비수탁 지갑이란? 셀프 커스터디와 개인 키, 토큰 승인 관리 설명

비수탁 지갑은 개인 키를 사용자 본인만 보관하는 암호화폐 지갑입니다. 2026년 9월 중순부터 10월 중순까지의 이더리움 블록 표본 10개에서 USDT와 USDC 승인 약 10건 중 1건이 가능한 최대 한도를 설정했습니다. 셀프 커스터디는 키와 복구를 사용자에게 맡깁니다. 동시에 서명하는 모든 승인도 사용자가 혼자 관리하게 됩니다.

이러한 승인은 셀프 커스터디의 보호가 멈추는 지점입니다. ERC-20 토큰 표준은 승인된 주소가 사용자가 설정한 금액까지 "여러 번" 인출할 수 있게 하며 만료일이 없습니다. 2026년 8월 중순에 설정된 최대 USDT 승인 한 건은 같은 트랜잭션에서 사용된 뒤에도 두 달 후 전체 최대 한도를 유지했습니다.

비수탁 지갑이란 무엇인가요?

비수탁 지갑은 셀프 커스터디 지갑이라고도 불리며, 개인 키를 사용자 본인만의 통제 아래 두는 앱이나 기기입니다. SEC 직원들은 2025년 12월 투자자 공지에서 이 구조를 설명하며, 셀프 커스터디란 '암호화폐 자산의 개인 키 접근에 대한 단독 통제권'을 가진다고 밝혔습니다. 같은 공지는 그 대가로 해당 키의 보안에 대한 '단독 책임'을 지게 된다고 언급합니다.

모든 셀프 커스터디 암호화폐 지갑은 이 원칙으로 작동합니다. 브라우저 확장 프로그램, 휴대폰 앱, 하드웨어 기기 모두 해당될 수 있습니다. 이 구분은 키를 누가 보관하는지를 설명할 뿐, 키가 저장되는 기기에 대해서는 말하지 않기 때문입니다.

따라서 비수탁 암호화폐 지갑의 진짜 시험대는 사용자 없이 코인을 움직일 수 있는 주체가 누구인지입니다. 몇 달 전에 서명한 토큰 승인은 이 시험에 실패합니다. 승인한 컨트랙트가 허용한 금액까지 해당 토큰을 여전히 인출할 수 있기 때문입니다.

비수탁 지갑은 어떻게 작동하나요?

지갑은 서명하는 개인 키와 수신하는 공개 주소를 보유합니다. 이 쌍은 비트코인 공개 키와 개인 키에서 설명됩니다. 개인 키가 이전을 서명하면 코인이 지갑을 떠나며, 네트워크는 해당 서명을 주소와 대조한 뒤 이전을 수락합니다.

지갑 뒤에 회사가 있지 않으므로 비밀번호 재설정이 없습니다. 설정 시 표시되는 시드 문구가 백업이며, 기존 기기가 고장 나거나 분실된 경우 새 기기에서 동일한 키를 복원할 수 있습니다.

이더리움의 토큰은 두 번째 종류의 권한을 추가합니다. 이는 2015년 11월의 ERC-20 토큰 표준에 정의되어 있습니다. 승인은 다른 주소에게 사용자 토큰 중 하나의 사용 한도를 부여하며, 같은 주소에 대한 새 승인은 이전 승인을 덮어씁니다. 표준은 승인에 종료일을 두지 않습니다. 이를 되돌리려면 0의 새 승인을 보내야 하며, 이는 자체 수수료가 발생하는 온체인 트랜잭션입니다.

지갑은 그 자체로 체인에 도달하지 않는 메시지도 서명합니다. ERC-2612은 2020년 4월의 토큰 확장으로, 토큰이 permit이라고 알려진 서명된 메시지 형태로 승인을 받도록 합니다.

비수탁 지갑은 안전한가요?

비수탁 지갑은 제3자가 키를 잃어버리거나 빌려줄 수 없으므로 커스터디 제공자의 실패로부터 상대적으로 안전합니다. 따라서 안전성은 사용자가 통제하는 두 요소, 즉 백업과 사용자가 제공하는 서명에 달려 있습니다.

셀프 커스터디가 보호하지 못하는 것은 무엇인가요?

셀프 커스터디는 사용자 자신의 승인으로부터 보호하지 않습니다. 2026년 9월 중순부터 10월 중순까지 3일 간격으로 추출한 이더리움 50블록 표본 10개에는 USDT와 USDC 컨트랙트가 기록한 6,909건의 승인이 있었습니다. 그중 706건이 가능한 최대 금액을 설정했으므로, 약 10건 중 1건(10.22%)이 토큰이 기록할 수 있는 가장 큰 한도를 부여한 셈입니다.

아래 각 총 비율은 10개 윈도우 전체에서 해당 행의 토큰 승인 건수로 나눈 값이며, 범위의 각 끝값은 단일 윈도우에서 해당 토큰의 승인 건수로 나눈 값입니다.

