보상 허브 
2025년 암호화폐 업계는 보안 침해로 34억 달러의 손실을 입었습니다. Bybit 사건만 해도 14억 달러에 달하며, 북한 정부 지원 해킹 그룹은 연간 20억 달러 이상의 자산을 탈취했습니다.
이 수치는 이제 더이상 예외가 아닙니다. 이것이 오늘날 거래소가 운영되는 환경을 보여줍니다.
트레이더들에게 있어, 질문은 _거래소가 안전하다고 주장하는지_에서 _그 보안이 독립적으로 검증 가능한지_로 바뀌었습니다. Phemex는 바로 이 변화에 맞춰 설계되었습니다. 신뢰가 아닌, 점검과 투명성, 그리고 검증 가능성에 중점을 둔 자산 관리 및 보안 아키텍처를 갖추고 있습니다.
이 시스템이 어떻게 작동하는지 살펴보겠습니다.
Fireblocks와 함께하는 기관급 자산 관리
대부분의 거래소 보안 논의는 사고 대응에 초점을 맞춥니다. Phemex는 예방에 더 큰 비중을 둡니다.
Phemex는 **Fireblocks**와 파트너십을 맺고 있습니다. Fireblocks는 120개 이상의 블록체인에서 10조 달러 이상의 거래를 보호하는 기관용 디지털 자산 관리 제공업체입니다. 현재 2,400개 이상의 조직(은행, 자산운용사, 규제받는 수탁기관 포함)이 Fireblocks를 사용합니다.
Fireblocks 관리의 핵심은 다자간 연산(MPC, Multi-Party Computation) 입니다. MPC 방식에서는 어떤 장치나 개인도 전체 프라이빗 키를 보유하지 않습니다. 암호화된 키 조각이 안전하게 분산 저장되어, 한 부분이 탈취되어도 전체 키는 복구되지 않습니다.
이 구조는 여러 대형 거래소 해킹의 원인인 단일 실패지점(single point of failure) 리스크를 제거합니다. ETF 제공사와 전통 금융기관이 선택하는 동일한 자산 관리 표준입니다.
즉, Phemex 이용자는 이미 기관급 금융에서 검증된 인프라로 자산을 보호받습니다.
콜드-웜-핫 월렛 아키텍처
자산 관리 기술이 한 층이라면, 저장 구조는 또 다른 층입니다.
Phemex는 보안과 운영 효율성을 균형 있게 맞추기 위해 3중 지갑 시스템을 운영합니다:
-
콜드 월렛: 전체 사용자 자산의 70% 이상을 보관. 완전 오프라인, 다중 서명 및 수동 검증이 필요하며, 단독 접근 불가능.
-
웜 월렛: 운영 지원을 위해 인터넷에 직접 연결되지 않은 상태로, 제한된 잔고만 보유.
-
핫 월렛: 전체 자산의 8% 미만이 항상 보관되어, 입출금 지원 및 노출 최소화.
이 구조 덕분에, 만약 핫 월렛이 해킹당하는 최악의 상황에서도 대부분의 사용자 자금은 격리되어 안전합니다.
준비금 증명: 신뢰하지 말고 검증하세요
FTX 사태 이후, 검증 없는 신뢰는 용납되지 않습니다. Phemex는 **Merkle Tree 방식의 준비금 증명**을 초기에 도입했으며, 시스템은 계속 진화하고 있습니다.
Phemex가 공개하는 것
Phemex는 준비금 증명과 부채 증명을 모두 제공하여 보유 자산이 고객 잔고를 초과함을 사용자가 직접 확인할 수 있도록 합니다. 콜드 월렛 주소도 공개되어, 제3자에 의존하지 않고 온체인 확인이 가능합니다.
사용자는 어떻게 검증하나요?
각 계좌 잔고는 무작위 난수와 함께 해시되어 Merkle Tree에 포함됩니다. 사용자는 준비금 증명 페이지에서 Hashed Client ID를 입력해 자신의 계좌 포함 여부를 확인할 수 있습니다.
준비금 데이터는 매월 25일경 업데이트됩니다. BTC, ETH, USDT, USDC, USD, TRON, BNB, XRP, SOL, SUI, AVAX 등 주요 자산이 포함됩니다.
Phemex는 고객 자산 대출, 차입, 재양도(rehypothecation)를 하지 않음을 공개적으로 밝혔습니다. 모든 예치금은 1:1로 완전하게 보관됩니다.
