2029 카운트다운: 이더리움 양자내성 장정, Hegotá에서 출발

원문 저자: KarenZ, Foresight News

양자컴퓨터가 아직 블록체인의 문을 두드리지 않았지만, 이더리움 재단은 이미 달력에 한 날짜를 표시해 두었다. 2029년 12월이다.

이는 이더리움 재단 프로토콜 팀이 스스로 설정한 엔지니어링 기한이다. 양자 위협이 비교적 일찍 도래할 수 있는 시나리오에 대비하여, 위험이 실제로 임박하기 전에 이더리움 1계층 네트워크의 양자내성 전환을 완료하는 것을 목표로 한다.

현재 계획 중인 Hegotá는 이더리움을 완전한 양자내성 블록체인으로 직접 바꾸지는 않지만, 후속 계획이 제때 추진될 수 있을지를 결정하게 된다.

EF, 'Q-day'에 2029년 기한을 미리 설정

'Q-day'는 일반적으로 실제 공격 능력을 갖춘 양자컴퓨터가 등장하여 기존 공개키 암호 체계가 실질적인 위협에 직면하게 되는 가상의 시점을 가리킨다.

그 시점이 언제 올지는 누구도 정확히 예측할 수 없다. 이더리움 재단도 대다수의 신뢰할 만한 예측에 따르면 Q-day가 2030년 이후, 심지어 훨씬 늦을 수 있으며, 아예 오지 않을 가능성도 있다는 점을 분명히 인정하고 있다.

이더리움 재단 프로토콜 팀은 다소 보수적인 엔지니어링 가정을 채택했다. 이더리움 1계층은 Q-day가 가장 이르면 2030년에 도래할 수 있는 상황에 대비해 미리 준비해야 한다는 것이다.

이를 위해 프로토콜 팀은 2029년 12월 이전에 이더리움 1계층의 실행, 합의, 데이터 세 부분이 완전한 양자내성 능력을 갖추도록 하는 목표를 제시했다.

이 목표는 영원히 조정되지 않는 것은 아니다. 프로토콜 팀은 2027년 1월에 외부 전문가 의견을 반영하여 양자컴퓨팅 발전 상황을 재평가할 계획이다. 그 전까지 2029년 기한은 쉽게 양보할 수 없는 작업 목표로 간주된다.

양자내성 전환에 수년의 준비 기간이 필요한 이유는 이더리움이 한 가지 암호 기술만 사용하는 것도 아니고, 서명 알고리즘 하나만 교체한다고 해서 마이그레이션이 완료되는 것도 아니기 때문이다. 사용자 계정이 거래 승인을 어떻게 증명하는지, 검증자가 합의에 어떻게 참여하는지, 데이터가 어떻게 검증되는지 모두 서로 다른 암호 구조와 관련되어 있다. 어떤 수정이든 사양 설계, 클라이언트 구현, 보안 감사, 개발 네트워크 테스트, 메인넷 조정을 거쳐야 하므로, 위협이 이미 나타난 후에 처리하기 시작할 수는 없다.

Hegotá는 '양자내성 업그레이드'가 아니지만, 전체 계획의 첫 번째 시험대

이더리움 재단 프로토콜 팀이 현재 발표한 기준 로드맵에 따르면, Glamsterdam 네트워크 업그레이드는 2026년 12월 메인넷 출시를 목표로 하며, 완전한 양자내성 능력은 Glamsterdam 이후 다섯 번째 하드포크인 L*에 배정되어 목표 시점은 2029년 12월이다. Glamsterdam에서 L*까지는 3년밖에 되지 않으므로, Hegotá, I*, J*, K*, L*를 순차적으로 완료하려면 업그레이드 간 평균 간격이 약 7.2개월에 불과하다.

