Yellow.com

이더리움 (ETH)의 가상머신(EVM)은 2015년, 스마트 컨트랙트를 실행하기 위해 설계됐다. 암호학적 증명을 만들기 위해 설계된 시스템이 아니다. 반대로 영지식(Zero-Knowledge, ZK) 증명은 연산을 저렴하고 프라이버시를 유지한 채 검증하기 위한 기술일 뿐, opcode라는 개념 자체가 없다.

한동안 두 체계는 구조적으로 양립 불가능해 보였다.

이후 엔지니어들이 양쪽을 결합하는 방법을 찾아냈고, 그 결과물은 암호화폐 인프라 전체를 통틀어 가장 구현 난도가 높은 기술 중 하나가 됐다.

ZkEVM(Zero-Knowledge Ethereum Virtual Machine)은 기존 이더리움 스마트 컨트랙트를 그대로 실행하면서, 개발자에게 코드 수정을 요구하지 않고도 “해당 실행이 정확했다”는 사실을 ZK 증명으로 입증하려는 시도다.

개념만 들으면 단순해 보이지만, 실제로는 업계 전체가 5년 가까이 붙잡고 있던 난제를 풀어야 했던 프로젝트다.

요약

ZkEVM은 이더리움과 호환되는 스마트 컨트랙트를 실행한 뒤, 그 실행이 올바르게 이뤄졌다는 영지식 증명을 생성해 메인넷 이더리움으로 빠르고 저렴한 정산을 가능하게 한다.

ZkEVM 구현 난도가 높을수록 기존 이더리움 도구·인프라와의 호환성은 커진다. 이 트레이드오프가 설계 전반의 핵심 축이다.

사용자는 메인넷 수준의 보안을 유지하면서도 훨씬 낮은 가스비를 누리고, 개발자는 기존 솔리디티(Solidity) 컨트랙트를 거의 수정 없이 그대로 배포할 수 있다.

영지식 증명이 실제로 하는 일

EVM 얘기로 들어가기 전에, 영지식 증명이 무엇이고 무엇이 아닌지부터 정리해야 한다. ZK 증명은 한 당사자(프로버, prover)가 다른 당사자(베리파이어, verifier)에게, 어떤 명제가 사실임을 입증하면서도 그 진실을 구성하는 기초 데이터는 공개하지 않는 암호학적 방법이다.

가장 자주 드는 예시는 “비밀번호 자체는 알려주지 않고, 내가 그 비밀번호를 알고 있다는 사실만 증명하는 것”이다. 블록체인 맥락에서는 대개 다음과 같은 계산 명제를 다룬다. “이 프로그램을 이 입력값에 실행했더니 이 결과가 나왔고, 그 과정은 정확했다.”

이때 베리파이어는 레이어1 이더리움 상의 스마트 컨트랙트다. 이 컨트랙트는 모든 트랜잭션을 직접 재실행하는 대신, 단 몇 밀리초 만에 증명을 검증하는 것만으로 전체 연산의 정당성을 확인한다.

영지식 증명을 사용하면 레이어2 네트워크가 수천 건의 트랜잭션을 한 번에 모아 단일 압축 증명을 만들고, 이 증명만 이더리움에 올린다. 그 결과 사용자 1인당 비용은 크게 줄어든다.

현재 ZkEVM 영역에서 주류를 이루는 증명 시스템은 두 가지다. SNARK(Succinct Non-interactive ARguments of Knowledge)는 매우 작은 크기의 증명을 만들고 검증 속도가 빠르지만, 초기 ‘신뢰할 수 있는 셋업(trusted setup)’ 의식을 필요로 한다. STARK(Scalable Transparent ARguments of Knowledge)는 별도 셋업이 필요 없고 양자 내성(quantum-resistant)까지 갖추지만, 증명 크기가 더 크다. 지금까지 다수의 ZkEVM 프로젝트는 이더리움 메인넷 상 검증 비용이라는 하드한 제약 때문에 SNARK 계열을 채택하는 쪽으로 방향을 모았다.

