개인 지갑 보안 위기: 2025년 158,000건의 개인 암호화폐 도난 사건이 새로운 접근 방식을 요구하는 이유
2025년 개인 지갑 보안 침해 사고는 158,000건으로 급증하여 80,000명의 개별 피해자가 발생했으며, 개인 지갑에서만 7억 1,300만 달러가 도난당했습니다. 이는 거래소 해킹이나 프로토콜 취약점 공격이 아닙니다. 단순한 피싱 이메일을 훨씬 뛰어넘는 수준으로 진화한 공격자들에게 일상적인 암호화폐 사용자들이 저축한 자산을 잃고 있는 것입니다. 개인 지갑 보안 침해는 현재 전체 암호화폐 도난 가치의 37%를 차지하며, 이는 2022년의 7.3%에서 크게 증가한 수치입니다. 메시지는 분명합니다. 암호화폐를 보유하고 있다면 당신은 공격 대상이며, 과거의 보호 전략은 더 이상 충분하지 않습니다.
2025년 개인 도난 현황: 규모와 정교함
수치는 냉혹한 현실을 보여줍니다. Chainalysis에 따르면 2025년 전체 암호화폐 도난액은 34억 달러에 달했지만, 공격의 분포가 개인 사용자 쪽으로 급격히 이동했습니다. 지갑 보안 침해는 상반기 손실액의 약 69%인 약 17억 1,000만 달러(34건의 지갑 관련 사건)를 차지했습니다. 대부분의 사례는 악성 코드나 사회 공학적 기법에 따른 개인 키 도난, 시드 구문 노출 또는 보안이 침해된 서명 기기와 관련이 있습니다.
사회 공학적 기법(Social engineering)은 2025년 취약점 공격 관련 탈취 가치의 55.3%(13억 9,000만 달러)를 차지하며 주요 공격 벡터로 부상했습니다. 공격자들은 암호화를 깨거나 제로데이 취약점을 찾는 대신 인간의 심리를 조작하고 있습니다. 저항이 가장 적은 경로는 암호화 기술이 아니라 키를 보유한 사람을 통하는 것입니다.
공격의 정교함은 비약적으로 발전했습니다. 2026년으로 접어들면서 위협 행위자들은 지갑 키, 클라우드 자격 증명 및 서명 토큰을 얻기 위해 AI 생성 딥페이크, 맞춤형 피싱, 가짜 개발자 채용 테스트를 활용하고 있습니다. 2025년 3월, 최소 3명의 암호화폐 창립자가 가짜 Zoom 통화에서 딥페이크를 사용하는 북한 해커로 추정되는 세력의 시도를 저지했다고 보고했습니다. 오타가 가득한 사기 이메일의 시대는 끝났습니다. 이제 공격자들은 실제 연락처와 거의 구별할 수 없는 접근 방식을 위해 AI를 동원합니다.
월렛 드레이너(Wallet drainer) 스캠으로 인한 손실액이 8,385만 달러로 2024년의 4억 9,400만 달러보다 83% 감소했다는 사실도 안심할 일은 아닙니다. 이러한 감소는 브라우저 보호 기 능 향상과 기본 피싱에 대한 사용자 인식 개선을 반영하지만, 공격자들은 단순히 더 높은 수준의 정교함으로 이동했을 뿐입니다. 2025년 단일 사건 중 가장 큰 월렛 드레이너 공격은 9월에 발생했으며, 대부분의 사용자가 완전히 이해하지 못하는 거래 유형인 '퍼밋(Permit) 서명'을 통해 650만 달러를 탈취했습니다.
현대 지갑 공격의 해부
공격자가 어떻게 작동하는지 이해하는 것이 보호의 첫 걸음입니다. 2025년의 공격 벡터는 여러 범주로 나뉘며, 각 범주는 서로 다른 방어 전략을 필요로 합니다.
