기술 요약: 비트코인 및 관련 체인을 위한 확률적 원자 스왑

1. 문제 정의

원자 스왑 (Atomic swaps) 은 "전부 아니면 전무 (all-or-nothing)" 보장을 통해 디지털 자산의 신뢰 없는 교차 체인 교환을 가능하게 하는 근본적인 암호학적 원시 연산입니다. 양측이 합의된 자산을 모두 받거나, 그렇지 않으면 아무것도 받지 않는 방식입니다. 강력한 기능임에도 불구하고, 이러한 결정론적 성격은 의도된 결과가 확률적인 교환을 배제합니다. 블록체인 상의 확률적 교환 (예: 로또, 내기, 무작위 할당) 을 위한 기존 솔루션들은 다음과 같은 중대한 한계에 직면해 있습니다:

• 복잡성과 비용: 복잡한 스마트 계약이나 정교한 스크립트 수준의 메커니즘을 요구하는 경우가 많아, 거래 크기 증가, 높은 수수료, 그리고 제한된 스크립트 지원 (비트코인 등) 을 가진 체인으로의 이식성 저하를 초래합니다.
• 프라이버시와 동질성: 복잡한 스크립트는 온체인 행위를 구별 가능하게 만들어 프라이버시와 동질성을 약화시킵니다.
• 참가 제약: 많은 기존 로또 프로토콜은 고정된 알려진 참가자 집합을 요구하므로, 개방적이고 허가 불필요한 환경에는 적합하지 않습니다.
• 편향 취약성: 기존 접근 방식들은 종종 한 당사자가 결과를 예측하고 불리한 결과가 나올 경우 선택적으로 중단을 시도하여 유효 확률을 편향시키는 것을 방지하지 못합니다.

핵심적인 과제는 기존 원자 스왑 프로토콜의 최소 온체인 흔적을 수정하거나 신뢰할 수 있는 중개자를 도입하지 않고도, 한 당사자가 더 큰 보상을 받을 고정된 공개 명시적 확률에 대해 대가를 지불하는 확률적 환경으로 원자 스왑을 확장하는 것입니다.

2. 방법론 및 프로토콜 설계

저자들은 확률적 원자 스왑 (probabilistic atomic swaps) 을 소개합니다. 이는 지정된 결과 분포를 가진 공정한 교환을 실현하는 새로운 암호학적 원시 연산입니다. 이 프로토콜은 딜러 (Dealer, D) 와 당사자 (Party, P) 두 주체가 관여합니다. P 는 고정된 금액 (예: 1 코인) 을 D 로부터 더 큰 보상 ($\nu$ 코인) 을 받을 확률 $p$에 대해 지불합니다. 확률적 사건이 발생하지 않으면 P 는 아무것도 받지 못하고 D 는 지불금을 보유합니다.

핵심 암호학적 구성 요소

이 구성은 표준 비트코인 유사 스크립트 (디지털 서명과 타임락) 와 호환되는 세 가지 주요 구성 요소에 의존합니다:

1. 어댑터 서명 (Adaptor Signatures): 원자성을 보장하는 데 사용됩니다. 이들은 특정 증인 (비밀) 이 알려진 경우에만 미리 서명된 서명을 완전한 서명으로 적응시킬 수 있게 합니다. 이는 비밀의 공개를 온체인 거래의 완료와 연결합니다.
2. 무시적 의사난수 함수 (Oblivious Pseudorandom Functions, OPRFs): 확률적 결과를 인코딩하는 데 사용됩니다. 딜러는 비밀 키 $sk_D$를 보유한 OPRF 서버로 작동합니다. 당사자는 입력 (예측값 $y_{gss}$) 을 보유합니다. OPRF 를 통해 당사자는 딜러가 예측값을 알지 못하게 하고, 당사자가 키를 알지 못하게 하면서도 $OPRF(sk_D, y_{gss})$ 평가를 얻을 수 있습니다.
3. 영지식 증명 (Zero-Knowledge Proofs, NIZKs): 프로토콜 문장의 적법성을 증명하는 데 사용됩니다. 이를 통해 딜러가 확률 분포를 조작하지 못함을 보장합니다.

