연구자들은 합의나 서명 원시 기능을 건드리지 않고도 미래의 양자 공격을 완화하기 위해 오늘날의 이더리움 도구를 재사용하는 새로운 양자 안전 지갑 아키텍처를 제안합니다.
Summary
이더리움 지갑과 ECDSA에 대한 양자 위험
양자 컴퓨팅이 타원 곡선 암호에 제기하는 위협은 암호학적으로 관련 있는 기계가 아직 존재하지 않더라도 점점 더 구체화되고 있습니다. 그러나 쇼어 알고리즘은 이미 이산 로그 문제를 얼마나 효율적으로 해결할 수 있는지 보여주며, 따라서 ECDSA를 깨뜨릴 수 있습니다.
이더리움 재단은 전용 포스트 양자 연구 이니셔티브를 시작했으며, 더 넓은 PQ 로드맵이 그려졌습니다. 또한, 생태계 전반의 개발자들은 대규모 양자 하드웨어가 도착하기 전에 이더리움을 강화할 수 있는 대안을 탐색하고 있습니다.
이더리움에서 한 번도 거래를 보낸 적이 없는 외부 소유 계정(EOA)은 공개 키가 해시 뒤에 숨겨져 있기 때문에 사실상 양자 저항성을 가집니다. 그러나 EOA가 거래에 서명하면 공개 키가 온체인에 영구적으로 노출되며, 그 주소는 양자 저항성 관점에서 사실상 소각됩니다.
현재 포스트 양자 서명 노력의 한계
여러 프로젝트가 EVM에 포스트 양자 서명 체계를 도입하려고 하며, Falcon과 Poqeth가 두드러진 예로 꼽힙니다. 이러한 솔루션은 장기적인 보안에 필수적입니다. 그러나 온체인 검증은 여전히 비용이 많이 들며, Falcon 검증당 1M 가스 이상이 소요되고, 해시 기반 서명은 현재 ~200k 가스 수준입니다.
이러한 비용은 EIP-8051 및 EIP-8052와 같은 제안이 미래에 EVM에 추가되면 감소할 수 있습니다. 또한, 가스 효율성만이 유일한 장벽은 아닙니다: 표준화, 하드웨어 지갑과의 통합, 그리고 고전 암호 공격에 대한 전투 테스트된 저항성은 새로운 ETH 서명 표준에 대한 도전 과제로 남아 있습니다.
강력한 포스트 양자 서명이 기술적으로 준비되었다 하더라도, 표준화에는 여전히 시간이 걸리며, ECDSA를 완전히 대체하려면 프로토콜 수준의 변경이 필요합니다. ECDSA를 완전히 버리는 대신, 여기서 설명된 설계는 각 ECDSA 키를 일회용으로 만들어 정확히 한 번만 사용합니다.
일시적인 키 쌍을 통한 양자 안전 설계
핵심 개념은 사용자의 지속적인 정체성을 서명 키와 분리하기 위해 계정 추상화를 활용합니다. 스마트 계약 지갑은 정적 온체인 정체성을 유지하면서 승인된 서명자 주소는 각 거래 후에 회전하여 사실상 일시적인 키 쌍을 만듭니다.
이 설계는 양자 컴퓨터가 과거 거래와 연결된 개인 키를 복구하는 것을 막지는 않습니다. 그러나 복구된 키가 미래의 작업에 쓸모없도록 보장합니다. 스마트 계약 지갑은 이미 새로운 서명자로 이동했기 때문입니다.
기본 워크플로는 간단하며 스마트 계약 지갑 논리에 자연스럽게 맞습니다. 또한, 오늘날의 인프라만 사용하며 이더리움의 기본 프로토콜 규칙에 대한 변경이 필요하지 않습니다.
거래 흐름과 ECDSA 키 회전
제안된 체계는 각 거래에 대해 네 가지 명확한 단계를 따릅니다:
- 사용자는 userOp의 calldata에 새 주소를 추가합니다.
- 스마트 계약 지갑은 userOp를 검증하고 현재 서명자를 확인합니다.
- userOp는 일반적으로 실행됩니다. 예를 들어 토큰 전송을 수행합니다.
- 마지막으로, 스마트 계약 지갑은 승인된 서명자를 새 주소로 업데이트합니다.
실행 후, 이전 개인 키는 복구되더라도 해당 지갑에 대해 의미 있는 서명을 할 수 없습니다. 스마트 계약 지갑에는 새 주소만 저장되며, 해시에서 파생된 값만 드러나고 새 키는 다음 거래까지 양자 저항성을 유지합니다.
실제로, 사용자 경험은 BIP44 파생 경로를 사용하여 새 주소의 시퀀스를 생성함으로써 개선될 수 있습니다. 이 방법은 이미 널리 사용되는 지갑에서 표준이므로 구현 오버헤드를 낮게 유지하면서 자동 ecdsa 키 회전을 가능하게 합니다.
이더리움에서의 실용적 구현
이 아키텍처는 기본 SimpleWallet 설계에 약간의 변경을 적용하여 구현할 수 있습니다. 필요한 것은 calldata에서 다음 서명자 주소를 구문 분석하는 논리와 스마트 계약 지갑의 소유자를 적절히 업데이트하는 기능입니다.
개념 증명 구현이 이미 존재하며, userOp가 되돌려질 때도 서명자 회전이 완료될 수 있음을 보여줍니다. 또한, 이는 중요한 문제를 해결합니다: 회전이 성공 시에만 발생한다면, 되돌려진 거래는 여전히 현재 서명자를 노출시키고 지갑을 취약하게 남길 것입니다.
