범용 체인의 프라이버시 내장 업데이트를 바라보며

Key Takeaways

• 최근 수이와 스타크넷이 각각 기밀 전송과 STRK20을 발표하며 프라이버시 기능을 내놓았다. 두 체인 모두 프라이버시를 내세웠지만, 무엇을 숨기고 누가 공개 권한을 갖는지에서 정반대에 가까운 설계를 택했다.
• 스타크넷 STRK20은 송신자와 수신자, 금액을 모두 가려 트랜잭션 그래프 자체를 끊는 차폐 풀 모델을 가지며, 감사 주체는 추적용 읽기 권한만 가질 뿐 자산을 압류할 수 없도록 구현되었다. 반면 수이의 기밀 전송은 금액만 숨기고 송수신자는 공개하며, 발행자가 동결, 압류, 감사 권한을 코드 수준에서 모두 보유하는 발행자 중심 구조를 갖는다. 스타크넷은 자산을 보호하려는 디파이 사용자를 겨냥한 사용자 주권형 프라이버시를, 수이는 컴플라이언스를 포기할 수 없는 스테이블코인 발행사와 기관을 겨냥한 규제 순응형 프라이버시를 구현하고자 했다.
• 프라이버시는 이제 전용 체인의 전유물이 아니라 범용 L1의 기본 기능이 되어가고 있다. 범용 체인이 쓸 만한 프라이버시를 도입하기 시작하면서, 애매한 유동성과 기술력을 가진 프라이버시 특화 체인은 입지가 좁아질 수밖에 없다. 이들이 살아남을 자리는 메타데이터와 네트워크 레이어까지 가리는 전면적 프라이버시나 프라이빗 연산과 같이 범용 체인이 구조적으로 닿기 어려운 스펙트럼의 극단이 될 것이다.

0. 들어가며: 수이와 스타크넷의 프라이버시 기능 발표

6월 8일과 9일, 하루 간격으로 수이(Sui)와 스타크넷(Starknet)이 각각 프라이버시 기능을 발표했다. 수이는 기밀 전송(Confidential Transfers)의 퍼블릭 베타 버전을 공개했고, 스타크넷은 STRK20이라는 이름의 프라이버시 프레임워크를 메인넷에 출시했다.

둘 모두 프라이버시를 전면에 내세우지만, 막상 구조를 보면 숨기고자 하는 것과 통제 권한 측면에서 정반대에 가까운 설계를 보인다. 이번 글에서는 이 둘을 비교하고, 최근 범용 레이어1 체인들이 프라이버시 기능을 내장하는 것이 어떤 의미를 갖는지 논한다.

1. 스타크넷 STRK20: 프라이버시 풀을 지갑 안으로

Source: Starknet

STRK20은 스타크넷 위의 모든 ERC-20 자산에 적용 가능한 프라이버시 프레임워크로, 노트(note) 기반 프라이버시 풀 구조를 채택했다. 자산을 차폐(shield)하면 해당 자산은 STRK20 프라이버시 풀에 예치되고 암호화된 노트로 표현되며, 이후의 프라이빗 액션은 기존 노트를 소비하고 새 노트를 생성하는 방식으로 이루어진다. 이는 지캐시(Zcash) 계열의 UTXO식 차폐 풀 모델을 스타크넷의 증명 스택 위에 이식한 것에 가깝다.

프라이빗 전송시 외부 관찰자는 송신자, 수신자, 금액, 그리고 어떤 프라이빗 잔고가 사용되었는지를 전혀 볼 수 없다. 각 전송은 영지식 증명으로 검증되는데, 이 증명은 소비되는 노트의 존재 여부, 전송자의 소유권, 이중 지불 여부 등의 사실만을 확인한다. 이는 트랜잭션 그래프 자체를 완전히 끊는 모델이다.