이는 상당히 공격적인 일정이다. 현재 이더리움 재단은 Hegotá, I*, J*, K* 각각에 대해 확정된 메인넷 출시 시점을 별도로 발표하지 않았다. 확실한 것은 클라이언트 팀이 이르면 2026년 4분기 후반부터 Hegotá 구현을 시작할 것으로 예상하며, 여러 후속 버전의 연구, 사양, 테스트가 병행 추진되어야 한다는 점이다.

현재 로드맵에 따른 각 단계의 주요 내용은 다음과 같다.

• Hegotá: 이 로드맵의 출발점에 위치한다. 공식적인 위상은 매우 명확하다. Hegotá 자체는 양자내성 업그레이드가 아니지만, 후속 양자내성 업그레이드가 제때 추진될 수 있을지를 결정하게 된다.
• I*: 양자내성 공개키 레지스트리를 배포하여 계정 등록과 양자내성 공개키 사용을 위한 프로토콜 기반을 마련한다. 동시에 합의 분리(decoupling consensus)가 현재 이 버전의 선도적인 핵심 후보 방향이며, 규모가 큰 상태 구조 설계 및 마이그레이션 작업도 I*부터 시작될 것으로 예상된다.
• J*: '최소 실행 가능 양자내성'(MV-PQ) 1계층을 구축한다. 핵심 구성 요소로는 합의 계층의 양자내성 하트비트 메커니즘, 데이터 계층의 포스트 양자 leanDA 샘플링, 실행 계층의 포스트 양자 leanSPHINCS 트랜잭션이 포함된다.
• K*: 현재 기준 순서에 따르면 강제 실행 증명을 도입한다. 이때 검증자의 발전 방향은 모든 검증자가 전체 블록을 다시 실행하는 것이 아니라 간결한 실행 증명을 검증하는 것이다.
• L*: 현재 기준 순서에 따르면 완전한 양자내성 합의에 필요한 양자내성 증명 메시지, 즉 포스트 양자 attestations를 추가하고, 2029년 12월에 실행 계층, 합의 계층, 데이터 계층의 완전한 양자내성 목표를 달성한다.

다만 K*와 L*의 작업 순서는 아직 최종 확정되지 않았다. 프로토콜 팀은 양자내성 증명 메시지를 L*에서 K*로 앞당겨 완전한 양자내성 능력을 더 일찍 실현하고, 강제 실행 증명을 K*에서 L*로 미루는 교환 방안을 평가하고 있다. 이 방안을 채택하면 K*와 L*의 구체적인 역할과 업그레이드 리듬이 그에 맞게 변경된다. 따라서 현 단계에서 가장 정확한 표현은 다음과 같다. 2026년 12월은 Glamsterdam의 현재 메인넷 목표이고, 2029년 12월은 기준 로드맵에서 L*와 완전한 양자내성 능력의 목표이다. K*와 L*의 내부 순서는 여전히 조정될 수 있다.

연구자, 클라이언트 개발자, 보안 감사자, 테스트 팀은 Hegotá를 완료하는 동시에 I*, J*, K*, L*를 위한 사양과 프로토타입을 미리 준비해야 한다. Hegotá에 서로 영향을 주는 기능이 너무 많이 포함되면 자체 출시가 지연될 뿐만 아니라 후속 양자내성 작업에 필요한 팀 자원까지 잠식하게 된다.

따라서 이더리움 재단 프로토콜 팀은 Hegotá 후보 제안을 S(2건), A(15건), B(8건), C(7건), DFI(28건), TBD(2건) 등급으로 분류했다. 총 62건의 후보 제안이다. S등급은 반드시 제공해야 함을 의미하고, A등급은 높은 우선순위로 제공이 예상됨을, B등급은 사양, 프로토타입 또는 담당자 확인 등의 조건을 충족해야 함을, C등급은 현재 포함 기준에 미달함을, DFI는 이번 업그레이드에 포함하지 않을 것을 권장함을, TBD는 보류를 의미한다.

