Polygon은 Offchain Labs에 반박하며 ZK Rollup이 이더리움 확장의 미래라고 주장했다

원문 저자: Brendan Farmer, Polygon 엔지니어

원문 제목: 《ZK와 이더리움 확장의 미래》

편집: 하일스만, 체인캐처

지난 달, Offchain Labs는 《왜 Optimistic Rollup이 ZK Rollup보다 이더리움 확장의 미래를 더 잘 대표한다고 말하는가?》라는 제목의 기사를 발표하며 ZK Rollups와 Optimistic Rollup 두 가지 확장 기술을 비교했습니다. 1월 19일, Polygon의 제로 지식 증명 엔지니어 Brendan Farmer는 OR 커뮤니티의 기사에 응답하며 "우호적인 논쟁"을 하겠다고 밝혔습니다. 이 두 기사를 통해 우리는 두 기술의 장단점을 보다 객관적이고 변증법적으로 비교할 수 있습니다.

Arbitrum은 최근 Optimistic Rollups(OR)가 이더리움의 미래를 대표한다고 주장하는 훌륭한 기사를 발표했습니다. ZK Rollups(ZKR)와 비교할 때, Optimistic Rollups는 고유한 확장성과 비용 이점을 제공합니다. 기사가 잘 작성되어 있어 읽어볼 가치가 있습니다.

우호적인 논쟁의 정신을 바탕으로, 우리는 다른 관점을 제시하고자 합니다. Polygon은 ZK에 10억 달러를 투자했으며, 이는 우리가 이더리움 확장 솔루션 중 가장 유망한 경로라고 확신하고 있음을 충분히 보여줍니다.

Optimistic Rollups가 "준비 완료"의 이점을 가지고 있지만, ZK 확장 솔루션은 두 가지 구조적 이점을 가지고 있습니다:

1. ZK Rollups는 온체인 및 오프체인 데이터 모델을 지원하여, 후자는 어떤 Rollup보다 더 높은 처리량과 더 낮은 비용을 제공합니다; 2. 사용자는 이더리움과의 브리지를 오갈 때 지연이 없으며, 유동성 제공자에 의존하지 않습니다.

2021년에는 서로 다른 사용자들이 보안성과 거래 비용 간의 다양한 균형을 선호한다는 점이 분명해졌습니다. 이는 Polygon의 빠른 성장 때문입니다. Optimistic Rollups는 보안을 제공하지만, 거래 비용은 사이드체인이나 알트-L1보다 훨씬 높습니다.

ZK는 사용자가 보안성과 비용 간의 특정 균형을 요구하지 않습니다. 사용자가 rollup 모드를 선택할 때, ZK는 Optimistic rollup에 비해 동등한 보안성과 더 높은 자본 효율성을 제공합니다. 데이터가 오프체인일 때, ZK는 사이드체인 및 알트-L1보다 더 높은 확장성과 보안을 제공하며, 비용은 동일합니다.

우리는 ZK의 확장성, 낮은 비용 및 자본 효율성이 이더리움을 10억 사용자로 확장하는 데 최상의 선택이 될 것이라고 믿습니다.

Rollups 개요

Rollups는 거래 실행을 체인 외부로 이동시키는 이더리움 확장 방법으로, 이더리움이 각 거래의 유효성을 보장합니다. 실제로 우리는 자금을 스마트 계약에 예치하고, 집계 시 이러한 자금과 저렴한 가격으로 상호작용하여 우리의 자금이 이더리움에서 거래하는 것만큼 안전하다는 것을 보장할 수 있습니다.

이는 rollup이 이더리움을 데이터 가용성과 거래 검증에 사용하기 때문에 가능합니다. rollup의 최신 상태를 복구하고 새로운 거래를 추가하는 데 필요한 모든 데이터는 이더리움에 게시되며, 거래는 사기 또는 유효성 증명을 통해 검증됩니다.

