Monero RingCT 완벽 해설: XMR이 모든 금액을 숨기는 방식

비트코인 거래를 한 번이라도 보내본 분이라면, 블록 익스플로러에 송금액이 사토시 단위까지 그대로 노출되는 장면을 마주한 경험이 있을 것입니다. 바로 그 장면이 RingCT가 해결하려고 만들어진 설계상의 약점입니다. Monero에서 1,220,516 블록(2017년 1월 10일 활성화) 이후 모든 거래는 Ring Confidential Transactions, 즉 RingCT를 사용해 송금액을 숨기면서도 네트워크상의 모든 노드가 "무에서 코인이 만들어지지 않았다"는 사실을 검증할 수 있도록 설계되어 있습니다. 그로부터 거의 10년이 지난 지금도 RingCT는 암호화폐 전체를 통틀어 가장 많이 연구되고 가장 오래 실전에서 검증된 프라이버시 메커니즘 중 하나로 남아 있으며, 2025년에서 2026년에 걸쳐 진행되는 다음 대규모 Monero 업그레이드 사이클에서도 FCMP++ 및 오랫동안 기다려온 Seraphis 전환과 함께 중심에 자리하고 있습니다.

이 글에서는 RingCT가 실제로 어떤 일을 하는지, 왜 기존 Monero 거래 포맷을 대체해야만 했는지, Pedersen 커밋먼트와 범위 증명이 어떻게 협력해 숨겨진 금액을 검증 가능하게 만드는지, 그리고 2026년에 다가올 변화가 한국에서 자택에 풀 노드를 돌리는 사용자든, MoneroSwapper에서 코인을 스왑하는 사용자든, 또는 단순히 XMR 거래 출력값이 왜 숫자가 아니라 암호학적 블롭으로 보이는지 궁금해하는 분이든 어떤 의미를 갖는지 차근차근 풀어봅니다.

RingCT가 반드시 필요했던 이유

RingCT 이전에도 Monero는 결제가 노출하는 세 가지 정보 중 두 가지를 이미 가리고 있었습니다. 송신자는 링 서명으로, 수신자는 스텔스 주소로 숨겨졌지만, 정작 금액 자체는 비트코인과 마찬가지로 평문 그대로 드러나 있었습니다. 17.3 XMR짜리 거래는 블록 익스플로러에서 정확히 17.3 XMR로 보였고, 체인 분석가들은 이 노출된 금액이 강력한 식별 신호로 작동한다는 사실을 빠르게 간파했습니다. 디코이 링 안에서 13.7777 XMR이라는 특이한 출력값을 보낼 수 있었던 주소가 단 하나뿐이라면, 링 서명 수식이 아무리 정교해도 익명성 집합은 사실상 1로 붕괴됩니다.

이는 이론적인 우려가 아니었습니다. 2015년부터 2016년 사이에 Andrew Miller, Malte Möser, Kevin Lee를 포함한 연구진은 RingCT 이전 Monero를 다룬 분석을 잇따라 발표했고, 상당수의 거래가 단지 비정상적인 금액을 추적하는 것만으로 익명성이 벗겨질 수 있음을 보였습니다. Monero Research Lab은 이미 답을 준비하고 있었습니다. Greg Maxwell이 제안한 Confidential Transactions를 Shen Noether가 Monero의 기존 링 서명과 결합하도록 변형한 설계가 그것입니다.

• 금액이 송신자 패턴을 드러냈다: 링 서명이 어떤 입력이 진짜인지 감추더라도, 링 안에 고유한 금액이 하나만 있으면 익명성 집합은 단 하나의 후보로 줄어듭니다.
• 믹스인 단위가 취약했다: RingCT 이전 Monero는 비슷한 크기의 출력값과 섞이기 위해 거래를 0.1, 0.01, 0.001 같은 "단위"로 쪼개야만 했습니다. 이 때문에 거래는 무겁고 분석이 쉬웠습니다.
• 대체가능성에는 숨겨진 값이 필요하다: 서로 다른 XMR이 과거 금액으로 꼬리표가 붙는 한, 그 코인들은 더 이상 서로 교환 가능하지 않으며, 이는 화폐를 화폐답게 만드는 핵심 속성과 정면으로 충돌합니다.

