이더리움 zkEVM: 16초는 쉬운 부분이었다

서론

이더리움 재단이 2025년 12월 18일 발표한 zkEVM 보안 기반에 관한 글은 같은 문서 안에서 두 가지 일을 한다. 하나는 실시간 증명 목표가 달성되었다는 선언이다. 증명 지연 시간은 16분에서 16초로 줄었고, 비용은 약 45배 감소했으며, zkVM은 10만 달러 미만의 하드웨어로 메인넷 블록의 99%에 대한 증명을 10초 이내에 생성하고 있다. 다른 하나는 STARK 기반 증명 시스템을 뒷받침하던 수학적 추측 일부가 틀렸음이 밝혀졌다는 인정이다. 이는 100비트 보안을 표방하던 zkEVM이 실제로는 80비트에 가까운 수준을 제공하고 있을 수 있다는 뜻이다.

이 두 선언은 서로 다른 범주에 속한다. 첫 번째는 공개 대시보드에서 확인 가능한, 자체 보고된 엔지니어링 성과다. 두 번째는 업계가 이미 마케팅 자료와 감사 요약서에서 주장해 온 내용에 대한 철회다. 성능 수치는 개선됐지만, 보안 수치는 틀렸던 것이다.

이 순서 자체가 흥미로운 지점이다. 엔시린(enshrined)된 L1 zkEVM에서 처리량이 제약 요인이었던 적은 없다. 12초짜리 블록을 증명하는 데 16분이 걸리는 증명 시스템은 합의에 쓸 수 없으므로 지연 시간부터 줄여야 했고, zkVM 팀들은 이를 빠르게 달성했다. 하지만 이더리움 밸리데이터가 트랜잭션 재실행을 멈추고 증명을 받아들이기 시작하면, 증명 시스템이 곧 무엇이 참인지를 결정하는 주체가 된다. 그런 환경에서의 라이브니스(liveness) 실패는 슬롯 하나를 놓치는 것으로 끝난다. 하지만 사운드니스(soundness) 실패는 일어난 적 없는 상태 전환을 합의가 받아들인다는 뜻이다. 토큰이 무에서 발행되고, 잔고가 조작되고, 브릿지가 비워지는데, 이를 걸러낼 재실행 레이어가 그 아래 더 이상 존재하지 않는다.

그래서 재단의 2026년 로드맵은 성능 스프린트가 아니라 보안 스프린트다. 산출물은 soundcalc라는 채점 도구, Glamsterdam 포크까지 600 KiB 미만 증명으로 달성하는 100비트 입증 가능 보안, 그리고 2026년 말까지 300 KiB 미만 증명과 형식적 사운드니스 논증을 갖춘 128비트다. 여기서 무게가 실리는 단어는 “추측된(conjectured)“과 구분되는 “입증 가능한(provable)“이며, 이 구분이 중요한 이유는 바로 그 추측들이 이미 한 번 틀렸음이 드러났기 때문이다.

실시간 증명이 넘어야 했던 벽

이 프로그램의 출발점이 된 2025년 7월 10일 재단 게시글은 실시간 증명을 방향성이 아니라 엄격한 수치 목록으로 정의했다. 메인넷 블록의 99%에 대해 10초 이내 증명 생성. 온프레미스 자본 지출 10만 달러 미만. 전력 소비 10kW 미만. 증명 크기 300 KiB 미만. 최소 128비트 보안, 단기적으로는 100비트를 바닥선으로 인정. 신뢰 설정(trusted setup) 없음, 완전 오픈소스 코드.

각 제약은 최종 상태의 어떤 속성과 대응된다. 10초 지연 예산이 존재하는 이유는 이더리움 슬롯 타임이 다음 블록이 생성된 후 도착하는 증명을 받아들일 여유를 허용하지 않기 때문이다. 10만 달러와 10kW 한도가 존재하는 이유는 재단이 증명 생성을 하이퍼스케일러가 아닌 운영자들도 접근 가능하게 유지하고 싶어서이며, 이는 검열 저항성에 대한 안전장치로 프레이밍된다. 소수의 대형 시설만이 제시간에 증명을 생성할 수 있다면, 그 시설들은 특정 블록에 대한 증명을 거부할 수 있다. 증명 크기 한도가 중요한 이유는 네트워크의 모든 밸리데이터가 증명을 다운로드하기 때문이다. 600 KiB짜리 객체가 한 슬롯 안에 모든 노드로 전파되는 것은 50 KiB짜리와는 전혀 다른 대역폭 문제다. 신뢰 설정의 부재는 이후 어떤 감사로도 제거할 수 없는 종류의 세레모니 리스크를 애초에 제거한다.

