MPC vs 멀티시그: 솔직한 비교

보안 엔지니어 열 명에게 MPC vs 멀티시그 논쟁을 정리해 달라고 하면 익숙한 구도를 듣게 됩니다. 커스터디 기술 업체는 MPC를, Bitcoin 베테랑들은 멀티시그를 지지하고, 두 진영은 서로 다른 이야기만 합니다. 하지만 이 비교는 좀 더 정교하게 다뤄질 자격이 있습니다. 두 방식은 같은 문제 — 어떤 한 사람, 한 기기, 한 서버도 단독으로 자금을 움직일 수 없어야 한다 — 를 풀되, 근본적으로 다른 자리에서 풀기 때문입니다. MPC(다자간 연산, multi-party computation)는 오프체인 암호학으로 키 자체를 분할합니다. 멀티시그는 블록체인이 직접 강제하는 규칙으로 권한을 분할합니다.

이 하나의 설계 선택이 거의 모든 실질적 차이를 만듭니다. 수수료로 얼마를 내는지, 외부인이 무엇을 검증할 수 있는지, 업체가 사라지면 어떻게 되는지, 잘못된 서명이 나온 뒤 누구에게 책임을 물을 수 있는지가 여기서 갈립니다. 어느 쪽도 다른 쪽의 완전한 상위 호환이 아닙니다. 이 글을 쓰는 2024년 4월 현재, 두 방식 모두 수백억 달러 규모의 자산을 지키고 있고, 두 방식 모두 값비싼 실패를 낳은 적이 있습니다. 지금부터 이 비교의 솔직한 버전을 이야기해 보겠습니다.

지출 권한을 나누는 두 가지 방법

MPC 지갑은 보통 임계값 서명 기법(threshold signature scheme, TSS) 위에 구축됩니다. 하나의 개인 키를 수학적 조각(share)으로 분할해 서로 다른 주체나 기기가 나눠 보관하고, 서명할 때는 조각 보유자들이 대화형 프로토콜을 실행해 하나의 평범한 서명을 공동으로 계산합니다. 완전한 개인 키는 어느 한 곳에도, 어느 한 순간에도 존재하지 않습니다 — 지갑이 생성되는 순간조차 마찬가지입니다. 블록체인은 평범한 주소와 평범한 서명만 볼 뿐, 정족수가 개입했다는 사실을 전혀 알지 못합니다.

멀티시그는 정반대의 길을 갑니다. 각 참여자가 완전하고 독립적인 키를 보유하고, 지출 규칙 — 예컨대 2-of-3 — 은 네트워크가 보고 강제할 수 있는 곳에 기록됩니다. 2012년부터 멀티시그를 기본 지원해 온 Bitcoin 스크립트나, Ethereum 같은 체인의 스마트 컨트랙트가 그 자리입니다. 2-of-3 멀티시그는 등록된 세 키 중 두 키가 각각 유효한 서명을 만들어 내지 않는 한 자금을 내보내지 않습니다. 정족수는 당신이 실행하는 소프트웨어가 하는 약속이 아니라, 체인의 합의가 강제하는 규칙입니다.

두 모델은 같은 단어 — "지갑" — 로 팔리지만, 그 단어가 신뢰 가정이 얼마나 다른지를 가려 버립니다. 한쪽의 보장은 외부인이 들여다볼 수 없는 고급 암호학 구현에서 나오고, 다른 쪽의 보장은 누구나 확인할 수 있는 합의 규칙에서 나옵니다.

MPC는 정족수를 암호학 안으로 옮기고, 그 구현을 믿어 달라고 요구합니다. 멀티시그는 정족수를 체인에 기록하고, 누구든 검증하게 합니다.

MPC를 선택할 이유

MPC의 장점은 실재하며, 기관 커스터디의 상당 부분이 MPC 위에서 돌아가는 이유이기도 합니다.

