셀프 커스터디에 대한 흔한 오해가 있다: "제대로 하려면 금고 안에 air-gapped 하드웨어 지갑이 필요하고, 이상적으로는 현금으로 산 Faraday 차폐 노트북에서만 입력하는 passphrase까지 갖춰야 한다". 그것은 하나의 모델이다. 그 모델은 아니며, 대부분의 사용자에게는 잘못된 모델이다 — 실제 위협 수준에 비해 마찰이 너무 많아서, 결국 셋업을 완전히 끝내지 못하고 자금은 거래소에 남는다.
이것은 Self-Custody Fundamentals 시리즈의 다섯 번째 글이다. 이전 글은 셀프 커스터디가 실제로 당신에게 요구하는 것을 다섯 가지 작업 범주로 풀었다. 이번 글은 셀프 커스터디 자체의 스펙트럼에 관한 것이다 — 그리고 대부분의 사람에게 옳은 답이 cold storage 끝이 아니라 중간에 있는 이유에 관한 것이다.
TL;DR
- 셀프 커스터디는 단일 설정이 아니다. 하나의 스펙트럼이다: 하루 종일 서명하는 모바일 핫 지갑에서, 여는 데 30분이 걸리는 완전 air-gapped 멀티시그 볼트까지.
- 스펙트럼의 옳은 지점은 위협 모델, 거래 빈도, 보유 금액에 달려 있다.
- "Cold storage"는 보통 인터넷 연결 기기와 절대로 닿지 않는 air-gapped 하드웨어 지갑을 의미한다. 진짜 cold storage는 운영 부담이 크고 treasury 규모의 보유에 한정된다.
- 대부분의 사용자에게 옳은 지점은 warm storage이다 — 매일 사용하는 기기 위의 논커스터디얼 지갑으로, 키를 두 기기에 분할해 어느 하나도 단독으로 서명하지 않게 한다. SSP의 2-of-2는 곡선의 이 지점을 위해 만들어졌다.
- "데일리 드라이버" 핫 지갑(단일 기기, 단일 키, 모바일)은 용돈에 적합하다. 의미 있는 잔고가 살아야 할 곳은 아니다.
실제 스펙트럼
셀프 커스터디는 이진적이지 않다. 대체로 다음과 같은 연속체 위에 존재한다:
1. 커스터디얼. 셀프 커스터디가 아니다. 거래소가 키를 보유��다. 일곱 가지 실패 모드 글을 보라.
2. 단일 키 핫 지갑. 셀프 커스터디이지만, 키셋 전체가 대부분 온라인인 한 기기 위에 있다. 데스크톱의 MetaMask, 휴대폰의 Phantom, 기본 Trust Wallet. 편리하고 마찰이 낮지만, 전체 지갑이 버그 하나나 악성 확장 하나만큼 비워지기 일보 직전이다.
3. 단일 키 콜드 지갑. 오프라인에서 서명하고 트랜잭션을 푸시할 때만 잠깐 연결되는 하드웨어 지갑(Ledger, Trezor, Coldcard). 키는 절대로 따뜻한 기기에 닿지 않는다. 핫보다 강하지만 여전히 시드 프레이즈에 단일 장애점이 있고, 일상 결제에서 그만 쓰게 만드는 마찰이 있다.
4. 멀티시그 핫 지갑. 두 개 이상의 키, 그러나 모두 준-온라인 기기에 있다. SSP의 2-of-2가 여기 앉는다 — 한 키는 브라우저 확장에, 한 키는 휴대폰에. 두 서명 모두 필요하며, 단일 기기로는 자금을 옮길 수 없다. 두 기기는 서로 다른 공격 표면이므로, 한쪽이 침해되어도 지갑이 비워지지 않는다.
5. 콜드 키 하나가 있는 멀티시그. 4와 동일하나, 최소 한 서명자는 오프라인 하드웨어 기기다. 원격 공격에 대한 저항이 커지고, 일상 송금의 마찰도 커진다.
