2013년에 블록체인 보안 서비스 비트고(BitGo)가 비트코인 1천만 달러어치를 보관할 수 있는 지갑을 제공했을 때도 이미 그 규모는 대단히 커 보였을 것이다.
이후 2015년 지갑에 보관할 수 있는 비트코인 가치는 1억 달러 규모로 늘어났다. 그리고 2017년에는 수년 전만 해도 상상할 수도 없었던 일이 일어났다. 비트고가 관리하는 가장 큰 암호화폐 지갑이 10억 달러에 육박하는 비트코인을 보관할 수 있게 된 것이다.
비트고의 CEO 마이크 벨쉬는 다음번 목표로 “수조 달러가 든 지갑의 보안”에 관한 주제로 스탠포드 대학교에서 강연할 예정이다. 모든 것이 토큰화되는 세상에서 (헤지펀드와 다른 금융기관들이 거대 암호화폐 투자자들의 의미를 재정의하는 것은 차치하고라도) 수조 달러라는 목표가 그렇게 무리한 것으로 보이지는 않는다.
“이제 우리는 1조 달러를 보호하기 위해서 어떤 대가를 치러야 할 것인지를 생각하고 있다. 당장 이룰 수 있는 목표는 아닐지 몰라도, 지금부터 미리 생각을 해두어야 한다. 목표를 이루려면 지금부터 설계에 착수해야 한다.”
이러한 시스템 설계는 하드웨어와 소프트웨어, 정책과 절차, 외부 감사 규제 요건 충족 등 여러 사안과 복잡하게 얽혀 있다. 비트고는 지난달 미국 규제 당국으로부터 기관 투자자의 디지털 자산을 보관할 수 있는 수탁 기관으로 인증받았다.
그러나 한 보안 컨설턴트가 비트고에 조언했듯이 거대한 액수의 돈을 안전하게 보관하는 시스템을 구축하려면 핵심적으로 고려할 사항이 두 가지가 있다. 바로 `아이들과 손가락’이다.
비트코인 지갑에 접속하는 데 필요한 프라이빗키를 개인이 알아서 보관할 수도 있다. 오프라인에서 보관한다는 뜻으로 콜드 스토리지(cold storage)로도 불리는 이런 방법은 예를 들면 종이에 프라이빗키를 적어 안전한 데 보관하거나 인터넷에 연결되지 않은 하드웨어 기기에 저장해놓고 이를 금고에 보관하는 식이다. 그러나 사무실에 누군가가 침입해서 당신의 손가락을 자르겠다고 협박하거나 아이들에게 총을 겨눈다면 당신은 어떻게 할 것인가? 자산에 빠르고 손쉽게 접근할 수 있는 방법은 그만큼 그 방법을 탈취하기 위해 보안을 무력화하려는 공격의 목표가 되기도 한다.
벨쉬가 제안하는 한 가지 방법은 프로세스와 제어 능력을 갖춘 기술을 사용해서 돈을 출금하기 어렵게 만드는 것이다. 혹은 적어도 자산 중 절반 이상의 액수를 이전하려면 여러 명의 서명을 받아야만 하도록 요건을 지정할 수 있다.
“테크 업계에는 10분 만에 개인 저장고에서 원하는 돈을 인출할 수 있다고 말하는 사람들이 있다. 하지만 10분 만에 10억 달러를 꺼낼 수 있다는 건 이들이 누군가의 손가락을 자르겠다고 위협한다는 말이나 다름없다.”
천문학적 금액을 수탁하기 위한 조건
비트고가 수탁 기관 인증을 받기까지는 꽤 오랜 시간이 걸렸다. 비트고는 또한, 독자적으로 비트고 신탁(BitGo Trust)을 설립하기 전에 이미 수탁 기관 인증을 받은 킹덤 신탁(Kingdom Trust)을 인수하려 하기도 했다.
규제 당국의 승인을 받고 수탁 업무를 처리하게 된 비트고는 현재 매달 150억 달러에 달하는 암호화폐 거래를 처리하고 있으며, 기관 투자자들의 디지털 자산 수탁업무에서 두각을 나타내고 있다. 비트고의 경쟁사로는 하드웨어 제조사 레저(Ledger), 전통적인 미국 수탁은행인 노던 트러스트(Northern Trust), 블록체인 스타트업 잇비트(itBit) 등이 있다.
