콜드 스토리지 vs. 핫 월렛: 안정적인 멀티시그 볼트 구축 방법

가장 강력한 다중 서명 볼트는 일반적으로 가장 많은 장치를 보유하거나 가장 높은 임계값을 가진 볼트가 아닙니다. 복구를 너무 복잡하게 만들어 실수로 접근을 차단하는 일이 없도록 하면서도 단일 장애 지점을 제거하는 볼트입니다.

숙련된 사용자에게는 신중하게 문서화된 2-of-3 설정이 실용적인 출발점이 될 수 있습니다. 즉, 서로 다른 위치에 보관된 두 명의 독립적인 하드웨어 지갑 서명자와 복구 또는 운영 유연성을 위한 세 번째 독립 서명자를 확보하는 것입니다. 여러 명의 담당자가 있는 기업 재무 부서의 경우 3-of-5 설정이 더 적합할 수 있습니다. 핫월렛은 일상적인 운영에 중요한 역할을 할 수 있지만, 콜드 스토리지와 혼동해서는 안 되며, 공격자와 장기 자금 사이의 유일한 방어벽이 되어서도 안 됩니다.

이 글에서는 이미 확립된 사항과 사용자의 상황에 따라 달라지는 사항을 구분합니다. 특정 지갑 브랜드나 기준이 보편적으로 가장 안전하다고 주장하기보다는 아키텍처와 운영 원칙에 초점을 맞춥니다.

콜드 스토리지와 핫 월렛은 서로 다른 문제를 해결합니다.

검증됨: 핫월렛은 인터넷에 연결된 휴대폰, 브라우저 확장 프로그램, 데스크톱 앱 또는 유사한 환경에서 서명 기능을 유지합니다. 이는 편리하지만 서명자를 더 넓은 공격 표면에 노출시키기도 합니다. 콜드 스토리지는 일반적으로 하드웨어 서명 장치 또는 다른 오프라인 프로세스를 사용하여 개인 키 서명 자료를 일반적인 온라인 시스템과 격리하는 것을 목표로 합니다.

"멀티 서명"이 곧 "콜드 스토리지"를 의미하는 것은 아니기 때문에 이러한 구분은 중요합니다. 세 개의 키가 모두 온라인 노트북에 저장되는 2-of-3 지갑이라도 온라인 보안 취약점에 노출될 수 있습니다. 멀티 서명은 하나의 키에 대한 의존도를 줄여주고, 콜드 스토리지는 개별 키의 노출 위험을 줄여줍니다. 이 두 가지는 상호 보완적인 보안 방식입니다.

조치: 각 서명자를 개인 키 보관 위치와 서명 방식에 따라 분류하십시오. 서명자를 거의 사용하지 않는다는 이유만으로 "콜드 서명자"라고 표시하지 마십시오.

오해: 멀티시그(다중 서명)는 항상 지갑을 더 안전하게 만든다

검증됨: 다중 서명을 통해 단일 개인 키만을 유일한 인증 수단으로 사용하는 것을 방지할 수 있습니다. 비트코인은 n-of-m 다중 서명 조건을 지원하며, EVM 네트워크의 Safe Smart Account는 소유자가 확인 임계값을 설정할 수 있도록 합니다. Safe의 공식 문서에 따르면 이 임계값은 거래 실행 전에 거래를 확인하는 데 필요한 최소 소유자 수를 의미합니다. Safe Smart Account 개념을 참조하십시오 .

또한 확인된 바에 따르면, 추가 키는 추가적인 운영 요구 사항을 발생시킵니다. Trezor의 멀티시그 문서에서는 사용자가 설정을 복구하고 사용하기 위해 필요한 공개 지갑 정보를 보유해야 하며, 중요한 구성 데이터를 분실할 경우 서명 장치가 충분히 남아 있더라도 자금에 접근할 수 없게 될 수 있다고 경고합니다. Trezor의 멀티시그 지침을 참조하십시오 .

