크립토 커스터디: 내 키는 실제로 누가 쥐고 있을까?

이 질문은 기술적인 것처럼 들릴 수 있습니다. 사실 거래소를 선택하는 것은 크립토를 다룰 때 누구나 내리는 가장 중대한 결정 중 하나이지만, 대다수의 사람들은 계획적인 설계보다는 우연에 의해 선택하곤 합니다. 잘 알려진 거래소에서 계정을 열고, 앱을 설치하거나, 크립토 자산으로 들어가는 가장 편안한 경로를 따를 때 당신은 어떤 의미에서 앞뒤를 가리지 않고 뛰어드는 것과 같습니다. 아무도 당신을 대신해 커스터디(수탁) 조건을 명확히 짚어주지 않기 때문입니다. 거의 모든 경우에 대한 답은 바로 '다른 누군가가 당신의 키를 쥐고 있다'는 것입니다. 그리고 그 '다른 누군가' 역시 자신들만의 동기, 취약성, 그리고 이들을 조사할 전적인 권한을 가진 규제 기관과의 독특한 관계를 지니고 있습니다.

모든 기술적 포장을 걷어낸 가장 본질적인 커스터디의 핵심은 '통제권'에 관한 것입니다. 특정 크립토 주소를 완벽하게 지배하는 것은 프라이빗 키를 누가 통제하느냐에 의해 결정됩니다. 고객센터 번호도, 분쟁 해결 서비스도, 신원을 확인하고 새 계좌 번호를 발급해 줄 수 있는 은행 지점장도 없습니다. 키가 곧 계좌입니다. 당신이 키를 가지고 있다면 돈은 당신의 것입니다. 다른 누군가가 그것을 쥐고 있다면 그것은 그들의 것이며, 당신은 기껏해야 그들의 지급 능력, 호의, 그리고 당신이 속한 관할권의 법률에 전적으로 의존하는 무담보 법적 청구권을 가질 뿐입니다. 이는 대부분의 사람들에게 새로운 유형의 금융 관계이며, 그 파급 효과는 많은 입문 가이드가 인정하는 것보다 훨씬 광범위합니다.

커스터디 101 — 커스터디의 진정한 본질

비트코인을 비롯한 암호화폐들은 처음부터 신뢰할 수 있는 제3자가 필요 없는(non trusted third party) 시스템으로 설계되었습니다. 그 근본적인 이유는 은행, 청산소, 또는 자금을 동결하거나 거래를 되돌리거나 부적절한 순간에 단순히 작동을 멈출 수 있는 어떠한 권력 기관의 필요성도 없애기 위함이었습니다. 오리지널 백서에서 사토시 나카모토는 신뢰 대신 암호학적 증명을 사용하여 이중 지불을 방지하는 P2P 네트워크 기반의 전자 화폐 방식을 설명했습니다. 여기서 진정으로 중요한 것은 프라이빗 키였습니다.

초창기에는 이것이 정말 중대한 문제였습니다. 사람들은 가정용 컴퓨터에서 노드를 실행하고, USB 드라이브에 키를 보관하며, 종이 지갑을 인쇄하고, 시드 구문을 암기했습니다. 그 문화는 지독할 정도로 자립적이었습니다. "Not your keys, not your coins(키를 갖지 않았다면 코인도 당신의 것이 아니다)"라는 말은 단순한 유행어가 아니었습니다. 다른 사람에게 돈을 맡겼을 때 무슨 일이 일어나는지 목격할 만큼 이 판에 오래 머물렀던 사람이라면 누구나 읊조리던 거의 종교적인 원칙이었습니다.

역사적으로 일어난 일들은 대개 우리 대부분이 용납하기 힘든 결과였습니다. 2013년 초 전성기 시절 전 세계 모든 비트코인 거래의 70~80%를 처리했던 마운트곡스(Mt. Gox)는 파산 보호를 신청하기 전까지 오랜 기간에 걸쳐 당시 약 4억 5천만 달러에 달하는 약 850,000 BTC를 도난당했습니다. 직후 거래소에 비트코인을 맡겼던 고객들은 빈털터리가 되었고, 파산 절차를 통해 푼돈만을 건지며 수년을 기다려야 했습니다. 이 교훈은 기억되었고 수없이 회자되었습니다. 그러나 이후 10년 동안 사람들은 다른 거래소들에서도 이와 비교적 유사한 상황을 겪었습니다.

