디지털 침묵까지 남은 두 번

토마스는 2011년 짧은 애니메이션 What is Bitcoin?을 만들었다. 대가로 Bitcoin을 받았고 시간이 지난 뒤 7 002 BTC가 남았다. 수십억을 노린 비밀 내기가 아니었다. 당시 가치는 오늘의 환산액보다 작았고 젊은 네트워크는 그것을 알기 쉽게 소개할 사람부터 찾고 있었다.

키는 세 곳에 백업했다. 훗날 설명에 따르면 둘은 실수로 지웠다. 세 번째는 비밀번호 시도 횟수가 제한된 암호화 USB 저장장치 IronKey S200에 넣었다. 비밀번호는 종이에 썼고 종이는 사라졌다.

사본 세 개는 합리적인 중복처럼 들리지만 모두 같은 인간 층에 기대고 있었다. 둘은 지울 수 있었고 셋째는 한 장의 종이에 담긴 정보로만 열렸다. 백업 개수만으로 독립된 복구 경로 수를 알 수 없다. 기술 매체 세 개도 하나의 실패 지점을 공유할 수 있다.

What is Bitcoin? 영상은 겨우 일분 반 남짓이었다. 색색의 인물이 디지털 돈을 직접 주고받고 단순한 목소리가 오늘날 책 한 권을 채우는 성질을 설명했다. 토마스는 금융 예측이 아니라 기술 아이디어를 인간의 말로 번역한 대가를 받았다. 한 Bitcoin이 일달러보다 쌌던 시절의 노동 보수였지, 현명한 사람이라면 당연히 가문의 보물로 보관할 완성된 재산은 아니었다.

규모의 변화가 훗날의 실수를 견딜 수 없게 만들었다. 토마스가 2011년 WIRED에 복구를 시도하며 일주일을 보냈다고 말했을 때 잔액은 약 140 000달러였다. 아프지만 상상은 가능한 돈이었다. 이후 가격은 여러 번 수억까지 올랐다. 같은 하드웨어, 같은 잊힌 비밀번호, 같은 7 002 BTC가 장치의 비트 하나 바뀌지 않은 채 전혀 다른 심리적 문제로 변했다.

토마스는 인터뷰에서 열 번 중 여덟 번 잘못된 비밀번호를 입력했다고 했다. 두 번이 남았고 모두 쓰면 장치가 데이터를 접근 불가능하게 만든다. “두 번 남았다”는 공개 설명 당시의 상태이지 장치의 실시간 원격 측정가 아니다. 토마스의 확인 없이는 이후 달라졌는지 알 수 없다.

잔액 가치와 함께 엔터 키를 누를 때의 심리적 비용도 커졌다. “다른 데 쓰던 것을 해 보라”는 흔한 조언은 실수의 목숨이 유한할 때 도박이 된다. 토마스는 새 생각이 나 침대에서 일어나 시험하고 다시 무력감에 빠지던 때를 말했다.

제한은 사고방식도 바꾼다. 무제한이면 후보 목록을 체계적으로 시험할 수 있지만 두 번뿐이면 먼저 과거의 자기 마음을 추정해야 한다. 문장이었나, 무작위 문자열이었나, 특이한 철자였나. 새 기억은 돌파구일 수도 거짓 확신일 수도 있다. 장치는 공격자에게서 데이터만 지키는 것이 아니라 인간의 부정확성을 용서하지 않고 주인에게 신원을 입증하게 한다.

토마스가 묘사한 순환은 비밀번호를 잃어본 사람이라면 알지만 판돈은 상상할 수 없이 컸다. 밤에 조합이 떠오르면 일어나 컴퓨터로 가 이번에는 맞다고 잠시 믿었다. 실패 뒤에는 기술 오류뿐 아니라 절망과 침대로의 귀환이 왔다. 여덟 번 뒤 새로운 영감은 선물이 아니라 남은 희망의 절반을 쓸 자격이 있는지 묻는 문제가 됐다.

거래소 화면의 숫자는 그 뒤에 달러 더미가 기다린다는 착각을 준다. 하지만 IronKey에는 달러도 Bitcoin 자체도 없었다. 서명을 만들 수 있게 하는 암호화 파일이 있었다. 토마스가 열기 전에는 코인을 팔거나 담보로 잡거나 더 안전한 구성으로 옮길 수 없다. 재산은 공개적으로 평가되면서 실제로는 쓸 수 없다. 팔 길이만큼 가깝고 올바른 기억 하나만큼 멀다.