STRK20은 지갑에 우선적으로 배포된다. 레디엑스(Ready X)와 엑스버스(Xverse) 지갑에서 한번의 클릭만으로 차폐가 가능하도록 하는 기능을 지원하며, 차폐 자산으로는 프라이빗 스왑과 풀 내부의 프라이빗 전송이 즉시 가능하도록 했다. 차폐 트랜잭션 비용은 4 STRK(현재가 기준 약 0.12달러)로 책정되었으며, 스타크넷의 대출 프로토콜 베수(Vesu), 리퀴드 스테이킹 프로토콜 엔두어(Endur), 탈중앙 거래소 에쿠보(Ekubo), 다크풀 프로젝트 질리스(Zylith) 등 생태계 전반의 디파이 프로토콜들이 실디드 자산 지원을 예고했다.

이처럼 스타크넷은 기존 스타크넷 디파이의 자산과 유동성 위에 프라이버시를 기능으로 얹는 접근을 선택했다. 이 설계의 세부 사항은 스타크웨어 연구진이 발표한 기술 논문에 공개되어 있다. 수이가 컨트랙트 코드 저장소를 공개한 것과 달리 STRK20은 구현 코드 대신 프로토콜 명세를 페이퍼로 공개했으므로, 아래에서는 논문이 정의한 핵심 구조를 기준으로 살펴본다.

1.1. 노트(Note)와 널리파이어(Nullifier)

STRK20에서 자산은 노트 단위로 존재한다. 노트를 쓸 때는 그 노트를 소비했다는 표식인 널리파이어를 공개하는데, 두 값은 서로 다른 방식으로 생성된다.

각 노트의 식별자는 소유자와 토큰 종류, 금액을 통해 생성되며, 노트를 쓸 때 공개되는 널리파이어에는 이에 더해 소유자만 아는 비밀값이 추가로 들어간다. 그래서 외부에서는 특정 노트와 널리파이어를 연결지을 수 없으며, 노트를 만들어준 송신자조차 그 노트가 언제 쓰였는지 알 수 없다. 다만 노트마다 고유의 널리파이어가 연결되기에 같은 노트를 두 번 쓰는 행위는 컨트랙트 차원에서 이미 나온 널리파이어를 거부하는 형태로 방지할 수 있다.

1.2. 노트 탐색과 컴플라이언스

프라이버시 풀에서는 수신자가 자신의 노트를 어떻게 찾느냐가 가장 큰 과제이다. 지캐시는 풀 안의 모든 거래를 일일이 확인해야 해서 풀이 커질수록 느려지는 반면, STRK20은 송신자가 노트를 수신자와 공유한 비밀에서 유도된 위치에 저장해, 수신자가 자기 노트만 찾아보면 되도록 구현되어 탐색 비용을 풀 전체가 아닌 각 계정의 활동량에 비례하도록 설계되었다. 다만 이를 위해 누군가에게 처음 보낼 때 수신자 주소가 한 번 온체인에 드러나기에, 수신 사실자체는 노출될 수 밖에 없는 트레이드오프를 가진다.

STRK20은 규제 순응 기능을 위해 등록 시점에 사용자의 뷰잉 키를 감사 주체의 공개키로 암호화해 온체인에 올려두는 방식을 사용한다. 감사 주체는 정당한 규제 요청이 있을 때만 특정 사용자의 뷰잉 키를 풀어 그 사람의 거래 내역을 추적할 수 있고, 무관한 사용자는 영향을 받지 않는다. 감사 주체는 자금을 옮기는 데 필요한 서명 키는 갖지 못하므로, 추적은 가능해도 자산을 동결하거나 압류할 수는 없다.

1.3. 활용과 한계

STRK20은 풀 내부 전송을 넘어 기존 스타크넷 디파이와의 거래도 지원하지만, 여기서는 모든 영역에서의 기밀성보다는 익명성에 초점을 두었다. AMM 스왑은 거래량이 AMM의 가격에 영향을 주므로 금액을 숨길 수 없기에, 신원만 가리는 선택을 한 것이다. STRK20은 따라서 금액과 토큰은 평문으로 두되 소유자만을 숨기는 방식을 도입했으며, 이를 통해 사용자는 기존 계정으로 익명 스왑이나 스테이킹을 할 수 있다.

