ZK 롤업이란? 제로 지식과 RaaS(Rollups-as-a-Service) 완벽 가이드

지난 10년 대부분 동안 "ZK rollup 위에 구축해야 하는가"라는 질문에 대한 정직한 답은 "아직은 아니다"였다. 유효성 증명(validity proof)을 생성하는 데 몇 분이 걸렸고 실제 비용도 들었으며, 일반적인 EVM 바이트코드를 증명 시스템에 통과시키는 일은 배포 대상이라기보다는 연구 프로젝트에 가까웠다.

그 상황은 빠르게 바뀌었다. Ethereum Foundation의 zkEVM 보안 로드맵에 따르면, 약 1년 사이 Ethereum 블록의 증명 지연 시간은 16분에서 16초로 줄었고 증명 비용은 45배 낮아졌다. ZK rollup은 신뢰를 증명으로 대체한다. 이제 남은 문제는 이 기술이 작동하는지 여부가 아니라, 자체 체인을 운영하는 것이 그에 수반되는 운영 부담을 감수할 만한 가치가 있는지다.

ZK rollup이란 무엇인가?

zero-knowledge rollup은 메인 체인 밖에서 트랜잭션을 실행한 뒤, 결과 상태가 올바르다는 것을 보여주는 암호학적 유효성 증명을 base layer에 게시하는 스케일링 설계다. base layer는 이 트랜잭션들을 다시 실행하지 않는다. 증명을 검증할 뿐이다.

채점자가 모든 문제를 다시 풀어보는 대신 짧은 증명서를 검사하는 수학 시험 제출을 떠올려보면 된다. 증명서는 작고, 검사는 빠르며, 잘못된 답은 유효한 증명서를 만들어낼 수 없다. 이 비대칭성이 메커니즘의 전부다. 증명을 검증하는 비용은 그 뒤에 있는 트랜잭션을 실행하는 비용보다 훨씬 낮으므로, rollup은 동일한 base layer 용량으로 훨씬 더 많은 처리량을 밀어낼 수 있다.

"zero-knowledge"라는 이름은 오해를 불러일으킨다. 이는 체인의 프라이버시 속성이 아니라 증명 시스템을 가리키는 말이다. ZK rollup의 트랜잭션은 Ethereum과 마찬가지로 기본적으로 공개되어 있다. 증명은 검증자가 상태 전이를 다시 실행하지 않고도 그것이 유효함을 확인할 수 있게 해주는데, 이는 기밀성이 아니라 간결성(succinctness)에 관한 속성이다. 실제 프라이버시를 확보하려면 별도의 작업이 필요하며, 보통 암호화나 그 위에 구축되는 전용 프라이버시 레이어가 필요하다.

따라서 ZK rollup은 스케일링과 파이널리티에 관한 결정으로 취급해야 한다. 기밀성이 필요하다면, 그것은 별도로 풀어야 할 설계 문제다.

ZK rollup은 어떻게 작동하는가?

네 가지 구성 요소가 이 작업을 수행하며, 순서대로 처리를 넘겨받는다.

• **시퀀서(sequencer)**는 사용자로부터 트랜잭션을 받아 순서를 정하고 배치로 묶는다. 이것이 사용자에게 빠른 확인을 제공하는 부분으로, base layer에 도달하기 훨씬 전에 이루어진다.
• **프로버(prover)**는 배치를 받아 유효성 증명—보통 SNARK 또는 STARK—을 생성하여, 이전 상태에 대해 해당 트랜잭션들을 실행하면 새 상태가 도출된다는 것을 증명한다.
• **검증자 컨트랙트(verifier contract)**는 base layer에 존재한다. 증명을 검사하고, 유효하면 새 상태 루트를 정식 상태로 받아들인다.
• **데이터 가용성 레이어(data availability layer)**는 누구나 rollup의 상태를 독립적으로 재구성하고 운영자가 아무것도 숨기고 있지 않은지 검증할 수 있을 만큼 충분한 트랜잭션 데이터를 저장한다.

상태 자체는 Merkle tree로 추적되며, 단일 루트 해시가 모든 계정 잔액과 컨트랙트 슬롯에 대한 커밋이 된다. 승인된 배치마다 이 루트가 갱신되므로, base layer는 rollup 전체 상태가 아닌 하나의 작은 커밋만 보유한다.