이 모든 것이 떠받치는 메커니즘은 **무상태 검증(stateless validation)**이다. 현재 이더리움 밸리데이터는 전체 상태를 보유하고, 블록 안의 모든 트랜잭션을 재실행해 제안자가 주장한 사후 상태 루트를 확인한다. 노드 하드웨어 요구사항이 가스 한도를 따라가는 이유, 그리고 가스 한도를 올리는 것이 논쟁거리가 되는 이유가 바로 이 재실행 때문이다. 무상태 검증 아래에서는 밸리데이터가 상태를 전혀 보유하지 않는다. 밸리데이터는 블록 하나, 그리고 블록 안의 트랜잭션들을 사전 상태 루트에 대해 실행하면 주장된 사후 상태 루트가 나온다는 것을 증명하는 축약 증명(succinct proof)을 받아서 그 증명만 검증하면 된다. 검증은 저렴하고 증명 대상 연산 규모와 거의 무관하게 일정하다. 반면 증명 생성은 비용이 크고 연산 규모에 비례해 늘어난다.

이 비대칭성이 가스 한도 여유 논쟁의 출발점이다. 밸리데이터가 재실행 대신 검증만 한다면, 블록이 10배 커져도 밸리데이터 입장에서 비용이 10배로 늘지 않는다. 비용이 늘어나는 쪽은 증명을 생성하는 측이다. 재단이 제시한 순서는 여기서 바로 도출된다. 먼저 밸리데이터들이 통상적인 재실행과 함께 선택적으로 무상태 ZK 클라이언트를 돌린다. 스테이킹된 지분 중 압도적 다수가 이에 익숙해지면, 가스 한도가 올라가 증명 검증만으로 속도를 따라갈 수 있는 수준이 된다. 모든 밸리데이터가 증명을 검증하게 되면, 그 증명들이 EXECUTE 프리컴파일에 공급되어 같은 메커니즘이 롤업까지 확장된다.

이 생태계가 진행 상황을 측정하는 데 쓰는 공개 추적 도구인 Ethproofs는 이 경로를 다섯 단계로 제시한다. 성능 스프린트, 보안 스프린트, 지연 증명(delayed proving), 필수 증명(mandatory proving), 엔시린 증명(enshrined proofs)이다. 본 분석이 바탕으로 삼은 스냅샷 시점 기준으로 성능 스프린트는 완료로 표시되어 있고, 현재 단계는 100비트와 600 KiB 목표를 향해가는 보안 스프린트다. 나머지 세 단계는 아직 시작되지 않았다.

”99%의 블록”과 트래커 수치 사이의 간극

재단이 말하는 “99%의 블록을 10초 이내에”와 Ethproofs의 실제 코호트 데이터는 같은 시스템을 다른 각도에서 설명하고 있고, 그 둘 사이의 간극이 바로 남은 엔지니어링 과제가 있는 지점이다.

Ethproofs의 집계 수치를 보면, 추적된 502,520개 블록 슬롯 중 프루버가 10초 이내에 증명을 생성한 비율은 70.2%다. 이는 명시된 중간 목표치인 70%를 가까스로 넘는 수준이다. 나머지는 대부분 느린 증명이 아니라 아예 부재다. 슬롯의 26.2%는 프루버가 오프라인 상태로 기록됐고, 3.36%는 “정지(stunned)”, 0.22%는 “마비(paralyzed)” 상태였다. 증명이 완료된 경우만 따지면, 그중 95.4%가 적격 시간 범위 안에 들어왔다.

70.2%라는 무조건부 수치와 95.4%라는 조건부 수치, 이 둘이 말해주는 바는 구체적이다. 증명 시스템 자체는 빠르다. 그 주변의 운영 체계가 아직 안정적이지 않다. GPU 클러스터에서 실험적 zkVM을 돌리는 연구 코호트라면 다운타임이 있을 수밖에 없고, 슬롯의 4분의 1이 오프라인이라는 사실을 기반 암호학 자체에 대한 평가로 읽어서는 안 된다. 하지만 재단의 로드맵은 결국 필수 증명 단계에 도달하게 되는데, 그 단계에서는 증명 누락이 대시보드상의 공백이 아니라 합의에 영향을 미치는 사건이 된다. 그 단계가 설득력을 가지려면 오프라인 비율이 거의 0에 수렴해야 하는데, 이는 성능 스프린트의 헤드라인 수치가 다루지 않는 변수다.

