대문 보안 수업 04｜Gate & CertiK: 기관은 어떻게 수백억 자산의 안전을 보장하는가?

암호화폐 세계에서 자신의 자산을 보호하는 데는 아마도 하나의 니모닉만 잘 관리하면 될 것입니다. 하지만 만약 당신이 한 기관의 수백억 자산을 관리하고 있다면 상황은 훨씬 복잡해집니다.

자산은 어디에 보관해야 할까요? 거래는 어떤 사람들의 확인을 거쳐야 할까요? 누가 다중 서명 권한을 가지고 자산을 운용할 수 있을까요? 특정环节이 공격자에게 악용되었을 때, 제때에 발견하고 손실을 막을 수 있을까요? 이러한 문제들이야말로 기관 암호화폐 자산 보안이 진정으로 직면해야 하는 시험입니다.

이번 《대문 보안 수업》에서는 CertiK와 Gate 보안 팀을 초청하여, 시각을 개인 지갑에서 기관 자산 관리로 전환하고, 보안 감사 기관과 거래 플랫폼 두 가지 관점에서 한 기관이 어떻게 정상적인 업무 운영을 보장하면서 자산 리스크를 관리 가능한 범위 내로 통제할 수 있는지 이야기해 보겠습니다.

게스트 소개

CertiK: CertiK는 세계 최대 규모의 Web3 보안 회사로, 전 세계 규제 기관, 금융 기관 및 Web3 혁신 기업들의 신뢰를 받고 있습니다. 2017년 설립 이후 CertiK는 150개 이상의 국가와 지역에 서비스를 제공했으며, 11만 9천 개 이상의 코드 취약점을 발견하여 6,000억 달러 이상의 디지털 자산을 손실로부터 보호했습니다.

Gate 보안 팀: Gate 보안 부서는 플랫폼 계정, 거래 및 자산 보안 체계 구축을 담당하며, 오랫동안 기관 고객에게 권한 관리, API 접속 및 자산 보관 관련 지원을 제공해 왔습니다.

Gate는 2013년 설립되어 업계 최초로 100% 준비금을 약속한 주요 거래 플랫폼이며, 현재 전 세계 6,100만 명 이상의 사용자에게 서비스를 제공하고 있습니다. 우리는 《대문 보안 수업》 시리즈를 통해 사용자들이 직면할 수 있는 이러한 실제 리스크 이면의 공통 메커니즘을 명확히 설명하고자 합니다.

Q1. 기관의 지갑 관리와 개인의 지갑 관리, 가장 큰 차이점은 무엇인가요? 기관의 보안 문제는 보통 어디서 발생하나요? 일반 사용자와 비교하여 기관이 직면하는 리스크는 무엇이 다른가요?

CertiK: 가장 본질적인 차이는 자산 통제권의 조직 방식입니다. 개인 지갑은 주로 개인이 어떻게 키를 보관하고, 리스크를 식별하며, 거래를 확인하는지를 중심으로 합니다. 반면 기관은 여러 직무, 시스템 및 외부 서비스 제공업체가 명확한 권한 부여에 따라 공동으로 자산을 관리하도록 해야 하며, 자산 보관, 업무 연속성 및 규정 준수에 대한 책임을 집니다. 자금 규모는 결과를 확대시키고, 조직과 시스템 간의 의존 관계는 오류 발생 경로를 증가시킵니다.

개인 사용자가 흔히 겪는 리스크에는 니모닉 유출, 피싱 및 악성 승인이 있습니다. 기관도 이러한 위협에 직면하지만, 추가적으로 권한 과도 집중, 승인과 실제 거래의 괴리, 단말기 또는 제3자 소프트웨어 침해, 그리고 인적 공모 및 운영 실수 등을 중점적으로 방어해야 합니다. 기관 사고를 분석할 때는 "개인 키 유출"이라는 결과에만 머물러서는 안 되며, 공격자가 어떻게 키에 접근했는지, 또는 키를 확보하지 않은 상태에서 어떻게 시스템을 유도하여 서명을 완료하게 했는지를 추적해야 합니다.

