BitVM이란? 비트코인에 스마트 계약을 구현하는 방법

BitVM은 비트코인의 합의 규칙을 변경하지 않고도 임의의 프로그램을 비트코인에서 검증할 수 있게 하는 컴퓨팅 설계입니다. 계산은 두 당사자 간에 오프체인으로 이루어지며, 한쪽이 잘못된 주장을 할 때만 비트코인 체인에는 짧은 도전-응답 절차가 기록됩니다. Robin Linus는 2023년 10월 9일에 원 논문을 발표했으며, 이후 구축된 대부분의 신뢰 최소화형 비트코인 브리지 설계의 기반이 되었습니다.

아이디어는 정교하지만 실제 이력은 고르지 않았습니다. Bitlayer가 구축한 최대 규모의 BitVM 브리지 프로덕션 구현은 가동 후 약 11개월 만인 2026년 6월 3일에 중단되었습니다. 그 배경을 이해하려면 먼저 메커니즘을 이해해야 하며, 이유는 암호학보다는 경제성에 더 가까운 것으로 보입니다.

BitVM 한눈에 보기

가장 중요한 행은 끝에서 두 번째 항목입니다. BitVM을 투자 대상으로 다루는 글은 대체로 BitVM 자체가 아니라 이를 구현하는 팀이 발행한 다른 토큰을 설명하는 경우가 많습니다.

BitVM이란?

비트코인의 스크립팅 언어는 의도적으로 작게 유지되어 왔습니다. 루프가 없고, 지속적인 계약 상태도 없으며, opcode 세트도 제한적이기 때문에 이 네트워크에는 이더리움의 가상머신과 같은 것이 존재하지 않았습니다. 이를 추가하려면 합의 변경이 필요하며, 비트코인에 대한 합의 변경은 실제로 진행되더라도 오랜 논쟁을 거치는 경우가 많습니다.

BitVM은 프로그램을 비트코인 위에서 직접 실행하지 않음으로써 이 문제를 우회합니다.

두 당사자는 사전에 하나의 프로그램에 합의하고, 그 모든 단계를 인코딩하는 비트코인 트랜잭션 트리를 미리 서명합니다. 그 후 증명자(prover) 역할의 한쪽이 프로그램 출력에 대한 주장을 하고 보증금을 게시합니다. 주장이 맞다면 추가로 아무 일도 일어나지 않으며, 체인은 계산 자체를 전혀 보지 않습니다. 주장이 틀리다면 다른 당사자는 산술이 깨지는 정확한 단계까지 비트코인을 통해 분쟁을 좁혀가고, 일반 트랜잭션 안에서 불일치를 증명해 보증금을 가져갈 수 있습니다.

2023년 설계는 프로그램을 논리 게이트 회로로 인코딩한 뒤 이를 머클 트리에 커밋하는 방식이었습니다. 양측은 여러 차례에 걸쳐 분쟁 범위를 좁혀 최종적으로 비트코인이 평가할 수 있을 만큼 저렴한 단일 게이트에 도달합니다. 원래 BitVM 논문은 이 모델을 계산 실행이 아니라 계산 검증으로 설명하는데, 이는 낙관적 롤업이 취하는 접근과 유사하지만 애초에 이를 수용하도록 설계되지 않은 체인에 적용한 것입니다.

회계 시스템이라기보다 감사 조항에 가깝다고 생각하면 이해하기 쉽습니다. 비트코인이 직접 장부를 관리하는 것이 아니라, 오류가 적발되었을 때 어떤 상태가 오류인지 미리 합의하고 누군가 그것을 증명하면 그 결과를 반영하는 구조입니다.

왜 비트코인에 이것이 필요한가?

대략 1조 달러 규모의 가치가, 본래 그 자체로 대출·담보화·프로토콜 라우팅을 수행할 수 없는 체인 위에 존재합니다. 이를 해결하려는 시도는 대개 수탁자나 명시된 연합이 뒷받침하는 래핑 토큰으로 귀결되어 왔습니다. 이 모델은 구성원들이 공모하거나 외부 압력을 받기 전까지는 작동할 수 있지만, 실패 시 결과는 전면적일 수 있습니다.

