• 구글은 금융 기관이 암호화폐와 토큰화된 자산을 보호하고 전송하는 데 도움을 주는 멀티 파티 컴퓨테이션을 사용하는 보안 서비스를 공개할 예정이며, 상업적 이용 가능 시기는 2027년 초로 계획하고 있습니다.
• 이 시스템은 개인 키 조각을 별도의 환경에 분산하고, 거래 서명 전에 기관 규칙을 적용하여, 한 대의 기기가 손상되더라도 자산이 노출될 위험을 줄입니다.
• 구글은 이 서비스가 결국 양자 이후 암호화를 지원할 수 있지만, 현재 보호는 수십억 달러의 개인 키 관련 도난 속에서 손상된 자격 증명과 무단 거래에 중점을 두고 있다고 말합니다.

구글은 수요일 뉴욕시에서 열리는 첫 디지털 자산 심포지엄에서 은행 및 기타 금융 기관이 암호화폐와 토큰화된 자산을 보호하고 이동하는 데 도움을 주기 위해 설계된 새로운 보안 시스템을 선보일 예정입니다.

공식 명칭이 구글 멀티 파티 컴퓨트(MPC)인 이 제품은 비공개 미리보기 상태이며 아직 일반적으로 사용할 수 없습니다. 구글은 여러 설계 파트너와 주요 금융 기관이 이 기술을 테스트 중이라고 코인데스크에 밝혔습니다. 모회사 알파벳도 이더리움과 솔라나 블록체인에서 자체 디지털 자산을 보호하기 위해 이를 사용하기 시작했습니다.

구글은 이 서비스를 테스트 중인 기관을 식별하거나 알파벳이 보호하는 디지털 자산을 구체적으로 밝히지 않았습니다. 회사는 구글 멀티 파티 컴퓨트를 2027년 초에 상업적으로 제공할 계획이지만, 가격은 공개하지 않았습니다.

MPC는 디지털 자산에 새로운 것이 아니며, 구글의 기술 참여도 그렇지 않습니다. 개인 키를 개별 조각으로 나누어 여러 별도의 시스템에 분산시키는 아이디어는 단일 실패 지점을 없애는 것입니다. 2023년, 구글은 고객이 자사의 기밀 공간 인프라를 사용하여 MPC 기반 디지털 자산 시스템을 구축할 수 있는 방법을 설명하는 지침을 발표했습니다.

구글은 이전에 암호화폐를 위한 전용 MPC 보관 제품을 제공한 적이 없습니다. 기존의 생산 서비스에는 구글 클라우드 키 관리 서비스(KMS)와 클라우드 HSM이 포함되어 있으며, 기관은 이를 사용하여 암호화 키를 관리하고 보호합니다. 새로운 제공은 MPC 기반 서명, 거래 정책 및 키 복구를 디지털 자산을 위한 목적별 서비스로 가져오며, 고객이 이러한 기능을 직접 조립할 필요가 없습니다.

이 움직임은 은행 및 기타 금융 회사가 블록체인을 사용하여 토큰화된 자산을 발행하고, 결제를 처리하며, 디지털 자산 보관 서비스를 제공하는 것을 탐색하는 가운데 이루어졌습니다. 이러한 활동은 블록체인에서 완료된 후 일반적으로 되돌릴 수 없는 거래를 안전하게 승인해야 하는 기관을 필요로 합니다.

“디지털 자산 채택과 토큰화는 전환점에 있습니다. 규제된 금융 기관이 블록체인과 토큰화를 채택하기 시작함에 따라, 고객의 자산을 보호하기 위한 확장 가능하고 검증된 인프라가 필요합니다,"라고 구글 클라우드 디지털 자산 전략 디렉터인 리치 위드만이 코인데스크에 말했습니다.

지갑을 보호하는 개인 키를 제어하는 공격자는 소유자의 허락 없이 자산을 전송할 수 있어, 시장에 진입하는 기관에게 키 관리는 중요한 보안 과제가 됩니다.

이 위협은 이미 수년간 암호화폐 산업에 수십억 달러의 비용을 초래했습니다. 블록체인 분석 회사 체이널리시스에 따르면, 손상된 개인 키는 2024년에 도난당한 암호화폐의 43.8%를 차지했습니다. 별도로, 디파이라마 데이터는 올해 6월 기준으로 블록체인 프로젝트가 해킹과 악용으로 누적 166억 9천만 달러를 잃었으며, 그 중 약 40%가 개인 키 손상에 기인한 것으로 나타났습니다.