결국 그러한 행동이 비논리적인 것만은 아니었습니다. 자신의 키를 직접 관리하는 것은 너무나 어렵고, 키를 잃어버릴 수 있는 방법은 너무나 많기 때문입니다. 커스터디의 역사를 살펴보면 누군가를 셀프 커스터디(자체 보관)에서 손을 떼게 만들 만한 경고성 일화들이 차고 넘칩니다.

한 가지 사례로 웨일스 뉴포트의 비트코인 개척자인 제임스 하웰스(James Howells)가 있습니다. 그는 2013년 8,000 BTC가 들어 있는 지갑의 프라이빗 키가 담긴 노트북 하드 드라이브를 실수로 버렸습니다.

밀봉된 매립지에 묻혀 고등법원이 지방의회를 고소할 수 없다고 판결하면서 법적으로 되찾을 수 없게 된 이 코인들은 2025년 초 기준 약 6억 파운드의 가치에 달했습니다. 하웰스는 12년간의 캠페인과 인공지능 기반 기계를 사용해 현장을 발굴하겠다는 정교한 계획을 세운 끝에 마침내 2025년 여름 백기를 들었습니다. 그 코인들은 여전히 땅속에 묻혀 있습니다.

리플(Ripple)의 최고기술책임자(CTO)를 잠시 역임했던 초기 비트코인 기여자인 독일 소프트웨어 엔지니어 슈테판 토마스(Stefan Thomas)는 최고가 기준 7억 달러 이상의 가치를 지닌 7,002 BTC가 든 암호화된 IronKey USB의 비밀번호를 잊어버렸습니다. IronKey는 비밀번호 입력에 10번 실패하면 내용을 영구 삭제합니다. 토마스는 총 8번을 시도해 모두 실패했고, 남은 2번의 기회를 남겨두고 시도를 멈췄습니다. 그 드라이브는 스위스의 한 금고에 보관되어 있습니다. 비밀번호는 여전히 오리무중이며, 코인은 접근할 수 없는 상태로 남아 있습니다.

이것들은 특이한 예외 사례가 아닙니다. 추정에 따르면 유사한 상황으로 인해 200만~400만 개의 비트코인이 영원히 분실된 것으로 보이며, 이는 전체 공급량의 약 20%에 달하는 규모로, 설계가 아닌 단순한 인간의 실수로 인해 사라진 것입니다.

이처럼 영구적인 손실이라는 배경과 비교해 보면 커스터디얼(수탁형) 지갑의 매력을 쉽게 이해할 수 있습니다. 거래소, 지갑 제공업체, 금융 기관 등 다른 누군가에게 키를 넘기면 그들은 키를 보호하기 위해 열심히 노력해야 합니다. 비밀번호를 잊어버려도 그들이 신원을 확인하여 접근 권한을 복구해 줄 수 있습니다. 기기를 잃어버려도 키를 애초에 직접 쥐고 있지 않았으므로 영구적으로 잃어버리는 것은 없습니다. 당신은 사실상 은행 관계를 재구축한 셈입니다. 기관이 당신을 위해 자산을 수탁하고, 당신은 해당 기관에 대한 청구권을 보유합니다.

이는 편안하고 익숙합니다. 암호화폐 업계를 오래 지켜본 사람이라면 누구나 알듯이, 이 역시 전적으로 신뢰에 기반한 시스템입니다. 당신은 자산을 맡긴 기관의 신뢰성, 청렴성, 신용에 온전히 의존하고 있는 것입니다.

처음부터 커스터디 서비스는 왜곡된 인센티브 구조를 가지고 있었습니다. 거래소와 수탁업체는 영리 기업입니다. 그들은 결코 당신의 재산을 보호하기 위해 이 일을 하는 것이 아니며, 주된 목표는 돈을 버는 것입니다. 그 구조는 이렇습니다. 이 두 가지 목표가 맞아떨어질 때는(실제로 자주 그렇습니다!) 매우 잘 작동합니다. 그러나 둘이 어긋나는 순간 파멸적인 결과의 위험이 급증합니다. 수년간 샘 뱅크먼-프리드(Sam Bankman-Fried)는 고객 예치금을 관리하는 냉철한 관리자이자 신중한 업계 구축의 옹호자로 비쳤습니다. 그러나 그는 FTX의 고객 자금을 유용하여 자신의 헤지펀드인 알라메다 리서치(Alameda Research)를 통해 투기성 베팅 자금을 조달하고 있었습니다. FTX는 2022년 11월 80억 달러가 넘는 고객 예치금이 증발하며 파산했습니다. FTX에 자금을 맡겼던 사용자들은 자산을 잃고 남겨졌습니다.

