Zcash는 포스트 양자 보안인가?
짧은 답변
아니요, 아직은 아닙니다.
Ironwood 업그레이드 이후, Zcash는 Ironwood 풀에 보관된 자금에 대해 양자 복구 가능합니다. 이는 실질적인 진전이지만, 포스트 양자 보안을 갖췄다는 것과는 다릅니다. 그 기반이 되는 명세인 ZIP 2005도 이를 직접 밝히며, 이 변경이 "그 자체로 프로토콜을 양자 공격자에게 안전하게 만들지는 않는다"고 설명합니다. 이 변경은 현재 암호 기술이 비활성화되었을 때 향후 복구 프로토콜을 통해 이동할 수 있도록 Ironwood 자금을 준비합니다.
이 페이지는 오늘날 Zcash가 보호하는 것, Ironwood가 바꾼 것, 아직 노출된 것, 그리고 아직 제안에 불과한 것을 구분합니다. 끝부분의 상태 표는 각 항목의 현황과 마지막 확인 시점을 보여 줍니다.
누구를 위한 문서인가
- "양자 복구 가능"을 보고 "양자 내성"으로 이해한 모든 사람
- 자금을 Ironwood로 옮길지 결정하는 보유자
- 사람들이 참고할 수 있는 출처 있는 답변이 필요한 작성자 및 관리자
양자 컴퓨팅 자체에 대한 배경 설명은 Zcash의 포스트 양자 보안부터 시작하세요.
이 질문이 혼란스러운 이유
"포스트 양자"는 하나의 속성인 것처럼 사용됩니다. 그러나 Zcash에서는 적어도 네 가지 별개의 질문이며, 답도 각각 다릅니다.
- 프라이버시. 양자 공격자가 누가 누구에게 얼마를 지불했는지 볼 수 있는가?
- 지출. 양자 공격자가 자신의 것이 아닌 코인을 지출할 수 있는가?
- 인플레이션. 양자 공격자가 아무것도 없이 ZEC를 만들어낼 수 있는가?
- 복구. 현재의 암호 기술을 비활성화해야 할 경우, 정직한 사용자가 여전히 자신의 자금을 꺼낼 수 있는가?
Ironwood는 네 번째 질문에 대한 답만 바꾸며, 그것도 Ironwood 풀의 노트에 대해서만 해당합니다.
이 모든 것의 위협은 Zcash가 사용하는 타원 곡선에서 이산 로그를 계산할 수 있는 공격자입니다. Shor 알고리즘을 실행하는 충분히 큰 양자 컴퓨터는 이를 수행하는 한 가지 방법이 될 수 있습니다. ZIP 2005는 단 하나의 이산 로그를 알아내는 것만으로도 임의의 인플레이션을 일으키거나 자금을 훔치기에 충분하다고 지적합니다.
오늘날 Zcash가 보호하는 것
이 표는 이산 로그를 해독할 수 있는 공격자에 맞서 현재 실행 중인 프로토콜을 설명합니다. Ironwood가 Orchard 회로, Halo 2 증명 및 RedPallas 서명을 Orchard와 동일하게 사용하므로, Ironwood를 포함한 모든 실드 풀에 적용됩니다.