RingCT는 이 세 문제를 한꺼번에 풀어냈습니다. 금액을 숨기고, 임의의 값을 가진 단일 출력을 그대로 사용하게 해주며, 어색한 단위 분할 시스템을 통째로 제거합니다. 대가가 작지 않았습니다. 거래 크기와 검증 시간이 모두 크게 늘었지만, 프라이버시와 사용성의 이득이 그만한 가치가 있다고 판단되었습니다. 이후 Bulletproofs(2018), Bulletproofs+(2022)로 이어지는 업그레이드를 거치면서 거래 크기 비용은 대부분 다시 회수되었습니다.

RingCT가 실제로 작동하는 방식

RingCT는 단일 알고리즘이 아닙니다. 세 개의 암호학적 기본 요소가 협력해, 네트워크가 거래에 포함된 금액을 모른 채로도 그 유효성을 검증할 수 있게 만드는 합성 구조입니다. 각 구성 요소를 따로 떼어 이해하고 나면 전체 설계가 훨씬 덜 신비롭게 보입니다.

Pedersen 커밋먼트: 금액 숨기기

Pedersen 커밋먼트의 핵심 아이디어는 이렇습니다. 특정한 숫자를 고정해두면서도 그 숫자를 드러내지 않는 암호학적 블롭을 게시하고, 그 블롭들끼리 산술 연산을 할 수 있도록 한다는 것입니다. Monero 출력 금액 a는 C = aH + xG 형태로 커밋됩니다. 여기서 G와 H는 ed25519 타원 곡선 위에 고정된 두 점이고, x는 송신자와 (나중에는) 수신자만 알고 있는 비밀 블라인딩 팩터입니다.

x는 매번 무작위로 선택되기 때문에, 커밋먼트 C 자체만으로는 a에 대해 어떤 정보도 흘리지 않습니다. 1 XMR짜리 두 출력은 체인 위에서 완전히 달라 보입니다. 그러나 Pedersen 커밋먼트는 가산적 동형(homomorphic)이라는 성질을 갖습니다. 즉, 두 커밋먼트의 합은 두 금액의 합에 대한 커밋먼트와 같습니다. 바로 이 성질 덕분에 네트워크는 각각의 금액을 보지 못한 채로도 입력 − 출력 − 수수료 = 0을 검증할 수 있습니다. 송신자는 모든 x 값이 상쇄되도록 블라인딩 팩터를 구성하므로, 커밋먼트 산식은 금액 산식이 맞아떨어질 때만 0이 됩니다.

범위 증명: 음수 금액 공격 차단

금액을 숨기면 새로운 공격 표면이 생깁니다. 송신자가 금액에 대해 거짓말을 하고 음수를 쓴다면 어떻게 될까요? 유한체 위에서 "음수"는 어마어마하게 큰 양의 정수로 감기기 때문에, 악의적인 거래는 커밋먼트 산식을 만족시키면서도 사실상 수십억 XMR을 찍어낼 수 있게 됩니다. 범위 증명은 각 출력 커밋먼트가 [0, 2⁶⁴ − 1] 범위의 수를 부호화하고 있음을 — 어떤 수인지는 드러내지 않고 — 암호학적으로 증명해 이 공격을 막습니다.

초기 RingCT의 범위 증명은 금액의 각 비트에 대해 Borromean 링 서명을 사용했습니다. 명료하고 안전했지만 크기가 매우 컸습니다. 2017년 기준 출력값 두 개짜리 일반 거래의 무게가 약 13kB에 달했습니다. 2018년 10월에 배포된 Bulletproofs는 Bünz, Bootle 등이 제시한 내적(inner-product) 인수를 사용해 이를 약 2kB로 줄이는 동시에 일괄 검증 속도도 크게 개선했습니다. 2022년의 Bulletproofs+는 여기서 추가로 5~7%를 더 깎고 증명자 로직을 단순화했습니다.

CLSAG: 어떤 입력이 진짜인지 숨기기

세 번째 조각은 링 서명 자체입니다. RingCT 출력은 연결 가능한(linkable) 링 서명으로 소비되며, "이 N개의 출력 중 하나가 내 것이고, 나는 그것을 소비할 권한이 있다"는 사실을 — 어떤 것인지 밝히지 않고 — 증명합니다. 2017년부터 2020년까지 Monero는 MLSAG(Multilayered Linkable Spontaneous Anonymous Group signature)를 사용했고, 2020년 8월 하드포크 이후로는 CLSAG로 전환했습니다. CLSAG는 크기가 약 25% 작고 검증 속도가 약 10% 빠르면서도 보안 손실이 없습니다.

