수탁형 지갑이냐 셀프 커스터디냐: 고르는 법과 안전하게 지키는 법

암호화폐를 보관하는 두 가지 방법

코인은 지갑 앱 안에 들어 있지 않습니다. 블록체인에 기록되어 있으며, 그에 맞는 개인 키를 가진 사람이 코인을 움직일 수 있습니다. 개인 키는 아주 긴 비밀 숫자입니다. 대부분의 지갑은 이를 시드 문구(복구 문구)로 백업하게 해 주는데, 보통 12개나 24개의 평범한 단어로 이루어져 있으며 호환되는 어떤 지갑에서든 키를 다시 만들어 냅니다.

거래소 계정 같은 수탁형 지갑에서는 서비스 제공자가 키를 관리합니다. 여러분의 잔액은 그 회사 장부에 적힌 기록이고, 인터넷 뱅킹처럼 로그인해서 이용합니다. 셀프 커스터디(비수탁형) 지갑에서는 키가 여러분의 스마트폰, 컴퓨터, 하드웨어 기기에서 만들어지며 다른 누구도 사본을 갖고 있지 않습니다.

투명성을 위해 밝혀 둡니다. 이 블로그를 운영하는 nowcoin은 수탁형 지갑입니다. 고객 잔액을 뒷받침하는 지갑의 키는 저희가 보관하며, 고객은 그 키를 갖고 있지 않습니다. 이 글은 어느 쪽을 택하든 현명하게 고를 수 있도록 돕기 위한 것입니다.

장단점 비교

어느 한쪽이 단순히 더 안전한 것은 아닙니다. 수탁형은 리스크의 중심을 여러분의 실수에서 회사의 행동으로 옮깁니다. 셀프 커스터디는 회사를 없애는 대신 모든 실수를 되돌릴 수 없게 만듭니다. 블록체인 송금은 취소할 수 없고, 잃어버린 시드 문구를 다시 만들어 줄 고객센터도 없습니다.

종이 한 장을 잃어버리는 것과 회사가 내 돈을 잃는 것 중 무엇이 더 걱정되는지 자문해 보면 도움이 됩니다. 둘을 함께 쓸 수도 있습니다. 예를 들어 자주 움직이는 잔액은 수탁형에, 오래 보유할 자산은 셀프 커스터디에 두는 식입니다.

수탁 기관이 무너질 때: FTX와 셀시우스

FTX는 세계 최대급 암호화폐 거래소였습니다. 이후 이 사건을 심리한 항소법원에 따르면, 2022년 FTX 고객의 거래액은 하루 약 100억~150억 달러에 달했습니다. 그런 거래소가 무너지는 데 걸린 시간은 2주도 채 되지 않았습니다.

재판에서 드러난 증거에 따르면, FTX 창업자 뱅크먼프리드는 고객에게 자금이 안전하다고 장담하면서 수십억 달러를 고객 계정에서 자신의 트레이딩 회사인 알라메다 리서치로 옮겼습니다. 이 돈은 고객 예치금과 무관한 투자, 알라메다의 손실 보전, 정치 후원금, 부동산 등에 쓰였습니다. 그는 2022년 11월 7일 "FTX is fine. Assets are fine(FTX는 괜찮다, 자산도 문제없다)"라고 게시했는데, 미국 증권거래위원회(SEC)는 훗날 이 게시물을 허위이자 오해를 부르는 내용이라고 밝혔습니다. 바로 다음 날 출금이 멈췄습니다.

2026년 9월 뱅크먼프리드는 미국 연방대법원에 사건을 심리해 달라고 청원했습니다. 이 글을 쓰는 시점까지 대법원은 심리 여부를 결정하지 않았습니다.

고객들은 돈을 돌려받기까지 2년 넘게 기다려야 했습니다. 2026년 7월까지 주요 고객 등급에 대한 지급액은 확정 채권액의 105%에 이르렀습니다. 그러나 미국 파산법에 따라 이 채권은 2022년 11월 가격 기준의 달러로 평가되었습니다. 고객은 코인 대신 현금을 받았고, 그 뒤의 가격 상승분은 누리지 못했습니다.

FTX만의 일이 아니었습니다

암호화폐 대출 플랫폼 셀시우스는 2022년 6월 출금을 동결했고, 다음 달 파산을 신청했습니다. 2023년 1월 법원은 셀시우스의 이용 약관에 따라 이자를 주는 '언(Earn)' 계정에 예치된 코인이 회사 소유가 되었다고 판단했습니다. 약 60만 개 계정, 약 42억 달러 규모가 영향을 받았고, 계정 보유자들은 코인의 주인이 아니라 파산 절차상의 채권자가 되었습니다.

여기서 얻을 교훈은 모든 수탁 기관이 사기꾼이라는 것이 아닙니다. 수탁이란 회사의 정직성, 내부 통제, 법적 약관을 믿는 일이며, 그중 바깥에서 확인할 수 있는 것은 일부뿐이라는 점입니다.

수탁형을 고른다면

다음 질문으로 신중한 서비스와 위험한 서비스를 가려낼 수 있습니다.

