시트레아: 비트코인의 기관 활용을 위한 레일

Key Takeaways

• 비트코인은 최대 규모의 암호화폐이자 가장 오래 검증된 자산이지만, 동시에 활용도가 가장 낮은 자산이기도 하다. 현물 ETF의 등장으로 기관의 비트코인 보유 경로는 열렸으나, 보유한 비트코인을 생산적으로 활용하는 경로는 여전히 닫혀 있다. 그 제약의 원인은 수익률이나 상품의 부재가 아니라, 비트코인을 활용하기 위해서는 매번 특정 주체를 신뢰해야 한다는 구조적 문제에 있다.
• 시트레아(Citrea)는 비트코인 최초의 영지식 증명 롤업(zk-rollup)을 표방하는 체인으로, 데이터 가용성과 정산(settlement)을 모두 비트코인에 의존한다. 비트코인의 합의 규칙을 바꾸지 않고 그 위에 프로그래머블한 실행 환경을 올리는 것이 핵심이다.
• 시트레아의 활용 전략은 세 개의 축으로 구성된다. 첫째는 BitVM2 기반의 신뢰 최소화 브릿지 클레멘타인(Clementine)으로, 1-of-N 신뢰 가정 위에서 비트코인을 cBTC로 이전한다. 둘째는 규제와 정렬된 스테이블코인 ctUSD로, 문페이(Moonpay)가 발행하고 M0 인프라가 뒷받침하며 단기 미국 국채와 현금으로 1:1 담보된다. 셋째는 비트코인 경제의 자본 흐름을 조정하는 토큰 CTR로, vote-escrow 스테이킹과 이중 트레저리(dual treasury), 그리고 5천만 달러 이상의 기관 자본의 생태계 유동성 약정을 통해 자본의 배치를 정렬한다.

1. 침묵하는 자산, 비트코인

20세기 중반, 전 세계 중앙은행의 금고에는 막대한 양의 금이 보관되어 있었다. 금은 정치적 격변과 통화 가치의 변동 속에서도 가치를 유지하는 저장 수단으로 기능했으나, 어떤 종류의 현금흐름도 만들어내지 못했다. 금은 가장 안전한 자산이자 동시에 가장 게으른 자산이라는 모순된 위치에 머물렀다.

이 비생산성을 풀어보려는 시도가 1980~90년대 런던 금시장(LBMA)을 중심으로 형성된 금 임대 시장이었다. 중앙은행은 금을 팔지 않고도 수익을 얻을 수 있게 되었는데, JP모건이나 HSBC 같은 불리언 뱅크에 금을 빌려주고 임대 수수료를 받는 식이었다. 불리언 뱅크는 그 금을 다시 광산업체와 보석상에게 빌려주었고, 광산업체는 아직 캐내지도 않은 금을 미리 빌려 팔아 자금을 조달한 뒤 나중에 생산한 금으로 갚는 구조를 만들었다.

문제는 사슬이 길어질수록 그 위에 얹히는 위험도 함께 자란다는 데 있었다. 1999년 9월 유럽 주요 중앙은행이 금의 매각과 대여를 제한하는 워싱턴 협정을 발표하자 금값은 2주 남짓 만에 20%가량 상승했고, 금을 선매도해 둔 광산업체들은 일순간 대규모 평가손실과 마진콜을 맞이했다. 임대 사슬의 마디마다 거래상대방 위험이 쌓이는 동안 한 번 대여된 금이 재담보를 거듭하면서 실물보다 훨씬 큰 청구권이 시장에 떠다니고 있었다는 사실이 시장에 드러난 것이다. 금 임대 시장은 가치 저장 자산을 운용하는 과정에서 신뢰 사슬이 연장되며, 사슬이 길어질수록 신뢰도는 떨어질 수밖에 없다는 교훈을 남겼다.

비트코인이 서 있는 자리도 크게 다르지 않다. 2024년 1월 SEC가 현물 비트코인 ETF를 승인한 뒤로 기관의 비트코인 보유는 빠르게 늘었고, 현물 ETF 운용자산만 1,000억 달러를 넘긴 데다 기업 트레저리와 기관 보관 물량까지 더하면 그 규모는 수천억 달러에 이른다. 비트코인은 디지털 금이라는 자리를 얻었으나, 이전에 금이 그랬던 것과 같이 현금흐름을 만들어내지 못하는 유휴 자산으로 위치해 있다.

이에 비트코인을 활용하려는 시도는 지난 수년간 지속되었으나, 대부분의 시도는 금 임대 시장이 직면했던 것과 동일한 한계에 부딪혔다. 가장 큰 문제는 가치 저장 자산을 생산적으로 활용하기 위해 신뢰 가정을 어디까지 양보할 것인가라는 문제였다. 비트코인의 활용을 위해 신뢰를 어디까지 양보할 것인가라는 질문이 매번 되돌아왔고, 비트코인 활용의 역사는 자산 전부를 한 주체에 맡기는 방식과 누구에게도 맡기지 않는 방식이라는 두 극단 사이에서 타협점을 찾는 과정이었다.

필자는 앞서 비트코인 생태계의 확장은 불가피하다고 논하면서, BitVM2와 zkVM, OP_CAT 같은 기술이 비트코인의 신뢰와 브릿지 문제를 단계적으로 풀어가고 있다고 본 바 있다. 다만 그때 제시한 해법의 상당수는 "언젠가 가능해질 것"이라는 미래형에 머물러 있었던 만큼, 시트레아가 의미를 갖는 지점은 그 미래형을 현재형으로 옮겨놓았다는 데 있다. 같은 기술들을 실제 메인넷으로 구현해, 비트코인을 신뢰의 양보 없이 굴린다는 오랜 과제에 일단 작동하는 형태의 답을 내놓았기 때문이다.

시트레아(Citrea)는 앞서 말한 타협점을 한쪽으로 옮기려는 프로젝트로, 신뢰의 사슬을 늘리는 대신 비트코인 네트워크가 직접 검증할 수 있는 형태로 활용 인프라를 다시 짠다는 발상 위에 서 있다. 본 글에서는 시트레아가 기관 자본의 비트코인 활용 인프라로 어떻게 자리 잡아가고 있는지를, 그 구조와 의의를 가능한 한 구현 수준까지 내려가 살펴본다.

2. 비트코인을 활용하기 위해 치러야 했던 대가

2.1 비트코인은 왜 그대로는 쓸 수 없는가

비트코인의 활용을 가로막는 첫 번째 벽은 비트코인 자체의 설계에 놓여 있다. 비트코인의 스크립트 언어는 보안과 검증 용이성을 위해 의도적으로 단순하게 다듬어졌고, 그 단순함은 곧 복잡한 금융 로직을 담아낼 수 없다는 제약으로 돌아왔다. 반복문이 없고 상태를 유지하지 못하며, 특정 출력 자금이 이후 어떻게 쓰여야 하는지를 묶어두는 코버넌트(covenant)도 존재하지 않는 비트코인 스크립트로는 이더리움의 범용 스마트 컨트랙트와 같이 복잡한 프로그램을 구현할 수 없었다. 탈중앙화 거래소나 대출 프로토콜, 스테이블코인을 비트코인 위에 그대로 올리는 일이 불가능한 이유다.

그 결과 비트코인 보유자가 자신의 비트코인을 활용하려면 비트코인 외부로 이동해야 했으며, 비트코인 외부로 향하는 모든 우회로에는 공통의 대가가 따랐다. 비트코인의 가장 큰 자산인 '무신뢰성(Trustlessness)'을 포기하는 것이다.

2.2 비트코인 활용의 우회로와 신뢰 비용 문제

지금까지 비트코인을 활용하기 위한 우회로는 크게 네 가지였으며, 각각 상이한 방식으로 동일한 비용을 치렀다.

