Coinbase: 사용자 자산의 99% 이상을 분산 보관 방식의 개인 키와 함께 콜드 스토리지에 보관

Coinbase는 최근 다른 대형 암호화폐 거래소에서 별도의 핫월렛 보안 사고가 발생한 이후, 고객 자산을 어떻게 보호하고 있는지 상세히 공개했다. Coinbase는 자사 시스템과 고객 자금에는 아무런 영향이 없었다고 밝히면서, 콜드 스토리지, 분산형 키 관리, 거래 통제, 상시 모니터링을 기반으로 한 자산 보관 체계를 설명했다.

이번 공개는 거래소 보안이 여전히 암호화폐 이용자들의 핵심 관심사로 남아 있는 시점에 나왔다. 디지털 자산 플랫폼이 더 많은 자산을 관리하고 인프라가 점점 정교해지면서, 자산 보관과 거래 승인, 운영 접근 권한을 구분하는 일이 그 어느 때보다 중요해지고 있다.

고객 자산의 99% 이상을 오프라인에 보관

Coinbase에 따르면 고객 자산의 99% 이상은 콜드월렛에 보관된다. 이 지갑은 대부분의 시간 동안 오프라인 상태로 유지되며, 인터넷 기반 공격과 자격 증명 탈취, 승인되지 않은 자동 거래에 노출될 가능성을 크게 낮춘다.

일상적인 이용자 활동을 지원하기 위해 제한된 규모의 암호화폐만 핫월렛에 보관한다. 여기에는 출금과 입금, 거래 관련 이체 등이 포함된다. Coinbase는 핫월렛 잔액을 항상 높은 수준으로 유지하는 대신, 예상되는 거래 수요에 맞춰 조정한다고 설명했다.

이러한 방식은 디지털 자산 보관에서 널리 적용되는 보안 원칙을 반영한다. 즉, 온라인 유동성은 운영에 필요한 수준으로 제한해야 한다는 것이다. 애플리케이션이나 자격 증명, 서명 서비스와 관련된 침해 사고가 발생하더라도 온라인 시스템에 직접 노출된 자산 규모가 작을수록 잠재적인 피해도 줄어든다.

Coinbase의 보안 및 자산 보관 방식에 대한 공개 개요는 보안 정보 페이지에서 확인할 수 있다.

기관 고객 자산은 분리된 콜드 스토리지에 보관

Coinbase는 기관 고객용 보관 금고에 있는 자산을 전부 콜드 스토리지로 관리한다고도 밝혔다. 이 자산은 블록체인상에서 별도로 분리해 관리되므로, 기관 보유 자산과 플랫폼의 다른 잔액을 보다 명확하게 구분할 수 있다.

온체인 분리는 투명성과 운영상 회계 관리 수준을 높이는 데 도움이 될 수 있다. 다만 이를 완전한 준비금 증명 시스템과 혼동해서는 안 된다. 이용자는 거래소가 부채와 출금 의무, 법적 소유권을 어떻게 처리하는지, 그리고 고객 자산과 플랫폼 자체의 대차대조표가 어떤 관계에 있는지도 함께 살펴봐야 한다.

기관 고객에게 이러한 구분은 특히 중요하다. 대규모 자산 보유자는 단순히 자금이 “안전하다”는 설명만으로는 충분하지 않다고 보는 경우가 많다. 승인 절차, 자산 분리, 감사 가능성, 거버넌스, 복구 절차에 대한 명확한 통제 체계도 필요하기 때문이다.

개인 키는 한곳이 아니라 여러 곳에 분산 보관

Coinbase의 보안 모델에서 중요한 부분 중 하나는 분산형 키 보호 방식이다. 콜드 스토리지와 연결된 개인 키를 여러 장소 또는 여러 통제 영역에 나누어 보관한다. 거래에 서명하는 과정에서도 완전한 개인 키가 하나의 접근 가능한 환경에 재구성되지 않도록 설계되어 있다.

이 구조는 단일 장애 지점으로 인해 발생하는 위험을 줄이기 위한 것이다. 하나의 시스템이나 시설, 관리자가 침해되더라도 공격자가 자산 이체를 승인하는 데 필요한 모든 요소를 자동으로 확보할 수 없게 만드는 방식이다.

이 원칙은 핫월렛 운영에도 적용된다. Coinbase는 운영 환경의 서명 서비스에 한 사람이 독자적으로 접근할 수 있도록 설계하지 않았다고 설명했다. 여러 단계의 통제를 요구하고 운영상 책임을 분리하면, 탈취된 자격 증명 하나나 악의적인 내부자 한 명만으로 자금이 이동하는 상황을 막는 데 도움이 된다.

