10억 달러 암호화폐 자산 보유 주장, 전문가가 지갑 해독 후 실제로는 10달러에 불과

편집: Deep Tide TechFlow

Deep Tide 서문: 2021년, 자신을 Rusty라고 소개한 고객이 지갑 복구 전문가 Chris Brooks에게 자신과 다른 두 사람이 소송에서 승소하여 5000 BTC(당시 약 5300만 달러)와 10억 달러 상당의 ETH를 받았다고 말했습니다. Brooks 부자는 그날 밤 조지아주로 날아갔고, 쇼핑몰 뒤쪽 사무실에서 하루 종일 지갑을 만지작거린 결과 약 10달러만 찾았습니다. 이 터무니없어 보이는 사건은 암호화폐 자산 복구 업계의 핵심 모순을 정확히 드러냅니다. 사람들은 돈을 잃었다고 생각하지만, 많은 경우 처음부터 돈이 존재하지 않았습니다. 이 글에서는 니모닉, 비밀번호, 니모닉 구문(passphrase), 하드웨어 지갑 각각의 '복구 가능성'을 분석하고, 복구 전문가를 찾는 것 자체가 보안상의 도박임을 독자에게 상기시킵니다.

암호화폐 자산을 잃었다고 해서 반드시 돈이 사라진 것은 아니다

지갑 복구 전문가에게 '암호화폐 자산을 잃었다'는 것은 몇 가지 전혀 다른 상황을 의미할 수 있습니다.

그들은 블록체인에서 Bitcoin을 되찾아오는 것이 아니라, 이미 존재하는 지갑에 접근하는 데 필요한 정보를 찾아내는 것입니다.

누군가는 하드웨어 지갑을 버렸거나, 비밀번호나 니모닉의 일부를 잊어버렸을 수 있지만, 이것이 반드시 기초 자산이 사라졌음을 의미하지는 않습니다.

ReWallet의 공동 창립자이자 최고 기술 책임자(CTO)인 Bruno Krauss는 Magazine에 "몇 개의 단어를 놓쳤다면, 일반적으로 찾을 수 있습니다."라고 말했습니다.

Bitcoin의 BIP39 니모닉 표준은 2048개 단어 목록을 사용합니다. 즉, 누군가 대부분의 단어를 알고 있다면, 전문가들은 때때로 체계적인 검색을 통해 나머지 가능성을 찾아낼 수 있습니다. 누락된 부분이 적을수록 이 퍼즐은 풀기 쉬워집니다.

비밀번호 복구도 원리는 비슷합니다.

이미지: Bitcoin의 BIP39 표준은 2048개 단어 목록을 사용합니다. 출처: GitHub

Krauss는 ReWallet이 결함이 있는 비밀번호 생성기를 역공학하여 약 300만 달러를 보호하는 20자리 비밀번호를 복구한 적이 있다고 말했습니다.

다른 사례들은 기술적 취약점이 아니라, 사람이 어떻게 비밀번호를 설정하는지 파악하는 데 의존합니다.

이는 고객에게 개인적 선호도(좋아하는 음식과 장소, 아이들의 이름과 생일, 인생의 이정표나 추억)를 묻는 것을 의미합니다.

그는 한 번은 고객이 아이의 이름을 사용했다고 확신했지만, 나중에 비밀번호가 사실 지역 택배 회사의 전화번호였다는 것을 기억해냈다고 말했습니다. "그녀는 이유를 몰랐지만, 생각해보니 이해가 됐습니다. '아, 그날 내가 소포를 가게에 맡겼는데, 그때 생각했어요. 음, 이거 괜찮은 비밀번호네.'라고요."

니모닉 구문은 또 다른 복잡성을 더한다

지갑 보안을 연구한 Bitcoin 교육자 Bennet은 특히 혼란스러운 것이 하나 더 있다고 말합니다: 니모닉 구문(passphrase)입니다.

니모닉 구문은 니모닉 위에 추가되는 정보 계층입니다. 다른 passphrase를 입력해도 반드시 오류가 발생하는 것은 아니며, 단지 똑같이 유효한 다른 지갑이 열릴 뿐입니다. 그는 Magazine에 "passphrase를 잘못 입력해도 오류가 발생하지 않습니다. 성공하고 잔액이 0인 지갑을 보여줍니다."라고 말했습니다.

따라서 니모닉이 정확하고 입력도 올바르지만, 여전히 자신의 BTC가 사라졌다고 생각할 수 있습니다.

"passphrase에는 사용자를 자신의 실수로부터 보호하는 메커니즘도 없습니다. 2048개의 유효한 단어 목록도, 체크섬도 없습니다. 따라서 passphrase를 잊어버리면 문제는 본질적으로 원점으로 돌아갑니다. passphrase가 얼마나 무작위적인가? 충분히 무작위적이라면, 복구할 방법이 없는 경우가 많습니다."

분실되거나 손상된 하드웨어 지갑의 경우, 고장난 장치를 손에 쥐고 있더라도 큰 도움이 되지 않을 수 있습니다. 지갑의 백업 니모닉이 여전히 존재한다면, 키는 일반적으로 다른 장치에서 복구할 수 있습니다.

이러한 이유로 복구 전문가가 반드시 원본 하드웨어를 필요로 하는 것은 아니며, 키에 대한 접근을 재구성하기에 충분한 정보가 필요합니다.