현재 구현으로, 샘플 거래는 ERC20 전송에 대해 약 ~136k 가스 단위의 비용을 보여줍니다. 이는 동일한 체인에서 표준 토큰 전송과 비교하여 100k 가스 미만의 가스 오버헤드를 의미합니다. 오버헤드는 오늘날 온체인에서 대부분의 포스트 양자 서명을 검증하는 비용보다 상당히 낮습니다.
비용 프로파일 및 계정 추상화 이더리움의 이점
기존 계정 추상화 기반 지갑에 서명자 회전 논리를 연결할 때 가스 비용은 더 낮고 복잡한 DeFi 상호작용의 더 넓은 맥락에서 거의 무시할 수 있습니다. 또한, 사용자는 이더리움 계정 추상화의 모든 일반적인 이점을 상속받습니다. 예를 들어, 일괄 작업 및 유연한 검증 규칙이 있습니다.
지갑 주소는 서명자가 변경되더라도 일정하게 유지되므로, 이 설계는 dapps, 탐색기 및 상대방을 위한 안정적인 온체인 정체성을 유지합니다. 그러나 보안 모델이 변경됩니다: 사용자는 키 생성 및 저장 설정이 새로운 키의 지속적인 스트림을 안전하게 처리할 수 있도록 보장해야 합니다.
키 회전을 위한 소셜 복구 메커니즘 사용
유사한 동작을 달성하는 대안적인 방법은 많은 스마트 계약 지갑에 이미 존재하는 소셜 복구 기능을 재사용하는 것입니다. 특정 제한이 이를 금지하지 않는 한, 사용자는 자신의 주소를 복구 수호자로 설정하고 각 거래 후에 복구 절차를 트리거할 수 있습니다.
이 접근 방식은 복구 논리를 통해 새로운 키로 제어를 효과적으로 회전시킵니다. 그러나 비상 복구를 위해 설계된 메커니즘이 일상적인 사용을 위해 재사용되기 때문에 약간 더 높은 가스 비용이 발생합니다. 장점은 사용자가 맞춤형 온체인 아키텍처를 배포하지 않고도 이 양자 인식 구조를 채택할 수 있다는 것입니다.
실험에 따르면 이 복구 기반 작업의 추가 가스 비용은 약 ~30k 가스이며, 복구 없이 기본 아키텍처의 총 오버헤드는 약 ~110k 가스입니다. 또한, 지갑 개발자는 보안 및 UX 우선순위에 따라 이러한 매개변수를 조정할 수 있습니다.
메인풀 노출 위험 및 남아있는 취약점
저자들은 이 모델이 완전히 제거하지 못하는 주요 취약점을 인정합니다: 거래가 채굴되기 전 대기 기간 동안의 메인풀 노출 위험입니다. 그 기간 동안 사용자의 공개 키는 메인풀에 노출되며, 양자 능력을 갖춘 공격자는 이론적으로 개인 키를 복구하고 거래를 앞서 실행할 수 있습니다.
현재 양자 능력을 고려할 때, 이 시나리오는 즉각적으로 경고할 만한 것으로 간주되지 않습니다. 왜냐하면 공격자는 계산을 수행할 매우 짧은 시간만 가질 것이기 때문입니다. 그러나 가능한 한 보수적으로 접근하고자 한다면, 거래를 비공개 메인풀을 통해 라우팅하면 이 메인풀 수준의 누출을 사실상 제거할 수 있습니다.
더욱이, 이 아키텍처를 레이어 2 네트워크에 배포하면 위험을 완화하는 데 도움이 됩니다. L2는 일반적으로 확인 시간이 짧고 다른 시퀀싱 메커니즘을 가지고 있어, 공개 키가 적에게 노출되는 창을 줄입니다.
더 넓은 포스트 양자 완화 전략 내에서의 위치
이 설계는 이더리움의 더 넓은 포스트 양자 완화 환경 내에서 보완 도구로 간주되어야 합니다. 절대적인 의미에서 최고의 양자 안전 지갑이 되려고 하거나 프로토콜에서 네이티브 포스트 양자 서명의 장기적인 필요성을 대체하려고 하지 않습니다.
대신, 실행 레이어에서 쇼어 알고리즘이 악용할 장기적인 공개 키 노출이라는 특정 약점을 해결합니다. 또한, 현재 인프라와 익숙한 스마트 계약 패턴만 사용하여 새로운 EIP나 서명 표준을 기다리지 않고 배포할 수 있습니다.
이더리움에서의 양자 안전 거래 전망
제안된 양자 안전 지갑 체계는 각 거래 후 ECDSA 키 쌍을 회전시키면서 안정적인 스마트 계약 주소를 유지하여 실행 레이어 양자 안전성을 달성합니다. 프로토콜 변경이 필요 없으며, 기본 전송 대비 약 ~100k 가스를 추가하여 현재 포스트 양자 검증 비용의 일부에 불과합니다.
다가오는 포스트 양자 서명 체계를 대체하지는 않지만, 이는 이더리움에서 완전하고 장기적인 솔루션에 필수적입니다. 그러나 장기적인 공개 키 노출을 제거함으로써, 사용자와 지갑 개발자가 오늘날 채택할 수 있는 실용적이고 점진적인 방어를 제공하며, 비공개 메인풀이 남아있는 메인풀 수준의 노출에 대한 가장 강력한 완화를 제공합니다.