또한 브리지는 실제 자금 손실이 자주 발생하는 영역이기도 합니다. 2026년 DeFi 브리지 익스플로잇 분석에서는 이러한 패턴을 다루고 있으며, 공통점은 대체로 암호학 원시 기술의 결함이 아니라 소수의 키가 사실상 하나의 키 세트처럼 작동했다는 데 있습니다.

BitVM의 핵심 주장은 비트코인 보유자가 어느 누구의 과반수도 신뢰할 필요가 없어야 한다는 점입니다. 한 집단 중 단 한 명의 참여자만 시스템의 정합성을 지키면 된다면, 집단 전체가 적대적이더라도 페그는 유지될 수 있습니다. 이는 Ethereum Layer 2 솔루션이 하는 주장과는 다릅니다. 이더리움은 자체 실행 환경 안에서 증명을 직접 검증할 수 있지만, 비트코인은 그렇지 못하기 때문입니다.

BitVM은 실제로 어떻게 작동하나?

전체 프로토콜은 이보다 더 복잡하지만, 구조는 다섯 단계로 요약할 수 있습니다.

1. 설정 단계에서 모든 경로를 미리 서명한다

BTC가 이동하기 전에 참여자 그룹은 분쟁에서 발생할 수 있는 모든 분기를 포괄하는 비트코인 트랜잭션 그래프에 공동 서명합니다. 그 결과 생성되는 주소는 일부 참여자가 임의로 자금을 이동시킬 수 없는 구조가 됩니다. 존재하는 지출 경로가 미리 서명된 경로로 제한되기 때문입니다. Bitlayer의 BitVM Bridge 설계 글은 이 속성을 비교적 명확하게 설명하며, 위원회 구성원 중 최소 1명이 개인 키를 삭제하면 나머지 모두가 해당 자금을 이동시킬 능력을 재구성하는 것은 계산적으로 매우 어렵다고 말합니다.

2. 사용자가 예치하고 페그 자산을 받는다

BTC는 미리 서명된 주소로 들어가고, 대상 체인에서는 1:1 대응 자산이 발행됩니다. Bitlayer는 이를 YBTC라고 불렀고, Citrea는 cBTC라고 부릅니다. 명칭은 다르지만 회계 구조는 유사합니다. 유통되는 각 단위는 운영자가 접근할 수 없어야 하는 잠긴 코인에 대응한다고 전제되기 때문입니다.

3. 출금은 운영자가 먼저 유동성을 제공한다

사용자가 페그 자산을 소각해 출금하려고 할 때, 비트코인 계약이 완전히 정산될 때까지 기다리지 않습니다. Bitlayer 설계에서는 broker라고 부르는 수익 추구형 운영자가 먼저 자기 재고에서 BTC를 사용자에게 보내고, 이후 잠긴 자금에서 자신에게 상환해 달라는 청구를 제출합니다. 사용자는 빠르게 느끼지만, 실제로는 다른 누군가가 시간 리스크를 부담하는 구조입니다.

4. 청구는 도전 기간 안에 놓인다

운영자의 상환 청구는 낙관적(optimistic)입니다. 즉, 이의 제기가 없으면 올바르다고 간주됩니다. Bitlayer는 분쟁 기간을 약 1주로 두었고, BitVM2 구조를 사용하는 Citrea의 Clementine 브리지는 약 2주 수준에서 정산됩니다. 그 기간 동안 감시자가 문제를 발견하지 못하면 아무 일도 일어나지 않습니다.