• 첫째는 중앙화된 수탁 대출 데스크다. 비트코인을 회사에 위탁하고 달러를 차입하거나 이자를 수취하는 방식으로, 한때 가장 널리 활용되었다. 현재도 코인베이스(Coinbase), 갤럭시 디지털(Galaxy Digital)과 같은 기관 데스크와 넥소(Nexo)와 같은 전문 데스크가 비트코인 담보 대출 시장의 한 축을 이루고 있다. 그러나 이 모델은 위탁한 비트코인의 반환 여부가 해당 회사의 신용에 전적으로 의존하기에, 거래상대방 위험을 내재한다. 2022년 발생한 셀시어스(Celsius), 블록파이(BlockFi) 등의 연쇄적인 파산 신청으로 이들 데스크에 비트코인을 맡겨두었던 예치자들이 자산에 대한 통제권을 잃었던 사건은 이러한 위험을 수면 위로 드러낸 바 있다.
• 둘째는 래핑된 비트코인(wrapped BTC)이다. 대표 주자인 WBTC는 비트코인을 수탁업체에 맡기면 이더리움 네트워크 위에 1:1로 연동된 토큰을 발행해 디파이에 활용할 수 있게 해준다. 이는 비트코인에 프로그래밍 가능성을 부여하긴 했으나, 이 역시 수탁자에 대한 신뢰가 전제되어야 한다. WBTC는 비트고(BitGo)가 실물 비트코인을 보관하는 구조인데, 2024년 수탁 구조 변경을 둘러싼 리스크가 불거지자 수많은 디파이 프로토콜들이 WBTC 의존도를 급격히 낮췄다. 사용자가 신뢰하는 대상이 비트코인의 내재적 보안이 아니라 수탁 기업의 운영 능력과 도덕성이었기 때문이다.
• 셋째는 사이드체인으로, 스택스(Stacks)나 루트스톡(Rootstock)과 같이 비트코인을 자산으로 사용하는 독립 블록체인을 구축하려는 시도가 오랫동안 이어졌다. 그러나 사이드체인은 독립적인 합의와 검증자 집합을 가지며, 비트코인과 사이드체인을 연결하는 브릿지는 대체로 다중서명(multisig)이나 연합 서명에 의존한다. 루트스톡의 페그(Peg) 시스템은 다수 서명자 과반의 정직함을 전제하고, 스택스의 sBTC 역시 정직한 다수가 존재해야 안전하다. 비트코인 L2를 표방한 많은 프로젝트가 실제로는 신뢰가 필요한 브릿지를 가진 사이드체인에 불과했다는 비판이 비트코인 커뮤니티 내부에서 끊이지 않았다.
• 넷째는 라이트닝 네트워크(Lightning Network)다. 라이트닝은 비트코인의 무신뢰성을 가장 잘 보존한 솔루션 중 하나이지만, 그 강점이 결제 영역에 집중되어 있어 범용적인 스마트 컨트랙트로 확장하기는 어렵다. 게다가 채널 개설과 유동성 관리, 인바운드 유동성 확보 같은 운영상의 복잡함이 일반 사용자에게는 만만치 않은 진입장벽으로 작용했고, 그 결과 라이트닝 지갑 서비스의 상당수가 결국 다시 중앙화된 수탁형으로 회귀하는 아이러니가 빚어졌다.

네 경로는 모두 비트코인의 무신뢰성을 일정 부분 포기하는 방식으로 작동했다. 자산을 특정 주체에 위탁하거나, 비트코인이 아닌 별도의 신뢰 집합을 신뢰해야 했으며, 이는 기관이 수용하기 어려운 지점이었다.

2.3 기관이 요구하는 조건은 무엇인가

비트코인 운용이 기관 금융 수준에서 안전하게 작동하려면, 기존 우회로들의 실패 사례를 거울삼아 다음 세 가지 조건이 반드시 충족되어야 한다.

1. 신뢰 최소화 기반의 수탁과 이전: 비트코인을 실행 환경으로 보내고 다시 회수하는 전 과정에서 특정 기업이나 다중서명 주체를 신뢰하지 않아도 자산의 안전이 보장되어야 한다. 극단적으로 브릿지 운영사 전체가 증발하더라도 사용자가 독자적으로 자신의 비트코인을 안전하게 회수할 수 있어야 한다.
2. 규제 준수형 가치 안정화 단위: 대출, 거래, 정산이 원활히 돌아가려면 가격 변동성이 심한 비트코인만으로는 한계가 있다. 반드시 달러에 연동된 안정적인 자산이 함께 필요하며, 기관이 안심하고 쓸 수 있도록 명확한 규제 테두리 안에서 발행된 자산이어야 한다.
3. 자본 조율을 위한 경제적 장치: 아무리 훌륭한 인프라가 갖춰지더라도 초기 유동성을 공급할 자본과 그 자본의 효율적 배치를 유도할 인센티브 메커니즘이 없다면 생태계는 활성화되지 않는다.

시트레아의 아키텍처는 이 세 가지 조건에 한 축씩 정확히 대응한다. 신뢰를 최소화한 수탁은 클레멘타인(Clementine) 브릿지가, 규제 정렬형 가치 단위는 ctUSD가, 자본 조율은 CTR 토큰이 각각 맡으며, 이 모든 요소가 유기적으로 작동할 수 있게 떠받치는 토대가 시트레아라는 실행 레이어다.

3. 시트레아: 최초의 비트코인 기반 영지식 롤업

3.1 시트레아의 차별점: BitVM 기반 영지식 롤업의 구현

Source: Citrea

시트레아는 스스로를 최초로 영지식 증명을 통해 비트코인 네트워크에 정산하는 영지식 롤업을 표방하고 있다. 더 깊게는 타입2 zkEVM으로 분류하고 있는데, 이는 실행환경 내에 영지식 증명 회로를 내장하면서도, 기존의 이더리움 가상머신(EVM)과 거의 동등하게 작동하는 영지식 증명 기반 실행 환경이라는 것을 의미한다. 따라서 시트레아에서는 이더리움에서 작동하는 솔리디티(Solidity) 컨트랙트를 거의 수정 없이 배포할 수 있다. 이는 기관 입장에서 새로운 실행 환경에 맞춰 별도의 엔지니어링 자원을 투입할 필요 없이, 이미 검증된 이더리움 생태계의 코드베이스와 감사 자료를 그대로 활용할 수 있다는 운영상의 이점으로 이어진다.

시트레아 위에서 모든 활동의 단위가 되는 자산은 cBTC다. cBTC는 비트코인을 1:1로 표현한 시트레아의 네이티브 자산이자 가스 토큰으로, 시트레아 위에서 일어나는 모든 거래의 수수료가 cBTC로 지급된다. cBTC는 ERC-20의 형태가 아닌 시트레아 프로토콜 자체의 네이티브 토큰의 형태로 발행된다.

거래의 순서를 짜고 블록을 만드는 역할은 일반적인 롤업들과 마찬가지로 시퀀서(sequencer)라는 주체가 담당한다. 시퀀서는 시트레아의 멤풀에 들어온 거래를 약 2초마다 모아 블록을 만들고, EVM 환경에서 거래를 실행하며, 새로운 상태 루트를 계산해 즉시 서명한다.

시트레아의 구조를 온전히 이해하기 위해서는 BitVM이라는 기술을 먼저 짚어둘 필요가 있다. BitVM은 2023년 로빈 리누스가 제안한 기법으로, 비트코인의 합의 규칙을 바꾸지 않은 채 비트코인 위에서 영지식 증명 같은 무거운 연산의 검증을 가능하게 하는 우회 장치다. 평상시에는 비트코인 위에서 아무 연산도 실행되지 않고, 누군가 결과에 이의를 제기할 때에만 분쟁이 발생한 한 조각을 비트코인 스크립트로 실제 실행해 시비를 가리는 구조인데, 구체적 작동 방식은 추후 자세히 살펴보도록 하겠다.

이 BitVM을 활용하는 방식이 시트레아를 다른 비트코인 L2들과 구분짓는다. 시트레아는 증명을 검증하기 위해 비트코인의 까다로운 스크립트 제약과 자본 병목을 극복하고자 BitVM2를 최적화한 독자적인 BitVM 브릿지 인프라를 도입해 구현했다. 클레멘타인 백서에 상세히 기술되어 있듯, 시트레아의 BitVM 구현은 간결한 헤더 체인 증명(Header Chain Proof)들을 하나의 BitVM 증명으로 결합하는 새로운 비트코인 라이트 클라이언트 설계를 활용해 비트코인 체인의 분기 선택(fork selection)이라는 핵심 난제를 해결한다. 또한 비표준(non-standard) 비트코인 트랜잭션을 활용해 단일 담보 약정 아래에서 수백 건의 출금을 동시에 처리함으로써 운영자의 자본 효율을 획기적으로 끌어올리며, 단 한 건의 부정한 출금만 반박해도 악의적 절차 전체가 멈추도록 보장한다. 더불어 시트레아는 비트코인을 데이터 가용성과 정산 양쪽에 모두 사용하므로, 검증의 근거뿐 아니라 거래 데이터의 보관과 순서 고정까지 비트코인에 맡긴다. 이는 기관 자본이 가장 민감하게 보는 영역인 '최종성(finality)'의 근거가 별도의 합의 집합이 아니라 비트코인 네트워크 자체에 놓인다는 뜻이며, 자본 운용의 안전 가정을 비트코인의 보안 예산과 동일한 선에 맞출 수 있게 한다.

3.2 증명을 비트코인이 읽을 수 있는 형태로

시트레아는 비트코인이 개별 거래를 일일이 처리하지 않고도 자신의 전체 실행 이력의 정확성을 안전하게 정산할 수 있도록 시스템을 구현한다. 시트레아는 데이터 가용성을 위해 간결한 상태 차이값을 비트코인에 직접 기록하지만, 비트코인의 스크립트 언어는 본래 영지식 증명을 읽거나 검증할 수 없다. 시트레아는 이 간극을 메우기 위해 수천 건의 오프체인 거래를 간결한 암호학적 유효성 증명, 즉 일종의 수학적 영수증으로 압축한다. 비트코인은 이 영수증을 자체적으로 평가할 수 없으므로, 시트레아는 BitVM2를 활용해 온체인에 낙관적(optimistic) 챌린지 체계를 세운다. 비트코인은 워치타워가 상태 전이에 이의를 제기할 때에만 특정 검증 스크립트를 실행하기 위해 개입한다. 따라서 시트레아의 핵심 엔지니어링 결정은 이 영수증을 만들어내는 데 그치지 않고, 발생 가능한 온체인 분쟁이 비트코인의 빡빡한 스크립트와 자원 한계 안에 무리 없이 들어맞도록 그 구조를 최적화하는 데 초점을 둔다.