어떤 정책이 적절한지는 상황에 따라 다릅니다. 3명 중 2명, 5명 중 3명 또는 다른 정책이 적합할 수 있습니다. Safe 고객 지원 센터에서는 모든 사용 사례에 가장 적합한 서명자 수나 임계값은 하나로 정해져 있지 않으며, 일반적으로 1명보다 많고 전체 서명자 수보다 적은 임계값을 권장한다고 명시적으로 밝히고 있습니다. Safe 설정 안내(2026년 4월 23일 최종 업데이트)를 참조하십시오 .

실천 방안: 당신이 진정으로 중요하게 생각하는 실패에도 살아남는 가장 작은 구조를 선택하십시오. 복잡성은 그 가치를 입증해야 합니다.

실용적인 금고 구조

가장 중요한 설계 원칙은 분리입니다. 두 장치가 같은 금고에 보관되거나, 같은 서랍에 백업되거나, 동일한 손상된 컴퓨터에서 초기화되거나, 동일한 암호 관리자 계정으로 관리되는 경우, 단 한 번의 사고로 설계가 실패할 수 있습니다.

실행 방안: 기기 고장, 화재, 도난, 악성코드 감염, 강압, 클라우드 계정 탈취, 신뢰하는 사람 한 명의 사망 등 실패 가능성을 종이에 적어보세요. 어떤 단일 사건도 서명 임계값을 초과하는 동시에 복구 경로를 파괴할 수 없는지 확인하세요.

서명자 중 한 명이 고가 지갑 소지자여야 할까요?

조건에 따라 다릅니다. 임계값이 여전히 독립적인 콜드 서명자를 요구하는 경우, 핫 서명자는 편의 키로 허용될 수 있습니다. 예를 들어, 2-of-3 설계에서 전화 서명자와 두 개의 하드웨어 서명자를 사용하면 각 지출 건마다 하드웨어 장치가 필요하면서도 일상적인 서명을 더 쉽게 할 수 있습니다.

하지만 이는 완전한 콜드 2-of-3 볼트와 동일한 보안 수준은 아닙니다. 해킹당한 휴대전화는 이미 공격자에게 필요한 두 가지 승인 중 하나를 제공한 셈입니다. 따라서 나머지 보안 여유는 단 한 명의 콜드 서명자에 집중됩니다.

장기적인 자산 보존을 위해 많은 사용자는 모든 금고 서명자를 전용 하드웨어에 보관하고 소액 지출 잔액은 완전히 별도의 핫월렛에 보관하는 것을 선호할 것입니다. 이렇게 하면 핫월렛은 편의성을, 금고는 자산 보존을 담당하는 명확한 경계가 만들어집니다.

조치: 보안에 취약한 서명자를 포함하는 경우, 해당 서명자를 이미 손상된 것으로 모델링하십시오. 나머지 보안 조치가 여전히 충분히 강력한지 검토하십시오.

핵심 분리는 브랜드 다양성 그 자체보다 더 중요합니다.

여러 하드웨어 지갑 브랜드를 사용하면 특정 구현 방식에 대한 의존도를 줄일 수 있지만, 브랜드 다양성이 만능 해결책은 아닙니다. 모든 시드, 장치 및 백업이 한 곳에 보관되어 있더라도 동일한 도난이나 화재로 인해 시스템이 무력화될 수 있습니다. 반대로, 완전히 분리된 장애 영역에 있는 세 개의 동일한 장치가 한 곳에 보관된 "다양한" 구성보다 복원력이 더 뛰어날 수 있습니다.

Ledger의 멀티시그 관련 교육 지침에서도 마찬가지로 키를 지리적으로 분산하고 하드웨어 장치를 사용하여 서명하는 것을 강조합니다. Ledger의 멀티시그 모범 사례 개요를 참조하십시오 .

조치: 다양성 확보만을 위해 추가 브랜드를 구매하기 전에 독립적인 위치, 독립적인 백업 및 독립적인 접근 제어를 우선시하십시오.

핵심 단어보다 더 많은 것을 뒷받침하세요

이는 다중 서명 저장소에서 가장 위험한 오해 중 하나입니다. 단일 서명 지갑은 시드 구문과 파생 과정에 대한 추측을 통해 재구성할 수 있는 경우가 많습니다. 반면 다중 서명 지갑은 서명자들이 어떻게 연결되는지를 소프트웨어에 알려주는 지갑 정책과 공개 키 메타데이터에 의존합니다.