프루버 다양성도 비슷한 양상을 보인다. 실시간 증명 코호트에서 평가된 열 개 프루버 중 주간 적격 기준을 충족하는 것은 세 개뿐이다. Zisk가 69%, Axiom이 58%, zkDTVM이 8%다. 나머지, Pico, Airbender 계열, Succinct, Ziren은 모두 0%다. 이는 움직이는 목표에 대한 한 시점의 스냅샷이고, 그중 몇몇 팀은 수 주 내에 기준을 넘길 가능성이 충분히 있다. 하지만 지금 네트워크가 가진 구성은 바로 이 모습이며, 이는 다음 섹션과 직결된다. 재단이 사운드니스 실패에 대한 방어책으로 제시하는 것이 바로 다양성이기 때문이다.

한편 비용은 2년 전 거의 누구도 예상하지 못했을 수준까지 떨어졌다. 상위권 프루버들은 건당 0.0031달러에서 0.0063달러 수준의 비용을 보고하고 있으며, 이는 NVIDIA 5090 GPU 4개에서 16개로 구성된 클러스터에서 달성된 수치다. 이더리움 블록 하나를 증명하는 데 1센트의 3분의 1이 드는 것은 블록 보상 대비 반올림 오차 수준이 아니라 아예 고려할 필요조차 없는 수준이다. 이 가격이 완전 부담 전력비, 감가상각, 이중화, 운영자 마진까지 포함한 경쟁 시장에서도 살아남을지는 별개의 문제이며, 연구 코호트의 경제성은 시장 경제성이 아니다.

사운드니스 실패가 다른 범주의 문제인 이유

모든 분산 시스템은 라이브니스와 안전성(safety)을 구분하며, 이 구분은 보통 하나를 더 얻기 위해 다른 하나를 덜 얻는 트레이드오프로 귀결된다. 엔시린된 L1 zkEVM은 이 트레이드오프를 극도로 비대칭적으로 만든다.

증명 레이어에서의 라이브니스 실패는 한 블록에 대해 슬롯 안에 유효한 증명이 도착하지 않는다는 뜻이다. 제안된 설계 하에서는 이는 감당 가능한 수준이다. 선택적 단계와 지연 단계에서는 네트워크가 재실행으로 돌아갈 수 있고, 어테스터(attester)는 증명되지 않은 블록 위에 블록을 쌓기를 거부할 수 있으며, 증명을 생성하기로 되어 있던 측이 반복적으로 실패할 경우 비용이 커지도록 페널티를 설계할 수 있다. 피해는 슬롯 누락과 파이널리티 지연으로 측정된다.

사운드니스 실패는 증명 시스템이 거짓인 상태 전환에 대한 증명을 받아들인다는 뜻이다. 밸리데이터들이 재실행을 멈춘 상태라면, 스택 안의 다른 어떤 것도 이를 검사하지 않는다. 재단 스스로도 이것이 무엇을 가능하게 하는지에 대해 분명하게 말한다. 토큰 발행, 상태 조작, 자금 탈취. 이를 진행 중에 포착할 체인 중단 같은 안전장치는 존재하지 않는다. 합의의 관점에서는 아무런 비정상도 일어나지 않았기 때문이다. 위조된 상태가 곧 정규(canonical) 상태가 된다.

이것이 제안된 롤아웃에서 어떤 단일 zkVM도 신뢰받는 위치에 놓이지 않는 이유다. 재단의 설계에서 무상태 ZK 클라이언트는 서로 독립적으로 구현된 여러 zkVM의 증명을 검증하며, 각 zkVM은 서로 다른 EVM 구현을 대상으로 증명을 생성한다. 예시로는 세 개가 제시된다. 밸리데이터는 이 모든 증명이 검증될 때만 블록을 받아들인다. 비유는 명확하다. 이는 클라이언트 다양성을 한 레이어 아래로 끌어내린 것이다. 단일 zkVM의 사운드니스 버그는 탈취가 아니라 라이브니스 문제가 된다. 다른 검증기들이 위조된 증명을 거부하고, 그 블록은 증명(attestation)을 받지 못하기 때문이다.

