ZK Proof Systems Comparison: STARK vs PLONK Technical Analysis 2026
PLONK는 신뢰 설정(trusted setup)이 필요하지만 증명 크기가 더 작고 검증 가스비가 낮으며, STARK는 설정 과정 없이 양자 내성 보안을 제공하지만 증명 크기가 더 크고 가스 비용이 더 높습니다.
이 글의 핵심 주장과 근거
Cryptographic Foundations
개발자는 먼저 상위 수준의 로직을 저차 다항식으로 표현할 수 있는 산술 회로로 변환합니다. Groth16, PLONK, STARK는 각각 서로 다른 회로 표현 방식을 사용하는데, Groth16은 R1CS를, PLONK는 범용 회로를, STARK는 머클 루트 커밋먼트를 사용합니다. 이러한 차이는 게이트 수, 증명자 복잡성 및 전반적인 효율성에 영향을 미칩니다.
Proof Size and Bandwidth
10만 게이트 회로에 대한 일반적인 STARK 증명은 약 45 KB의 calldata를 차지하는 반면, 이에 상응하는 PLONK 증명은 약 15 KB로 압축됩니다. 이러한 크기 차이는 가스 제한이 있는 체인에서 PLONK를 사용할 때 트랜잭션 수수료를 현저히 낮추는 결과로 이어집니다. 대역폭 영향 또한 크로스체인 메시지 가용성에 영향을 미치며, STARK 증명이 클수록 데이터 가용성 비용이 증가합니다.
Verification Cost and Trust Assumptions
이더리움 메인넷에서 STARK 증명을 검증하는 데는 약 60만 가스 유닛이 소모되는 반면, PLONK 검증은 유사한 보안 수준에서 평균 30만 가스 유닛이 소모됩니다. 결과적으로 STARK의 증명당 비용은 PLONK의 대략 두 배에 달하며, 이는 고처리량 롤업의 경제적 결정에 영향을 미칩니다. PLONK는 '독성 폐기물(toxic-waste)' 파라미터를 생성하는 신뢰 설정(trusted setup) 절차가 필수적이며, 이 정보가 유출될 경우 향후 모든 증명이 위험해집니다. 반면 STARK는 이 단계를 완전히 생략하며 해시 충돌 저항성에 기반하여 보안을 유지합니다.
조건부 한계 및 제약 사항
STARK는 머클 트리 기반 검증 구조를 사용하므로, 검증 시 메모리 대역폭 요구량이 높아 경량 클라이언트 환경에서 검증 병목이 발생할 수 있다. PLONK의 범용 회로는 커스텀 게이트 설계에 제약이 있어 특정 산술 연산을 표현할 때 Groth16 대비 게이트 오버헤드가 발생하며, 이는 회로 크기 증가로 이어진다. 실무에서는 회로 복잡도와 검증 환경 간의 트레이드오프를 고려해야 한다. 증명자 측 메모리 사용량은 회로 크기가 일정 규모 이상에서 급격히 증가하는 경향이 있으므로, 프로덕션 환경에서 리소스 계획 시 회로 표현 방식에 따른 메모리 프로파일을 사전에 측정하는 것이 필요하다.