TheMEXC › 전체 글

해외 거래소 핫월렛 vs 콜드월렛 보안, 무엇이 다를까

Marcus Yeo · 업데이트 2026-09-28 · 독립 리뷰 — 어떤 거래소와도 제휴 없음

해외 거래소 핫월렛과 콜드월렛 보안을 비교할 때 흔히 둘 중 하나만 골라야 한다는 잘못된 전제로 이야기가 시작됩니다. 실제로는 규모 있는 거래소라면 예외 없이 두 방식을 함께 운용하는데, 각각 해결하는 문제 자체가 다르기 때문입니다. 핫월렛은 인터넷에 연결된 지갑으로, 거래소가 실시간 출금 처리를 위해 유지하는 유동성을 담당합니다. 콜드월렛은 어떤 네트워크에도 연결되지 않은 오프라인 보관 방식으로, 사용자 자산 대부분을 원격 공격자가 물리적으로 닿을 수 없는 곳에 두는 역할을 합니다.

이 구분은 단순한 형식이 아닙니다. 거래소가 공격을 받았을 때(받지 않는다가 아니라 받았을 때) 실제로 무엇이 벌어지는지를 결정짓는 핵심 아키텍처 설계입니다. 이 글에서는 두 방식이 각각 어떻게 작동하는지, 거래소들이 왜 이런 구조로 커스터디를 설계하는지 살펴보고, 이론이 아니라 실제 사례로 2026년의 한 해킹 사고를 통해 메커니즘을 짚어보겠습니다.

핫월렛이란 무엇이고, 거래소는 왜 필요로 할까요?

핫월렛은 온라인 시스템에서 개인키에 접근할 수 있는 모든 지갑을 말합니다. 거래소가 이런 구조를 쓰는 이유는 출금이 빠르게 처리되어야 하기 때문입니다. 자금을 인출할 때마다 사흘씩 수동 콜드 스토리지 출고를 기다리고 싶은 사람은 없습니다. 핫월렛은 즉각적인 유동성이 필요한 기능도 함께 지원합니다. 스테이킹 보상 지급, 무기한 선물의 펀딩비 정산, API 기반 기관 계정 출금 등이 대표적입니다.

트레이드오프는 명확합니다. 인터넷에 연결된 것은 정의상 인터넷에 연결된 다른 무언가로부터 도달 가능하다는 뜻입니다. 이것이 모든 거래소가 안고 있는 핫월렛 보안 위험의 본질입니다. 평판이 좋은 운영사들은 핫월렛 보유 잔액을 전체 준비금 대비 의도적으로 낮은 비중, 보통 한 자릿수 초반 퍼센트 수준으로 유지하고, 전액을 상시 보관하기보다 일정에 따라 콜드 스토리지에서 조금씩 보충하는 방식으로 이 위험을 관리합니다.

콜드월렛: 대량 준비금을 위한 오프라인 금고

콜드월렛은 인터넷에 절대 닿지 않는 기기나 매체에 개인키를 보관합니다. 네트워크와 완전히 단절된 에어갭 하드웨어, 페이퍼 지갑, 또는 서명 작업 자체가 네트워크 연결이 전혀 없는 기기에서 이뤄지는 오프라인 멀티시그 구조 등이 여기에 해당합니다. 콜드 스토리지에서 자금을 꺼내는 과정은 의도적으로 느리고 수동적이며, 트랜잭션이 브로드캐스트되기 전에 여러 지역에 흩어진 다수의 물리적 서명자가 승인해야 하는 경우가 많습니다.

이 번거로움 자체가 핵심입니다. 거래소의 전형적인 콜드월렛 암호화폐 거래 세팅에는 지리적으로 분산된 키 보유자, 하드웨어 보안 모듈(HSM), 그리고 어느 한 사람도 단독으로 콜드 출금을 승인할 수 없다는 정책이 포함됩니다. 설계 자체가 불편하도록 만들어져 있고, 바로 그 불편함 때문에 핫 인프라를 무너뜨리는 공격에서도 살아남습니다.

거래소 준비금이 아니라 본인 보유 자산에 같은 수준의 오프라인 보안을 적용하고 싶은 트레이더라면 방식은 비슷합니다. 하드웨어 지갑을 준비하고, 시드를 오프라인으로 백업해두고, 당장 매매하지 않는 자산은 아예 거래소 밖으로 옮겨두는 습관을 들이면 됩니다.

커스터디얼 vs 논커스터디얼: 실제로 키는 누가 쥐고 있을까요?

핫/콜드 구분 아래 깔려 있는 더 근본적인 질문이 바로 커스터디얼 vs 논커스터디얼 거래 플랫폼 문제입니다. 커스터디얼 거래소에서는 핫이든 콜드든 플랫폼이 여러분을 대신해 개인키를 보관하며, 여러분의 계정 잔액은 사실상 거래소 준비금에 대한 청구권에 가깝습니다. 논커스터디얼, 즉 셀프 커스터디 방식은 본인이 직접 키를 보유하는 구조로, 보통 하드웨어 지갑을 통해 이뤄지며 애초에 해킹당할 거래소 잔액 자체가 존재하지 않습니다.

셀프 커스터디 거래 플랫폼 모델은 2026년을 앞두고 주목받고 있지만, 나름의 트레이드오프가 있습니다. 시드 문구를 잃어버리면 이를 되찾아줄 고객센터 티켓 같은 건 존재하지 않습니다. 커스터디얼 거래소는 이 위험을 편의성과 속도로 맞바꾸는 구조이고, 그래서 대부분의 활발한 트레이더들은 매매 자금은 거래소에 두고 장기 보유분만 콜드 스토리지로 옮기는 방식을 택합니다.