OR에서 사용되는 사기 방지 메커니즘은 자금이 분쟁 기간 동안 잠겨 있어야 한다고 요구합니다(현재 Arbitrum과 Optimism은 1주일 동안 잠금). 만약 rollup에 유효하지 않은 거래가 포함되어 있다면, 누구든지 분쟁 기간 동안 사기 증명을 제출하여 이를 복원할 수 있습니다. 반면, ZK rollup은 모든 거래가 유효하다는 것을 암호화된 방식으로 보장하는 유효성 증명을 포함하여 지연의 필요성을 제거합니다.

ZK의 상태

우선, ZK rollup이 아직 대규모 확산에 도달하지 않았다는 점을 인정해야 합니다. 우리는 여전히 일반 스마트 계약을 지원하는 ZK rollup이 생산에 투입되기를 기다리고 있으며, 현재 사용되는 증명 시스템의 효율성은 아직 낮습니다.

그러나 미래를 바라보면, ZK 암호학은 믿을 수 없는 속도로 발전하고 있습니다. 재귀 증명은 확장 가능하고 탈중앙화된 ZK rollup의 중요한 원리이며, 10년 전에는 이것이 단지 이론적 수준에 머물렀습니다. 두 년 전, 재귀 증명을 생성하는 데 2분이 걸렸습니다. 그러나 오늘날, Polygon Zero 팀이 만든 혁신적인 증명 시스템인 plonky2 덕분에 우리는 증명 시간을 밀리초 단위로 측정할 수 있게 되었습니다. 노트북에서 재귀 증명을 생성하는 데 단 170ms가 걸리며, 우리는 증명 시간과 비용이 계속 줄어들 것으로 예상합니다.

Arbitrum의 기사는 증명 생성이 막대한 비용을 발생시키며, 이는 수천 번의 비싼 타원 곡선 연산이 포함되기 때문에 사용자에게 부담이 될 것이라고 주장합니다. 그러나 plonky2는 전혀 타원 곡선을 사용하지 않으며, 우리의 벤치마크는 노트북에서 실행되었습니다.

실제로, rollup 비용은 주로 CALLDATA의 비용에 의해 결정됩니다. 우리는 Arbitrum의 현재 거래 비용에서 이를 확인할 수 있으며, 여기서 토큰 교환 비용은 약 4달러입니다. 비교를 위해, 32개의 코어와 64GB RAM을 가진 c6g.8xlarge 인스턴스에서 교환을 증명하는 데 10분이 걸린다고 가정하더라도(Polygon Zero에 비해 상대적으로 높은 추정치), 추가 비용은 단 0.18달러에 불과합니다.

CALLDATA와 비교할 때, 이는 특별히 큰 비용이 아니며, 우리가 볼 수 있듯이 ZK의 다른 이점들에 의해 상쇄됩니다. 제로 지식 기술 은 빠르게 발전하고 있으며, 현재 제로 지식 확장 솔루션을 경시하는 것은 매우 단기적인 시각입니다.

Validium

서로 다른 사용자들은 블록체인의 비용과 보안성 간의 다양한 균형을 선택합니다. 수백만 명이 Polygon PoS 체인을 사용하여 낮은 비용과 높은 처리량을 얻고 있으며, 거래 유효성이 rollup처럼 보장되지 않더라도 말입니다.

우리는 수백만 사용자가 확장 솔루션을 선택할 때, 데이터를 오프체인에 두는 것을 rollup보다 선호할 것이라고 믿습니다. Validium(Starkware가 발명한 용어)는 ZK-rollup과 유사하게 유효성 증명을 이더리움에 게시하여 거래 유효성을 보장하지만, CALLDATA 비용을 절감하기 위해 데이터를 오프체인에 유지합니다. Validium은 많은 이점을 가지고 있습니다:

• CALLDATA 블록 크기의 제한을 받지 않으므로 rollup보다 100배 이상의 처리량으로 확장할 수 있습니다.
• 비용이 훨씬 낮습니다.
• 비용 변동성이 더 낮아야 하며, Validium이 소비하는 가스가 훨씬 적기 때문에 사용자는 블록 공간에 대한 rollup 경매 전쟁에 휘말리지 않습니다.