비트코인 디스크립터 기반 워크플로우의 경우, 비트코인 ​​코어는 지갑 디스크립터를 노출하고 이를 디스크립터 지갑에서 사용하는 스크립트 정보로 문서화합니다. 현재 문서에는 비트코인 ​​코어 30.0의 listdescriptors RPC가 포함되어 있습니다 . 이전 multisig RPC 문서에서도 멀티시그 주소는 필수 서명 수와 참여 키를 더하여 정의된다는 것을 보여줍니다. 비트코인 ​​코어의 addmultisigaddress 문서를 참조하십시오 .

조치: 지갑 정책, 서명자 지문 또는 이와 동등한 식별자, 파생 경로, 설명자 또는 계정 구성, 네트워크, 사용된 지갑 소프트웨어 및 명확한 복구 지침을 보존하십시오. 모든 개인 비밀 정보를 한곳에 모아두지 않고 권한 있는 사용자만 복구 메타데이터를 이용할 수 있도록 유지하십시오.

신뢰할 수 있는 표시 장치를 통해 주소 및 거래 세부 정보를 확인하십시오.

모든 서명자가 악성 거래를 맹목적으로 승인한다면 멀티시그는 아무런 도움이 되지 않습니다. 사람의 개입은 여전히 ​​중요합니다. 손상된 코디네이터 컴퓨터는 잘못된 목적지, 악성 계약 호출 또는 예상치 못한 금액을 제시할 수 있습니다. 하드웨어 서명기는 컴퓨터 화면만을 신뢰하는 대신 기기 자체에서 중요한 세부 정보를 확인할 때 가장 유용합니다.

스마트 계약 계정의 경우 위험 모델은 "키는 어디에 있습니까?"라는 질문보다 훨씬 포괄적입니다. Safe는 동작을 확장할 수 있는 모듈과 보호 장치를 문서화하지만, 이러한 모듈과 보호 장치가 보안에 매우 중요하다는 점도 경고합니다. 보호 장치가 제대로 작동하지 않으면 거래 실행이 차단될 수도 있습니다. Safe의 setGuard 보안 경고를 참조하십시오 .

조치: 서명하기 전에 목적지, 금액, 네트워크, 수수료를 확인하고, 계약과 관련된 경우에는 승인되는 실제 작업을 확인하십시오. 새로운 모듈, 보호 조치, 허용량 또는 정책 변경은 고위험 거래로 취급하십시오.

정말 만장일치가 필요한 경우가 아니라면, 서명자 수를 모두 동일하게 설정하지 마십시오.

3-of-3 지갑은 모든 거래에 모든 키가 필요하기 때문에 2-of-3 지갑보다 더 강력해 보입니다. 하지만 키 하나를 영구적으로 분실할 경우 자금이 동결될 수 있다는 의미이기도 합니다. 많은 사용자에게 이는 복원력 측면에서 아쉬운 부분입니다.

Safe의 공식 설정 지침에서는 서명자 총 수보다 낮은 임계값을 고려하여 서명자 한 명에게 접근 권한이 없다고 해서 계정이 자동으로 잠기지 않도록 권장합니다. 이는 보편적인 규칙은 아니며, 일부 거버넌스 상황에서는 만장일치가 의도적으로 요구되기도 하지만, 개인 자산 보관 및 많은 운영 자금 관리에는 유용한 기본 설정입니다.

조치: 무단 지출과 영구적인 접근 권한 상실 중 어느 위험이 더 큰지 판단하십시오. 해당 질문에 대한 답을 찾은 후에 임계값을 설정하십시오.

복구 훈련은 금고 관리의 일부입니다.

검증된 원칙: 테스트되지 않은 백업은 단지 추측일 뿐입니다. 가장 견고한 설계는 서명자, 구성 기록 및 복구 지침이 여전히 작동하는지 확인하는 안전한 방법을 포함합니다.

