Google Cloud는 임계값 서명, 거래 정책 적용 및 기업 거버넌스를 결합한 프라이빗 프리뷰 멀티파티 컴퓨테이션(MPC) 서비스를 통해 기관용 가상자산 보관 시장에 진입했습니다. Google의 기술 개요에 따르면, 이 솔루션은 서명 권한을 독립적인 참여자에게 분산시켜 단일 장치가 전체 개인키를 보유하지 않도록 합니다. 서비스는 비트코인 및 이더리움 계열 네트워크에 대해 secp256k1 서명을 지원하며, Solana용 Ed25519 지원은 향후 출시 예정입니다. 이번 발표는 최근 Fireblocks MPC 라이브러리의 취약점이 키 관리 시스템의 남은 위험을 부각시킨 시점에 이루어졌습니다. CERT/CC는 10월 26일 Fireblocks의 mpc‑lib에 결함을 공개했으며, 이는 필수 부모 키가 없을 때 제로 채워진 버퍼가 사용될 수 있게 했습니다. 이 문제는 공격자가 손상된 하위 서명자 공유와 체인 코드를 함께 보유할 경우 조상 키 공유를 복구할 수 있게 하지만, 사용 가능한 개인키를 노출하지는 않았습니다. 해당 권고에서는 당시 공급업체 수정이 없었으며, 사용자가 체인 코드를 비공개로 유지하고 구현이 수정될 때까지 강화된 파생에 의존하지 말 것을 권고했습니다.

ETH / USD
출처: CoinGecko. 참고용 가격입니다.

Google의 MPC 설계 및 적용 범위

Google 문서는 하드웨어 환경을 분리한 강화된 임계값 서명 방식을 설명합니다. 이 서비스는 정책 검사와 기업 거버넌스 규칙을 적용할 수 있어 조직이 누가 거래를 요청하고 어떤 조건에서 승인될지를 지정할 수 있습니다. 프리뷰는 비트코인과 이더리움 네트워크에 초점을 맞추고 있지만, Solana 지원도 차후 제공될 예정입니다. 서비스는 2027년 초 상용화될 예정이며, 주요 금융기관이 이미 프라이빗 프리뷰를 테스트하고 있습니다.

기관 보관에 대한 시사점

Fireblocks 취약점은 MPC만으로 모든 보관 위험을 제거할 수 없음을 보여줍니다. 분산된 키 공유가 있더라도 파생 로직, 접근 제어, 거래 승인 메커니즘 등 구현 세부 사항이 여전히 중요합니다. Google의 MPC를 도입하는 기관은 복구 절차, 참여자 가동 시간, 정책 관리 등을 평가해야 합니다. 이 서비스는 키 도난·무단 사용, 서명 일시 중단, 키 소재 영구 손실을 방지하지만, 견고한 거버넌스와 운영 통제의 필요성을 없애지는 못합니다.

다음에 주목할 사항

Google MPC 서비스의 일반 제공 시점, 규제된 보관업체와의 통합 시연, 공개된 보안 평가가 주요 마일스톤이 될 것입니다. 관찰자들은 기관이 정책 적용 및 복구 메커니즘을 어떻게 구성하는지, 그리고 임계값 서명 모델의 견고성을 시험하는 사건이 발생하는지를 주시해야 합니다.