이 논리의 약점은 클라이언트 다양성 자체를 괴롭혀온 약점과 동일하다. 심층 방어(defense in depth)는 각 구현이 독립적으로 실패할 때만 작동한다. 같은 다항식 커밋먼트 방식 위에 구축되고, 같은 사운드니스 추측에 의존하며, 겹치는 툴체인으로 컴파일되고, 같은 EVM 스펙을 대상으로 하는 두 개의 zkVM은 오류를 잡아낼 세 번의 독립적 기회를 제공하지 않는다. 세 번처럼 꾸며진 한 번의 기회를 제공할 뿐이다. 코호트 데이터가 이를 구체적으로 보여준다. 특정 시점에 적격 기준을 넘는 구현이 세 개뿐이라면, 밸리데이터가 실제로 활용할 수 있는 다양성은 바로 그 세 개뿐이며, 그 셋 사이의 상관 구조는 Ethproofs 대시보드가 측정하는 항목이 아니다.

명목상의 다양성이 다른 이름을 단 집중으로 귀결되는 실패 양상이야말로 여기서 주시해야 할 지점이며, 이는 트래커에 항목을 더 추가한다고 해결되지 않는다.

입증된 비트 수와 추측된 비트 수

사운드니스 문제에 대한 재단의 답은 자체 보고된 보안 수준을 더 이상 받아들이지 않고 공통 기준에 맞춰 채점하는 것이다. 그 기준이 soundcalc다. 현재의 암호학적 경계값과 증명 시스템의 파라미터를 바탕으로 zkVM의 보안 수준을 비트 단위로 추정하는 도구다. 참여 팀들의 통합 목표 시점은 2026년 2월 말이었고, 점수는 성능, 라이브니스, 비용 수치와 함께 Ethproofs에 공개될 예정이다.

공개 요구사항이 아니라 도구가 필요했던 이유는 STARK 보안 논증이 자주 추측을 전제로 파라미터화되기 때문이다. 증명 시스템 설계자는 기반 코드나 커밋먼트 방식의 거동에 대한 특정 추측이 성립한다는 전제 하에 목표 보안 수준을 달성할 파라미터를 선택하고, 그 목표치를 발표하며, 그 숫자가 유통된다. “추측 C 하에서 안전함”과 “안전함” 사이의 간극은 한 줄짜리 100비트 주장에는 드러나지 않는다.

12월 게시글에 따르면, 그런 기반 추측 중 최소 하나는 수학적으로 반증되었다. 그 결과는 학술적인 수준에 그치지 않는다. 반증된 추측 하에서 100비트를 표방하던 시스템이, 실제로 입증된 것만 놓고 채점하면 80비트에 가까운 수준을 제공할 수 있다. 80비트의 사운드니스가 의욕적인 공격자가 GPU 하나로 당장 깨뜨릴 수 있는 수준은 아니지만, 결제 레이어를 지키기에는 틀린 숫자이고, 주장이 이미 공표된 이후에야 발견되었다는 점에서도 틀린 타이밍이다.

이어지는 로드맵은 구체적이다. 2026년 5월 말로 예정된 Glamsterdam 포크까지, 참여 zkVM들은 600 KiB 이하 증명으로 100비트의 입증 가능한 보안을 달성해야 한다. 2026년 말까지는, H-star라는 명칭 아래 128비트를 300 KiB 이하 증명으로, 그리고 형식적 사운드니스 논증과 함께 달성하는 것이 목표다.

이 두 목표는 서로를 끌어당긴다. STARK에서 보안 마진은 상당 부분 반복(repetition)에서 나오고, 반복은 증명 크기를 키운다. 600 KiB짜리 100비트에서 300 KiB짜리 128비트로 가려면 구성 자체의 바이트당 보안 수준을 개선해야 하며, 이것이 바로 글이 새로운 장치들을 가리키는 이유다. 커밋먼트 방식으로서의 WHIR, JaggedPCS, 그리고 실행 트레이스와 밸리데이터가 다운로드하는 최종 객체 사이에 놓이는 증명 압축 레이어 수를 바꾸는 재구성된 재귀 아키텍처들이다. 이들은 활발히 연구되고 있는 방향이고 연구 단계 특유의 리스크를 안고 있으며, 일정은 이것들이 제대로 작동한다는 전제 하에 짜여 있다.

비트 수가 다루지 않는 것

soundcalc를 설명하는 출처들은 그것이 무엇을 추정하는지는 명시하지만 무엇을 빠뜨리는지는 밝히지 않는다. 그리고 바로 그 빠진 부분이야말로 이 분야에서 실제로 피해를 일으켜온 지점이다.

