시드 분할과 멀티시그 비교: Shamir, SLIP-39, SSKR

"자금을 옮기려면 여러 조각이 필요하다"는 말은 서로 전혀 다른 두 가지 구성을 가리킵니다. 하나는 분할된 시드입니다. 하나의 비밀을 샤미르 비밀 분산이나 이를 기반으로 한 SLIP-39, SSKR 같은 표준으로 여러 조각(셰어)으로 나눕니다. 다른 하나는 멀티시그입니다. 서로 독립된 여러 키가 있고, 충분한 수의 서명이 모이지 않으면 블록체인 자체가 자금 이동을 거부합니다.

둘 다 위험을 분산하지만 막아 주는 대상이 다르며, 둘을 혼동하면 보기보다 약한 구성이 됩니다.

샤미르 비밀 분산의 작동 방식

샤미르 비밀 분산은 아디 샤미르가 1979년에 발표한 방식으로, 하나의 비밀을 n개의 셰어로 나누어 그중 아무 t개만 있으면 비밀을 복원할 수 있고, t개보다 적으면 아무것도 드러나지 않도록 합니다. '3개 중 2개' 분할에서는 아무 셰어 2개로 비밀을 복원할 수 있고, 셰어 하나만으로는 공격자가 말 그대로 아무것도 알 수 없습니다.

이를 기반으로 한 대표적인 지갑 표준이 두 가지 있습니다.

• SLIP-39는 SatoshiLabs가 만든 표준으로, 각 셰어를 20단어 또는 33단어 문구로 인코딩하며 그룹도 지원합니다(예: "내 셰어 3개 중 2개, 또는 가족에게서 1개와 변호사에게서 1개"). Trezor의 Shamir 백업이 이 표준을 사용합니다.
• SSKR(분할 비밀 키 재구성)은 Blockchain Commons가 만든 표준으로, 자체 인코딩으로 같은 일을 하며 일부 오프라인 서명 기기에서 쓰입니다.

SLIP-39 셰어는 일반 BIP-39 문구와 호환되지 않습니다. SLIP-39를 지원하는 지갑이라도 보통 기존 24단어 문구를 셰어로 변환할 수 없으며, 처음부터 그 방식으로 백업을 만들어야 합니다.

함정: 서명할 때 키가 다시 합쳐진다

샤미르 방식은 백업 기술입니다. 셰어는 비밀이 보관되는 동안 그것을 보호합니다. 하지만 셰어만으로는 아무것도 서명할 수 없습니다. 자금을 쓰려면 셰어를 결합해 완전한 키를 한 기기에서, 하나의 덩어리로 복원해야 합니다.

즉 서명하는 순간, 샤미르로 백업한 지갑은 단일 키 지갑입니다. 그 기기가 해킹되었거나 키를 복원하는 사람이 강요를 받는다면 분할은 아무 도움이 되지 않습니다. 대개 키는 한 번 복원된 뒤 하드웨어 지갑 한 대에 보관됩니다.

멀티시그는 반대로 작동합니다. 각 서명자는 따로 생성한 자신만의 키를 가지며, 키들은 결코 한곳에 모이지 않습니다. 각자 자기 기기에서 서명하고, 블록체인이 유효한 서명이 충분한지 확인합니다. 한 기기가 모든 것을 쥐는 순간은 없습니다. MPC 지갑과 멀티시그에서는 체인 규칙 대신 암호 기술로 키를 나누는 세 번째 방식을 다룹니다.

24단어를 세 토막으로 자르지 마세요

흔히 떠올리는 자가 방식은 처음 8단어를 카드 한 장에, 다음 8단어를 두 번째 카드에, 마지막 8단어를 세 번째 카드에 적는 것입니다. 이것은 샤미르 방식이 아니며 두 가지 문제가 있습니다.

첫째, 임계값 방식이 아닙니다. 세 조각이 모두 필요하므로 카드 한 장만 잃어도 지갑을 잃습니다.