피싱 및 월렛 드레이너는 여전히 대부분 공격의 진입점이며, 132건의 피싱 사건을 통해 약 4억 1,070만 달러의 손실이 발생했습니다. 공격자들은 합법적인 거래소, 지갑 및 DeFi 인터페이스의 완벽한 복제본을 만듭니다. 피해자가 지갑을 연결하고 악성 거래를 승인하거나 토큰 권한을 부여하면 공격자는 자동으로 자금을 이동시킬 수 있습니다. 사용자가 무해한 승인처럼 보이는 것에 서명하게 만드는 '퍼밋 서명' 공격은 블록체인 거래를 발생시키지 않고도 설정될 수 있기 때문에 특히 위험해졌습니다.
사회 공학적 기법은 주요 무기로 진화했습니다. 사기꾼들은 거래소, 고객 지원팀, 인플루언서와 같은 신뢰할 수 있는 주체로 가장하여 무단 액세스 권한을 얻습니다. 공격자가 사기성 투자 체계를 도입하기 전에 몇 주 또는 몇 달 동안 친밀한 관계나 전문적인 관계 를 구축하는 '돼지 도살(Pig butchering)' 스캠은 전염병처럼 번지고 있습니다. FBI는 미국인들이 암호화폐 투자 사기로 65억 달러를 잃은 것으로 추정했으며, 돼지 도살 스캠의 전 세계적 손실은 2020년에서 2024년 사이에 750억 달러에 달했습니다.
공급망 및 소프트웨어 공격은 새롭게 떠오르는 위협 벡터입니다. 소프트웨어 라이브러리, 플러그인 및 개발 도구에 삽입된 악성 코드는 최종 애플리케이션의 상류(Upstream)에 백도어를 설치합니다. 권한이 높은 브라우저 확장 프로그램은 2025년에 선호되는 벡터가 되었습니다. 이러한 도구들은 일단 보안이 침해되면 사용자 기기를 시드 구문과 개인 키를 몰래 수집하는 지점으로 바꿉니다.
EIP-7702 취약점 공격은 이더리움의 Pectra 업그레이드 이후 등장하여 공격자가 단일 거래 서명 내에서 여러 악성 작업을 실행할 수 있게 했습니다. 이 방법을 사용한 가장 큰 사건은 2025년 8월에 발생했으며, 단 두 건의 사례에서 254만 달러의 손실을 입혔습니다. 새로운 프로토콜 기능은 사용자가 이해하지 못할 수 있는 새로운 공격 표면을 생성합니다.
하드웨어 지갑 보호: 기본 레이어
하드웨어 지갑은 여전히 상당한 암호화폐 보유 자산에 대해 가장 강력한 보호 수단이지만, 모든 하드웨어 지갑이 동일하게 제작된 것은 아니며 가장 우수한 하드웨어조차 특정 공격 벡터에는 취약할 수 있습니다.
Ledger는 물리적 공격과 디지털 공격 모두로부터 개인 키를 보호하는 보안 칩(CC EAL5+ 인증)을 사용합니다. 경쟁업체와 달리 Ledger는 BOLOS라는 독점 운영 체제에서 실행되어 회사가 소프트웨어를 완전히 제어할 수 있습니다. 이는 강력한 보안을 제공하지만, 사용자가 직접 코드를 검토할 수 없으므로 Ledger의 내부 보안 관행을 신뢰해야 한다는 점이 따릅니다.
Trezor는 100% 오픈 소스 소프트웨어와 개인 키를 오프라인으로 유지하는 에어갭(Air-gapped) 설계를 통해 투명성을 우선시합니다. Trezor Safe 3와 Safe 5에는 이제 보안 칩(EAL6+)이 포함되어 이전의 물리적 취약점 문제를 해결했습니다. Ledger의 보안 팀은 구형 Trezor 기기가 공격자의 손에 들어갈 경우 시드 구문을 복구할 수 있는 결함 주입(Fault injection) 공격에 취약하다는 것을 입증한 바 있으나, 최신 모델은 상당히 개선되었습니다.
2025년 2월에 발생한 15억 달러 규모의 Bybit 해킹 사건은 콜드 월렛 아키텍처조차 실패할 수 있음을 보여주었습니다. 공격자들은 Safe 멀티시그(Multisig) 콜드 월렛의 프런트엔드 UI 취약점을 이용해 서명자가 가짜 인터페이스에서 악성 콘텐츠를 승인하도록 속였습니다. 교훈은 분명합니다. 하드웨어 지갑은 개인 키를 보호하지만, 거래 승인 프로세스는 여전히 잠재적인 취약점으로 남아 있다는 것입니다.