셀시우스 네트워크(Celsius Network) 역시 2022년 7월 파산을 신청하며 약 47억 달러의 고객 자금을 동결했습니다.

셀시우스는 높은 수익률을 약속하며 스스로를 크립토 은행으로 홍보했습니다. 한동안 수익률은 현실이었지만 모델의 지속 가능성은 그렇지 못했습니다. 2021년 4월, 튀르키예 거래소 토덱스(Thodex)는 20억 달러의 사용자 자금을 회수 불가능한 상태로 남겨둔 채 문을 닫았고, 창업자는 잠적했습니다. 2018년 캐나다 거래소 쿼드리가CX(QuadrigaCX)는 정체불명의 창업자가 사망하면서(혹은 이후 면밀한 조사를 통해 제기되었듯 자신의 죽음을 위장하면서) 약 1억 9천만 달러를 보유한 콜드 월렛의 비밀번호가 사실상 사라져 작동을 멈췄습니다. 이 모든 사례의 피해자는 커스터디 서비스를 사실상 은행인 것처럼 대하고, 실제 실사가 이루어지고 있는지 묻지 않았던 사용자들이었습니다.

커스터디 서비스에 가입할 때 단순히 자산을 넘겨주는 것 이상의 일이 발생합니다. 오늘날 완전히 온보딩된 커스터디얼 계정은 다음을 요구할 수 있습니다:

글로벌 데이터베이스를 통해 검증되는 정부 발급 신분증

거주 증명이 포함된 고객 확인(KYC) 문서: 공과금 청구서나 은행 거래 내역서를 제출할 수 있습니다

신분증과 대조하는 셀카 또는 라이브 비디오 매칭

많은 관할권에서 납세자 번호나 사회보장번호 제출 필수

거래 모니터링 및 자금 출처 증빙 서류 요청 가능성

이러한 각 단계는 데이터 수집으로 이루어집니다. 그 데이터는 수탁업체의 시스템 어딘가에 존재하며, 소환장 발부 대상이 될 수 있고, 규제 당국에 대한 의무적 보고 요건의 적용을 받으며, 따라서 잠재적인 유출 위험에 노출됩니다. 2025년 보고된 크립토 보안 사고의 79%는 중앙화 플랫폼에서 발생했으며, 해커들은 그해 상반기에만 약 27억 달러를 훔쳤습니다. 커스터디얼 모델은 위험을 완전히 제거하는 것이 아닙니다. 위험을 다른 장소로 이동시키고 집중시킬 뿐입니다.

커스터디 서비스가 이러한 위험의 대가로 정직하게 제공하는 것은 바로 '복구'입니다. 이 중 어느 것도 당신의 삶의 일부가 될 필요는 없지만, 잊어버린 비밀번호를 재설정하거나 철저한 본인 확인을 거쳐 잠긴 계정을 복구하거나 시스템에 문제가 발생했을 때 고객지원팀에 문의할 수 있는 실질적이고 진정한 서비스를 제공합니다. 크립토에 익숙하지 않고, 기술적인 자신감이 부족하며, 시드 구문을 안전하게 보관하는 데 필요한 원칙에 익숙하지 않다면 커스터디얼 방식은 표면적으로 나쁜 선택이 아닙니다. 이것은 일련의 기회비용이자 트레이드오프(trade-off)입니다. 쟁점은 그러한 트레이드오프의 반대편에 있는 주체가 이 신뢰를 받을 자격이 있는가 하는 점이며, 많은 상황에서 솔직히 당신에게는 이를 파악하는 데 필요한 정보가 부족합니다.

