주요 블록체인 프라이버시 기술: 영지식 증명, FHE, MPC, TEE, 링 서명

공개 블록체인의 모든 거래는 기본적으로 누구나 볼 수 있습니다. 잔액, 전송 금액, 거래 상대방이 공개 원장에 영원히 남습니다. 이런 투명성은 블록체인의 신뢰 보장을 가능하게 하지만 동시에 부담이기도 합니다. 어떤 은행도 고객 잔액을 공개하지 않으며, 어떤 기업도 공급업체 대금이나 급여 지급 내역을 경쟁사가 읽을 수 있기를 바라지 않습니다.

블록체인 프라이버시 기술은 체인을 유용하게 만드는 검증 가능성, 탈중앙화, 신뢰할 중개자 없이 낯선 사람끼리 거래하는 능력을 포기하지 않으면서 이 간극을 메우기 위해 존재합니다. 현재는 다섯 가지 기법이 주류를 이룹니다. 영지식 증명, 완전 동형 암호화(FHE), 안전한 다자간 연산(MPC), 신뢰 실행 환경(TEE), 그리고 스텔스 주소와 함께 사용하는 링 서명입니다. 각 기술은 문제의 서로 다른 부분을 숨기고, 서로 다른 가정을 신뢰하며, 서로 다른 수준의 연산 비용을 요구합니다. 이 가이드에서는 다섯 가지를 모두 살펴보고 나란히 비교하며, Web3를 구축하거나 단순히 배우는 사람에게도 이 선택이 중요한 이유를 설명합니다.

영지식 증명

증명자가 비공개 증인을 등 뒤에 잠가 둔 채 검증자에게 빛나는 유효 증명 배지를 건네며, 영지식 증명이 비밀을 공개하지 않고 공개 명제를 검증하는 방식을 보여 주는 모습

영지식 증명(ZKP)을 사용하면 한 주체인 증명자가 다른 주체인 검증자에게 공개 명제가 참임을 납득시키면서, 그 명제와 유효성에서 이미 드러나는 것 외에는 증명에 사용한 비공개 증인을 공개하지 않을 수 있습니다. “x를 알고 있으며 H(x) = y가 성립한다”라는 주장에서는 검증자가 보통 명제와 공개 값 y를 보고, 영지식성은 x를 보호합니다. 애플리케이션은 공개 입력의 일부를 별도로 숨기거나 암호학적 커밋먼트에 연결할 수 있지만, 명제 자체를 숨기는 것은 일반적인 ZKP 정의에 포함되지 않습니다(Thaler, Proofs, Arguments, and Zero-Knowledge).

진정한 영지식 프로토콜로 인정받으려면 증명 시스템은 세 가지 속성을 만족해야 합니다. 완전성은 정직한 검증자가 참인 주장을 받아들인다는 뜻이고, 건전성은 증명 시스템에서 상한이 정해진 오류 확률을 제외하면 부정직한 증명자가 정직한 검증자에게 거짓 주장을 받아들이게 할 수 없다는 뜻입니다. 영지식성은 증명이 공개 명제에서 도출되는 것 외에 비공개 증인에 관한 추가 정보를 드러내지 않는다는 의미입니다. 고전적인 상호작용형 프로토콜은 흔히 커밋먼트, 검증자의 챌린지, 증명자의 응답을 사용합니다. 현대의 비상호작용형 SNARK와 STARK는 검증자의 실시간 챌린지 없이 필요한 증명 데이터를 하나로 구성하면서도 완전성, 건전성, 영지식성이라는 같은 상위 목표를 유지합니다.

숨기는 것: 비밀 데이터나 비공개 연산 입력 같은 비공개 증인입니다. 애플리케이션이 별도로 커밋먼트에 연결하거나 암호화하지 않는 한 공개 명제와 공개 입력은 계속 보입니다.