하드웨어 지갑 사용자를 위한 모범 사례:
- 공급망 변조를 피하기 위해 반드시 제조업체에서 직접 구매하십시오.
- 처음 사용하기 전에 공식 도구를 사용하여 기기의 정품 여부를 확인하십시오.
- 공식 앱을 통해서만 펌웨어를 최신 상태로 유지하십시오.
- 하드웨어 지갑은 악성 코드가 없는 신뢰할 수 있는 기기에만 연결하십시오.
- 하이브리드 전략을 구현하십시오. 30~90일 분량의 거래 자금만 거래소에 보관하고, 나머지는 모두 콜드 스토리지에 보관하십시오.
시드 구문 보안: 종이 백업 그 이상
지갑을 복구하는 12개 또는 24개의 단어는 궁극적인 취약점을 나타냅니다. 시드 구문을 얻는 사람은 누구나 해킹 없이도 여러분의 암호화폐를 소유하게 됩니다. 그럼에도 불구하고 많은 사용자가 여전히 시드 구문을 비밀번호 관리자, 클라우드 저장소 또는 휴대폰의 사진으로 저장하고 있습니다.
강철 및 티타늄 플레이트는 물리적 시드 저장의 표준이 되었습니다. Cryptosteel Capsule Solo는 스테인리스 스틸 문자 타일을 사용하여 24개의 단어(첫 4글자로 약어화)를 저장하며, 최대 1400°C/2500°F의 온도를 견디고 방수 및 충격 방지 기능을 유지합니다. Cryptotag Zeus는 숫자 코드 스탬핑이 있는 6mm 두께의 항공우주 등급 티타늄을 사용하며, 1,650°C 이상의 온도를 견딜 수 있도록 설계되었습니다. 이러한 제품은 화재, 홍수 및 종이를 파괴할 수 있는 물리적 손상으로부터 백업을 안전하게 보호합니다.
샤미르 비밀 공유(Shamir's Secret Sharing)는 시드 구문 보호의 다음 단계입니다. 하나의 24개 단어 구문을 저장하는 대신, 샤미르 백업은 복구 시드를 여러 공유분(shares)으로 나눕니다. 예를 들어, 2-of-3 방식은 세 개의 고유한 공유분을 생성하며, 그중 두 개만 있으면 지갑을 복구할 수 있습니다. 하나의 공유분을 분실하거나 도난당하더라도 남은 공유분으로 지갑을 안전하게 유지하고 접근할 수 있습니다.
CoinDesk에 따르면, 2025년에 하드웨어 지갑 소유자의 약 12%가 샤미르 백업을 사용하여 전체 손실 위험을 80% 줄였습니다. Trezor Model T, Safe 3 및 Safe 5는 샤미르를 기본적으로 지원하며, Cypherock X1은 개인 키를 4개의 카드와 1개의 금고 장치에 저장된 5개의 구성 요소로 나눕니다.
시드 구문 보안 모범 사례:
- 시드를 클라우드 저장소, 메모 앱, 스크린샷 등 어떠한 디지털 형식으로도 저장하지 마세요.
- 내화/방수 소재(강철 플레이트 권장)에 구문을 작성하세요.
- 가정용 금고, 은행 금고, 신뢰할 수 있는 친척의 안전한 장소 등 여러 위치에 사본을 보관하세요.
- 샤미르 백업을 사용하는 경우, 공유분을 서로 다른 매체와 위치에 분산시키세요.
- 6개월마다 빈 지갑을 사용하여 복구 프로세스를 테스트하세요.
다중 서명 및 MPC: 단일 장애점 제거
상당한 자산을 보유한 경우, 단일 서명 지갑은 불필요한 위험을 초래합니다. 다중 서명(multisig) 및 다자간 연산(MPC) 지갑은 분실하거나 도난당할 수 있는 단일 개인 키를 제거합니다.
