 이더리움 재단 프로토콜 팀이 스스로 설정한 엔지니어링 기한입니다: 양자 위협이 더 일찍 도래할 수 있는 시나리오에 대비하여, 위험이 실제로 다가오기 전에 이더리움 레이어 1 네트워크의 양자 내성 개조를 완료하는 것을 목표로 합니다.

현재 계획 중인 Hegotá는 이더리움을 직접 완전한 양자 내성 블록체인으로 바꾸지는 않겠지만, 후속 계획이 제때 진행될 수 있을지를 결정할 것입니다.

EF, 'Q-day'에 대해 2029년이라는 기한을 미리 설정하다

'Q-day'는 일반적으로 가상의 시점을 지칭합니다: 현실적인 공격 능력을 갖춘 양자 컴퓨터가 등장하여 기존 공개 키 암호 체계가 실질적인 위협에 직면하게 되는 시점입니다.

그것이 언제 도래할지는 아무도 정확히 예측할 수 없습니다. 이더리움 재단도 대부분의 신뢰할 수 있는 예측이 Q-day가 2030년 이후, 심지어 훨씬 나중에 올 것이라고 본다는 점을 명시적으로 인정하며, 그것이 좀처럼 도래하지 않을 가능성도 존재합니다.

이더리움 재단 프로토콜 팀이 채택한 것은 다소 보수적인 엔지니어링 가정입니다: 이더리움 레이어 1은 Q-day가 이르면 2030년에 도래할 가능성에 대비해 준비해야 한다는 것입니다.

이를 위해 프로토콜 팀은 목표를 하나 제시했습니다——2029년 12월까지 이더리움 레이어 1의 실행(Execution), 합의(Consensus), 데이터(Data) 세 부분이 완전한 양자 내성 능력을 갖추는 것입니다.

이 목표가 영원히 조정되지 않는 것은 아닙니다. 프로토콜 팀은 2027년 1월에 외부 전문가 의견을 결합하여 양자 컴퓨팅의 발전 상황을 재평가할 계획입니다. 그 전까지 2029년 기한은 쉽게 양보할 수 없는 작업 목표로 간주될 것입니다.

양자 내성 개조를 수년 전부터 준비해야 하는 이유는 이더리움이 단 하나의 암호 기술만 사용하는 것이 아니며, 서명 알고리즘 하나를 교체한다고 해서 마이그레이션이 완료되는 것도 아니기 때문입니다. 사용자 계정이 거래 승인을 어떻게 증명하는지, 검증자가 합의에 어떻게 참여하는지, 데이터가 어떻게 검증되는지는 모두 서로 다른 암호 구조와 관련됩니다. 모든 수정은 사양 설계, 클라이언트 구현, 보안 검토, 개발 네트워크 테스트 및 메인넷 조정을 거쳐야 하며, 위협이 이미 나타난 후에야 처리를 시작할 수는 없습니다.

Hegotá는 '양자 내성 업그레이드'가 아니지만, 전체 계획의 첫 번째 시험대다

이더리움 재단 프로토콜 팀이 현재 공개한 기준 로드맵에 따르면, Glamsterdam 네트워크 업그레이드는 2026년 12월에 메인넷에 출시될 예정이며, 완전한 양자 내성 능력은 Glamsterdam 이후 다섯 번째 하드포크 L*에 배치되어 그 목표 시점은 2029년 12월입니다. Glamsterdam에서 L*까지는 단 3년이며, Hegotá, I*, J*, K*, L*를 순서대로 완료하려면 평균적으로 각 업그레이드 사이에 약 7.2개월밖에 없습니다.

이는 상당히 공격적인 일정입니다. 현재 이더리움 재단은 Hegotá, I*, J*, K* 각각에 대해 확정된 메인넷 출시 시간을 공개하지 않았습니다. 확실한 것은 클라이언트 팀이 늦어도 2026년 4분기 후반에 Hegotá 구현을 시작할 것으로 예상되며, 여러 후속 버전의 연구, 사양 및 테스트가 병렬로 진행되어야 한다는 점입니다.