비율은 윈도우마다 크게 변동하므로, 이 수치는 해당 표본을 설명할 뿐 이더리움의 모든 승인에 대한 주장을 하지 않습니다.

방법: 표본은 50개 이더리움 블록으로 구성된 10개 윈도우이며, 21,600블록 간격(약 3일)으로 떨어져 있습니다. 공용 노드는 해당 구간에서 USDT와 USDC 컨트랙트가 방출한 모든 Approval 이벤트를 반환했습니다. 승인 금액이 78자리 숫자인 2^256 - 1과 같으면 최대 승인으로 간주합니다.

최대 승인은 사용된 뒤에도 남을 수 있습니다. OpenZeppelin의 참고 ERC-20 코드는 스펜더가 토큰을 인출할 때 최대 한도를 '갱신되지 않음'으로 남겨두며, 이를 '무한 승인과 의미론적으로 동일'하다고 표현합니다. 이더리움의 USDT 컨트랙트도 최대값에서 차감을 건너뛰는 방식이 같습니다. 그래서 8월 중순의 승인은 약 10,000 USDT가 통과한 뒤에도 전체 최대 한도를 유지했습니다.

permit 서명도 체인 밖에서 동일한 노출을 갖습니다. ERC-2612에 따라 서명된 permit을 보유한 사람은 누구나 이를 제출하여 한도를 설정할 수 있습니다. 표준의 표현을 빌리면 'permit 함수의 호출자는 임의의 주소일 수 있습니다.'

permit의 만료 기한은 서명을 사용할 수 있는 시점을 제한하지만, 생성된 한도에는 종료일이 없습니다. USDC의 이더리움 컨트랙트는 permit을 지원하는 반면, USDT에는 permit 함수가 없습니다.

발행자도 자체 통제 수단을 유지합니다. USDT 컨트랙트는 소유자에게 주소를 블랙리스트에 올리거나, 블랙리스트 잔액을 소각하거나, 이전을 일시 중지하는 기능을 부여합니다. 2026년 2월에 마지막으로 갱신된 Tether 약관은 회사가 '사용자가 보유한 모든 Tether 토큰을 동결'할 수 있다고 명시합니다. 본인 키로 USDT를 보유해도 이러한 권한은 그대로 유지됩니다.

비수탁 지갑도 해킹될 수 있나요?

그렇습니다. 일반적으로 침투 경로는 사용자가 승인하는 서명입니다. 올바르게 생성된 개인 키는 실제로 추측할 수 없기 때문입니다.

블라인드 서명이 흔한 진입로입니다. 2017년 9월의 EIP-712 표준은 이를 해결하려 했습니다. 작성자들은 서명된 메시지를 '사용자에게 표시되는 불투명한 16진수 문자열로, 메시지를 구성하는 항목에 대한 맥락이 거의 없다'고 설명했습니다.

permit의 스펜더와 금액을 일반 필드로 표시하는 지갑은 확인할 단서를 제공합니다. 16진수 문자열은 단서를 주지 않습니다. 피싱 사이트에서 USDC permit에 서명하면 공격자가 이를 제출하고 수수료를 낼 수 있습니다. 그러면 사용자의 추가 클릭 없이 토큰이 빠져나갑니다. permit 요청은 트랜잭션에 기울이는 만큼의 주의가 필요합니다.

다른 경로는 서명을 완전히 우회합니다. 시드 문구를 얻은 사람은 누구나 지갑을 복원할 수 있기 때문입니다. 해당 문구를 오프라인으로 보관하는 방법은 암호화폐 지갑의 시드 문구 백업 방법에서 다룹니다.

커스터디얼 지갑과 비수탁 지갑의 차이점은 무엇인가요?

차이점은 개인 키를 누가 보관하는지에 있습니다. 커스터디얼 지갑은 제3자의 계정입니다. SEC 공지는 이러한 커스터디 제공자가 '암호화폐 거래소와 전용 암호화폐 자산 커스터디 제공업체'를 포함하며, 사용자의 키에 대한 '접근을 관리하고 통제'한다고 말합니다.

핫과 콜드는 별개의 문제입니다. 공지는 '핫 및 콜드 암호화폐 지갑 옵션이 셀프 커스터디와 제3자 커스터디 모두에 존재한다'고 언급하므로, 오프라인으로 보관된 기기라도 커스터디얼일 수 있습니다. 콜드 지갑에서의 오프라인 암호화폐 보관은 두 모델 모두에서 적용됩니다.

커스터디 방식은 코인이 대기하는 동안 어떤 일이 일어나는지도 결정합니다. SEC 공지에 따르면 일부 커스터디 제공자는 예치 자산을 대출 담보로 사용하며, 이 관행은 '때때로 재담보(rehypothecation)라고 불린다'고 합니다. 공지는 투자자에게 자신의 제공자가 이를 하는지와 동의를 요구하는지 확인하라고 안내합니다.