EVM이 ‘증명하기’ 어려운 이유

이더리움 가상머신(EVM)은 스택 기반 실행 환경으로, 140개가 넘는 opcode, 가스 회계 시스템, 복잡한 메모리 구조, 그리고 지난 10년간 실사용 과정에서 쌓인 각종 엣지 케이스를 품고 있다. 단순한 ADD 연산부터 ECRECOVER 같은 암호 프리컴파일까지, 모든 opcode는 ZK 증명 시스템이 이해할 수 있도록 산술 제약(arithmetic constraint) 형태로 표현돼야 한다.

문제는 ZK 증명 시스템이 매우 좁은 수학적 언어만을 쓴다는 점이다. 이들은 유한체(finite field) 위의 다항식 방정식을 자연어처럼 다루지만, EVM은 그런 관점은 전혀 고려하지 않고 설계됐다. 특히 이더리움의 해시 함수인 KECCAK256처럼 비트 단위 연산이 많은 opcode는 ZK 회로 입장에서 거의 최악의 존재로, 엄청나게 크고 비싼 제약 집합으로 변환된다.

이 괴리는 연구자들이 “EVM 비호환성 문제(EVM incompatibility problem)”라고 부르는 난제를 낳았다. ZK 친화적인 전용 환경만 지원한다면 빠르고 저렴한 ZK 롤업을 만들 수 있지만, 그 위에서는 해당 환경을 위해 따로 작성된 코드만 돌아간다. 반대로 완전한 EVM 지원을 지향하면, 증명 생성 비용과 시간이 지나치게 커져 ZK 롤업의 장점이 사라진다. ZkEVM의 엔지니어링 과제는 이 두 선택지 사이의 간극을 얼마나 줄이느냐다.

KECCAK256 해시 하나에 대한 ZK 증명을 만들기 위해 필요한 산술 제약이 수백만 개에 달할 수 있다. 일반적인 이더리움 블록에는 수천 개의 해시가 포함돼 있어, 초기 ZkEVM 구현에서는 증명 생성에 몇 시간씩 걸렸고 지금도 특수 하드웨어가 사실상 필수다.

ZkEVM 4가지 타입과 의미

모든 ZkEVM이 같은 수준의 호환성을 제공하는 것은 아니다. 이더리움 공동 창립자 비탈릭 부테린은 2022년, 기존 이더리움 스택과의 호환 정도에 따라 ZkEVM을 네 가지 타입으로 나누는 분류 체계를 제시했고, 지금은 업계 표준처럼 인용된다. 이 네 가지를 이해하는 것은 새로운 ZkEVM 프로젝트를 평가하는 지름길이다.

타입 1은 ‘완전 이더리움 동등(Ethereum-equivalent)’이다. 상태 전이, 블록 구조, 해시 함수 등 이더리움의 모든 요소를 수정 없이 그대로 증명한다. 이 경우 기존 이더리움 클라이언트가 별도 조정 없이 그대로 동기화할 수 있고, 거의 모든 도구가 즉시 작동한다. 대가로 증명 생성 비용과 시간이 압도적으로 커진다. 아직 프로덕션 단계에서 타입 1 수준을 달성한 ZkEVM은 없지만, 이를 목표로 하는 팀들은 존재한다.

타입 2는 ‘EVM 동등(EVM-equivalent)’이다. 상태 트리의 해시 함수(예: KECCAK → ZK 친화적 해시) 등 일부 내부 데이터 구조는 바꾸되, EVM 바이트코드와의 호환성은 유지한다. 스마트 컨트랙트의 동작은 메인넷과 완전히 동일하고, 개발자는 차이를 느끼지 못한다. 타입 1보다 증명 생성은 빨라지지만 여전히 무겁다. Scroll, 초기 버전의 Polygon zkEVM이 이 구간을 겨냥했다.