3.2.1 두 개의 증명

시트레아 아키텍처를 이해하는 데 있어 가장 중요한 지점은, 시트레아가 생성하는 암호학적 증명이 배치 증명(Batch Proof)과 라이트 클라이언트 증명(LCP)이라는 서로 다른 두 종류라는 것이다.

• 첫 번째 증명은 시트레아 내부에서 발생하는 상태 변화에 대한 것이다. 어떤 사용자가 어떤 거래를 보냈고, 그 결과 어떤 컨트랙트의 상태가 어떻게 갱신되었으며, 최종적으로 시트레아 전체의 상태 루트가 어떤 값으로 바뀌었는지를 증명한다. 시트레아 내부의 실행이 정당했음을 비트코인 위에서 검증할 수 있게 하는 암호학적 토대를 제공하는 셈이다.
• 두 번째 증명은 시트레아 바깥에 있는 비트코인 자체에 관한 것이다. 라이트 클라이언트 증명자는 비트코인 블록 헤더를 추적해 시트레아 블록이 비트코인의 작업증명 규칙을 따르는지 검증하는 동시에, 비트코인의 데이터 가용성 레이어에 기록된 시트레아 시퀀서 커밋먼트와 배치 증명을 함께 검증한다. 이 증명은 시트레아의 전체 이력을 하나의 간결한 증명으로 담아내며, 외부 주체, 구체적으로는 시트레아의 BitVM 브릿지에 특정 시트레아 L2 상태 루트가 정본(canonical)이며 유효하다는 사실을 입증한다.

이더리움 기반 롤업들과는 달리 시트레아가 두 번째 증명을 별도로 필요로 하는 이유는 비트코인 자체가 자기 자신의 블록 헤더를 검증해주지 않기 때문이다. 비트코인은 트랜잭션이 들어오면 그것을 검증하고 블록에 담을 뿐, "체인의 이 부분이 유효하다"는 사실을 외부에서 끌어다 쓸 수 있는 형태로 발급해주지 않는다. 그러나 클레멘타인 브릿지가 작동하려면, BitVM을 통해 동작하는 클레멘타인 브릿지 스크립트가 운영자가 약속한 비트코인 거래가 실제로 비트코인의 정직한 체인 안에 들어 있는지를 판정할 수 있어야 한다. 이 BitVM 스크립트는 비트코인 체인 전체를 온체인에서 다시 검증할 수 없으니, 비트코인 체인의 유효성을 미리 영지식 증명으로 압축해둔 형태로 끌어다 쓰는 식이다.

3.2.2 두 개의 증명자

이 두 종류의 암호학적 증명을 만들기 위해 시트레아는 두 개의 특화된 증명 노드를 운영하는데, 하나는 배치 증명자(Batch Prover), 다른 하나는 라이트 클라이언트 증명자(Light Client Prover)다.

• 배치 증명자는 시트레아 내부의 상태 전이를 증명한다. 시트레아의 시퀀서가 일정 분량의 L2 블록들을 묶어 하나의 배치를 만들면, 배치 증명자는 그 배치를 가져와 안에 담긴 모든 거래를 리스크 제로(RISC Zero) 기반의 zkVM 위에서 재실행한다. 재실행을 통해 거래 이전의 상태 루트에서 이후의 상태 루트로 가는 전이가 정당함을 확인하고, 그 사실을 배치 증명 회로(Batch Proof Circuit)를 통해 영지식 증명으로 환산한다. 배치 증명자에는 L1 싱커(Syncer)와 L2 싱커가 함께 붙어 있는데, L2 싱커는 시퀀서가 만든 블록들을 가져오고, L1 싱커는 그 블록들이 비트코인에 실제로 기록되었는지를 가져와 맞춰본다. 시퀀서가 비트코인에 약속한 거래 순서와 배치 증명자가 본 거래 순서가 일치할 때만 증명이 정직한 것으로 인정된다.
• 라이트 클라이언트 증명자는 시트레아가 참조하는 비트코인 체인의 유효성을 증명한다. 비트코인의 블록 헤더들을 가져와 작업증명이 올바르게 수행되었는지, 난이도 조정 규칙이 지켜졌는지, 가장 많은 작업증명이 누적된 체인이 무엇인지를 검증하는 동시에, 그 블록들 안에 기록된 시트레아 배치 커밋먼트도 함께 검증한다. 그 결과를 라이트 클라이언트 회로(Light Client Circuit)에 통과시켜 영지식 증명을 만들어내는데, 이때 흥미로운 기법이 동원된다. 라이트 클라이언트 증명자는 한 블록의 유효성을 증명한 다음, 그 증명을 입력으로 받아 다음 블록까지의 유효성을 증명하고, 다시 그 결과를 입력으로 받아 또 다음 블록을 증명하는 식의 재귀 증명(recursive proof)을 사용한다. 비트코인 체인이 아무리 길어지더라도 가장 최근의 증명 한 장만 들고 있으면 그 시점까지의 비트코인 체인 전체가 유효하다는 사실을 압축해 보유할 수 있게 되는 것이다. 이 최종 증명을 라이트 클라이언트 증명(LCP, Light Client Proof)이라 부르며, 다음 장에서 다룰 클레멘타인 브릿지가 운영자의 주장을 판정할 때 핵심 근거로 사용한다.

결과적으로, 시트레아의 안전은 두 개의 서로 얽힌 검증 위에 놓여 있다. 시트레아 내부에서 일어난 일이 정직했는가는 배치 증명자가, 시트레아가 외부 세계의 어떤 비트코인 체인을 진실로 받아들였는가는 라이트 클라이언트 증명자가 각각 보증한다. 두 증명이 모두 통과해야 시트레아의 한 라운드가 완결되며, 어느 한 쪽만 위조해서는 시스템 전체를 속일 수 없다.

Source: Citrea

3.2.3 두 증명의 종착지

두 증명은 만들어지는 곳은 다르지만, 비트코인이 읽을 수 있는 형태로 압축되는 마지막 단계는 같다. 두 증명자 모두 최종 단계에서 리스크 제로(RISC Zero)의 zkVM 위에서 작동하며, 만들어낸 STARK 증명을 재귀 증명을 거쳐 Groth16 SNARK로 압축한다. zkVM은 일반적인 프로그램의 실행 과정을 영지식 증명으로 환산해주는 일종의 증명 발급 기계로 비유할 수 있는데, 시트레아는 배치 증명자 회로 안에서 이더리움과 동일한 실행 환경을 구동하며, 라이트 클라이언트 증명자 회로는 더 넓은 네트워크 구조 안에서 그와 나란히 비트코인 체인 검증 로직을 실행한다.

여기서 곧바로 부딪히는 벽이 있다. zkVM이 발급하는 영수증은 한 장에 약 200KB 수준으로, 비트코인이 처리하기에는 지나치게 크다는 점이다. 그래서 시트레아는 약 200KB 수준의 STARK 영수증을 재귀 증명을 거쳐 약 192바이트 크기의 Groth16 증명으로 감싼다. Groth16은 알려진 영지식 증명 시스템 가운데 가장 작은 증명 크기와 가장 빠른 검증 시간을 제공하기에, 비트코인에서 증명을 검증하는 유일한 우회로인 BitVM이 다룰 수 있을 만큼 검증기가 작다.

이렇게 압축된 두 증명은 순차적으로 맞물려 작동한다. 배치 증명자의 증명은 비트코인에 다시 새겨져, 데이터 가용성을 위해 L1 레이어 위에 영구적으로 고정된다. 이어 라이트 클라이언트 증명자는 비트코인 체인을 훑으며, 이렇게 기록된 배치 증명들을 비트코인 블록 헤더와 함께 받아들여 하나로 통합된 라이트 클라이언트 증명을 만들어낸다. 이 증명은 클레멘타인 브릿지로 전달되어, 브릿지 운영자가 약속한 비트코인 거래가 실제로 비트코인 체인 위에 나타나는지를 판정하는 근거가 된다.

이 구조는 4장에서 다룰 클레멘타인 챌린지 게임의 암호학적 검증 로직이 어디서 비롯되는지를 미리 보여준다. 두 회로 모두 라이트 클라이언트 증명자가 만든 LCP를 근거로 비트코인 체인의 사실관계를 판정하며, 이 판정이 가능한 이유는 시트레아가 비트코인 체인의 유효성 자체를 재귀적으로 증명해두었기 때문이다. 시트레아의 증명 구조와 클레멘타인의 브릿지 아키텍처는 같은 구조적 결정에 따른 설계라고 할 수 있다.

