Vitalik 신규 글: 이더리움의 가능한 미래, 더 머지

2024.10.15

Vitalik 신규 글: 이더리움의 가능한 미래, 더 머지

스테이킹의 민주화, 빠른 거래 확인, 양자 공격에 대한 저항성... 이더리움의 미래는 어떻게 될 것인가?

2024.10.15 - 11:56:25

Vitalik以太坊

Web3 심층 보도에 집중하고 흐름을 통찰

스테이킹의 민주화, 빠른 거래 확인, 양자 공격에 대한 저항성... 이더리움의 미래는 어떻게 될 것인가?

작성: Vitalik Buterin

번역: Alex Liu, Foresight News

Justin Drake, Hsiao-wei Wang, @antonttc, Anders Elowsson 및 Francesco의 피드백과 리뷰에 특별히 감사드립니다.

처음에 "머지(the Merge)"란 이더리움 프로토콜 출시 이후 가장 중요한 사건으로, 오랫동안 기다려온 작업 증명(PoW)에서 지분 증명(PoS)으로의 전환을 의미했습니다. 이제 이더리움은 PoS 시스템으로서 거의 2년 가까이 안정적으로 운영되고 있으며, 이러한 PoS는 안정성, 성능, 중앙화 위험 회피 측면에서 매우 훌륭한 성과를 보여주고 있습니다. 그러나 여전히 PoS에는 개선이 필요한 중요한 영역들이 존재합니다.

제 2023년 로드맵에서는 이를 두 부분으로 나누었습니다: 안정성, 성능, 소규모 검증자 접근성과 같은 기술적 기능 개선, 그리고 중앙화 위험을 해결하기 위한 경제적 변화입니다. 전자는 'the Merge'라는 명칭을 계승했으며, 후자는 'the Scourge'의 일부가 되었습니다.

본 글은 'Merge' 부분에 초점을 맞춥니다. 지분 증명의 기술 설계는 어떤 점에서 더 개선될 수 있으며, 이를 달성할 수 있는 방법은 무엇인가요?

이는 지분 증명이 할 수 있는 모든 일을 포괄하는 목록이 아니라, 현재 활발히 고려되고 있는 아이디어들의 목록입니다.

단일 슬롯 최종성과 지분 민주화

어떤 문제를 해결하고자 하나요?

현재 블록 하나를 완전히 확정하려면 약 15분(2~3개 에포크)이 필요하며, 지분 참여자가 되기 위해서는 32 ETH가 필요합니다. 이것은 처음에 세 가지 목표 사이의 균형을 맞추기 위한 타협이었습니다:

지분에 참여할 수 있는 검증자의 수를 최대한 늘리는 것 (즉, 지분에 필요한 최소 ETH를 최소화하는 것)
최종성을 위한 시간을 최소화하는 것
노드 운영 비용을 최소화하는 것, 즉 모든 다른 검증자들의 서명을 다운로드하고 검증하며 재방송하는 비용

이 세 가지 목표는 서로 충돌합니다. 경제적 최종성이 가능하도록 하기 위해서는 (즉, 공격자가 많은 ETH를 소각해야만 확정된 블록을 되돌릴 수 있음) 매번 최종화가 발생할 때마다 모든 검증자가 두 개의 메시지를 서명해야 합니다. 따라서 검증자가 많다면, 그들의 서명을 처리하는 데 오랜 시간이 걸리거나, 동시에 모든 서명을 처리할 수 있을 만큼 강력한 노드가 필요하게 됩니다.