또한, 같은 금액으로 입출금하거나 입금 직후 바로 출금하면 두 거래가 연결될 수 있기에, STRK20은 빠른 입출금용 믹서라기보다는 풀에 자금을 묶어두고 내부에서 거래하는 사용자를 위한 설계에 더 가깝다. 사용자 신원 자체는 페이마스터(paymaster)가 대신 수수료를 내고 거래를 제출하는 구조를 통해 가려질 수 있다.

2. 수이의 기밀 전송: 금액만 가리는 기밀성

Source: Sui

스타크넷과는 달리, 수이는 완전한 익명성은 문제를 해결하지 못한다고 명시적으로 선을 그었다. 수이는 기밀 전송 기능 출시를 알리는 블로그 글에 금융 시스템은 감사 가능성과 필요시 개입할 수 있는 능력을 요구하며, 온체인 결제에 결여된 것은 불투명성이 아니라 통제라고 주장했다.

이를 보여주듯 수이는 기밀 전송이 잔고와 전송 금액만을 숨기도록 구현했다. 송신자와 수신자는 그대로 공개되고, 자산 발행자가 자신의 토큰에 기밀 모드를 활성화할지, 민감 데이터에 누가 어떤 조건으로 접근할 수 있는지를 정의한다. 거래소는 금액이 비공개여도 입출금 처리에 필요한 신호를 받을 수 있고, 분석 업체는 모니터링과 조사 워크플로우를 계속 지원할 수 있다. 수이가 추구하는 바는 익명성보다는 잔고 기밀성에 가까우며, 프라이버시 풀보다는 전통 금융의 데이터 접근 통제 모델을 온체인에 옮긴 것과 유사해보인다.

파트너 구성을 보면 이 기능이 누구를 향하는지가 더 분명해진다. 수이는 스테이블코인 생태계 내 기밀 금융 플로우를 탐색하기 위해 브릿지(Bridge)와 협업 중이고, TRM Labs와 머클 사이언스(Merkle Science) 등 인텔리전스 서비스들이 이 모델 안에서 리스크 스코어링, 모니터링, 조사가 어떻게 작동할 수 있는지를 함께 검토하고 있다. 따라서 수이의 기밀 전송은 기존의 디파이 유저보다는 스테이블코인 발행사, 결제 사업자, 기관의 트레저리 운영자에 더 초점이 맞춰져 있는 것으로 보인다.

미스텐 랩스가 공개한 구현체의 Move 컨트랙트를 직접 살펴보면 수이의 기밀 전송이 보다 기관에 초점에 맞춰져 있음을 확인할 수 있다.

2.1. 계정 구조

핵심 자료구조인 TokenAccount를 보면 수이 모델의 공개/비공개 경계가 한눈에 보인다.

위의 코드를 통해 암호화되는 것은 active와 pending 두 개의 EncryptedBalance뿐임을 확인할 수 있다. 계정 자체는 사용자 주소로부터 파생된 온체인 객체이므로 계정 소유자가 누구인지, 누구에게 전송했는지는 공개 정보로 남는다.

주목할 부분은 두 가지다.

• is_frozen 플래그가 계정 구조체에 내장되어 있기에, 동결 기능이 프로토콜 수준에서 구현되어 있다.
• verified_key_encryption 필드는 사용자의 뷰잉 키를 감사자(auditor)들의 공개키로 암호화한 값으로, 발행자가 감사자를 설정한 토큰이라면 계정 등록 시점부터 감사 가능성이 강제된다. 사용자는 자신의 키가 올바르게 암호화되었음을 영지식 증명(KeyConsistencyProof)으로 입증해야만 계정을 등록할 수 있다. 이는 곧 계정 등록 시점부터 컴플라이언스가 강제됨을 의미한다.

이에 더해, STRK20이 노트 기반 풀과 STARK 증명을 쓰는 것과 달리 수이는 잔고 자체를 동형암호로 암호화한다. 사용하는 스킴은 Ristretto255 위의 Twisted ElGamal로, 솔라나 Token-2022의 기밀 전송 확장(extension)과 유사한 설계를 갖는다.

