2026-09-15

2024년 도난 암호화폐의 43.8%는 개인키 탈취였습니다 — 시드 문구 백업, 암호화해야 할까요?

FBI 인터넷범죄신고센터(IC3)는 2024년 암호화폐 사기 신고 피해액을 93억 달러로 집계했습니다 — 전년 대비 66% 증가한 수치이며, 60세 이상만 따로 봐도 28억 달러 이상을 신고했습니다. 이 숫자를 다루는 보도는 대부분 투자 사기와 "돼지 도살(pig butchering)"을 앞세웁니다. 하지만 Chainalysis의 2025 암호화폐 범죄 보고서는 도난 쪽을 다르게 쪼갭니다 — 피싱 링크도 가짜 거래소도 아닌, 개인키 탈취가 2024년 도난당한 암호화폐의 43.8%를 차지해 단일 항목으로는 가장 컸습니다. 개인키 탈취는 거의 항상 똑같은 열두 단어 또는 스물네 단어 — 시드 문구(seed phrase) — 로 거슬러 올라갑니다. "적어 두라"와 "전부 잃었다" 사이 어딘가에서, 상당수의 시드 문구가 화면에 뜰 수 있는 어딘가로 흘러들어 갔습니다.

"디지털로 저장하지 말라"가 실제로 하는 말, 한 글자씩

모든 하드웨어 지갑 제조사는 시드 문구를 디지털화하지 말라고 말합니다. 가장 큰 두 회사는 그 말을 미묘하게 다르게 하고, 그 차이가 중요합니다. Ledger의 시드 문구 보관 안내는 이렇게 적습니다 — "시드 문구를 암호화되지 않은(non-encrypted) 디지털 형식으로, 클라우드 저장소·메모 앱·스크린샷을 포함해 절대 저장하지 마라." "암호화되지 않은"이라는 수식어가 이 문장에서 실제로 일을 하고 있습니다 — 암호화된 디지털 사본은 카메라 롤에 있는 스크린샷과는 다른 위험 등급에 있다는 뜻을 암시합니다. Trezor의 공식 백업 안내는 더 단호하고, 그 틈을 명시적으로 막아 버립니다 — "지갑 백업의 디지털 사본을 절대 만들지 마라 (Dropbox, 이메일, 암호화된 폴더, 사진을 포함한다)" — 암호화된 폴더가 사진과 나란히 금지 목록에 직접 이름을 올립니다. Trezor의 논리는 결과물의 형식이 아니라 디지털화되는 그 순간 자체에 있습니다 — 인터넷에 연결된 어떤 기기에서든 시드 문구를 입력하거나 촬영하는 순간, 그 뒤에 파일에 무슨 짓을 하든 상관없이 그 기기는 이미 평문을 본 것입니다. 이 비밀을 오프라인에 두려고 하드웨어까지 만드는 두 회사가, 암호화가 무언가를 바꾸는지에 대해서는 서로 다른 결론에 도달한 것입니다. 이 글은 주 백업에 대해서는 Trezor의 더 엄격한 기준을 그대로 따르고, 더 좁고 더 정직한 질문을 던집니다 — 지금 이미 존재하는 그 디지털 사본은 어떻게 할 것인가.

이 글이 실제로 다루는 상황

메탈 플레이트를 두 번 사라고 말할 필요는 없습니다. 정말 흔한 것 — Ledger가 굳이 "메모 앱"과 "스크린샷"을 콕 집어 이름을 붙여야 했을 만큼 흔한 것 — 은 시드 문구가 이미 그런 곳 중 하나에 들어가 있는 상황입니다. "혹시 몰라서" 찍어 둔 사진을 iCloud나 Google Photos가 찍는 순간 조용히 동기화해 버렸거나, 몇 년 전 Apple Notes나 Google Keep에 적어 두고 잊어버렸거나, 보내지 않은 자기 자신에게 보내는 이메일 초안이거나, 다운로드 폴더에 남은 .txt 파일. 이 중 어느 것도 가상의 예외 상황이 아닙니다 — Chainalysis의 43.8%라는 수치와 그 일부를 만든 인포스틸러 악성코드 계열(Redline, Cryptbot처럼 감염된 기기에서 정확히 이런 파일과 이미지를 찾도록 만들어진 도구들)이 정확히 겨냥하는 표면입니다. 그 시드 문구에 대한 정직한 조언은 여전히 Trezor의 조언입니다 — 메탈이나 종이로 옮기고, 디지털 흔적을 전부 지우십시오. 이 글은 그 중간의 틈 — 그 정리가 끝나기 전까지 평문 사본이 기기에 존재하는 몇 시간 또는 며칠 — 을 다루는 것이지, 그 정리를 대신하는 것이 아닙니다.