최근 예로는 스테이블코인 프로토콜 리졸브가 3월에 특권 계정을 제어하는 손상된 개인 키와 민팅 시스템의 약점을 포함한 공격을 당해 해커가 약 2천 5백만 달러를 추출할 수 있었습니다. 6월에는 해커가 휴머니티 프로토콜 재단 회원의 개인 키를 손상시켜 최소 17개의 지갑에서 3천 2백만 달러 이상을 유출했습니다. 이 침해는 프로젝트의 토큰이 80% 이상 급락하게 하여, 도난당한 자격 증명이 직접적으로 가져간 자산 외에도 손실을 초래할 수 있음을 보여주었습니다.

이 기술 거인의 새로운 시스템은 "멀티 파티 컴퓨테이션" 또는 MPC를 사용하여 단일 개인 키에 의존하는 위험을 줄이는 것을 목표로 합니다. 이는 개인 키의 제어를 여러 당사자 또는 컴퓨터에 분산시키는 방식입니다. 이렇게 하면 단일 키에 의존하는 대신, 시스템은 거래를 승인하기 위해 여러 개의 암호화 정보 조각이 함께 작동해야 합니다.

구글에 따르면 완전한 개인 키는 한 곳에 저장되지 않으며, 단일 기기가 손상되더라도 공격자가 자산을 제어할 위험을 줄입니다. 또한 고객은 자신의 키 자료를 제어하며, 구글은 키 조각이 구글 인프라에 보관되어 있을 때도 암호화되지 않은 형태로 접근할 수 없다고 말했습니다.

AI와 양자 위협

구글은 또한 이 서비스를 인공지능(AI)과 양자 컴퓨팅을 포함한 점점 더 정교해지는 사이버 공격에 대한 대응으로 위치시키고 있습니다.

AI는 이미 일부 암호화폐 사기꾼들이 더 큰 규모로 운영할 수 있도록 돕고 있으며, 연구자들은 디지털 자산을 보호하는 암호화에 대한 잠재적인 미래 위협을 경고하고 있습니다.

체이널리시스는 AI 도구 공급업체와 연결된 암호화폐 사기가 2025년에 평균 320만 달러를 추출했으며, 이러한 연결이 없는 사기는 71만 9천 달러였다고 밝혔습니다 — 약 4.5배 더 많은 수치입니다. 이 결과는 AI가 사기꾼들이 더 큰 규모로 운영할 수 있도록 돕고 있을 가능성을 시사하지만, 보고서는 AI가 직접적으로 더 높은 수익을 초래했다고 확립하지는 않습니다.

최근, 이더리움 연구원 저스틴 드레이크는 AI의 발전이 비트코인과 이더리움 지갑을 보호하는 디지털 서명을 깨뜨릴 수 있는 수학적 지름길을 결국 발견할 수 있다고 경고했습니다. 드레이크는 이러한 돌파구가 최악의 시나리오에서 몇 년이 아닌 몇 달 내에 나타날 수 있으며, 충분히 강력한 양자 컴퓨터가 도착하기 전에 발생할 수 있다고 말했습니다.

아직 어떤 AI 시스템도 비트코인이나 이더리움 지갑을 보호하는 암호화 서명을 깨뜨릴 수 있는 능력을 보여주지 않았습니다. AI 시스템은 지난주 인증 기관 사태와 같은 잘못 암호화된 도구의 결함을 발견하는 데 사용될 수 있습니다. 구글의 현재 MPC 보호는 손상된 자격 증명 및 무단 거래와 같은 위협을 다루며, 기본 암호화에 대한 가상의 돌파구에 대한 것이 아닙니다.

이 시스템은 거래가 서명되기 전에 기관 규칙에 따라 거래를 확인하여, 사전 설정된 한도나 승인 요구 사항을 위반하는 전송을 방지할 수 있습니다. 이러한 통제는 무단 거래의 위험을 줄일 수 있습니다. 그러나 합법적인 사용자가 악의적인 거래를 승인하도록 속는 위험은 여전히 위협이 될 수 있습니다.

양자 컴퓨팅은 아직 임박하지 않았지만, 디지털 자산 채택을 탐색하는 기관에 대한 별개의 장기적인 위협을 제기합니다.