5. 이의 제기자가 온체인에서 청구를 반박한다

운영자가 권한 없는 상환 청구를 하면, 이를 모니터링하는 누구나 분쟁을 비트코인 체인으로 끌어올릴 수 있습니다. 2024년 개정판은 이 과정을 보다 실용적으로 만들었습니다. BitVM2 논문에 따르면 이의 제기는 허가형이 아니라 무허가형이 되었고, 고정된 위원회가 아니라 풀 노드를 실행하는 사용자라면 누구나 참여할 수 있게 되었습니다. 또한 잘못된 운영자는 긴 상호작용 절차가 아니라 온체인 트랜잭션 3건 이내에서 반박될 수 있습니다. 운영자는 보증금을 잃고, 올바른 결과가 복원됩니다.

핵심은 3단계부터 5단계까지가 사실상 전체 보안 모델이라는 점입니다. 온체인 오라클도, 투표도, 항소 절차도 없습니다. 누군가는 감시해야 하고, 누군가는 낯선 사람의 잘못된 청구를 반박하기 위해 비트코인 수수료를 지불할 의지가 있어야 합니다.

BitVM과 연합형 사이드체인의 차이

연합형 사이드체인은 훨씬 이전에 같은 문제를 해결하려 했으며, 수탁자를 명시하고 사용자에게 그 집단을 신뢰하라고 요구했습니다. 두 방식을 나란히 보면 BitVM이 무엇을 제공하고 무엇을 비용으로 요구하는지 더 분명해집니다.

어느 쪽도 비용이 없는 것은 아닙니다. 연합형 구조는 속도와 명확한 책임 주체를 제공할 수 있지만, BitVM은 참여자 전원이 부정직하더라도 한 명만 올바르게 행동하면 보안 가정이 유지될 수 있다는 점을 제공합니다. 그 대가로 도전 기간과 실제 수수료 비용이 발생합니다.

신뢰 가정은 무엇인가?

BitVM은 trustless가 아니라 trust-minimised로 설명되는 경우가 많으며, 이 차이는 중요합니다. 이 보장이 의미를 가지려면 네 가지 가정이 동시에 성립해야 합니다.

1. 1-of-n 가정이 실제로 성립해야 한다

이것이 대표적인 주장이며, 연합형 구조가 요구하는 조건보다 분명히 더 약한 가정입니다. Bitlayer 문서는 계약이 단 한 명의 올바른 참여자만 필요로 한다고 설명하며, Citrea의 메인넷 발표도 Clementine에 대해 유사한 설명을 합니다. 즉, 적어도 한 당사자가 정직하게 행동하는 한 비트코인 메인넷에서 사기성 브리지 활동을 다툴 수 있다는 것입니다. 반대로 모든 참여자가 부정직하게 공조하면 이 가정은 곧바로 무너집니다.

2. 누군가는 실제로 키를 삭제했어야 한다

설정 단계의 보안은 참여자들이 이후 키 자료를 파기한다는 전제에 놓여 있습니다. 그러나 그들이 실제로 그렇게 했는지 증명할 수는 없습니다. 이것은 암호학의 trusted setup이 공통적으로 안고 있는 구조적 약점이며, 참여자를 신뢰하지 않아도 된다고 홍보되는 설계에서도 참여자 신원과 평판이 여전히 중요해지는 이유이기도 합니다.

3. 누군가는 도전 기간을 감시해야 한다

사기성 청구가 이의 제기 없이 지나가면 성공합니다. 이 프로토콜은 감시자가 존재하고, 온라인 상태이며, 동기화된 상태를 유지하고, 제때 이상을 감지한다는 점을 가정합니다. 이 가정은 브리지가 활발하고 가치가 클수록 충족 비용이 낮아지고, 브리지가 한산할수록 신뢰성이 떨어질 수 있습니다. 이는 직관적으로 기대하는 방향과는 다를 수 있습니다.

