심층 칼럼 · #44 / 50 · L2 롤업 · 체인 연합 · 상호운용성

영지식 증명의 두 거인: SNARK와 STARK는 무엇이 다르며 왜 서로 융합하고 있는가

신뢰 설정(Trusted Setup)·증명 크기·양자 컴퓨터 내성을 둘러싼 암호학 설계 비교

북쪽 ZK 롤업 지구의 안내서를 읽다 보면 어떤 구역은 SNARK(스나크)를 쓴다고 하고 어떤 구역(Starknet 등)은 STARK(스타크)를 쓴다고 합니다. 이름도 한 글자 차이인 이 두 영지식 증명 기술이 왜 나뉘어 태어났고, 최근에는 어떻게 두 기술의 장점만을 합친 하이브리드 증명으로 진화하고 있는지 알기 쉽게 풀어 봅니다.

1. SNARK(스나크): 작고 가벼운 증명서, 그러나 초기 ‘신뢰 설정’이라는 숙제

ZK-SNARK의 가장 큰 강점은 완성된 증명서의 크기가 수백 바이트에 불과할 정도로 아주 작고, 이더리움 도심(L1)이 그 증명서를 검토하는 데 걸리는 시간과 가스비가 매우 적다는 점입니다. 그래서 초기부터 L1 검증 비용을 아끼려는 많은 ZK 프로젝트들이 SNARK를 애용했습니다.

대신 전통적인 SNARK에는 두 가지 약점이 있었습니다. 첫째는 처음 시스템을 세울 때 비밀 난수를 만들어 파기하는 ‘신뢰 설정(Trusted Setup) 세리머니’가 필요하다는 점이고(만약 참가자 전원이 담합해 비밀 조각을 남기면 가짜 증명을 만들 수 있음), 둘째는 타원곡선 암호에 기반해 먼 미래에 고성능 양자 컴퓨터가 등장하면 취약해질 수 있다는 점입니다.

2. STARK(스타크): 신뢰 설정이 필요 없고 양자 컴퓨터에도 안전한 투명한 증명

StarkWare가 개발해 Starknet에 적용한 ZK-STARK에서 가운데 글자 ‘T’는 투명성(Transparent)을 뜻합니다. 복잡한 초기 신뢰 설정 세리머니 없이 처음부터 누구나 공개된 무작위성만으로 검증 체계를 세울 수 있다는 뜻입니다.

게다가 STARK는 타원곡선 대신 안전한 해시 함수만을 기반으로 작동하기 때문에, 증명 생성 속도가 훨씬 빠르고 미래의 양자 컴퓨터 공격에도 안전(Post-Quantum Secure)합니다. 다만 증명서 파일 크기가 SNARK보다 수십 배에서 수백 배 커서, 그대로 이더리움 L1에 올리면 검증 가스비가 더 든다는 단점이 있었습니다.

3. 현대의 해법: STARK로 빠르게 증명하고 SNARK로 작게 포장하는 하이브리드 구조

오늘날 ZKsync Era, Polygon Agglayer(Plonky3), Succinct(SP1) 같은 최신 영지식 증명 시스템들은 ‘SNARK냐 STARK냐’ 중 하나만 고르지 않고 두 가지를 겹쳐 쓰는 재귀 증명(Recursive Proof) 방식을 택합니다.

수만 건의 거래를 처음 증명할 때는 속도가 빠르고 확장성이 뛰어난 STARK 방식으로 증명서를 여러 장 뽑아내고, 마지막에 이를 이더리움 도심(L1)에 제출하기 직전에만 작고 검증비가 싼 SNARK 증명서 한 장으로 한 번 더 감싸서(Wrapping) 올리는 것입니다. 두 암호학 기술이 서로의 단점을 메우며 ZK 롤업의 전성기를 열고 있습니다.

4. 이더리움 시티 북쪽 ZK 지구에서 만나는 증명 기술

도시 북쪽의 Starknet, ZKsync Era, Scroll, Linea, Mantle을 둘러볼 때 각 구역이 어떤 증명 파이프라인으로 도심에 노란 정산 빛줄기를 쏘아 올리는지 비교해 보면 ZK 기술의 발전사가 한눈에 들어옵니다.

영지식 증명의 두 거인: SNARK와 STARK는 무엇이 다르며 왜 서로 융합하고 있는가

1. SNARK(스나크): 작고 가벼운 증명서, 그러나 초기 ‘신뢰 설정’이라는 숙제

2. STARK(스타크): 신뢰 설정이 필요 없고 양자 컴퓨터에도 안전한 투명한 증명

3. 현대의 해법: STARK로 빠르게 증명하고 SNARK로 작게 포장하는 하이브리드 구조

4. 이더리움 시티 북쪽 ZK 지구에서 만나는 증명 기술

관련 구역 안내

관련 용어 풀이