작성자: Nancy, PANews
“Not Your Keys, Not Your Coins.”(당신의 키가 아니라면, 당신의 코인도 아니다.)
암호화폐 세계에 발을 들인 사람이라면 누구나 가장 먼저 듣는 조언이자, 이 세계에서 가장 중요한 신념이기도 하다. 그러나 수많은 사람이 금과옥조처럼 여겨온 이 구호는 이제 도전을 받고 있다.
최근 블랙록의 디지털 자산 책임자 로비 미치닉(Robbie Mitchnick)은 대형 비트코인 보유자들이 전례 없는 속도로 현물 설정·환매를 통해 자기 보관 BTC를 IBIT 지분으로 전환하고 있다고 밝혔다. 그의 보기에 현실 세계의 보안 위협이 커지면서 더 많은 보유자가 개인키를 직접 보관하는 것이 반드시 가장 안전한 선택은 아니라는 사실을 깨닫고 있다. 그러나 이 견해 역시 비트코인 커뮤니티에서 논란을 불러일으켰다.
암호화폐 세계, 안전감을 잃다
이런 장면을 상상해 보자. 당신은 피싱 링크를 클릭한 적도 없고, 지갑을 수상한 웹사이트에 연결한 적도 없으며, 개인키와 니모닉도 한 번도 유출한 적이 없다. 그런데 어느 날 낯선 사람들이 갑자기 집 문을 두드린다. 이들은 택배 기사, 배달원, 심지어 경찰로 위장했을 수 있다. 이상하다는 것을 깨달았을 때에는 이미 상대가 당신의 신체 안전을 통제하고 있으며, 니모닉을 내놓거나 그 자리에서 지갑을 열어 자산을 이체하라고 강요하고 있을 수 있다.
이것이 최근 몇 년간 암호화폐 세계에서 더욱 빈번해진 ‘렌치 공격’이다. 복잡한 코드도 없고, 어떤 암호 알고리즘을 깨뜨릴 필요도 없다. 평범한 ‘렌치’ 하나면 여러 겹의 기술적 보호를 우회할 수 있다. 결국 신체 안전이 위협받는 상황에서는 아무리 촘촘한 보안 장치도 무용지물이 될 수 있다. 최근 몇 년간 관련 공격은 납치, 중상, 심지어 치명적 폭력 사건으로까지 번졌다.
블록체인 보안업체 CertiK 보고서에 따르면 2026년 상반기 전 세계에서 암호화폐 보유자를 겨냥한 폭력 공격은 총 52건으로 집계돼 전년 동기 대비 33.3% 증가했다. 관련 사건에 연루된 것으로 기록된 자금 노출 규모는 약 1억 2,410만 달러로, 1년 전의 1,050만 달러를 크게 웃돌았다. 프랑스는 특히 피해가 컸다. 이 나라에서만 33건이 발생해 전 세계 총수의 거의 3분의 2를 차지했다.
공격자들은 더 이상 무작위로 표적을 찾지 않는다. 이들은 온체인 거래 기록, 유출된 고객 데이터베이스, 소셜 미디어 정보를 결합해 고액 자산가 보유자를 선별하고, 자산 규모와 생활 동선, 가족 정보를 파악한 뒤 기회를 엿본다. 한때 개인키만 잘 숨기면 됐던 보유자들은 이제 자신의 부와 신원까지 숨겨야 한다.
현실 세계의 신체적 위협 외에도 자기 보관(self-custody)의 보안 위험도 보유자의 불안을 키우고 있다.
최근 몇 달간 하드웨어 지갑에서 공급망 보안 문제가 잇따라 드러나면서, 한때 자산의 피난처로 여겨졌던 콜드월렛도 더 이상 절대적 안전을 뜻하지 않게 됐다.
과거 콜드월렛은 장기 보유자의 필수품이나 다름없었다. 개인키를 오프라인에 보관하고 기기가 인터넷에 접속하지 않으면 컴퓨터가 바이러스에 감염돼도 자산은 무사할 것처럼 보였다. 그러나 오프라인 보관이 만전을 뜻하는 것은 아니다.