| 속성 | 오늘날 양자 공격자에 대한 상태 | Ironwood가 바꾼 것 |
|---|
| 프라이버시 | 공격자가 당신의 실드 주소를 모르면 유지됩니다. 증명과 재무작위화된 서명은 추가 정보를 유출하지 않습니다. 공격자가 주소를 알고 있다면 체인에서 저장한 오래된 노트를 포함하여 그 주소로 전송된 노트를 복호화할 수 있습니다. | 없음. ZIP 2005: "프라이버시와 관련한 상황은 어떤 풀에서도 변하지 않는다." |
| 지출 | 보호되지 않습니다. 공격자는 증명이나 지출 서명을 위조하여, 한 번도 본 적 없는 주소를 포함한 모든 실드 풀에서 자금을 훔칠 수 있습니다. | 아직 없음. 보호는 향후 복구 프로토콜로 전환된 뒤에야 제공됩니다. |
| 인플레이션 | 보호되지 않습니다. 공격자는 유효해 보이는 증명을 위조하여 어느 실드 풀에서든 ZEC를 만들어낼 수 있으며, 아무도 알아차리지 못할 수도 있습니다. 유일한 제한은 턴스타일입니다. 어떤 풀도 기록된 잔액보다 많이 출금할 수 없습니다. | 아직 없음. 이제 Ironwood 노트는 양자 공격자가 위조할 수 없어야 하는 방식으로 모든 내용을 커밋하며, 이것이 향후 복구 프로토콜이 공급량의 건전성을 유지하는 데 필요한 요소입니다. |
| 복구 | Sprout, Sapling 및 Orchard 노트에는 복구 경로가 없습니다. 해당 프로토콜이 비활성화된 뒤 그 안에 남아 있는 것은 접근할 수 없게 됩니다. | 모든 Ironwood 노트는 원칙적으로 복구할 수 있습니다. Sapling 또는 Orchard 노트는 복구할 수 없습니다. |
투명 ZEC는 별도의 경우입니다. 공개 키가 알려지면 ECDSA 서명을 위조할 수 있습니다. 일반적인 투명 주소에서는 처음으로 해당 주소에서 지출할 때 공개 키가 알려지며, 거래가 멤풀에서 미확정 상태로 있는 짧은 시간 동안에도 노출 창이 존재합니다. ZIP 2005는 이 중 어느 것도 바꾸지 않습니다.
Ironwood가 바꾼 것
Ironwood는 NU6.3 네트워크 업그레이드입니다. 2026년 7월 28일 블록 3,428,143에서 Mainnet에 활성화되었습니다. 주된 목적은 Orchard 건전성 버그 이후의 공급량 무결성이었으며(Ironwood 페이지 참조), ZIP 2005의 양자 복구 가능성도 그 일부로 도입되었습니다.
- 새로운 노트 형식. 모든 Ironwood 출력 노트는 양자 복구 가능 형식(노트 평문 선행 바이트
0x03)을 사용합니다. 이제 노트의 난수성은 모든 필드에서 파생되므로, 노트는 타원 곡선 수학만이 아니라 해시를 통해 내용에 결속됩니다.
- Ironwood 노트에만 적용되는 복구 경로. ZIP 326은 모든 Ironwood 노트는 복구 가능하고 어떤 Orchard 노트도 복구할 수 없다고 명시합니다. 지갑 설정으로 이를 바꿀 수는 없습니다.
- Orchard는 새 가치를 더 이상 받지 않습니다. Coinbase 보상은 더 이상 Orchard로 갈 수 없고, Orchard는 더 이상 다른 Orchard 주소로 보낼 수 없으므로, 새 실드 가치는 Ironwood에 들어갑니다.
- 지갑은 모든 자금을 옮기도록 안내받습니다. ZIP 2005는 지갑이 투명 자금, Sprout 자금 및 Sapling 자금을 포함해 통제하는 모든 자금을 가능한 한 빨리 Ironwood 노트로 옮기고, 새 자금이 들어올 때마다 계속 그렇게 해야 한다고 명시합니다.
Ironwood가 바꾸지 않은 것: 오늘날 지출과 증명에 사용되는 암호 기술, 노트 암호화, 그리고 투명 ZEC에 관한 모든 것입니다.
남아 있는 한계
노출 기간이 존재합니다. Ironwood가 활성화된 때부터 이전 프로토콜이 비활성화될 때까지, 양자 공격자는 여전히 모든 실드 풀에서 자금을 훔치거나, 인플레이션을 일으키거나, 자금을 막을 수 있습니다. ZIP 2005는 이를 "중요 노출 기간"이라 부르며, 이 기간 중 공격은 보유자가 나중에 복구할 능력에도 피해를 줄 수 있다고 경고합니다. 따라서 양자 공격이 실현 가능해지기 전에 Zcash가 Orchard, Sapling 및 Sprout를 비활성화해야 한다고 명시합니다.
