Yellow | 5달러 계정과 50억 달러 계정을 똑같이 지켜야 할까? Elastic Security

대부분의 블록체인에서는 거래 금액이 크든 작든 동일한 네트워크와 검증자 집합이 거래를 확인합니다.

5달러를 보낸 거래와 수십억 달러 규모의 자산을 움직이는 거래가 같은 보안 구조를 사용하는 것입니다. 구조는 단순하지만, 소액 계정에는 필요 이상의 검증 비용이 들어가고 대규모 자산이 담긴 계정에는 고정된 보안 수준이 충분하지 않을 수 있습니다.

Yellow Network는 이를 해결하기 위해 계정에 담긴 자산 가치에 따라 보안을 담당하는 노드 수를 조절하는 Elastic Security를 설계했습니다. 계정 가치가 작을 때는 비교적 작은 노드 집합이 거래를 처리하고, 가치가 커질수록 더 많은 노드와 담보가 해당 계정을 보호하는 방식입니다.

다만 아래 내용은 2026년 9월 2일 기준 공개된 Yellow Clearnet 프로토콜 문서를 바탕으로 하며, 모든 기능이 현재 메인넷에서 가동 중이라는 의미는 아닙니다.

모든 거래를 전체 네트워크가 처리하지 않는다

Yellow Clearnet은 모든 노드가 모든 사용자의 거래를 확인하는 하나의 글로벌 장부로 설계되지 않았습니다.

각 계정과 유동성 풀에는 별도의 노드 집합이 배정되며, 이 노드들이 송금과 스왑, 출금 같은 상태 변경을 처리합니다. 특정 계정에 어떤 노드가 배정될지는 중앙 운영자가 지정하는 것이 아니라, 계정과 노드의 식별자 사이 거리를 계산하는 Kademlia DHT 구조를 기반으로 결정됩니다.

배정된 노드들은 BLS 임계값 서명을 이용해 거래를 승인합니다. 클러스터의 3분의 2를 초과하는 노드가 동일한 결과에 동의해야 유효한 Certificate가 생성되므로, 하나의 노드가 단독으로 사용자 잔액을 변경하거나 자산을 출금할 수는 없습니다.

이처럼 계정별로 작은 클러스터를 배정하면 모든 거래를 전체 네트워크에 전파하지 않아도 됩니다. 하지만 소액 사용자와 대형 거래소, 기관 계정을 같은 수의 노드가 보호한다면 고액 계정일수록 공격자가 노드를 매수했을 때 얻을 수 있는 이익이 커집니다.

Elastic Security는 이 차이를 계정별 보안 규모에 반영합니다.

계정 가치가 커지면 서명 노드도 늘어난다

Elastic Security가 확인하는 것은 사용자가 이번에 보내려는 거래 금액만이 아닙니다. 해당 계정에 보관된 전체 자산 가치입니다.

계정이 ETH와 USDC, 다른 지원 자산을 함께 보유하고 있다면 각 자산을 $YELLOW 기준 가치로 환산한 뒤 모두 합산합니다. 이때 순간적으로 움직일 수 있는 AMM 현물가격 대신 지수이동평균 가격인 P_EMA를 사용합니다. 한 번의 대규모 거래로 가격을 조작해 계정 가치를 낮춰 보이는 공격을 어렵게 만들기 위해서입니다.

계정을 직접 관리하는 노드 집합은 Signing Cluster라고 부릅니다.

공개된 설계에서 Signing Cluster는 최소 3개 노드부터 시작하며, 계정 가치가 커질수록 필요한 노드 수가 늘어납니다. 계산에는 계정의 $YELLOW 환산 가치뿐 아니라 네트워크 노드들이 잠근 평균 담보와 1.2배의 Safety Multiplier가 반영됩니다.

핵심 원칙은 단순합니다.

해당 계정을 공격하기 위해 매수하거나 잃어야 하는 담보가, 계정에서 탈취할 수 있는 자산 가치보다 커야 한다.

소액 계정에는 작은 클러스터를 배정해 거래 속도와 효율성을 유지하고, 많은 자산이 모인 계정에는 추가적인 노드와 담보를 배정하는 구조입니다.

거래를 처리하는 노드와 감시하는 노드는 다르다

Signing Cluster의 규모를 늘리는 것만으로는 충분하지 않습니다.

Signing Cluster의 3분의 2 이상이 하나의 공격자에게 통제된다면, 실제 잔액과 다른 출금 Certificate를 만들 가능성이 남아 있기 때문입니다.

Yellow는 이를 막기 위해 Signing Cluster보다 큰 Replication Set을 함께 배정합니다.