올해 8월, 비트코인 전용 하드웨어 지갑 Coldcard는 초기 키 생성 취약점으로 인해 1억 달러 이상의 자금이 도난당했다. 10월에는 오랜 역사를 지닌 하드웨어 지갑 제조사 Ledger가 공급망 공격에 휘말렸다. 동남아시아 유통 채널 CryptoBilis에서 판매된 기기에서 무단 하드웨어가 삽입된 사실이 발견됐고, 관련 자산 손실은 최대 약 9,300만 달러로 추산된다. 최근 Trezor도 CryptoBilis를 통해 판매된 기기가 유사하게 변조된 것으로 보인다고 확인했다.
이 같은 공격 수법은 대다수 일반 사용자에게 은폐성이 매우 강하고 알아채기 어렵다. 기기 외관만으로는 하드웨어 지갑에 악성 부품이 삽입됐는지 거의 판단할 수 없다. 이처럼 식별하기 어려운 잠재 위험은 하드웨어 지갑에 대한 사용자 신뢰를 더욱 약화시키고 있다.
중앙화 거래소(CEX) 역시 절대적인 피난처가 아니다. 과거 많은 일반 사용자는 자산을 주요 거래소에 보관하는 쪽을 선호했다. 이들 플랫폼이 전문 보안 팀과 정교한 리스크 관리 체계, 충분한 준비 자산을 갖추고 있어 개인키를 직접 보관하는 것보다 더 신뢰할 수 있는 안전 보장을 제공할 것처럼 보였기 때문이다.
그러나 최근 몇 년간 보안 사고의 영향 범위는 중소형 플랫폼에서 주요 거래소로 확대됐고, 잇따른 대규모 자산 도난 사건은 시장에 경종을 울렸다. 불과 최근 몇 달 사이 Bitget과 바이낸스가 잇달아 중대한 보안 사고를 겪었으며, 관련 자산 규모는 수십억 달러에 달했다. 주요 플랫폼이 충분한 준비 자산과 보상 능력을 갖췄더라도 시스템 방어선이 뚫리지 않으리라고 보장하기는 어렵다. 특히 AI 기술이 계속 발전하면서 해커의 공격 수법이 갈수록 복잡해지고, 공격 효율과 은폐성도 더 높아질 수 있다. 보상으로 자금 손실을 메울 수는 있어도 사용자 신뢰가 훼손되면 다시 쌓기는 쉽지 않다.
집 앞의 렌치 하나에서 시작해, 조작된 하드웨어 지갑, 공격받은 주요 거래소에 이르기까지 암호화폐 자산의 안전 방어선은 전례 없는 시험대에 올랐다.
보안 수요가 고래를 ETF로 이끌지만, 자기 보관파는 탐탁지 않다
일부 비트코인 고래는 보유 BTC를 월스트리트에 맡기고 있다. 그들에게 ETF가 제공하는 것은 새로운 투자 수단만이 아니라 안전감이다.
지난달 저명한 분석가 PlanB는 2025년에 보유 비트코인을 ETF로 옮겼다고 털어놨다. 이 결정은 당시 적지 않은 비판을 받았지만, Clodcard 난수 생성 보안 논란과 Ledger 기기의 무단 하드웨어 삽입 사건이 드러난 뒤에도 ETF를 선택한 것을 후회하지 않는다고 밝혔으며, 더 이상 비트코인 맥시멀리스트가 아니라고 말했다. 그는 ETF를 선택한 이유에 대해 주식과 채권처럼 비트코인 자산을 관리할 수 있고, 하드웨어 지갑과 개인키 보관 문제를 직접 처리할 필요가 없어 더 안심되는 보유 방식이라고 설명했다.
