글: imToken

지난 10여 년 동안 암호화폐 업계의 보안 서사는 거의 한 문장의 고전적인 구호로 압축돼 있었다. "Not your keys, not your coins."

일반 사용자든 기관 종사자든, 오랫동안 하나의 선형적 보안 논리를 당연하게 여겨왔다. 니모닉을 오프라인에 잘 적어두고, 하드웨어 지갑 한 대를 사거나, 자산을 주요 규제 준수 플랫폼에 맡기기만 하면 보안에는 최소한의 안전판이 생긴다고 말이다.

그러나 최근 잇따라 터진 일련의 상징적인 보안 사건들이 이러한 단일 지점 방어의 환상을 완전히 깨부수고 있다.

한쪽에서는 공격자들이 AI, 사회공학, 소프트웨어 공급망 취약점을 이용해 전통적인 보안 방어를 우회하고 기업 내부 시스템에 직접 침투하기 시작했고, 다른 한쪽에서는 상대적으로 안전하다고 여겨지던 콜드월렛과 하드웨어 지갑조차 내부 권한 관리, 기기 유통, 제3자 공급업체 문제로 인해 새로운 공격 진입점이 될 수 있다.

AI가 공격과 방어 방식을 크게 바꿔놓는 상황에서 암호화폐 업계의 보안 경계도 다시 그어지고 있다. 거래 플랫폼부터 하드웨어 지갑 제조사까지, 업계 전체가 새로운 합의를 형성하고 있는 듯하다.

암호화폐 보안의 경쟁은 누가 프라이빗 키를 더 잘 보호하는가에서, 누가 더 완전하고 더 검증 가능하며 더 회복탄력적인 보안 체계를 구축할 수 있는가로 옮겨갔다 (관련 기사 《해커가 AI를 '더 효율적으로' 활용할 때, Web3의 '창과 방패' 군비 경쟁은 어떻게 격상되나?》).

1. 프라이빗 키는 중요하지만, 더 이상 전부가 아니다

암호화폐 업계의 과거 보안 사건을 돌아보면, 가장 흔한 위험은 프라이빗 키 유출, 니모닉 도난, 피싱 사이트, 스마트 컨트랙트 취약점이었다.

물론 이런 문제가 사라진 것은 아니지만, 공격자들은 더 많고 더 은밀한 돌파구를 찾고 있으며, 특히 AI 도구가 빠르게 보급된 이후 전통적인 보안 경계가 변화하고 있다.

바이낸스의 10월 29일 보안 사고는 이런 변화를 관찰할 수 있는 전형적인 사례다.

바이낸스가 공개한 1차 조사에 따르면, 공격자는 변조된 소프트웨어 설치 프로그램, 가짜 채용 면접, 악성 코드를 통해 지갑 개발 팀의 작업 환경에 단계적으로 침투했고, 이후 감염된 직원 기기와 내부 AI 도구를 이용해 컨테이너 배포 권한을 가진 자격 증명을 추가로 획득, 최종적으로 지갑 서명 서비스에 접근해 무단 온체인 거래를 발생시켰다.

이 과정은 수개월에 걸쳐 진행됐으며 사회공학, 소프트웨어 공급망, 직원 단말, 내부 권한 등 여러 단계를 포괄했다. 공격자는 바이낸스의 지갑 시스템을 직접 뚫은 것이 아니라, 다단계 침투 사슬을 통해 기업 내부 시스템과 핵심 권한에 접근할 수 있는 발판을 얻었다.

이는 공격자가 반드시 프라이빗 키를 직접 손에 넣어야 하는 것은 아니며, 핵심 서명 서비스의 호출 권한만 남용할 수 있다면 마찬가지로 심각한 자산 손실을 초래할 수 있음을 보여준다.