3.2.4 증명 시장으로의 위탁

증명 생성은 계산 부담이 큰 작업이다. 특히 두 증명자가 각각 무거운 영지식 증명을 만들어야 하므로 단일 주체가 이를 전담하면 곧 병목이 된다. 시트레아는 이 부담을 바운드리스(Boundless)라는 증명 시장에 위탁하는 구조를 채택했다. 바운드리스에서는 GPU 증명자들이 검증 가능 작업 증명(PoVW, Proof of Verifiable Work) 메커니즘을 통해 참여하며, 스테이킹한 담보를 걸고 작업을 수행하고, 요청된 슬롯 안에 유효한 증명을 제출하지 못하면 담보가 슬래싱된다. 무거운 연산을 한곳에 묶어두는 대신 누구든 참여할 수 있는 경쟁 시장으로 분산시킨 것으로, 시트레아가 다루는 거래량이 수천 배로 커지더라도 증명 발급 자체가 병목이 되지 않도록 했다. 기관 입장에서 이는 처리량(throughput) 한계가 단일 운영자의 인프라 투자 의지에 좌우되지 않는다는 의미이며, 대규모 자본이 유입되어도 결제 지연이 구조적으로 누적되지 않을 토대를 제공한다.

증명의 건전성(soundness)을 한 증명 시스템에만 의존하지 않으려는 설계도 진행 중이다. 시트레아는 현재 리스크 제로 기반의 한 가지 증명 시스템만 가동 중이지만, 석신트(Succinct)의 SP1을 적용할 수 있도록 코드 차원의 준비를 이미 마쳐두었다. 추가로 SGX와 같은 하드웨어 기반 검증도 메인넷 출시 이후의 과제로 남아 있다.

Source: Citrea

마지막으로 짚어둘 부분은 Groth16이 작동하려면 회로마다 별도의 신뢰 설정 의식(trusted setup ceremony)이 필요하다는 점이다. 여러 참가자가 각자 만든 무작위값을 결합해 공개 매개변수를 만들어내는 절차인데, 이 가운데 누군가가 자기 무작위값을 거짓 없이 폐기하기만 하면 그 누구도 가짜 증명을 위조할 수 없게 된다. 시트레아는 리스크 제로, 네더마인드(Nethermind), 스타크웨어(StarkWare) 등 63명의 참여자를 통해 신뢰 의식을 수행한 바 있다.

3.3 비트코인에 무엇을, 어떻게 기록하는가

시트레아가 비트코인에 남기는 것은 모든 거래의 사본이 아니라, 변화의 요약본이다. 누가 누구에게 얼마를 보냈는지를 일일이 적는 대신, 거래가 끝난 뒤 어떤 계정의 잔액이 얼마로 바뀌었고 어떤 컨트랙트의 상태가 어떻게 갱신되었는지를 차이값만 모아 기록한다. 여기에 최신 상태 전체를 대표하는 하나의 상태 루트과 그 변화가 정당함을 보증하는 영지식 증명이 함께 따라붙는다. 이 세 가지가 비트코인 트랜잭션 안에 끼워져 들어가는 식이다.

Source: Citrea

기록 방식 자체에도 약간의 우회가 있다. 비트코인은 본래 임의 데이터의 저장을 염두에 두지 않았으나, 2023년 이후 널리 알려진 탭루트(Taproot) 기반 인스크립션 기법을 빌려와 한 트랜잭션 안에 사실상 최대 약 397KB의 데이터를 묶어 보관할 수 있게 됐다. 시트레아는 기록 직전에 브로틀리(Brotli)라는 압축 알고리즘으로 데이터를 한 번 더 압축하고, 한도를 넘는 경우에는 데이터를 여러 조각으로 나눈 뒤 그 조각들을 묶어주는 별도의 트랜잭션을 함께 제출한다. 결과적으로 비트코인 노드를 운영하는 사람이라면 누구든 비트코인에 새겨진 이 기록만 가지고 시트레아의 전체 상태를 처음부터 다시 조립해낼 수 있다. 기관 관점에서 이는 단순한 데이터 가용성을 넘어 운영 주체로부터의 탈출 권리에 가까운 보장으로 이어진다. 시트레아 운영사가 사라지거나 인프라가 정지되더라도, 비트코인 풀노드를 가진 누구든 자신의 자산 상태를 독립적으로 재구성할 수 있다는 의미이기 때문이다.

이렇게 비트코인에 데이터를 남기는 일에는 당연히 비용이 따른다. 시트레아의 거래 수수료는 두 층으로 나뉘는데, 한 층은 시트레아 안에서의 트랜잭션 실행에 드는 일반적인 가스 비용, 다른 한 층은 그 거래가 비트코인에 남길 차이값의 크기에 비례해 매겨지는 L1 수수료다.

Source: Citrea

특이하게도 시트레아는 이 차이값의 크기를 항목별로 다르게 계산해 수수료를 매긴다. 일반 사용자의 계정 잔액이 바뀌면 원본 크기의 32%만, 컨트랙트의 내부 저장소 한 슬롯이 바뀌면 66%가 과금에 잡힌다. 다만 처음 등장하는 신규 계정이라면 그 스테이트풀 압축 인덱스를 설정하기 위해 일회성으로 추가 바이트가 과금된다. 시트레아는 20바이트짜리 전체 주소를 데이터 가용성(DA) 레이어에 그대로 기록하는 대신, 신규 주소마다 8바이트(u64)의 간결한 인덱스를 부여하고 이 대응 관계를 DA 레이어에 단 한 번만 올려둔다. 이후의 작업은 이 짧은 인덱스로 해당 계정을 참조할 수 있어, 잔액 변경처럼 빈도가 높은 작업이 상태 차분 연산 과정에서 매끄럽게 병합되며, 사용자의 장기 데이터 비용이 크게 낮아진다.

시트레아에서 한 건의 거래가 확정되는 과정은 보장 수준이 서로 다른 세 단계로 펼쳐진다. 첫 단계인 확인(Confirmed)에서는 시퀀서가 블록을 만들고 즉시 서명함으로써 사용자에게 수 초 안에 처리 결과가 돌아온다. 다만 이 단계의 결과는 비트코인에 아직 새겨지지 않았기 때문에 이론상 되돌릴 여지가 남아 있다. 두 번째인 최종화(Finalized) 단계에서는 시퀀서가 거래의 순서를 묶은 커밋먼트(commitment)을 비트코인에 기록하고, 비트코인에서 여섯 개의 블록이 생성된 이후 거래의 순서가 확정된다. 세 번째인 증명(Proven) 단계에서는 앞 절에서 만든 영수증, 즉 ZK 증명이 검증되면서 거래의 실행이 정확했음까지 비트코인에 의해 보증된다. 기관 운용 관점에서 이 세 단계는 단순한 기술 디테일이 아니라 자본 회전 속도와 결제 보장 수준 사이의 트레이드오프를 명시적으로 노출하는 장치다. 이러한 단계적 최종성을 이용하면 단기 거래는 확인 단계에서 회전시키고, 대규모 정산은 최종화 또는 증명 단계까지 기다리는 식의 차등적인 운용이 가능해진다.

4. 클레멘타인 브릿지: 신뢰 최소화된 비트코인 브릿지의 구현

4.1 BitVM: 비트코인에서 증명을 검증한다는 것

Source: bitvm.org

클레멘타인은 비트코인과 시트레아 사이의 양방향 페그(two-way peg)를 뒷받침하는 브릿지이며, 그 토대에는 앞서 3장에서 잠깐 짚었던 BitVM이라는 기술이 자리한다. BitVM이 정확히 무엇이고 어떻게 작동하는가를 이해해야 클레멘타인이 어떤 방식으로 신뢰를 축소하는지가 잡힌다.

BitVM은 2023년 로빈 리누스(Robin Linus)가 제안한 기법이다. 비트코인의 합의 규칙을 바꾸지 않고도 비트코인 위에서 임의의 복잡한 연산을 검증할 수 있게 만드는 우회 장치인데, 이 우회를 가능케 하는 두 가지 기본 도구가 있다.

첫 번째 도구는 비트코인에는 없는 코버넌트(covenant) 메커니즘을 흉내내는 장치다. 이더리움 같은 체인에는 자금이 한 번 어떤 컨트랙트에 들어가면 미리 정해진 조건이 충족되어야만 나갈 수 있도록 묶어도록 하는 기능을 스마트 컨트랙트로 구현 가능하다. 비트코인 스크립트로는 이러한 기능을 구현할 수 없어, 자금을 특정 규칙으로만 움직이도록 강제하기 어렵다. 클레멘타인은 이를 서명 방식으로 메우고자 한다. 여러 명의 서명자가 모여 N-of-N 다중서명을 구성하고, MuSig2를 이용해 각 입금마다 자금이 움직일 수 있는 거래 경로에 미리 서명해둔다. 이 과정이 끝나면 자금은 사전에 서명된 경로로만 빠져나갈 수 있다. 다른 경로로 자금을 빼내려면 서명자들이 공동으로 유효하지 않은 상태에 서명해야 하는데, 여러 서명자 가운데 단 한 명이라도 프로토콜 규칙을 벗어난 서명을 정직하게 거부한다면 그 일은 불가능해진다. 즉, 다수의 정직이 아니라 단 한 명의 정직만 있어도 안전이 보증되는 구조다.