이 모든 것은 이더리움의 핵심 목표 하나에 종속됩니다: 성공적인 공격조차도 공격자에게 막대한 비용을 부과하도록 보장하는 것. 이것이 바로 '경제적 최종성(economic finality)'이라는 용어의 의미입니다. 만약 이 목표가 없다면, 우리는 각 블록을 확정하기 위해 무작위로 선출된 위원회를 사용함으로써 이 문제를 쉽게 해결할 수 있습니다. Algorand처럼 경제적 최종성을 추구하지 않는 체인들은 보통 이렇게 합니다. 하지만 이 방식의 문제점은 공격자가 검증자의 51%를 통제한다면, 매우 낮은 비용으로 공격(확정된 블록 복구, 검열 또는 최종성 지연)을 수행할 수 있다는 것입니다: 자신의 노드 중 일부만 제어하면 되기 때문입니다. 위원회 내에서 공격에 참여했다고 탐지되면 벌금(slashings)이나 사회적 조정을 통한 소프트 포크로 처벌받을 수 있지만, 이는 공격자가 해당 체인을 반복해서 공격하면서 매번 소량의 지분만 잃게 된다는 것을 의미합니다. 따라서 우리가 경제적 최종성을 원한다면, 위원회 기반의 단순한 방법은 통하지 않으며, 표면적으로는 모든 검증자의 참여가 실제로 필요해 보입니다.

이상적으로는 경제적 최종성을 유지하면서 다음 두 분야의 현황을 모두 개선하고 싶습니다:

단일 슬롯 내에서 블록을 확정하는 것 (이때 이상적으로는 현재 12초 길이를 유지하거나 줄이는 것이 좋음), 15분이 아닌
검증자가 1 ETH로 지분에 참여할 수 있도록 하는 것 (32 ETH보다 적은)

첫 번째 목표는 두 가지 부수적 목적을 가지고 있으며, 이 둘 모두 "이더리움의 속성을 (더 중심화된) 성능 중심 L1 체인들과 일치시키는 것"으로 간주될 수 있습니다.

첫째, 모든 이더리움 사용자가 최종성 메커니즘을 통해 제공되는 더 높은 수준의 보안 혜택을 실제로 누릴 수 있도록 보장하는 것입니다. 오늘날 대부분의 사용자는 15분을 기다리는 것을 꺼려하기 때문에 그렇게 하지 않습니다. 단일 슬롯 최종성을 통해 사용자는 거래 확인 직후 거의 즉시 거래가 완료된 것을 확인할 수 있습니다. 둘째, 사용자와 애플리케이션이 체인 역전 가능성(비교적 드문 비활동 유출(inactivity leak) 상황을 제외하고)을 걱정할 필요가 없게 되면 프로토콜과 주변 인프라를 단순화할 수 있습니다.

두 번째 목표는 개별 지분 참여자(solo stakers)를 지원하기 위한 것입니다. 반복되는 여론 조사에서, 더 많은 사람들이 개별 지분에 참여하는 것을 막는 주요 요인은 32 ETH의 최소 한도라고 나타납니다. 이 최소 한도를 1 ETH로 줄이면 이 문제가 해결되며, 다른 요인이 개별 지분의 주요 제약 요인이 될 것입니다.

현재 다음과 같은 도전 과제가 존재합니다: 더 빠른 최종성과 더 민주화된 지분화라는 목표는 모두 운영 비용 최소화라는 목표와 충돌합니다. 사실상 이 사실이 우리가 처음부터 단일 슬롯 최종성을 시작하지 않은 전부입니다. 그러나 최근 연구들은 이 문제를 해결할 수 있는 몇 가지 가능한 경로를 제시하고 있습니다.

그것은 무엇이며 어떻게 작동하는가?

단일 슬롯 최종성은 하나의 슬롯 내에서 블록을 확정하는 합의 알고리즘을 사용하는 것을 포함합니다. 이 자체는 어려운 목표가 아닙니다. Tendermint 합의와 같은 많은 알고리즘이 이미 이를 수행하고 있습니다. 이더리움에 고유하게 요구되는 속성은 비활동 유출인데, Tendermint는 이를 지원하지 않으며, 검증자의 1/3 이상이 오프라인 상태여도 체인이 계속 실행되고 결국 회복될 수 있게 해줍니다. 다행히도 이는 이미 해결되었습니다: 이미 제안된 바에 따르면 Tendermint 스타일의 합의를 비활동 유출에 맞게 수정할 수 있습니다.

