암호화폐를 직접 보관하는 셀프 커스터디(self-custody)의 확산을 위해 보안성과 사용 편의성을 함께 개선해야 한다는 지적이 나왔다.

거래소 등 제3자에게 자산을 맡기지 않는 대신, 이용자가 개인키 관리와 복구 절차를 책임져야 한다는 점이 대중화의 과제로 꼽힌다.

코인텔레그래프에 따르면 셀프 커스터디는 이용자가 개인키를 직접 관리해 자산을 통제하는 방식이다.

그러나 보안 절차가 복잡해질수록 사용과 복구가 어려워지고, 절차를 단순화하면 다른 형태의 위험을 고려해야 하는 문제가 발생한다.

대표적인 사례가 다중서명 지갑이다. 다중서명은 여러 개인키 가운데 사전에 정한 수 이상의 서명을 받아야 거래가 실행되도록 설계하는 방식이다.

하나의 키가 유출되더라도 곧바로 자금이 이동하지 않도록 구성할 수 있지만, 여러 키와 백업을 나눠 관리해야 한다.

이 과정에서 이용자가 키를 어디에 보관했는지 잊거나 복구에 필요한 정보를 충분히 남기지 않으면 오히려 본인의 자산 접근이 어려워질 수 있다. 보안 장치를 추가하는 것뿐 아니라 이용자가 실제로 관리할 수 있는 구조인지가 중요해지는 이유다.

복구 문구를 직접 기록하는 부담을 줄인 시드리스(seedless) 지갑도 별도의 고려 사항이 있다. 다만 시드리스라는 명칭이 하나의 동일한 보관·복구 방식을 뜻하지는 않는다. 기기와 백업 카드, 계정 기반 복구 등 구체적인 설계에 따라 자산 접근을 되찾는 방법이 달라진다.

예를 들어 복구 문구 없이 여러 카드에 접근 수단을 보관하는 방식에서는 모든 카드를 잃어버리면 자금에 접근할 수 없게 될 수 있다.

하드웨어 지갑업체 탠젬도 관련 안내에서 시드 문구를 생성하지 않은 상태로 백업 카드까지 모두 분실하면 자금을 영구적으로 이용할 수 없다고 설명한다.

개인키 보관을 강화하는 것만으로 모든 공격을 막을 수 있는 것도 아니다. 코인니스 보도에 따르면 파운데이션의 잭 허버트 최고경영자(CEO)는 공격자가 개인키를 직접 탈취하지 않더라도 이용자를 속여 악성 거래를 승인하게 만들면 자금을 빼낼 수 있다고 지적했다.

이는 키 유출 방지와 거래 내용 확인이 서로 다른 보안 과제라는 의미다. 기기가 정상적으로 개인키를 보호하고 있어도, 이용자가 의도하지 않은 자금 이동이나 권한 부여에 서명하면 피해로 이어질 수 있다.

보안업체 사이프린 역시 하드웨어 지갑이 승인하도록 요청받은 실제 작업을 확인하는 것이 중요하다고 강조한다.

이러한 문제는 지갑의 기능뿐 아니라 승인 화면의 설명 방식과 복구 절차의 이해 가능성까지 보안의 일부로 봐야 한다는 점을 보여준다.

이용자가 무엇에 서명하는지 파악하고, 기기를 잃었을 때 어떤 조건에서 복구할 수 있는지 이해할 수 있어야 한다는 것이다.

셀프 커스터디의 핵심은 자산 통제권을 확보하는 동시에 그 통제권을 지속적으로 유지하는 데 있다. 향후 지갑 서비스의 경쟁력도 보안 기능의 개수뿐 아니라 이용자가 실수 없이 사용하고 필요할 때 복구할 수 있도록 돕는 설계에 달릴 것으로 보인다.