두 번째 도구는 거짓을 입증하는 장치다. 누군가가 어떤 값을 비트코인 위에서 약속할 때, 그 값에 묶인 암호학적 해시 커밋먼트를 탭루트 스크립트 안에 함께 올린다. 이 커밋먼트는 운영자를 단 하나의 결정론적 연산 상태에 묶어두는 성질을 가진다. 원리는 단순하다. 운영자는 어떤 함수의 입력과 출력을 해시로 약속해둔다. 같은 커밋먼트가 서로 충돌하는 값으로 평가되거나 계산이 들어맞지 않으면, 이 모순이 비트코인 스크립트를 통해 적발되어 서명자의 담보를 압류할 수 있다.

이 두 도구 위에서 BitVM은 영지식 증명의 검증이라는 무거운 연산을 비트코인에서 수행할 수 있도록 한다. BitVM은 낙관적 검증(optimistic verification)에 기반한다. 시트레아가 만드는 Groth16 영수증의 검증기를 비트코인 스크립트로 그대로 옮기면 그 크기는 약 3GB에 달하는데, 비트코인의 블록 크기 한도는 4MB에 불과해 한 블록에 검증기가 들어갈 수 없다. 그래서 BitVM은 검증기를 청크(chunk) 단위로 잘게 쪼개고, 운영자가 각 청크의 모든 중간 결과를 해시 커밋먼트로 약속해두게 한다. 백서의 예시에 따르면 하나의 페그아웃당 약 960여 개의 청크가 생성되며, 운영자는 이를 어서트(assert) 트랜잭션을 통해 비트코인에 제출한다. 평상시에는 비트코인 네트워크 위에서 아무 연산도 발생하지 않지만, 분쟁이 일어나면 워치타워가 분쟁이 발생한 바로 그 청크를 담은 단 한 건의 반박(disprove) 트랜잭션을 비허가형으로 실행해 비트코인 위에서 시비를 가릴 수 있다.

BitVM은 빠르게 진화해왔다. 최초의 BitVM1은 두 명의 당사자만 참여할 수 있도록 고안되었고, 분쟁 해소에 최대 수십 건의 온체인 거래가 필요했지만, 이후의 BitVM2는 누구나 도전할 수 있는 비허가형(permissionless) 검증으로 확장되었고, 분쟁 해소 기간을 기존의 40주에서 2~3주 사이로 단축시켰다. 클레멘타인은 BitVM2 계열의 브릿지이며, 향후 등장이 예고된 BitVM3는 검증 실행 자체를 완전히 오프체인으로 옮겨 비용을 크게 낮출 것으로 전망된다. 시트레아 또한 BitVM3와의 호환을 염두에 두고 설계되었다.

4.2 클레멘타인 브릿지의 동작 메커니즘

Source: Citrea

클레멘타인 브릿지의 동작을 이해하기 위해서는 자산이 비트코인에서 시트레아로 들어왔다가 다시 비트코인으로 빠져나가는 흐름을 시간 순서대로 보는 편이 가장 빠르다. 먼저, 클레멘타인 브릿지 동작 과정에 관여하는 다섯 종류의 행위자를 다음과 같이 정의할 수 있다.

• 사용자(Users): 페그인과 페그아웃을 시작하는 주체.
• 서명자(Signers): N명의 위원회. 사전 서명을 통해 코버넌트를 에뮬레이트하며, 페그인의 금고 이동과 낙관적 페그아웃의 직접 송금을 담당한다.
• 운영자(Operators): 약 2 BTC의 담보를 예치하고, 페그아웃 시 자기 자금으로 사용자에게 먼저 비트코인을 지급한 뒤 다음 라운드에서 회수하는 합리적 행위자이다.
• 워치타워(Watchtowers): 비트코인과 시트레아 양쪽을 모니터링하며, 분쟁이 발생했을 때 자기가 본 비트코인 체인의 헤더 증명을 제출하는 감시자이다.
• 챌린저(Challengers): 운영자에게 자기 주장을 입증하도록 강제하는 비허가형 도전자. 누구든 비트코인 거래 수수료를 부담할 자본만 있으면 챌린저가 될 수 있다.

이어지는 섹션에서는 이 행위자들이 BTC를 비트코인 네트워크와 시트레아 간 이동시킬 때 어떻게 맞물리는지 페그인(Peg-In), 페그아웃(Peg-Out), 챌린지 게임(Challenge Game)의 세 흐름으로 나누어 살펴본다.

4.2.1 페그인: BTC → cBTC

Source: Citrea

사용자가 정해진 양의 비트코인을 클레멘타인에 예치하면, 그 자금은 먼저 임시 탭루트 입금 주소로 보내지고, 이어지는 후속 거래가 이를 1-of-N 가정으로 보호되는 금고로 옮긴다. 현 메인넷에서 페그인 단위는 10 BTC로 고정되어 있다. 이 금고는 코버넌트 에뮬레이션에 의해 사전에 서명된 경로로만 빠져나갈 수 있도록 묶여 있다. 사용자가 자금을 보내는 비트코인 주소는 사실상 두 갈래의 조건이 묶여 있는 탭루트 출력인데, 한쪽은 서명자 위원회가 공동 서명하고 사용자의 시트레아 주소가 함께 새겨진 브릿지 경로이며, 다른 쪽은 200블록(약 33시간) 이후 사용자가 자신의 키로 직접 자금을 회수할 수 있는 환불 경로다.

따라서 서명자 위원회가 자금을 금고로 옮기지 못하더라도, 사용자는 일정 시간 뒤 자기 키만으로 자금을 되찾을 수 있다. 정상 경로에서는 서명자들이 셋업 단계에 사전 서명해둔, 자금을 금고로 옮기는 MoveToVault 트랜잭션이 운영자에 의해 비트코인 네트워크에 제출되며, 이 거래가 비트코인에서 6블록 이상 확정된 다음 시트레아의 라이트 클라이언트 컨트랙트가 이 입금 사실과 수령 주소를 확인한 뒤에야 같은 양의 cBTC가 시트레아 안에서 발행된다. 사용자 입장에서는 비트코인 입금부터 cBTC 수령까지 통상 약 1시간 안팎의 시간이 걸린다. 실제 비트코인 예치 없이 cBTC가 무단으로 발행되는 일은 이 과정에서 자연스럽게 차단된다.

4.2.2 페그아웃: cBTC → BTC

Source: Citrea

페그 아웃의 경우 서명자의 행위에 따라 일반적인 낙관적 경로와 운영자가 개입하는 운영자 경로로 나뉜다.

• 낙관적 경로: 사용자가 시트레아 안에서 cBTC를 소각(burn)하며 출금을 요청할 때, 클레멘타인이 가장 먼저 시도하는 경로는 운영자도 챌린지 게임도 등장하지 않는 단축 경로다. 모든 서명자가 온라인 상태라면 이들이 직접 사용자의 출금 거래에 공동 서명해 BTC를 사용자에게 곧장 송금한다. 사용자는 비트코인 한두 블록 안에 출금이 가능하며, 평상시 대다수의 출금은 이 경로 위에서 마무리된다.
• 운영자 경로: 서명자 가운데 누군가가 약 12시간 이상 응답하지 않으면 낙관적 페이아웃이 이루어지지 못하며, 운영자(operator)가 개입하게 된다. 운영자는 사용자가 출금받아야 할 비트코인을 자기 자금으로 먼저 사용자에게 지급한다. 사용자는 이 경로에서도 비트코인 한두 블록 안에 자금을 받게 되고, 운영자는 그 다음 라운드에서 자기가 미리 지급한 금액을 브릿지 금고로부터 돌려받는 절차를 시작한다. 운영자가 회수 절차를 시작하려면, 환수를 청구하는 KickOff 거래를 비트코인에 제출해 챌린지 윈도우를 연다. 이후 약 1.5일의 챌린지 타임아웃 기간 동안 아무도 이의를 제기하지 않으면, 운영자는 NoChallenge 트랜잭션으로 잠금을 풀고 다음 라운드에서 환수를 받는다.

페그아웃의 구조에서 한 가지 짚어둘 점은 운영자가 자기 자금으로 선지급을 처리하므로, 한 운영자가 처리할 수 있는 출금 규모는 그 운영자가 보유한 가용 자본에 의해 제약된다는 점이다. 이는 곧 운영자 풀이 두꺼울수록 동시에 처리될 수 있는 출금의 총량이 커지는 구조로 해석할 수 있다.