선도적인 단일 슬롯 최종성 제안

더 어려운 부분은 단일 슬롯 최종성과 동시에 매우 많은 수의 검증자를 함께 사용하면서도 노드 운영자의 과도한 비용을 유발하지 않고 작동하는 방법을 찾는 것입니다. 이를 위해 몇 가지 주요 해결책이 있습니다:

옵션 1: 폭력적 방식(Brute force) - ZK-SNARK 등을 사용하여, 각 슬롯 당 수백만 개의 검증자 서명을 실제로 처리할 수 있게 하는 더 나은 서명 집계 프로토콜을 개발하는 데 집중합니다.

Horn, 더 나은 집계 프로토콜을 위한 디자인 중 하나

옵션 2: 궤도 위원회(Orbit committees) — 무작위로 선택된 중간 규모의 위원회가 체인 확정을 담당하도록 허용하지만, 우리가 원하는 공격 비용 속성을 유지하는 방식의 새로운 메커니즘.

Orbit SSF를 생각하는 한 가지 방법은, x=0(Algorand 스타일의 위원회, 경제적 종결 없음)에서 x=1(이더리움 현재 상태)까지의 두 가지 옵션 간의 타협 공간을 열어주는 것으로, 중간에 "이더리움은 여전히 충분한 경제적 최종성을 가지므로 매우 안전하지만, 동시에 효율성 이점을 얻기 위해 각 슬롯마다 중간 규모의 무작위 검증자 샘플만 필요하다"는 지점을 설정하는 것입니다.

Orbit은 검증자 예치금 규모에 사전 존재하는 이질성을 활용하여 가능한 한 많은 경제적 최종성을 얻으면서도 소규모 검증자에게 적절한 역할을 부여합니다. 또한 Orbit은 느린 위원회 교체를 사용하여 인접한 정족수(quorums) 사이에 높은 중복성을 보장함으로써 위원회 전환이 이루어지는 경계에서도 경제적 최종성이 유지되도록 합니다.

옵션 3: 두 단계 지분화(Two-tier staking) — 높은 예치금 요구사항을 갖는 하나의 유형과 낮은 예치금 요구사항을 갖는 또 다른 유형의 두 가지 지분 참여자가 존재하는 메커니즘. 낮은 예치금 계층이 어떤 권리와 책임을 가져야 하는지에 대한 다양한 제안이 있습니다(예: 레인보우 지분(Rainbow staking) 게시글 참조). 공통적인 아이디어는 다음과 같습니다:
더 높은 계층의 지분 참여자에게 지분을 위임할 권리
각 블록을 증명하고 확정하기 위해 일부 무작위 저급 지분 참여자가 필요함
포함 리스트(inclusion lists) 생성 권리

기존 연구와의 연관성은 무엇인가?

단일 슬롯 최종성으로 가는 길 (2022): https://notes.ethereum.org/@vbuterin/single_slot_finality
이더리움을 위한 단일 슬롯 최종성 프로토콜에 대한 구체적인 제안 (2023): https://eprint.iacr.org/2023/280
Orbit SSF: https://ethresear.ch/t/orbit-ssf-solo-staking-friendly-validator-set-management-for-ssf/19928
Orbit 스타일 메커니즘에 대한 추가 분석: https://ethresear.ch/t/vorbit-ssf-with-circular-and-spiral-finality-validator-selection-and-distribution/20464
Horn, 서명 집계 프로토콜 (2022): https://ethresear.ch/t/horn-collecting-signatures-for-faster-finality/14219
대규모 합의를 위한 서명 병합 (2023): https://ethresear.ch/t/signature-merging-for-large-scale-consensus/17386?u=asn
Khovratovich 등이 제안한 서명 집계 프로토콜: https://hackmd.io/@7dpNYqjKQGeYC7wMlPxHtQ/BykM3ggu0#/
STARK 기반 서명 집계 (2022): https://hackmd.io/@vbuterin/stark_aggregation
레인보우 지분: https://ethresear.ch/t/unbundling-staking-towards-rainbow-staking/18683

어떤 작업이 더 필요하며, 어떤 트레이드오프가 존재하는가?