Sprout를 제외하면 비활성화 일정은 없습니다. 어떤 ZIP도 Orchard 또는 Sapling를 비활성화하는 일정을 정하지 않았습니다. Sprout는 다릅니다. ZIP 259에는 NU7가 도입하는 변경 사항 중 하나로 ZIP 2003이 명시되어 있으므로, NU7가 활성화되면 버전 4 거래는 무효가 되고 Sprout 풀에 남아 있는 모든 ZEC는 지출할 수 없게 됩니다. 메인넷 활성화는 블록 3,543,405로 설정되어 있으며, 2026년 11월 5일을 목표로 합니다(ZIP 259, 포럼 공지). Sapling 출금 전용 논의는 2026년 4월 포럼에서 시작되었습니다.
복구 프로토콜은 완성되지 않았습니다. ZIP 2005는 이를 개략적으로만 설명하며 세부 사항은 "변경될 수 있다"고 밝힙니다. 배포된 내용은 없습니다.
지금 수집하고 나중에 복호화하기. Ironwood, Orchard, Sapling 및 Sprout의 노트 암호문은 모두 체인에 공개되어 있습니다. 수신 주소도 알고 있다면, 누군가는 오늘 이를 저장해 두었다가 나중에 복호화할 수 있습니다. 게시하거나 제공하는 모든 주소는 이 위험의 일부입니다. ZIP 2005는 향후 전송을 위해 "다른 프로토콜 변경을 검토 중"이라고 설명합니다.
투명 자금은 포함되지 않습니다. 지출된 적 있거나 재사용된 주소는 공개 키가 노출되어 있습니다. 일부 투명 주소의 복구 가능성은 현재로서는 아이디어에 불과합니다(아래 ZIP 2007 참조).
FROST 설정에는 추가 주의 사항이 있습니다. FROST에서는 각 참여자가 양자 지출 키(qsk)를 보유하며, 이를 가진 양자 공격자가 자금을 훔칠 수 있습니다. ZIP 2005는 임계값 지원을 갖춘 완전한 포스트 양자 프로토콜이 마련되면 FROST 자금을 그 프로토콜로 옮길 것을 권장합니다.
제안 및 연구
이들 중 현재 활성화된 것은 없습니다.
- 복구 프로토콜. 전환 이후 Ironwood 자금을 실제로 지출할 수 있게 하는 메커니즘입니다. ZIP 2005에 개략적으로 제시되어 있으나 명세화되지는 않았습니다.
- 일부 투명 주소의 복구 가능성, ZIP 2007. ZIP 번호만 예약되어 있고 zips#1302에서 논의 중입니다. 공개 키가 한 번도 공개되지 않은 P2PKH 및 P2SH 출력은 Ironwood보다 약한 보장과 함께 복구 가능하게 만들자는 아이디어입니다.
- 알려진 주소의 포스트 양자 프라이버시. 2022년부터 zips#1133에서 공개 논의 중입니다. 이 이슈는 주소가 비밀로 유지될 때 Zcash가 "이미 포스트 양자 프라이버시를 갖도록 의도되었다"고 언급하며, Kyber(현 ML-KEM) 같은 포스트 양자 키 캡슐화 체계를 사용해 이를 알려진 주소로 확장하는 방법을 질문합니다. 2026년 6월 zips#1307은 현재 프라이버시 속성과 가능한 해결책을 문서화할 ZIP를 제안했습니다.
- Project Tachyon. 제안된 확장성 업그레이드입니다. 사이트는 결제 전달을 오프체인으로 옮기고 포스트 양자 키 교환을 사용함으로써 부수 효과로 "완전한 포스트 양자 프라이버시"를 달성할 것이라고 설명합니다. 증명 전달 데이터 라이브러리인 Ragu는 "여전히 개발 중"으로 설명됩니다. Project Tachyon를 참조하세요.
- 완전한 포스트 양자 Zcash. 포스트 양자 증명, 서명 및 커밋먼트를 함께 갖춘 프로토콜입니다. 2016년부터 zips#1134에서 추적되고 있습니다. 명세나 일정은 없습니다.