프라이빗 키를 MPC(다자간 계산) 방식으로 분산 보호하더라도 서명 시스템 전체가 본질적으로 안전하다는 뜻은 아니다. MPC가 해결하는 것은 키를 어떻게 분산 관리하고 프라이빗 키를 완전히 재구성하지 않고 어떻게 서명을 완료할 것인가이며, 누가 서명을 개시할 권한이 있는지, 어떤 승인이 실행될 수 있는지, 이상 승인을 어떻게 적시에 철회할지 등의 문제를 자동으로 해결하지는 않는다.

다시 말해 키 보안과 권한 보안은 동시에 성립해야 하는 두 가지 방어 체계다.

레저(Ledger) 사건을 보면, 칩과 운영체제, 서버는 뚫리지 않았고 문제는 기기가 제조사 통제를 벗어난 뒤의 유통 단계에서 발생했다. 사용자는 여전히 구매와 초기화 단계에서 공격을 당할 수 있다.

이 사건들을 함께 놓고 보면 공통된 변화가 보인다. 공격자들은 고립된 특정 기술 취약점을 찾는 데 그치지 않고, 서로 다른 시스템 사이의 신뢰 관계를 점점 더 많이 악용하는 쪽으로 움직이고 있다.

이는 암호화폐 업계가 단일 자산 보호에서 자산 생명주기 전체 보호로, 특정 기기나 시스템의 안전 여부에서 사람과 소프트웨어, 기기, 권한 사이의 완전한 신뢰 사슬을 검토하는 것으로 보안 경계를 재정의해야 한다는 의미다.

다만 주목할 점은, 이런 변화에 직면해 업계가 위험 논의에만 머물지 않았다는 것이다.

2. 바이낸스에서 레저까지: 암호화폐 업계는 보안 방어선을 어떻게 업그레이드하고 있나

최근의 일련의 보안 사고 이후 거래 플랫폼, 하드웨어 지갑 제조사, 보안 기관, 규제 당국이 각자의 영역에서 조정을 시작했다.

이 행동들을 함께 놓고 보면 암호화폐 보안에 몇 가지 주목할 만한 변화가 일어나고 있음을 알 수 있다.

1) 바이낸스와 코인베이스: 키 보호에서 서명과 자금 흐름 전 과정 보호로

바이낸스 사고 이후 플랫폼은 새로운 환경에서 영향을 받은 지갑 시스템과 내부 AI 도구를 재구축하고, 관련 직원 기기를 교체했으며, 영향을 받은 자격 증명과 액세스 토큰을 비활성화하고, 직원 단말에 대한 추가 보안 점검을 진행했다.

동시에 바이낸스는 지갑 서비스의 리스크 관리와 AI 기반 이상 행위 탐지를 강화했고, 독립 보안 기관을 도입해 사고 원인, 내부 권한, 관련 방어 체계를 추가로 심사할 계획이다.

이 조치들은 따로따로 보이지만 실제로는 같은 문제를 겨냥한다. 공격자가 이미 내부 시스템에 들어온 뒤, 기존 권한을 계속 이용해 더 높은 위험의 자산 작업에 접근하는 것을 어떻게 막을 것인가?

비슷한 사고방식은 코인베이스가 최근 공개한 자산 보호 체계에서도 확인할 수 있다.

11월 4일 코인베이스는 고객 자산 보안 아키텍처를 소개하는 글을 별도로 발표하며, 현재 99% 이상의 고객 자산이 콜드월렛에 보관돼 있다고 밝혔고 자금 흐름 통제 메커니즘 전반도 공개했다.

예를 들어 키 관리 측면에서 코인베이스는 분산 키 보호 메커니즘을 채택해 단일 지점의 프라이빗 키 노출을 피하고, 콜드월렛과 핫월렛 간 자금 이동 과정에서는 엄격한 전송 속도와 한도 제한을 두며 이상 행위 모니터링으로 의심스러운 작업을 식별한다.

이는 참고할 만한 표본이기도 하다. 자산을 어디에 보관하는지도 중요하지만, 누가 송금을 개시할 수 있는지, 어떤 조건에서 서명이 허용되는지, 이상이 발생했을 때 작업을 적시에 중단할 수 있는지도 시스템 전체의 안전 수준을 결정한다.