그러나 벨쉬는 디지털 자산으로의 필연적인 진화가 업계 전체에 골고루 혜택을 제공할 것으로 내다봤다. 또한, 고객들이 탄탄한 재무제표를 보유한 수탁 기관을 찾고 있지만, 현재 비트고의 재무제표는 그렇지 못하다고 인정했다. 벨쉬는 “몸집이 큰 주자가 판에 참여해 재무제표를 바탕으로 디지털 자산을 안전하게 보관한다면 모두에게 좋은 일”이라고 말했다.
2008년 금융위기로 자산가치가 폭락한 뒤 자산을 보관하는 방식을 다변화해야 한다는 의식이 생겨났고, 미국 증권거래위원회(SEC)도 이를 장려했다. 벨쉬는 오늘날 헤지펀드들이 수탁 기관 15~20곳에 약 5% 정도씩 자산을 분산해 보관하고 있다고 말했다. 이어 비트고는 여러 헤지펀드와 이야기를 나눴고 비트고의 신탁 서비스를 사용하기를 고대하는 헤지펀드만 수십 곳에 달한다고 덧붙였다.
이미 자격을 갖춘 기존 수탁 기관들과 정식으로 경쟁하려면 제삼자가 정책과 보관 과정을 인증하는 이른바 시스템조직관리(system and organization controls, SOC) 인증이 필요하다. 비트고는 딜로이트의 감사를 받아 현재 SOC I과 II 자격증을 획득한 상태다.
벨쉬는 지금까지 이 정도로 진척을 이룬 암호화폐 업체는 비트고가 유일하다며, 비트고는 평상시에는 상상하기 어려운 만일의 사태까지 폭넓게 대비하고 있다고 말했다.
“세상에서 가장 보안이 강력한 소프트웨어와 하드웨어를 보유할 수는 있다. 그러나 회사 내 보안정책은 무엇인가? 데이터센터가 마비되면 어떤 일이 벌어지는가? 우리는 이 모든 것에 대한 정책과 절차, 계획을 테스트하고 정립했다.”
보험상품 출시 계획
수탁 기관 자격을 획득했다고 발표한 후 비트고는 몇 달 내로 암호화폐 보험 상품을 출시하겠다는 목표를 세웠다. 이 보험은 투자자들을 도난 등의 위험으로부터 보호해준다.
비트고가 직접 보험 증권을 작성하지는 않겠지만 유명한 보험사의 상품을 재판매할 수는 있다. 벨쉬는 보험 상품을 꼼꼼히 조사하는 과정에서 보험에 대해 많은 지식을 쌓게 되었고, 암호화폐 보험이 시장에 나올 때마다 신중하게 상품을 살펴보았다.
“시중에 나와 있는 보험 상품들은 보험으로서 제대로 된 기능을 하지 못하는 경우가 많다. 많은 경우 개선이 필요하다. 보험 상품이나 보험사를 구하는 사람들은 보험의 보장 범위 제한에 관해 잘 알아봐야 한다.”
이와 관련해서 좀 더 깊이 살펴볼 필요가 있다. 벨쉬는 비트고의 자산 보관 방식을 타사의 솔루션과 구별하기 힘든 만큼 보험이 완전히 적용되는 상품과 그렇지 않은 상품들을 구분하기도 쉽지 않다고 말한다. 종종 도난도 보장되지 않으면서 납부금은 1천만 달러나 되는 보험 상품도 있다.
보험 상품을 구매할 때는 보험 업자가 누구인지, 어떤 경우 보험이 보장되는지, 내부 절도나 내부 경영진의 절도는 보장되는지, 보험금 상한액은 얼마고 본인은 얼마를 부담해야 하는지, 본인 부담액이 낼 수 있는 수준인지 등을 자세히 따져봐야 한다.
벨쉬는 보험업자들이 보험사의 마케팅 수단이 아니라 서비스를 제공하는 사람들이라는 것을 인정하면서 결국 소비자들에게는 완전한 투명성이 가장 중요하다고 말했다. 즉 좋은 보험 상품을 제안하는 사람이라면 기밀 유지 협약(NDA, non-disclosure agreement)에 서명했더라도 상품을 검토하려는 사람에게 최대한 정보를 제공해서 선택받고 싶어 하리라는 것이다.
“그쪽에서 무언가 숨기는 것이 있다면 조심할 필요가 있다. 무언가를 비밀로 치부하는 데는 늘 이유가 있는 법이다.”