타입 3는 특정 프리컴파일 등 일부 엣지 케이스 기능을 과감히 포기해 추가 최적화를 단행한 형태다. 대부분의 기존 컨트랙트는 여전히 문제 없이 돌아가지만, 증명 생성 비용은 타입 2보다 확실히 낮아진다. 2023~2024년 상용화된 많은 ZkEVM이 첫 출시 당시 타입 2와 타입 3 사이 어딘가에 위치했다.

타입 4는 솔리디티나 바이퍼(Vyper) 소스 코드를 EVM 바이트코드로 직접 증명하는 대신, ZK 친화적인 커스텀 가상머신용 바이트코드로 컴파일해 실행한다. 속도와 비용 면에서 가장 효율적이지만, 미묘한 동작 차이가 발생할 수 있고, 저수준 EVM 트릭 일부는 통하지 않는다. zkSync Era가 LLVM 기반 자체 컴파일러를 써서 이 방식을 채택한 대표 사례다.

이 분류는 빌더 관점에서 중요하다. 이미 메인넷에서 충분히 검증된 디파이 프로토콜을 옮기고 싶다면, 동작 동일성 보장을 위해 타입 2나 타입 3를 선호할 것이다. 반대로 새로 시작하는 프로젝트라면, 일부 호환성을 포기하더라도 타입 4가 제공하는 낮은 증명 비용과 빠른 파이널리티를 택할 수 있다.

ZkEVM은 트랜잭션을 어떻게 처리하나

단일 트랜잭션이 어떤 과정을 거치는지 따라가 보면 전체 아키텍처가 좀 더 분명해진다. 사용자가 ZkEVM 네트워크로 트랜잭션을 보내면 절차는 대략 다음과 같다.

첫째, 트랜잭션은 **시퀀서(sequencer)**에 도달한다. 시퀀서는 트랜잭션의 순서를 정하고 이를 묶어 배치(batch)를 만든 뒤, 직접 실행해 레이어2 상태를 갱신한다. 이때 사용자는 지갑에서 잔액이 변경된 것을 확인할 수 있는데, 이는 어디까지나 ‘소프트 컨펌(soft confirmation)’일 뿐, 아직 이더리움 메인넷에서 암호학적으로 확정된 상태는 아니다.

둘째, 이 배치가 **프로버(prover)**에게 전달된다. 프로버는 소프트웨어(또는 특수 하드웨어)로 구현된 ZK 증명 생성기다. 프로버는 실행 전 상태, 모든 트랜잭션, 실행 후 상태를 입력으로 받아, 해당 상태 전이가 규칙에 맞게 계산됐음을 입증하는 유효성 증명(validity proof)을 생성한다. 이 단계가 연산 집약적이며, 시스템에 따라 수 초에서 수 분까지 걸릴 수 있다.

셋째, 생성된 증명과 일부 압축된 트랜잭션 데이터가 이더리움 상의 **베리파이어 컨트랙트(verifier contract)**로 전송된다.

이 컨트랙트는 온체인 함수 호출 한 번으로 증명을 검증한다. 이때 가스비는 배치에 포함된 트랜잭션 수와 관계없이 거의 고정 비용에 가깝다. 검증이 끝나면 레이어2의 상태 루트(state root)가 이더리움에 최종 기록되고, 해당 레이어2 상태는 메인넷 트랜잭션과 동일한 수준의 보안성을 확보한다.

모듈형 ZkEVM과 크로스체인 인터오퍼러빌리티

1세대 ZkEVM 설계는 단일 정산 레이어를 전제했다. 모든 증명과 정산을 이더리움 메인넷에 올리는 구조였다. 그러나 최근 떠오르는 ‘모듈형(modular) ZkEVM’ 아키텍처는 실행(execution), 증명(proving), 정산(settlement) 레이어를 분리해 각각 독립적으로 조합 가능하게 만든다.

이러한 맥락에서 등장한 프로젝트가 바로 Prom이다.

Prom은 스스로를 ‘모듈형 ZkEVM 레이어2’라고 정의하며, EVM 및 비(非) EVM 체인 간 인터오퍼러빌리티를 목표로 한다. 실행을 증명하고 이를 이더리움에만 정산하는 대신, 여러 체인에 동시에 증명을 제출해 그동안 신뢰 없는(trustless) 연결이 없었던 생태계 사이에 수학적 다리를 놓겠다는 구상이다.