최근 미치닉은 인터뷰에서도 “현재 ETF 수요 규모는 우리가 이전에 본 적 없는 수준이며, 비트코인 가격 변동에 따라 달라지지도 않는다. 이런 자산 전환 수요는 기본적으로 계속 증가해 왔다”고 말했다. 고객들이 제시하는 여러 이유를 언급하면서 그는 가장 큰 이유가 바로 안전성과 안심이라고 직언했다. 보유자에게는 커스터디를 기관급 콜드 스토리지 방식에 맡기는 것이 더 매력적이다. 대형 펀드가 운용하는 ETF 지분을 보유하는 것은 일반적으로 암호화폐 거래 플랫폼이나 항상 연결돼 있는 핫월렛에 자산을 두는 것보다 위험이 낮다고 여겨진다.
미치닉은 규제 당국이 지난해 암호화폐 자산의 현물 설정·환매를 승인한 이후 블랙록이 직접 보유한 비트코인을 IBIT 지분으로 바꾼 현물 전환을 약 36억 달러 규모로 기록했다고 공개했다. 블랙록이 모든 거래를 직접 처리하지 않고 펀드가 모든 전환을 파악하지 못할 수도 있어 실제 규모는 더 클 수 있다.
주목할 점은 이 ETF 상품이 더 많은 대형 투자자에게도 열리고 있다는 것이다. 현재 IBIT 현물 전환 최소 기준은 최초 약 3,000만 달러에서 약 100만~200만 달러로 낮아졌다. 미치닉은 기준이 ETF 1좌 수준까지 낮아지길 바라지만, 비용 구조상 단기간에 0으로 떨어뜨리기는 어렵다고 말했다.
업계 관계자들도 비슷한 견해를 내놓았다. Bitwise 최고투자책임자(CIO) Matt Hougan은 최근 글에서 바이낸스가 공격받았다고 해서 비트코인 네트워크 자체에 보안 취약점이 있다는 뜻은 아니며, 실제 공격 대상은 바이낸스의 핫월렛 시스템이었다고 지적했다. 자산 안전을 중시하는 투자자가 선택할 수 있는 커스터디 방식에는 전문 기관에 맡기는 커스터디, 개인 콜드월렛 사용, 여러 겹의 보안 장치를 갖춘 ETF를 통한 비트코인 보유 등이 있다. 현재 암호화폐 자산 커스터디 체계는 역사상 가장 좋은 수준으로 발전했으며, 투자자가 선택할 수 있는 방안이 더 다양해졌을 뿐 아니라 안전성도 높아졌다.
Hougan은 ETF가 장기 투자자에게 추가적인 안전 보장을 제공할 수 있다고 강조했다. 기초 자산은 규제를 준수하는 커스터디 기관이 인터넷과 물리적으로 격리된 콜드월렛에 보관한다. Bitwise의 경우 콜드월렛 자산 이체는 여러 사람의 승인을 거쳐야 하며, 직원 한 명이나 기기 하나가 침해당해도 이체를 실행할 수 없다. 또한 자산은 사전에 승인된 소수 마켓메이커 주소, 즉 ETF 설정·환매 자격을 갖춘 주소로만 이체할 수 있어 콜드월렛이 뚫리더라도 해커 주소로 곧바로 보내기는 어렵다.
다만 ETF의 보안 장치에도 일정한 한계가 있다. 그는 기초 비트코인은 하루에 한 번만 이체되며, ETF 지분은 하루 종일 거래할 수 있지만 투자자가 대응하는 비트코인을 즉시 인출·이체할 수는 없다고 덧붙였다. 따라서 즉시 이체가 필요한 사용자보다 장기 투자자에게 더 적합하다. 향후 이런 ‘계층형 보관’ 모델이 주류가 될 것이다.
ABCDE Capital 파트너 두쥔(杜均)도 최근 자신의 권유로 BTC와 ETH를 배분했던 일부 패밀리오피스가 CEX 해킹과 콜드월렛 공급망 보안 사고를 겪은 뒤 BTC를 IBIT로 바꿨고, 일부는 아예 코인을 팔아 실물 금 등 전통 자산으로 전환했다고 밝혔다.