암호학적 경계값과 증명 시스템 파라미터에서 도출된 사운드니스 점수는 종이 위의 프로토콜에 대한 진술이다. 그것은 기반 난해성 가정을 깨뜨릴 수 없는 공격자가 거짓 명제에 대한 증명을 어떤 확률 이상으로 위조할 수 없다는 것을 말해준다. 하지만 입수 가능한 출처가 뒷받침하는 범위 내에서, 회로가 EVM의 의미론을 충실히 인코딩하고 있는지, 제약 시스템이 과소 제약되어 유효하지 않은 증인(witness)이 제약을 만족시킬 수 있는지, 증인 생성기가 제약이 제대로 고정하지 못하는 값을 생성하는지, 고수준 회로 설명을 제약으로 번역하는 컴파일러가 발산을 일으키는지는 이 점수가 다루지 않는다.

이런 것들이 실제 zkEVM 사고를 일으켜온 버그 유형이다. 수학적으로 흠잡을 데 없는 128비트 사운드니스 논증을 갖춘 시스템이, 단 하나의 옵코드의 제약 집합이 금지해야 할 값을 허용한다는 이유로 위조된 증명을 받아들일 수 있다. 재단의 7월 게시글은 더 넓은 요구사항을 인정하며, 형식 검증, 감사, 버그 바운티가 시간이 지나며 필요하다고 명시한다. 이는 재단 스스로도 비트 수만으로는 충분하지 않다고 본다는 뜻이다. 하지만 공개 스코어보드에는 비트 단위의 숫자가 표시될 것이고, 대시보드 위의 숫자는 결국 사람들이 인용하는 대상이 되기 마련이다.

soundcalc의 범위가 구현 수준의 정확성까지 포괄하도록 의도된 것인지, 아니면 별도의 검증 트랙이 이를 다루는지는 입수 가능한 출처만으로는 확인할 수 없었다. 이 점수가 단계 전환의 기준이 되기 전에 해소되어야 할 간극이다.

EXECUTE와 네이티브 롤업 경로

이 프로그램의 세 번째 줄기는 이미 출시된 시스템이 아니라 설계 제안이다. 2025년 1월 ethresear.ch에 게시된 저스틴 드레이크(Justin Drake)의 네이티브 롤업 글은 L1 실행 검증을 모든 컨트랙트가 호출할 수 있는 프리미티브로 노출하는 EXECUTE 프리컴파일을 설명한다.

이 프리컴파일은 사전 상태 루트, 사후 상태 루트, 트랜잭션 트레이스, 가스량을 입력받아, 해당 트레이스를 사전 상태에 적용해 가스 한도 내에서 사후 상태가 나오는지를 반환한다. 밸리데이터가 이 답을 어떻게 확인하는지는 합의 계층에서 의도적으로 명시되지 않는다. 밸리데이터는 트레이스를 직접 재실행할 수도 있고, 같은 명제를 증명하는 SNARK를 검증할 수도 있다. 어떤 증명 시스템도 프로토콜에 엔시린되지 않는다. 스테이킹 운영자는 오늘날 실행 클라이언트를 선택하듯이 자신만의 zkEL 검증 클라이언트를 선택하며, 이는 프로토콜 상수가 아니라 주관적인 로컬 결정이다.

가스 산정 방식은 이 프리미티브를 계측 가능하게 만들도록 설계되어 있다. 호출 비용은 고정된 EXECUTE_GAS_COST에, EXECUTE에만 적용되는 EIP-1559 방식의 계측된 가격을 곱한 내부 실행 가스 사용량을 더한 값이며, 한 블록 안의 모든 이런 호출에 대해 별도의 누적 한도와 목표치가 존재한다. 호출이 false를 반환하더라도 가스는 전액 과금되는데, 이는 저렴하게 유효하지 않은 트레이스를 제출해 괴롭히는 명백한 공격 벡터를 제거한다.

네이티브 롤업은 EXECUTE를 파생 함수(derivation function) 안에 감싼 컨트랙트다. 이 파생 함수가 시퀀싱, 브릿징, 강제 포함(forced inclusion), 거버넌스를 처리하는 로직이다. 이제 롤업의 상태 전환 정확성은 롤업 스스로가 자신에게 증명하는 것이 아니다. L1 밸리데이터가 L1 블록을 검증하는 과정의 일부로서 검사하는 대상이 된다. 이것이 롤업의 공격 표면에서 제거하는 것은 상당하다. 잘못될 수 있는 커스텀 SNARK 회로가 없고, 챌린지 기간과 본딩 가정을 가진 사기 증명(fraud proof) 게임도 없으며, 두 방식 모두에 있던 버그의 백스톱 역할을 하던 보안 위원회가 업그레이드 키를 쥐고 있을 필요도 없어진다. 롤업은 설계상 EVM 동등성을 유지하며, L1 하드포크를 자동으로 상속받는다. EXECUTE가 강제하는 의미론이 곧 그 시점의 L1 실행이 의미하는 바이기 때문이다.