현재 로드맵에 따르면 각 단계의 주요 구성은 다음과 같습니다:

• Hegotá: 이 로드맵의 출발점에 위치합니다. 공식적인 포지셔닝은 매우 명확합니다: Hegotá 자체는 양자 내성 업그레이드가 아니지만, 후속 양자 내성 업그레이드가 제때 진행될 수 있을지를 결정합니다.
• I*: 양자 내성 공개 키 등록부(registry)를 배포하여 계정이 양자 내성 공개 키를 등록하고 사용할 수 있는 프로토콜 기반을 마련합니다. 동시에, 합의 분리(decoupling consensus)는 이 버전에서 현재 선두를 달리는 핵심 후보 방향이며, 대규모 상태 구조 설계 및 마이그레이션 작업도 I*부터 시작될 것으로 예상됩니다.
• J*: '최소 실행 가능한 양자 내성' 레이어 1, 즉 MV-PQ를 구축합니다. 핵심 구성 요소는 합의 레이어의 양자 내성 heartbeat 메커니즘, 데이터 레이어의 후양자(post-quantum) leanDA 샘플링, 그리고 실행 레이어의 후양자 leanSPHINCS 거래입니다.
• K*: 현재 기준 순서에 따라, 강제 실행 증명(forced execution proofs)을 도입합니다. 그 시점에 검증자의 발전 방향은 간결한 실행 증명을 검증하는 것이지, 각 검증자가 전체 블록을 다시 실행하는 것이 아닙니다.
• L*: 현재 기준 순서에 따라, 완전한 양자 내성 합의에 필요한 양자 내성 증명 메시지, 즉 post-quantum attestations를 보완하고, 2029년 12월에 실행 레이어, 합의 레이어 및 데이터 레이어의 완전한 양자 내성 목표를 달성합니다.

다만, K*와 L*의 작업 순서는 아직 최종 결정되지 않았습니다. 프로토콜 팀은 교체 방안을 평가 중입니다: 양자 내성 증명 메시지를 L*에서 K*로 앞당겨 완전한 양자 내성 능력을 더 일찍 실현하고, 강제 실행 증명을 K*에서 L*로 연기하는 것입니다. 이 방안을 채택하면 K*와 L*의 구체적인 역할과 업그레이드 속도가 모두 변경됩니다. 따라서 현재 단계에서 가장 정확한 표현은 다음과 같습니다: 2026년 12월은 Glamsterdam의 현재 메인넷 목표이고, 2029년 12월은 기준 로드맵에서 L* 및 완전한 양자 내성 능력의 목표입니다. K*, L*의 내부 순서는 여전히 조정될 수 있습니다.

연구원, 클라이언트 개발자, 보안 검토자 및 테스트 팀은 Hegotá를 완료해야 할 뿐만 아니라 I*, J*, K*, L*를 위한 사양과 프로토타입도 미리 준비해야 합니다. Hegotá에 상호 영향을 주는 기능이 너무 많이 포함되면 자체 출시가 지연될 뿐만 아니라 후속 양자 내성 작업에 필요한 팀 인력도 차지하게 됩니다.

따라서 이더리움 재단 프로토콜 팀은 Hegotá 후보 제안을 S(2개), A(15개), B(8개), C(7개), DFI(28개) 및 TBD(2개) 등급으로 분류했으며, 총 62개의 후보 제안입니다. S 등급은 반드시 전달해야 함을 의미합니다. A 등급은 높은 우선순위로 전달 예정임을 의미합니다. B 등급은 사양, 프로토타입 또는 책임자 확인 등의 조건을 충족해야 합니다. C 등급은 현재로서는 포함 기준선 아래입니다. DFI는 이번 업그레이드에 포함하지 않는 것을 권장함을 의미합니다. TBD는 결정 대기 중임을 의미합니다.