• 체인 지원이 거의 공짜로 따라옵니다. 임계값 ECDSA 구현 하나면 원칙적으로 ECDSA 서명을 받는 모든 체인을 지원할 수 있습니다. 체인마다 컨트랙트를 작성하고, 감사받고, 배포할 필요가 없습니다 — 지원하는 네트워크마다 자기 모델을 다시 구현해야 하는 멀티시그 제품에는 실질적인 비용이 드는 부분입니다.
• 주소가 평범해 보입니다. MPC 지갑은 단일 서명 수준의 수수료만 내고, 온체인에는 정책에 관한 어떤 것도 드러내지 않습니다. 2021년 탭루트(taproot)가 활성화되기 전까지 Bitcoin 멀티시그 지출은 단일 서명 지출보다 눈에 띄게 크고 비쌌지만, MPC에는 그런 문제가 애초에 없었습니다.
• 조각을 교체할 수 있습니다. 능동적 갱신(proactive refresh)을 이용하면 자금을 옮기거나 입금 주소를 바꾸지 않고도 보유자들이 조각을 다시 무작위화할 수 있습니다. 공격자는 수년에 걸쳐서가 아니라 한 번의 교체 주기 안에 정족수만큼의 조각을 탈취해야 하는 셈입니다.
• 스마트 컨트랙트 리스크가 없습니다. 온체인에 배포되는 것이 없으니 악용할 컨트랙트 코드도 없습니다. 공유 멀티시그 라이브러리의 버그로 수억 달러 상당의 ETH가 동결된 2017년 Parity 사건은 모든 MPC 업체가 인용하는 반면교사이며, 정당한 지적이기도 합니다.

MPC가 무너지는 지점

약점 역시 그만큼 구조적이지만, 훨씬 덜 알려져 있습니다.

이 암호학은 정말로 어렵습니다. 임계값 ECDSA는 날카로운 함정이 곳곳에 있는 대화형 다중 라운드 프로토콜이고, 실수는 실제 서비스까지 흘러들어 갔습니다. 2023년 보안 연구자들은 널리 배포된 여러 임계값 서명 구현에 대해 실전에서 통하는 키 추출 공격을 공개했습니다 — 기반 수학이 아니라 코드의 결함이었지만, 해당 지갑 사용자들이 위험에 노출된 것은 마찬가지였습니다. 멀티시그 사용자의 핵심 가정은 "체인이 서명을 올바르게 검증한다"입니다. MPC 사용자의 핵심 가정은 "내 업체가 미묘한 암호학 프로토콜을 올바르게 구현했다"입니다. 두 가정의 무게는 같지 않습니다.

외부에서는 아무도 정족수를 검증할 수 없습니다. MPC 주소는 여느 주소와 똑같아 보이며, 이는 마케팅 자료에 적힌 임계값을 온체인에서 확인할 방법이 없다는 뜻입니다. 2023년 7월의 Multichain 사건이 이를 생생하게 보여 줬습니다. 프로젝트 주소들에서 약 1억 2,500만 달러가 빠져나갔고, 이후 팀의 발표는 키 자료를 보관하던 서버들이 처음부터 사실상 한 사람의 통제 아래 있었음을 시사했습니다. 아키텍처 다이어그램이 무엇을 약속했든 운영 현실은 단일 실패 지점이었고 — 외부인은 체인만 봐서는 그 사실을 알아챌 길이 없었습니다.

복구는 대개 업체를 거칩니다. 실제 운영 중인 MPC 시스템 대부분은 업체 종속적입니다. 조각은 독점 포맷으로 저장되고, 서명에는 업체의 조율 서비스가 필요하며, 복구는 업체의 도구가 계속 존재하는지에 달려 있습니다. 오프라인 내보내기를 제공하는 업체도 있지만, 그렇지 않은 곳이 많습니다. 업체 없이도 복구할 수 있는지가 중요하다면, 지갑에 자금을 넣은 뒤가 아니라 넣기 전에 시연을 요청하세요.

책임 소재는 더 흐릿합니다. MPC 서명 절차의 결과물은 하나로 합쳐진 서명입니다. 체인은 어느 참여자가 거래를 승인했는지 보여 줄 수 없고, 남아 있는 기록이라고는 업체가 통제하는 업체의 로그뿐입니다.

멀티시그를 선택할 이유 — 그리고 그 솔직한 비용

MPC vs 멀티시그 비교에서, 온체인 멀티시그는 위 속성들을 거의 전부 뒤집습니다. 정책이 공개돼 있고 합의가 이를 강제하므로, 감사인도, 공동 창업자도, 법원도 누군가의 대시보드를 믿지 않고 정족수를 확인할 수 있습니다. 모든 승인은 서로 다른 키가 만든 서로 다른 서명이므로, 사고가 난 뒤 정확히 어떤 키가 서명했는지 알 수 있습니다. 그리고 키가 평범한 키이기 때문에 — Ownbit 멀티시그에서는 모든 참여자가 표준 BIP39 시드 문구입니다 — 복구가 어떤 회사의 존속 여부에도 의존하지 않습니다. Bitcoin 멀티시그는 이런 방식으로 10년 넘게 자금을 지켜 왔습니다.

