시드 문구를 절대 공유해서는 안 되는 이유

CrabChain.org 팀 | 2026년 10월 13일 업데이트

암호화폐 생태계에는 사실상 예외를 인정하지 않는 보안 규칙이 하나 있습니다. 시드 문구, 즉 복구 문구는 다른 사람과 절대 공유해서는 안 됩니다. 그 중요성은 단순히 애플리케이션에 접근하기 위한 비밀번호가 아니라 지갑과 연결된 개인 키를 재구성할 수 있게 하는 암호학적 요소이며, 이를 통해 특정 주소와 연결된 디지털 자산에 대한 통제권을 확보할 수 있다는 데 있습니다. 이 정보를 얻은 사람은 휴대전화, 컴퓨터 또는 원래 애플리케이션에 접근하지 않고도 결국 합법적인 소유자와 같은 통제 능력을 가질 수 있습니다.

혼란은 지갑이 일반적인 은행 계좌처럼 작동하지 않기 때문에 시작되는 경우가 많습니다. 금융기관에서는 사용자가 중앙화된 인프라에 신원을 확인하고 추가 메커니즘을 거친 후 거래 승인을 받습니다. 비수탁형 지갑에서는 통제권이 암호학적 키에 있습니다. 블록체인은 잔액과 거래를 기록하지만 법적 의미에서 개인이 누구인지 인식하지 않으며, 해당 키로 이루어진 송금을 되돌릴 수 있는 중앙 메커니즘도 없습니다. 이 모델에서는 개인 키를 보호하는 것이 소유자의 직접적인 책임입니다.

무엇이며 왜 중요한가

시드 문구는 지갑을 복구할 수 있게 하는 암호학적 정보의 사람이 읽을 수 있는 표현입니다. 많은 시스템은 BIP-39와 같은 표준을 사용하며, 여기서는 단어의 순서가 일정량의 엔트로피를 나타내고 이를 시작점으로 사용해 결정론적으로 키를 파생할 수 있습니다. 이 시드에서 호환되는 소프트웨어는 적용되는 파생 규칙에 따라 여러 계정과 주소를 재구성할 수 있습니다. 따라서 복구 문구를 제3자에게 제공하는 것은 실질적으로 그 문구에 의존하는 자금에 대한 암호학적 접근권을 재구성할 능력을 넘겨주는 것입니다.

이 원칙은 시드 문구와 일반적인 비밀번호 사이의 근본적인 차이를 설명합니다. 비밀번호를 누군가 입수했다고 의심되면 변경할 수 있습니다. 손상된 시드 문구는 같은 지갑을 다시 안전하게 만들기 위해 단순히 변경할 수 없습니다. 다른 사람이 시드를 알게 된 순간 그 정보는 더 이상 비밀이 아닙니다. 사용자는 이후 새로운 시드 문구를 가진 새 지갑을 만들고 자산을 옮길 수 있지만 원래 비밀은 침해된 것으로 간주해야 합니다. 시드가 노출된 지갑에 계속 자금을 보관한다는 것은 기기를 바꾸거나 애플리케이션을 다시 설치해도 사라지지 않는 위험을 받아들이는 것입니다.

공격자가 잠재적으로 위험한 상황을 만들기 위해 피해자의 공개 주소까지 알 필요는 없습니다. 문구를 확보하고 호환되는 소프트웨어를 사용한다면 그로부터 파생된 계정을 찾아 잔액을 확인하려 할 수 있습니다. 지갑에 여러 자산, 여러 네트워크 또는 같은 시드에서 파생된 여러 계정이 포함되어 있다면 위험은 더 커집니다. 한 번의 유출이 사용자가 가장 자주 사용하는 주소뿐 아니라 자기 수탁 구조 전체에 영향을 줄 수 있습니다.

공유해도 되는 정보

가장 흔한 실수 가운데 하나는 시드 문구와 지갑에서 보이는 다른 정보를 혼동하는 것입니다. 자금을 받기 위해 공개 주소를 공유할 수 있습니다. 거래 ID도 공개할 수 있으며 특정 활동 데이터는 블록체인 탐색기에서 볼 수 있습니다. 그러나 어느 것도 시드와 같은 것은 아닙니다. 공개 주소는 송금의 목적지를 식별하는 반면 개인 키와 이를 파생하는 데 필요한 정보는 거래 승인을 가능하게 합니다. 보안 관점에서 전자는 수취 식별자에 비유할 수 있지만 후자는 완전히 다른 범주에 속합니다.