Hegotá의 두 S 등급: FOCIL 및 Frames

프로토콜 팀이 공개한 Hegotá 등급에서 S 등급에 들어간 EIP는 단 두 개입니다: 합의 레이어의 EIP-7805 FOCIL과 실행 레이어의 EIP-8141 Frame 거래입니다.

이들은 각각 거래 수명 주기의 두 가지 핵심 문제를 처리합니다: 적격 거래가 블록에 포함될 수 있는지, 그리고 계정이 어떤 방식으로 거래를 검증하고 실행할 수 있는지입니다.

FOCIL(EIP-7805)의 전체 이름은 '포크 선택 규칙에 의해 강제되는 포함 목록'(Fork-choice enforced Inclusion Lists)입니다. 그 목표는 이더리움의 거래 포함 보장을 개선하는 것입니다.

현재 전문 블록 빌더가 블록 생성을 주도합니다. 이러한 분업은 블록 생성 효율성을 높이는 데 도움이 되지만, 블록 생산이 소수의 빌더에게 장기간 집중되면 그들이 비교적 강력한 거래 필터링 능력을 가질 수도 있습니다. 따라서 FOCIL은 정상적인 블록 생성 프로세스 외에 검증자로부터의 포함 제약 계층을 추가합니다.

FOCIL의 설계에 따르면 각 Slot마다 검증자 그룹이 선택되어 '포함 목록 위원회'(IL committee)를 구성합니다. 위원회 구성원은 자신이 확인한 대기 중인 거래를 기반으로 각각 포함 목록을 작성하고 브로드캐스트합니다. 다음 Slot의 블록 빌더는 이러한 목록을 수집하고 블록을 생성할 때 실행 조건을 충족하는 거래를 추가합니다. 새 블록을 증명하는 역할을 하는 검증자도 제때 수신한 포함 목록을 저장하고 블록이 해당 요구 사항을 충족하는지 확인합니다.

블록이 정당한 이유 없이 검증자가 저장한 목록의 거래를 누락하면 증명자는 해당 블록에 투표하지 않습니다. 이러한 블록은 실행 레이어에서 여전히 유효한 블록일지라도 정식 체인에 진입하는 데 필요한 합의 지원을 얻을 수 없습니다. 이것이 FOCIL의 의미입니다: 위원회 구성원이 블록을 직접 수정하는 것이 아니라 검증자가 투표하는지 여부를 통해 블록 빌더의 선택을 제약하는 것입니다.

관련 EIP-8369는 어떤 거래가 FOCIL의 강제 포함 보장을 받기에 적합한지 추가로 설명합니다. 일반 거래의 누락 이유는 비교적 쉽게 검증할 수 있습니다. Frames 거래는 프로그래밍 가능한 검증을 허용하므로 판단 비용이 더 높아 읽을 수 있는 상태 범위와 검증 예산을 추가로 제한해야 합니다.

쉽게 말해, FOCIL은 검증자가 블록 빌더의 작업을 빼앗는 것이 아니라 빌더에게 합의 레이어 규칙을 하나 추가하는 것입니다: 여전히 블록의 대부분의 거래를 배열할 수 있지만, 정당한 이유 없이 위원회가 나열한 적격 거래를 계속 무시할 수는 없습니다.

Frame Transactions(EIP-8141)은 계정 레이어 문제를 처리합니다. 거래 검증, 거래 실행 및 Gas 지불을 프로토콜 레이어에서 더 프로그래밍 가능하게 만들어 네이티브 계정 추상화를 위한 기반을 제공할 계획입니다. Vitalik은 EIP-8141의 공동 작성자 중 한 명입니다.

현재 대부분의 일반 이더리움 계정은 고정 유형의 개인 키 서명에 의존합니다. Frames는 계정이 더 유연한 검증 로직을 사용할 수 있도록 하는 것을 목표로 합니다. 예를 들어 새로운 서명 체계를 채택하거나, 여러 권한 부여 조건을 결합하거나, 다른 계정이 거래 수수료를 지불하도록 하는 것입니다. 또한 서명 집계를 지원하고 향후 새로운 서명 체계를 도입할 수 있게 하여, 각 체계마다 별도로 하드포크를 수행할 필요가 없습니다.