프로토콜 흐름

프로토콜은 네 단계로 나뉩니다:

1. 설정 및 자금 조달:

   • 딜러는 크기 $m$의 도메인에서 목표값 $y_{tgt}$를 샘플링합니다 (여기서 $p = 1/m$).
   • 딜러는 "승리 증인" $y_{win} = OPRF.Eval(sk_D, y_{tgt})$을 계산하고 진술 $Y_{win} = g^{y_{win}}$을 구성합니다.
   • 딜러는 $Y_{win}$과 적법성에 대한 NIZK 증명을 당사자에게 제공합니다.
   • 양측은 2-Party DKG 프로토콜을 통해 생성된 임시 키 쌍에 의해 제어되는 타임락된 스크립트에 자금을 잠급니다.

2. 딜러 청구 (OPRF 평가 서비스로서의 제공):

   • 당사자는 예측값 $y_{gss}$를 선택하고 딜러에게 블라인드 처리된 OPRF 요청을 보냅니다.
   • 딜러는 OPRF 를 평가하고, 결과를 일시적 키 $Z$로 암호화한 후, 정합성에 대한 NIZK 증명과 함께 암호문을 제공합니다.
   • 중요한 점은 딜러가 $Z$를 어댑터 진술로 사용하여 당사자의 지불 거래를 미리 서명한다는 것입니다.
   • 딜러는 복호화 키 $z$ ( $Z$에 대한 증인) 를 사용하여 이 미리 서명을 적응시키고, 당사자의 지불금을 청구하기 위해 거래를 브로드캐스트합니다.
   • 원자성: 당사자는 딜러가 지불된 후에만 온체인 서명에서 $z$를 추출할 수 있습니다. $z$는 OPRF 응답을 복호화하는 데 필요합니다.

3. 당사자 청구:

   • 당사자는 $z$를 추출하고 OPRF 응답을 복호화하여 후보 증인 $y'_{win}$을 계산합니다.
   • $y'_{win}$이 승리 증인과 일치하는 경우 (즉, $y_{gss} = y_{tgt}$), 당사자는 딜러의 미리 서명을 적응시켜 보상을 청구합니다.
   • 예측이 틀린 경우, 당사자는 적응에 유용한 정보를 얻지 못합니다.

4. 타임아웃/환불:

   • 딜러가 타임아웃 내에 지불을 청구하지 못하면, 당사자는 잠긴 자금을 환불받습니다.
   • 당사자가 타임아웃 내에 보상을 청구하지 못하면, 딜러는 잠긴 자금을 환불받습니다.

적법성 증명

중요한 기술적 기여는 목표값을 공개하지 않고도 $Y_{win}$이 올바른 도메인 내의 값에 대한 유효한 OPRF 평가에 해당함을 증명하는 것입니다. 저자들은 두 가지 인스턴스를 제안합니다:

• 불릿프루프 (Bulletproofs): 2HashDH OPRF 의 구조를 증명하기 위해 R1CS 제약 조건을 사용합니다. 이는 상수 크기의 증명과 검증 시간을 제공하지만, 랜덤 오라클 인스턴싱이 필요합니다.
• 컷 앤 초이스 (Cut-and-Choose): 딜러가 여러 인스턴스를 제공하고 당사자가 무작위 부분 집합을 검증하는 기술입니다. 저자들은 OPRF 를 수정하여 목표값을 공개하지 않고도 인스턴스를 열 수 있게 하여, 딜러가 사기를 치더라도 승리 확률이 정확히 $1/m$로 유지되도록 합니다. 이 접근 방식은 높은 승리 확률 ($p \ge 1/2^{12}$) 에 대해 더 효율적입니다.