ZK 확장은 L2의 설계 공간을 Validium을 포함하여 열어주며, 이는 Optimism과 ZK rollup보다 더 높은 처리량을 제공하고 자금이 도난당하지 않을 것이라는 암호화된 보장을 제공합니다.

Validium에 대한 (완전한) 가정적 공격

ZK 회의론자들은 이론적으로 Validium의 검증자가 사용자 자금을 직접 훔칠 수는 없지만, 사용자에게 공격을 감행하여 체인의 최신 상태를 억제하고 새로운 거래 처리를 거부할 수 있다고 지적할 것입니다. 따라서 검증자는 사용자 자금을 탈취할 수 있습니다. 그러나 우리는 이 문제가 과장되었다고 생각합니다.

우선, "데이터 억제 공격"은 3분의 2의 검증자가 참여해야 하며, 이는 대량의 스테이킹 자산이 위험에 처하게 됨을 의미합니다. 공격은 토큰 가격을 폭락시키고, 공격자의 스테이킹 토큰 가치를 낮추며, 미래의 수익을 상쇄합니다. 검증자는 사용자 자금을 직접 훔칠 수 없기 때문에, 그들은 영향을 받는 사용자에게 몸값을 지불하도록 조정해야 하며, 따라서 지불은 불확실합니다. 또한, 고래는 rollup 모드를 유지할 수 있으므로, 공격자는 많은 사용자로부터 몸값을 성공적으로 추출해야 손실을 보전할 수 있습니다. 실제로 이러한 공격이 어떻게 수익성이 있을 수 있는지 이해하기 어렵습니다.

추가적인 확장성 이점

Validium이 제공하는 엄청난 확장성 이점 외에도, ZK rollup은 OR보다 더 높은 확장성을 제공합니다. 개발자에게는 보안을 희생하지 않고 CALLDATA 사용을 줄일 수 있는 옵션을 제공합니다. 모든 rollup은 최신 상태를 복구하는 데 필요한 최소한의 데이터를 게시해야 하지만, OR은 각 개별 거래를 검증하는 데 필요한 모든 데이터를 이더리움에 게시해야 합니다. 반면, ZKR은 각 거래 배치의 최소 상태 증분을 이더리움에 게시하여 계좌의 최종 상태를 복구하는 데 필요한 정보만 게시할 수 있습니다. 이는 AMM 풀과 같은 계약의 상태 업데이트를 압축하는 데 매우 중요합니다.

OR 지지자들의 한 가지 반응은 이러한 압축이 실제로 중요한 체인 데이터를 숨기며, rollup은 각 거래 기록에 대한 신뢰할 수 없는 가시성을 제공해야 한다는 것입니다. 나는 이 주장이 중요한 관점을 간과하고 있다고 생각합니다. ZKR에서 개발자들은 필요로 하는 소수의 애플리케이션을 위해 압축되지 않은 CALLDATA를 게시할 수 있지만, 대부분의 애플리케이션과 사용자는 더 낮은 비용을 선호할 것이며, 이는 오직 ZKR만이 제공할 수 있는 절충안입니다.

따라서 ZK는 온체인 및 오프체인 데이터 가용성에 대한 확장 이점을 제공합니다. 우리가 이더리움을 10억 명에게 제공하려면, 사용자가 비용과 보안 간의 균형을 선택할 수 있어야 합니다.

자본 효율성

OR은 1주일의 분쟁 기간이 있으며, 이는 rollup에서 탈퇴하고자 하는 사용자에게 출금 지연을 초래합니다. 출금 지연에 대한 많은 악평이 있으며, 이더리움 채굴자나 검증자가 가정한 1주일의 검토 공격은 물론 매우 신뢰할 수 없습니다.