2025년에 한 가지 전형적인 사건이 발생했습니다. 공격자가 Safe 지갑 프런트엔드를 변조하여 서명자가 정상적인 이체 정보를 보았지만 실제로는 지갑 구현 계약을 교체하는 악성 거래에 서명하게 했습니다. 여러 서명자가 유효한 서명을 완료했음에도 자산은 여전히 이체되었습니다. 이는 "얼마나 많은 사람이 서명했는가"뿐만 아니라, 그들이 본 것, 승인한 것, 최종적으로 서명한 것이 정말 동일한 거래인지도 확인해야 함을 보여줍니다.

따라서 기관 보안을 평가할 때는 "누가 지시를 제시하는가, 누가 내용을 확인하는가, 누가 서명할 수 있는가, 누가 규칙을 변경할 수 있는가"를 따라 단계별로 점검하여 이러한 통제가 실제로 상호 견제가 되는지 판단해야 합니다.

Gate 보안 팀:

개인 지갑의 보안 모델은 통제하기가 더 쉽습니다. 조치들은 주로 니모닉이 유출되지 않도록 하는 데 초점을 맞춥니다.

하지만 기관의 보안 보장은 더 복잡하며, 다중 서명, 다인 권한 및 운영 빈도를 포함합니다. 서로 다른 직무의 사람들이 정상적으로 자금을 사용할 수 있도록 하면서도, 동시에 누구도 무단으로 이 돈을 이체할 수 없도록 해야 합니다. 이 두 가지 일의 난이도는 완전히 다른 차원입니다.

우리가 확인한 공개 보안 사건들을 보면, 암호화 기술 자체가破解되어 발생한 사고는 매우 드물며, 더 많은 문제는 다른环节에서 발생합니다. 대략 세 가지 범주로 나눌 수 있습니다.

첫 번째 범주는 사용하는 도구에 문제가 생긴 경우입니다. 예를 들어 팀이 사용하는 특정 오픈소스 소프트웨어, 클라우드 서비스 또는 개발 도구가 조작되면 지갑 리스크도 영향을 받을 수 있습니다.

두 번째 범주는 사람의 문제입니다. 타인을 사칭하여 권한을 편취하는 경우, 내부人员이 권한을 남용하는 경우, 그리고 직원이 퇴사한 후 원래 가지고 있던 권한을 제때 회수하지 않는 경우 등이 포함됩니다. 우리가 첫 번째 수업에서 말했듯이, 공격자는 반드시 시스템을 직접 공격할 필요는 없으며, 권한이 있는 사람에게 접근하는 방법을 모색할 수도 있습니다. 이 관점은 기관 시나리오에도 동일하게 적용됩니다. 공격자는 채용 정보를 통해 회사의 기술 상황을 파악하고, 코드 플랫폼에서 관련 직원을 찾거나, 업계 행사에서 직원과 관계를 구축할 수 있으며, 전체 준비 과정은 수개월 동안 지속될 수 있습니다.

세 번째 범주는 프로세스의 문제입니다. 예를 들어 긴급 상황 시 원래 필요한 승인을 건너뛰는 경우, 임시로 개방한 권한을 회수하는 것을 잊는 경우, 테스트 시스템이 실제 업무 데이터를 사용하는 경우, 또는 업무 편의를 위해 원래 외부에 공개해서는 안 되는 내부 도구를 인터넷에 직접 노출하는 경우입니다.

이러한 문제들은 복잡해 보이지 않지만, 대량의 자산을 관리하는 기관에서 발생하면 심각한 손실을 초래할 수 있습니다.

Q2. 기관은 일반적으로 다중 서명 지갑, MPC 커스터디 및 승인 등의 방식으로 자산을 보호합니다. 이러한 방법들은 각각 어떤 문제를 해결할 수 있으며, 어떤 리스크에 주의해야 하나요?