현재 사용 방식: ZK 롤업은 블록체인 확장에서 ZKP가 가장 대규모로 실사용되는 사례입니다. 거래를 “오프체인에서 실행되는 배치로 묶은 뒤(또는 ‘롤업한 뒤’)” 하나의 유효성 증명을 생성하고, Ethereum은 배치의 상태 변경을 최종 확정하기 전에 이를 검증합니다(ethereum.org). Matter Labs가 만든 zkSync Era는 “자체 zkEVM으로 구동되는 EVM 호환 ZK 롤업”입니다(ethereum.org). StarkWare가 만든 Starknet은 EVM 대신 자체 Cairo VM을 실행하는 유효성 롤업입니다. Solidity 컨트랙트는 별도로 브리지됩니다. L2BEAT는 두 프로젝트를 옵티미스틱 롤업의 사기 증명 챌린지 기간이 아니라 유효성 증명으로 보호되는 롤업으로 분류합니다(l2beat.com). 프라이버시 측면에서는 Zcash가 보호 거래에 zk-SNARK(Zero-Knowledge Succinct Non-Interactive Arguments of Knowledge)를 선구적으로 도입했습니다. 네트워크가 거래의 유효성을 확인하는 동안 “사용자의 주소, 거래 금액”과 다른 세부 정보는 암호화된 상태로 남습니다(z.cash).

트레이드오프: ZK 증명 생성에는 많은 연산이 필요합니다. 증명 회로가 배치의 모든 거래를 순회하며 검사를 다시 실행하기 때문에 온체인 검증은 저렴하고 빠르더라도 증명 시간과 하드웨어 비용은 실질적인 제약입니다. 보안은 증명 시스템의 암호학적 가정, 안전한 매개변수 생성, 회로와 프로토콜의 올바른 구현에 달려 있습니다. 일부 증명 시스템에서는 일회성 신뢰 설정 절차(trusted setup ceremony)도 필요합니다. Ethereum 문서는 신뢰 설정의 엔트로피가 침해되면 거짓 증명을 만들 수 있고, 구현 오류가 보안 모델을 훼손할 수 있다고 설명합니다(ethereum.org).

완전 동형 암호화(FHE)

키가 없는 클라우드 서버가 운영하는 수학 기계를 잠긴 상자가 통과한 뒤, 계산된 결과를 담은 채 여전히 잠긴 상태로 나오는 모습. 암호화된 데이터를 직접 연산하는 과정을 보여 줌

완전 동형 암호화는 다른 방식으로 접근합니다. 숨겨진 데이터에 관한 사실을 증명하는 대신 암호화된 데이터를 직접 연산할 수 있게 합니다. 그 결과로 나온 암호문을 복호화하면 평문을 연산했을 때와 같은 답을 얻습니다. FHE 연구 및 인프라를 선도하는 기업 중 하나인 Zama는 “FHE를 사용하면 복호화하지 않고 데이터를 처리할 수 있습니다. 기업은 사용자 데이터에 접근하지 않고 서비스를 제공하며, 사용자는 달라지지 않은 기능을 경험합니다”라고 설명합니다(zama.org).

숨기는 것: 연산의 원시 입력, 중간 상태, 출력입니다. 키 보유자를 제외한 모든 주체는 암호문만 보며, 여기에는 연산을 수행하는 주체도 포함됩니다.

개략적인 작동 방식: FHE 스킴은 격자 기반 수학으로 만든 암호문에 평문 값을 인코딩한 다음, 암호화 상태에서의 덧셈과 곱셈을 정의해 암호문에서 임의의 회로를 실행할 수 있게 합니다. 블록체인에 적용하면 스마트 컨트랙트는 관련 금액을 전혀 보지 않고도 토큰을 이동하거나 로직을 평가할 수 있습니다. Zama의 예시처럼 “블록체인은 실제 금액을 전혀 보지 않고도 Alice에게 충분한 자금이 있음을 검증”할 수 있습니다(zama.org). Zama는 격자 기반 FHE 스킴이 “본질적으로 양자 내성을 갖는다”고도 설명합니다. 암호학적 위험을 장기적으로 보는 사람에게 중요한 특성입니다(zama.org).