Bitget 해킹이 드러낸 것은 키 탈취가 아닌 핫월렛 리스크

이 구분을 가장 잘 보여주는 실제 사례가 Bitget 해킹 사고로, 보도된 피해 규모는 수억 달러대에 달합니다. 이 사건이 사례 연구로서 의미 있는 이유는 피해 금액이 아니라 공격 방식에 있습니다. 이번 사고는 전형적인 개인키 탈취가 아니라, 위조된 인증(스푸핑) 방식을 통해 핫·웜 월렛 인프라를 겨냥한 것으로 알려졌습니다.

쉽게 풀어 말하면, 공격자들은 암호화 키를 뚫은 게 아닙니다. 대신 핫월렛 트랜잭션 승인을 담당하는 시스템을 속여, 서명 인프라 입장에서는 정상으로 보이지만 실제로는 그렇지 않은 출금을 승인하게 만든 것입니다. 이는 키 탈취와는 근본적으로 다른 공격 표면이며, 애초에 온라인 상태로 거래소의 운영 시스템과 연결되어 있는 시스템에 대해서만 성립하는 방식입니다.

Bitget의 콜드월렛 준비금은 보도에 따르면 영향을 받지 않았습니다. 메커니즘상 이는 충분히 납득되는 결과입니다. 네트워크와 완전히 단절된 오프라인 서명 기기는 애초에 침해된 인증 체계에 포함된 적이 없었기 때문입니다. 원격으로 스푸핑 공격을 당하지 않은 이유는 애초에 그 기기가 아무것도 수신 대기(listening)하고 있지 않았기 때문입니다. 이는 다른 대형 해킹 사고들에서도 반복적으로 나타나는 방어 논리이며, 살아남는 자산은 거의 언제나 애초에 네트워크로 접근 불가능했던 자산입니다.

Bitget의 자체 보안 공지와 준비금 보고 내용은 공식 사이트에서, 플랫폼 상세 정보는 Bitget 거래소 후기에서 확인할 수 있습니다.

하드웨어 지갑 연동과 멀티시그, 실제로 도움이 될까요?

멀티시그 지갑 거래소 지원은 트랜잭션이 이동하기 전 두 명 이상의 승인자를 요구하는 방식입니다. 단일 자격 증명 탈취에 맞선 보호책으로는 확실히 강력합니다. 다만 Bitget 사례는 멀티시그가 모든 공격 유형을 막아주는 만능 해법은 아니라는 점을 다시 확인시켜줍니다. 정상 서명자를 속여 악성 트랜잭션을 승인하게 만드는 스푸핑 공격은 “키 하나로는 부족하다”는 멀티시그의 전제 자체를 우회해버립니다.

거래소 측의 하드웨어 지갑 연동은 거래소가 보유한 준비금보다 개인 출금에서 더 큰 의미를 갖습니다. Ledger나 Trezor 주소로 바로 출금할 수 있는 플랫폼이라면, 자금이 승인되는 즉시 커스터디얼 환경을 벗어나기 때문에 본인의 노출 위험을 의미 있게 줄일 수 있습니다. 정확한 조건은 콜드월렛 용어 정리와 각 거래소의 출금 안내 문서를 통해 확인하시기 바랍니다. 지원 여부와 네트워크 범위는 플랫폼마다 다릅니다.

출금 수수료, 보험, 감사: 실제로 확인해야 할 것들

콜드 스토리지로 보내는 암호화폐 거래소 출금 수수료는 대부분 네트워크 가스비에 약간의 플랫폼 마진이 붙은 것이며, 그 자체만으로는 보안 수준에 대해 알려주는 바가 거의 없습니다. 오히려 다음 항목들을 확인하는 게 더 중요합니다.

• 암호화폐 거래소 보험 보장: 일부 플랫폼은 특정 해킹 시나리오에 대비한 보험 기금이나 제3자 보장을 운영합니다. 마케팅 페이지가 아니라 실제 약관의 보장 범위를 읽어봐야 합니다.
• 거래소 보안 감사 인증: 준비금 증명(Proof-of-Reserves) 자료와 제3자 침투 테스트 보고서는 커스터디 관행을 확인할 수 있는 가장 신뢰할 만한 근거입니다.
• 콜드 준비금 비율: 전체 사용자 자산 중 콜드 스토리지에 보관된 비중입니다. 이 비율이 높을수록 핫 인프라가 뚫렸을 때의 손실 노출이 대체로 작아집니다.

이런 정보는 거래 화면에서는 보이지 않습니다. 어느 플랫폼에 얼마의 잔액을 남겨둘지 결정하기 전에 꼭 확인해볼 가치가 있습니다.

활발히 매매하는 트레이더를 위한 실전 정리

레버리지로 무기한 선물이나 현물을 활발히 거래한다면, 운용 자금을 거래소 핫월렛에 두는 것은 사실상 피할 수 없습니다. 빠른 진입·청산·마진 콜 대응이 가능한 것도 이 구조 덕분입니다. 핵심은 거래소를 피하는 게 아니라, 핫월렛 잔액은 오직 운용 자금으로만 취급하고 당장 굴리지 않는 자산은 콜드 스토리지나 셀프 커스터디로 옮겨두는 것입니다.

플랫폼별 보안 비교를 더 폭넓게 보고 싶다면 거래소 랭킹 테이블에서 수수료·레버리지 한도와 함께 콜드 준비금 관행을 확인할 수 있고, 처음 커스터디를 설정한다면 입문자 학습 가이드에서 지갑 기초 내용을 참고하시기 바랍니다.

Marcus Yeo — Trades perpetual futures full-time and has opened, funded and stress-tested accounts on more than 20 exchanges since 2019. Runs every withdrawal test himself.

모든 플랫폼 비교는 2026 거래소 랭킹.