이것이 바로 심층 방어(Defense in Depth)의 핵심 논리다.

어떤 단계도 절대적으로 안전하다고 가정하지 않으며, 오히려 특정 직원 기기가 침해되고 특정 권한이 남용되더라도 다른 방어 메커니즘이 공격의 추가 확산을 제한할 수 있어야 한다.

2) 레저와 트레저: 보안이 생산, 유통, 인도 단계로 확장되기 시작

하드웨어 지갑 분야의 변화도 마찬가지로 대표적이다.

이번 하드웨어 삽입 사건 이후 레저는 공인 유통 채널의 기기 관리 요건을 조정하기 시작해, 관련 공인 딜러와 유통사에 동남아시아 및 홍콩 지역 판매를 중단하고 기기 표본 검사와 재고 점검을 실시하도록 요구했다.

또한 레저는 딜러가 반품된 기기를 재판매해서는 안 된다고 명확히 했으며, 포장이 완전해 보이는 경우에도 예외가 아니라고 밝혔다. 기기는 개방형 진열대나 전시 구역에 계속 두지 않고 뒤쪽 창고 구역에 보관하며 사용자가 구매할 때 인도해야 한다.

이 조치들은 하드웨어 보안의 경계가 확장되고 있음을 보여주며, 본질적으로는 공격자가 기기에 접촉하고 개조할 수 있는 기회를 줄이는 것이다.

트레저의 조정은 더 직접적이다.

11월 12일 트레저는 최신 조사 결과를 발표해, 문제가 된 딜러 크립토빌리스(CryptoBilis)를 통해 판매된 Trezor Safe 5 가운데 3대에 하드웨어 삽입이 있었음을 확인했다. 동시에 트레저는 공인 딜러 네트워크를 약 80% 축소했고, 유지되는 파트너에게 더 엄격한 구매, 창고 보관, 기기 접근 관리 규칙을 준수하도록 요구한다고 밝혔다.

제품 측면에서 트레저는 11월 11일 펌웨어 2.13.1 버전을 배포해 발견된 삽입 모듈에 대한 방어 조치를 추가, 해당 모듈이 더 이상 화면 정보를 읽지 못하도록 했다.

이는 하드웨어 보안 거버넌스에 일어나고 있는 변화를 반영한다. 즉 안전성은 제품이 출하될 때 믿을 만한지만 볼 것이 아니라, 제조사가 공급망 리스크를 지속적으로 관리하고 문제 발생 후 효과적인 탐지, 수정, 사용자 보상 조치를 제공할 수 있는지도 봐야 한다는 것이다.

지갑 제조사 입장에서 이는 칩과 펌웨어뿐 아니라 제품 생명주기 전체를 관리해야 한다는 뜻이다.

3) CZ의 보안 연합 제안에서 규제 당국의 움직임까지: 업계 협업이 실제 역량으로 형성되고 있다

기업 내부의 보안 업그레이드 외에 또 하나 주목할 방향은 플랫폼 간 협업이다.

바이낸스 사고 이후 CZ는 암호화폐 업계에 보안 연합을 설립해 보안 정보 공유, 상호 보안 감사, 그리고 더 효율적인 도난 자금 추적과 긴급 대응을 추진하자고 공개적으로 촉구했다.

그 이면에는 암호화폐 업계에 오래 존재해온 모순이 있다. 블록체인 자산은 플랫폼과 체인을 넘어 빠르게 유동할 수 있지만, 보안 방어는 흔히 서로 다른 거래소와 지갑 제조사, 보안 회사, 온체인 분석 기관의 손에 분산돼 있다.

한 플랫폼이 이상 주소를 발견했다고 해서 다른 플랫폼이 즉시 식별할 수 있는 것도 아니고, 한 보안 팀이 새로운 공격 특징을 파악했다고 해서 업계 전체가 적시에 방어 전략을 업데이트하는 것도 아니다.