시간 처리 메커니즘이 까다로운 부분이다. 제안서는 1슬롯 지연 실행을 제시한다. 블록 n+1이 빌딩되는 동안 프루버들이 블록 n에 대한 증명을 생성할 수 있도록 한 슬롯 전체를 부여하고, 어테스터는 블록 n에 대한 증명이 확보되어 있는지를 조건으로 블록 n+1에 대한 어테스테이션 여부를 결정한다. 슬롯 누락에 대한 페널티는 약 1 ETH 수준으로 예시되어 있다. 라이트 클라이언트의 라이브니스는 이타적 소수 프루버 가정에 의존한다. 즉 한계 경제성이 박하더라도 최소한 일부 프루버는 계속 증명을 생성할 것이라는 가정이다.

드레이크의 글은 또한 낙관적(optimistic) 네이티브 롤업이 EXECUTE_CUMULATIVE_GAS_LIMIT를 훨씬 상회하는 가스 한도로 운영될 수 있다고 지적한다. 낙관적 방식에서는 모든 블록을 검증하기 위해서가 아니라 분쟁 대상이 된 작은 구간에 대한 챌린지를 해결하기 위해서만 EXECUTE가 호출되기 때문이다. 이는 처리량 측면에서 중요하다. ZK 경로의 비용은 L1이 계측할 의향이 있는 범위로 제한되는 반면, 낙관적 경로는 EXECUTE를 결제 오라클로 사용하며 비용은 분쟁이 발생했을 때만 지불한다.

이 중 어느 것도 아직 출시되지 않았다. 이 글은 2025년 1월 시점의 설계 스케치이고, 예시로 든 파라미터이며, 페널티 규모, 지연 구조, 가스 상수는 모두 자리 표시자(placeholder)다. 이 로드맵에 관한 논의에서는 2026년 3월에 개념 증명 시연이 있었다고 언급되지만, 여기서 활용 가능한 출처들은 그 범위나 결과를 문서화하지 않고 있으며, 본 분석은 이를 미확인으로 취급한다. 프리컴파일의 작동 시연과 합의 레이어 통합, 수수료 시장 조정, 한 슬롯 안에 결과 증명을 검증할 수 있는 클라이언트 생태계 사이에는 아직 긴 거리가 있다.

L2 스택에 남는 것

네이티브 롤업이 실제로 도입된다면, 그것이 무용지물로 만드는 것은 롤업이라는 범주 전체가 아니라 롤업 스택 중 특정 레이어다.

사라지는 것은 각 롤업이 자체적으로 갖추던 보안 장치다. 상태 전환을 EXECUTE를 통해 처리하는 롤업은 더 이상 자체 프루버, 자체 회로, 자체 검증 컨트랙트, 그리고 이것들이 고장 났을 때 패치하기 위해 존재하는 거버넌스 구조를 유지할 필요가 없다. 사실상 “증명 시스템에 버그가 생기면 어떻게 되는가”에 대한 현실적 답인 보안 위원회도 키를 쥐고 있을 이유를 잃는다. EVM 동등성과 더 낮은 수수료를 차별점으로 삼는 팀들에게 이는 엔지니어링 예산의 대부분, 그리고 현재 사용자들에게 요구하는 신뢰 가정의 대부분에 해당한다.

사라지지 않는 것은 상태 전환 함수 위에 쌓인 모든 것이다. 여전히 누군가는 트랜잭션 순서를 정해야 하고, 시퀀싱 권한은 오늘날 대부분의 롤업에게 주된 수익원으로 남아 있다. 여전히 누군가는 데이터를 게시해야 하고, 블롭 수수료는 EXECUTE가 전혀 줄여주지 않는 실제 비용으로 남는다. 파생 함수는 여전히 강제 포함을 제대로 처리해야 하며, 롤업의 검열 저항성이 실제로 거기 달려 있고, 이를 잘못 설계하면 여전히 사용자 자금을 잃을 수 있는 방법이 된다. 브릿징 로직도 여전히 작성되어야 하고 여전히 맞아야 한다.