4.2.3 챌린지 게임

누군가 운영자의 자금 출금 과정에 의문을 제기하면 챌린지 게임이 전개된다. 도전을 거는 자리에 있는 것이 챌린저(challenger)인데, 챌린저는 식별된 참여자에 한정되지 않고 누구든 자본을 걸 의지만 있다면 될 수 있는 비허가형 감시자다. 챌린저가 운영자의 주장에 도전을 걸면, 곧이어 워치타워(watchtower)라 불리는 또 다른 감시자들이 자신이 관측한 비트코인 네트워크의 상태를 제시한다. 워치타워는 운영자와 마찬가지로 식별된 참여자이며, 자기 노드로 비트코인 체인을 따로 따라가면서, 가장 무거운 정본 체인에 대한 간결한 헤더 체인 증명(Header Chain Proof)을 제출해 운영자가 약속한 블록 해시가 그 체인 안에 실제로 들어 있는지를 검증한다. 이 분기 선택 증명이 확립되고 나면, 주고받는 대화형 공개 절차나 윈터니츠 서명에 대한 의존이 더는 필요하지 않다. 대신 클레멘타인은 비대화형(non-interactive) BitVM2 구조를 사용하기에, 어떤 부정한 주장이든 단 한 번의 단계로 드러나 처벌될 수 있다.

이 공개된 중간 결과들 가운데 한 청크라도 잘못된 부분이 존재하는 경우, 챌린저가 그 한 청크를 직접 비트코인 위에서 실행해 운영자의 주장을 반박할 수 있다. 반박이 성공하면 운영자의 담보는 그대로 압류되고 브릿지에서 영구히 추방된다.

챌린지 게임의 판정에는 두 종류의 영지식 회로가 뒷받침한다. 하나는 헤더 체인 회로(Header Chain Circuit, 비트코인 라이트 클라이언트)로, 워치타워가 본 비트코인 체인이 유효하며 실제로 가장 무거운 작업증명 체인임을 영지식 증명으로 수학적으로 보증한다. 다른 하나는 운영자의 주장 전체를 종합 검증하는 브릿지 회로인데, 이 회로는 운영자가 가장 많은 작업증명을 가진 비트코인 체인을 제시했는지, 그 체인 안에 자기가 약속한 블록이 들어 있는지, 그 블록 안에 자기가 사용자에게 실제로 지급한 거래가 담겨 있는지, 그리고 시트레아 안에서 해당 cBTC의 소각과 출금이 실제로 일어났는지를 한 번에 입증한다.

4.3 담보와 처벌 메커니즘

클레멘타인이 신뢰가 아닌 구조로 정직성을 강제하는 방식은 담보 설계에서 가장 잘 드러난다. 운영자는 약 2 BTC 수준의 담보를 예치한 뒤에야 브릿지에 참여할 수 있으며, 단 한 번의 성공적인 반박만으로 이 담보 전액을 잃고 브릿지에서 영구히 퇴출된다. 정직한 운영자는 누구도 반박할 수 없고, 부정직한 운영자는 누구든 반박해 처벌할 수 있는 게임의 형태 위에서, 자산의 안전은 운영자에 대한 신뢰가 아니라 부정행위가 반드시 적발되고 처벌되도록 짜인 구조 자체에서 나온다. 이는 기관 자본의 관점에서 가장 중요한 변화다. 기존의 수탁형/다중서명형 브릿지에서 카운터파티 위험은 운영자의 신용도와 운영 역량을 실사하는 방식으로 관리되어왔으나, 클레멘타인 구조에서는 그 위험이 게임이론적으로 강제되는 형태로 대체된다. 다시 말해 운영자가 누구인지보다, 그 운영자가 부정을 저지를 경우 무엇을 잃게 되는지가 안전의 근거가 된다.

한 가지 짚어둘 점은, 이 담보와 처벌이 작동하는 시간 축이 사용자가 자금을 받는 시간 축과 분리되어 있다는 것이다. 사용자는 낙관적 경로라면 분 단위로, 운영자 경로라도 비트코인 한두 블록 안에 자금을 받는다. 반면 운영자가 자신이 선지급한 자금을 브릿지로부터 돌려받는 데에는 약 1.5일의 챌린지 윈도우와 그 이후의 페이오프 라운드를 합쳐 통상 1~2주가 걸린다. 이 외에도 라운드 내부에는 운영자 셋의 이탈을 안전하게 처리하기 위한 타임락이나, 결정론적 단일 라운드 챌린지 스크립트 같은 장치들이 끼어 있다. 이는 단 하나의 운영자의 부정 시도일지라도 발견하고 반박할 시간을 만들어내는 안전 마진으로 기능한다.

브릿지의 담보가 작게 유지된다는 것은 매우 흥미로운 지점이다. 통상적으로 브릿지가 수많은 출금을 처리하려면 막대한 자본이 운영자들의 담보로 묶여 있어야 하기 때문이다. 클레멘타인 백서가 들어 보이는 계산 예시에 따르면, 12년에 걸쳐 약 10만 건의 출금을 처리하는 구성에서 일반적인 방식으로는 약 250 BTC 규모의 자본이 필요하다. 그러나 클레멘타인은 라운드(약 2주 단위)마다 같은 담보를 재사용한다. 유동성을 부풀리지 않고 사전 서명된 커넥터 트리(connector tree)를 구성하기 위해, 최소 더스트 한도에 맞춰 최적화한 사용 가능한 탭루트 출력을 활용한다. 나아가 이 구조는 본래 상태 데이터를 탭루트 봉투에 감싸 과거의 정책 한도를 우회하도록 설계되었으나, 비트코인의 OP_RETURN 제약이 완화되면서 프로토콜이 데이터 커밋먼트를 온체인에 직접, 깔끔하게 고정할 수 있게 되었다. 이로써 자본 요구는 약 2 BTC 수준까지 낮아진다. 즉 무려 125배에 달하는 절감으로, 운영자의 진입 부담을 크게 줄여 더 많은 주체가 브릿지 운영에 참여할 수 있도록 설계했다. 운영자 풀이 두터워질수록 1-of-N 가정의 N이 커지고, 그에 따라 브릿지 전체의 안전 마진이 두꺼워진다는 점에서 이 자본 효율성은 단순한 비용 절감을 넘어 보안 모델 자체를 강화하는 효과를 가진다.

4.4 남아있는 신뢰 가정과 탈중앙화 로드맵

지금까지 살펴본 시트레아와 클레멘타인의 구조는 비트코인 활용 인프라가 갈 수 있는 가장 멀리까지 신뢰를 줄여놓은 형태이지만, 완전한 무신뢰에 도달한 것은 아니다. 시트레아 팀 또한 이를 명시하고 있으며, 메인넷 이후의 로드맵을 통해 두 차원에서 잔여 신뢰 가정을 더 줄여나가겠다고 밝혔다. 첫째는 시트레아 체인 자체의 운영 탈중앙화, 둘째는 클레멘타인 브릿지의 신뢰 가정 축소다.

4.4.1 체인 운영의 탈중앙화

롤업은 구조상 항상 탈중앙성에 대한 쟁점이 있어왔다. 롤업의 구조는 기본적으로 거래의 순서를 정해 블록을 만드는 시퀀서와 그 블록들의 무결성을 검증하는 검증 메커니즘이 존재한다. 낙관적 롤업의 경우 재실행 메커니즘을 기반으로 하는 챌린지 게임과 챌린저가, 영지식 롤업의 경우 영지식 증명을 생성하는 증명자(prover)와 증명의 무결성을 온체인 회로에서 검증하는 검증회로가 존재하는 식이다. 대부분의 롤업은 시퀀서와 증명자, 챌린저 모두 운영자와 관련된 주체가 맡는 자리이기에, 이들이 거래를 검열하거나 처리를 지연시키는 등의 중앙화 문제가 남는다.

시트레아의 메인넷 시점 역시 이 일반적 경로의 출발점에 자리한다. 거래의 순서를 정해 블록을 만드는 시퀀서, 그리고 그 블록들에 대한 증명을 발급하는 증명자 모두 현재는 시트레아 재단(또는 체인웨이 랩스)이 단일 주체로 운영하고 있다. 다만 이 단일 운영이 곧 자의적 권한을 의미하지는 않는다. 모든 상태 전이가 영지식 증명으로 검증되고 풀노드가 그 증명을 다시 확인하기 때문에, 시퀀서가 잘못된 결과를 만들어내는 순간 그 결과는 비트코인의 검증을 통과할 수 없다. 시퀀서가 행사할 수 있는 권한의 최대치는 거래의 선택과 순서를 정하는 것, 그리고 처리를 늦추는 것에 그친다. 정확성을 어기거나 자금을 빼돌리거나 임의로 동결하는 일은 구조적으로 가능하지 않으며, 시퀀서가 어떤 거래를 일부러 누락하더라도 다음 시퀀서 커밋먼트가 비트코인에 올라가는 순간 그 순서는 영구적으로 확정되므로, 뒤늦게 이를 조작하는 행위는 불가능하다.