3. 주요 기여

• 새로운 원시 연산: 결정론적 원자 스왑을 확률적 결과로 일반화하는 이상적 기능 (ideal functionality) 을 통해 정의된 확률적 원자 스왑의 도입.
• 최소 온체인 흔적: 이 프로토콜은 복잡한 스마트 계약이나 새로운 opcodes 를 요구하지 않고 표준 비트코인 스크립트 (서명과 타임락) 만을 요구합니다. 따라서 비트코인, 라이트코인 및 원자 스왑을 지원하는 기타 체인에서 즉시 배포 가능합니다.
• 지불을 위한 OPRF 평가: 저자들은 지불과 연결된 OPRF 평가의 원자적 교환을 위한 새로운 메커니즘을 개발했습니다. 이는 당사자가 결과를 알기 전에 딜러가 지불받도록 보장하여 편향을 방지합니다. 이 도구는 지불 기반 속도 제한과 같은 응용 분야에 독립적인 관심을 가질 것으로 지적됩니다.
• 공식적 보안: 프로토콜은 정적 침해에 대해 시뮬레이션 기반 모델에서 안전함이 증명되었으며, 확률적 원자성 (공정성, 편향 없음, 원자성) 의 속성을 충족합니다.
• 실용적 구현: 비트코인과 라이트코인 테스트넷에서 테스트된 Rust 기반 완전 구현 및 라이트닝 네트워크용 변형 (HTLC 와 오프체인 링크 증명을 사용).

4. 결과 및 벤치마크

• 테스트넷 배포: 저자들은 비트코인과 라이트코인 테스트넷 간에 성공적으로 교차 체인 확률적 스왑을 실행했습니다. 완전한 승리 스왑은 정확히 네 개의 표준 Taproot 거래로 구성되었습니다.
• 거래 크기: 각 거래는 약 575 가중치 단위 (Weight Units, WU) 였습니다.
• 성능:
  • 불릿프루프: 증명 시간 $\approx 5.6$초, 검증 $\approx 0.35$초, 증명 크기 $\approx 2.8$KB (확률과 무관하게 일정).
  • 컷 앤 초이스: 작은 $\ell$에 대해 증명 시간이 더 빠릅니다 (예: $\ell=10$일 때 $0.27$초) 하지만 도메인 크기에 따라 지수적으로 증가합니다.$\ell=16$인 경우, 증명은 약 16 초가 소요되며 16MB 크기의 증명이 필요합니다.
  • 라이트닝 프로토타입: HTLC 기반 변형이 구현되었으며, 세 번의 라운드 (프리컴퓨테이션 포함) 에 대한 총 온라인 실행 시간은 약 1.30 초였습니다.
• 비용: 수수료는 표준 원자 스왑과 비교 가능했습니다 (예: 비트코인 테스트넷의 616WU 자금 조달 거래에 대해 1550 sat).

5. 중요성 및 주장

이 논문은 확률적 원자 스왑이 무작위화된 결과를 가진 신뢰 없는 탈중앙화 교환을 가능하게 함으로써 고전적 원자 스왑의 근본적인 한계를 해결한다고 주장합니다. 그 중요성은 다음과 같습니다:

• 새로운 사용 사례 가능: "OP_RAND"의 비전을 비트코인에서 실현하여, 신뢰할 수 있는 하우스 없이 내기, 로또, 확률적 교차 체인 거래를 가능하게 합니다.
• 프라이버시와 동질성 유지: 복잡한 스크립트를 피함으로써 프로토콜의 온체인 흔적은 일반 원자 스왑과 구별할 수 없게 되어 자산의 프라이버시와 동질성을 유지합니다.
• 접근성: 최소 스크립트 지원에 의존함으로써 이 프로토콜은 기존 블록체인과 레이어 2 네트워크 (PTLC 가 활성화되거나 HTLC 변형을 통해 라이트닝 네트워크 등) 에 배포 가능합니다.
• 보안: 이 프로토콜은 신뢰할 수 있는 제 3 자 없이도 악의적 행위자가 존재하는 상황에서도 결과가 편향되지 않고 광고된 확률을 따르다는 엄격한 암호학적 보장을 제공합니다.

저자들은 명시적으로 프로토콜이 비대칭 확률적 스왑 (한 당사자가 확률을 위해 지불) 을 지원하지만, 순차적 의사결정의 고유한 비대칭성으로 인해 양측 모두 확률적 결과를 가지는 양측 확률적 스왑은 최소 블록체인에서는 불가능할 가능성이 있다고 지적합니다. 이는 논의되지만 극복하려는 시도는 하지 않는 한계입니다.