그리고 네이티브 롤업은 정의상 EVM 동등이어야 하므로, 이것이 누구에게 적용되는지를 제한한다. EVM이 아닌 가상 머신, 변형된 가스 스케줄, 의미론이 달라진 네이티브 계정 추상화, 혹은 L1 실행과 다른 그 밖의 무언가를 쓰는 롤업은 L1 실행을 강제하는 프리컴파일을 경유할 수 없다. 그런 시스템들에게 EXECUTE는 업그레이드 경로가 아니라, 두 방식이 겹치는 영역에서 더 나은 보안 서사를 가진 경쟁자다.

L2 거버넌스 토큰에 대한 정직한 입장은, 본 분석을 뒷받침하는 출처들에 시장, 거버넌스, 토큰 경제 데이터가 전혀 없으므로 가치평가 영향에 대한 어떤 주장도 지어낸 것에 불과하다는 점이다. 구조적으로 말할 수 있는 부분은 더 좁다. 보안 위원회를 임명하고 제약하는 것이 주된 기능인 거버넌스 토큰은 의사결정 과정에 대한 청구권이고, 네이티브 롤업은 바로 그 과정이 존재하는 이유인 의사결정 자체를 제거하도록 설계되어 있다. 시퀀싱 권한, 수수료 포착, 생태계 조정이 기능인 토큰들은 EXECUTE가 건드리지 않는 기능에 묶여 있다. 두 경우의 구분이 봐야 할 지점이며, 이는 범주 전체에 일반화되는 것이 아니라 각 스택에 특수한 문제다.

마이그레이션 역시 공짜가 아니다. 수십억 달러 규모의 브릿지된 자산을 가진 운영 중인 롤업이 새로운 상태 전환 검증 경로로 이전한다는 것은 브릿지 업그레이드를 실행한다는 뜻이고, 이는 이 업계에서 가장 위험도 높은 작업이다. 팀들은 설계가 우아해서가 아니라, 대안을 쓰는 게 민망해질 때 비로소 움직일 것이다.

증명 생성의 집중과 홈 밸리데이터

2025년 7월 게시글의 검열 저항성 논리는 홈 증명 생성이 계속 실행 가능한 상태로 남는다는 전제에 의존하며, 10만 달러와 10kW 목표치가 존재하는 이유도 바로 그 때문이다. 산업용 운영자만 진입할 수 있는 증명 시장은 소수의 당사자가 특정 블록에 대한 증명을 거부할 수 있는 시장이고, 필수 증명 단계 아래에서는 이것이 거부권(veto)이 된다.

혼동되기 쉬운 두 가지 역할을 구분할 필요가 있다. 검증은 저렴하다. 세 개의 증명을 확인하는 무상태 밸리데이터는 GPU 클러스터가 필요 없으며, 무상태 검증 아래에서 홈 밸리데이터가 짊어지는 하드웨어 부담은 오늘날보다 오히려 낮을 가능성이 있다. 전체 상태를 보유하고 재실행하는 것이 비용이 큰 부분이기 때문이다. 집중 리스크가 존재하는 곳은 증명 생성 쪽이다. 현재 비용 수치, 즉 건당 1센트의 3분의 1에서 5분의 3 수준은 고성능 GPU 4개에서 16개로 이뤄진 클러스터에서 달성된 것이다. 이는 자본력 있는 개인에게는 도달 가능하고 기업에게는 쉽게 도달 가능하지만, 노트북 수준은 아니며, 건당 1센트 미만이라는 숫자가 인상적인 것은 그 뒤에 있는 자본 규모를 전제로 할 때뿐이다.

코호트 구성이 이 점을 강화한다. 평가된 열 개 중 적격 프루버가 세 개라는 것은 시장이 아니라 연구 그룹이다. 이 비율이 일곱 개 팀이 한창 최적화 중인 초기 단계를 반영하는 것인지, 아니면 증명 생성에 규모의 경제가 작동해 소규모 운영자를 밀어내는 구조적 결과인지는 특정 시점의 스냅샷만으로는 답할 수 없다. 두 해석 모두 데이터와 모순되지 않는다. 적격 기준을 통과하는 운영자들의 하드웨어 공급망, 전력비 노출도, 지리적 분포는 어디에서도 추적되는 것을 찾지 못했다.

