코인베이스, 3,770억 달러 자산 99% 콜드 보관 체계 공개

코인베이스의 3,770억 달러 커스터디 체계

코인베이스는 수요일 자사 커스터디 방어 체계를 전면 공개하며, 플랫폼에 보관된 고객 암호화폐의 99% 이상이 인터넷 공격이 닿지 않는 오프라인 콜드 스토리지에 있다고 확인했다. 공개 시점은 경쟁사 바이낸스에서 63억 달러 규모의 탈취 사건이 터지고 거래소 보안이 다시 시장 관심의 중심에 오른 지 며칠 뒤이며, 코인베이스는 이번 공개를 해당 침해에 대한 직접적인 답으로 내세우고 있다.

회사의 최신 분기 제출 서류는 9월 말 기준 플랫폼에 3,770억 달러의 자산이 놓여 있다고 적고 있다. 거래소는 공식 보안 게시물에서 이 돈이 회사가 아니라 고객의 것이라고 밝혔다. 게시물은 "코인베이스는 고객이 지시하지 않는 한 이 자산을 대출하거나 사용하지 않는다"고 말한다. 장부상으로 3,770억 달러는 회사 자체 현금 86억 달러와 암호화폐 22억 달러와 분리해 관리된다. S&P 500 편입 기업이자 나스닥: COIN으로 거래되는 코인베이스는 규제적 기반도 내세운다. 미국 커스터디 부문은 뉴욕 은행 감독 당국 아래 적격 커스터디언이자 수탁자로 운영되고, 유럽에서는 룩셈부르크 금융감독기관이 EU의 암호화폐 시장 규제(MiCA) 체계 아래 회사를 감독한다. 외부 검증도 이뤄졌다. 보안 총괄 Jeff Lunglhofer(이전 직책은 BNY 정보보안 책임자) 아래에서, 거래소는 보안 통제가 실제로 작동하는지 검증하는 SOC 1과 SOC 2 Type II 심사를 통과한 최초의 암호화폐 커스터디언 중 하나라고 밝혔다. 회사 공식 계정은 수요일 게시물로 이 입장을 확인했다. 안전한 커스터디를 일상 업무로 규정하며 1:1 준비금, 키 분할, 단일 장애점의 부재를 근거로 들었다. 다만 기록이 완벽하지는 않다. 2025년에는 범죄자들이 해외 고객지원 직원에게 뇌물을 주고 고객 데이터를 빼냈고, 회사는 피해 비용이 최대 4억 달러에 이를 수 있다고 추정했다. 게시물과 함께 인용된 조사에 따르면 미국 현물 비트코인 ETF 자산의 약 84%가 코인베이스 커스터디에 놓여 있다.

@coinbase · X 게시물

수요일 게시물로 이 입장을 확인했다.

X에서 보기

바이낸스 해킹범의 침투 방식

바이낸스의 침해 설명은 코인베이스가 이 시점에 공개를 선택한 이유를 짚어준다. 거래소에 따르면 63억 달러 규모 공격은 가짜 채용 면접으로 시작됐다. 침입자가 직원 노트북에 침투한 뒤 10월 29일 가짜 출금 요청을 시스템에 통과시킨 것이다. 개인키는 건드리지 않았고, 출금을 승인하는 장치를 속인 것이다. 11월 1일에 보고된 Bybit과 Bitget 탈취 사건에서도 같은 패턴이 확인됐다. 각각의 경우 공격자가 키를 훔치는 대신 거래소의 승인 시스템을 속여 이체에 서명하게 했다.

코인베이스의 구조는 정확히 이 공격 경로를 막도록 설계됐다. 개인키를 여러 조각으로 나눠 별개 기기에 저장하는 다자간 계산 방식을 쓰고, 보안 소프트웨어도 자체 개발한다. Bybit과 Bitget의 침해는 외부 벤더를 통해 들어왔다는 점에서 대비된다. 온체인 연구자들은 코인베이스 노트북이 탈취되더라도 무용지물인 키 조각 하나만 노출될 뿐이며, 거래소가 자산을 소수의 라이브 핫월렛에 뭉치지 않고 6,980만 개의 개별 주소에 분산해 허니팟 문제를 피한다고 본다. 규제 당국도 움직이고 있다. 국내에서는 금융위원회가 월요일 거래소들에 법정 최소 기준인 80%를 넘는 오프라인 보관을 권고했고, 약 99%로의 기준 상향을 검토 중인 것으로 알려졌다. 업비트는 이미 99.17%를 오프라인 보관 중인 것으로 전해졌다. 오프라인 보관에는 비용이 따른다. 8월에는 빗썸의 온라인 지갑이 바닥나면서 일부 출금이 13시간 넘게 지연됐고, 국내 거래소들은 보안 인력 부담이 규모가 작은 플랫폼에 가장 무겁게 작용할 것이라고 경고한다.

99% 오프라인의 트레이드오프

지난 한 주 동안 커스터디 구조가 경쟁의 전장으로 바뀌었고, 코인베이스의 공개는 그 시점에 맞춰졌다. 메커니즘 차이가 본질이다. 63억 달러 손실은 키 탈취가 아니라 사회공학적 승인 우회에서 나왔다. 따라서 키를 분할하고, 자체 소프트웨어를 쓰고, 거의 전부를 오프라인에 두는 거래소는 온라인으로 자금을 뭉치고 벤더에 의존하는 경쟁사와 다른 공격 표면을 마주한다. 국내의 99% 상향안은 이 입장을 법제화하는 셈이지만, 8월 빗썸의 13시간 출금 중단은 전량 오프라인 예비 자산이 치르는 유동성 비용을 보여준다. 기준이 시행되면 준수 비용을 앞두고 국내 대형 거래소들 사이의 통합이 진행될 수 있다. 개인 투자자도 이 오프라인 구조를 그대로 따라 할 수 있다. 초보자 가이드에서 하드웨어 월렛의 작동 방식을 다루고 있으며, Tangem 모바일 월렛 같은 기기는 같은 키 분리 원리를 휴대용 크기로 적용한다.