워치온리와 앱 안의 키를 헷갈려 5 BTC를 잃은 사례
2025년 9월 5일 공개된 영상은 X와 디스코드에서 화제가 된 한 사용자의 5 BTC 분실 사연을 해설합니다. 발언자는 원 게시물을 직접 확인한 것이 아니라 캡처 화면을 보고 사건의 흐름을 재구성했으며, 이를 "추정"이라고 여러 번 밝힙니다. 실제와 다를 수 있는 자기 나름의 상상이니 그 점을 감안하고 들어 달라고 당부합니다. 이 글도 같은 전제로 영상의 재구성과 해설을 옮기며, 사건 자체를 확인한 기록은 아닙니다. 발언자는 당사자에게는 안타까운 일이지만 누구에게나 생길 수 있는 실수라서, 교훈을 얻으려고 영상을 만들었다고 말합니다.
영상은 하드웨어 서명 장치 옆에 앱 안의 서명 장치가 따로 생겼다고 추정합니다
서명 장치는 개인키로 거래에 서명하는 도구입니다. 하드웨어 서명 장치는 그 키를 전용 기기 안에 두고, 에어갭 방식은 컴퓨터나 인터넷과 직접 연결하지 않은 채 서명합니다. 발언자가 재구성한 흐름은 다음과 같습니다.
- 사용자가 에어갭 방식의 하드웨어 서명 장치를 사서, 그 장치의 공개키 정보(xpub)를 블루월렛에 불러와 워치온리 서명 장치를 만들었습니다. 발언자는 블루월렛에서 워치온리가 회색으로 표시된다고 설명합니다.
- 이후 블루월렛에서 더하기 버튼으로 새 항목을 만들었습니다. xpub을 불러오는 과정이 아니었기 때문에 앱 안에 키가 있는 뜨거운 서명 장치가 새로 생겼습니다(파란색으로 표시). 그때 니모닉이 나왔지만 적어 두지 않았습니다.
- 셀프 커스터디를 위해 거래소에서 비트코인을 보낼 때, 워치온리 쪽 주소가 아니라 새로 만든 앱 안의 서명 장치 주소로 보냈습니다.
- 그 서명 장치에서 하드웨어 서명 장치 없이 거래소로 소액을 다시 보내는 시험까지 성공했고, 안심하고 5 BTC를 보냈습니다.
- 하드웨어 서명 장치 없이 바로 전송된 것이 이상해 해킹을 당했다고 의심했고, 당황해 블루월렛 앱을 지웠습니다.
- 니모닉을 적어 두지 않았으므로 5 BTC는 다시 찾을 수 없게 되었습니다.
발언자는 하드웨어 서명 장치를 사고 워치온리까지 만든 단계는 누군가의 도움을 받아 진행했을 것으로 봅니다. 앱을 지울 때 사용자는 5 BTC가 앱 안의 서명 장치에 들어 있다는 사실을 인지하지 못했을 것이라고도 추정합니다. 발언자가 짚는 핵심 원인은 하드웨어 서명 장치와 워치온리 서명 장치의 관계를 이해하지 못한 채 절차만 따라 했다는 점입니다.
워치온리는 서명하지 못하고 앱 안의 키는 서명합니다
워치온리 서명 장치는 개인키 없이 잔액과 거래를 조회하고, 서명이 필요한 거래를 만들어 서명 요청으로 내보내는 데까지만 합니다. 서명은 키를 가진 하드웨어 서명 장치가 합니다. 그래서 워치온리 쪽 주소로 받은 비트코인은 보낼 때 반드시 하드웨어 서명 장치의 서명이 필요합니다.
거꾸로 하드웨어 서명 장치를 꺼내지 않았는데 전송이 끝났다면, 그 거래에 서명한 키가 앱 안에 있다는 뜻입니다. 이 사례에서 사용자가 이상하다고 느낀 바로 그 지점이 해킹의 신호가 아니라 앱 안의 서명 장치로 보냈다는 신호였던 셈입니다. 영상은 이 대목을 직접 이렇게 풀지는 않고, 사용자가 해킹으로 착각했다고만 말합니다.