그러나 분산형 키 관리는 건전한 거버넌스를 대신할 수 없다. 보안 수준은 복구 절차와 접근 승인, 소프트웨어 업데이트, 직원 권한, 비상 운영 체계를 어떻게 설계하고 점검하는지에 따라서도 달라진다.

출금 통제가 추가적인 방어막 역할

콜드 스토리지는 자산 대부분을 오프라인에 보관해 보호하지만, 거래소는 여전히 대규모의 정상적인 거래를 처리해야 한다. Coinbase는 이러한 운영 영역을 관리하기 위해 다음과 같은 추가 통제 수단을 사용한다고 밝혔다.

• 출금 한도 및 정책에 따른 이체 제한
• 비정상적인 계정 또는 거래 활동 모니터링
• 의심스러운 활동에 대한 조사 절차
• 출금 규모와 위험 신호에 기반한 동적 통제
• 자금 이동의 일부 또는 전부를 일시 중지할 수 있는 비상 조치

시스템이 비정상적인 거래나 갑작스러운 출금 활동 증가를 감지하면 Coinbase는 조사를 시작하고 일시적으로 한도를 설정할 수 있다고 설명했다. 더욱 심각한 상황에서는 서명 키를 비활성화해 이체를 중단할 수도 있다.

이러한 장치는 시장이 불안정한 시기에 특히 중요하다. 급격한 가격 변동과 사회공학 공격, 피싱, 조직적인 계정 탈취는 모두 비정상적인 출금 패턴을 만들어낼 수 있다. 일시적인 지연은 이용자에게 불편을 줄 수 있지만, 조사와 피해 확산 방지를 위한 중요한 시간을 확보해 주기도 한다.

고객 자산은 고객 소유로 유지되는 것을 원칙으로

Coinbase는 고객 자산을 1 대 1 비율로 보유하며, 고객의 지시 없이 해당 자산을 대출하거나 다른 용도로 사용하지 않는다고 밝혔다. 실질적으로 이는 고객 잔액을 제한 없이 활용할 수 있는 자금원으로 취급하는 대신, 고객의 잔액을 이행하는 데 필요한 자산을 유지하는 것을 기본으로 하는 보관 모델이다.

이 문제는 여러 대형 플랫폼이 파산하거나 출금을 중단하고, 대차대조표 관리의 취약점을 드러낸 이후 암호화폐 업계 전반에서 주요 쟁점으로 떠올랐다. 미국 증권거래위원회의 암호화폐 자산 관련 투자자 안내 역시 암호화폐 플랫폼에는 고유한 보관·운영·거래 상대방 위험이 존재할 수 있다고 강조한다.

이용자가 확인해야 할 핵심 질문은 다음과 같다.

1. 자산의 법적 소유자는 누구인가?
2. 고객 자금이 회사 자금과 분리되어 있는가?
3. 플랫폼이 고객 자산을 대출하거나 재담보화하거나 다른 방식으로 재사용할 수 있는가?
4. 출금에는 어떤 통제 절차가 적용되는가?
5. 플랫폼이 지급불능 상태에 빠지거나 소송에 휘말리거나 장기간 운영 중단을 겪으면 어떻게 되는가?

따라서 플랫폼의 보안 구조는 자산 보관 수준을 평가할 때 고려해야 할 여러 요소 중 하나일 뿐이다. 법적 구조와 재무 공시, 운영 복원력, 과거 출금 처리 이력도 함께 살펴봐야 한다.

Coinbase, 플랫폼 자산 3,770억 달러로 집계

Coinbase는 2026년 9월 30일 기준 플랫폼 자산이 약 3,770억 달러에 달했다고 보고했다. 또한 현금 및 현금성 자산 86억 달러와 투자 목적의 암호화폐 자산 22억 달러를 보유하고 있다고 밝혔다.

이 정도 규모에서는 자산 보관 보안이 단순한 인프라 문제가 아니다. 지갑 구조와 직원 접근 권한, 소프트웨어 보안, 사고 대응, 규제 준수, 유동성 관리가 모두 관련된 시스템 차원의 운영 책임이다.

회사의 재무제표와 공시 자료는 투자자 관계 및 SEC 제출 자료 섹션에서 확인할 수 있다. 이용자는 거래소의 재무 상태를 평가할 때 마케팅 문구나 소셜미디어 의견에만 의존하지 말고, 1차 자료를 직접 확인해야 한다.