각 입력은 또한 키 이미지(key image)를 함께 게시합니다. 키 이미지는 실제 출력값의 개인키에서 결정론적으로 파생된 암호학적 해시이며, 네트워크는 기존 키 이미지를 재사용하는 거래를 모두 거부합니다. 어떤 출력이 실제로 소비되었는지 드러내지 않으면서 이중지불을 막는 것이 바로 이 단일 값입니다. 현재 링 크기는 16(디코이 15 + 진짜 1)으로 고정되어 있으며, 이 매개변수는 익명성 집합 핑거프린팅을 제거하기 위해 2022년 9월 하드포크 이후 모든 거래에서 의도적으로 균일하게 유지되어 왔습니다.

RingCT 대 다른 프라이버시 접근법

RingCT가 풀려는 문제와 같은 문제를 풀어보려 한 다른 코인과 프로토콜은 여럿 있습니다. 절충점은 저마다 크게 다르며, 그것들을 비교해보면 Monero가 왜 지금의 선택을 했는지 한층 분명해집니다.

이 목록에서 RingCT를 규정하는 속성은 무신뢰성입니다. 부팅을 위해 다자간 의식을 거친 적이 한 번도 없으며, 누출되면 체인 전체를 위협할 수 있는 "독성 폐기물(toxic waste)"도 존재하지 않습니다. 대신 거래당 익명성 집합이 링 크기로 상한이 정해진다는 비용을 치릅니다. zk-SNARK 계열은 원리적으로 쉴디드 풀 전체 안에서 거래를 숨길 수 있습니다. 바로 이 균형이 FCMP++가 뒤집으려는 지점입니다.

"Monero를 만드는 일에서 가장 어려운 부분은 암호학이 아닙니다. 모든 사용자를 같은 기본값 위에 묶어두어 누구도 튀지 않게 만드는 일입니다." — Justin Ehrenhofer, 전 MoneroSpace 커뮤니티 리드, "최대 링 크기보다 균일한 링 크기가 왜 더 중요한가"에 관한 발언 중에서.

RingCT 거래 전송, 단계별 내부 동작

거래 하나를 처음부터 끝까지 따라가보면 RingCT가 손에 잡힐 만큼 구체적으로 느껴집니다. 아래 단계는 Feather, Cake Wallet, Monero GUI, 혹은 Trezor Safe 3에서 하드웨어 서명을 거치는 흐름이든, 2026년에 여러분이 Monero 지갑에서 "보내기"를 누르는 순간 무대 뒤에서 벌어지는 일들을 정리한 것입니다.

1. 입력값 선택. 지갑은 송금액과 수수료를 합친 금액을 충당할 수 있는 자신의 출력값 한두 개 이상을 고릅니다. 각 출력값에는 본인만 볼 수 있는 금액과 지갑 캐시에 저장된 블라인딩 팩터가 함께 들어 있습니다.
2. 디코이 링 구성. 각 입력에 대해 지갑은 블록체인에서 다른 출력값 15개를 감마 분포로 추출합니다. 분포는 최근 블록 쪽에 가중되어 있는데, 경험적으로 대다수의 지출이 최근 출력에서 나오기 때문입니다. 이 디코이 15개와 본인의 진짜 출력 1개가 합쳐져 크기 16의 링을 이룹니다.
3. 출력값 구성. 수신자의 스텔스 주소는 그들의 공개 뷰 키와 스펜드 키에서 파생되므로, 체인 위에 기록되는 출력 주소는 이번 거래에만 해당하고 그들의 메인 주소와 연결되지 않습니다. 금액은 공유 비밀을 이용해 수신자에게 암호화된 다음, 새로운 블라인딩 팩터를 갖춘 Pedersen 커밋먼트로 묶입니다.
4. 범위 증명 생성. Bulletproofs+ 증명이 모든 출력 커밋먼트에 대해 한 번에 계산되어, 각 금액이 64비트 유효 범위 내에 있음을 증명합니다.
5. CLSAG 서명 생성. 입력마다 하나씩 링 서명이 만들어져, 어떤 링 멤버가 실제인지는 밝히지 않은 채 소비 권한을 증명하고 그에 대응하는 키 이미지를 함께 게시합니다.
6. Dandelion++로 전파. 거래는 먼저 "스템(stem) 단계"에서 무작위로 선택된 단일 피어에게 전달되고, 프라이버시 보존 경로를 따라 일정 구간 진행된 뒤에야 네트워크 전체로 플러딩됩니다. 이는 멤풀 계층에서 IP 기반 익명성 해제 공격에 대한 방어선입니다.
7. 검증과 블록 포함. 모든 노드는 범위 증명, CLSAG 서명, 그리고 커밋먼트 합의 균형을 검사합니다. 전부 유효하다면 거래는 멤풀에 들어가 약 2분 안에 한 블록에 포함됩니다.

