구글, 2027년 초 은행 대상 MPC 암호화폐 커스터디 시스템 공급

은행을 향한 구글의 다자간 연산 커스터디

구글이 디지털 자산의 무단 이체를 차단하도록 설계된 시스템을 구축했고, 2027년 초부터 은행에 이를 제공할 계획이다. 이 제품은 Google Multi-Party Compute(MPC)라는 이름으로, Alphabet 자회사가 기관용 암호화폐 인프라에 발을 들인 것 중 가장 깊은 단계다. 정식 출시에 앞서 이미 주요 금융기관 여러 곳이 비공개 프리뷰 형태로 이 서비스의 검증에 참여하고 있다. 이 시스템이 겨냥한 것은 특정한 단일 실패 지점이다. 암호화폐 자산을 이동하려면 지출 권한을 증명하는 비밀인 프라이빗 키가 필요하고, 키가 탈취되면 소유자의 동의 없이도 암호화폐 지갑이 털릴 수 있다. 구글의 대응은 기존 MPC 기술에 이체 규칙 검증과 키 복구 기능을 더하고, 은행이 각 구성 요소를 직접 조립하지 않아도 되도록 하나의 패키지로 묶은 데 있다. 아키텍처는 거래 서명에 필요한 비밀 정보를 여러 장소에 분산한다. 은행 자체 시설, 구글 클라우드, 그리고 별도 회사의 클라우드가 그 세 곳이다. 세 당사자 중 두 곳의 협력을 요구하는 구성에서는 어느 한 곳이 침해당하더라도 그것만으로 자금을 움직일 수 없다. 시스템은 이체를 실행하는 전자 서명을 만들기 전에 금액, 목적지, 그리고 필요한 부서 승인을 은행이 정한 규칙과 대조한다. 분산 키 설계에 검증 계층을 결합한 구조다. 구글 클라우드는 Confidential Space를 통해 이미 관련 경험을 갖고 있다. 이 환경에서는 하드웨어 기반 증명을 갖춘 기밀 컴퓨팅 환경 안에서 워크로드가 실행되며, 블록체인 거래 서명을 포함한 민감한 작업이 외부 접근으로부터 격리된 상태를 유지하는지 검증한다. 같은 키 관리 설계를 이더리움(ETH)과 솔라나(SOL)의 디지털 자산 보호에 적용하는 테스트도 진행 중이다. 두 네트워크에서는 기관이 이미 상당한 규모의 포지션을 보유하고 있다. 구글은 가격과 프리뷰 참여 기관의 이름을 공개하지 않았다.

Fireblocks 결함, CVE-2026-90975

발표 시점이 이 소식에 날을 세운다. 10월 26일 월요일, 취약점 조정 단체 CERT/CC가 커스터디 업체 Fireblocks가 관리하는 mpc-lib 라이브러리의 결함을 기술한 권고문 VU#701544를 공개했다. 해당 결함은 CVE-2026-90975로 추적된다. 보안 연구원 Venkata Satish Guttula는 10월 27일 게시물에서 이 권고문을 요약하며, 하위 서명자 공유(시그너 셰어)가 침해된 상태에서 그 체인 코드와 결합하면 같은 계층 구조 안의 상위 공유까지 노출될 수 있다고 설명했다. 결함은 계층 구조 안에서 자식 키를 생성하는 방법인 BIP32 강화(hardened) 키 유도의 라이브러리 구현에 자리한다. 필요한 프라이빗 부모 키가 없을 때 라이브러리는 요청을 거부하는 대신 0으로 채운 버퍼를 삽입할 수 있다. 권고문에 따르면, 침해된 하위 서명자 공유와 그에 연결된 체인 코드를 함께 입수한 공격자는 해당 당사자의 키 계층 안에서 상위 공유를 복구할 수 있다. CERT/CC는 경계를 분명히 한다. 자금을 지출할 수 있는 완전한 프라이빗 키가 직접 노출되는 것은 아니다. 약해지는 것은 침해된 하나의 공유가 관련 키 정보를 얼마나 넓게 노출할 수 있는지를 제한하던 2차 방어선이다. 권고문은 발행 시점에 벤더의 수정 사항이 존재하지 않았다고 덧붙였고, 구현이 수정될 때까지 체인 코드를 기밀로 유지하고 강화 키 유도를 격리 수단으로 삼지 말 것을 권고했다. 이 공개는 많은 기관이 기반 기술로 여기는 방식을 정면으로 건드린다. MPC는 여러 당사자가 완전한 프라이빗 키를 한곳에 모으지 않고도 거래에 서명할 수 있게 한다. 참여자마다 자신의 키 공유를 보관하고, 집단이 함께 각 이체를 승인한다. 이 설계는 침해된 단말이나 내부자의 위협이라는 단일 실패 지점을 제거하지만, 그 공유를 다루는 소프트웨어의 취약점까지는 메울 수 없다. 구글의 서비스도 같은 암호학적 원리 위에 놓여 있어, 두 개발이 함께 읽히는 이유다.

@snakeyesV1 · X 게시물

이 권고문을 요약.

X에서 보기

CERT/CC 권고문이 이 사안에서 기준 문서다. 부모 키가 없을 때 Fireblocks 라이브러리가 0으로 채운 버퍼로 대체했고, 발행 시점에 벤더의 수정이 없었다는 사실이 기록돼 있기 때문이다. 구글 시스템이 앞으로 통과해야 할 표준이 여기서 나온다. 키 공유의 분산은 한 계층일 뿐이며, 키 유도 로직과 접근 통제, 거래 승인 정책은 각각 별도의 계층이다. 2027년에 커스터디 업체를 고르는 기관들은 이 모든 계층을 한 줄 비교하게 될 것이다. MPC를 자체 구축할지 클라우드 벤더에서 구매할지 판단하는 은행과 암호화폐 거래소에는 이제 하나의 진지한 선택지가 새로 생긴 셈이다. 개인 투자자에게 식은 더 단순하다. 탈취된 키는 여전히 문을 열어 주고, 그 수익은 종종 암호화폐 믹서를 거쳐 흘러간다. 그래서 키가 어디에 놓여 있든 기본적인 암호화폐 보안 수칙의 중요성은 그대로다.