틈을 메우되, 그것이 해결의 전부인 척하지 않기

시드 문구의 디지털 사본이 어떤 이유로든 얼마간 존재해야 한다면 — 새 지갑으로 옮기는 도중이든, 스크린샷을 발견한 순간부터 동기화된 모든 곳에서 실제로 지우기까지의 간격이든 — "디지털 사본"의 가장 위험이 낮은 형태는 평문이 아니라 암호문이며, 그 형태가 됐든 평문이 됐든 클라우드 동기화 폴더에는 절대 닿아선 안 됩니다. 먼저 시드 문구를 사진도, 자체 동기화 스위치를 가진 앱 안의 메모도 아닌 로컬 텍스트 파일 하나로 옮긴 다음, 시드 자체와 아무 관련이 없고 암호화된 파일 옆에 따로 적어 두지 않는 암호로 그 파일을 암호화합니다. NearSeal은 이 작업 전부를 브라우저 안에서 로컬로 처리합니다 — 아무것도 업로드되지 않으며, 암호화된 바이트는 당신이 직접 옮기지 않는 한 기기를 벗어나지 않습니다. 여기서는 특히 두 가지 형식상의 세부사항이 중요합니다. 첫째, NearSeal의 기본 형식은 원본 파일명을 평문 헤더 필드에 저장하므로, "seed-phrase-backup.txt.nearseal"이라는 이름은 열 수는 없어도 안에 무엇이 들었는지 정확히 알려줍니다 — 암호화하기 전에 평문 파일 이름을 눈에 띄지 않는 이름으로 바꾸거나, 파일명 필드 자체가 없는 옵트인 age 형식을 선택하십시오. 둘째, 암호화된 파일이 생긴 뒤에는 원본 메모, 사진, 클라우드 제공자의 휴지통이나 파일 이력에 남은 버전을 포함한 모든 평문 버전이 옮겨지는 게 아니라 실제로 사라져야 합니다 — 잊힌 평문 사본 세 개 옆에 암호화된 사본 하나가 놓여 있는 것은 아무것도 해결한 게 아닙니다.

암호화가 건드리지 못하는 것, 솔직하게

위 다이어그램의 왼쪽은 실제로, 다룰 수 있는 이득입니다 — 암호문 상태로 폴더에 놓인 파일은 읽을 수 있는 시드 문구를 찾는 스캔을 무력화하며, 이는 Chainalysis의 43.8%라는 수치를 만든 악성코드 상당수가 하도록 만들어진 바로 그 일입니다. 오른쪽은 이 도구를 포함해 어떤 파일 암호화 도구도 손댈 수 없는 영역입니다. QuilClipper 계열 같은 클리퍼 악성코드는 지갑 주소나 키처럼 보이는 것을 복사하는 바로 그 순간 클립보드 내용을 바꿔치기하는 방식으로 작동합니다 — 디스크에 놓인 파일이 아니라 사용하는 그 순간을 지켜보는 것입니다. 시드 문구를 텍스트 파일에 입력할 때 이미 키로거나 클리퍼가 그 기기에 상주하고 있었다면, 1분 뒤에 그 파일을 암호화해도 악성코드가 이미 캡처한 것을 되돌리지 못합니다. NearSeal에는 어떤 형태의 암호 복구도 없습니다 — 이 백업을 보호하는 암호를 잊으면 그 사본은 영영 사라집니다. 그래서 이것이 시드 문구의 유일한 사본이 되어서는 절대 안 되는 것입니다 — Trezor와 Ledger가 실제로 주 백업으로 권하는 메탈이나 종이 백업은, 디지털 사본에 무슨 일을 하든 그와 무관하게 독립적으로 계속 존재해야 합니다. 이 어느 것도 이 단계를 건너뛸 이유는 아닙니다 — 오히려 이 글이 암호화를 기존의 나쁜 습관 속 특정 틈을 메우는 것으로 규정하는 이유이며, 시드 문구를 일부러 디지털로 계속 남겨 두라는 허가가 아닙니다.

정직한 요약

Ledger와 Trezor는 암호화된 시드 문구 파일이 평문 파일보다 의미 있게 더 안전한지에 대해 완전히 동의하지 않습니다 — 한쪽은 "암호화되지 않음"을 문제로 지목하고, 다른 쪽은 "암호화된 폴더"를 사진과 같은 금지 목록에 올립니다. 두 회사가 예외 없이 동의하는 것은, 시드 문구의 진짜 자리는 오프라인이며 메탈이나 종이에 적힌 뒤로는 카메라도 키보드도 다시 닿아서는 안 된다는 것입니다. 이 글은 거기에 반박하지 않습니다. 이 글은 그보다 좁고 더 흔한 순간 — 시드 문구가 이미 스크린샷이나 잊힌 메모 안에 들어 있는 순간 — 을 위한 것이며, 그 순간의 정직한 선택지는 "암호화된 파일 대 완벽한 오프라인 보관"이 아니라 "암호화된 파일 대 지금 이미 거기 놓여 있는 평문 사본"입니다. 그 틈을 메우는 것은 할 가치가 있습니다. 그것이 다 끝났다는 뜻은 아닙니다.