논커스터디얼 지갑 — 스스로를 물어뜯을 수 있는 자유

논커스터디얼(비수탁형) 지갑을 논할 때 키 관리의 책임은 전적으로 사용자에게 있습니다. 지갑을 생성하면 시드 구문(주로 사전에서 무작위로 생성되고 선택된 12개 또는 24개의 단어)을 받게 되며, 이는 말 그대로 자산에 접근할 수 있는 완전한 접근 키입니다. 재설정할 수 없습니다. 문의할 고객지원 창구도 없습니다. 이것은 인간이나 조직이 통제하지 않는 블록체인 위의 지갑이며, 당신의 프라이빗 키는 당신이 보관하기로 결정한 곳에만 존재합니다. 그 시드 구문을 잃어버리고 백업이 없다면, 블록체인이 작동하는 한 당신을 포함한 그 누구도 해당 지갑의 자산에 접근할 수 없습니다.

이는 기술적 아키텍처상 의도된 것입니다. 프라이빗 키는 결정론적 암호화 함수를 사용하여 시드 구문으로부터 계산된 값이므로, 시드 구문을 가진 사람이라면 누구나 어떤 지역의 어떤 기기에서든 당신의 지갑에 접근할 수 있습니다. 지갑의 보안은 시드 구문이 안전한지 여부와 직결된다고 볼 수 있습니다. 서랍 속의 종이 한 장, 스마트폰의 메모, 클라우드 저장소에 업로드된 스크린샷 등 이 모든 것이 취약점이 될 수 있으며, 공격자에게 악용되거나 소유자의 부주의로 분실되어 왔습니다.

Ledger나 Trezor 같은 제조사에서 만든 물리적 장치인 하드웨어 지갑은 연결된 컴퓨터에 키를 절대 노출하지 않는 보안 칩에 프라이빗 키를 저장합니다. 트랜잭션은 장치 내부에서 서명됩니다. 그러나 하드웨어 지갑도 이를 설정하는 데 사용된 시드 구문의 분실까지 막아주지는 못합니다. 기기와 시드 구문을 모두 잃어버리면 자산은 사라집니다.

하드웨어 지갑의 판매량은 2025년까지 전년 대비 29% 증가했으며, 이 기간의 설문조사 증거에 따르면 크립토 사용자의 약 59%가 논커스터디얼 지갑 구조를 선호하는 것으로 나타났습니다. 이는 수년간의 거래소 파산 사태를 겪으며 나타난 현상으로, 그 과정에서 돈을 잃고 무엇을 하지 말아야 하는지 배운 새로운 유형의 사용자들입니다. 셀프 커스터디는 시드 구문 관리에 대한 흥미보다는 기관에 대한 회의론에 의해 주도되는 뚜렷한 추세입니다.

자신의 자금이 인증된 신원과 연결되는 것을 원치 않는 크립토 사용자가 취할 수 있는 유일한 실질적인 프라이버시 경로는 논커스터디얼 지갑을 사용하는 것입니다. 자체 보관 지갑에서 퍼블릭 블록체인을 통해 직접 거래하면 트랜잭션이 공개적으로 표시되어 모든 전송 내역을 추적할 수 있지만, 주소가 이름, 주소, 은행 명세서와 자동으로 연결되지는 않습니다. 거래 상대방이 보는 것은 그 문자열일 뿐이며, 당신이 어떤 사람인지는 알 수 없습니다. 그것이 얼마나 중요한지는 궁극적으로 누가 들여다보고 있는지, 그리고 그들이 그 정보로 무엇을 하려는지에 달려 있습니다.

프라이버시, 규제, 그리고 감시의 눈길

커스터디얼 지갑과 논커스터디얼 지갑 사이의 프라이버시 격차는 명백하며 날이 갈수록 커지고 있습니다. 현재 거의 모든 커스터디 서비스는 완전한 KYC 준수를 의무화하고 있습니다. 정부 신분증, 생체 인식 데이터, 주소 증명은 물론 본 글 작성 시점에는 거의 항상 납세자 번호까지 요구됩니다. 이 모든 정보가 수집, 보관되며 규제 요건에 따라 공유될 수 있고, 침해 사고 시 유출될 위험이 있습니다.