그러나 ETF 발행사가 보안 위험을 빌미로 기관 커스터디를 홍보하는 방식은 자기 보관파의 불만을 사고 있다. 이들에게 비트코인 탄생의 취지는 개인이 전통 금융기관에 대한 의존에서 벗어나 자신의 자산을 진정으로 통제하게 하는 것이었다. 자산 주권과 자기 통제권은 암호화폐의 핵심 가치이며, 자산을 전통 금융기관 커스터디로 옮기는 것은 새로운 방식으로 옛 금융 체계를 다시 받아들이는 것과 다름없고, 자산 검열과 동결 등의 위험을 다시 불러와 비트코인이 내건 이념과 정면으로 배치된다.
다만 고래들의 기관 커스터디 전환이 비트코인에 대한 신뢰를 버린 것은 아니며, 현실의 보안 위험이 선택을 바꾸고 있다는 견해도 있다. 특히 신원이 공개되고 보유 규모가 큰 투자자에게 기관급 커스터디는 현실적인 위험 헤지 수단이 됐다. 자기 보관과 기관 커스터디는 양자택일이 아니다. 전자는 자산 주권과 자기 통제를 중시하는 투자자에게, 후자는 대형 보유자의 안전성과 관리 편의성 요구를 충족시킬 수 있다.
또한 ETF 커스터디의 중앙화 위험도 시장 우려를 낳고 있다. Coinbase는 여러 주류 비트코인 ETF의 주요 커스터디 기관이며, 공개한 데이터에 따르면 현재 비트코인 ETF 커스터디 시장에서 점유율이 약 90%다. 이는 투자자가 서로 다른 펀드를 통해 ETF 지분을 보유하더라도 상당 부분의 기초 비트코인이 실제로는 동일 기관에 의해 보관된다는 뜻이다.
OneKey 창업자 Yishi는 과거 BTC가 단일 기관에 고도로 집중 보관되는 위험을 간과해서는 안 된다고 분석하며, IBIT가 이미 북한의 잠재적 표적 명단에 올랐다고 의심했다. 최근 대형 암호화폐 보안 사건들은 북한 해커 조직과 관련이 있다. 공격은 개인키를 직접 훔치는 방식이 아니라 합법적인 도구로 위장해 서명자의 기기를 침투해 거래 승인 인터페이스를 탈취하는 경우가 많다. 이런 위험은 콜드 스토리지나 다중서명 절차에도 존재한다. 그는 Anchorage Digital이 추가 커스터디 기관으로 지정됐지만 최신 분기 보고서상 현재 비트코인을 이체할 계획은 없다고 지적했다. 비트코인이 단일 커스터디 기관에 고도로 집중된 상황은 위험이 크다. 대규모 절도가 발생하고 펀드가 비트코인을 회수하거나 충분한 보상을 받지 못하면 잔여 손실은 결국 IBIT 주주가 부담하게 된다. Yishi는 자산을 독립적인 커스터디 설정으로 분산하고, 개인키를 오프라인으로 유지하며, 신뢰할 수 있는 기기 화면에서 거래 세부 내용을 독립적으로 검증하고, 보안 아키텍처를 지속적으로 점검할 것을 권했다.
한편 Coinbase의 최신 공개에 따르면 커스터디 금고의 자산은 전부 콜드 스토리지를 사용하고 온체인에서 격리된다. 보안 장치로는 개인키 분할, 서명 시 완전한 개인키를 재구성할 필요가 없음, 콜드월렛에서 핫월렛으로의 자금 이체 속도 제한, 비정상 활동 모니터링, 서명 키를 오프라인으로 전환할 수 있는 비상 정지 메커니즘 등이 있다. 고객 자산은 1:1로 보유되며 고객 지시 없이 대출되거나 다른 용도로 유용되지 않는다.
ETF와 자기 보관 논쟁을 떠나, 문제는 어느 방식이 암호화폐 자산 커스터디의 최적해인지가 아니라 자신의 자산 규모와 실제 필요에 따라 서로 다른 커스터디 방식의 위험과 수익을 저울질하고 자신에게 더 적합한 자산 관리 전략을 세우는 데 있을지도 모른다.
