열쇠가 세 개면 세 배 안전할까
멀티시그(다중서명) 지갑은 거래를 실행하려면 여러 개의 키 가운데 정해진 수 이상이 서명해야 하는 지갑입니다. 3개의 키 가운데 2개가 서명해야 한다면 ‘2-of-3’ 구조라고 부릅니다. 키 하나를 잃어버리거나 도난당해도 자산이 바로 위험해지지 않는다는 점에서 DeFi 프로젝트의 금고나 기업 자산 관리에 널리 쓰입니다.
하지만 키가 여러 개라고 해서 자동으로 안전해지지는 않습니다. 키들이 같은 곳에 보관돼 있거나, 서명자들이 같은 방식으로 속을 수 있다면 여러 키가 한꺼번에 실패할 수 있습니다. 이 글은 서명 임계값의 의미, 함께 실패하는 경우, 가상의 운영 시나리오와 권한·복구 절차를 점검하는 방법을 정리합니다.
서명 임계값이 뜻하는 것
Safe 문서는 스마트 계정이 정해진 수(임계값)의 소유자가 거래를 승인해야 실행되도록 설계돼, 추가 계약을 신뢰하지 않아도 되는 안전한 기본값을 제공한다고 설명합니다. 일반 지갑이 개인키 하나로 모든 권한을 갖는 것과 달리, 멀티시그는 블록체인 위의 스마트계약이 서명 수를 세고 조건이 맞을 때만 거래를 실행합니다.
임계값은 보안과 편의 사이의 균형입니다. 2-of-3은 키 하나를 잃어도 운영이 가능하고, 키 하나가 털려도 단독으로 자산을 옮길 수 없습니다. 3-of-5는 더 많은 키가 동시에 털려야 위험해지지만, 서명자 3명을 모으는 데 시간이 더 걸립니다. 1-of-N은 사실상 여러 개의 단일 키 지갑과 같아 보안 이점이 거의 없습니다.
2-of-3 가상 운영 시나리오
아래 표는 2-of-3 멀티시그를 운영하는 가상의 팀이 겪을 수 있는 상황과 결과입니다.
| 상황 | 남은 정상 키 | 자산 이동 가능 | 위험 |
|---|---|---|---|
| 키 1개 분실 | 2개 | 정상 서명자 2명이 가능 | 남은 키 관리가 더 중요해짐 |
| 키 1개 도난 | 2개 | 공격자 단독으로는 불가 | 즉시 도난 키 교체 필요 |
| 키 2개가 같은 클라우드에 보관 중 유출 | 1개 | 공격자가 단독으로 가능 | 자산 탈취 위험 |
| 서명자 2명 연락 두절 | 1개 (사용 가능) | 누구도 이동 불가 | 자산이 묶임 |
멀티시그의 보안은 키 개수보다 각 키가 서로 독립적으로 보관·운영되는지에 달려 있습니다.
서명자가 함께 실패하는 경우
서명자 수가 많아도 모두 같은 회사 노트북, 같은 클라우드 백업, 같은 지갑 앱을 쓴다면 한 번의 공격으로 여러 키가 함께 털릴 수 있습니다. 또 서명자들이 서명 화면의 내용을 확인하지 않고 습관적으로 승인한다면, 공격자가 만든 악성 거래도 임계값을 넘어 실행될 수 있습니다.
실제로 멀티시그를 쓰는 서비스에서도 서명자들이 변조된 화면에 속아 승인한 사고가 있었습니다. Ethereum.org의 보안 문서도 접근 제어 설계와 함께 서명 과정 자체의 검증을 강조합니다. 서명자는 지갑 화면뿐 아니라 하드웨어 지갑 화면에 표시되는 거래 내용을 직접 확인해야 합니다.
권한과 변경 기록 확인
멀티시그는 블록체인 위의 계약이므로 소유자 목록, 임계값, 지금까지의 거래와 설정 변경 기록을 누구나 조회할 수 있습니다. DeFi 프로젝트가 ‘멀티시그로 관리한다’고 밝혔다면, 실제 주소에서 몇 개의 키 가운데 몇 개가 서명해야 하는지, 소유자가 최근에 바뀌었는지 확인할 수 있습니다.
소유자를 추가·삭제하거나 임계값을 낮추는 변경도 멀티시그 거래로 실행됩니다. 임계값이 갑자기 낮아졌거나 소유자 다수가 짧은 기간에 바뀌었다면 주의할 신호입니다. 타임락이 걸려 있어 변경이 일정 시간 뒤에 적용되는 구조라면 사용자가 미리 대응할 시간이 생깁니다.
서명자 수와 독립성은 별개
‘5명의 서명자’라고 해도 그중 4명이 같은 회사 직원이라면, 회사 내부의 결정이나 압력에 함께 움직일 수 있습니다. 프로젝트의 탈중앙화 정도를 판단할 때는 서명자 수보다 서명자들이 서로 독립적인지, 누가 누구인지 공개돼 있는지를 함께 봐야 합니다.
반대로 서명자 신원을 모두 공개하면 사회공학적 공격의 표적이 될 수도 있습니다. 공개 범위는 프로젝트마다 다르지만, 최소한 서명자가 서로 다른 조직과 장비로 키를 관리한다는 점은 확인할 수 있는 것이 좋습니다.
복구 절차까지 평가하기
개인이나 팀이 멀티시그를 직접 운영하거나, 멀티시그로 관리되는 서비스를 이용할 때 아래 순서로 점검해 보세요.
- 멀티시그 주소에서 소유자 수와 임계값, 최근 설정 변경 내역을 블록 탐색기로 확인합니다.
- 각 키가 서로 다른 장비·장소·사람에게 독립적으로 보관되는지 확인합니다.
- 서명할 때 지갑 앱과 하드웨어 지갑 화면의 거래 내용(대상 주소, 금액, 호출 함수)을 대조하는 절차가 있는지 봅니다.
- 키 하나가 분실·도난됐을 때 남은 서명자로 소유자를 교체하는 절차를 미리 문서화해 둡니다.
- 서명자 다수가 연락이 안 되는 상황을 가정해, 자산이 영구히 묶이지 않도록 하는 대비책이 있는지 확인합니다.
멀티시그가 해결하지 못하는 것
멀티시그는 단일 키의 위험을 줄여주지만, 서명자들의 판단 실수, 내부 공모, 스마트계약 자체의 오류까지 막아주지는 못합니다. 멀티시그 계약이 연결된 다른 계약에 위험이 있다면 그 위험도 그대로 남습니다.
이 글의 운영 시나리오는 가상의 예시입니다. 실제로 멀티시그를 쓰거나 평가할 때는 공식 문서와 블록체인 기록을 발표 시점까지 함께 확인하고, 키 개수보다 키의 독립성과 복구 절차를 중심으로 판단하는 것이 좋습니다.