상태 표
최종 확인일: 2026년 9월 13일. 단, Sprout 행은 2026년 10월 9일에 업데이트되었습니다. ZIP의 헤더 상태와 네트워크 상태는 다릅니다. ZIP 2005는 2026년 7월부터 해당 규칙이 Mainnet에서 시행되고 있음에도 헤더에 여전히 "Proposed"라고 표시합니다.
| 항목 | ZIP 상태 | 네트워크 상태 | 날짜 | 출처 |
|---|
| 양자 복구 가능 노트가 있는 Ironwood 풀(NU6.3) | ZIP 2005 Proposed, ZIP 229 및 ZIP 258 Draft | Mainnet에서 활성화됨 | 2026년 7월 28일, 블록 3,428,143 | ZIP 2005, ZIP 258 |
| 새 가치 유입이 차단된 Orchard | ZIP 2006 Reserved, 규칙은 ZIP 258에 있음 | Mainnet에서 활성화됨 | 2026년 7월 28일 | ZIP 258 |
| 자금을 Ironwood로 옮기는 지갑 | ZIP 2005, ZIP 318 및 ZIP 326(Draft)의 지침 | 권장됨, 지갑에 따라 다름 | 2026년 7월 28일부터 | ZIP 318, ZIP 326 |
| 복구 프로토콜 | ZIP 2005 내부에만 개략적으로 제시됨 | 구현되지 않음 | 날짜 없음 | ZIP 2005 |
| Orchard 및 Sapling 비활성화 | ZIP 없음 | 일정 미정 | 2026년 4월부터 Sapling 논의 | Forum |
| Sprout 지출 비활성화(ZIP 2003) | Proposed, ZIP 259(Proposed)에 따라 NU7가 배포 |
Zcash Foundation의 NU7 정서 조사(2026년 2월)에서 양자 복구 가능성은 ZCAP의 90.5%, 코인 보유자의 94.6% 지지를 받았고, Tachyon는 거의 보편적인 지지를 받았습니다. 이는 정서 조사였으며, 무엇을 NU7에 포함할지에 대한 결정은 아니었습니다.
지금 할 수 있는 일
- 자금을 Ironwood로 옮기세요. Sapling 및 Orchard 노트는 결코 복구할 수 없습니다. 풀 사이에서 가치를 이동하면 금액이 체인에 공개되므로, ZIP 318은 지갑이 잔액을 고정 금액으로 나누어 시간에 걸쳐 전송하도록 제안합니다. 한 번에 모두 옮기기보다 지갑이 처리하도록 하세요.
- 필요 없는 실드 주소는 공개하지 마세요. 미래의 양자 공격자에 대한 프라이버시는 공격자가 주소를 알지 못하는 데 달려 있습니다. Unified Address는 쉽게 생성할 수 있으므로, 각 지불자에게 새 주소를 제공하세요. ZIP 229는 이 때문에 주소 순환을 권장합니다.
- 투명 주소를 재사용하지 마세요. 한 번 지출하면 해당 공개 키는 영구적으로 체인에 남습니다.
- 시드 문구를 안전하게 보관하세요. 개략적으로 제시된 복구 프로토콜에서는 복구 지출 시 지출 키를 알고 있음을 증명해야 하며, 일반 지갑은 시드에서 그 키를 파생합니다.
- "Zcash는 양자 내성이다"라는 주장을 무시하세요. 아직 그렇지 않으며, 명세 작성자들도 그렇게 말합니다.
흔한 오해
- "Ironwood는 포스트 양자 보안이다." 아닙니다. 동일한 Orchard 암호 기술을 사용하며, ZIP 2005는 이 기능이 "Orchard 프로토콜을 양자 공격에 안전하게 만들지 않는다"고 설명합니다.
- "양자 복구 가능은 오늘날 양자 컴퓨터로부터 안전하다는 뜻이다." 아닙니다. 이는 제때 전환이 이루어진다면 향후 전환 후 Ironwood 자금을 복구할 수 있다는 뜻입니다.
- "실드 Zcash는 이미 포스트 양자 프라이버시를 갖는다." 공격자가 주소를 모를 때만 그렇습니다. 알려진 주소는 모든 풀에서 노출됩니다.
- "Tachyon는 이미 포스트 양자 프라이버시를 추가했다." Tachyon는 제안입니다. 그 어떤 것도 활성화되지 않았습니다.
- "양자 컴퓨터는 Zcash의 모든 부분을 무너뜨린다." 알려진 양자 공격은 해시 함수를 무너뜨리는 것이 아니라 약화할 뿐입니다. 양자 복구 가능성은 바로 그 차이에 의존합니다.
관련 페이지
출처