암호키 보호
프라이빗 키 관리가 거래소 보안의 핵심입니다. Phemex는 다중 독립 보안 장치를 적용합니다.
Shamir Secret Sharing 방식으로 각 프라이빗 키를 여러 조각으로 분할, 별도의 안전한 장소에 보관합니다. 사전에 정해진 개수의 조각이 있어야 키를 복원할 수 있으므로, 단일 조각은 무의미합니다.
이 운영은 AWS Nitro Enclaves의 신뢰실행환경에서 실행되어 내부 직원까지도 전체 키에 접근할 수 없습니다.
또한, 대규모 자금 이동 시 다중 서명 승인이 필수로 요구되어 외부 공격과 내부 오용 위험 모두를 낮춥니다.
Fireblocks의 MPC와 결합해, 하나의 시스템이 침해되어도 전체 키가 유출되지 않는 다층 보호 구조를 완성합니다.
플랫폼 전반의 다층방어
자산 관리와 준비금 증명은 Phemex 보안의 일부에 불과합니다. Phemex는 플랫폼 인프라 전반에 다층 방어(Defense-in-Depth)를 적용하고 있습니다.
-
네트워크 보안: 엔터프라이즈 방화벽, DDoS 대응, 웹 어플리케이션 방화벽, 상시 모니터링
-
데이터 보호: 암호화, 엄격한 접근통제, 시스템 분리
-
보안 개발: OWASP 기준 준수, 자동 취약점 스캔, 필수 보안 검토
-
사전방어: 레드팀 테스트, 직원 보안 교육, 독립 감사
-
실시간 모니터링: 모든 월렛 계층에 대한 행동 분석, 연중무휴 가동
경험에서 배우다
2025년 1월, Phemex는 핫 월렛을 대상으로 한 보안 사고를 경험했습니다. 비상 프로토콜이 즉시 가동됐고, 운영이 일시 중단되었으며, 준비금 증명으로 콜드 월렛이 무사함을 공개했습니다. 모든 사용자 손실은 회사 준비금에서 즉시 보상됐고, 며칠 내로 출금이 재개되었습니다.
이 사건은 진행 중이던 보안 업그레이드를 가속화시켰고, Fireblocks 통합, 확대된 MPC 인프라, 향상된 모니터링 체계가 도입되었습니다.
보안 사고는 실제로 발생했습니다. 그에 대한 대응과 재구축이 현재 Phemex의 보안을 대변합니다.
계정별 보안 제어
플랫폼 보안은 사용자 개별 보호장치로 보강됩니다:
-
2단계 인증(2FA)
-
출금 주소 화이트리스트
-
피싱 방지 이메일 코드
-
신규 출금 주소 등록 지연
-
강력한 비밀번호 요구
이런 제어장치는 계정단 위험을 낮추고, 플랫폼 인프라와 시너지를 이룹니다.
자주 묻는 질문
내 자산이 안전한지 어떻게 확인하나요?
준비금 증명 페이지에서, 대시보드에서 확인 가능한 Hashed Client ID를 입력하면 잔고와 Merkle Tree 내 위치가 표시됩니다.
전체 자산의 몇 %가 콜드 월렛에 보관되나요?
전체 사용자 자산의 70% 이상이 오프라인 콜드 월렛에 보관되며, 핫 월렛에는 8% 미만만 저장됩니다.
Fireblocks가 누구인가요?
Fireblocks는 2,400개 이상의 기관(은행, ETF 수탁사, 자산운용사 등)이 사용하는 기관급 디지털 자산 관리 플랫폼입니다. 120개 이상의 블록체인에서 10조 달러 이상의 거래를 보호합니다.
준비금 업데이트는 얼마나 자주 이뤄지나요?
준비금 증명 데이터는 매월 25일경 갱신되며, BTC, ETH, USDT, USDC, USD, TRON, BNB, XRP, SOL, SUI, AVAX가 포함됩니다.
Phemex가 고객 자산을 대출하나요?
아니요. Phemex는 100% 준비금을 유지하며, 차입이나 미상환 대출이 전혀 없음을 공식적으로 밝혔습니다.
핵심 요약
암호화폐 보안은 기능이 아니라 인프라입니다.
2026년 Phemex는 Fireblocks를 통한 기관급 자산관리, 대부분 오프라인 구조의 3중 지갑 시스템, 검증 가능한 준비금 증명, 고도화된 암호키 보호, 다층 방어 메커니즘을 결합합니다.
이제 표준은 안심이 아니라 검증입니다.