이는 전통적인 기업 자체 보안 팀과는 다른 방어 모델을 반영한다. 즉 서로 다른 기관에 흩어진 보안 연구, 위협 모니터링, 비상 대응 역량을 연결해 공격 정보가 더 빠르게 식별되고 공유되고 활용되도록 하는 것이다.

물론 플랫폼 간 협업이 모든 기업이 내부 시스템 정보를 무조건 공유해야 한다거나 사용자 자산을 임의로 동결할 권한을 가져야 한다는 뜻은 아니다.

보안 정보 공유, 영업 비밀 보호, 사용자 자산 자기결정권 사이에 명확한 경계를 어떻게 설정할지도 추가로 정교화해야 한다.

그러나 적어도 암호화폐 보안이 과거 상대적으로 고립된 기업 자체 보호에서, 보안 기관과 플랫폼, 커뮤니티가 함께 참여하는 협력 방어로 점차 나아가고 있다는 점은 확인할 수 있다.

주목할 점은 바이낸스 사고 이후 한국 금융위원회(FSC)가 금융감독원, 한국금융보안원, 주요 가상자산 거래 플랫폼을 긴급 소집해 거래소의 자산 보관과 보안 방어 상황을 점검했다는 것이다.

그중 하나의 핵심은 거래소 콜드월렛의 자산 보관 비율을 다시 검토하는 것이었다. 한국의 현행 《가상자산 이용자 보호법》에 따르면 거래소는 사용자 자산 경제적 가치의 최소 80%를 콜드월렛에 보관해야 한다.

그러나 이번 사고 이후 규제 당국은 거래소에 콜드월렛 비율 상향을 검토하고, 동시에 24시간 연중무휴(7×24) 입출금 모니터링, 준비금 관리, 지갑 서명 승인, 관리자 권한 통제를 강화하도록 추가로 요구했다.

이는 규제 당국도 거래소의 안전이 사후 보상에만 의존할 수 없고, 사전의 자산 격리와 운영 제한을 통해 단일 공격이 초래할 수 있는 손실을 최대한 낮춰야 한다는 것을 인식하기 시작했음을 보여준다.

3. AI 시대, 크립토 제품에는 어떤 새로운 보안 기준이 필요한가

최근 업계의 이런 행동들을 하나로 이어보면, 이들이 점차 더 완전한 보안 논리를 형성해가고 있음을 알 수 있다.

바이낸스는 내부 시스템과 권한을 재구축했고, 코인베이스는 다층 서명 통제를 강조했으며, 레저와 트레저는 공급망을 조였다. 업계 전체가 플랫폼 간 비상 대응 협력을 추진하고, 한국 규제 당국은 24시간 모니터링과 사고 책임을 더욱 강화했다.

imToken은 앞으로 암호화폐 제품이 최소한 다음 몇 가지 측면에서 보안 체계를 새로 세워야 한다고 본다.

1) 프라이빗 키 보안에서 전 과정 권한 보안으로

프라이빗 키는 여전히 디지털 자산 보안의 핵심이지만, 보안 체계의 전부가 되어서는 안 된다.

거래 플랫폼이라면 키와 서명 서비스, 관리자 계정, 개발 환경, 프로덕션 배포 권한을 동시에 보호해야 하고, 지갑 제품이라면 키 관리, 거래 구성, 거래 승인, 최종 서명 등 서로 다른 단계를 명확히 구분해야 한다.

특히 AI 에이전트가 지갑, 거래 계정, 온체인 애플리케이션에 접속하기 시작하면서 권한 관리는 더욱 중요해질 것이다.

시세를 읽고 잔액을 조회할 수 있는 에이전트가 당연히 자산을 이전할 권한을 가져서는 안 되며, 사용자의 거래 구성을 도울 수 있는 에이전트라고 해서 추가 승인 없이 곧바로 서명을 완료할 수 있다는 뜻도 아니다.

