페더슨 커밋먼트 (Pedersen Commitment)

페더슨 커밋먼트(Pedersen Commitment)는 1991년 토르벤 페더슨(Torben Pryds Pedersen)이 제안한 커밋먼트 방식으로, 값 v와 무작위 값 r에 대해 C = v·G + r·H를 계산합니다. 값을 완벽하게 숨기면서도 커밋먼트끼리 더할 수 있어, 금액을 숨기는 비밀 거래(Confidential Transactions)의 핵심 도구가 되었습니다.

자세히 알아보기

G와 H는 같은 군의 두 생성원이며, 누구도 H = x·G를 만족하는 x를 알아서는 안 됩니다. 그래서 H는 보통 G나 특정 문자열을 해시해 곡선 점으로 보내는 방식으로 만들어 '숨긴 관계가 없음'을 보장합니다(nothing-up-my-sleeve).

성질은 두 가지입니다. ① 완전 은닉(perfectly hiding): r이 균일하게 무작위이면 C는 어떤 v에 대해서도 똑같이 분포하므로, 무한한 계산 능력이 있어도 v를 알아낼 수 없습니다. ② 계산적 구속(computationally binding): 같은 C를 다른 (v′, r′)로 열려면 G와 H 사이의 이산 로그를 풀어야 하므로 현실적으로 불가능합니다. 단, 양자 컴퓨터가 이산 로그를 풀게 되면 구속성이 깨집니다.

가장 유용한 성질은 덧셈 동형성입니다. C(v₁, r₁) + C(v₂, r₂) = C(v₁ + v₂, r₁ + r₂). 따라서 입력 커밋먼트의 합과 출력 커밋먼트의 합을 비교하면, 금액을 공개하지 않고도 '입력 = 출력 + 수수료'를 검증할 수 있습니다. 다만 음수 금액으로 돈을 만들어 내는 것을 막으려면 불릿프루프 같은 범위 증명을 함께 써야 합니다.

'페더슨 해시'라는 이름의 해시 함수(Zcash Sapling 등)는 같은 아이디어를 응용한 별개의 구성이므로 혼동하지 않아야 합니다.

블록체인·암호화폐에서는

Monero의 RingCT, Grin·Beam 같은 Mimblewimble 체인, Blockstream의 Liquid 사이드체인이 금액을 페더슨 커밋먼트로 숨깁니다. 블록 탐색기는 커밋먼트(곡선 점)만 볼 수 있고 실제 금액은 알 수 없습니다. 반면 Ethereum·Tron 위의 USDT·USDC는 금액이 그대로 공개되므로 동결·압류 내역까지 누구나 추적할 수 있습니다.

쉽게 말하면

금액을 적은 종이를 불투명한 봉투에 넣고 봉인하는 것과 같습니다. 봉투들을 열지 않고도 '들어온 봉투의 합 = 나간 봉투의 합'을 저울로 확인할 수 있습니다.