가장 크게 경제성이 바뀐 부분은 마지막 구성 요소인 데이터 가용성이다. rollup은 배치 데이터를 게시하기 위해 base layer의 calldata 비용을 지불해왔는데, 이는 비쌌고 온체인에 영구적으로 남았다. Ethereum의 Dencun 업그레이드는 2024년 3월 blob을 도입했는데, 이는 독립적으로 가격이 책정되고 바로 이 용도에 맞게 크기가 설계된 별도의 데이터 레인이다. blob 데이터는 영구 보관되는 대신 대략 18일 후 삭제되며, 이는 의도된 설계다. rollup 데이터는 무기한 유지될 필요가 없다. 누구나 다운로드해서 체인의 상태를 재구성할 수 있을 만큼만 존재하면 된다. 2025년 12월 Fusaka와 함께 출시된 데이터 가용성 샘플링 업그레이드인 PeerDAS는 더 많은 blob 수를 안전하게 사용할 수 있게 만들었다. 실제 용량 증가 자체는 blob 파라미터만 변경한 소규모 후속 포크에서 나왔다.

데이터 가용성은 더 이상 예전만큼 지배적인 비용 항목이 아니다. 오늘날 rollup 비용을 산정하는 팀에게는 증명 생성과 시퀀서 운영이 중요한 비용이며, 이전 calldata 가정에 기반한 비용 모델은 자릿수 단위로 틀릴 것이다.

ZK rollup이 빌더들에게 왜 중요한가?

수수료가 낮아지는 이유는 배치 하나를 게시하고 검증하는 비용이 그 안에 담긴 모든 트랜잭션에 분산되기 때문이다. 처리량이 늘어나는 것도 같은 이유로, base layer의 용량 제약이 트랜잭션 실행이 아니라 증명 검증에 걸리기 때문이다.

출금은 챌린지 기간 없이 정산된다. optimistic rollup은 누군가 이의를 제기하지 않는 한 배치가 유효하다고 가정하므로, 관례적으로 7일인 분쟁 기간 동안 출금을 보류한다. 유효성 증명은 검증되는 순간 이미 정확성을 확립하므로 기다릴 것이 없다. 레이어 간 자산 이동과 관련된 모든 것에서, 사용자가 실제로 체감하는 차이가 바로 이것이다.

검증 가능성은 데이터 가용성 요구사항에서 나온다. 배치 데이터가 게시되기 때문에 누구나 rollup의 상태를 독립적으로 재구성할 수 있으며, 따라서 운영자는 거짓 상태를 커밋할 수도, 검증에 필요한 데이터를 숨길 수도 없다. 이것이 주지 못하는 것은 검열 저항성이다. 시퀀서는 여전히 조용히 당신의 트랜잭션 포함을 거부할 수 있으며, 아무리 많은 데이터가 게시되어도 애초에 시퀀싱되지 않은 트랜잭션은 드러나지 않는다. 그 보호는 강제 포함 경로(forced-inclusion path)에서 나오는데, 사용자가 base layer 컨트랙트에 직접 트랜잭션을 제출하면 rollup이 이를 반드시 처리해야 하는 방식이다. 체인을 평가할 때는 이 탈출구가 실제로 존재하는지, 그리고 운영자의 협조 없이도 작동하는지 확인하라.

이러한 요소들이 합쳐져 ZK rollup은 정산 속도와 트랜잭션당 비용이 구현 세부사항이 아니라 제품 기능인 애플리케이션에는 합리적인 기본 선택이 된다. 결제, 거래소, 게임은 그 차이를 즉시 체감한다. 저빈도 애플리케이션이라면 아마 그렇지 않을 것이다.

ZK rollup은 스마트 컨트랙트 통합을 어떻게 지원하는가?

임의의 스마트 컨트랙트 실행을 증명하는 것은 단순 전송을 증명하는 것보다 훨씬 어려우며, 초기 ZK rollup들이 결제와 스왑만 지원했던 이유가 이것이다. EVM 바이트코드를 증명한다는 것은 모든 opcode를 증명 시스템 내부의 제약 조건으로 표현한다는 뜻인데, EVM은 애초에 그런 용도로 설계되지 않았다.

zkEVM이 그 해답이며, 구현체마다 Ethereum과 얼마나 밀접하게 일치하는지가 다르다. 일부는 Ethereum의 실행 레이어를 직접 증명하여 호환성을 극대화하지만 그 대가로 증명 성능이 떨어진다. 다른 일부는 바이트코드나 상태 트리를 조정해 증명 비용을 낮추는데, 이는 일부 컨트랙트와 도구가 작동하기 전에 조정이 필요하다는 뜻이다. zkEVM을 평가할 때는 호환성 라벨이 아니라 실제 의존성에 대해 검증해야 한다.

이 문제를 연구 과제로 만들었던 성능 격차는 대체로 해소되었다. Ethereum Foundation에 따르면 프로버는 이제 목표 하드웨어에서 Ethereum 블록의 99%를 10초 이내에 처리하는데, 이는 앞서 인용한 종단 간(end-to-end) 지연 시간 수치가 아니라 블록당 증명 측정치다. 현재 초점은 속도에서 보안으로 옮겨갔다. 발표된 로드맵은 2026년 말까지 128비트 증명 가능 보안과 300 KiB 미만의 증명 크기를 목표로 설정하고 있으며, 재귀(recursion) 아키텍처에 대한 형식 검증도 함께 진행한다.