사회공학

문제는 범죄자들이 이 차이를 완전히 이해하고 혼란을 이용해 사회공학 캠페인을 전개한다는 것입니다. 가짜 고객지원은 계정을 검증하거나 가짜 기술 문제를 해결하기 위해 시드 문구가 필요하다고 주장할 수 있습니다. 사기성 웹사이트는 오류 메시지를 표시하고 지갑을 복구하려면 복구 문구를 입력하라고 요구할 수 있습니다. 보상, 에어드롭, 보안 점검 또는 긴급한 이전을 약속하면서 시드 입력란을 정상적인 절차인 것처럼 제시하는 사기도 있습니다. 이런 경우의 일반적인 목표는 자금 통제를 가능하게 하는 비밀 정보를 직접 얻는 것입니다.

심리적 압박은 이러한 기법의 핵심입니다. 사기범은 긴급성을 조성하거나, 가짜 의심 활동을 경고하거나, 몇 분 안에 사라질 기회를 제시하려 합니다. 사용자는 보안 메커니즘에 협조한다고 믿을 수 있지만 실제로는 자금 탈취를 가능하게 하는 정보를 제공하고 있을 수 있습니다. 특히 중요한 점은 합법적인 지갑이 복구 관리와 관련된 경고를 표시할 수는 있어도, 회사나 개인이 자금에 접근하기 위해 완전한 문구를 요구한다면 이를 심각한 사기 신호로 간주해야 한다는 것입니다.

우발적 노출

노출은 직접적인 사기를 통해서만 발생하는 것도 아닙니다. 시드 문구를 사진으로 찍고 휴대전화에 저장하는 것만으로 불필요한 위험이 생깁니다. 클라우드 저장 서비스에 보관하거나 이메일로 보내거나 동기화되는 메모 애플리케이션에 복사하거나 자동으로 색인되거나 백업될 수 있는 문서에 저장하는 것도 위험할 수 있습니다. 문제는 누군가 물리적으로 기기를 볼 수 있다는 데만 있는 것이 아닙니다. 침해된 계정, 감염된 컴퓨터 또는 제대로 보호되지 않은 백업이 정보를 얻는 간접적인 통로가 될 수 있습니다.

따라서 시드 문구 관리는 단순한 행정 작업이 아니라 비밀을 보호하는 일로 이해해야 합니다. 오프라인 저장은 특정 디지털 위험을 줄이고, 분실·습기·화재·제3자의 접근으로부터 보호되는 물리적 사본은 추가적인 회복탄력성을 제공할 수 있습니다. 자산 가치가 매우 높은 상황에서는 일부 사용자가 전문적인 물리 보관 솔루션이나 더 정교한 자기 수탁 방식을 사용합니다. 그러나 채팅, 사진, 사기성 웹사이트를 통해 시드 문구가 유통된다면 아무리 고급 시스템도 유용성을 잃습니다.

또 하나 중요한 점은 가장 취약한 사람이 항상 기술 지식이 부족한 사람만은 아니라는 사실입니다. 숙련된 사용자도 실제 복구 및 거래 서명 절차에 익숙하기 때문에 오히려 피해자가 될 수 있습니다. 공격자는 합법적인 애플리케이션이 사용하는 언어를 정확히 모방하고 시각적으로 설득력 있는 페이지를 만들 수 있습니다. 기술 지식은 도움이 되지만 기본적인 보안 원칙을 없애지는 않습니다. 긴급성, 프로모션, 기술 지원 절차, 검증 과정도 제3자에게 시드 문구를 제공하는 것을 정당화해서는 안 됩니다.

노출되었다고 생각될 때

누군가 자신의 복구 문구가 공유되었거나, 사진으로 찍혔거나, 웹사이트에 입력되었거나, 침해된 환경에 저장되었다고 의심한다면 우선 그 비밀이 더 이상 안전하지 않다고 가정해야 합니다. 적절한 대응은 노출 범위를 신속하게 평가하고, 필요한 경우 신뢰할 수 있는 환경에서 새 지갑을 만들고 자산을 새 주소로 옮기는 것입니다. 또한 탈중앙화 애플리케이션을 사용했다면 가능한 컨트랙트 승인과 기타 권한 부여 메커니즘도 검토해야 합니다. 보안 위험이 항상 시드 문구 하나에만 국한되는 것은 아니기 때문입니다.

시드 문구의 진정한 기능은 지갑에 대한 통제권을 복구할 수 있게 하는 것입니다. 바로 그 능력 때문에 자기 수탁에서 가장 민감한 정보 가운데 하나로 취급해야 합니다. 공개 주소는 암호화폐를 받기 위해 공유할 수 있지만 복구 문구는 공개해서는 안 되는 비밀의 범주에 속합니다. 해당 키로 서명된 송금을 취소할 수 있는 중앙 권한이 없는 시스템에서는 이 정보를 보호하는 것이 부차적인 권고가 아니라 디지털 자산의 통제권을 유지하기 위한 기본 조건 가운데 하나입니다.

참고 자료

• BIP-39: Mnemonic code for generating deterministic keys — Bitcoin Improvement Proposals (영어)
• Ethereum security and scam prevention — ethereum.org (영어)