이 모든 단계는 자동으로 일어납니다. 사용자 입장에서 보면 Monero 송금은 다른 어떤 암호화폐 송금과도 동일합니다. 주소를 붙여넣고, 금액을 입력하고, 확인 버튼을 누릅니다. 복잡한 일은 전부 프로토콜 쪽에서 처리하며, 사실 그것이 가장 올바른 위치입니다.

2026년의 큰 그림: FCMP++와 RingCT 이후

RingCT는 놀라울 만큼 오래 살아남았지만, Monero Research Lab은 오랜 시간 동안 그 다음 세대를 준비해왔습니다. 다음 하드포크 사이클의 핵심 변화는 FCMP++(Full Chain Membership Proofs)입니다. Luke "kayabaNerve" Parker, Aaron Feickert를 비롯한 연구진이 주도하는 이 방식은 16개로 구성된 링이 아니라, Monero 체인에 지금까지 만들어진 모든 소비 가능한 출력의 집합 안에서의 멤버십을 입력값이 증명합니다. 익명성 집합이 수천만 개 단위로 커진다는 뜻입니다.

FCMP++는 Curve Trees라는 재귀적 커밋먼트 구조 위에 세워져 있습니다. 이는 거대한 머클 트리 비슷한 구조 안에서의 멤버십을 단 몇 킬로바이트짜리 증명으로 검증자에게 납득시킬 수 있게 해줍니다. 결정적으로 신뢰 셋업이 필요하지 않으므로, Monero를 zk-SNARK 체인들과 구분 짓는 "독성 폐기물 없음" 속성이 그대로 유지됩니다. 활성화되고 나면, Monero의 익명성 집합이 링 크기로 묶여 있다는 오랜 비판을 사실상 무력화합니다.

FCMP++ 옆에는 Seraphis 거래 프로토콜(koe와 MRL 설계)과 Jamtis 주소 포맷이 자리합니다. 이들은 현재의 MLSAG/CLSAG/하위주소(subaddress) 스택을 더 깔끔하고, 더 효율적이며, 더 유연한 무언가로 대체할 예정입니다. 이 업그레이드들을 합치면 2017년 RingCT가 도입된 이래 Monero가 거치는 가장 큰 전환에 해당합니다.

그렇다면 사용자에게는 어떤 의미일까요? 일상적으로는 거의 변화가 없습니다. 지갑이 업그레이드되고, 수수료가 떨어질 수 있고, 거래가 작아질 수 있습니다. 프라이버시 보장은 더 강해지지만, 사용자 경험은 — 주소를 붙여넣고, 금액을 확인하고, 거래가 컨펌되는 것을 지켜보는 — 그대로 유지됩니다. MoneroSwapper 같은 무KYC 스왑 서비스를 쓰는 분에게도 마찬가지입니다. 스왑 인터페이스에서는 암호학적 전환이 전혀 보이지 않지만, 결과로 들어오는 출력은 2017년 RingCT 출력보다 실질적으로 더 강한 프라이버시 속성을 갖춘 지갑에 도착합니다.