개인 암호화폐 이용자에게 의미하는 것

Coinbase의 모델은 중앙화 플랫폼에 디지털 자산을 보관하는 사람이라면 누구나 참고할 만한 몇 가지 실질적인 교훈을 보여준다.

1. ‘콜드 스토리지’가 위험 제로를 의미하지는 않는다

오프라인 보관은 온라인 공격에 대한 노출을 줄일 수 있지만, 거버넌스와 물리적 보안, 내부자 접근, 복구 절차, 플랫폼의 지급능력과 관련된 위험까지 없애지는 못한다.

2. 핫월렛 노출은 제한해야 한다

핫월렛은 효율적인 출금을 위해 필요하지만, 운영에 필요한 수준의 잔액만 유지하면 인터넷에 연결된 환경에 노출되는 자산 규모를 줄일 수 있다.

3. 지갑 유형만큼 키 관리도 중요하다

자산이 오프라인에 보관되는지만 확인해서는 충분하지 않다. 개인 키를 어떻게 생성하고, 분할하고, 접근하고, 백업하며, 거래 승인에 사용하는지도 살펴봐야 한다.

4. 출금 통제는 사고 발생 시 이용자를 보호할 수 있다

한도 설정과 이상 거래 탐지, 긴급 중지 조치는 일부 거래를 지연시킬 수 있다. 그러나 침해된 계정이나 비정상적인 시스템 이벤트가 대규모 손실로 이어지는 것을 막는 데도 도움이 된다.

5. 장기 보유에는 별도의 자산 보관 전략이 필요하다

거래소 보관은 활발한 거래에 편리할 수 있지만, 장기 보유자는 자체 보관 체계를 통해 서명 자격 증명을 직접 관리하는 방식을 선호할 수 있다. 이 경우 복구 문구를 안전하게 보관하고 거래 세부 내용을 확인하는 책임은 이용자에게 있다.

AI와 함께 커지는 보안 과제

Coinbase는 인공지능의 발전이 위험 환경을 바꾸고 있다는 점도 언급했다. AI는 보안팀이 비정상적인 행동을 탐지하고, 위협을 분류하며, 조사를 자동화하고, 사고 대응을 개선하는 데 도움을 줄 수 있다. 동시에 공격자는 유사한 도구를 활용해 더욱 정교한 피싱 메시지를 만들고, 사회공학 공격을 자동화하며, 소프트웨어 취약점을 찾아내고, 사기 캠페인을 대규모로 확장할 수 있다.

이에 따라 방어 시스템이 지속적으로 개선되어야 하는 경쟁적인 보안 환경이 조성되고 있다. 이제 강력한 자산 보안은 하나의 기술만으로 정의되지 않는다. 암호 기술과 인프라, 인적 절차, 모니터링, 위기 대응을 아우르는 다층적인 통제가 필요하다.

암호화폐 이용자가 얻을 수 있는 실질적인 교훈은 분명하다. 보안은 하나의 구호가 아니라 하나의 시스템으로 평가해야 한다. 콜드 스토리지와 분산 키 승인, 출금 모니터링, 긴급 통제는 위험을 크게 줄일 수 있지만, 이용자는 자신의 자산이 어떻게 보관되고 궁극적으로 누가 키를 통제하는지 여전히 이해해야 한다.

디지털 자산 보관이 주는 더 큰 교훈

Coinbase의 이번 공개는 암호화폐 자산 보관 업계를 바꾸고 있는 하나의 흐름을 재확인시킨다. 자산을 안전하게 지키려면 온라인 노출을 최소화하고 가능한 한 단일 장애 지점을 제거해야 한다는 것이다.

중앙화 거래소의 경우 이는 콜드 스토리지와 세심하게 통제되는 유동성, 분산형 서명, 자산 분리, 실시간 모니터링을 결합하는 것을 의미한다. 개인 이용자에게는 포트폴리오의 각 부분에 대해 편의성과 직접 통제 중 어느 쪽을 우선할지 결정해야 한다는 뜻이다.

자기 보관을 선택한 이용자는 OneKey와 같은 하드웨어 지갑을 사용해 일상적으로 인터넷에 연결되는 기기와 서명 자격 증명을 분리할 수 있다. 다만 기기 자체는 전체 과정의 한 요소일 뿐이다. 안전한 설정을 위해서는 오프라인 복구 백업과 강력한 물리적 보호, 신중한 거래 확인, 명확한 상속 또는 복구 계획도 필요하다.

암호화폐 이용이 확대될수록 가장 복원력 높은 자산 보관 전략은 개인 키와 운영 접근 권한, 이용자의 행동을 보안 방정식에서 똑같이 중요한 요소로 다루는 방식이 될 것이다.