둘째, 조각마다 비밀의 일부가 새어 나갑니다. BIP-39 단어 하나는 11비트를 담고, 24단어 문구에는 256비트의 무작위 값과 8비트 체크섬이 들어 있습니다. 8단어 카드 한 장은 256비트 중 88비트를 드러냅니다. 카드 한 장을 가진 사람은 아직 168비트를 추측해야 하므로 여전히 불가능에 가깝습니다. 하지만 카드 두 장을 가진 사람은 80비트만 추측하면 되며, 이는 문구가 설계된 안전 여유보다 훨씬 낮습니다. 12단어 문구(128비트)라면 4단어씩 나눈 세 조각 중 두 개로 남는 것은 40비트뿐이고, 이는 평범한 하드웨어로도 무차별 대입이 가능합니다.

진짜 샤미르 방식에서는 임계값 미만의 셰어가 아무것도 드러내지 않습니다. 잘라 낸 문구에서는 조각 하나하나가 공격자의 일을 쉽게 만듭니다. 시드를 나누고 싶다면 제대로 된 표준을 쓰세요. 시드 문구 모범 사례에서는 금속 백업과 분산 보관 같은 보다 일반적인 방법을 다룹니다.

장단점: 노출 여부와 체인

각 방식에는 분명한 장점이 있습니다.

• 온체인 흔적. 샤미르 방식은 온체인에서 보이지 않습니다. 지갑은 어느 체인에서나 일반 단일 키 지갑처럼 보이고 동작합니다. 멀티시그는 드러납니다. 비트코인 멀티시그는 지출할 때 스크립트가 공개되고, 계정 기반 체인에서는 금고가 누구나 확인할 수 있는 스마트 계약이나 프로그램입니다.
• 체인 지원. 샤미르 방식은 백업에만 관여하므로 지갑이 지원하는 모든 체인에서 쓸 수 있습니다. 멀티시그는 체인마다 다릅니다. 비트코인은 스크립트를, 이더리움 가상 머신 계열 체인은 스마트 계약 계정을, Solana는 프로그램을 쓰며 각각 수수료와 제약이 다릅니다.
• 무엇을 지키는가. 샤미르 방식은 백업을 분실과 도난으로부터 지킵니다. 멀티시그는 모든 거래를 지킵니다. 어떤 기기도 혼자서는 서명할 수 없기 때문입니다.

두 방식은 서로 배타적이지 않습니다. 중요한 것은 각각이 어떤 위험을 다루는지 아는 것입니다.

SSP의 위치

SSP는 2-of-2 멀티시그입니다. 브라우저 확장 프로그램인 SSP Wallet과 휴대폰 앱인 SSP Key가 각자 자신만의 24단어 복구 문구를 생성합니다. 비트코인 같은 미사용 출력 기반 체인에서는 양쪽 공개 키를 하나씩 담은 2-of-2 멀티시그 스크립트로 금고 주소를 만들고, 모든 거래에 두 서명이 모두 필요합니다. 두 키는 결코 한 기기에서 합쳐지지 않습니다.

SSP는 샤미르 방식, SLIP-39, SSKR을 구현하지 않습니다. 일반 24단어 문구 두 개를 백업하며, 금고를 처음부터 복원하려면 둘 다 필요하므로 두 백업은 똑같이 중요합니다. 2-of-2, 2-of-3, M-of-N 비교에서 그 장단점을, 상속과 긴급 접근에서 필요할 때 다른 사람이 자금을 복구할 수 있게 하는 방법을 설명합니다.

솔직한 요약

시드 분할과 멀티시그는 모두 여러 조각이 필요하지만, 작동하는 시점이 다릅니다. SLIP-39와 SSKR 같은 샤미르 기반 표준은 백업을 보호합니다. 임계값 미만의 셰어는 아무것도 드러내지 않고, 지갑은 온체인에서 보이지 않으며 체인에 구애받지 않습니다. 하지만 서명할 때 완전한 키가 복원되므로 서명 단계에는 여전히 단일 실패 지점이 남습니다. 멀티시그는 결코 만나지 않는 별도의 키를 유지하고 체인이 규칙을 강제하게 하며, 대신 온체인에서 드러나고 체인마다 구현이 다릅니다.

문구를 손으로 잘라 나누지 마세요. 모든 조각이 필요하고, 조각마다 비밀의 비트가 새어 나갑니다. SSP는 서로 독립된 24단어 문구 두 개로 2-of-2 멀티시그를 사용하며 시드 분할 기능은 제공하지 않습니다. 그러니 두 백업을 모두 안전하게 보관하세요.