예시 프로젝트: Zama는 오픈 소스 FHE 라이브러리(TFHE-rs, Concrete)와 EVM 체인에서 기밀 스마트 컨트랙트 실행을 추가하는 fhEVM을 개발합니다. Fhenix는 “개발자가 완전 동형 암호화를 사용해 프라이버시 보존형 스마트 컨트랙트를 구축”하고 “민감한 데이터가 연산 내내 암호화된 상태로 유지”되게 하기 위해 특별히 만들어진 블록체인입니다. 클라이언트 측 암호화를 위한 JavaScript 라이브러리(Cofhejs)와 온체인 암호화 연산을 위한 Solidity FHE 라이브러리를 제공합니다(cofhe-docs.fhenix.zone).

트레이드오프: FHE의 차별적인 보장은 지원되는 연산을 입력이나 중간값을 복호화하지 않고 실행할 수 있다는 점입니다. 다만 구체적인 보안은 여전히 스킴과 매개변수 선택에 달려 있으므로 HomomorphicEncryption.org는 스킴별 보안 표와 매개변수 선택 지침을 제공합니다(HomomorphicEncryption.org). 또한 평문 연산과 비교하면 이 목록에서 단연 가장 많은 연산 비용이 듭니다. 그래서 오늘날 FHE 기반 체인은 모든 거래가 아니라 기밀성이 중요한 로직에 FHE를 사용하며, FHE 하드웨어 가속은 활발한 연구 경쟁 분야입니다.

안전한 다자간 연산(MPC)

세 사람이 각각 퍼즐 조각 모양의 키 조각 하나를 들고 있고, 점선이 이를 하나의 서명된 거래로 연결해 어느 한 참여자도 전체 비밀을 보지 않고 공동 결과를 만드는 안전한 다자간 연산을 보여 주는 모습

안전한 다자간 연산은 서로 관련되지만 구별되는 문제를 해결합니다. 한 주체가 암호화된 데이터를 연산하는 대신, 각자 입력의 비밀 일부를 가진 여러 주체가 개별 입력을 서로에게 공개하지 않은 채 공동으로 함수를 계산합니다. 형식적 정의에 따르면 MPC는 “여러 주체가 각자의 입력을 비공개로 유지하면서 그 입력에 대한 함수를 공동으로 계산하는 방법을 만드는 것을 목표로 하는 암호학의 하위 분야”입니다. 따라서 참여자가 세 명이라면 “Alice, Bob, Charlie는 누가 어떤 값을 제공했는지 공개하지 않고도 F(x, y, z)를 알 수 있습니다”(Wikipedia).

숨기는 것: 각 주체의 개별 입력을 다른 모든 주체에게서 숨깁니다. 합의된 출력만 공개되며, 어느 한 참여자도 전체 비밀을 볼 수 없습니다.

신뢰 가정: 모든 MPC에 적용되는 보편적인 손상 임계값은 없습니다. 완전 연결망을 가정한 고전적 BGW 결과에서 수동적 결함에 대한 프라이버시는 t < n/2일 때 유지되고, 비잔틴 결함에 대한 강건성은 t < n/3일 때 유지됩니다(ACM). 이 한계는 해당 프로토콜 모델을 설명할 뿐 모든 MPC에 적용되지는 않습니다. 브로드캐스트를 가정하면 완전 보안 프로토콜이 t < n/2에 도달할 수 있는 반면(TCC 2021), 계산적 보안에 기반한 SPDZ 프로토콜은 전처리 모델에서 최대 n - 1명의 참여자가 손상되어도 능동적 보안을 제공합니다(IACR). 이러한 부정직한 다수 보장은 중단을 허용하는 보안입니다. 즉, 손상된 참여자가 여전히 연산을 중단시킬 수 있으며 공정성이나 출력 보장을 제공하는 것은 아닙니다(PoPETs). 따라서 실제 배포에서는 프로토콜, 수동적 또는 능동적 손상 모델, 동기성, 채널과 설정에 관한 가정(브로드캐스트 포함), 정직한 다수와 부정직한 다수 중 무엇을 가정하는지 명시해야 합니다.

