BIP39 — 지갑을 되살리는 단어의 정체

장치는 바꿀 수 있어도 출발점은 같아야 한다

고장 난 지갑 장치를 새것으로 바꾸는 상황을 떠올려 보자. 새 장치는 이전 거래를 본 적이 없어도, 순서대로 적힌 단어 백업과 호환되는 소프트웨어를 통해 같은 자산에 접근하는 키를 재생성할 수 있다. 종이에서 코인을 꺼내 오는 것은 아니다. 자산은 네트워크에 남아 있고, 백업은 그 자산을 제어할 수단을 되살린다. 특정인의 분실 사건이 아니라 원리를 설명하기 위한 가상 상황이다.^[4]

이 가능성에는 서로 다른 두 설계가 포개져 있다. 2012년 2월 11일 날짜의 피터르 바위어(Pieter Wuille)의 BIP32는 하나의 시드에서 키 쌍의 계층을 파생하는 구조를 설명한다. 문서가 출발점으로 삼은 문제는 독립적인 난수 키를 만들 때 반복해서 백업해야 한다는 점이었다. 같은 출발점에서 키의 나무를 다시 만들 수 있다면, 새 키가 생길 때마다 하나씩 보존할 필요가 줄어든다.^[2]

단어보다 난수가 먼저다

2013년 9월 10일 날짜의 BIP39에는 마렉 팔라티누스, 파볼 루스나크, 애런 보이신, 숀 보우가 저자로 올라 있다. 이 제안은 그 출발점을 사람이 다루는 문제에 집중했다. 이진수나 16진수 문자열보다 단어를 옮겨 적는 편이 수월하기 때문이다. 그러나 시작 재료는 분명 컴퓨터가 생성한 난수다. 좋아하는 명언을 고르거나 문장을 직접 만드는 것은 이 문서가 의도한 방식이 아니다.^[1]

12단어를 만들 때는 128비트 난수에 4비트 체크섬을 붙인다. 합계 132비트를 11비트씩 나누면 열두 묶음이 되고, 각 묶음은 2,048개 단어 목록에서 하나를 가리킨다. 24단어는 256비트 난수와 8비트 체크섬을 담는다. 표준에는 15·18·21단어도 있다. 단어 순서 자체가 정보이므로, 전체적인 뜻만 비슷하게 기억하면 되는 문장이 아니다.^[1]

체크섬은 소프트웨어가 일부 필사 오류를 거르는 데 도움을 준다. 하지만 모든 오류를 잡거나 빠진 정보를 대신 복구하지는 못한다. 단어를 다른 언어로 번역해서 보관해도 안 된다. BIP39는 니모닉의 글자 자체를 시드 계산에 사용한다. 사람에게 같은 뜻인 번역이라도 계산의 입력은 달라진다.^[1]

두 번째 비밀이 목적지를 바꾼다

니모닉 자체가 최종 시드는 아니다. BIP39는 단어와 선택적인 추가 암호문구(passphrase)를 정해진 파생 함수에 넣어 512비트 시드를 만든다. 암호문구를 쓰지 않으면 빈 문자열이 입력된다. 이후 BIP32 같은 방식이 시드에서 키를 파생한다. 이 단계를 나누어 보면 단어 백업이 송금 주소 하나도, 모든 개인키를 그대로 적은 목록도 아니라는 점이 드러난다.^[1][2]

추가 암호문구는 특히 혼동하기 쉽다. 장치 잠금만 푸는 PIN이 아니라 지갑을 만드는 계산의 입력이다. 다른 암호문구를 넣어도 다른 유효한 시드가 만들어진다. Trezor 문서는 이 때문에 오타가 ‘암호가 틀렸다’는 메시지 대신 보통 잔액이 없는 다른 지갑으로 이어질 수 있다고 설명한다. 원래 지갑을 복원하려면 정확한 단어 백업과 함께 당시 사용한 암호문구도 필요하다.^[3]

고장 난 상자 밖에 남은 것

같은 키를 다시 찾으려면 파생 규칙이 호환되고 키의 나무에서 찾는 위치도 맞아야 한다. BIP32는 서로 다른 지갑 구조를 허용한다. 따라서 단어를 읽을 수 있다는 것만으로 모든 앱에서 모든 계정을 찾는다고 보장할 수는 없다. 단어 백업이 모두 BIP39인 것도 아니다. Trezor는 SLIP39를 복원 규칙이 다른 별도 형식으로 설명한다.^[2][5]

BIP39가 남긴 아이디어는 교체할 수 있는 장치와 재현할 수 있는 암호학적 출발점을 분리한 데 있다. 그래서 백업은 강력하며, 단순한 메모로 취급할 수 없다. Trezor가 이를 해당 지갑에 접근할 수 있는 비밀 정보로 다루는 이유다. 작은 종이는 원래 담겨 온 상자보다 오래 살아남을 수 있다. 그 힘은 정보를 정확히 보존하고, 누가 읽을 수 있는지도 통제할 때 유지된다.^[4]