이제 증명 속도는 프로덕션 zkEVM에 도달하는 데 걸림돌이 아니다. 대신 팀에게 보안 증명이 어느 단계까지 진행되었는지 물어봐야 한다.

ZK rollup은 optimistic rollup과 어떻게 비교되는가?

둘 다 base layer에 트랜잭션 데이터를 게시하고 둘 다 그 보안을 물려받는다. 차이는 base layer에게 무엇을 믿으라고 요구하는지에 있다.

Optimistic rollup은 운영 비용이 더 저렴하고 EVM 호환성 면에서 오랫동안 앞서 있었으며, 이것이 활동량 기준 최대 범용 L2들이 여전히 optimistic 방식인 이유다. ZK rollup은 증명 비용을 지불하는 대신 더 빠른 정산과 경제적이 아닌 암호학적 신뢰 모델을 얻는다.

이제 범용 워크로드에서 어느 쪽도 확실하게 우위를 점하지 못한다. 빠르고 신뢰 최소화된 정산이 증명 비용을 지불할 가치가 있다면 ZK를 선택하고, 순수 운영 비용과 최대한의 EVM 호환성이 더 중요하다면 optimistic을 선택하라.

rollups-as-a-service(RaaS)란 무엇인가?

이전에는 rollup을 출시하려면 시퀀서, 프로버, 브릿지 컨트랙트, 데이터 가용성 경로를 직접 구축한 뒤 이 네 가지를 무기한 계속 운영해야 했다. 그것은 기능이 아니라 체인 팀이 필요한 일이었다.

Rollups-as-a-service는 이 스택을 제공업체가 대신 운영해주는 형태로 바꾼다. 프레임워크를 선택하고 파라미터를 설정하면, 제공업체가 그 아래의 시퀀서, 프로버, 브릿지, 노드 인프라를 운영한다. 남는 것은 체인 자체로, 여기에는 수수료 토큰, 가스 정책, 트랜잭션 순서 규칙, 그리고 공유 체인이라면 절대 대신 강제해주지 않을 컴플라이언스 로직이 포함된다.

초기 RaaS 홍보 문구 중 가장 시대에 뒤떨어진 부분은 이것이 5분 만에 끝나고 손 놓아도 되는 작업이라는 암시다. 처음부터 구축하는 것보다 극적으로 빠르고 대기 부담을 없애주는 것은 맞다. 하지만 아키텍처 결정을 없애주지는 않는다. 어떤 base layer에 정산할지, 데이터 가용성 트레이드오프는 무엇인지, 시퀀서 탈중앙화가 어떻게 진화할지, 기반 스택의 업그레이드가 체인을 망가뜨리지 않고 어떻게 전달될지는 여전히 직접 선택해야 한다.

RaaS는 설계가 아니라 운영을 외주하는 것으로 취급하라. 이 모델 자체를 더 자세히 살펴보려면 rollups-as-a-service와 RaaS와 appchain에서 다룬다.

자체 ZK rollup 출시는 언제 타당한가?

전용 rollup이 그 복잡성을 감수할 가치가 있는 몇 가지 구체적 상황이 있다.

• 예측 가능한 대량 트랜잭션 볼륨. 꾸준히 많은 블록스페이스 비용을 지불하고 있다면, 전용 용량이 공유 용량 경쟁보다 더 나은 가격을 제공하기 시작한다.
• 공유 체인이 충족할 수 없는 컴플라이언스 요구사항. 허용목록 참여자, 트랜잭션 단위 정책, 관할권 제약은 자신이 통제하는 체인에서만 강제할 수 있다.
• 전용 블록스페이스에 의존하는 제품 경험. 무관한 민팅이 네트워크를 혼잡하게 만든다는 이유로 확인 시간이 저하되어서는 안 된다면, 블록스페이스를 공유하는 것은 위험 요소다.

볼륨이 투기적일 때는 잘못된 선택이다. 관리형 제공업체가 운영 부담을 흡수해주지만, 브릿지 보안, 시퀀서 가용성, 추적해야 할 업그레이드 주기는 여전히 물려받는다. 이러한 부담은 예상 수요가 아니라 실제 수요에 대해서만 감수할 가치가 있다. rollup의 비즈니스 모델은 결정을 내리기 전에 읽어볼 가치가 있는데, 체인은 자신의 운영 비용을 벌어들여야 하기 때문이다.