현재 사용 방식 — 임계값 서명 수탁: 블록체인에서 가장 눈에 띄는 MPC 활용 사례는 개인 키를 독립된 여러 주체에 나누어 어느 한 기기나 사람도 전체 키를 보유하지 않게 하는 것입니다. 수탁 인프라 제공업체 Fireblocks는 이를 직접 설명합니다. “다자간 연산(MPC)은 개인 키를 여러 독립 주체에 분산된 별도 조각으로 나누는 암호학적 방법”이며, 중요한 점은 “어느 시점에도 완전한 키가 한곳에서 조립되지 않는다”는 것입니다(fireblocks.com). 거래에 서명해야 할 때는 정족수를 충족하는 엔드포인트가 각각 거래를 검증하고 부분 서명을 제공합니다. “어느 시점에도 개인 키는 조립되지 않으므로” “한 엔드포인트가 침해되더라도 다른 곳의 키 조각은 각각 따로는 쓸모가 없습니다”(fireblocks.com). 이 임계값 서명 패턴은 이제 대부분의 기관 암호화폐 수탁 서비스와 여러 다중 서명 지갑의 기반입니다.

트레이드오프: MPC는 한 기기의 개인 키 하나에서 생기는 단일 장애점을 없애지만, 주체 사이에 통신 라운드가 추가되어 지연 시간이 늘어나고 프로토콜을 신중하게 설계해야 합니다. 보안 보장은 선택한 프로토콜의 암호학적 가정, 손상 및 네트워크 가정, 그리고 각 주체의 운영상 독립성만큼만 강합니다. MPC는 단일 키 보유자를 없앨 수 있지만 시스템 설계에서 신뢰 자체를 없애지는 않습니다.

신뢰 실행 환경(TEE)

신뢰 실행 환경은 또 다른 경로를 택합니다. 연산 내내 데이터를 암호화하는 대신 칩의 하드웨어 보호 영역인 보안 엔클레이브 안에서 연산을 격리하여 해당 컴퓨터의 운영체제조차 내부를 검사하지 못하게 합니다. 가장 잘 알려진 구현인 Intel의 SGX(Software Guard Extensions)는 Wikipedia에서 “일부 Intel 중앙 처리 장치(CPU)에 내장되어 신뢰 실행 환경을 구현하는 명령 코드 집합”으로 설명됩니다(Wikipedia). 작동 방식으로 보면 “SGX는 CPU가 메모리 일부인 엔클레이브를 암호화”하고 “엔클레이브에서 나온 데이터와 코드는 CPU 안에서 즉시 복호화되어 다른 코드가 이를 검사하거나 읽지 못하게 보호”합니다. 여기에는 “운영체제와 기반 하이퍼바이저처럼 더 높은 권한 수준에서 실행되는 코드”도 포함됩니다(Wikipedia).

숨기는 것: 엔클레이브 내부의 데이터와 코드를 같은 컴퓨터의 다른 모든 프로세스에서 숨깁니다. 침해된 운영체제도 볼 수 없습니다. 서버 운영자를 신뢰하지 않고 특정 코드의 실행을 신뢰해야 할 때 유용합니다.

신뢰 가정: ZKP, FHE, MPC는 “순수 수학”에만 의존하고 TEE만 공급업체를 신뢰해야 한다고 구분해서는 안 됩니다. 실제 배포된 암호 시스템도 명시된 난이도 가정, 매개변수 또는 설정, 올바른 구현에 의존하며, MPC의 경우에는 프로토콜의 참여자 및 통신 모델에도 의존합니다. TEE는 이 시스템 신뢰 모델에 하드웨어 기반 격리와 원격 증명을 추가합니다. Intel은 SGX의 신뢰 컴퓨팅 기반을 SGX의 보안 목표를 달성하는 데 필요한 하드웨어, CPU 펌웨어, 플랫폼 소프트웨어로 정의합니다. 원격 증명을 통해 이를 신뢰하는 측은 엔클레이브의 신원과 플랫폼의 패치 수준을 평가할 수 있습니다(Intel). 이 신뢰 경계는 여러 차례 시험대에 올랐습니다. SGX는 “사이드 채널 공격을 방어하지 못하며”, 연구자들은 2017년에 “같은 시스템에서 실행되는 SGX 엔클레이브로부터 오 분 안에 RSA 키”를 추출한 사례부터 2018년에 “추측 실행과 버퍼 오버플로를 결합해 SGX를 우회”한 Foreshadow 공격까지 실용적인 공격을 거듭 입증했습니다. 이후에도 Plundervolt, LVI, SGAxe, ÆPIC Leak 같은 취약점이 발견되었습니다(Wikipedia). 이런 이력 때문에 TEE는 대개 암호학적으로 빈틈없는 보장이라기보다 실용적이고 빠른 중간 지점으로 설명됩니다.