4. 이의 제기자는 도전 비용을 감당할 수 있어야 한다

분쟁은 비트코인 블록스페이스에서 발생하며, 블록스페이스는 무료가 아닙니다. BitVM3 논문은 BitVM2의 최악의 경우 분쟁 비용을 대략 1만6천 달러 수준으로 제시합니다. 이는 이의 제기자가 즉시 활용 가능한 자본과, 그 지출을 정당화할 만큼 충분한 보상을 기대할 수 있어야 함을 뜻합니다. 일정 임계값 이하에서는 사기를 그냥 통과시키는 것이 경제적으로 합리적일 수 있고, 그렇게 되면 보안 모델은 사실상 약해집니다.

BitVM은 실제로 어디에 사용되고 있나?

Bitlayer는 첫 기능 구현을 선보였고, 2025년 7월 YBTC와 함께 BitVM Bridge 메인넷 베타를 출시했습니다. 이 배포는 현재 더 이상 이용할 수 없으며, 토큰과 서비스 종료 일정, 관련 수치에 대해서는 Bitlayer를 다루는 별도 글에서 다뤄집니다.

2026년 8월 26일 기준 실제 운영 사례는 Citrea입니다. 이 비트코인 ZK-rollup의 메인넷은 2026년 1월 27일에 시작되었고, Clementine이 프로덕션 브리지 역할을 합니다. Clementine은 예치를 처리하는 서명자, 출금을 먼저 처리하는 운영자, 그리고 부정행위를 한 운영자를 반박하도록 인센티브를 받는 감시자(watchtower)로 역할을 분리합니다. Citrea는 브리지 서명자 신원을 공개하고 있는데, 이는 1-of-n 가정 역시 n이 누구인지 아는 것이 도움이 된다는 점을 인정하는 합리적 조치로 볼 수 있습니다.

BOB, GOAT Network 등 다른 팀들도 테스트넷 단계의 BitVM 기반 브리지 작업을 공개했습니다. 그러나 테스트넷과 실제 메인넷은 다르며, 실제 BTC를 보유한 브리지가 분쟁 상황의 출금을 견디는지 여부가 이 글의 핵심 주제입니다. 비트코인 확장 방식 비교를 원하는 독자는 Stacks, Citrea, Bitcoin Hyper 비교를 참고할 수 있으며, 브리징만이 BTC 활용의 유일한 경로는 아닙니다. Babylon과 같은 스테이킹 프로토콜은 완전히 다른 방향에서 문제를 다룹니다.

위험과 미해결 과제

1. 분쟁 비용이 행동 자체를 바꿀 만큼 높을 수 있다

누군가가 이를 방어하기 위해 큰 금액을 지출해야만 작동하는 보안 모델은, 일정 규모 이하에서는 제대로 작동하지 않을 수 있습니다. 2026년 5월 발표된 BitVM3는 바로 이 문제를 해결하기 위해 등장했으며, 계산을 오프체인에서 평가되는 garbled circuit로 옮겨 논문 추정 기준 총 온체인 비용을 약 9달러 수준으로 낮추는 것을 목표로 합니다. 이는 매우 큰 개선이지만, 아직은 배포된 시스템이 아니라 새로운 명세라는 점도 함께 봐야 합니다.

2. 설계가 운영자의 선제 유동성 제공에 의존한다

빠른 출금을 위해서는 누군가가 자신의 BTC를 먼저 내주고 몇 주간 상환을 기다려야 합니다. 이는 자본 집약적이며 마진이 낮을 수 있는 사업입니다. 운영자가 보상이 충분하지 않다고 판단하면, 사용자는 느린 경로를 이용하거나 아예 출금 경로가 제한될 수 있습니다. 이는 기술적 외형을 띠고 있지만 실질적으로는 시장 리스크에 가깝습니다.

3. 출금은 구조적으로 느리다

1~2주의 도전 기간은 단순한 최적화 대상이 아니라, 사기를 적발할 수 있는 시간 자체입니다. 이를 줄이면 보장은 직접적으로 약해집니다. BitVM 브리지를 거래용 레일로 보는 것은, 이 설계가 실제로 무엇을 위한 것인지 잘못 이해한 것일 수 있습니다.