그러나 출금 지연은 실제로 자본 효율성을 저하시킵니다. 조기 출금은 가능하지만, 시장 조성자는 자본 효율성을 완전히 제거할 수 없으며, 특히 규모가 클 경우 더욱 그렇습니다. 암호화 변동성이 있을 때, 1주일은 사실 매우 긴 시간이며, OR 간의 유동성 진입과 퇴출 간에 불균형이 있다면, 유동성 제공자는 출금 기간 동안 잠금 자금을 보유하는 위험을 감수해야 합니다. 유동성 제공자는 빠른 출금을 위해 낮은 비용을 제공하기 위해 경쟁할 것이지만, 그들은 사용자에게 전가해야 하는 잠금 자금의 막대한 기회 비용에 직면하게 될 것입니다.

반면, ZK 확장 솔루션은 사용자가 이더리움에 증명을 게시할 때 자금을 인출할 수 있도록 하여 유동성 제공자의 필요성을 제거하고 자본 효율성을 높입니다. Arbitrum의 기사는 ZK rollups가 이더리움 L1에 브리징할 때만 이점이 있다고 주장하지만, 실제로 ZK rollups는 다른 체인에서도 유효성 증명을 확인할 수 있어 거래 유효성과 빠른 출금을 보장할 수 있습니다.

ZK의 단점

ZK rollups는 실제로 몇 가지 단점에 직면해 있습니다. Polygon Hermez 팀은 완전한 zkEVM rollup에서 주목할 만한 진전을 이루었으며, 여기서 EVM 바이트코드의 실행은 유효성 증명을 통해 직접 검증될 수 있습니다. Solidity를 ZK 친화적인 바이트코드로 컴파일하는 데 집중하는 다른 팀들, 예를 들어 Polygon Zero 또는 Polygon Miden, StarkWare 및 zkSync의 팀은 기존 이더리움 개발자 도구를 사용할 때 어려움에 직면할 수 있습니다.

하지만 실제로 대부분의 Solidity 코드의 동작은 동일해야 하며, EVM에서 ZK 바이트코드로 전환하는 과정에서 수행한 수정은 기능에 영향을 미치지 않으며, 주로 Keccak-256과 같은 산술 회로에서 계산 비용이 높은 원리를 산술 회로 친화적인 원리로 대체하는 것과 관련이 있습니다.

결국, 제로 지식 확장이 제공하는 구조적 이점은 개발자 도구를 개선하고 조정할 충분한 유인을 제공해야 하며, 이를 통해 ZK L2에 더 쉽게 배포할 수 있습니다.

결론

결론적으로, 우리는 제로 지식 확장이 이더리움의 미래라고 믿습니다. Optimistic rollups는 놀라운 기술이며, 이더리움을 괴롭히는 높은 가스 비용에 대한 직접적인 해결책을 제공합니다. 그러나 Optimistic rollups는 사용자가 보안성이 더 높은 비용과 자본 효율성 저하라는 특별한 균형을 맞춰야 하도록 강요합니다.

반면, ZK는 더 많은 다양한 유형의 사용자를 수용할 수 있으며, rollup 모드로 거래하는 사용자, 비용에 둔감한 고래, 또는 검증 모드로 저렴한 거래를 하는 사용자 모두를 포함합니다. ZK는 이더리움을 10억 사용자에게 제공하는 최상의 경로를 제공합니다.

또한, ZK는 확장성과 자본 효율성 외에도 이점을 가지고 있습니다. OR은 L1에서의 가능성에 제한을 받으며, 사기 증명은 이더리움에서 실행될 수 있어야 합니다. ZK는 이러한 제한이 없으며, 다양한 서명方案(Apple Secure Enclave에서 사용되는 P-256 곡선이 떠오르나요?)와 L1에서 지원하지 않는 원리를 사용할 수 있습니다. 사용자는 L2에서 비공식적으로 대량 거래를 수행하여 더 낮은 비용으로 L1의 유동성을 얻을 수 있으며, 이는 Aztec가 개척한 방법입니다.