복구는 때로는 잃어버린 지갑을 찾는 것이 아니라 오류를 수정하는 것을 의미하기도 합니다. 잘못된 블록체인으로 전송된 암호화폐 자산(예: BNB를 Ethereum으로 전송)은 수신 지갑이 여전히 사용자 통제 하에 있다면 때때로 되찾을 수 있습니다.

Brooks는 Crypto Asset Recovery가 약 1500명의 3000개 이상의 지갑을 해독하도록 의뢰받았으며, 그중 약 63%의 비밀번호를 해독했다고 말했습니다.

때로는 정말 완전히 잃어버린다

하지만 명확한 한계가 있습니다. Bennet은 "니모닉이 진정으로 무작위로 생성되었고 완전히 잃어버렸다면, 당신의 Bitcoin은 사라진 것입니다."라고 말합니다.

이것은 자기 보관(self-custody)의 근본적인 절충점 중 하나입니다. Bitcoin 지갑에는 은행과 같은 복구 시스템이나 신원을 확인하고 계정 복구를 도와줄 중앙화된 관리자가 없습니다.

하드웨어 지갑 제조사 Trezor의 Bitcoin 분석가 Lucien Bourdon은 더 직설적으로 말합니다. 지갑 백업이 분실되고 키가 있는 지갑에 접근할 수 없다면, "어떤 복구 회사도 도울 수 없습니다." 그는 경고합니다. "만약 그들이 할 수 있다면, 지갑이 해독될 수 있다는 뜻이며, 자기 보관의 기초가 흔들리는 것입니다."

무작위성 덕분에 암호화폐 지갑은 개인 키를 추측하는 것을 사실상 불가능하게 만듭니다. 최근 Bitcoin 하드웨어 지갑 Coldcard 사건에서는 펌웨어 결함으로 인해 일부 지갑의 니모닉 무작위성이 약화되어 물리적 접촉 없이도 시드가 무차별 대입 공격에 취약해졌습니다.

이미지: 약한 난수 생성은 새로운 문제가 아닙니다. 출처: Jameson Lopp

하지만 진정으로 무작위적인 니모닉이나 개인 키가 완전히 파기되었다면, 가능성은 너무 많습니다.

Krauss는 복구 전문가가 가끔 '소유자가 영원히 접근 불가능하다고 생각하는' 지갑으로 가는 기술적 경로를 찾을 수 있다고 말합니다. 오래된 지갑 소프트웨어, 손상된 파일, 형편없이 생성된 비밀번호 및 하드웨어 취약점은 비정상적인 기회를 만들어낼 수 있습니다. "극단적인 사례에 대해 희망을 버리지 마십시오."

복구 전문가가 사기꾼일 수도 있다

이 업계에는 불편한 아이러니가 있습니다.

암호화폐 자산을 되찾도록 도와줄 수 있는 사람은 정확히 자산에 접근하는 데 필요한 모든 정보에 접근할 수 있어야 합니다.

니모닉은 비밀번호와 달리 한 번 보여줬다고 변경할 수 없습니다. 필요한 지갑 백업을 가진 사람은 누구나 그 돈을 통제할 수 있는 경우가 많습니다.

이는 복구 전문가를 선택하는 것 자체가 하나의 보안 선택 문제가 되게 만듭니다. Bourdon은 "이렇게 하기로 결정했다면, 먼저 충분히 조사하십시오. 실제 기록과 실제 고객으로 추적 가능한 리뷰가 있는 회사를 찾으십시오. 선불금을 요구하지 않고 성공 시에만 비용을 청구하는지 확인하십시오. 자산을 되찾는 즉시 새 백업이 있는 새 지갑으로 자금을 옮기십시오."라고 말합니다.

그는 사용자가 자금 복구를 도와주겠다며 먼저 다가와 메시지를 보내는 사람을 조심해야 한다고 덧붙였습니다.

Krauss는 다른 위험 신호로는 사용자를 WhatsApp으로 유도하거나, Gmail과 같은 개인 이메일로 연락하거나, 선불금을 요구하거나, 특정 거래소에 계좌를 개설하도록 요구하는 것 등이 있다고 말했습니다.

성공적으로 복구된 금액의 일정 비율을 수수료로 받는 복구 회사는 드물지 않습니다. 하지만 지갑 복구를 도와주겠다고 약속하는 사람에게 선불금을 지불하는 것은 경종을 울려야 합니다.

Brooks는 Rusty 사건에서 또 다른 교훈을 얻었습니다.

암호화폐 자산 복구가 기술적인 작업처럼 들리지만, 자신이 수백만 또는 수십억 달러를 보유하고 있다고 굳게 믿는 사람은 그 자체로 보안 위험이 될 수 있습니다.

Crypto Asset Recovery는 더 이상 Rusty 사건 때처럼 고객을 만나기 위해 직접 방문하지 않습니다. 회사는 현재 원격으로 사건을 처리하며, 민감한 지갑 정보는 자동화된 에어 갭(air-gapped) 시스템을 통해 처리됩니다.

Brooks는 그들이 해독한 지갑의 약 71%가 잔액이 100달러 미만이며, 이러한 자산 복구에 대해서는 회사가 비용을 청구하지 않는다고 말했습니다.

암호화폐 사용자에게 꼭 알리고 싶은 것이 있다면, 그것은 "니모닉이 정확히 무엇이고 왜 중요한지 이해하는 것입니다. 이것이 우리를 찾을 필요가 없도록 하는 가장 간단한 방법입니다."입니다.