니모닉이 화면에 나오는 장면도 신호로 읽을 수 있습니다. 대개 니모닉은 새 키 묶음이 만들어질 때 나오며, 이미 가진 하드웨어 서명 장치에서 xpub만 불러오는 과정에서는 나오지 않습니다. 발언자는 연습용이나 테스트넷이 아니라 실제로 쓸 서명 장치에서 니모닉이 나오면 반드시 종이에 적어야 하고, 오래 간직하려면 금속판에 새겨 두어야 한다고 말합니다.
소액 시험이 성공했다는 사실이 오히려 잘못된 확신을 줬습니다
사용자는 소액 전송을 먼저 시험하는 절차를 지켰습니다. 발언자도 이분이 차근차근 진행하고 있었다고 평가합니다. 그런데 이번에는 이 시험이 오히려 안심할 근거로 쓰였습니다. 시험 송금이 성공했다는 사실은 보내는 길이 열려 있다는 것만 보여 주고, 어떤 키가 서명했는지는 말해 주지 않기 때문입니다.
그래서 확인할 것은 시험의 성공 여부보다 서명의 주체입니다. 하드웨어 서명 장치로 서명하는 구성을 의도했다면 시험 송금에서 하드웨어 서명 장치가 서명을 요청받았는지를 봐야 합니다. 요청 없이 끝났다면 큰 금액을 보내기 전에 멈추고 구성을 다시 확인해야 합니다. 이 풀이는 영상의 설명을 바탕으로 사이트가 덧붙인 것입니다.
남이 정리한 단계를 따라 하는 것은 검증이 아니라고 발언자는 말합니다
발언자는 소액 전송과 워치온리 연동을 연습했는데도 중요한 순간에 오류가 난 이유를, 그 지식이 자기 것으로 체화되지 않았기 때문이라고 봅니다. 시행착오를 겪으며 조마조마해하는 과정이 압축되어 생략됐다는 것입니다. 몇 년 전보다 양질의 자료가 많아 하나씩 시간을 들이면 체화하기가 훨씬 쉬워졌다고도 말합니다.
그런데 손에 땀을 쥐고 거래가 전체장부에 담기기를 기다리며 확인을 받아 보는 경험이 쌓이기 전에, 남이 정리한 핵심 요약대로 단계만 따라 하면 예상 밖의 상황에서 올바르게 판단하기 어렵다는 것이 발언자의 견해입니다. 그래서 "Don't trust, verify"를 직접 모든 것을 만든다는 뜻으로 읽지 말라고 합니다. 가이드를 이해하고 실행하는 것만으로는 검증이 아니며, 이것을 왜 이렇게 하는지, 이렇게 하면 어떤 문제가 생기는지, 내가 지금 확인하는 것이 진짜 문제를 푸는 것인지를 스스로에게 계속 묻는 것이 검증이라고 설명합니다.
오래 지키려면 마음가짐과 검증 능력이 함께 필요합니다
발언자는 잘 모으는 것, 많이 사는 것, 셀프 커스터디를 하는 것도 중요하지만 가장 중요한 것은 지키는 일이라고 말합니다. 지키는 데는 두 가지가 필요하다고 합니다. 하나는 오랜 기간 장기 보유할 수 있는 마음가짐이고, 다른 하나는 배운 것을 응용하면서 자기 단계가 제대로 됐는지 스스로 검증하는 논리적 분석 능력입니다. 둘이 결합해야 오래 지킬 수 있다는 것이 영상의 결론입니다.
또한 하드웨어 서명 장치를 한 번 설정해 놓고 잊어버리는 식으로 접근하지 말라고 합니다. 새로운 도구가 나오면 실행해 보고, 소액으로 계속 연습하며 익히는 숙성의 과정이 필요하다는 것입니다. 실제 자금을 쓰기 전에 테스트넷에서 연습하는 방법은 에어갭 서명 장치 보안에서 볼 수 있습니다.
영상으로 보기
원본 영상: 안타까운 5 BTC 분실 사건 리뷰, Don't trust verify! (공개일: 2025-09-05)