합리적인 설계는 다음과 같아야 한다. 작업 필요에 따라 최소 권한을 부여하고, 조회, 거래 구성, 거래 승인, 최종 서명을 분리한다. 고위험 작업에는 대역 외 확인, 패스키(Passkey), 다중 승인 같은 독립적 확인 메커니즘을 둔다. 모든 승인에는 명확한 범위와 유효 기간, 철회 메커니즘이 있어야 한다. 핵심 작업에는 검증 가능한 감사 기록을 남긴다.

간단히 말해 AI는 사용자가 더 많은 일을 완수하도록 도울 수 있지만, 그 때문에 제약 없는 자산 통제권을 얻어서는 안 된다. 이는 AI 에이전트의 보안 요구사항일 뿐 아니라 암호화폐 제품 전체가 앞으로 세워야 할 권한 기준이기도 하다.

2) 일회성 감사에서 지속적 검증으로

과거 많은 암호화폐 제품은 스마트 컨트랙트 감사, 코드 리뷰, 하드웨어 보안 인증을 통해 사용자에게 안전성을 증명하는 데 익숙했다. 물론 이런 작업은 중요하지만, 문제는 감사가 보통 특정 시점, 특정 코드 버전, 특정 범위만 다룰 수 있다는 점이다.

한 제품이 스마트 컨트랙트 감사를 통과했다고 해서 이후 업그레이드된 코드에 문제가 없다는 뜻은 아니고, 하드웨어 지갑이 칩 보안 테스트를 통과했다고 해서 창고 보관과 운송 과정에서 변조되지 않는다는 뜻도 아니다.

따라서 미래의 보안 체계는 일회성 감사에서 지속적 검증으로 전환해야 한다.

3) 단일 지점 방어에서 심층 방어로

어떤 단일 기술도 모든 보안 문제를 해결할 수 없다.

MPC는 단일 지점 키 유출 위험을 줄일 수 있지만 잘못된 승인을 자동으로 막지는 못한다. 콜드월렛은 원격 공격 위험을 줄일 수 있지만 내부 작업과 공급망 리스크를 완전히 없애지는 못한다. 하드웨어 지갑은 프라이빗 키를 격리할 수 있지만 사용자를 대신해 모든 악성 거래를 식별하지는 못한다.

따라서 진정으로 성숙한 보안 아키텍처는 서로 다른 계층의 방어 메커니즘이 상호 보완하도록 해야 한다.

예를 들어 신원 계층에서는 피싱 저항성이 있는 인증 방식을 사용해 계정과 직원 자격 증명 도난 위험을 줄이고, 권한 계층에서는 최소 권한과 임시 승인, 다중 승인을 적용해 단일 신원이 완전한 통제권을 쥐지 않도록 한다. 기기 계층에서는 단말 보안과 하드웨어 무결성 검증, 신뢰 부팅 메커니즘을 강화하고, 거래 계층에서는 거래 내용을 시뮬레이션하고 위험을 식별해 명확히 표시함으로써 사용자가 거래 의도를 이해하지 못한 채 서명을 완료하는 일을 막는다. 자산 계층에서는 콜드월렛과 MPC, 멀티시그, 한도, 이상 모니터링을 통해 자금이 한 번에 이전될 가능성을 낮추고, 대응 계층에서는 긴급 일시 중지와 권한 철회, 사건 통보, 플랫폼 간 협력 메커니즘을 구축한다.

4) '브랜드를 믿는 것'에서 '안전을 검증할 수 있는 것'으로

일반 사용자에게 보안에는 오래된 문제가 하나 더 있다. 바로 정보 비대칭이다.

사용자는 지갑이 프라이빗 키를 실제로 어떻게 관리하는지 알기 어렵고, 거래소의 내부 권한이 합리적인지 직접 판단할 수도 없으며, 하드웨어 지갑의 칩과 펌웨어, 공급망을 직접 점검하는 것은 더더욱 불가능하다.

따라서 보안 제품은 브랜드 평판이나 마케팅 구호에만 의존해 신뢰를 구축할 수 없으며, 앞으로 더 중요한 것은 보안 메커니즘을 최대한 투명하고 검증 가능하게 만드는 것이다.