같은 불확실성이 가장 구체적이고 사용자 체감적인 혜택인 가스 한도 논의에도 적용된다. 계획은 스테이킹된 지분의 압도적 다수가 ZK 클라이언트를 무리 없이 운영하게 되면 L1 가스 한도를 올리는 것이다. 무상태 검증이 실제로 밸리데이터 비용과 가스 한도를 분리해낸다면, 이는 크고 지속적인 이득이다. 하지만 이 제안은 증명 생성 용량이 가스 한도에 맞춰 감당 가능한 비용으로 확장된다는 것을 전제하며, 증명 비용은 증명 대상 연산량에 비례해 늘어난다. 가스 한도가 10배 늘면 같은 슬롯 안에서 증명해야 할 트레이스도 10배 커진다. 현재의 비용 수치는 오늘날의 가스 한도에 맞춘 블록들에 대한 것이다.

무엇이 관찰 가능해져야 하는가

성능 스프린트는 제3자가 공개 대시보드에서 확인할 수 있는 수치들을 만들어냈고, 이는 대부분의 인프라 로드맵이 제공하는 것보다 많다. 보안 스프린트는 외부에서 감사하기가 더 어렵다. 입증 가능 보안 점수는 대부분의 독자가 그 정확성을 평가할 수 없는 증명에 대한 진술이고, 가장 위험한 버그 유형들은 그 점수가 다루지 않는 것으로 보이기 때문이다.

몇 가지가 또 다른 지연 시간 개선보다 이 프로그램의 신뢰성을 더 크게 움직일 것이다.

• 각 프루버별 soundcalc 점수가 어떤 시스템이 어떤 추측에 의존하는지, 의존하지 않는지를 명시한 채로 Ethproofs에 공개되는 것. 그래야 세 개의 적격 프루버가 서로 독립적인 세 가지 실패 양상을 대표하는지, 아니면 하나뿐인지 독자가 판단할 수 있다.
• 추적된 슬롯 전체의 오프라인 비율이 현재의 ~26%에서, 증명 누락이 대시보드상의 공백이 아니라 합의에 영향을 미치는 사건이 되는 필수 증명 단계를 버텨낼 만한 수준까지 떨어지는 것.
• 각 단계 전환에 대한 공개되고 수치화된 임계값. 지연 증명에서 필수 증명, 엔시린 증명으로 이어지는 순서는 현재 단계 이름으로만 설명될 뿐, 진전에 필요한 지분 비율, 독립적으로 검증된 구현의 수, 또는 지속적인 신뢰성 수치로는 설명되지 않고 있다.
• 엔시린된 시스템에서 사운드니스 실패가 발생했을 때 어떻게 되는지에 대한 답. 위조된 증명이 토큰을 발행하고 합의가 이를 받아들인다면, 복구 경로는 소셜 레이어 포크다. 이는 이더리움이 항상 가지고 있던 답과 같지만, 그 트리거가 눈에 보이는 익스플로잇이 아니라 암호학적 버그일 때는 훨씬 더 불편한 답이 된다.

2026년의 이정표들, 즉 2월까지의 soundcalc 통합, 5월 Glamsterdam까지 600 KiB에서 100비트, 연말까지 300 KiB에서 128비트와 형식적 사운드니스 논증은 재단이 스스로 설정한 목표이며, 보안 스프린트를 현재 단계로 계속 표시하고 있는 Ethproofs의 단계 표시기만이 여기서 확인 가능한 유일한 독립적 상태 신호다. 이 날짜들이 지켜졌는지는 본 분석의 근거가 된 출처들로는 확인되지 않는다.

확인된 것은 난이도의 순서다. 16분에서 16초로 가는 데는 명확한 지표와 공개 리더보드를 가진 팀들의 18개월에 걸친 집중적 엔지니어링이 필요했다. 추측된 100비트에서 입증된 128비트로 가려면 새로운 암호학이 실제로 작동해야 하고, 새로운 제약 시스템이 정확해야 하며, 측정 기준이 역사적으로 실제 실패를 일으켜온 버그 유형들을, 가장 측정하기 쉬운 버그 유형이 아니라, 포괄해야 한다.

참고 자료

• Shipping an L1 zkEVM #1: Realtime Proving, Ethereum Foundation, 2025년 7월
• Shipping an L1 zkEVM #2: The Security Foundations, Ethereum Foundation, 2025년 12월
• Ethproofs, 실시간 프루버 트래커
• Native rollups: superpowers from L1 execution, Justin Drake, ethresear.ch, 2025년 1월