그러나 거래 검열의 여지는 여전히 일부 남기에, 시트레아는 이를 해소하기 위한 장치로 아비트럼, 옵티미즘 등 고도화된 이더리움 롤업에 구현되어 있는 강제 포함(force inclusion) 메커니즘을 내재하는 것을 로드맵에 두고 있다. 이는 사용자가 비트코인에 직접 거래를 올리면 시트레아 노드가 이를 의무적으로 처리하게 만드는 기능으로, 이것이 활성화되면 시퀀서의 협조와 무관하게 사용자가 비트코인을 통해 우회로를 가질 수 있게 된다. 이에 더해 시트레아 팀은 다중 증명자 도입과 탈중앙 시퀀서를 메인넷 이후의 주요 과제로 명시하고 있다. 이 단계가 완성되면 시트레아가 표방하는 신뢰 최소화는 운영의 영역에서도 한층 완결된 형태에 이를 것으로 전망된다.

운영 차원에서는 다른 롤업들과 마찬가지로 다섯 명으로 구성된 보안 위원회(Security Council)가 함께 가동된다. 시트레아의 보안 위원회는 3-of-5 멀티시그 방식으로 운영되며, 시트레아는 위원회 다수가 개발팀인 체인웨이 랩스로부터 독립적인 외부 주체로 구성되어 있다고 밝혔다. 위원회에는 클레멘타인의 자금 사용 경로 변경, 서명자 집합의 회전, 비상 상황의 시스템 정지, 시트레아 브릿지 컨트랙트와 라이트 클라이언트 컨트랙트, 수수료 금고 컨트랙트의 업그레이드 등 핵심 컨트랙트에 대한 주요 권한이 걸려 있다.

4.4.2 클레멘타인 브릿지의 신뢰 가정

클레멘타인이 완전한 무신뢰에 도달하기 위해서는 비트코인 자체의 업그레이드가 필요해 보인다. OP_CAT과 같이 비트코인 스크립트의 구현 복잡도를 크게 향상시키는 옵코드(opcode)가 추가될 경우 서명자 집합 없이도 무신뢰 브릿지를 구현하는 것이 가능해질 가능성이 존재하지만, 이러한 소프트포크는 비트코인의 사회적 합의를 거쳐야 하며, 기약이 없는 상태다. BitVM은 이러한 시기를 위한 과도기적 수단으로 볼 수 있으며, 시트레아 등 활용 사례의 확장에 따라 비트코인 네트워크 자체의 업그레이드로도 이어질 가능성이 있다.

현재 시점에서 클레멘타인 브릿지의 보안성은 두 갈래로 정리할 수 있다.

첫째, 메인넷의 서명자 집합은 익명의 다수가 아니라 공개된 인프라 기업 10곳으로 구성된 1-of-10 가정 위에 놓여 있다. 체인웨이 랩스, 갤럭시(Galaxy), 코인썸머(Coinsummer), 오마카세(Omakase), 난센(Nansen), 네더마인드(Nethermind), 라미네이티드 랩스(Laminated Labs), 해시키 클라우드(Hashkey Cloud), 피노아(Finoa), 럭소르(Luxor)가 이에 해당한다. 클레멘타인 브릿지는 1-of-N 가정을 취하고 있기에, 이 중 한 곳이라도 정직하게 동작하는 경우 안전성을 보장할 수 있다. 기관 입장에서 이는 카운터파티 평가가 한 주체의 단일 신용이 아니라 N개 주체의 결합 신용으로 분산된다는 의미이며, 보유 비트코인의 활용 결정을 단일 기업의 운영 리스크에 종속시키지 않을 수 있다는 점에서 기존 수탁형 우회로와 결정적으로 갈라진다.

한 가지 짚어둘 점은, 한 기관이 동시에 여러 역할을 겸할 수 있다는 점이다. 이는 1-of-N 정직 가정을 경제적 인센티브가 명확한 주체들에게 집중시키기 위한 설계로, 위의 기관들이 서명자이자 워치타워이자 챌린저 역할을 함께 수행할 수 있다. 기관 입장에서 이는 카운터파티 평가가 한 주체의 단일 신용이 아니라 N개 주체의 결합 신용으로 분산된다는 의미를 갖는다. 또한 시트레아는 향후 서명자 집합을 확장하는 것을 로드맵에 두고 있어, 모수가 커질수록 안전 마진은 더 두꺼워질 것으로 기대된다.

Source: Clementine Whitepaper

둘째, 클레멘타인의 라이트 클라이언트 보안은 경제적 안전성에 근거한다. 클레멘타인 백서에 따르면, 공격자가 비트코인 해시레이트의 45%를 약 2주간 사적으로 동원하더라도 공격 성공 확률은 약 0.5% 수준에 머물며, 비중을 44%로 낮추면 그 확률은 약 0.02%로 급격히 떨어진다. 이는 비트코인의 51% 가정보다 보수적인 조건이다.

5. 규제와 정렬된 달러: ctUSD

5.1 비트코인 기반의 스테이블코인

Source: Citrea

비트코인을 신뢰 최소화 방식으로 옮길 수 있게 되었다고 해서 활용이 곧바로 발생하지는 않는다. 대출과 거래, 정산이 매끄럽게 돌아가려면 가격이 매일 출렁이는 비트코인 한 종류만으로는 부족하며, 달러에 연동된 안정적인 자산이 짝을 이루어야 한다. 비트코인을 담보로 잡고 달러를 빌려오고, 비트코인을 달러로 사고팔며, 그 결과를 다시 달러로 정산하는 일련의 활동에는 변동성이 통제된 가치 단위가 어디서든 필요하다.

다만 기관이 쓰려면 이 달러 자산이 안정성만으로 충분하지 않다. 명확한 규제 체계 안에 자리하고 있어야 하며, 발행과 상환 그리고 준비금 운용이 투명하게 관리되어야 한다. 시트레아의 두 번째 축인 ctUSD는 정확히 이 요건을 겨냥해 설계된 스테이블코인이다.

5.2 ctUSD의 구조

ctUSD는 문페이(MoonPay)가 발행하고 M0의 스테이블코인 인프라가 뒷받침하는 자산이다. M0는 여러 발행자가 각자 자기 이름의 스테이블코인을 만들 수 있도록 도와주는 일종의 공용 인프라인데, 그 중심에는 $M이라는 기반 토큰이 자리한다. $M은 단기 미국 국채 같은 안전자산으로 과도하게 담보된 토큰이고, M0의 승인을 받은 발행자는 이 $M을 토대로 자기 브랜드의 스테이블코인을 감사된 템플릿 위에서 만들어 발행할 수 있다. 발행자는 SwapFacility라는 교환 창구를 통해 자기 스테이블코인을 $M과 1:1로 교환해두는데, 이 구조 덕에 발행자가 사라지더라도 그 스테이블코인을 들고 있는 사용자는 $M의 담보 자산을 통해 가치를 회수할 수 있다. ctUSD는 이 구조 위에서 발행된 익스텐션 중 하나로, 단기 미국 국채와 현금으로 1:1 담보되며, 그 준비금은 문페이의 자산이 아니라 토큰 보유자를 위해 분리되어 관리된다.

규제 측면에서 ctUSD는 미국의 스테이블코인 규제 법안인 지니어스 법(GENIUS Act)의 가이드라인에 정렬되도록 설계되었다고 밝히고 있다. 발행 주체인 문페이는 뉴욕주의 비트라이센스(BitLicense)와 신탁 인가, 미국 송금업 라이선스, 유럽 MiCA 승인, 영국 FCA 등록 등 다수의 규제 자격을 보유하고 있으며, 법적 요구가 있을 경우 특정 주소를 동결하거나 차단할 수 있는 컴플라이언스 통제도 갖추고 있다.

ctUSD의 또 다른 특징은 시트레아 위에서 처음부터 직접 발행된다는 점이다. 다른 체인에서 한 번 발행된 자산을 브릿지를 통해 들여오는 방식이 아니라, 시트레아 자체가 발행지가 된다. 브릿지로 들여오는 자산을 가능한 한 줄이고, 들여오는 자산은 신뢰 가정을 최대한 축소한 경로로만 받겠다는 원칙이 비트코인과 달러 양쪽에 같은 방식으로 적용되어 있는 셈이다.

5.3 기관적 함의

ctUSD가 기관 활용의 맥락에서 갖는 역할은 분명하다. 온체인의 비트코인 담보와 오프체인의 법정화폐 시스템을 잇는 은행 레일이다. 문페이가 자체적으로 확보한 3천만 명 이상의 인증 사용자 기반과 직접 연결되고, 문페이 자회사 Iron을 통해 발급되는 가상 계좌(vIBAN) 덕에 사용자가 은행 송금을 보내면 자동으로 ctUSD로 전환되는 흐름도 이미 마련되어 있다. 비자, 마스터카드, 애플페이, 구글페이, 페이팔 같은 결제 수단을 통한 사용을 지원하는 등, 기존 금융 인프라와의 접점을 확대해두기도 했다. 비트코인(cBTC)이라는 자산과 달러(ctUSD)라는 안정적인 가치 단위가 한 체인 위에서 결합되는 순간, 비트코인 담보 대출과 거래 그리고 구조화 상품 같은 기관급 활동이 비로소 같은 레일 위에서 작동할 수 있게 된다.

