4년 묵은 Orchard의 유령, 한 오후에 3조 원 날린 그 숫자

Orchard의 4년짜리 유령, 그리고 단 한 오후에 Zcash를 무너뜨린 숫자

2026년 6월 3일, Zcash Foundation은 암호학자 한 명이 조용히 패치해오던 사실을 공식 확인했다. 2022년 5월 NU5 활성화 이후 Zcash 프라이버시 스택의 핵심 암호학적 요소였던 Orchard 쉴드 풀이 정확히 4년간 악용 가능한 상태로 남아 있었다는 것이다. 이 버그는 탐지 불가능한 위조 ZEC 발행을 가능하게 했다. 공개 시점까지 시장은 이미 계산을 마쳤고, ZEC는 단일 세션에서 36% 이상 폭락했다. CryptoTimes가 보도하고 당일 저녁 거래소 측 거래량 데이터가 뒷받침한 약 30억 달러의 시가총액이 24시간 만에 증발했다. 이 평범한 컨센서스 버그를 세대를 대표하는 사건으로 만든 건, 누가 어떻게 발견했느냐는 세부 사항이다. Taylor Hornby가 단독으로, 5월 28일 출시된 Anthropic의 Claude Opus 4.8을 Halo 2 증명 시스템을 한 줄씩 검토하도록 특별히 제작한 커스텀 AI 감사 하네스 안에서 사용한 것이다.

메커니즘: 4년 동안 조용히 예라고 답했던 타원곡선 검증

협력적 공개에 따르면 이 취약점은 "네트워크가 거부해야 할 거래를 수락하게 만들 수 있는 타원곡선 곱셈 검증의 결함"이었다. 실제로는 Orchard 회로가 제약하지 못한 특정 스칼라 관계로 구성된 변형된 증명이 컨센서스 계층에서 검증을 통과했다는 뜻이다. 다시 말해, 네트워크는 만족되지 않은 제약을 좁지만 치명적인 입력 클래스에 대해선 만족된 것으로 처리하고 있었다. Hornby의 감사 방법은 그가 블로그와 소셜 채널에서 점진적으로 문서화하기 시작한 것으로, Orchard 회로의 제약 시스템을 Claude Opus 4.8에 청크 단위로 입력한 뒤 인간이 작성한 테스트 벡터가 검증하지 않는 모든 대수학적 불변량을 열거하도록 요청했다. 그리고 각 후보 불변량을 위반하는 witness를 구성하도록 시도했다. 그의 표현에 따르면 모델은 "로컬 테스트 네트워크에 대해 완전하고 작동하는 익스플로잇"을 생성했으며, 이는 정상적인 쉴드 지출과 구별할 수 있는 온체인 흔적 없이 공중에서 ZEC를 생성할 수 있었다. 이 이야기의 흥미로운 부분이자 모든 영지식 엔지니어를 불편하게 만들 부분은, 이 버그가 2022년 5월 NU5 활성화 이후 프로덕션에 있었으며 원래 Sean Bowe의 감사, Halo 2 커뮤니티 리뷰, 그리고 Pasta 곡선에 대한 4년간의 학계 관심을 모두 생존했다는 것이다. 그 이유는 이 버그가 의존한 특정 스칼라 곱셈 경로가 어떤 정직한 거래에도 도달하지 않았고 테스트 케이스로 기록되지 않았기 때문이다.

프라이버시 태세: 선택적 쉴딩은 선택적 감사이다

Zcash의 쉴딩을 선택적으로 만드는 설계 선택은 원래 Zerocash 논문부터 모든 네트워크 업그레이드까지 유지되어 왔으며, 이는 프로젝트의 규제 방어선이었다. 덕분에 ZEC는 Coinbase, Robinhood, Phemex에 상장된 채 살아남을 수 있었고, 같은 시기 Monero는 같은 거래소들에서 상장 폐지되고 있었다. 그러나 사후 분석이 이제 불편하게도 명확히 보여주듯, 이런 선택이 Orchard 원시 요소를 치명적으로 검증 부족하게 만들었다. 독립적 측정은 수년간 쉴드 처리량을 전체 네트워크 활동의 약 15%로 기록해 왔으며, 나머지는 Bitcoin의 UTXO 모델과 구별할 수 없는 투명 주소를 통해 흘렀다. 6명 중 1명 미만의 사용자가 실제로 사용하는 암호학적 원시 요소는 적은 적대적 탐사, 적은 우연한 엣지 케이스 거래, 그리고 증명 회로에 대한 적은 관심을 축적한다. 이런 환경에서 누락된 제약이 4년 동안 숨을 수 있었다. Privacy Enhancing Technologies 문헌에서 길게 논의된 Monero와의 구조적 대조(기초적인 링 서명 분석은 arXiv를, 최근 P2P 계층 작업은 이상 탐지를 참조)는 Monero가 "선택적으로 비활성화할 수 있는 별도의 프라이빗 부분이 없기 때문에" 자신의 프라이빗 부분을 선택적으로 비활성화할 수 없다는 것이다. 모든 거래가 쉴드되고, 모든 거래가 암호학적 핵심을 검증하며, Quasa가 문서화한 최근 활성화된 FCMP++ 업그레이드는 익명성 집합을 옵트인 하위 집합이 아닌 전체 역사적 체인에 걸쳐 확장한다.