Hegotá의 두 S등급: FOCIL과 Frames

프로토콜 팀이 발표한 Hegotá 등급 분류에서 S등급에 들어간 EIP는 단 두 개뿐이다. 합의 계층의 EIP-7805 FOCIL과 실행 계층의 EIP-8141 Frame 트랜잭션이다.

이들은 각각 트랜잭션 수명 주기의 두 가지 핵심 문제를 다룬다. 조건을 충족하는 트랜잭션이 블록에 포함될 수 있는지, 그리고 계정이 어떤 방식으로 트랜잭션을 검증하고 실행할 수 있는지이다.

FOCIL(EIP-7805)의 전체 명칭은 '포크 선택 규칙에 의해 강제되는 포함 목록'(Fork-choice enforced Inclusion Lists)이다. 목표는 이더리움의 트랜잭션 포함 보장을 개선하는 것이다.

현재 전문 블록 빌더가 블록 생성을 주도하고 있다. 이러한 분업은 블록 구축 효율을 높이는 데 도움이 되지만, 블록 생산이 소수 빌더에게 장기간 집중되면 이들이 강력한 트랜잭션 선별 능력을 갖게 될 수도 있다. FOCIL은 따라서 정상적인 블록 구축 프로세스 외에 검증자로부터의 포함 제약 계층을 추가한다.

FOCIL 설계에 따르면, 각 슬롯마다 검증자 그룹이 선출되어 '포함 목록 위원회'(IL committee)를 구성한다. 위원회 구성원은 자신이 관찰한 대기 중인 트랜잭션을 바탕으로 각각 포함 목록을 작성하여 브로드캐스트한다. 다음 슬롯의 블록 빌더는 이 목록들을 수집하고, 블록을 구축할 때 실행 조건을 충족하는 트랜잭션을 포함시킨다. 새 블록을 증명하는 검증자도 자신이 제때 수신한 포함 목록을 저장하고, 블록이 해당 요구 사항을 충족하는지 확인한다.

블록이 정당한 이유 없이 검증자가 저장한 목록의 트랜잭션을 누락하면 증명자는 해당 블록에 투표하지 않는다. 이러한 블록은 실행 계층에서는 여전히 유효한 블록일 수 있지만, 정식 체인에 포함되는 데 필요한 합의 지지를 얻을 수 없다. 이것이 FOCIL의 의미이다. 위원회 구성원이 블록을 직접 수정하는 것이 아니라, 검증자의 투표 여부를 통해 블록 빌더의 선택을 제약하는 것이다.

함께 제공되는 EIP-8369는 어떤 트랜잭션이 FOCIL의 강제 포함 보장을 받기에 적합한지 추가로 설명한다. 일반 트랜잭션의 누락 사유는 비교적 검증하기 쉽지만, Frames 트랜잭션은 프로그래밍 가능한 검증을 허용하므로 판단 비용이 더 높다. 따라서 읽을 수 있는 상태 범위와 검증 예산을 추가로 제한해야 한다.

쉽게 말해, FOCIL은 검증자가 블록 빌더의 일을 빼앗는 것이 아니라, 빌더에게 합의 계층 규칙을 하나 추가하는 것이다. 여전히 블록 내 대부분의 트랜잭션을 배치할 수 있지만, 합리적인 이유 없이 위원회가 나열한 적격 트랜잭션을 지속적으로 무시할 수는 없다.

Frame Transactions(EIP-8141)은 계정 계층 문제를 다룬다. 트랜잭션 검증, 트랜잭션 실행, 가스 지불을 프로토콜 계층에서 더 프로그래밍 가능하게 만들어 네이티브 계정 추상화의 기반을 제공하는 것을 목표로 한다. Vitalik은 EIP-8141의 공동 저자 중 한 명이다.

현재 대부분의 일반 이더리움 계정은 고정된 유형의 개인키 서명에 의존한다. Frames는 계정이 새로운 서명 체계 채택, 여러 승인 조건 결합, 다른 계정의 트랜잭션 수수료 지불 등 더 유연한 검증 로직을 사용할 수 있도록 하는 것을 목표로 한다. 또한 서명 집계를 지원하고, 향후 각 체계마다 별도의 하드포크 없이 새로운 서명 체계를 도입할 수 있게 한다.

