베다 CEO “온체인 볼트 진짜 위협은 키 관리”

온체인 볼트의 핵심 위험은 스마트컨트랙트 버그보다 키 관리와 운영 보안에 있다는 업계 진단이 나왔다. 이용자 자산이 자동화된 디파이(DeFi) 전략으로 이동하는 과정에서 코드뿐 아니라 권한과 서명, 출금 통제까지 함께 살펴야 한다는 지적이다.

크립토브리핑(CryptoBriefing)은 10일 선 라구파티(Sun Raghupathi) 베다(Veda) 공동창업자·최고경영자(CEO)가 온체인 볼트의 “진짜 위협은 스마트컨트랙트 버그가 아니라 키 관리”라고 말했다고 전했다. 베다는 거래소와 애플리케이션이 디파이 수익 전략을 제공할 수 있도록 볼트 인프라를 공급하는 업체다.

온체인 볼트는 이용자가 맡긴 자산을 스마트컨트랙트 기반 전략에 배분하는 구조다. 이용자에게는 단순한 예치 화면으로 보이지만 후면에서는 전략 실행 권한과 자산 이동, 출금 승인 절차가 맞물린다.

키 관리는 관리자 권한과 거래 서명에 필요한 암호키를 생성·보관·사용하는 절차를 뜻한다. 키가 탈취되거나 권한 설정이 잘못되면 스마트컨트랙트 코드에 결함이 없어도 허용되지 않은 자산 이동이 발생할 수 있다.

베다는 공식 보안 문서에서 △보안 자동화 △고도화된 키 관리 △전체 생애주기 모니터링을 볼트 보안의 핵심 요소로 제시했다. 관리자 키는 암호학적으로 보호된 장치에 보관한다고 설명했다.

스마트컨트랙트의 공격 면을 줄이는 설계도 적용했다. 볼트가 외부에 공개하는 함수를 최소화하고 사전에 허용된 동작만 머클 검증을 거쳐 실행하도록 했으며, 지연 출금과 온체인 모니터링, 외부 감사를 통제 장치로 뒀다.

머클 검증은 실행 요청이 미리 승인된 목록에 포함됐는지를 암호학적으로 확인하는 방식이다. 지연 출금은 출금 요청과 실제 자산 이동 사이에 시간을 둬 비정상적인 움직임을 탐지하거나 대응할 여지를 확보하는 장치다.

베다는 2024년 설립 이후 200개가 넘는 볼트에서 320억 달러(약 45조1200억원) 이상을 처리했고, 활성 사용자 수가 30만명을 넘었다고 공개했다. 온체인 연동 규모는 100개 이상이다.

베다가 6월 10일 공개한 자료에서 크라켄 디파이 언 볼트의 예치금은 4억 달러(약 5640억원), 사용자 수는 6만5000명을 넘어섰다. 이후 베다 공식 링크드인(LinkedIn)에는 예치금 6억 달러(약 8460억원), 사용자 8만명 이상이라는 수치가 게시됐다.

크라켄 디파이 언의 각 볼트는 독립 위험관리자가 운용하며 크라켄은 볼트 예치금을 통제하지 않는다. 임베디드 월렛도 사용자가 통제하는 구조다. 서비스 화면과 실제 자산 운용 주체가 분리된 만큼 이용자는 각 주체의 권한 범위를 구분해 살펴야 한다.

전문 위험관리자가 볼트의 담보와 노출 한도 등을 정하는 구조는 디파이 시장에서 확산하고 있다. 앞서 본지는 이더리움과 베이스의 큐레이티드 볼트에 전문 위험관리자가 운용하는 자금이 집중됐다고 전했다.

다만 키 관리의 중요성이 커졌다는 진단이 스마트컨트랙트 위험의 소멸을 뜻하지는 않는다. 크라켄은 디파이 언의 위험으로 스마트컨트랙트 결함과 부실채무, 유동성 부족을 함께 고지하고 있다.

크라켄의 비트코인(BTC) 볼트도 보상률이 변동될 수 있고 손실이 발생할 수 있는 상품이다. 운영 보안이 강화되더라도 기초 프로토콜의 결함이나 시장 유동성 악화까지 제거되는 것은 아니다.

오픈제플린(OpenZeppelin)은 3월 11일 공개한 자료에서 최근 2년간 암호화폐 손실의 다수가 스마트컨트랙트 버그보다 피싱과 부실한 키 관리 등 오프체인 공격에서 발생했다고 밝혔다. 블록에이드(Blockaid)도 6월 17일 분석에서 2025년과 2026년 초 디파이 손실의 대부분이 손상된 지갑 인프라와 개인키에서 비롯됐다고 설명했다.

온체인 볼트 이용자는 수익률과 함께 △실제 운용 주체 △관리자 키 보관 방식 △출금 지연 장치 △이상 거래 모니터링 체계를 확인할 필요가 있다. 코드 감사와 운영 보안은 어느 하나가 다른 하나를 대체하는 관계가 아니라 함께 작동해야 하는 통제 체계다.

검증 출처: CryptoBriefing, Veda 보안 글, Veda 문서, Veda About, Kraken FAQ, OpenZeppelin, Blockaid