2023년 Unciphered 팀은 같은 IronKey 모델에 대한 공격을 WIRED에 시연했다. 시험 장치에서 열 번 제한을 우회하고 엄청난 시도 끝에 올바른 세 단어 비밀번호를 찾았다. 회사는 이 방법으로 토마스의 드라이브도 열 수 있다고 믿었다.

그러나 토마스는 장치를 맡기지 않았다. 다른 팀과 이미 합의가 있고 이 정도 가치의 협상은 오래 걸린다고 했다. 그래서 확인된 행복한 결말는 없다. 비슷한 장치에서 시연한 기술은 있지만 토마스의 키가 복구됐다는 공개 증거는 없다.

Unciphered가 마법의 만능키를 말한 것은 아니다. 특정 하드웨어 세대에서 내부 데이터를 얻고 실패 횟수를 세는 장치를 우회하는 실험실 작업이었다. 시간과 장비가 들고 엄청난 가치의 장치를 맡은 전문가를 믿어야 한다. 기술적 가능성이 곧 완성된 서비스나 안전한 거래는 아니다.

팀은 프로젝트를 Everest라 불렀다. 운영 책임자 닉 페도로프, 최고경영자 에릭 미쇼, 톰 스미스라는 이름의 해커는 오래된 IronKey 수백 개를 모아 칩을 엑스레이로 찍고 보호층을 산으로 벗겨 내부 논리를 재구성했다. 스미스가 시험 장치에서 기자 앤디 그린버그의 세 단어 비밀번호를 약 200조 번 시도 뒤 찾았을 때 구체적인 사실을 입증했다. 실험실 조건에서 이 세대의 카운터를 우회할 수 있었다.

가장 어려운 장애물은 실리콘이 아니라 계약이 됐다. 토마스는 WIRED가 언급한 Naxo와 연구자 크리스 타르노프스키 등 다른 전문가들과 구두 합의가 있어 새 협상을 거부했다. 수억 규모에서는 보수와 책임, 데이터 사본, 구조자가 키에 접근할 가능성까지 정해야 한다. 페도로프는 기술적 자만 없이 요약했다. 코드와 회로는 예측 가능하지만 사람은 그렇지 않다.

이야기는 종종 Hardware Wallet의 실패로 전해진다. 하지만 IronKey는 범용 암호화 저장 장치다. 현대의 전용 지갑처럼 Bitcoin 거래를 안전하게 서명하지 않고, 키 파일을 비밀번호와 삭제 정책으로 보호했다. 이는 말장난이 아니다. 교훈이 달라진다.

보안은 가능한 가장 강한 자물쇠가 아니다. 사람이 비밀을 복구하고 상속인이 이해하며 한 번의 실수로 모든 길이 사라지지 않는 체계다. 토마스의 IronKey는 타인을 훌륭히 막았다. 정당한 주인에게도 똑같이 가혹하게 버텼기 때문에 비극이 됐다.

현대 지갑은 표준화된 Seed Phrase와 호환 소프트웨어에서 키를 복구하는 방법으로 문제 일부를 해결한다. 그것만으로 충분하지 않다. 잘못 보관한 단어는 도난당하거나 파괴되고, 안내 없이 상속될 수 있다. 책임을 없애려는 것이 아니라 한 물건이나 한 기억의 상실이 최종 판결이 되지 않도록 나누는 것이 목적이다.

Thomas의 사례는 보안을 약한 것부터 강한 것으로 단순히 나열하는 생각의 한계도 보여 준다. IronKey는 변조 저항성을 인증받았고, 개발비 일부는 미국 국토안보부가 지원했다. 장치의 강한 보호 기능 자체가 결함은 아니었다. 문제는 위협 모델이 바뀌면서 생겼다. 장치의 관점에서는 비밀번호를 모르는 정당한 소유자도 공격자가 된 것이다. 개별 장치는 매우 잘 보호되어 있었지만, 접근 권한을 유지하는 전체 방식은 치명적으로 취약했다.

인간적 결론은 슈테판 토마스가 더 잘 기억했어야 한다는 것이 아니다. 누구나 기억을 잃고 종이는 사라진다. 보관 설계가 가치나 질병이 복구를 위기로 만들기 전에 이 평범한 사실을 고려해야 한다는 것이다. IronKey의 남은 두 번은 기술적 잠금까지의 카운트다운일 뿐 아니라, 좋은 소유권에는 자기 키로 돌아가는 길도 포함된다는 알림이다.