CertiK: 이 세 가지 메커니즘은 서로 다른 질문에 답합니다. 다중 서명은 여러 개의 키가 공동으로 권한을 부여하도록 요구하여 단일 키 침해 리스크를 줄입니다. MPC는 서명 능력을 서로 다른 키 조각에 분산시켜 완전한 개인 키의 집중 저장 및 사용 리스크를 줄입니다. 내부 승인은 한 거래가 업무적으로 발생해야 하는지 여부를 결정합니다. 기관이 진정으로 검증해야 하는 것은 이 세 가지 통제 계층이 실제 운영에서 서로를 제약할 수 있는지 여부입니다.

예를 들어 여러 개의 키가 동일한 팀, 동일한 관리자 권한 세트에 의해 통제된다면, 임계값은 형식적으로 분산되었지만 리스크는 여전히 집중되어 있습니다. MPC 조각을 각각 보관하더라도 기기 등록, 신원 인증 및 복구 권한이 동일인에 의해 장악될 가능성이 있는지 확인해야 합니다. 승인 프로세스도 마찬가지입니다. 승인한 것이 페이지에 표시된 내용인데 서명 시스템이 다른 거래를 수신한다면, 승인은 자산 이체를 제약할 수 없습니다.

CertiK는 Gnosis Pay 사건에 대한 기술 분석에서 권한 부여 검증 모듈의 결함으로 인해 미승인 거래가 잘못 수락되었음을 발견했습니다. 이는 평가가 키와 서명 알고리즘에 그쳐서는 안 되며, 신원 인증, 거래 검증, 권한 변경 및 복구 프로세스까지 포괄해야 함을 보여줍니다.

Gate 보안 팀: CertiK가 언급한 문제들은 우리가 기관 자산 보안 방안을 설계할 때 중점적으로 고려하는 사항이기도 합니다.

Gate 자체의 자산 관리에서 대부분의 자산은 다중 서명 콜드 월렛에 보관되며, 오프라인 관리 및 물리적 격리를 적용합니다. 핫 월렛은 다중 서명과 다자간 보안 계산을 채택하고, 개인 키를 분산 관리하며, 동시에 한도 정책을 설정하여 한도를 초과하면 자산이 즉시 콜드 월렛으로 이체됩니다.

사용자를 대상으로 우리는 다양한 보안 방안도 제공합니다. 예를 들어 기관 고객을 위해 Gate Vault를 출시했습니다. Gate Vault는 MPC와 2-of-3 서명 구조를 사용합니다. 간단히 말해, Gate Vault는 키를 세 부분으로 분할하여 각각 사용자의 기기, Gate 및 독립적인 제3자가 보관합니다. 거래를 완료하려면 규정된 권한 부여 조건을 충족해야 하며, 어느一方도 단독으로 사용자의 자산을 통제할 수 없습니다.

또한 Gate Vault는 48시간 이체 지연 기간을 설정했습니다. Vault에서 시작되는 모든 출금은 48시간의 지연 기간을 거쳐야 하며, 이 기간 동안 사용자는 해당 거래를主动으로 동결할 수 있습니다. 기관 시나리오에서는 운영 실수와 강압에 의한 서명도 실제로 존재하기 때문에, 지연 입금의 가치는 이러한 상황에 대응할 수 있는 창구를 마련해 준다는 데 있습니다.

Q3. 기관은 어떻게 완전한 보안 관리 체계를 구축해야 하며, 어떤 环节이 가장 간과되기 쉬운가요?

CertiK: 기관은 하나의 거래를 중심으로 연속적인 통제를 구축해야 합니다. 발의 시 업무 목적, 상대방, 주소 및 한도를 확인하고, 승인 시 관련 인원이 거래의 실제 의미를 명확히 파악하도록 하며 승인 결과가 최종 서명 대상 내용과 일치하는지 확인합니다. 서명 및 커스터디 단계에서는 키, 기기 및 운영 권한을 보호하고, 실행 후에는 이상 거래를 모니터링하며 온체인 기록과 내부 장부의 대조를 완료합니다. 각 단계마다 책임자를 명확히 해야 하며, 상호 대응할 수 있는 기록을 남겨야 합니다.