암호문 두 개를 좌표 단위로 더하면 평문의 합에 대한 암호문이 되는 가법 동형성 덕분에, 컨트랙트는 잔고를 복호화하지 않고도 입금을 누적할 수 있다.

2.2 발행자의 개입 권한

수이 모델의 발행자 중심성을 가장 극명하게 보여주는 함수는 set_balance_by_issuer다.

TreasuryCap<T>를 가진 발행자는 어떤 계정의 암호화된 잔고든 동형 연산을 우회해 직접 덮어쓸 수 있다. 수이는 이를 법원 명령, 키 분실 복구, 사기 회수 등을 위한 기능이라고 명시하고 있다. 이 외에도 발행자는 ManagementCap을 통해 동결 권한자를 지정하고, 감사자 키 셋을 로테이션하며, set_policy로 register/wrap/unwrap 각 단계를 자체 컨트랙트(KYC 화이트리스트, 인출 지연 등) 뒤에 위치시킬 수 있다. 저장소에는 실제로 화이트리스트 기반 등록을 구현한 예제와, 인출에 의무 대기 시간을 두는 쓰로틀러(throttler) 예제가 레퍼런스로 포함되어 있다. 이는 곧 수이의 기밀 전송은 발행자가 모든 정책을 정의, 동결/압류/감사 권한을 모두 코드 수준에서 보유한다는 것을 의미한다.

3. 스타크넷과 수이의 프라이버시 설계 차이

두 설계의 차이는 아래와 같이 두 가지로 정리할 수 있다.

1. 프라이버시를 제공하는 대상: STRK20은 송신자, 수신자, 금액을 모두 숨겨 트랜잭션 그래프를 단절시키고, 수이는 금액만 숨기고 그래프는 공개 상태로 유지한다. 이는 보호 강도의 차이이자, 동시에 분석 가능성의 차이다. 수이 모델에서는 금액을 몰라도 "누가 누구와 얼마나 자주 거래하는가"라는 관계 정보가 그대로 남는다. 반대로 STRK20 모델에서는 관계 정보까지 사라지는 대신, 프라이버시의 실효성이 풀에 참여하는 익명성 집합(anonymity set)의 크기에 의존하게 된다.
2. 데이터 공개의 권한: STRK20에서는 사용자가 기본적으로 비공개 상태를 가지며, 뷰잉 키를 통한 공개가 예외적 절차로 존재한다. 수이에서는 발행자가 기밀 모드의 활성화 여부와 접근 정책을 정의하고, 위에서 본 것처럼 동결과 압류 권한까지 보유하는 발행자 중심의 구조를 갖는다. 전자는 사용자 주권에서 출발해 컴플라이언스를 예외로 붙인 구조이고, 후자는 컴플라이언스 요구사항에서 출발해 그 범위 안에서 기밀성을 허용하는 구조이다.

이 차이는 각 체인의 포지셔닝과 정확히 일치한다. 스타크넷에게 프라이버시는 디파이 생태계의 차별화 기능이다. 비탈릭이 올해 초 L2가 추구해야 할 가치로 가장 먼저 프라이버시 특화를 꼽았던 것을 상기하면, STRK20은 그 조건에 가장 직접적으로 응답한 사례라고 할 수 있다.

반면 수이에게 기밀 전송은 결제 및 스테이블코인 인프라를 향한 업데이트이다. 수이는 금융 시스템이 온체인으로 대규모 이동하기 위해서는 금융 활동이 이미 의존하고 있는 기밀성, 컴플라이언스, 상호운용성 요구사항을 지원해야 한다는 철학에 기반해 기밀 전송을 구현한 것으로 생각된다.

4. L1 체인의 프라이버시 기능 내장이 시사하는 점

STRK20과 수이의 기밀 전송은 프라이버시 관련 기능들이 주요 범용 L1 체인들에 구현되기 시작했음을 보여주는 대표적인 사례라고 할 수 있다. 그리고 두 체인은 이 기능이 도달할 수 있는 두 개의 서로 다른 시장을 각자 선점하려 하고 있다. 스타크넷은 자신의 자산을 보호하려는 디파이 사용자와 트레이더를, 수이는 컴플라이언스를 포기할 수 없는 발행사와 기관을 겨냥한다.