다중 서명 지갑은 트랜잭션을 승인하기 위해 일반적으로 서로 다른 당사자 또는 장치가 보유한 여러 개의 독립적인 개인 키가 필요합니다. 각 키 보유자는 개별적으로 서명하며, 이러한 서명은 온체인에 기록됩니다. 이는 단일 키의 유출로 인해 자금이 탈취되는 것을 방지합니다. 그러나 다중 서명은 트랜잭션 크기, 수수료 및 복잡성을 증가시킵니다.
MPC 지갑은 2025년 지갑 보안의 진화를 나타냅니다. MPC는 여러 개의 완전한 개인 키 대신 권한을 여러 개의 암호화된 키 공유분으로 나누며, 전체 개인 키를 생성하거나 노출하지 않고도 트랜잭션을 승인하기 위해 협력합니다. 분산 키 생성 프로토콜은 여러 당사자 사이에 공유분을 생성하며, 트랜잭션 서명이 필요할 때 참여자의 임계값이 부분 서명을 생성하고 이를 수학적으로 결합하여 완전한 서명을 만듭니다.
MPC의 장점은 상당합니다. 어떤 당사자도 전체 키를 볼 수 없으며, 서명 프로세스가 완전히 오프체인에서 이루어지고, 최종 서명은 일반적인 단일 키 서명과 구별할 수 없습니다. 이로 인해 MPC는 기존의 다중 서명보다 비용 효율적이며 체인 간 호환성이 뛰어납니다.
주요 플랫폼들이 MPC 기능을 확장하고 있습니다. MetaMask Institutional은 수탁 기관 통합을 확대하고 있으며, Phantom은 MPC 기반 복구를 테스트할 예정이고, Coinbase Wallet은 WaaS SDK를 통해 MPC 지원 지갑을 계속 내장하고 있습니다. Bitcoin.com 지갑 및 Binance Web3 지갑과 같은 모바일 지갑은 이제 시드리스(seedless) 복구 및 임계값 보안을 제공합니다.
사회 공학 방어: 휴먼 방화벽
어떤 기술적 보안 조치도 스스로 액세스 권한을 넘겨주는 사용자를 보호할 수 없습니다. 2025년 손실의 55.3%가 사회 공학(social engineering)에 기인한다는 점은 기술이 아닌 인간의 판단 실패를 나타냅니다.
전문가들은 항상 "근본적인 회의론"을 가질 것을 권장합니다. 합법적인 회사, 서비스 또는 기회는 절대로 시드 구문이나 로그인 자격 증명을 요구하지 않습니다. 요구하는 순간, 당신은 사기꾼과 대화하고 있는 것입니다. 이는 당연해 보이지만, 돼지 도살(pig butchering) 사기는 피해자가 회의론이 무너질 때까지 몇 주 또는 몇 달 동안 세심하게 관리되기 때문에 성공합니다.
사회 공학 방어 전략:
- 출처와 상관없이 요청되지 않은 모든 메시지는 잠재적인 공격으로 간주하세요.
- 독립적인 채널을 통해 신원을 확인하세요. 메시지에 적힌 번호가 아닌 공식 번호로 전화하세요.
- 긴급성이나 비밀을 요구하는 "기회"를 특히 경계하세요.
- 지갑 작업 중에는 절대로 화면을 공유하지 마세요. 공격자가 시드 구문을 캡처할 수 있습니다.
- 타겟이 되지 않도록 암호화폐 보유 현황을 비공개로 유지하세요.
- 모든 곳에서 다요소 인증(MFA)을 활성화하고, SMS보다는 하드웨어 키를 선호하세요.
2026년에 등장하는 AI 강화 공격은 확인을 더욱 중요하게 만듭니다. 딥페이크 화상 통화는 동료나 경영진을 설득력 있게 사칭할 수 있습니다. 의심스러운 경우, 지갑 액세스와 관련된 조치를 취하기 전에 여러 독립적인 채널을 통해 확인하세요.
개인 보안 스택 구축하기
효과적인 암호화폐 보안에는 각 계층이 다른 계층의 잠재적 실패를 보완하는 계층화된 방어가 필요합니다 .