그러나 Frames 자체는 완전한 양자내성 서명 체계가 아니며, Hegotá 출시 직후 기존 키를 즉시 폐기하지도 않는다. Frames가 제공하는 것은 '암호 민첩성'이다. 향후 서명 체계를 교체해야 할 경우, 계정이 프로그래밍 가능한 검증을 통해 마이그레이션을 완료할 수 있으며, 하나의 키 체계에 영구적으로 묶이지 않게 된다.

Frames는 두 건의 A등급 제안을 핵심 동반 요소로 필요로 한다. EIP-8250 Keyed Nonces는 동일한 발신자가 서로 독립적인 nonce 채널을 사용할 수 있게 하여, 서로 다른 트랜잭션이 하나의 엄격한 순서를 공유함으로써 서로를 차단하지 않도록 한다. EIP-8272는 트랜잭션이 검증자가 확인할 수 있는 최근 온체인 상태를 사용할 수 있게 하여, 관련 프라이버시 트랜잭션도 FOCIL이 제공하는 포함 보장을 받을 수 있도록 한다.

따라서 FOCIL과 Frames는 서로 무관한 두 기능이 아니다. 전자는 블록이 어떤 적격 트랜잭션을 반드시 포함해야 하는지를 바꾸고, 후자는 트랜잭션 자체의 검증 구조를 바꾼다. 둘이 안전하게 호환될 수 있는지가 Hegotá의 가장 중요한 테스트 과제 중 하나이다.

S등급 외에 주목할 만한 EIP는?

S등급 제안이 Hegotá의 주된 방향을 정의하지만, 여러 A등급 제안 역시 이더리움의 미래 계정 보안, 양자내성 마이그레이션, 실행 증명, 자원 가격 책정에 영향을 미칠 것이다.

먼저 EIP-8365이다. 일부 BLS 출금 자격 증명에 대한 단계적 폐기를 시작할 계획이다. 이러한 자격 증명은 충분히 강력한 양자 공격에 직면할 경우 보안성을 상실할 수 있는 암호 기술에 여전히 의존하고 있기 때문이다. 프로토콜 팀은 이 마이그레이션을 완전한 양자내성 합의 설계가 확정될 때까지 기다릴 필요 없이 미리 시작할 수 있다고 판단한다.

계정 보안 측면에서 EIP-7906, EIP-8298, EIP-8151은 Frames의 확장 조합으로 간주된다.

EIP-7906은 트랜잭션 어서션(Transaction Assertions) 메커니즘을 도입하여, 트랜잭션이 최종 제출되기 전에 지정된 결과가 발생했는지 확인하도록 한다. 이 메커니즘은 악의적인 컨트랙트가 지갑 자산을 빼내는 행위와 일부 MEV 행위로 인한 손실을 줄이는 것을 목표로 한다. 다만 이 제안의 구체적인 읽기 범위는 여전히 연구 및 축소 중이므로, 현재 설계를 이미 확정된 최종 사양으로 간주해서는 안 된다.

EIP-8298은 계정이 기존 컨트랙트 코드를 재사용할 수 있게 하여, 위임된 계정이 완전한 코드를 가진 스마트 컨트랙트 계정으로 더욱 전환될 수 있도록 한다. EIP-8151은 기존 계정 코드가 있는 주소가 계속해서 전통적인 ecRecover 인증에 의존하는 것을 제한한다.

이 두 제안이 결합되어야 계정이 기존 secp256k1 키를 최고 통제 자격 증명으로 사용하는 것을 진정으로 중단하고, 향후 기존 키 체계에서 벗어나기 위한 완전한 경로를 구축할 수 있다.