2026년까지 거래량 기준 상위 중앙화 거래소의 92%가 KYC를 완료했습니다. 소위 FATF 트래블 룰(Travel Rule)은 현재 85개 관할권에서 법제화되어 일정 기준액 이상의 모든 전송에 대해 송신자와 수신자의 세부 정보를 수집하도록 요구합니다. 커스터디얼 크립토의 감시 생태계는 이제 전통적인 은행 시스템과 거의 대등해졌으며, 블록체인이 모든 개별 트랜잭션의 공개 장부를 제공한다는 점에서는 여러 면에서 은행을 능가합니다.

규제 기관의 관점에서 볼 때 커스터디얼 지갑은 논커스터디얼 지갑보다 훨씬 덜 까다롭습니다. 신원이 수탁업체를 통해 확인되었고, 그들은 당신이 행하는 모든 거래를 모니터링하고 있으며, 당신이 그들의 위험 프로필 중 하나와 정확히 일치하는 방식으로 비즈니스를 시작하기라도 하면 계정이 동결되고 해당 활동은 당국에 보고되어야 합니다. 이는 당신을 컴플라이언스 프레임워크가 행동을 관찰하고 중단시킬 수 있는 '알려지고 기록된 대상'으로 만듭니다. 당신은 프라이버시를 대가로 적법성과 규제 기준을 통과해야만 제공되는 서비스에 대한 접근 권한을 얻는 것입니다.

논커스터디얼 지갑의 영역은 별도의 규제 영역입니다. 셀프 커스터디 지갑에서는 누구에게도 자신을 증명할 필요 없이 원하는 만큼 암호화폐 예치금을 보유할 수 있습니다. 어떤 기관 보고 메커니즘도 촉발하지 않고 이를 수행할 수 있습니다. 규제 당국도 이를 주목했으며 대응 방식이 바뀌고 있습니다. 2026년 기준 DeFi 및 지갑 컴플라이언스 규제는 뜨거운 이슈가 되었으며, 규제 기관들은 분산형 프로토콜을 통해 활동이 라우팅되더라도 자금세탁방지(AML) 및 대테러 금융 통제가 모든 종류의 금융 활동에 대한 기본 요건이라고 점점 더 인식하고 있습니다. 점점 더 많은 커스터디얼 플랫폼이 곧 호스팅되지 않은 지갑(unhosted wallet)과의 상호작용도 문서화해야 할 것입니다.

프라이버시 문제는 양날의 검이 될 수 있습니다. 커스터디얼 지갑은 신원 데이터 수집에 당신을 노출시키고, 논커스터디얼 지갑은 시드 구문 도난 및 피싱에 당신을 노출시킵니다. 2025년 FBI는 두 범주 모두에서 미국 내 암호화폐 사기로 인한 총 손실액이 90억 달러를 넘었다고 보고했습니다. 두 모델 모두 기본적으로 당신을 안전하게 만들어 주지는 않습니다. 서로 다른 위협에, 다양한 방식으로, 다른 수준의 파과력으로 당신을 노출시킬 뿐입니다. 따라서 특정 방식을 무조건 선호하기보다는 당신의 상황에 따라 어떤 위협이 더 치명적인지 파악하는 것이 훨씬 더 중요합니다.

소셜 복구 지갑을 위한 ERC-4337과 같은 표준은 유력한 절충안을 제시합니다. 지정된 가디언이 접근 권한을 복구할 수 있지만 단일 시드 구문이 필요 없고, 중앙화된 수탁자 대신 온체인에 제어권을 둠으로써 더 나은 영속성을 제공합니다. 아직 도입률이 낮고 보안 모델이 여전히 발전 중이지만, 이들은 완전한 수동 설정 개입보다는 인간 친화적인 키 관리를 지속적으로 추진해 나갈 것입니다.

수익성 — 커스터디가 수익률에 영향을 미칠까?

커스터디 문제는 겉으로 드러나지 않는 방식으로 수익성과 밀접하게 얽혀 있습니다. 커스터디얼 거래소는 대개 더 쉬운 거래 인터페이스, 더 깊은 유동성, 더 빠른 체결 속도를 제공하며, 본질적으로 어떤 형태의 스테이킹이나 이자 수익을 기본 제공하는 경우가 많습니다. 사용자는 DeFi 프로토콜과 상호작용하거나 하드웨어 지갑을 관리할 필요 없이 자산에 대한 수익을 얻을 수 있습니다. 플랫폼이 복잡성을 흡수하고 그에 대한 수수료를 어느 정도 부과합니다. 그 편리함은 매우 실질적이며, 수익이 제공되는 경우 그 수익 또한 실질적인 경향이 있습니다. 다만 2022년의 사태가 증명했듯이 기관(수탁형) 비트코인 플랫폼에서 제공되는 모든 수익은 해당 플랫폼의 지속적인 지급 능력에 전적으로 종속되어 있습니다.