실제 사례: RingCT의 한계를 추적한 연구

추상적인 이야기를 구체적으로 만들기 위해, 2024년 Financial Cryptography 학회 프로시딩에 실린 학술 분석을 살펴보겠습니다. 연구진은 타이밍 분석, 멤풀 모니터링, 그리고 링 멤버 연령 분포에 기반한 통계적 추측을 결합해 2022년 이후 Monero 거래 표본의 익명성 해제를 시도했습니다. 20만 건이 넘는 거래를 검토한 결과, 진짜 지출에 대한 "추측"이 맞은 비율은 링 크기 16에 대해 무작위 추측을 가정했을 때 기대되는 수치 — 약 6.25% — 수준에 그쳤습니다. 다시 말해, 암호학은 무너지지 않았고, 프로토콜의 균일한 기본값은 잡아당길 만한 통계적 손잡이를 남기지 않았습니다.

이 결과가 중요한 이유는, 프라이버시 시스템이 무너지는 지점이 보통 수학 계층이 아니라 메타데이터 계층이기 때문입니다. Monero의 균일한 링 크기 16, RingCT 의무화, 2022년 이후 하드코딩된 Bulletproofs+, Dandelion++ 전파는 모두 메타데이터 표면을 최소화하기 위해 의도된 선택입니다. 사용자에게 주는 교훈은 단순합니다. 기본값에서 벗어나 커스터마이즈하지 말 것, 가능하면 자기 노드를 돌릴 것, 그리고 거래소와 중앙화 서비스를 프로토콜이 아니라 가장 약한 고리로 다룰 것. MoneroSwapper의 무계정 모델은 정확히 이 원칙 위에 설계되어 있으며, 체인 분석 기술이 더 좋아진다 해도 새어 나갈 정체성 로그 자체가 존재하지 않습니다.

한국 사용자에게 의미 있는 맥락

한국에서 Monero를 다룰 때 알아두면 좋은 몇 가지 지점이 있습니다. 국세청은 가상자산 양도소득 과세를 2025년 1월 1일부터 시행할 계획을 여러 차례 발표했다가 유예해 왔고, 2026년 시점에도 시행 시기 자체가 정치적 변수에 가깝습니다. 일단 시행되면 연간 250만 원을 초과하는 가상자산 양도차익에 대해 22% 분리과세(지방소득세 포함)가 적용될 가능성이 큽니다. RingCT는 체인 위에서 금액과 발신자를 가리지만, 한국 거주자가 신고 의무에서 면제된다는 뜻은 아닙니다. 일반론으로, 자기 지갑 안의 잔액과 매매 기록은 본인이 직접 추적하고 보관해 두는 편이 훗날 입증 부담을 줄여줍니다.

거래소 쪽 환경도 살펴볼 가치가 있습니다. 업비트, 빗썸, 코인원, 코빗 등 국내 주요 원화 마켓은 특정금융정보법(특금법)과 트래블 룰 시행 이후 사실상 모두 Monero 상장을 폐지했습니다. 즉, 원화로 곧장 XMR을 사들이는 합법 채널은 한국 거주자에게 사실상 존재하지 않으며, 대다수 사용자는 비트코인이나 USDT를 해외 거래소나 무KYC 스왑 서비스로 보내 XMR로 환전하는 우회 경로를 택합니다. RingCT의 의미는 여기서 또렷해집니다. 일단 XMR이 자기 지갑에 도착하면, 그 시점부터의 모든 송금은 균일한 기본값 위에서 보호되고, 체인 분석은 그 이전 단계의 메타데이터에만 매달릴 수 있습니다.

참고로 금융감독원과 금융정보분석원(FIU)은 가상자산 사업자(VASP) 신고제 위반과 미신고 거래소 차단을 꾸준히 강화해 왔습니다. 즉, 국내에서 사업자 신고 없이 한국 사용자에게 거래 서비스를 제공하는 플랫폼은 도메인 차단 등 행정 조치 대상이 될 수 있다는 뜻입니다. 사용자 입장에서는 평소에 자기 키를 자기 지갑에 보관하는 습관과, 거래소 의존도를 줄이는 운용 방식이 정책 변동성에 대한 가장 직접적인 방어책입니다.

FAQ

2026년에도 모든 Monero 거래에 RingCT가 필수인가요?

그렇습니다. 2017년 9월 하드포크 이후 모든 Monero 거래는 반드시 RingCT를 사용해야 합니다. "투명한" 금액 모드라는 레거시 옵션은 존재하지 않습니다. 바로 이 균일성이 RingCT 강도의 상당 부분을 만듭니다. 모든 거래가 구조적으로 동일하게 보이므로, 옵션을 켜고 끄는 행위로 누구도 튀지 않습니다.