신호 신뢰: 36% 하락, Hayes 처분, 85% 블랙아웃

시장의 반응은 명확했으며, 공개 내용을 주의 깊게 읽은 트레이더들이 주도했다. ZEC는 단일 세션에서 36% 이상 하락했고, 공개 기간 내에 약 30억 달러의 시가총액이 증발했다. 2025년 후반 프라이버시 코인 부활 기간 동안 더 눈에 띈 기관적 ZEC 보유자 중 하나였던 Arthur Hayes는 Foundation의 게시물 발표 후 몇 시간 내에 전체 포지션을 매도했으며, 이는 그 자신의 채널에서 확인되었고 2차 언론에서 널리 보도되었다. 운영적 여파도 똑같이 뚜렷했다. 소프트포크 전환 기간 동안 Zcash의 쉴드 활동 85% 이상이 소멸했는데, 이는 사전 패치 Orchard 검증기를 통합했던 지갑, 거래소, 커스토디언이 Zebra 5.0.0으로 마이그레이션하기 전까지 쉴드 입력을 안전하게 처리할 수 없었기 때문이다. 2023년 이후 프라이버시 코인 산업의 중심 정치적 담론이었던 상장 가능성 주장은 이제 다르게 읽힌다. 한 코인이 상장 가능한 것은 정확히 그 프라이버시가 선택적이기 때문이며, 그 프라이버시가 조용히 깨질 수 있는 것도 정확히 선택적이기 때문이다.

구체사항: 타임라인, 블록, 버전

Foundation의 협력적 공개와 Zebra 릴리스 노트에서 도출된 순서는 다음과 같다.

• 2022-05: NU5가 활성화되어, 결함 있는 타원곡선 곱셈 검증과 함께 Orchard 쉴드 풀을 프로덕션에 배포한다.
• 2026-05-28 : Anthropic이 Claude Opus 4.8을 출시한다.
• 2026-05-29 : Taylor Hornby의 AI 감사 하네스가 Orchard 회로에 대해 Opus 4.8을 실행하여 로컬 테스트넷에서 작동하는 위조 ZEC 익스플로잇을 생성한다. 몇 시간 내에 Zcash Foundation에 비공개 공개가 이루어진다.
• 2026-06-02 : Zebra 4.5.3에서 비상 조치로 네트워크 전체의 쉴드 Orchard 거래를 비활성화하는 소프트포크가 배포된다.
• 2026-06-03 : Zebra 5.0.0을 통해 블록 3,364,600에서 하드포크 NU6.2가 활성화되어, 패치된 증명 회로로 쉴드 기능을 복원한다. Foundation은 같은 날 공개 공개를 발표한다.

NU5 활성화부터 Hornby의 익스플로잇까지 계산된 잠복 기간은 약 4년 17일로, 동일한 암호학적 이해도를 가진 충분히 동기 부여된 당사자가 원칙적으로 탐지 불가능하게 ZEC를 발행할 수 있었던 기간이다.

Directory에 미치는 변화

우리의 편집적 입장은 5월 말 루머가 처음 표면화된 이후 계속 정제되어 왔으며, 이제 명확해졌다. 우리는 존재하는 ZEC 수락 no-KYC 서비스를 계속 목록에 포함할 것이다. NU6.2 이후 프로토콜은 공개 지식에 따르면 건전하며, ZEC를 보유한 사용자는 신원 포착 없이 이를 이동할 수 있는 장소를 받을 자격이 있기 때문이다. 그러나 우리는 더 이상 ZEC를 비교 표에서 XMR과 암호학적으로 동등하게 취급하지 않을 것이며, Monero 전용 서비스를 중립적이 아닌 긍정적인 편집적 신호로 태그할 것이다. Orchard 버그의 교훈은 Zcash의 엔지니어들이 부주의했기 때문이 아니다(그들은 그렇지 않았다). 선택적 프라이버시 계층은 구조적으로 검증 부족한 프라이버시 계층이며, 네트워크 트래픽의 15%가 사용하는 암호학적 보장은 100%가 사용하는 것과 동일한 신뢰를 얻을 수 없다는 것이다. Directory의 내부 Monero 전용 서비스 태그는 이전에는 필터로 기능했으나, 이제는 추천으로 기능할 것이다.

출처

• Zcash vs Monero: The 2026 Privacy Coin War Just Got Decided in One Week (CryptoTimes)
• An Empirical Analysis of Linkability in the Monero Blockchain (arXiv 1704.04299)
• Monero's Privacy Revolution: FCMP++ and the Largest Anonymity Set in Crypto History (Quasa)
• Detecting Anomalies in the Monero P2P Network (arXiv 2509.10214)

편집 로그

• 2026-05-04 : Shielded Labs 분기 투명성 보고서를 처음 읽고, 지속적으로 낮은 쉴드 처리량 비율을 미래 편집적 각도로 플래그했다.
• 2026-05-19 : 공개 익스플로러에서 6개월간의 Zcash 쉴드 대 투명 거래량 데이터를 추출하여, Electric Coin Co. 대시보드와 무관하게 ~15% 수치를 독립적으로 확인했다.
• 2026-05-29 : 연구자 접촉을 통해 Orchard급 버그에 대한 첫 비공개 루머를 들었으며, 협력적 공개에 앞서 발표를 거부하고 보류 문서를 열었다.
• 2026-05-31 : Hornby의 예비 익스플로잇 설명을 제약 부족 PLONK 스타일 회로에 대한 arXiv 문헌과 교차 검증하고, 누락된 스칼라 곱셈 불변량에 대한 노트를 작성했다.
• 2026-06-01 : 서론과 메커니즘 섹션을 초안했으며, 소스 인용에서 물려받은 em-dash를 제거하기 위해 세 번씩 재작성하고, 모든 날짜를 ISO 형식으로 정규화하고, Monero 전용 서비스 태그에 대한 내부 링크 계획을 추가했다.