레이어 1 : 기기 보안
- 가능한 경우 고액 거래를 위해 전용 기기를 사용하십시오
- 운영 체제와 브라우저를 최신 상태로 유지하십시오
- 평판이 좋은 안티바이러스 및 안티멀웨어 보호 프로그램을 사용하십시오
- 브라우저 확장 프로그램 선택 시 매우 신중해야 합니다
- 암호화폐 활동을 위해 별도의 브라우저 프로필을 사용하는 것을 고려하십시오
레이어 2 : 지갑 아키텍처
- 장기 보유를 위한 하드웨어 지갑
- 상당한 금액을 위한 MPC 또는 멀티시그
- 제한된 자금으로 활발한 거래를 할 때만 핫 월렛 사용
- 핫 월렛에서 콜드 스토리지로의 정기적인 이체
레이어 3 : 백업 및 복구
- 스틸 / 티타늄 시드 구문 저장소
- 분산된 위험을 위한 샤미르 백업
- 여러 지리적 위치에 사본 보관
- 정기적인 복구 테스트
레이어 4 : 거래 위생
- 모든 주소를 한 글자씩 확인하십시오
- 가능한 경우 주소 화이트리스팅을 사용하십시오
- 소액의 테스트 거래부터 시작하십시오
- 서명하는 내용을 이해하십시오 — 혼란스럽다면 서명하지 마십시 오
레이어 5 : 운영 보안
- 보유 자산을 비공개로 유지하십시오
- 암호화폐 서비스에 고유한 이메일 주소를 사용하십시오
- 모든 곳에서 최대 수준의 인증을 활성화하십시오
- 연결된 앱 및 권한에 대한 정기적인 보안 감사를 실시하십시오
미래 전망 : 2026 년의 위협 환경
보안 군비 경쟁은 둔화될 기미가 보이지 않습니다 . 북한의 Lazarus Group 과 같은 국가 지원 행위자들은 2025 년에만 전년 대비 51 % 증가한 20억 2,000만 달러를 훔쳤습니다 . 이들의 역대 누적 총액은 현재 67억 5,000만 달러를 넘어섰습니다 . 북한은 종종 암호화폐 기업 내부에 IT 인력을 심거나 임원을 대상으로 한 정교한 사칭 전술을 사용하여 , 더 적은 사건으로도 더 큰 규모의 절도를 달성하고 있습니다 .
AI 는 공격과 방어 모두를 증폭시킬 것입니다 . 공격자들은 점점 더 설득력 있는 딥페이크와 개인화된 피싱을 배포할 것입니다 . 방어자들은 AI 를 사용하여 비정상적인 행동과 의심스러운 거래를 탐지할 것입니다 . 사회 공학적 기법이 인간의 심리를 이용하고 AI 가 이러한 공격을 더욱 설득력 있게 만들기 때문에 현재로서는 공격자가 유리합니다 .
2025 년에 발생한 158,000 건의 개별 지갑 유출은 엄중한 경고입니다 . 암호화폐 보안은 더 이상 선택 사항이 아니며 , 기본적인 예방 조치만으로는 더 이상 충분하지 않습니다 . 개인 지갑에 보관된 가치는 전문가 수준의 보안 관행을 요구합니다 . 하드웨어 지갑 , 샤미르 백업 , MPC 기술 , 그리고 요청되지 않은 모든 연락에 대한 끊임없는 회의론은 진지한 암호화폐 보유자를 위한 최소한의 실행 가능한 보안 스택을 형성합니다 .
자산을 보호하기 위한 기술은 존재합니다 . 문제는 당신이 내년의 통계 중 하나가 되기 전에 이를 실행에 옮길 것인지 여부입니다 .
BlockEden.xyz 는 차세대 Web3 애플리케이션을 구축하는 개발자를 위해 안전한 블록체인 인프라를 제공합니다 . 위협 환경이 진화함에 따라 보안 API 액세스와 신뢰할 수 있는 노드 서비스는 사용자 자산을 보호하는 애플리케이션의 토대가 됩니다 . API 마켓플레이스 탐색 을 통해 보안을 제 1 원칙으로 설계된 인프라 위에서 구축해 보십시오 .