예시 프로젝트: Oasis Protocol의 Sapphire 네트워크는 하드웨어 엔클레이브 안에서 스마트 컨트랙트를 실행합니다. 따라서 사용자는 “하드웨어로 보호된 엔클레이브 안에서 코드를 실행”할 수 있고 “데이터는 서버 운영자에게도 암호화된 상태로 유지”됩니다. 또한 “모든 실행은 사용자가 맹목적인 신뢰 없이 검증할 수 있는 암호학적 증명을 생성”합니다. 이를 통해 “EVM 호환성과 조합 가능성”을 유지하면서 “기밀 스마트 컨트랙트”를 제공합니다(oasis.net). Secret Network를 비롯해 리스테이킹과 연계된 여러 프라이버시 제품도 TEE를 기반으로 하며, 심층 방어를 위해 다른 기법과 결합하는 경우가 많습니다.

트레이드오프: TEE는 네이티브에 가까운 속도로 실행되어 FHE나 무거운 ZK 증명보다 훨씬 빠릅니다. 지연 시간에 민감한 애플리케이션에 매력적인 이유입니다. 하지만 이 속도에는 실제로 문서화된 사이드 채널 침해 이력이 있는 더 넓은 하드웨어 및 소프트웨어 신뢰 컴퓨팅 기반이 따릅니다. 따라서 비교 대상은 서로 다른 시스템 가정이지, 하드웨어 신뢰와 아무런 가정이 없는 “순수 암호학”이 아닙니다.

링 서명과 스텔스 주소

마지막 두 기법은 더 좁지만 매우 실용적인 목표를 보호합니다. 거래 자체는 온체인에서 볼 수 있더라도 거래를 누가 보냈고 누가 받았는지 숨깁니다. Monero는 두 기법을 모두 실제 운영 환경에서 사용하는 대표 사례입니다.

링 서명은 송신자를 숨깁니다. Monero 문서는 “링 서명은 각각 키를 가진 사용자 집단의 어느 구성원이나 만들 수 있는 디지털 서명의 한 유형”이며, “집단 구성원 중 누구의 키가 서명 생성에 사용되었는지 알아내는 것이 계산상 불가능해야 한다”고 설명합니다(getmonero.org). 실제로 Monero 거래는 실제 지출자의 키를 “감마 분포 방식으로 블록체인에서 가져온” 미끼 공개 키와 섞습니다. 따라서 가능한 서명자 “링” 안에서 “모든 링 구성원은 동등하고 유효”하며, “외부 관찰자는 서명 집단의 가능한 서명자 중 어느 것이 사용자 계정에 속하는지 알아낼 방법이 없습니다”(getmonero.org).

스텔스 주소는 수신자를 숨깁니다. 하나의 공개 주소를 반복해서 사용하는 대신, “송신자가 수신자를 대신해 모든 거래마다 임의의 일회용 주소를 생성”합니다. 따라서 수신되는 결제는 “블록체인의 고유 주소로 들어가며, 수신자가 공개한 주소나 다른 거래 주소와 연결할 수 없습니다”(getmonero.org). 수신자는 개인 조회 키로 체인을 스캔해 결제를 찾고 개인 지출 키로 이를 이동합니다. 그래서 “결제가 어디로 전송되었는지는 송신자와 수신자만 알 수 있습니다”(getmonero.org).

숨기는 것: 링 서명은 송신자 신원을, 스텔스 주소는 수신자 신원을 숨깁니다. 거래 금액은 별도의 메커니즘인 기밀 거래/RingCT가 숨기며, 이 두 기법 자체에는 포함되지 않습니다.

