디센트 워렛 해킹: “콜드 스토리지”가 어떻게 더 이상 ‘콜드’가 아닌지를 알려주는 교훈입니다.

9월 15일 오후 4시 29분과 6시 34분 사이의 어느 시점에,자동화된 스크립트가 1,552개의 모바일 월렛 주소 중 약 2백만 XRP를 소비했습니다. 그 금액은 약 2.5만 달러에서 2.8만 달러에 해당합니다.몇 시간 만에, 그 중 상당 부분이 교환소로 이동했습니다. 이는 XRP 네트워크에 대한 공격이 아니었으며, 대형 교환소를 해킹한 것도 아니었습니다. 이 공격은 Dcent에 영향을 미쳤습니다.국제 사이버 보안 회사 IoTrust에서 개발한 한국 기반의 지갑 앱입니다.그리고 이는 사용자들 중 특정 그룹에만 영향을 미칩니다. 만약 당신이 XRP를 소유하고 있다면, 혹은 그를 보유할지 고민하고 있다면, 물어볼 가치 있는 질문은 “XRP가 안전한가요?”가 아니라 “실제로 어떤 종류의 월렛을 통해 XRP를 보유하고 있는가?”입니다.

그 구분이 바로 전체 이야기입니다. Dcent의 공지사항은 같은 이름을 가진 두 가지 완전히 다른 제품 사이에 명확한 경계를 설정해 주었습니다.이 타협안은 “앱 지갑”에 영향을 미쳤습니다.이는 휴대폰에 설치된 소프트웨어 월렛으로, 키를 생성하거나 가져오는 기능을 제공하며, 그 키들을 인터넷과 연결해 둡니다. 하드웨어 월렛에는 아무런 영향도 주지 않습니다. 하드웨어 월렛은 개인 키를 오프라인 상태로 보관하는 물리적인 장치입니다. Dcent의 회계 결과에 따르면, 돈을 잃은 사람들은 애플리케이션 월렛을 사용했거나, 애플리케이션과 하드웨어 기기 모두에 동일한 복구 문자를 입력한 사람들이었습니다. 하드웨어 월렛을 사용했지만 그 기기에 있는 세임 프롬프트를 한 번도 애플리케이션에 입력하지 않은 사람들에 대해서는, 그들이 안전하다고 말해졌습니다.

마지막 조건이 바로 모든 것이 결정되는 부분입니다. 먼저 용어에 대해 간단히 설명해보겠습니다. 암호화폐에서 코인들은 실제로 월렛 안에 있지 않습니다. 그 코인들은 블록체인 위에 존재하며, 월렛은 그 코인들을 이동시킬 수 있는 개인키만을 보관하는 역할을 합니다. “핫” 월렛은 그 키를 인터넷에 연결된 장치에 저장하는 방식으로, 편리하지만 공개된 상태입니다. 반면 “콜드” 월렛은 인터넷과 접촉하지 않는 장치에 키를 저장하는 방식으로, 해커가 원격으로 접근할 수 없습니다. “자기 관리”라는 개념 자체도 바로 이 격차에 기반을 두고 있습니다. “당신의 키가 아니면, 당신의 코인도 아닙니다”라는 슬로건도 바로 이 점에 기반을 두고 있습니다.

Dcent의 사례에서 알 수 있듯이, ‘공기 중에 존재하는 공간’이라는 개념은 단 하나의 규칙에 의해 결정됩니다. 즉, 개인 키를 생성하는 데 사용되는 마스터 키는 반드시 한 곳에만 존재해야 합니다. 만약 하드웨어 월렛의 마스터 키를 휴대폰 앱에 입력한다면, 당신의 코인이 더 안전한 곳으로 이동된 것이 아닙니다. 오히려 마스터 키가 인터넷에 연결된 기기로 복사된 것입니다. 이제 두 월렛은 같은 키를 공유하게 되므로, 앱이 해킹당하면 하드웨어도 함께 해킹당하게 됩니다. Dcent는 사용자들에게 이 점을 명확히 했습니다. 즉, 같은 메모리니크가 앱과 기기에 모두 사용된다면…하드웨어 월렛은 위험과 분리된 상태가 아니었습니다..

이와 같은 실패는 이전에도 일어났으며, 이건 단순한 사례가 아니라 일반적인 현상이라는 점을 알아두는 것이 중요합니다. 지난 10월에도 그런 일이 있었습니다.노스캐롤라이나의 은퇴자는 코인데스크에 약 300만 달러 상당의 XRP가 있다고 말했습니다.그의 퇴직 저축금의 거의 모든 금액이, 그가 ‘차가운 지갑’이라고 생각했던 곳에서 사라졌습니다. 지갑 제조업체의 설명에 따르면, 그는 그 기기의 시드 문구를 모바일 앱에 입력함으로써 차가운 지갑을 뜨거운 지갑으로 변환시켰다는 것입니다. 결론적으로, 하드웨어 지갑이 사기라는 것이 아니라, 시드 문구를 잘못된 장소에 사용하면 그 보호 기능이 사라진다는 것입니다.