6. 완전 콜드 멀티시그 볼트. 모든 서명자가 오프라인, 흔히 물리적으로 분산되어 있다. BitGo, Casa, Unchained Capital이 기관 규모 보관용으로 판매하는 설정이다. 복구와 서명 모두 대면 의식을 수반한다. 트랜잭션당 일에서 주 단위의 운영 지연.
"cold storage를 써라"는 클리셰는 암묵적으로 옵션 6을 가리킨다. treasury에게는 옳다. 가끔 DeFi에 참여하고 싶은 다섯 자리 크립토 보유 개인에게는 과하다.
"Cold storage"가 실제로 의미하는 것 (그리고 대부분의 사람들이 그것을 필요로 하지 않는 이유)
Cold storage는 엄격한 약속이다: 서명 키가 인터넷 연결 기기에 절대 닿지 않는다. WiFi가 꺼진 노트북이 아니라 — WiFi가 한 번도 활성화된 적 없는 노트북. 함의:
- 에어갭 서명. 따뜻한 기기에서 트랜잭션을 만들고, (QR 코드나 microSD로) 콜드 기기로 옮기고, 거기서 서명한 다음 서명된 트랜잭션을 되가져온다. 모든 전송이 워크플로우다.
- 별도 기기. 콜드 기기는 당신의 휴대폰이나 노트북이어서는 안 된다. 전용 하드웨어 지갑이거나, 서랍에 사는 와이프된 옛 노트북이다.
- 물리 보안. 잠금장치 없는 아파트의 서랍에 사는 cold storage는 사실 차갑지 않다. 핵심은 원격 공격을 불가능하게 만드는 것이며, 이는 이제 물리적 접근이 위협이 됨을 의미한다 — 그래서 그것은 금고, 보관함, 또는 지리적으로 분리된 위치에 산다.
이것은 몇 가지 특정 상황에 맞는 옳은 모델이다:
- 실제로 몇 년 동안 자금을 만지지 않을 계획인 장기 보유자.
- 공격 표면을 거의 0으로 줄이기 위해 어떤 운영 지연도 받아들일 수 있는 금액을 보유하는 treasury(개인 또는 법인).
- 최적화가 십 년 단위인, 상속 또는 세대 간 보유.
그 외 모든 사람에게 cold storage의 마찰은 그 보안을 무위로 만든다. 수많은 사용자를 죽인 패턴: 하드웨어 지갑을 사서, 셋업한 다음, (a) 워크플로우가 짜증나서 서랍에 두고 절대 쓰지 않고, 자금은 거래소에서 "결국 옮길 날"을 기다리거나, (b) 기기를 잃고 시드 백업이 제대로 되어 있지 않다 — cold-storage 규율이 한 번도 체화되지 않았기 때문이다.
실제로 사용하는 멀티시그 핫이 사용하지 않는 콜드 지갑을 이긴다.
Warm storage: 대부분의 사용자가 살아야 할 곳
"Warm storage"는 표준 용어가 아니지만 옳은 아이디어를 잡는다: 당신이 실제로 사용하는 기기 위의 키, 현실적인 공격을 견딜 만큼 강한 보안 모델.
정의적 속성:
- 여러 키, 여러 기기. 한 기기의 침해 — 악성 확장, 잠금 해제가 도난당한 휴대폰 — 가 지갑을 비워서는 안 된다. 2-of-2 모델이 이것을 직접 처리한다.
- 키마다 서로 다른 공격 표면. 브라우저 확장과 모바일 앱은 서로 다른 코드, 서로 다른 OS, 서로 다른 위협 프로파일이다. 두 가지를 동시에 침해하는 공격자는 당신을 향한 매우 구체적인 행동을 하고 있다.
- 낮은 트랜잭션 마찰. 일상 트랜잭션 전송에 20분과 microSD 카드가 필요해서는 안 된다. 각 기기에서 한 번의 탭이면 된다 — 5분이 아니라 5초의 한계 노력.