비수탁 지갑의 위험은 무엇인가요?

셀프 커스터디 지갑의 위험은 구체적이며, 각각의 결과는 사용자 본인에게만 돌아옵니다.

• 시드 문구 분실은 연락할 곳이 없게 만듭니다. SEC 공지는 지갑을 분실하거나 도난당한 경우 '암호화폐 자산에 대한 접근을 영구적으로 잃을 수 있다'고 경고합니다.

• 오래된 승인은 사용을 중단한 뒤에도 컨트랙트의 접근을 열어두므로, 1년 후 취약점이 발생한 컨트랙트가 여전히 승인된 토큰에 도달할 수 있습니다.

• 확인하지 않은 메시지는 사용자의 트랜잭션 없이도 한도를 부여할 수 있으며, 이를 보유한 사람은 만료 기한까지 시점을 선택할 수 있습니다.

• 발행자 동결은 토큰 자체 컨트랙트에 통제 수단이 있으므로 USDT가 어디에 보관되든 영향을 미칩니다.

Phemex와 함께 비수탁 지갑을 사용하는 방법은 무엇인가요?

Phemex 계정은 커스터디형이므로, 코인을 비수탁 지갑으로 옮기려면 사용자가 통제하는 주소로 출금해야 합니다. 다음 다섯 단계는 해당 이전을 보다 안전하게 관리하도록 돕습니다.

1. 브라우저 또는 모바일 지갑 앱, 혹은 본인만 사용하는 하드웨어 기기에서 직접 지갑을 만듭니다.

2. 지갑에 코인이 담기기 전에 시드 문구를 오프라인으로 적어 두고, 카메라나 클라우드 노트로부터 멀리 보관합니다.

3. 지갑 주소를 Phemex 출금 화이트리스트에 추가합니다. Phemex의 고급 계정 보호 구현 방법에 관한 게시물에 따르면, 화이트리스트가 활성화되면 '자금은 해당 주소들로만 보낼 수 있습니다'. 모든 출금에는 인증 앱의 코드도 필요합니다.

4. 소액 테스트 출금을 보내 지갑에 도착했는지 확인한 뒤 나머지를 이전합니다.

5. 더 이상 사용하지 않는 승인은 토큰과 펜더별로 하나씩 0으로 되돌립니다. 각각 자체 네트워크 수수료가 발생합니다.

Phemex의 선물 거래는 커스터디 계정 내에서 이루어지므로, 출금한 코인만 사용자 본인의 키 관리 아래 들어갑니다. 선물은 레버리지를 사용하며, 손실이 증거금에 도달하면 레버리지 포지션은 자동으로 청산됩니다.

자주 묻는 질문

비수탁 지갑은 추적될 수 있나요?

그렇습니다. 지갑이 서명하는 모든 이전과 부여하는 모든 승인은 해당 주소 아래 공개 블록체인에 기록되기 때문입니다. 셀프 커스터디는 키를 회사로부터 떼어내지만, 그 키가 수행한 작업의 기록은 누구나 볼 수 있도록 열려 있습니다.

셀프 커스터디 지갑과 거래소의 차이점은 무엇인가요?

거래소는 계정 뒤의 개인 키를 보관하고 사용자가 요청하면 출금을 서명합니다. 셀프 커스터디 지갑은 사용자가 보유한 키로만 서명하므로, 백업과 사용자가 부여하는 모든 승인은 사용자가 관리해야 합니다.

하드웨어 지갑은 비수탁 지갑인가요?

그렇습니다, 사용자가 직접 설정하고 시드 문구를 보관하는 경우에는 해당됩니다. 커스터디 여부는 키를 누가 보관하는지에 따라 결정되며, SEC 공지는 핫 및 콜드 지갑이 셀프 커스터디와 제3자 커스터디 모두에 존재한다고 말합니다.

토큰 승인은 어떻게 취소하나요?

같은 토큰과 펜더에 대해 0의 새 승인을 보내면 됩니다. ERC-20에서는 새 승인이 이전 승인을 덮어쓰기 때문입니다. 각각에는 자체 네트워크 수수료가 발생합니다. USDT 컨트랙트는 한도가 0으로 설정되기 전까지는 하나의 0이 아닌 한도를 다른 한도로 변경하지 않습니다.

결론

셀프 커스터디는 키에 관한 약속이며, 토큰 승인은 그 부수 조건입니다. 비수탁 지갑은 다른 누구도 사용자의 코인을 위해 서명하지 못하게 합니다. 그러나 사용자가 승인한 모든 컨트랙트는 이미 사용자의 서명을 보유하고 있으며, 소진되거나 사용자가 0으로 되돌릴 때까지 계속 작동합니다.

면책 조항: 본 기사는 정보 제공 목적으로만 제공되며 금융 조언이 아닙니다. 암호화폐 거래는 중대한 위험을 수반합니다. 투자 결정을 내리기 전에 항상 스스로 조사하십시오.