하지만 Frames 자체는 완전한 양자 내성 서명 체계가 아니며 Hegotá 출시 후 기존 키를 즉시 폐기하지도 않습니다. 그것이 제공하는 것은 '암호 민첩성'(cryptographic agility)입니다: 향후 서명 체계를 교체해야 할 경우 계정이 프로그래밍 가능한 검증을 통해 마이그레이션을 완료할 수 있으며, 하나의 키 체계에 영구적으로 묶이지 않습니다.

Frames는 또한 두 가지 A 등급 제안을 핵심 동반자로 필요로 합니다. EIP-8250 Keyed Nonces는 동일한 발신자가 서로 독립적인 nonce 채널을 사용할 수 있게 하여, 서로 다른 거래가 엄격한 순서를 공유함으로써 서로를 차단하지 않도록 합니다. EIP-8272는 거래가 검증자가 확인할 수 있는 최근 온체인 상태를 사용하도록 하여 관련 프라이버시 거래도 FOCIL이 제공하는 포함 보장을 받을 수 있게 합니다.

따라서 FOCIL과 Frames는 서로 관련이 없는 두 기능이 아닙니다. 전자는 블록이 어떤 적격 거래를 포함해야 하는지를 변경하고, 후자는 거래 자체의 검증 구조를 변경합니다. 이 둘이 안전하게 협력할 수 있는지가 Hegotá의 가장 중요한 테스트 작업 중 하나입니다.

S 등급 외에 주목할 만한 다른 EIP는 무엇이 있나요?

S 등급 제안은 Hegotá의 주요 방향을 정의하지만, 여러 A 등급 제안도 이더리움의 미래 계정 보안, 양자 내성 마이그레이션, 실행 증명 및 리소스 가격 책정에 영향을 미칠 것입니다.

먼저 EIP-8365입니다. 이는 일부 BLS 출금 자격 증명(withdrawal credentials)의 단계적 폐기를 시작할 계획입니다. 이러한 자격 증명은 여전히 충분히 강력한 양자 공격에 직면했을 때 보안을 잃을 수 있는 암호 기술에 의존하기 때문입니다. 프로토콜 팀은 이 마이그레이션이 완전한 양자 내성 합의 설계가 확정될 때까지 기다릴 필요 없이 미리 시작될 수 있다고 판단합니다.

계정 보안 측면에서 EIP-7906, EIP-8298 및 EIP-8151은 Frames의 확장 조합으로 간주됩니다.

EIP-7906은 거래 어설션(Transaction Assertions) 메커니즘을 도입하여 거래가 최종 제출 전에 지정된 결과가 발생했는지 확인할 수 있게 합니다. 이 메커니즘은 악성 계약이 지갑 자산을 빼내는 것과 일부 MEV 행동으로 인한 손실을 줄이는 것을 목표로 합니다. 다만, 이 제안의 구체적인 읽기 범위는 여전히 연구되고 축소되는 중이므로 현재 설계를 이미 확정된 최종 사양으로 간주할 수 없습니다.

EIP-8298은 계정이 기존 컨트랙트 코드를 재사용할 수 있게 하여 위임된 계정이 완전한 코드를 가진 스마트 컨트랙트 계정으로 더욱 전환될 수 있게 합니다. EIP-8151은 기존 계정 코드가 있는 주소가 전통적인 ecRecover 인증에 계속 의존하는 것을 제한합니다.

이 두 제안이 결합된 후에야 계정이 실제로 기존 secp256k1 키를 최고 제어 자격 증명으로 사용하는 것을 중단하고, 향후 기존 키 체계에서 벗어나기 위한 완전한 경로를 구축할 수 있습니다.

EIP-8025(선택적 실행 증명)는 향후 zkEVM 로드맵과 관련