모듈형 접근이 중요한 이유는 “이더리움만이 유일한 정산 대상”이라는 전제를 지우기 때문이다.

ZkEVM 증명은 궁극적으로 수학적 객체에 불과하다. 체인 A와 체인 B가 모두 해당 증명을 검증할 수 있는 베리파이어 컨트랙트(또는 동등한 검증 로직)를 갖고 있다면, 하나의 증명으로 두 체인에서 동시에 상태 전이를 확정할 수 있다. 이 지점에서 ZK 증명은 단순한 확장 솔루션을 넘어, 범용 인터체인 인터페이스로 기능하게 된다.

모듈형 ZkEVM 구조는 실행과 정산을 분리함으로써, 동일한 유효성 증명이 이더리움, 비 EVM 체인 혹은 양쪽 모두에서 검증될 수 있게 한다. 그 결과, 원래는 상호 운용이 불가능했던 생태계 사이에 ‘공유된 암호학적 진실’을 제공하는 공통 언어가 만들어진다.

ZkEVM와 옵티미스틱 롤업, 무엇이 다른가

ZkEVM과 옵티미스틱 롤업 비교는 항상 따라붙는 주제다. 같은 확장성 문제를 정반대 철학으로 풀기 때문이다.

옵티미스틱 롤업은 모든 트랜잭션을 “일단 유효한 것”으로 가정하고, 특정 기간(통상 7일) 안에 누군가 사기(Fraud) 증명을 제기했을 때만 검증한다. 운영비용이 저렴하고 구현이 상대적으로 쉽지만, 이 때문에 이더리움 메인넷으로의 출금은 유동성 브리지를 쓰지 않는다면 사실상 1주일을 기다려야 한다. 현재 **아비트럼(Arbitrum)**과 **옵티미즘(Optimism)**이 대표적인 옵티미스틱 롤업 네트워크다.

ZkEVM 롤업은 반대로 어떤 것도 가정하지 않는다. 영지식 증명이 제출되기 전까지는 모든 배치(batch)가 “무효”로 간주된다. 증명 생성 측의 연산 부담은 더 크지만, 출금은 이더리움에서 수 시간 단위로 결론이 나며, 부정행위를 잡아내는 ‘정직한 감시자’에 의존할 필요도 없다.

사용자 입장에서 체감되는 차이는 다음과 같이 정리된다.

출금 속도: ZkEVM의 완승이다. 증명 기반 파이널리티 덕에 수 시간 내 결제가 끝나는 반면, 옵티미스틱 롤업의 네이티브 출금은 기본 7일이다.
트랜잭션 비용: 현재는 많은 경우 옵티미스틱 롤업이 더 저렴하다. 영지식 증명 생성 비용이 추가되기 때문이다. 다만 하드웨어·알고리즘이 개선되며 이 격차는 빠르게 줄고 있다.
보안 모델: ZkEVM은 암호학적 ‘정합성 보증’을 제공한다. 옵티미스틱 롤업은 사기 증명을 통한 경제적 인센티브에 기반한 보안 모델로, 강력하긴 하지만 수학적으로 동등하진 않다.
EVM 호환성: 최신 ZkEVM(Type 2/3)은 기존 이더리움 툴링 대부분을 지원하며, 과거 옵티미스틱 롤업의 핵심 우위였던 개발 편의성 격차가 상당 부분 해소됐다.
라이브니스(가동성) 리스크: ZkEVM은 프로버(증명 생성자)가 멈추면 시스템이 정지될 수 있다. 옵티미스틱 롤업은 시퀀서가 살아 있는 한 처리가 계속된다.

어느 한쪽이 완전히 우월한 해답은 아니다. 비용이 절대적으로 중요하고, 7일 출금 지연을 감수할 수 있는 고빈도 서비스라면 옵티미스틱 롤업 쪽에 무게가 실린다. 반대로 빠른 파이널리티, 체인 간 정산, 수학적으로 입증된 정합성이 중요한 서비스라면 ZkEVM이 더 적합하다.

