지캐시 세레모니(Zcash Ceremony)란? 신뢰 설정과 독성 폐기물

지캐시 세레모니(Zcash Ceremony) 는 지캐시의 비공개 거래를 가능하게 하는 zk-SNARK 파라미터를 서로 독립된 참가자들이 함께 만들고, 이어서 각자 가진 비밀 키 조각을 영구히 파기한 보안 의식입니다. 흔히 '신뢰 설정(Trusted Setup)'이라고도 부릅니다. 이 과정이 중요한 이유는 생성 중에 생기는 '독성 폐기물(toxic waste)'이라는 마스터 비밀 키가 잘못된 손에 들어가면, 공격자가 아무도 모르게 가짜 ZEC를 무한히 찍어 낼 수 있기 때문입니다. 역사상 두 차례 열린 이 의식은 지캐시 신뢰의 토대이며, 영지식 증명을 쓰는 블록체인 프로젝트들의 본보기로 여겨집니다.

세계 지도 위 서로 멀리 떨어진 여섯 참가자가 각자 키 조각을 파기하면서 가운데 공동 파라미터에 기여하는 모습을 보여 주는 그림

왜 의식이 필요했나요?

비트코인 소스 코드에서 포크된 지캐시는 거래의 유효성을 영지식 증명으로 입증해 보내는 사람, 받는 사람, 금액을 체인에서 숨깁니다. 하지만 이 프라이버시 계층이 작동하려면 네트워크 출범 시점에 '공개 파라미터'라는 암호학 상수를 만들어야 했습니다.

공개 파라미터를 만드는 일은 개인키를 만드는 것과 비슷합니다. 공개된 절반은 네트워크에 영원히 남고, 비밀인 절반은 즉시 없애야 합니다. 비밀 절반, 즉 독성 폐기물이 남아 있으면 다음과 같은 재앙이 가능해집니다.

계산 예시: 독성 폐기물의 위험

독성 폐기물이 유출되어 공격자가 아무도 모르게 하루 1,000,000 ZEC를 찍어 낸다고 가정하고, ZEC 가격을 50달러로 잡아 보겠습니다.

게다가 지캐시는 거래 금액을 숨기기 때문에 이 인플레이션은 전혀 보이지 않습니다. 2010년 8월 비트코인의 값 오버플로 버그 때는 1,840억 개의 가짜 BTC가 몇 시간 만에 발견됐는데, 비트코인 장부가 투명하기 때문이었습니다. 비공개 체인에서는 그런 경보가 울리지 않습니다. 지캐시 세레모니가 막으려 한 것이 바로 이 시나리오입니다.

투명 체인과 비공개 체인에서 가짜 거래 탐지를 비교한 두 칸 인포그래픽

다자간 계산: 의식은 어떻게 진행됐나요?

의식의 기술적 바탕은 다자간 계산(MPC, Multi-Party Computation) 입니다. 거래 승인에 여러 서명을 요구하는 멀티시그의 논리를 파라미터 생성에 적용한 것이라고 보면 됩니다. 2016년 10월 첫 의식은 다음 순서로 진행됐습니다.

1. 조각 생성: 여섯 참가자가 서로 독립된 환경에서 각자의 키 조각을 만들었습니다.
2. 공개 결합: 공개 조각을 모아 지캐시의 최종 파라미터를 얻었습니다.
3. 비밀 파기: 참가자마다 자신의 비밀 조각을 되돌릴 수 없게 지웠습니다.

보안 보장은 수학적으로 깔끔합니다. 독성 폐기물은 모든 참가자가 비밀 조각을 남겨 두고 함께 공모해야만 다시 만들 수 있습니다. 단 한 명이라도 정직하게 조각을 파기했다면 재구성은 영구히 불가능합니다. 2016년 참가자 중 다섯 명은 공개되었고, 여섯 번째는 지금까지 익명으로 남아 있습니다.

3중 방어 구조

MPC만으로는 충분하지 않다고 보고, 의식은 세 겹의 보안을 동시에 적용했습니다.

에어갭은 어떻게 만들었나요?