Signing Cluster가 거래를 빠르게 처리하는 안쪽 집합이라면, Replication Set은 거래 결과와 장부를 독립적으로 확인하는 바깥쪽 감시 집합입니다. 공개 사양에서 Replication Set은 최소 12개 노드로 구성되며, 기본적으로 Signing Cluster보다 더 큰 규모로 배정됩니다.

사용자가 Clearnet에서 실제 블록체인으로 자산을 출금하면 일정한 Challenge Period가 시작됩니다. Watcher들은 출금 주소와 금액, 계정 상태가 자신들이 보유한 장부와 일치하는지 확인합니다.

잘못된 출금이 발견되면 Replication Set은 기존 출금 요청을 취소하는 Dispute Certificate를 만들 수 있습니다. 부정한 거래에 서명한 노드는 담보를 잃을 수 있습니다.

즉, Yellow에서는 거래에 서명하는 노드와 그 거래를 감시하는 노드를 분리합니다. 빠른 거래 처리는 Signing Cluster가 담당하고, 최종적인 경제적 보안은 더 큰 Replication Set이 보완합니다.

노드를 계속 늘릴 수 없다면 거래 금액을 제한한다

계정 가치가 계속 커지면 계산상 필요한 Signing Cluster와 Replication Set도 계속 증가합니다.

하지만 공개 사양에서는 두 집합 모두 최대 256개 노드로 제한됩니다. 노드 수를 무제한으로 늘리면 통신과 서명 수집에 필요한 시간도 함께 증가하기 때문입니다.

Yellow는 최대 규모의 클러스터가 보호할 수 있는 범위를 넘어설 경우 Security Ceiling을 적용합니다. 하나의 Certificate로 처리할 수 있는 최대 자산 가치를 제한하는 것입니다.

큰 금액을 전송하거나 출금하려면 여러 개의 거래로 나눠야 하며, Challenge Period 안에서 처리되는 누적 금액도 상한을 넘을 수 없습니다.

따라서 Yellow는 대형 계정에 무조건 더 많은 노드를 붙이는 방식만 사용하지 않습니다. 일정 수준까지는 노드 수를 늘리고, 최대치에 도달하면 한 번에 움직일 수 있는 금액 자체를 제한합니다.

가격조작과 네트워크 중단 위험은 남아 있다

Elastic Security는 계정 가치를 기준으로 보안 수준을 조절하기 때문에, 자산 가격이 정확하게 계산돼야 합니다.

공격자가 내부 가격을 낮춘다면 계정 가치가 실제보다 작게 계산되고 필요한 노드 수가 줄어들 수 있습니다. Yellow는 이를 줄이기 위해 현물가격 대신 EMA를 사용하고, 가격이 중심에서 멀어질수록 AMM 수수료를 높이며, Signing Cluster 외부에 Replication Set을 배치합니다.

그러나 충분한 자본을 가진 공격자가 장시간 가격을 움직이거나, Replication Set의 다수를 통제한다면 위험이 완전히 사라지는 것은 아닙니다.

가용성 문제도 존재합니다. 네트워크 장애로 Signing Cluster가 필요한 서명을 모으지 못하면 해당 계정의 거래는 일시적으로 중단됩니다. Yellow는 서명 기준을 낮춰 거래를 강행하기보다, 정족수가 회복될 때까지 거래를 멈추는 방식을 선택합니다.

즉, Elastic Security는 무조건적인 거래 지속성보다 잘못된 거래가 승인되지 않는 것을 우선합니다.

계정의 크기에 맞춰 보안도 달라진다

Elastic Security의 핵심은 모든 계정에 최대한 많은 노드를 배정하는 것이 아닙니다.

소액 계정에는 비교적 작은 클러스터를 배정해 거래 효율성을 유지하고, 더 많은 자산이 모인 계정에는 추가적인 서명 노드와 Watcher, 담보를 배정합니다. 노드 수가 최대치에 도달하면 거래 금액을 제한해 보호 대상 가치와 공격 비용 사이의 균형을 유지합니다.

이는 계정마다 보유 자산의 차이가 큰 거래소와 브로커, 기관 Treasury에 적합한 접근입니다. 위험이 커지는 곳에 더 많은 보안 자원을 집중할 수 있기 때문입니다.

결국 Yellow의 Elastic Security가 제안하는 변화는 다음과 같습니다.

모든 계정에 동일한 보안을 적용하는 대신, 계정에서 잃을 수 있는 가치가 커질수록 이를 공격하는 데 필요한 비용도 함께 커지게 만드는 것.

Yellow는 보안을 고정된 검증자 수가 아니라, 계정 가치와 네트워크 담보에 따라 조절되는 경제적 구조로 만들고 있습니다.