도지코인(DOGE) 기여자 Mishaboar, 소셜 로그인 방식이 지갑 보안 위험이라고 경고

Mishaboar, 소셜 로그인 위험 지적

도지코인(DOGE) 커뮤니티의 오랜 목소리인 Mishaboar가 소셜 로그인(소셜 사이닝) 방식을 보안 위협으로 규정하는 경고를 내놓았다. 경고 시점에는 이미 해당 로그인 기능의 핵심 인프라를 제공하던 업체가 서비스를 일시 중단한 뒤였다. Mishaboar는 도지코인 생태계에서 수년간 활동해 온 논평가로, 지난 토요일 X에 게시물을 올려 구글 계정, Apple ID, 텔레그램 계정 또는 이메일 주소만으로 시드 구문 관리 없이 암호화폐 지갑을 만들고 접근할 수 있게 하는 기능을 정면으로 비판했다. 그의 X 게시물에는 이런 문장이 실렸다. "소셜 로그인, 사용자를 미워한다면 지갑에 추가하고 싶은 기능." 그의 논리는 이렇다. 원클릭 방식을 고를 가능성이 가장 높은 사용자는 암호화폐를 처음 접하는 신규 진입자이고, 이들은 개인 계정을 지갑 서비스에 연결할 때 무엇을 넘겨주는지 제대로 이해하지 못할 수 있다는 것이다. 위험은 지갑 안의 자금에서 끝나지 않는다. 같은 경로로 데이터가 유출되면 실제 신원이 온체인 보유 자산과 연결될 수 있고, 그 결과는 심각할 수 있다는 지적이다. 경고는 개인 키를 '클라우드'에 백업하는 지갑도 함께 겨냥했는데, 그의 말을 빌리면 클라우드란 결국 다른 누군가의 서버일 뿐이다. 편의성이 곧 위험의 근원이라는 게 그의 논지다. 소셜 로그인은 사용자가 혼자 키를 쥐고 있음을 스스로 깨닫게 만드는 시드 구문 단계를 없애버린다. 이 경고가 나온 시점의 시장은 이미 부담을 안고 있었다. 도지코인 가격은 10월을 20.1% 하락으로 마쳤고, Uptober를 연속으로 하회한 두 번째 해가 되면서 밈 코인이 의존하는 소매 신규 유입을 겁낼 만한 무엇이든 커뮤니티가 평소보다 예민하게 받아들이는 국면에 놓였다.

Keplr, 사태를 Web3Auth에 상급 보고

경고의 배경에는 실제 사고가 있다. Cosmos, Bitcoin, Ethereum, Starknet을 지원하는 멀티체인 지갑 Keplr는 자체 입장문에서 구글 또는 Apple 로그인으로 생성된 일부 Keplr 계정에서 무단 거래 신고가 접수됐다고 확인했고, 이 사안을 Web3Auth 팀에 상급 보고해 양측이 함께 조사 중이라고 밝혔다. 해당 로그인이 작동하는 임베디드 지갑 인프라를 공급하는 Web3Auth는 공개가 이뤄지기 전에 이미 움직였다. 회사는 일부 제3자가 사용하는 형태의 서비스에 보안 문제가 있다는 사실을 파악했고, 이에 대응해 임베디드 지갑 서비스를 일시 중단했다고 말했다. 초기 조사 이후 회사는 MetaMask 사용자는 피해 사례가 확인되지 않았다고 밝혔다. 이 설계가 왜 공격을 받는지는 작동 방식에서 나온다. 소셜 로그인 구조에서는 원래 사용자 쪽에만 존재해야 할 키가 업체가 통제하는 인프라 안에서 생성·보관되고, 접근은 일상적인 계정의 보안 수준에 묶인다. 이는 구매자 대부분이 선택한다고 믿는 셀프커스터디 모델이라기보다 제3자가 운영하는 콜드월렛의 반대편, 즉 제3자 운영형 핫 월렛에 가까운 구조다. 위험이 침해당하는 특정 서비스 하나에 집중되는 것도 같은 이유에서다. 보안 진영이 대안으로 오래 밀어온 것은 하드웨어 월렛이다. 시드 구문이 사용자 손을 떠나지 않는 이 방식은 정확히 그 이유 때문에 관리 체계에서 업체를 완전히 걷어낸다. 다만 지금까지 공개된 기록은 얇다. 사건 이후의 블록체인 보안 감사 결과는 발표되지 않았고, Keplr는 영향받은 계정 수와 이동한 금액을 밝히지 않았으며, Web3Auth는 중단된 서비스가 언제 복구되는지도 말하지 않았다.

아직 발표되지 않은 피해 집계

도지코인 보유자에게 실질적 함의는 좁지만 분명하다. 소셜 로그인은 키에 대한 통제를 더 빠른 가입 절차와 바꾸는 거래인데, 그 거래를 제안한 업체는 문제가 생겨도 손실을 떠안지 않는다. 자금이 침해에서 무사히 남더라도 Mishaboar가 짚은 신원 연결 문제는 그대로 남는다. 이 경고를 FUD로 치부하기 어렵게 만드는 것도 그의 트랙레코드다. 그는 과거 의심되는 Trezor 칩 내장 위험을 지적하며 도지코인 보유자에게 자금 이동을 권고한 바 있다. 아직 열려 있는 것은 아무도 발표하지 않은 부분이다. 영향받은 계정의 집계, 중단된 서비스에 의존하는 지갑의 전체 목록, 그리고 서비스 복구 시점이 그것이다. 어느 한 업체라도 이를 제공하기 전까지는, 로그인용 계정 자체를 키로 다뤄야 한다.