당장 오늘 허둥지둥 새 지갑으로 자금을 옮기라고 권하고 싶지는 않다. 하지만 AI가 수학의 발전을 가속하면서 암호 기술에 가할 수 있는 위협은 진지하게 받아들여야 한다. 양자컴퓨터에 취약한 암호 기술뿐 아니라, AI에도 취약할 수 있는 암호 기술에 대한 의존도 역시 최대한 줄여야 한다.
이런 관점에서 새롭게 위험이 부각되는 핵심 분야는 안타깝게도 ML-DSA, 완전동형암호(FHE), 그리고 격자 기반 암호다.
(이것은 양자컴퓨터와 더불어 ECDSA가 예상보다 더 빨리 뚫릴 수 있는 또 다른 이유이기도 하다. ‘새 주소’를 권하는 이유도 여기에 있다.)
지금까지는 대부분 ‘타원곡선은 뚫려도 해시와 격자는 안전하다’는 식으로 생각해왔다. 하지만 앞으로 2년 동안 AI가 이룰 수학적 성과가 격자 기반 암호의 실질적인 보안 수준에 큰 타격을 줄 가능성은 상당하다.
내가 우려하는 기본 시나리오는 이렇다. 소인수분해는 단순한 방식으로 접근하면 (2^{n/2})의 시간이 걸리는 문제다. 하지만 수십 년에 걸쳐 뛰어난 사람들이 수체 체법(number field sieve)을 발견하고 개선하면서, 필요한 시간을 (2^{O(n^{1/3})})까지 줄였다. RSA의 키와 서명이 64바이트가 아니라 약 400바이트여야 하는 이유가 여기에 있다. 타원곡선과 격자에도 이런 숨은 약점이 있다면 어떨까? 인간은 아직 발견할 만큼 똑똑하지 못했지만, AI는 곧 찾아낼 수 있는 약점 말이다.
지난 1년간 이더리움의 린(lean) 로드맵이 ‘해시만 사용하는’ 방향으로 나아간 중요한 이유가 바로 이것이다. 격자도, ML-DSA도, Falcon도 쓰지 않고, 영지식 증명(ZK) 안에서도 격자 기반 커밋먼트를 쓰지 않는다는 것이다. 린 이더리움이 채택하는 서명은 전부 WOTS나 SPHINCS- 같은 해시 기반 방식이다.
서명과 증명을 해시만으로 구현하는 방법은 이미 알고 있다. 더 큰 과제는 공개키 암호화다. 이것은 블록체인을 훨씬 넘어서는 문제다. 안전한 통신, 익명화 프로토콜을 비롯한 수많은 기술에 공개키 암호화가 필요하다.
안타깝게도 공개키 암호화는 해시만으로 구현할 수 없다는 것을 보여주는 수학적 정리들이 오래전부터 존재한다. 비밀 정보를 알면 쉽게 역산할 수 있는 ‘트랩도어’라는 수학적 장치가 필요하고, 여기에는 적어도 한 가지 활용 가능한 ‘구조’가 있어야 한다. 군론에 기반한 구조일 수도 있고(동종사상 포함), 격자나 부호 기반 구조일 수도 있다. 앞으로 등장할 더 낯설고 기묘한 무언가일 수도 있다. 국소 혼합(local mixing) 같은 것일까? 하지만 구조가 있는 대상이라면 AI가 그 구조를 공략하는 데 어느 정도는 진전을 이룰 것이라고 가정해야 한다. 여기서 생각해볼 수 있는 합리적인 대응 중 하나는, 장기적으로 안전하리라 기대할 만한 것을 만들려면 키 크기를 10배로 늘리라는 것이다.
내게는 충분히 가능한 미래이며, 전혀 극단적인 예측도 아니다. AI가 50년 치 수학의 발전을 2년 만에 가져온다면, 그 안에는 격자 기반 암호를 공격하는 능력을 획기적으로 끌어올리는 성과도 충분히 포함될 수 있다. 단순한 소인수분해 방식에서 일반 수체 체법(GNFS)으로 발전했을 때와 맞먹는 변화 말이다. 그런 세상에서도 격자 기반 암호는 계속 쓰이겠지만, 같은 수준의 안전성을 확보하려면 크기를 훨씬 키워야 할 것이다.
그리고 그렇게 크기를 키워야 한다면, 해시 기반으로 구현할 수 있는 모든 용도에서는 해시 기반 방식이 격자 기반 방식보다 실제 효율 면에서도 앞서게 될 것이다.
물론 이론적으로는 해시도 깨질 수 있다. 예를 들어 P = NP가 성립한다면 그렇게 된다. 하지만 나는 P = NP일 가능성이 매우 낮다고 본다. 직관적으로도, 해시가 목표로 삼는 것처럼 공략할 만한 구조가 아예 없는 수학적 대상이 존재할 가능성이 훨씬 높다고 생각한다. 공략할 수 있는 구조가 딱 세 가지쯤 있으면서, 보안을 크게 약화시킬 네 번째 구조는 숨어 있지 않을 가능성보다는 말이다. 타원곡선으로 치면 그 세 가지는 결합법칙, 스호프 알고리즘, 페어링이다. 우리가 아직 발견하지 못한 네 번째 구조가 타원곡선 이산로그 문제(ECDLP)나 페어링에 의존하는 보안을 크게 무너뜨릴 수도 있다. LWE, SVP, RLWE를 비롯한 온갖 격자 문제도 마찬가지다.
이런 이유로 우리는 아직 해시의 출력 길이를 늘려야 할 만큼 걱정할 이유는 없다고 본다. 우려가 더 커지더라도, 출력 길이를 바꾸기 전에 먼저 내부 연산의 라운드 수부터 늘릴 것이다.
구체적인 대응에 관한 내 개인적인 생각은 이렇다.
해시 기반으로 구현할 수 있는 경우에는 격자 기반보다 해시 기반이 낫다.
격자 기반 기술을 쓸 때는 매개변수 크기를 훨씬 더 보수적으로 정해야 한다. 블록체인은 암호 기술이 쓰이는 영역의 작은 일부에 불과하다는 점을 기억해야 한다. 이 문제는 블록체인을 훨씬 넘어 웹사이트 접속, 보안 메시징, Tor와 VPN 등에도 적용된다.
프라이버시 프로토콜에서는 암호화된 노트를 온체인에 올리지 않는 방식을 강하게 권한다. 대신 제3의 전달 수단을 이용해 오프체인으로 보내는 편이 좋다.
크게 어렵지 않다면, 아직 거래를 보낸 적 없는 주소에 자금을 보관하는 것이 좋다. 쉽게 할 수 있다면 그렇게 하자. 다만 자산을 옮길 때는 조심해야 한다.
개인적으로 나는 지금까지 당한 모든 해킹을 합친 것보다, 자산 이전 과정에서 실수해 잃은 돈이 더 많다.
다중서명 지갑은 승인 절차를 온체인보다 오프체인에서 처리하는 편이 낫다. 그래야 서명에 참여하는 지갑들의 서명이 대중에게 노출되지 않는다. ECDSA가 AI에 의해 예상보다 훨씬 빨리 뚫리더라도, 최소한 다중서명의 보안이 ‘서명을 모으던 사람 한 명을 신뢰해야 하는 1-of-1 구조’로 약화되는 선에서 피해를 제한할 수 있다. ‘누구나 돈을 가져갈 수 있는 상태’보다는 훨씬 낫다.
https://x.com/vitalikbuterin/status/2107976296320106851