예를 들어 거래 플랫폼은 자산 준비금과 수탁 구조, 핵심 보안 메커니즘을 지속적으로 공개해야 하고, 지갑 제조사는 프라이빗 키 관리 원칙과 코드 감사 현황, 취약점 대응 절차, 버전 업데이트 기록을 공개해야 하며, 하드웨어 지갑 제조사는 사용자가 기기 출처와 펌웨어 무결성, 공식 판매 채널을 확인할 수 있게 해야 한다.

5) 사용자 자산 통제권으로 돌아가기: 비수탁 지갑의 가치와 책임

이렇게 많은 보안 메커니즘을 논의한 뒤에도 다시 생각해볼 문제가 하나 있다.

거래소와 지갑 제조사, 하드웨어 기기, 제3자 서비스가 모두 공격 진입점이 될 수 있다면, 일반 사용자는 자신의 자산 관리 방식을 어떻게 선택해야 할까?

이것이 바로 비수탁 지갑이 오래 존재하는 가치이며, 중앙화 거래 플랫폼과 비교할 때 비수탁 지갑의 핵심 차이는 자산 통제권에 있다.

중앙화 거래 플랫폼에서는 사용자가 통상 플랫폼 계정 체계와 내부 지갑 시스템, 플랫폼의 서명 절차를 거쳐야 자산 작업을 완료할 수 있다. 사용자의 자산 안전은 자신의 계정 보호뿐 아니라 플랫폼의 내부 권한과 수탁 아키텍처, 직원 관리, 운영 메커니즘에 달려 있다.

반면 비수탁 지갑에서는 사용자가 직접 프라이빗 키나 니모닉을 관리하고, 지갑 서비스 제공자는 사용자 자산의 이전 권한을 직접 갖지 않는다. 구조적으로 이는 신뢰해야 할 자산 수탁 중간 단계가 하나 줄어드는 것이며, 플랫폼이 사용자 자산을 집중 보유함으로써 생기는 수탁 리스크도 줄어든다는 의미다.

그렇다고 비수탁 지갑이 모든 공격에 면역이라는 뜻은 아니다.

사용자는 여전히 피싱 사이트와 악성 컨트랙트, 허위 승인, 기기 감염, 니모닉 유출을 겪을 수 있으며, 자신의 키 관리와 거래 안전에 더 주의를 기울여야 한다.

따라서 imToken 같은 비수탁 지갑에게 정말로 지속적으로 구축할 가치가 있는 것은 사용자의 자기 통제권을 중심으로 사용 전 과정의 보안 경험을 더욱 완성하는 일이다.

그 이면에는 더 완전한 보안 이념이 있다.

마치며

바이낸스의 내부 권한 실패에서 레저와 트레저의 하드웨어 공급망 리스크, 거래소의 콜드월렛 비율 재검토에 이르기까지, 최근의 일련의 사건들은 암호화폐 업계가 과거 보안 신뢰를 구축해온 기준이 이미 한 단계 더 업그레이드될 필요가 있음을 상기시킨다.

프라이빗 키는 여전히 중요하지만, 더 이상 전부가 아니다.

미래의 보안 경쟁은 암호학과 소프트웨어 공급망, AI 권한 관리, 하드웨어 설계, 자산 수탁, 비상 대응 등 여러 계층에서 동시에 벌어질 것이다.

그리고 업계 전체로 보면 신뢰 재구축은 한 번의 보안 감사, 하나의 준비금 증명, 혹은 "사용자 자산에는 영향이 없다"는 한마디로 완성될 수 없다.

보안은 신뢰의 전제이며, 검증 가능하고 지속 가능하며 책임을 물을 수 있는 보안이야말로 암호화폐 업계가 다음 단계로 나아가기 위해 진정으로 구축해야 할 인프라다.

Sushi CTO警告：切勿与任何dApp交互，且Ledger疑似存在可疑代码

인기 기사