- 정직한 복구 이야기. 한 기기를 잃어도 다른 기기와 wallet-recovery 흐름으로 복구할 수 있다. 시드를 완전히 잃으면 곤란하지만 — 시드 프레이즈 모범 사례가 그 층을 다룬다.
$1k–$100k를 보유하고 DeFi와 상호 작용하거나 주간 트랜잭션에 서명하는 개인 사용자에게 warm storage가 옳은 답이다. 중요한 보안 개선을 얻는다 — 단일 기기 침해가 당신을 비우지 않는다 — 트랜잭션마다 에어갭 세금을 내지 않으면서.
언제 cold storage를 위에 추가해야 하나
"warm 대신 cold"라는 규칙은 없다. 운영 비용을 정당화할 수 있는 금액에 대해서는 정답이 둘 다이다: 일상 활동을 위한 warm와 저축 계층을 위한 cold 설정.
진지한 보유를 가진 사용자를 위한 합리적인 배분:
- 핫 지갑 (소규모의 모바일 전용 설정): 용돈, 일상의 DeFi 상호 작용. 여기 잔고를 지갑 안의 현금처럼 다뤄라 — 다음 두 주를 위한 정도이지 평생 저축이 아니다.
- 웜 지갑 (당신의 일상 기기 위 SSP 2-of-2 또는 동등 멀티시그): 운영 계좌. 수백에서 낮은 다섯 자리. 대부분의 트랜잭션이 출발하는 곳.
- 콜드 지갑 (air-gapped 하드웨어 멀티시그 또는 단일 콜드 서명자): 저축 계층. 몇 달 또는 몇 년 동안 만질 계획이 없는 다섯 자리 이상. 복구 절차 문서화, 상속 계획 포함, 한 키는 보관함이나 가족에게.
분할은 임의적이지 않다 — 이는 은행이 입출금 계좌 vs. 저축 vs. CD에 적용하는 동일한 논리다. 활발히 사용되는 자금은 따뜻하게 유지된다. 장기 보관 자금은 차갑게 간다. 각 층은 그 지평에 맞는 마찰을 받아들인다.
대부분의 사용자에게 콜드 층은 아직 존재하지 않는다, 워밍 층으로 충분하기 때문이다. 잔고가 커지면 콜드 층이 추가된다.
이것이 당신에게 의미하는 바
세 가지 요약:
- "cold storage"가 거래소에 머무는 이유가 되지 않게 하라. 오늘 실제로 사용하는 warm 멀티시그는 다음 달에 만들 cold 설정보다 극적으로 안전하다. 자금을 먼저 옮기고, 모델을 나중에 다듬어라.
- 마케팅이 아니라 위협 모델에 설정을 맞춰라. 당신의 현실적 위협이 악성 브라우저 확장과 클립보드 리플레이서라면 — 그리고 거의 모든 리테일 사용자에게는 그것이다 — 브라우저와 모바일 사이의 2-of-2가 둘 다 이긴다. 지하실의 Faraday 케이지는 당신이 직면하는 실제 위협에 대한 더 많은 보안을 사주지 않는다.
- 시간이 지남에 따라 저축 층을 키울 계획을 세워라. 보유가 커지면 옳은 답은 아마 "모두 warm"에서 "warm + cold"로 옮겨갈 것이다. 첫날에 둘 다 하려고 하지 말라; 먼저 warm을 제대로 하고, 금액이 운영 비용을 정당화할 때 cold 층을 추가하라.
시리즈의 다음이자 마지막 글, self-custody checklist for your first $1,000은 새 셀프 커스터디 사용자가 순서대로 밟아야 할 구체적인 단계들을 짚는다 — 열 번째가 아닌, 당신이 보유하는 첫 번째 의미 있는 크립토 금액을 위해 설계되었다.