비밀 키 연산을 맡은 '연산 노드(Compute Node)'는 의식을 위해 새로 산 컴퓨터로, 처음 켜기 전에 Wi-Fi와 블루투스 카드를 물리적으로 떼어 냈습니다. 네트워크에 닿을 물리적 경로가 없으니 원격 공격 표면은 사실상 0이 되었습니다.

증거 기록은 왜 중요했나요?

참가자들은 그래도 데이터를 주고받아야 했기 때문에 각자 인터넷에 연결된 '네트워크 노드(Network Node)'를 썼습니다. 들어온 메시지는 DVD-R에 구워 손으로 연산 노드에 옮겼습니다. DVD-R은 덧붙이기만 가능하고 덮어쓸 수 없는 매체라서, 에어갭을 넘은 모든 데이터에 대해 영구적이고 감사 가능한 기록이 남았습니다.

추가 강화 조치

1. 참가자 명단, 일정, 소스 코드를 의식이 끝날 때까지 비공개로 유지했습니다.
2. 모든 의식 코드는 메모리 안전성으로 알려진 Rust로 작성해 보안 강화 리눅스 빌드에서 실행했습니다.
3. 각 메시지의 안전한 해시 체인을 블록체인에 기록하고 Internet Archive에 올렸습니다.
4. 의식이 끝난 뒤 물리적 컴퓨터를 파괴해 RAM에서 데이터를 복구할 가능성까지 없앴습니다.

Powers of Tau: 두 번째 의식(2018)

2018년 1월 지캐시는 Powers of Tau라는 훨씬 큰 규모의 두 번째 의식을 열었습니다. 참가자는 6명에서 약 90명의 독립 개인과 단체로 늘었습니다.

이 확장의 수학적 의미는 큽니다. 90명 전원이 한꺼번에 공모해야 하므로 그 가능성은 천문학적으로 작습니다. Powers of Tau는 Overwinter와 Sapling 네트워크 업그레이드의 바탕도 마련했는데, 특히 Sapling은 모바일 지갑에서도 비공개 거래를 경제적으로 쓸 수 있게 하는 성능 개선을 가져왔습니다.

2016년 10월 첫 의식, 2018년 1월 Powers of Tau 의식과 참가자 수를 비교한 타임라인

신뢰 설정의 위험과 한계

• 신뢰 가정: 보안은 수학적이라기보다 확률적입니다. '정직한 참가자가 최소 한 명'이라는 조건은 6명이면 합리적이고 90명이면 거의 확실해 보이지만, 이론상 공모 위험이 0이 되지는 않습니다.
• 구현 오류: 코드의 취약점은 독성 폐기물과 무관하게 보안을 위협할 수 있습니다. 이런 오류는 의식이 아니라 보안 감사로 막습니다. 블록체인 보안 감사를 참고하세요.
• 차세대 기술: zk-STARK 같은 새 영지식 시스템은 신뢰 설정이 필요 없어, 일부 프라이버시 프로젝트는 의식 없는 구조를 택하고 있습니다.
• 일회성 이벤트: 파라미터는 한 번 만들어지고 이후 모든 거래가 여기에 의존합니다. 의식이 끝난 뒤 보안을 거슬러 올라가 시험할 방법은 없습니다.

핵심 정리

지캐시 세레모니는 암호 키 생성을 단순한 소프트웨어 작업이 아니라 물리적 세계에서 수행하는 보안 훈련으로 다뤘다는 점에서 암호화폐 역사상 가장 독특한 보안 사건으로 꼽힙니다. 하드웨어 파괴, 한 번만 기록되는 디스크, 신원 비공개는 모두 사회적·물리적·암호학적 방어를 겹겹이 쌓은 사례이며, 영지식 증명을 쓰는 많은 프로젝트가 참고하는 본보기가 되었습니다. 투자자 관점의 교훈은 분명합니다. 프라이버시 코인은 그것을 세운 설정 과정이 온전한 만큼만 믿을 수 있습니다. 다른 접근의 프라이버시 코인은 모네로와 모네로 사용법에서 살펴볼 수 있습니다.