지금 당장 ZkEVM의 수혜자는 누구인가

ZkEVM은 ‘미래의 기술’이 아니다. 이미 여러 네트워크가 메인넷에서 가동 중이며, 실제 예치 자산과 실제 이용자가 수수료를 내고 있다. 다만 스택별로 누가 어떤 이익을 가져가는지 구분해 볼 필요는 있다.

디파이(DeFi) 프로토콜은 메인넷 이더리움에서 옮겨올 때 Type 2/3 수준의 거의 동일한 실행 환경과, 극적으로 낮아진 가스 비용을 누린다. 메인넷에서 스왑 한 번에 가스비만 30달러씩 부담해야 했던 프로토콜도, ZkEVM 상에서는 스마트컨트랙트를 다시 짤 필요 없이 건당 센트(cent) 단위 수수료로 소매 투자자를 다시 끌어들일 수 있다.

브리지 및 크로스체인 애플리케이션은 여러 체인에 증명을 올리는 모듈형 ZkEVM 구조에서 혜택을 본다. 과거 가장 많이 털린 카테고리였던 멀티시그 브리지 대신, 온체인에서 검증되는 수학적 증명을 신뢰하는 방식으로 넘어갈 수 있다.

기업·기관 투자자는 퍼미션드 또는 세미 퍼미션드 환경에서, 검증된 실행 엔진과 암호학적 감사 가능성을 확보할 수 있다. 모든 상태 전이는 ‘증명 가능한’ 올바른 연산이기 때문에 규제 준수와 회계 처리 측면에서 유의미한 장점을 제공한다.

개발자라면 새 프로젝트를 시작하기 전에 Type 4와 Type 2 사이의 트레이드오프를 이해해야 한다. 새로 솔리디티를 작성하고, 최대한 빠른 증명 생성과 최저 수수료를 원한다면 Type 4 네트워크가 맞을 수 있다. 반대로 이미 운영 중인 프로토콜을 이전하며, 미묘한 동작 차이조차 감수하기 어렵다면 Type 2 또는 Type 3가 더 안전한 선택이다.

일반 이용자는 대체로 ZkEVM을 “이더리움과 지갑이 그대로 통하는, 빠르고 저렴한 체인” 정도로 경험한다. 기존 지갑을 그대로 쓰고, 기존 토큰을 브리지를 통해 옮겨와 쓴다. 그 아래에서 돌아가는 암호학적 장치는 철저히 보이지 않는다. 좋은 인프라가 원래 그래야 하듯이.

맺음말

ZkEVM은 응용 암호학에서 가장 어려운 ‘수렴 문제’ 가운데 하나다. 수학적 구조를 고려하지 않고 설계된 가상머신을, 영지식 증명이 이해할 수 있는 언어로 억지로 번역하는 작업에 가깝다.

이를 풀어낸 팀들은 해시 함수 비호환성, 제약식 폭발, 논문이 나올 당시에는 존재하지도 않던 프로버용 하드웨어 등의 난제를 수년간 붙들고 씨름했다.

이 분야는 여전히 빠르게 진화 중이다. 증명 생성 시간은 계속 짧아지고, 탈중앙화 프로버 네트워크가 하나둘 가동을 시작했다. 이더리움과 완전히 동일한 Type 1 수준의 등가성도 여러 팀이 목표를 향해 격차를 좁혀가고 있다.

이더리움 생태계에 구축하거나 투자하려는 누구에게든, 마케팅 슬로건을 넘어 ZkEVM이 실제로 어떻게 작동하는지 이해하는 일은 이후 모든 의사결정의 전제가 된다.

다음 읽을 거리: 엔비디아, 5000억달러 AI 자금 드라이브…크립토 컴퓨트 토큰에 쏠리는 시선

왜 ZkEVM은 이더리움 코드를 그대로 실행하면서 영지식 증명으로만 검증할까