중앙화 거래소가 제공하는 것과 같은 커스터디얼 지갑은 DeFi 프로토콜의 전체 툴셋에 대한 접근을 제한하여, 커스터디얼 플랫폼이 제공할 수 없는 유동성 풀, 대출 및 일드 전략에 대한 잠재적 노출만을 허용합니다. 원칙적으로 자신의 키를 쥐고 있는 사람은 탈중앙화 금융에서 구축된 모든 것에 접근할 수 있습니다. 반면 스마트 컨트랙트 익스플로잇, 실수로 인한 트랜잭션 승인, 유출된 시드 구문으로 인해 모든 것을 잃을 수도 있습니다. 여러 면에서 DeFi 생태계는 지난 20년 동안 사이버 공간에서 우리가 보아온 그 어떤 것보다 혁신적이면서도 훨씬 더 위험합니다.

순수한 수익률 관점에서 볼 때 커스터디 모델 자체가 단독 결정 변수는 아닙니다. DeFi 활동이 없는 셀프 커스터디는 담보 가치가 상승할 뿐 자체 수익은 없습니다. 커스터디얼 플랫폼에서의 스테이킹은 플랫폼 수수료를 제외하고 적격 자산에 대해 일반적으로 연 4~10%를 창출합니다. 그러나 논커스터디얼 지갑을 사용하며 DeFi에 적극적으로 참여하면 몇 자릿수 더 많은 수익을 올릴 수도 있고, 몇 자릿수 더 큰 손실을 입을 수도 있습니다. 커스터디 모델은 리스크 범주를 나타내는 것이지, 그 자체가 금융 상품인 것은 아닙니다.

크립토 역사상 셀프 커스터디를 통해 가장 큰 수익을 거둔 사람들은 대부분 접근 권한을 잃지 않은 채 수백 배, 수천 배 상승한 자산의 프라이빗 키를 쥐고 있었던 초기 채택자들이었습니다. '수탁'과 '비수탁' 두 범주 모두에 패자는 존재합니다. 거래소 파산, 개인적인 키 관리 실수, DeFi 해킹, 노골적인 도난 등이 그것입니다. 위험 조정 관점에서 볼 때 어느 한 커스터디 모델이 다른 모델을 지속적으로 압도하지는 못합니다. 위험은 여전히 크지만, 위험의 '성격'이 다를 뿐입니다.

사용자가 암호화폐를 동결하거나 단순히 보유하는 대신 실제로 사용할 때, 자산을 한 곳에서 다른 곳으로 이동하는 데 드는 비용은 두 커스터디 접근 방식을 따르는 모든 사용자에게 일상적인 화두가 됩니다. 정기적으로 사용할 수 있을 만큼 저렴하게 USDT 이체를 하려는 경우(또는 블록체인 자원의 능숙한 관리를 통해 무료 USDT 전송을 원하는 경우), 회사 수탁 구조 차원뿐만 아니라 수수료 최적화 문제와 마주하게 됩니다. 사용자들은 USDT 활동의 대부분을 차지하는 TRON에서 이체하기 전에 USDT calc(계산기)로 수수료 요건을 확인합니다. 이는 현재 보유한 Energy와 Bandwidth로 비용을 충당할 수 있는지, 아니면 에너지를 선제적으로 대여하는 것보다 훨씬 비싼 기본 요율로 TRX가 소각(burn)되는지를 정확히 파악하기 위함입니다.

Netts.io는 발신 및 수신 주소를 입력받아 사용 가능한 Energy와 Bandwidth를 확인하고, 기본 TRX 소각 대비 Energy 대여 시 각 전송 비용이 정확히 얼마인지 보여주는 USDT Transfer Calculator를 제공합니다. 기본 소각 시 14 TRX 가까이 소모되는 데 반해, 대여 시에는 보통 80% 저렴한 2~3 TRX부터 시작합니다.