트레이드오프: 두 기법 모두 증명 생성 오버헤드나 엔클레이브 의존성 없이 일반 하드웨어에서 효율적으로 실행되므로 실제 결제 네트워크에 적합합니다. 하지만 신뢰 모델은 미끼 집합이 실제 서명자와 통계적으로 구별되지 않는다는 가정에 의존합니다. 초기 링 서명 구현에서는 약한 미끼 선택이나 블록체인 분석 휴리스틱이 익명성 집합을 좁힌 사례가 있으므로, 링 크기와 미끼 분포 같은 매개변수 선택은 기반 암호 프리미티브 자체만큼 중요합니다.

다섯 가지 접근법 비교

기술	숨기는 것	신뢰 가정	성능 비용	현재 성숙도	예시 프로젝트
영지식 증명	비공개 증인 또는 데이터, 별도로 숨기지 않으면 공개 명제는 계속 노출	증명 시스템의 가정, 매개변수 또는 설정, 올바른 구현	증명 생성 비용 높음, 검증은 저렴함	대규모 실사용(rollup, 보호 결제)	zkSync, Starknet, Zcash
완전 동형 암호화	연산 제공자를 포함해 지원되는 연산 동안의 데이터	암호학적 가정, 스킴과 매개변수 선택	연산 오버헤드 매우 높음	초기 실사용, 하드웨어 가속 연구 활발	Zama, Fhenix
안전한 다자간 연산	각 주체의 개별 입력	프로토콜별 손상, 네트워크 및 설정, 다수 가정	중간, 통신 라운드 추가	성숙했으며 수탁 분야에 널리 배포	Fireblocks 및 기타 임계값 서명 수탁업체
신뢰 실행 환경	운영체제를 포함한 다른 모든 프로세스로부터 데이터/코드	검증된 엔클레이브 코드와 하드웨어, 펌웨어, 소프트웨어 및 패치 수준을 포함한 신뢰 컴퓨팅 기반	네이티브에 가까운 속도	실사용 중이지만 문서화된 사이드 채널 공격 이력 존재	Intel SGX, Oasis Sapphire
링 서명 및 스텔스 주소	송신자 신원과 수신자 신원	미끼 집합의 통계적 비구별성	낮음, 일반 하드웨어에서 효율적	성숙했으며 십 년 넘게 실제 운영	Monero

어느 한 기술도 모든 축에서 이기지는 못합니다. 그래서 현재 연구는 MPC 연산의 정확성을 검증하는 ZK 증명이나, 심층 방어를 위해 FHE와 함께 사용하는 TEE처럼 여러 기술을 점점 더 결합하고 있습니다.

토큰화 도메인과의 관계

토큰화된 도메인은 다른 온체인 자산과 마찬가지로 기본적으로 투명하다는 특성을 물려받습니다. 소유권 이전, 입찰, 메타데이터 업데이트를 누구나 읽을 수 있습니다. 이는 대부분 장점입니다. 출처와 소유권 기록은 토큰화 도메인을 거래 가능한 자산으로 신뢰하게 하는 핵심이기 때문입니다. 하지만 도메인 포트폴리오의 보유 현황과 판매 가격도 체인을 지켜보는 누구에게나 보인다는 뜻입니다.

이 가이드의 프라이버시 기술은 NFT형 도메인 인프라가 앞으로 나아갈 수 있는 방향을 보여 줍니다. MPC 기반 임계값 수탁은 이미 다른 디지털 자산과 같은 방식으로 도메인 NFT를 보유한 기관 지갑을 보호합니다. ZK 증명은 언젠가 입찰자가 전체 잔액을 공개하지 않고도 제안 금액을 감당할 수 있음을 증명하게 할 수 있습니다. 기밀 컴퓨팅 기법은 등록대행자나 마켓플레이스가 구매자의 전체 신원을 드러내지 않고 자격 요건을 검증하게 할 수 있습니다. 이들 기술은 아직 도메인 토큰화에 도입되지 않았지만, 그 기반 암호 프리미티브는 지금도 DeFi와 커스터디 인프라에서 수십억 달러 규모의 자산을 보호하고 있습니다.