• 내가 사는 곳에서 인가나 등록을 받았는가? 규제 당국은 등록 업체 명단을 공개합니다. EU에서는 암호자산시장법(MiCA)에 따라, 고객의 암호자산을 보관하는 인가 사업자는 이를 자기 자산과 블록체인상으로도, 법적으로도 분리해야 합니다. 사업자가 파산해도 그 채권자가 고객 자산에 손대지 못하게 하기 위해서입니다. 마지막 유예 기간은 2026년 7월 1일에 끝났습니다.
• 약관에는 무엇이 적혀 있는가? 코인이 계속 여러분의 소유인지, 사업자가 이를 빌려주거나 재사용할 수 있는지 확인하십시오. 셀시우스 고객이 소유권을 잃은 곳이 바로 이자 상품이었습니다.
• '준비금 증명(proof of reserves)'은 무엇을 증명하는가? 이를 공개하는 거래소도 있습니다. 미국 회계감사 감독 기구인 PCAOB는 이런 보고서가 감사가 아니며 특정 시점의 자산만 보여 준다고 경고합니다. 그것만으로는 고객에게 갚아야 할 돈을 모두 감당할 만큼 자산이 있다는 증거가 되지 못합니다.
• 어떤 보안 기능을 제공하는가? 인증 앱이나 보안 키 로그인, 출금 주소록, 알림, 로그인된 기기 목록이 있는지 살펴보십시오.

한 서비스에는 그곳에서 실제로 필요한 만큼만 맡겨 두는 것도 도움이 됩니다.

키를 직접 보관한다면

셀프 커스터디는 시드 문구에서 시작합니다. 종이나 금속에 적어 오프라인으로, 남의 눈에 띄지 않는 곳에 보관하십시오. 웹사이트에 입력하거나 사진을 찍거나 이메일, 클라우드 메모에 저장해서는 안 됩니다. 시드 문구를 본 사람은 모든 것을 가져갈 수 있습니다. 시드 문구를 잃어버린 상태에서 기기까지 고장 나면 코인은 영영 사라집니다.

하드웨어 지갑

하드웨어 지갑은 키를 오프라인에서 생성·보관하고 거래 서명을 기기 내부에서 처리하는 작은 장치입니다. 그래서 컴퓨터에 악성 코드가 있어도 키를 복사할 수 없습니다. 결제는 한 건씩 기기 자체 화면에서 확인하며, 제조사 트레저(Trezor)는 이 화면을 "the source of truth(진실의 원천)"라고 부릅니다. 기기는 제조사나 공식 판매처에서 새 제품으로 사십시오. 모르는 사람의 손을 거친 기기는 조작되었을 수 있습니다.

멀티시그와 MPC

멀티시그 지갑은 송금을 승인하는 데 여러 개의 키가 필요하며, 이를 'm-of-n'으로 표기합니다. 예를 들어 2-of-3 지갑은 세 개의 키 중 두 개가 서명해야만 코인을 옮깁니다. 키를 서로 다른 곳에 보관하면 하나를 잃어도 버틸 수 있습니다.

MPC(다자간 계산)는 비슷한 목표를 다른 방식으로 이룹니다. 키를 여러 조각으로 나누어 서로 다른 기기나 당사자가 나눠 갖고, 정해진 수의 조각이 함께 서명하되 어느 한쪽도 키 전체를 갖지 않도록 설계합니다. 일부 수탁 기관과 지갑 앱이 이 방식을 쓰는데, 조각을 누가 갖느냐에 따라 진정한 셀프 커스터디인지가 갈립니다. 두 방식 모두 안전성과 함께 복잡성도 높이므로, 자신과 가족을 위해 복구 방법을 적어 두십시오.

어느 쪽이든 도움이 되는 습관

많은 손실은 교묘한 해킹이 아니라 도난당한 로그인 정보, 바꿔치기된 주소, 말솜씨 좋은 낯선 사람에게서 비롯됩니다. 다음 습관은 어떤 지갑을 쓰든 여러분을 지켜 줍니다. 수법 자체는 암호화폐 사기와 피싱 가이드에서 자세히 다룹니다.

안전하게 로그인하기

2단계 인증에는 SMS가 아니라 인증 앱, 가능하다면 패스키나 보안 키를 쓰십시오. 미국 사이버보안 기관 CISA는 문자 메시지가 암호화되지 않고 전화번호가 심 스와핑(SIM swapping)으로 탈취될 수 있다는 이유로 SMS 인증 코드를 쓰지 말라고 권고합니다. 인증 앱이 작동하면 SMS 인증은 꺼 두십시오. 앱 코드 역시 피싱으로 빼앗길 수 있으니, 직접 연 사이트에만 입력하십시오.

계정마다 서로 다른 긴 비밀번호를 쓰되, CISA 권고대로 16자 이상으로 하고 비밀번호 관리자에 맡기십시오. 한 사이트에서 유출된 비밀번호는 공격자가 다른 사이트에서 가장 먼저 시도해 보는 것입니다.

가끔 로그인된 기기 목록을 확인하고, 모르는 기기는 로그아웃시킨 뒤 비밀번호를 바꾸십시오. 셀프 커스터디 지갑이라면 연결된 사이트를 점검하고 더 이상 쓰지 않는 토큰 사용 승인을 취소하는 것이 이에 해당합니다.

안전하게 송금하기

출금할 때마다 코인, 네트워크, 주소 세 가지를 확인하십시오. USDT나 USDC처럼 같은 코인이 여러 네트워크에 존재할 수 있으며, 받는 쪽이 지원하지 않는 네트워크로 보내면 자금이 끝내 도착하지 않을 수 있습니다. 사기범은 비슷하게 생긴 주소를 만들어 내므로, 앞뒤 몇 글자만 보지 말고 주소 전체를 대조하십시오.

주소록을 쓰면 한 번의 꼼꼼한 확인이 계속 효과를 냅니다. 저장되지 않은 주소로의 출금을 막아 주는 서비스도 있고, 새 주소를 등록할 때 대기 기간을 두기도 합니다. 누군가 계정에 침입하더라도 대응할 시간을 벌 수 있습니다.