[칼럼] 콜드월렛도 뚫렸다…내 코인은 누가 지키나

암호화폐 투자자들 사이에는 오래된 믿음이 있다. 거래소에서 코인을 빼 콜드월렛에 넣어두면 안전하다는 믿음이다. 인터넷과 분리된 하드웨어 기기에 개인키를 보관하니 해커도 손댈 수 없다는 논리다.

최근 발생한 콜드카드 보안 사고는 이 믿음이 얼마나 허술한지를 보여줬다.

공격자는 지갑을 훔치지 않았다. 악성 파일을 설치하지도 않았고, 투자자를 피싱 사이트로 끌어들이지도 않았다. 문제는 개인키가 만들어지는 최초의 순간에 있었다.

콜드카드 제조사 코인카이트에 따르면 일부 펌웨어에서 난수 생성 과정에 결함이 있었다. 개인키는 누구도 예측할 수 없는 무작위 숫자를 바탕으로 만들어져야 한다. 그런데 무작위성이 충분하지 않으면 공격자는 가능한 조합을 계산해 개인키를 찾아낼 수 있다.

금고 문은 잠겨 있었지만 열쇠 모양이 지나치게 단순했던 셈이다.

더 심각한 것은 펌웨어를 업데이트한다고 문제가 끝나지 않는다는 점이다. 취약한 환경에서 이미 생성된 시드는 새 펌웨어를 설치해도 그대로 남는다. 이용자는 새로운 시드를 만들고 암호화폐를 새 주소로 옮겨야 한다.

콜드월렛을 사서 서랍에 넣어두면 보안이 끝난다고 믿었던 투자자들에게는 불편한 진실이다.

콜드월렛은 금고가 아니다

암호화폐는 콜드월렛 안에 들어 있지 않다. 코인은 블록체인 위에 기록돼 있다. 하드웨어 지갑은 암호화폐를 이동시킬 수 있는 개인키를 만들고 보관하며 거래에 서명하는 도구일 뿐이다.

하지만 많은 투자자는 콜드월렛을 은행 금고처럼 생각한다. 인터넷을 끊고 기기를 보관하면 모든 위험이 사라진다고 여긴다.

착각이다.

인터넷 연결을 차단하면 온라인 해킹 위험은 줄어든다. 그러나 난수 생성 오류, 펌웨어 결함, 공급망 오염, 위조 업데이트, 복구 문구 유출, 잘못된 거래 서명 위험은 그대로 남는다.

공격 경로가 없어지는 것이 아니다. 장소를 바꾸는 것이다.

온라인에 있던 위험이 기기와 소프트웨어, 제조사와 이용자의 관리 절차로 옮겨간다. 콜드월렛은 보안을 완성하는 제품이 아니다. 보안 관리가 시작되는 지점이다.

바이비트도 콜드월렛에서 당했다

2025년 발생한 바이비트 해킹 사건도 같은 교훈을 남겼다.

공격자는 바이비트의 이더리움 멀티서명 콜드월렛에서 약 15억달러 규모의 암호화폐를 탈취했다. 미국 연방수사국은 북한 연계 해킹 조직을 배후로 지목했다.

당시 개인키의 암호가 풀린 것은 아니었다. 이더리움 블록체인이 해킹된 것도 아니었다. 공격자는 서명자가 거래 내용을 확인하는 화면을 조작했다.

승인자들은 정상적인 거래라고 생각해 서명했다. 그러나 실제로는 지갑의 통제권을 공격자에게 넘기는 거래였다.

콜드월렛도 있었다. 여러 사람이 승인하는 멀티서명 체계도 있었다. 정해진 내부 절차도 작동했다.

문제는 사람들이 보고 있던 화면이 거짓이었다는 것이다.

블록체인은 서명자의 진짜 의도를 판단하지 않는다. 전자서명이 유효하면 거래를 실행할 뿐이다. 사람이 속아 서명했는지, 주소를 잘못 확인했는지까지 알아서 막아주지 않는다.

콜드카드 사고가 개인키 생성 단계의 실패라면 바이비트 사고는 거래 확인과 승인 단계의 실패였다.

두 사건의 공통점은 분명하다. 블록체인 기술이 무너진 것이 아니다. 블록체인 밖에서 개인키를 만들고 보관하고 사용하는 인간의 시스템이 무너졌다.

직접 보관은 끝났는가

일부에서는 개인이 암호화폐를 직접 보관하는 시대가 끝났다고 말한다. 거래소나 전문 수탁기관, 상장지수펀드에 맡기는 편이 더 안전하다는 주장이다.

근거가 없는 이야기는 아니다.

일반 투자자가 지갑의 펌웨어 코드를 직접 검증하기는 어렵다. 난수 생성이 제대로 이뤄졌는지 확인하기도 쉽지 않다. 복구 문구를 잃어버리거나 잘못 보관할 수도 있다. 기관이 사용하는 멀티서명과 지역 분산, 복수 승인 체계를 개인이 똑같이 구축하는 것도 현실적으로 어렵다.