가장 간과되기 쉬운 것은 직접 이체하지 않지만 자산 통제권을 변경하는 작업입니다. 예를 들어 수취 주소 화이트리스트 수정, 한도 상향, 서명자 교체 또는 지갑 소프트웨어 업데이트 등입니다. 복구 프로세스도 별도로 설계하고演练해야 합니다. 핵심 인원 퇴사, 기기 손상 또는 서비스 제공업체 중단 시 기관은 통제권을 복구할 수 있어야 하며, 동시에 필요한 다인 권한 부여를 유지하여 비상 경로가 일상적인 권한 관리의 취약점이 되지 않도록 해야 합니다.

Gate 보안 팀: Gate에서 기관은 일반적으로 마스터 계정과 서브 계정을 통해 자금을 관리하고, 서로 다른 직무의 직원에게 서로 다른 운영 권한을 설정할 수 있습니다. 예를 들어 어떤 사람은 계정 조회만 가능하고, 어떤 사람은 거래가 가능하며, 또 다른 사람은 승인을 담당합니다. 이렇게 하면 일상 업무 요구를 충족하면서도 불필요한 자금 리스크를 줄일 수 있습니다.

자산 관리 기관을 위해我们还专门的 커스터디 서브 계정을 제공합니다. 이는 주로 한 가지 문제를 해결합니다. 투자자는 자금을 전문 팀에 맡겨 운영하고 싶지만 상대방이 자금을 가져가기를 원하지 않습니다. 구체적으로 투자자가 커스터디 서브 계정을 생성한 후에는 프로그램 운영에 사용되는 API Key를 스스로 생성할 수 없습니다. 거래 팀은 약정에 따라 거래 전략을 실행할 수 있지만 출금 권한은 없습니다. 동시에 양측 협력 기간 동안 투자자도 거래 팀의 포지션, 미체결 주문 및 거래 내역을 조회할 수 없어 거래 전략 유출을 방지합니다.

더 구체적인 API 보안 설정에서 기관의 대부분 운영은 프로그램으로 완료되며, 수동 주문은 극히 일부에 불과합니다. 따라서 우리의 API Key는 세분화된 권한 구성을 지원하여 읽기, 거래, 출금을 별도로 설정할 수 있습니다.

Q4. 규제 기관이 한 플랫폼이나 프로젝트를 평가할 때 가장 주목하는 보안 및 규정 준수 문제는 무엇인가요?

CertiK: 규제 기관은 먼저 플랫폼이 자산을 지속적으로 통제하고, 핵심 서비스를 유지하며, 리스크 발생 시 문제가 어떻게 발견되고 처리되었는지 설명할 수 있는지 판단해야 합니다. 거래 플랫폼의 경우 고객 자산 보관, 장부 대조, 권한 관리, 자금 세탁 방지 및 사건 처리와 관련되며, 중앙은행 디지털 화폐 시스템의 경우 발행 및 원장의 무결성, 지불 연속성 및 장애 후 정확한 복구가 더욱 중요합니다. 두 시스템의 업무는 다르지만, 모두 테스트 가능하고 검증 가능한 증거가 필요합니다.

이는 CertiK가 최근 키르기스스탄 중앙은행과 협력한 실제 문제이기도 합니다. 양측이 체결한 양해각서는 디지털 솜 보안 평가, 형식 검증, 사이버 보안 및 운영 복원력, 그리고 디지털 자산 규제, 자금 세탁 방지 및 커스터디 등의 방향으로 교류와 탐구를 진행할 예정입니다. 평가에 적용할 때 규제 당국은 구체적인 결과를 확인해야 합니다. 핵심 권한을 누가 보유하는지, 고위험 문제가 개선되었는지, 이상 거래를 어떻게 처리하는지, 장애演练 후 서비스와 장부가 복구될 수 있는지 등입니다.

Gate 보안 팀:

CertiK가 언급한 이러한 문제들은 우리가 다양한 국가와 지역에서 관련 라이선스를 신청하고 유지할 때의 직접적인 경험이기도 합니다.

사람들이 평소 플랫폼 보안을 이야기할 때는 기술이先进한지에 더 주목하는 경향이 있습니다. 하지만 규제 관점에서 보면 매우 중요한 문제가 하나 더 있습니다. 사용자의 돈과 플랫