4. 페그 자산은 여전히 브리지 자산이다

YBTC, cBTC 및 유사 자산은 실제 코인 자체가 아니라 잠긴 코인에 대한 청구권입니다. 따라서 목적지 체인의 계약 리스크, 거래 풀의 유동성 리스크, 상환 경로에 대한 신뢰가 흔들릴 때 발생하는 디페그 리스크를 수반합니다. BitVM 부분은 잠금 구조를 보호할 뿐이며, 그 이후의 다운스트림 리스크까지 보호하지는 않습니다.

5. 마케팅 페이지는 제품보다 오래 남을 수 있다

2026년 8월 26일 기준 bitlayer.org를 확인하면 메인 페이지에는 여전히 YBTC와 BitVM Bridge가 이용 가능한 제품처럼 표시되고 예치 및 TVL 수치도 함께 제시됩니다. 반면 회사 블로그의 2026년 5월 27일 공지에는 서비스 중단이 발표되어 있습니다. 두 페이지가 같은 도메인에 공존합니다. 따라서 프로젝트의 랜딩 페이지는 광고로, 공지 피드는 기록으로 보는 편이 더 적절합니다.

6. 명세가 구현보다 빠르게 바뀌고 있다

3년이 채 되지 않는 기간 동안 세 가지 버전이 등장했고, 각각 분쟁 메커니즘을 크게 바꾸었습니다. 이는 초기 연구에서는 자연스러운 일이지만, 초창기 구현에 BTC를 맡긴 사용자에게는 불편한 현실일 수 있습니다.

BitVM은 실제 자금을 맡길 준비가 되었나?

메커니즘 자체는 대체로 설명된 대로 작동하는 것으로 보이며, 이것이 주요 미해결 질문은 아닙니다. 이미 여러 차례 구현되었고, 메인넷에서 페그를 유지한 사례도 있으며, Citrea는 2026년 1월부터 프로덕션 환경에서 이를 운영하고 있습니다. 공개 기록상 공격자가 BitVM 계약 자체를 깨뜨렸다는 정황은 없으며, 이 글의 계기가 된 서비스 중단도 해킹 때문은 아니었습니다.

다만 아직 해소되지 않은 부분은 경제성입니다. Bitlayer의 서비스 중단 공지는 2026년 5월 28일에 브리지 인을 비활성화하고, 2026년 6월 3일까지 보유자에게 브리지 아웃을 완료할 시간을 부여했으며, 이후 Security Council이 남은 자금을 직접 인출하고 이더리움 상의 미상환 YBTC를 기초 BTC 준비금에 맞춰 소각하겠다고 밝혔습니다. 공지는 이를 아키텍처 개편으로 설명하지만 후속 제품명이나 복구 일정은 제시하지 않았습니다. 이를 2주 전 발표된 BitVM3 논문과 함께 보면, BitVM2의 높은 분쟁 비용과 운영자 보증금 요구 자체가 참여 장벽이었다는 주장이 제기됩니다. 이를 종합하면 1세대 설계는 운영 비용이 높고 거래량은 얇았으며, 규모를 갖추기 전에 더 저렴한 설계에 의해 대체된 그림이 보입니다.

따라서 답은 어떤 질문을 하느냐에 따라 달라집니다. 실제 문제를 해결하는 설계라는 관점에서 BitVM은 비트코인 합의를 건드리지 않고 BTC를 계약 환경으로 연결하려는 시도 중 가장 설득력 있는 방식 가운데 하나입니다. 그러나 2026년 8월 시점에 대규모 자금을 맡길 대상으로 보자면, 현재 프로덕션 배포는 아직 초기 단계이며 실제 가동 사례는 제한적이고, 대표 구현 하나는 이미 중단되었으며, 명세는 구현이 진행되는 동안 두 차례 바뀌었습니다.