대부분의 팀에게는 먼저 표준 RPC 접근을 통해 기존 체인에서 출시한 뒤, 사용 패턴이 그 필요성을 입증할 때 재검토하는 편이 낫다. 결정을 미루는 데 드는 비용은 매우 적다. 출시하지 말았어야 할 체인을 되돌리는 데는 큰 비용이 든다.

zero-knowledge rollup에 관한 FAQ

ZK rollup이란 무엇인가?

ZK rollup은 트랜잭션을 오프체인에서 배치로 실행하고 결과 상태가 올바름을 증명하는 암호학적 유효성 증명을 base layer에 게시하는 Layer 2 스케일링 솔루션이다. base layer는 트랜잭션을 다시 실행하는 대신 증명을 검증하므로 비용이 낮아지고 처리량이 높아지며, base layer의 보안을 물려받는다.

ZK rollup은 어떻게 작동하는가?

시퀀서가 트랜잭션을 배치로 묶고, 프로버가 SNARK나 STARK 같은 유효성 증명을 생성하며, base layer의 검증자 컨트랙트가 새 상태 루트를 받아들이기 전에 그 증명을 검사한다. 트랜잭션 데이터가 게시되므로 누구나 rollup의 상태를 독립적으로 재구성할 수 있다. Ethereum rollup들은 이제 그 데이터를 calldata가 아닌 blob에 게시한다.

ZK rollup은 프라이빗한가?

아니다, 기본적으로는 아니다. "zero-knowledge"는 검증자가 상태 전이를 다시 실행하지 않고도 그것이 유효함을 확인할 수 있게 해주는 증명 시스템을 가리킨다. ZK rollup의 트랜잭션은 Ethereum과 마찬가지로 공개적으로 볼 수 있다. 기밀성을 확보하려면 의도적으로 구축한 추가 프라이버시 레이어가 필요하다.

ZK rollup은 optimistic rollup과 어떻게 다른가?

ZK rollup은 모든 배치가 유효함을 증명하므로 증명이 검증되는 즉시 출금이 정산된다. Optimistic rollup은 이의가 제기되지 않는 한 배치가 유효하다고 가정하므로, 관례적으로 7일인 분쟁 기간 동안 출금이 대기한다. ZK rollup은 암호학적 보증에 의존하고, optimistic rollup은 경제적 인센티브와 최소 한 명의 정직한 이의 제기자에 의존한다.

주요 ZK rollup 프로젝트에는 무엇이 있는가?

ZKsync Era, Starknet, Scroll, Linea가 대부분의 팀이 검토하는 범용 ZK rollup이며, Scroll과 Linea 둘 다 Ethereum과의 밀접한 동등성(EVM equivalence)을 목표로 한다. Starknet은 현재 L2Beat의 Stage 1 등급을 유지하고 있지만, 더 엄격한 규칙이 적용되면 Stage 0로 강등될 것으로 예상된다. Scroll, ZKsync Era, Linea는 모두 Stage 0다. Polygon zkEVM의 Mainnet Beta 시퀀서는 2026년 7월 1일 종료되었으며, Polygon은 노력을 Polygon PoS와 Agglayer로 옮기고 있다.

스마트 컨트랙트가 ZK rollup에서 실행될 수 있는가?

가능하다. EVM 실행을 증명하는 zkEVM 구현체를 통해서다. 호환성은 구현체마다 다르다. 일부 zkEVM은 최대 호환성을 위해 Ethereum의 실행 레이어를 직접 증명하는 반면, 다른 것들은 증명 비용을 낮추기 위해 바이트코드나 상태 구조를 수정하는데, 이는 컨트랙트나 도구의 조정을 필요로 할 수 있다. 일반적인 주장이 아니라 실제 의존성에 대해 호환성을 확인해야 한다.

rollups-as-a-service(RaaS)는 무엇을 의미하는가?

Rollups-as-a-service는 제공업체가 사용자가 설정하고 소유하는 rollup의 시퀀서, 프로버, 브릿지, 노드 인프라를 운영해주는 것을 의미한다. 체인을 운영하는 데 드는 부담을 없애주지만, base layer 선택, 데이터 가용성 트레이드오프, 시퀀서 탈중앙화, 스택 업그레이드가 체인에 전달되는 방식을 포함한 아키텍처 결정은 없애주지 않는다.

ZK rollup의 보안은 무엇에서 나오는가?

ZK rollup은 base layer로부터 보안을 물려받는다. 자금은 base layer 컨트랙트에 보관되며, 새 상태 루트는 유효한 증명이 온체인에서 검증되었을 때만 받아들여지므로 운영자는 무효한 상태를 커밋할 수 없다. 배치 데이터를 별도로 게시함으로써 누구나 그 상태를 독립적으로 재구성하고 운영자가 데이터를 숨기고 있는지 감지할 수 있다. 개별 트랜잭션에 대한 검열 저항성은 별개의 보증으로, base layer로의 강제 포함 경로에 달려 있다.