복구 훈련은 전체 잔액을 옮길 필요는 없습니다. 새 지갑 소프트웨어가 의도된 정책을 인식하는지, 각 서명자가 서명할 수 있는지, 수신 주소가 개별적으로 일치하는지, 담당자가 필요한 정보의 위치를 ​​알고 있는지 등을 확인할 수 있습니다. 기업의 경우, 직원이 퇴사하거나, 서명자를 찾을 수 없거나, 기기 모델이 단종되거나, 키가 유출된 것으로 의심되는 경우에 발생하는 상황을 문서화해야 합니다.

조치: 정기적인 복구 검토 일정을 예약하고 주요 지갑, 펌웨어, 서명자 또는 담당자 변경 후 소규모의 통제된 테스트 거래를 수행하십시오.

일상적으로 사용하는 지갑은 금고 밖에 보관하세요.

최고의 콜드 스토리지 설계는 모든 거래에 복잡한 금고 절차가 필요한 것은 아니라는 점을 인정함으로써 사용성을 향상시키는 경우가 많습니다. 소액의 핫 월렛 잔액으로 일상적인 결제, 탈중앙화 애플리케이션 또는 거래소 예치금을 처리할 수 있으며, 다중 서명 금고는 의도적으로 불편하게 유지됩니다.

이러한 분리는 공격 범위를 제한합니다. 핫월렛이 피싱이나 해킹 공격을 당하더라도 공격자는 전체 자금이 아닌 운영 자금을 탈취하게 됩니다. 따라서 핫월렛 자체를 자주 사용하는 브라우저 지갑으로 사용하는 대신, 미리 정해진 금액이나 일정에 따라 볼트에서 자금을 충전하세요.

조치: 장기 투자 자산에 피해를 주지 않고 감당할 수 있는 손실액을 기준으로 핫월렛 최대 잔액을 설정하십시오.

탄력적인 다중 서명 보관소 구축을 위한 간결한 청사진

• 하나의 열쇠로 금고의 모든 자금을 소진할 수 없도록 임계값을 1보다 크게 설정하십시오.
• 만장일치가 의도적인 요구 사항이 아닌 한, 서명자 총수보다 낮은 서명 기준을 유지하십시오.
• 서명자와 백업 담당자를 단순히 다른 서랍에 보관하는 것이 아니라, 실제 장애 발생 영역에 걸쳐 분리해야 합니다.
• 장기 보관용 키에는 전용 하드웨어 서명기를 사용하는 것이 좋습니다.
• 서명자가 서명 권한을 보유하지 않은 경우, 독립적인 서명자 없이는 지출을 승인할 수 없도록 해야 합니다.
• 지갑 구성 및 공개 메타데이터는 물론 개인 복구 자료도 백업하십시오.
• 가능한 한 신뢰할 수 있는 서명자 표시 화면에서 거래 세부 정보를 확인하십시오.
• 일상적인 지출 자금은 금고 밖에 보관하세요.
• 긴급 상황 발생 전에 복구 및 서명자 교체 테스트를 실시하여 압박 속에서 학습해야 하는 상황을 미리 파악하십시오.

보편적으로 결정될 수 없는 것은 무엇인가

위협 모델, 자산 관리 계획, 기술력, 관할권, 그리고 자금 회수 권한이 ​​필요한 주체 등을 알지 못하면 어떤 정보원도 "완벽한" 임계값, 서명자 수, 저장 위치 또는 지갑 유형을 알려줄 수 없습니다. 은퇴 자금을 보호하는 개인 보유자의 요구 사항은 5인 규모의 재무 부서와는 다르며, 조직에 따라 지갑 소프트웨어 이상의 강력한 내부 통제 시스템이 필요할 수 있습니다.

따라서 유용한 목표는 최대의 복잡성이 아닙니다. 어떤 기기, 사람, 계정 또는 물리적 위치도 해킹당하더라도 금고에 접근 권한을 부여하는 동시에 복구 옵션을 삭제할 수 없도록 설계하는 것입니다.

최종 단계: 설계도를 작성하고, 소액으로 테스트하고, 복구 훈련을 실시한 후에야 상당한 금액을 금고로 옮기십시오.