Monero 개발자가 제 거래 금액을 볼 수 있나요?

아니요. 금액은 송신자와 수신자 사이의 공유 비밀로 암호화되고, 체인 위의 커밋먼트가 그 외 모든 사람에게서 — 코어 개발자, 채굴자, 노드 운영자 포함 — 금액을 숨깁니다. 실제 금액은 송신자와 수신자, 그리고 본인의 뷰 키를 명시적으로 공유받은 사람만 읽을 수 있습니다.

RingCT 때문에 Monero가 비트코인보다 느려지나요?

Monero 거래는 비트코인 거래보다 크기가 크고 검증 시간이 더 깁니다. 다만 블록 시간(2분)이 더 짧고, Bulletproofs+ 일괄 검증이 거래당 성능 격차를 대부분 메워줬습니다. 일반 소비자용 하드웨어에서 Monero 체인 동기화는 대략 하루면 끝납니다.

RingCT와 링 서명의 차이는 무엇인가요?

링 서명은 후보 집합 안에서 어떤 입력이 소비되고 있는지를 가립니다. RingCT는 금액을 가립니다. 현대 Monero 거래는 두 가지를 모두 사용합니다. 입력 익명성을 위한 CLSAG 링 서명, 그리고 금액 비밀성을 위한 Pedersen 커밋먼트와 Bulletproofs+ 범위 증명입니다. 이 둘을 합쳐 RingCT 체계 전체를 이룹니다.

FCMP++가 RingCT를 완전히 대체하나요?

FCMP++는 거래의 링 서명 구성 요소를 풀체인 멤버십 증명으로 대체해 익명성 집합을 극적으로 확장합니다. 금액을 숨기는 구성 요소인 Pedersen 커밋먼트와 범위 증명은 새 설계에서도 계속 사용됩니다. 따라서 FCMP++는 RingCT의 완전한 대체라기보다 다음 세대 버전으로 보는 편이 정확합니다.

비트코인을 Monero로 스왑하면 코인이 RingCT 보호를 받게 되나요?

그렇습니다. XMR이 Monero 지갑에 도착한 순간부터 이후의 모든 송금은 기본값으로 RingCT를 사용합니다. 스왑 자체는 MoneroSwapper 같은 서비스에서 오프체인으로 이루어지며, 아토믹 스왑이나 오더북이 두 체인 사이에서 가치를 옮깁니다. 스왑의 Monero 쪽이 정산되는 즉시, 이후 발생하는 모든 송금에는 표준 RingCT 보호가 적용됩니다.

맺음말

RingCT는 "프라이버시 암호화폐"라는 슬로건을 검증 가능한 암호학적 속성으로 바꿔주는 Monero의 핵심 부품입니다. Pedersen 커밋먼트, Bulletproofs+ 범위 증명, CLSAG 링 서명을 결합함으로써, RingCT는 모든 노드가 단 한 푼의 금액도 보지 않고도 장부가 맞는다는 사실을 확인할 수 있게 해줍니다. 2017년 런칭 이후 거의 10년이 지난 지금도 RingCT는 다른 금액 은닉 방식이 비교 대상으로 삼는 표준이며, 곧 다가올 FCMP++ 업그레이드는 "링 크기에 제한된 익명성 집합"이라는 오래된 비판을 무너뜨리며 그 격차를 더 벌릴 것입니다.

RingCT를 단순히 글로만 읽는 게 아니라 실제로 사용하려 한다면, 실전 우선순위는 분명합니다. 지갑을 기본값 그대로 두기, 가능하면 자기 노드를 돌리기, 신원 정보를 수집하지 않는 서비스를 선호하기, 그리고 프라이버시의 가장 약한 고리가 거의 언제나 수학이 아니라는 점을 기억하기. KYC 흔적을 남기지 않고 XMR을 사고팔고 싶다면, MoneroSwapper가 무계정 스왑을 통해 RingCT 보호가 적용되는 지갑으로 곧장 코인을 전달합니다. 이 글에서 다룬 암호학은 여러분이 "보내기"를 누르는 그 순간부터 작동하기 시작합니다.