이는 수이와 스타크넷의 단순한 내러티브 편승이라고 보기는 어렵다. 이더리움 역시 같은 방향으로 움직이고 있기 때문이다. 현재 2026년 하반기로 예정된 헤고타(Hegota) 업그레이드 사이클에서는 프라이버시 인프라와 관련된 세 개의 제안이 논의되고 있다. 프로토콜이 직접 관리하는 공유 차폐 풀(shared shielded pool)을 도입해 파편화된 프라이버시 앱들의 익명성 집합을 통합하자는 EIP-8182, 프라이버시 풀이 인출 자산으로 수수료를 지불할 수 있게 하는 EIP-8141, 공유 송신자 프라이버시 설계를 위한 키 기반 논스(keyed nonce)를 도입하는 EIP-8250이 그것이다. 특히 EIP-8182는 UTXO 구조와 Groth16 영지식 증명을 기반으로 하면서도 관리자 키, 프록시 컨트랙트, 일시정지 기능을 의도적으로 배제한 설계를 채택했는데, 이는 STRK20보다도 더 사용자 주권 쪽으로 치우친 모델이다. 물론 EIP-8182는 아직 드래프트 단계로 헤고타 포함이 확정된 것은 아니지만, 이더리움 재단 리더십이 컴플라이언트 프라이버시를 빠른 최종성과 함께 2026년의 핵심 우선순위로 지목했다는 점에서 방향성 자체는 분명해보인다.

솔라나는 오히려 이 흐름의 선두에 있었다. 솔라나는 이미 2025년 4월 Token-2022의 기밀 전송 기능을 확장한 기밀 잔고(Confidential Balances) 기능을 출시, 동형암호와 영지식 증명으로 전송 금액, 발행/소각량, 수수료를 가리면서도 규제 준수를 유지하는 모델을 제시한 바 있다. 발행자가 감사자 키를 지정해 컴플라이언스 목적의 복호화를 허용하는 구조이며, 페이팔의 PYUSD가 솔라나에서 해당 확장을 이미 탑재했다.

즉, 현재 상황을 정리하면 다음과 같다. 이더리움과 스타크넷은 트랜잭션 그래프를 끊는 차폐 풀 모델로, 솔라나와 수이는 금액만 가리는 발행자 통제형 기밀성 모델로 각각 수렴하고 있다. 메이저 범용 체인들 사이에서 이제 프라이버시 기능은 기본 기능이 되어가는 추세이며, 이제 프라이버시 제공 여부보다는 규제 순응 여부와 데이터 주권 수준에서의 차이로 차별점이 이동하고 있다.

이러한 상황은 프라이버시 특화 레이어1들에게 양면적인 신호다. 시장은 분명 프라이버시 내러티브에 강하게 반응하고 있다. 프라이버시 특화 체인들이 현재 시장의 뜨거운 관심을 받고 있으며, 특히 지캐시의 경우 패러다임(Paradigm)과 a16z crypto 주도 하에 2,500만 달러 규모의 투자로 ZODL(Zcash Open Development Lab)이 설립되는 등 자본의 관심도 구조적으로 유입되고 있다.

그러나 동시에, 범용 체인들이 "충분히 쓸 만한" 프라이버시를 자체 기능으로 흡수하기 시작하면서 애매한 수준의 유동성과 기술력을 기반으로 한 프라이버시 체인들은 빠르게 쇠퇴할 수 밖에 없다고 생각된다. 일반 사용자가 자산을 옮기지 않고도 기존 지갑에서 즉시 차폐할 수 있다면, 굳이 별도의 프라이버시 체인으로 이동할 유인은 줄어들 수밖에 없기 때문이다. 프라이버시 특화 체인들이 살아남을 자리는 결국 범용 체인이 구조적으로 제공하기 어려운 영역, 즉 메타데이터와 네트워크 레이어까지 포괄하는 기본값으로서의 전면 차폐, FHE/MPC 기반의 프라이빗 연산과 같은 스펙트럼의 극단이 될 것이다.