비용도 똑같이 구체적입니다. 서명이 많아지면 거래는 커지고 수수료는 올라갑니다. 탭루트가 Bitcoin에서 그 격차를 줄이긴 했지만요. 감사인이 반기는 그 공개 정책은 공격자의 눈에도 보입니다. 2-of-3 지갑은 자신이 무엇인지 스스로 광고하는 셈입니다. 멀티시그는 체인마다 따로 구현해야 하고 — Bitcoin 스크립트, EVM 컨트랙트, TRON의 기본 내장 방식, Solana 프로그램 — 구현마다 품질이 다릅니다. 그리고 스마트 컨트랙트 체인에서는 컨트랙트 자체가 공격 표면이 됩니다. 멀티시그 컨트랙트 코드가 오픈소스여야 하고 독립적으로 감사 가능해야 하는 이유이며, Ownbit이 자사 멀티시그 컨트랙트를 공개하는 것도 정확히 그 때문입니다.

MPC vs 멀티시그: 어떻게 선택할까

워크플로 자체가 제품인 경우라면 MPC를 선택하세요. 수십 개 체인에서 하루 수백 건의 자동 서명을 처리하는 트레이딩 데스크, 그리고 운영 팀과 업체 계약, SLA가 갖춰진 환경이 그렇습니다. 이런 환경에서는 체인에 구애받지 않는 서명과 조각 교체가 그 복잡성에 값하는 가치를 실제로 만들어 내고, 업체 의존 역시 우연히 떠안은 것이 아니라 협상을 거친 비즈니스 관계가 됩니다. 같은 논리가 거래소와 결제 사업자에도 적용됩니다. 서명량이 많아지면 어떤 모델에서든 거래 건별 사람 검토는 비현실적이니까요.

서로를 완전히 신뢰하지는 않는 사람들 — 공동 창업자, 사업 파트너, 가족 — 이 정책을 검증할 수 있어야 하거나, 관련된 어떤 회사보다 정책이 오래 살아남아야 한다면 멀티시그를 선택하세요. 두 파트너가 어느 쪽도 단독으로 회사 자금을 움직일 수 없다는 사실에 대해 다짐이 아닌 증명을 원한다면, 온체인 2-of-3이 그것을 제공합니다 — 그리고 두 사람 중 누구든 몇 년이 지난 뒤에도, 누구의 허락도 구하지 않고 블록 익스플로러로 그 구조를 확인할 수 있습니다. 정족수 위에 조직 구조가 필요하다면, 엔터프라이즈 멀티시그가 Owner와 Signer 역할, 서명자 가중치, 지출 한도, 주소 화이트리스트를 더해 줍니다.

선택을 솔직하게 유지해 주는 두 가지를 덧붙입니다. 첫째, 두 방식은 조합할 수 있습니다. 온체인 멀티시그의 서명자 하나가 그 자체로 MPC 구성일 수 있고, 실제로 그런 하이브리드를 운영하는 팀들이 있습니다. 둘째, 두 방식 모두 같은 근본 질환 — 단일 실패 지점이 되는 하나의 시드 문구 — 을 치료하지만, 그 자리를 서로 다른 것으로 대체합니다. 멀티시그는 원하는 방식대로 백업할 수 있는 여러 개의 표준 시드 문구로, MPC는 업체의 조건에 따라 백업해야 하는 업체 포맷의 조각으로 말입니다.

그렇다면 MPC vs 멀티시그의 솔직한 요약은 이렇습니다. MPC는 운영 유연성과 프라이버시를 사는 대신 검증 가능성과 업체 의존으로 값을 치르고, 멀티시그는 검증 가능성과 독립성을 사는 대신 수수료, 프라이버시, 체인별 엔지니어링으로 값을 치릅니다. 어느 통화로 값을 치를지는 당신의 선택입니다 — 자금은 그 실패 양상을 당신이 이해하고 있을 때에만 진정으로 당신의 것입니다.

자주 묻는 질문