선택할 수 있는 네 가지 주요 경로가 있으며(혼합 경로도 가능합니다):

현상 유지
폭력적 SSF
Orbit SSF
두 단계 지분화가 있는 SSF

(1)은 아무 작업도 하지 않고 현 상태를 유지한다는 의미지만, 이는 이더리움의 보안 경험과 지분 중심화 속성을 더욱 악화시킵니다.

(2)는 고급 기술을 동원해 문제를 해결하는 방식입니다. 이를 실현하려면 짧은 시간(5-10초) 내에 대량의 서명(100만 개 이상)을 집계해야 합니다. 이 접근법을 설명하는 한 가지 방법은 시스템 복잡성을 최소화하기 위해 캡슐화된 복잡성을 전면 수용하는 것이라고 볼 수 있습니다.

(3)은 "고급 기술"을 피하고 프로토콜 가정에 대해 영리한 재고를 통해 문제를 해결합니다: 우리는 "경제적 최종성" 요구사항을 완화하여 공격 비용이 높게 만들되, 오늘날보다 10배 정도 낮은 수준(예: 250억 달러 대신 25억 달러)이라도 수용할 수 있게 합니다. 사람들은 일반적으로 오늘날의 이더리움 경제적 최종성이 필요 이상으로 지나치게 강력하며, 주요 보안 위험은 다른 곳에 있다고 생각하기 때문에, 이는 받아들일 수 있는 타협이라고 볼 수 있습니다.

주요 작업은 Orbit 메커니즘이 안전하고 우리가 원하는 속성을 가지는지 검증한 후 이를 완전히 형식화하고 구현하는 것입니다. 또한 EIP-7251(최대 유효 잔액 증가)는 자발적인 검증자 잔액 병합을 허용하여 체인 검증 오버헤드를 어느 정도 즉시 줄이며, Orbit 도입의 초기 단계 역할을 효과적으로 수행합니다.

(4)는 영리한 재고와 고급 기술을 모두 피하지만, 여전히 중심화 위험이 있는 두 단계 지분 시스템을 만듭니다. 위험은 낮은 지분 계층이 얻는 특정 권한에 크게 좌우됩니다. 예를 들어:

저급 지분 참여자가 자신의 증명 권한을 고급 지분 참여자에게 위임해야 한다면, 위임이 중심화될 수 있고, 결국 두 개의 고도로 중심화된 지분 계층을 갖게 됩니다.
각 블록 승인을 위해 낮은 계층의 무작위 표본이 필요하다면, 공격자는 매우 적은 양의 ETH를 소비하여 최종성을 차단할 수 있습니다.
저급 지분 참여자가 포함 리스트만 생성할 수 있다면, 증명 계층은 중심화 상태를 유지할 수 있으며, 이 경우 증명 계층에 대한 51% 공격은 포함 리스트를 독자적으로 검열할 수 있습니다.

여러 전략을 조합할 수도 있습니다. 예를 들어:

(1 + 2): 단일 슬롯 최종성을 추가하지 않고 Orbit을 도입

(1 + 3): 단일 슬롯 최종성을 추가하지 않고 최소 예치금 크기를 줄이기 위해 폭력적 기술을 사용. 필요한 집계량은 순수한 (3) 경우보다 64배 적으므로 문제가 더 쉬워집니다.

(2 + 3): 보수적인 파라미터(예: 8k 또는 32k 대신 128k 검증자 위원회)를 사용한 Orbit SSF와 기술적 효율성을 극대화하는 기술을 결합

(1 + 4): 단일 슬롯 최종성을 추가하지 않고 레인보우 지분을 도입

로드맵의 다른 부분과 어떻게 상호작용하는가?

단일 슬롯 최종성은 특정 유형의 멀티블록 MEV 공격 위험을 줄이는 것 외에도 다른 이점이 있습니다. 또한 단일 슬롯 최종성 세계에서는 증명자-제안자 분리 설계와 기타 프로토콜 내 블록 생산 파이프라인이 다르게 설계되어야 합니다.

폭력적 전략의 약점은 슬롯 시간을 줄이기 어렵게 만든다는 점입니다.