직접 보관은 자유를 주지만 고객센터는 주지 않는다.

은행을 제거하는 순간 투자자 자신이 은행장이자 보안 책임자가 된다. 열쇠를 잃어도 되찾아줄 사람이 없고, 잘못 송금해도 거래를 취소해줄 기관이 없다.

그렇다고 모든 암호화폐를 중앙화된 기관에 맡기는 것이 답은 아니다.

FTX 사태에서 보듯 거래소는 파산할 수 있다. 고객 자산을 유용하거나 출금을 막을 수도 있다. 정부와 규제기관의 명령에 따라 계정이 동결될 가능성도 있다. 암호화폐가 한곳에 집중될수록 해커에게는 더 큰 공격 목표가 된다.

직접 보관과 기관 수탁 가운데 어느 한쪽도 절대적으로 안전하지 않다.

직접 보관은 개인의 실수와 관리 부실을 위험으로 만든다. 기관 수탁은 기업의 부실과 도덕적 해이를 위험으로 만든다. 위험이 사라지는 것이 아니라 위험의 주체가 달라지는 것이다.

개인키만 갖고 있다고 주인이 되는 것은 아니다

암호화폐 업계에는 “개인키가 없으면 당신의 코인도 아니다”라는 말이 있다. 여전히 맞는 말이다.

그러나 이제는 한 문장을 더 붙여야 한다.

보관 절차를 통제하지 못하면 보안도 당신의 것이 아니다.

개인키를 가지고 있다는 사실만으로는 부족하다. 개인키가 어떤 방식으로 생성됐는지, 어떤 펌웨어를 사용했는지, 거래 내용을 어디에서 확인했는지, 복구 문구를 어떻게 보관했는지까지 관리해야 한다.

사고가 발생했을 때 암호화폐를 새 지갑으로 옮길 수 있는 대응 계획도 필요하다.

직접 보관은 하드웨어 지갑 하나를 구매하는 소비 행위가 아니다. 지속적으로 관리하고 검증해야 하는 보안 업무다.

기기 하나를 믿는 보안은 끝났다

이번 사건 이후 투자자와 기관은 하나의 제조사와 하나의 기기에 모든 자산을 맡기는 방식을 재검토해야 한다.

고액 자산은 여러 제조사의 장비와 여러 서명자를 활용해 위험을 분산할 필요가 있다. 기관은 출금 주소 사전 등록, 거래 금액 제한, 시간 지연, 독립 승인, 소액 시험 전송 같은 절차를 기본 통제로 둬야 한다.

거래에 서명할 때 컴퓨터 화면만 믿어서도 안 된다. 하드웨어 지갑에 표시된 주소와 금액을 직접 확인해야 한다. 큰 금액이라면 별도의 기기와 별도의 통신 경로를 통해 거래 내용을 다시 검증해야 한다.

제조사도 책임을 피할 수 없다.

“오픈소스이기 때문에 안전하다”는 설명만으로는 부족하다. 코드가 공개돼 있다는 것과 코드가 제대로 검증됐다는 것은 전혀 다른 이야기다. 독립적인 보안 감사와 난수 생성 시험, 재현 가능한 펌웨어 빌드, 신속한 취약점 공개와 보상 체계가 필요하다.

인공지능이 코드를 검사했다는 설명도 면죄부가 될 수 없다. 공격자 역시 인공지능을 활용한다. 인공지능은 보안 책임자가 아니다. 보안을 돕는 도구일 뿐이다.

무너진 것은 직접 보관이 아니라 맹신이다

이번 사고를 두고 암호화폐 직접 보관의 시대가 끝났다고 말하는 것은 성급하다.

무너진 것은 직접 보관의 원칙이 아니다. 유명한 콜드월렛 하나를 사서 서랍에 넣어두면 모든 위험이 사라진다는 믿음이다.

암호화폐 시장은 그동안 기술이 주는 자유를 강조했다. 하지만 그 자유를 지키기 위해 이용자가 감당해야 할 책임은 충분히 말하지 않았다. 개인키를 직접 보관하면 금융 주권을 얻는다고 홍보하면서, 그에 따른 관리 의무와 실패 가능성은 작게 다뤘다.

이제는 냉정하게 인정해야 한다.

직접 보관은 누구에게나 적합한 방식이 아니다. 관리 능력과 지식이 부족한 사람에게는 오히려 더 위험할 수 있다. 반대로 거래소에 맡긴다고 안전이 보장되는 것도 아니다.

중요한 것은 구호가 아니라 체계다.

누가 개인키를 만들고, 누가 거래를 확인하며, 누가 사고에 대응할 것인가. 이 질문에 답하지 못하는 보관 방식은 콜드월렛이든 거래소든 안전하지 않다.

비트코인은 해킹되지 않았다. 블록체인도 무너지지 않았다.

무너진 것은 기기 하나를 믿으면 된다는 인간의 안일함이다.