Dcent 사건에도 법정 분쟁과 관련된 세부 정보가 있어서, XRP 자체가 책임을 지지 않는다는 것을 알 수 있습니다. 1,552개의 월렛이 사용된 사례를 분석한 결과, 공격자가 월렛의 잔액보다 월렛의 사용 기간을 더 중요하게 여긴 것으로 나타났습니다. 이는 공격자가 미리 준비된 키 목록을 따라 행동했으며, 네트워크를 스캔하여 값비싼 표적을 찾는 것이 아니라 그렇게 했음을 의미합니다. 그리고 가장 중요한 증거는…2024년 3월 이후로는 어떠한 피해자 계정도 생성되지 않았습니다.다시 말해, 이는 앱의 주요 처리 방식과 관련된 특정 시대의 문제처럼 보입니다. 이는 나중에 업데이트된 버전에서 고정된 문제이며, 여전히 새로운 월렛을 손실시키는 문제는 아닙니다. Dcent의 지침도 마찬가지입니다.이 기능은 v8.1.0 이전 버전의 앱에만 표시됩니다.그래도, 키가 누락된 정확한 경로는 아직 확인되지 않았으며, 수사가 계속되고 있습니다. 이러한 불확실성도 중요합니다. 즉, 투자자들은 “과거 계정들이 표적이었다”는 내용을 그냥 문제가 없는 것으로 받아들여서는 안 됩니다.

이 모든 것들은 XRP 자체에는 아무런 영향을 미치지 않았습니다. 초보자에게는 이는 가장 안정적인 상황입니다. 가격은 그날에 상승했으며, 지난 두 달 동안 약 4분의 1 정도 상승했습니다. 52주간의 범위는 약 $0.99에서 $3.18 사이입니다. 따라서 이 토큰의 가격은 최고치에서는 멀리 떨어져 있지만, 최저치보다는 높은 편입니다. 블록체인은 손상되지 않았으며, 공격은 특정 제공업체에 집중된 것이었습니다. 시장 가격도 그 사실을 반영하고 있습니다. 큰 도난 소식이 보도되고도 토큰 가격이 변동하지 않는다면, 그건 분명히 한 월렛 회사와 관련된 문제일 뿐, 네트워크와는 관련이 없는 것입니다.

그렇다면, 미래에 XRP를 보유할 사람이나 현재 XRP를 보유하고 있는 사람은 이 상황에서 무엇을 얻어야 할까요? 코인을 팔아야 하는 이유는 아닙니다. 중요한 것은 자신의 돈이 어디에 있는지 솔직하게 알고 있는 것입니다. 만약 “거래소 계정”이라고 답한다면, 위험은 거래소와 그 계정의 관리 방식에 있으며, 당신의 비밀번호와는 관련이 없습니다. 이는 다른 문제이며, 이미 알려진 문제입니다. 만약 “하드웨어 워렛”이라고 답한다면, 보호 기능은 비밀번호가 아무것에도 입력되거나 복사, 사진으로 저장되지 않는 한만이 작동합니다. 확신할 수 없다면, 가장 저렴한 해결책은 바로…Dcent 자체적으로 권장하는 방법은: 비용을 새로 만들어진 시드 문구를 기반으로 하는 월렛으로 옮기는 것입니다.그 씨앗을 반드시 단 하나의 오프라인 위치에 보관해야 합니다.

제 생각에 그게 바로 지속 가능한 교훈입니다. 그리고 그 교훈은 단순한 금융 상품보다 더 중요합니다. 암호화폐 산업은 수년 동안 ‘자신이 키를 관리하는 것’을 거래소가 파산할 때의 대안으로 홍보해왔습니다. “당신의 키는 당신의 것이고, 코인도 당신의 것입니다.” 하지만 이러한 사례들은 결국, 키 관리 자체가 위험 요소이며, 그 자체로도 실패할 가능성이 있다는 것을 보여줍니다. 은행이 문제가 생겼을 때 보상해주지도 않습니다. 자신의 코인을 직접 관리하는 것이, 다른 사람의 계정에 의존하는 것보다 안전합니다. 물론, 어떤 워렛을 사용하는지, 그 키가 어디에 있는지 알고 있다면 말이죠. 그건 공황 상태에 빠질 이유도, 과도하게 고민할 이유도 아닙니다. 그저 몇 분간의 준비와 규율만 있으면, 평범한 투자자가 진정한 손실을 입는 상황에서 벗어날 수 있습니다.