6. 비트코인의 활용을 조정하는 엔진: CTR

신뢰 최소화 비트코인 브릿지와 규제 정렬 달러까지 갖춰지더라도, 그것만으로 비트코인이 자동으로 활용되는 것은 아니다. 시트레아 체인 자체가 잘 설계되어있다고 하더라도, 비트코인 네트워크 내의 유동성을 시트레아 내로 유입시키지 못한다면 그저 잘 설계된 인프라에 지나지 않기 때문이다.

시트레아는 자체 토큰 CTR을 통해 이 문제를 겨냥하고 있다. 시트레아는 CTR을 비트코인 위의 자본이 어디로 흘러갈지를 함께 결정하는 도구로써 활용하고자 한다. 일반적인 거버넌스 토큰이 프로토콜의 운영 방침을 결정하는 데 그친다면, CTR은 그보다 한 발 더 나아가 자본의 배치 자체에 영향을 미치는 토큰이다.

6.1 CTR과 xCTR

Source: Citrea

시트레아의 토큰 설계는 CTR을 스테이킹해 받게 되는 xCTR이라는 양도 불가능한 토큰에 핵심을 두고 있다. xCTR은 수정된 투표-에스크로(vote-escrow) 모델을 따르는데, 이 모델에서는 거버넌스 영향력이 사용자의 전체 xCTR 잔액에 따라 동적으로 커진다. xCTR은 거버넌스 영향력에 더해 보상 수령의 기준이 되기도 하는데, 처음에는 CTR과 1:1로 교환되지만 시간이 흐르며 보상이 유입될수록 그 교환 비율이 1:1을 넘어 점점 높아진다. 곧 같은 양의 CTR로 받은 xCTR이 시간이 지나면 더 많은 CTR로 되돌아오는 식이며, 그 차이만큼이 스테이커가 받는 보상이 되는 셈이다.

다만 단순히 CTR을 스테이킹해 xCTR을 들고만 있으면 기본 배출분과 자동화된 언스테이킹 페널티 보상만 발생한다. xCTR이 배수로 늘어난 네트워크 보상을 받으려면 보유자가 실제로 거버넌스 투표에 참여해야 한다. 투표하지 않고 스테이킹만 유지하는 물량은 이 상당한 배출 배수를 받지 못한다. 이는 자본과 의사결정을 결합해두는 설계로, 토큰을 들고 있는 것만으로 영향력을 행사할 수 있게 두지 않고 실제로 스테이킹과 의사결정에 참여하는 자본만 선별적으로 보상받도록 만드는 구조다.

언스테이킹에도 비슷한 결의 조건이 붙는다. CTR을 즉시 출금하려면 약 50%의 페널티가 부과되며, 이 페널티는 약 90일에 걸쳐 0으로 줄어든다. 이러한 페널티는 소각되는 것이 아니라 남아 있는 스테이커들에게 비례 배분되어, 단기 수익을 추종하는 자본보다 생태계에 결속된 자본이 거버넌스를 주도하도록 유도하고 있다.

이렇게 모인 거버넌스 영향력은 게이지(gauge)라는 자동 장치를 통해 실제 자본 배치로 이어진다. xCTR 보유자가 특정 유동성 풀에 투표를 몰면, 거버넌스 트레저리에서 흘러나오는 유동성 인센티브가 그 풀로 향한다. 곧 어디에 유동성을 더 두텁게 깔지를 토큰 보유자의 투표가 결정하는 식이다. 게이지는 시장이 인센티브의 방향을 스스로 결정하는 자기조정 메커니즘으로 작동하는데, 특정 풀에 유동성이 몰리면 그 풀의 인센티브가 자연스럽게 조정되고, 반대의 경우 시장이 다시 더 효율적인 균형점을 찾는 식이다.

이를 뒷받침하는 또 다른 장치가 이중 트레저리(dual treasury)다. 시트레아는 거버넌스 측면에서 두 종류의 자금을 분리해두었는데, 한쪽은 xCTR 보유자가 통제하는 거버넌스 트레저리, 다른 한쪽은 시트레아 재단이 관리하는 재단 트레저리다. 거버넌스 트레저리는 게이지를 통한 유동성 인센티브와 위원회 선정과 보상, 인프라 제공자 선정과 보상 같은 시장 친화적 활동에 쓰인다. 재단 트레저리는 연구와 그랜트, 운영처럼 호흡이 긴 작업에 쓰이도록 분리되어 있으며, 명시적으로 지속적인 유동성 배출에는 사용할 수 없도록 묶여 있다. 재단이 유동성 프로그램을 운영하고자 할 경우 거버넌스에 요청해 명확한 목표와 KPI를 제시해야 한다. 단기 자본 흐름의 통제권이 중앙화된 법인이 아니라 토큰 거버넌스에 놓이도록 한 셈이다. 기관 자본의 입장에서 이러한 분리는 자신이 공급하는 유동성에 영향을 미치는 인센티브의 흐름이 재단의 임의 결정이 아닌 토큰 거버넌스의 통제 아래 놓인다는 의미이며, 자본 투입의 지속가능성을 사전에 예측 가능하게 만든다.

6.2 기관 유동성과의 결합

CTR의 조정 기능이 가장 구체적으로 드러나는 영역은 기관 유동성 프로그램이다. 시트레아는 갤럭시 디지털(Galaxy Digital)을 비롯한 자산운용사로부터 5천만 달러 이상의 유동성 약정을 확보했다고 밝혔다. 이 자본은 달러가 아니라 시트레아의 네이티브 자산인 cBTC와 ctUSD로 공급되며, 모포(Morpho)와 젠트라(Zentra) 등 대출 시장, 탈중앙화 거래소, cBTC 기반 수익 상품으로 배치된다.

이 메커니즘이 실제로 어떻게 작동할지는 한 시나리오로 그려볼 수 있다. 한 자산운용사가 cBTC와 ctUSD 유동성을 모포의 비트코인 담보 대출 시장에 공급하고, xCTR 보유자들이 게이지 투표로 해당 시장에 인센티브를 집중시킨다고 하자. 유동성이 깊어지면 차입 금리는 자연스럽게 낮아지고, 낮아진 금리는 다시 비트코인 담보 대출의 수요를 끌어들인다. 자본의 공급과 거버넌스의 결정, 그리고 그 위에서 작동하는 애플리케이션이 단일 토큰을 매개로 같은 방향을 향해 정렬되는 셈이다. 기관 입장에서 이는 자기가 공급한 유동성이 임의로 분산되지 않고 토큰 거버넌스를 통해 수요가 형성되는 영역으로 흘러가도록 영향을 행사할 수 있다는 의미가 된다. CTR이 자본과 참여자를 비트코인 활용이라는 한 목표로 결집시키는 역할을 하는 것이다.

7. 맺으며

비트코인은 암호화폐 중 가장 안전한 가치 저장 자산이라는 자리에 오랜 시간 머물러 있었다. 한 자산이 충분히 안전하다는 사실은 곧 그 자산이 충분히 게으르다는 사실이기도 했고, 안전과 생산성이라는 두 성질을 함께 갖추기 위해서는 누군가에게 자산을 맡기고 그 신용을 빌려야 했다. 비트코인 활용의 역사는 이 거래 조건을 받아들이며 만들어진 우회로들의 역사였다.

시트레아가 의미를 갖는 자리는 이 오래된 거래 조건이 더 이상 유일한 선택지가 아니게 되었다는 점에 있다. 비트코인을 데이터와 정산의 근거로 삼는 롤업 구조, 영지식 증명을 비트코인이 검증할 수 있는 형태로 압축하는 파이프라인, BitVM 위에서 작동하는 1-of-N 가정의 브릿지, 규제 안에서 발행되는 달러, 그리고 자본의 흐름을 조정하는 토큰이 결합되어 만들어낸 결과는 한 문장으로 압축된다. 비트코인을 활용하면서도 신뢰를 거의 양보하지 않는 길이 처음으로 열렸다는 것이다.

이 길이 열렸다는 사실이 비트코인이라는 자산 자체에 어떤 변화를 가져오게 될지가 더 흥미로운 질문이다. 지난 15년간 비트코인이 차지해온 자리는 디지털 금이었다. 가격 변동을 견디며 가치를 저장하는 자산, 다른 모든 암호자산의 가치를 가늠하는 기준점, 인플레이션과 통화 가치의 변동에 맞선 헤지 수단이라는 자리다. 모두 보유의 영역에 속한 역할들이며, 그 보유가 가져다주는 안정성이 비트코인의 정체성을 만들어왔다.

시트레아가 제시하는 그림은 비트코인이 보유의 자산을 넘어 운용의 자산으로 옮겨가는 풍경이다. 비트코인이 담보로 잡혀 다른 자산을 빌리고, 그 자산이 시장에서 거래되며, 그 거래의 결과가 비트코인으로 다시 정산되는 일련의 순환이 한 체인 위에서 비트코인의 보안을 그대로 빌려 작동한다. 금이 단순한 보관 자산에서 임대 시장과 파생 시장의 기초 자산으로 옮겨가며 그 의미가 확장되었듯, 비트코인 역시 디지털 금에서 디지털 자본으로의 이행을 앞두고 있을 가능성이 열린 셈이다.