구글 연구원들은 이전에 충분히 강력한 미래의 양자 컴퓨터가 노출된 공개 키에서 비트코인 개인 키를 이론적으로 약 9분 만에 유도할 수 있다고 추정했습니다. 현재 어떤 양자 컴퓨터도 그러한 공격을 수행할 수 있는 능력을 갖추고 있지 않지만, 약 690만 비트코인이 미래의 양자 공격에 취약할 가능성이 있는 것으로 보고되었습니다.

구글은 자사의 아키텍처가 충분히 강력한 양자 컴퓨터의 공격으로부터 디지털 서명을 보호하려는 양자 이후 암호화로의 향후 업그레이드를 지원하도록 설계되었다고 말했습니다. 회사는 자사의 MPC 제공이 일반적으로 사용 가능한 ECDSA 및 Ed25519 암호화 서명 알고리즘을 지원하도록 설계되었다고 밝혔습니다.

구글은 양자 이후 서명 기능 추가에 대한 일정표를 제공하지 않았지만, 블록체인 네트워크가 필요한 암호화를 채택함에 따라 업그레이드를 도입할 수 있으며, 기관이 시스템을 재설계하거나 운영을 중단할 필요가 없다고 말했습니다.

시스템 작동 방식

예를 들어, 은행은 암호화 서명 키의 하나의 조각을 구글 클라우드에, 또 하나는 자체 하드웨어에, 세 번째는 다른 클라우드 제공업체에 보관할 수 있습니다.

은행이 자산을 이동하려고 할 때, 거래는 구글의 기밀 공간으로 들어가며, 여기서 정책 엔진이 기관의 규칙에 따라 거래를 확인한 후 서명이 시작될 수 있다고 구글은 설명합니다.

이 규칙에는 전송되는 금액의 한도, 대상 지갑에 대한 제한 및 여러 부서의 승인이 필요한 요구 사항이 포함될 수 있습니다. 이러한 검사는 민감한 정보를 무단 접근으로부터 보호하기 위해 설계된 하드웨어 격리 컴퓨팅 환경을 사용하는 구글의 기밀 공간 기술 내에서 실행됩니다.

구글은 이 시스템이 3명 중 2명 또는 7명 중 5명과 같이 서로 다른 암호화 서명 임계값도 수용할 수 있다고 말합니다.

이 유연성은 은행이 클라우드 인프라의 편리함을 원하면서도 자산 이동에 필요한 자격 증명에 대해 단일 기술 제공업체에 완전히 의존하지 않기를 원하는 우려를 해결하기 위한 것입니다.

구글은 기관이 이러한 자격 증명을 자체 하드웨어, 구글 클라우드 및 경쟁 클라우드 서비스에 분산시킬 수 있다고 말했습니다. 회사는 또한 자사의 시스템이 빠른 거래 서명과 키 복구를 지원한다고 말했지만, 기존 보관 제품과의 독립적으로 검증된 성능 비교를 제공하지 않았습니다.

새로운 경쟁자

구글의 시장 진입 계획은 세계 최대의 클라우드 제공업체 중 하나를 Fireblocks, Fordefi 및 BitGo와 같은 전문 암호화 보안 회사가 제공하는 시장에 더 가깝게 경쟁하게 합니다. 이들은 기관이 블록체인 거래를 보호하고 승인하는 데 도움을 주는 기술을 제공합니다.

구글은 자사의 은행 관계와 보안 전문성이 전문 암호화 보관 제공업체에 비해 우위를 제공한다고 주장합니다. 또한 동일한 고객을 위해 경쟁하는 제공업체에 의존하는 것을 꺼리는 은행들 사이에서 기회를 보고 있으며, 기관이 자체 보관 사업을 운영할 수 있도록 하는 중립적인 인프라 공급업체로 자리매김하고 있습니다.

구글의 진입이 기관이 기술 제공업체의 위험을 평가할 필요성을 제거하지 않는다는 점에 유의할 가치가 있습니다. 서명 자격 증명이 다른 환경에 분산되어 있을 때도, 은행은 여전히 소프트웨어, 거래 정책 및 운영 인프라의 일부에 대해 구글에 의존할 수 있습니다.

시스템의 보안은 또한 기관이 이를 어떻게 구성하고, 서명 참가자를 보호하며, 거래 승인 규칙을 변경할 수 있는 사람을 제어하는지에 따라 달라집니다.

시험은 결국 기관이 구글의 제공을 전문 암호화 보관 제공업체에 대한 더 안전한 대안으로 보는지 여부와 얼마나 많은 중요한 금융 인프라를 구글에 맡길 의향이 있는지에 달려 있습니다.