마무리

TVL보다 운영자 수와 도전 활동을 보는 편이 더 중요할 수 있습니다. 대규모 잔고를 보유했더라도 활발한 감시자가 없는 BitVM 브리지는, 여러 참여자가 경제적 동기를 가지고 부정행위를 감시하는 소규모 브리지보다 안전성이 낮을 수 있습니다. 1-of-n 가정은 얼마가 잠겨 있는지가 아니라 누가 실제로 주의를 기울이고 있는지에 대한 진술이기 때문입니다.

다음 핵심 이정표는 의미 있는 BTC를 보유한 BitVM3 브리지가 실제 운영 환경에서 등장하는지 여부입니다. 분쟁 비용이 5자리 달러가 아니라 한 자릿수 달러 수준으로 낮아질 경우, 이 설계의 논리는 훨씬 강화될 수 있습니다. 다만 실제 서비스가 출시되고, 논쟁이 있는 출금 상황에서도 견딘다는 점이 확인되기 전까지는, 비트코인이 오프체인 계산을 검증하는 작동 가능한 방법을 갖추었지만 이를 집행할 시장 구조는 아직 충분히 성숙하지 않았다고 보는 것이 보다 균형 잡힌 해석입니다.

정교한 암호학은 항상 큰 소리로 실패하지는 않습니다. 때로는 구체적인 일정조차 제시되지 않은 아키텍처 업그레이드라는 이유로 조용히 중단되기도 합니다.

자주 묻는 질문

BitVM은 블록체인인가, 아니면 토큰인가?

둘 다 아닙니다. BitVM은 비트코인에서 계산을 검증하기 위한 명세이며, 제품이라기보다 프로토콜 표준에 가깝습니다. 따라서 BitVM 자체를 대표하는 별도의 매수 대상은 존재하지 않습니다. 이를 구현하는 팀이 발행한 토큰은 해당 기업과 그 실행력에 대한 노출이며, 설계 자체의 건전성과는 다른 성격의 위험을 가집니다.

BitVM에는 비트코인 소프트포크가 필요한가?

아니요. 이것이 가장 중요한 점 가운데 하나입니다. BitVM은 비트코인이 이미 보유한 opcode 안에서 작동합니다. 그래서 OP_CTV나 OP_CAT 같은 covenant 제안들이 더 오래 논쟁되는 동안, BitVM은 2년이 채 안 되어 논문에서 메인넷 사례로 이동할 수 있었습니다. 합의 변경이 필요한 제안이 더 효율적일 가능성은 있지만, 먼저 네트워크의 동의가 필요합니다.

BitVM 브리지가 종료되면 내 BTC는 어떻게 되나?

이는 전적으로 운영자의 처리 방식에 달려 있으며, 설계 자체가 모두 포괄하는 부분은 아닙니다. Bitlayer는 보유자에게 명시된 브리지 아웃 기간을 제공하고, 종료 이후에는 준비금에 맞춰 미상환 YBTC를 정산하겠다고 밝혔습니다. 따라서 그 기간을 놓친 사용자는 계약에 의해 자동 처리되기보다 사례별 오프램프 절차에 의존하게 될 수 있습니다.

BitVM은 비트코인 사이드체인과 어떻게 다른가?

사이드체인은 사용자의 BTC를 자체 검증자 집합 또는 연합이 보안하는 시스템으로 이동시키므로, 자산 안전성은 결국 그 집단의 안전성에 좌우됩니다. 반면 BitVM 브리지는 코인을 비트코인 위에 잠가 두고, 참여자 한 명만 올바르게 행동해도 집행이 가능한 계약 구조를 사용합니다. 이는 더 약한 신뢰 가정이지만, 그 대가로 느린 출금과 높은 분쟁 비용을 감수해야 합니다.

이 문서는 정보 제공만을 목적으로 하며 금융 또는 투자 자문을 구성하지 않습니다. 암호화폐 거래에는 상당한 위험이 수반될 수 있습니다. 거래 결정을 내리기 전에 반드시 스스로 조사하시기 바랍니다.