EIP-8025(선택적 실행 증명)는 향후 zkEVM 로드맵과 관련이 있다. 선택적 실행 증명에 필요한 변경 사항을 통합 실행 사양에 포함시켜, 서로 다른 zkVM 프로젝트가 각자의 포크 버전을 장기간 유지 관리하는 문제를 줄이는 것을 목표로 한다.

EIP-8279(블록 액세스 목록 바이트 계층)와 EIP-8131(통합 트랜잭션 콘텐츠 계층)은 실행 보안 제안 그룹이다. 두 제안은 각각 블록 액세스 목록과 트랜잭션 콘텐츠에 대한 최소 가격 책정 기준을 설정하여, 공격자가 가격이 낮게 책정된 콘텐츠를 이용해 극단적인 자원 부담을 유발하는 것을 제한하는 것을 목표로 한다. 이들은 최악의 경우 블록 처리 비용을 먼저 해결하는 것이지, 네트워크 용량 증가를 직접 선언하는 것은 아니다. 이로 인해 생기는 보안 여유를 활용해 용량을 확대할지는 추후 별도로 결정해야 한다.

EIP-3298은 가스 환불 메커니즘을 완전히 제거하여 계량, 구현, 테스트에서의 특수 사례를 줄이는 것을 목표로 한다. EIP-5920(PAY Opcode)은 컨트랙트가 수신자 코드를 실행하지 않고 ETH를 전송할 수 있게 하여 '가치 이전'과 '컨트랙트 호출'을 명확히 분리한다.

한편, 주목받던 일부 제안은 여전히 B등급에 머물러 있다.

예를 들어 EIP-8198(Quick Slots)은 슬롯 시간 단축을 목표로 하지만, 프로토콜 팀은 핵심 프로토콜 변경을 포괄하는 사양, 완전한 프로토타입, 다운스트림 영향 평가를 먼저 완료하고, 향후 합의 분리 설계를 방해하지 않음을 입증할 것을 요구한다. 슬롯 시간은 블록 생성 속도뿐만 아니라 네트워크 전파, 합의 판단, 애플리케이션의 시간 가정에도 영향을 미치기 때문이다.

또한 EIP-8368과 EIP-8372는 'TBD'(보류)로 분류되었다. 두 제안은 가스 한도와 상태 자원 가격 책정과 관련이 있으며, 프로토콜 팀은 Glamsterdam이 2026년 12월 메인넷에 출시된 후의 메인넷 데이터를 기다렸다가 재보정이 필요한지 판단하기로 했다.

Hegotá에 최종적으로 몇 건의 EIP가 포함되는지는 이번 업그레이드의 성공 여부를 판단하는 유일한 기준이 아니다.

더 중요한 것은 보안과 테스트 품질을 희생하지 않으면서 FOCIL, Frames 및 핵심 동반 요소를 제공하고, 동시에 I*의 공개키 레지스트리와 합의 분리, J*의 최소 실행 가능 양자내성 능력, K*와 L*의 실행 증명 및 완전한 양자내성 합의를 위한 충분한 연구 개발 자원을 남겨둘 수 있는지 여부이다.

현재 목표에 따르면 Glamsterdam은 2026년 12월에 이 빡빡한 업그레이드 주기를 시작하고, 기준 로드맵의 L*는 2029년 12월에 종착점에 도달한다. 중간의 각 업그레이드는 자신의 기능만 완수해서는 안 되며, 다음 단계가 계속 추진될 수 있도록 보장해야 한다.

양자 위협이 2030년 이전에 현실화될지 여부는 누구도 확실한 답을 줄 수 없다. 그러나 이더리움의 현재 선택은 이미 분명하다. 먼저 위험에 기한을 설정하고, 각 제안이 사양, 프로토타입, 테스트를 통해 메인넷 진입 조건을 갖추었음을 증명하도록 하는 것이다.

기사 참고:

https://blog.ethereum.org/2026/09/07/protocol-hegota-eips

https://blog.ethereum.org/2026/09/07/protocol-priorities

https://x.com/VitalikButerin/status/2073459000398463446