에어갭(Air-gapped) 지갑이란 무엇이며 QR코드/SD카드로 거래 승인하는 원리(23-1편)

들어가며

지난 23편에서 콜드카드를 다루면서 에어갭(Air-gap)이라는 단어가 여러 번 등장했습니다. 에어갭 방식으로 거래를 서명한다고 했는데, 정확히 어떤 원리인지 궁금하셨을 분들이 많을 것입니다.

오늘은 에어갭이 무엇인지, QR코드와 SD카드를 통해 거래를 승인하는 원리가 어떻게 작동하는지를 초보자도 이해할 수 있도록 처음부터 풀어드리겠습니다.

---

1. 에어갭이란 무엇인가?

에어갭(Air-gap) 은 두 시스템 사이에 공기(Air)만 있고, 어떤 물리적 연결도 없는 상태를 말합니다. 인터넷도, USB 케이블도, 블루투스도, 와이파이도 없습니다. 완전히 격리된 상태입니다.

군사·정부 기관에서 가장 중요한 기밀 컴퓨터를 운영할 때 사용하는 개념입니다. 아무리 뛰어난 해커라도 물리적으로 연결되지 않은 기기를 인터넷으로 해킹할 수는 없습니다.

비트코인 하드웨어 지갑에서의 에어갭은 이렇게 이해하시면 됩니다.

개인키가 저장된 기기(하드웨어 지갑)가 인터넷은 물론 컴퓨터와도 물리적으로 연결되지 않은 채로 거래를 서명하는 방식입니다.

개인키가 절대 인터넷과 연결된 기기로 나오지 않는다면, 인터넷을 통한 해킹은 원천적으로 불가능합니다.

---

2. 왜 에어갭이 필요한가? — 일반 하드웨어 지갑의 한계

일반적인 하드웨어 지갑(USB 방식)은 거래를 서명할 때 컴퓨터에 연결합니다. 이 순간 두 기기 사이에 데이터가 오갑니다.

이 방식의 취약점은 무엇일까요?

첫 번째 위험: 컴퓨터에 악성코드가 있다면 연결 순간 지갑 정보를 탈취하려는 시도가 있을 수 있습니다.

두 번째 위험: USB 연결 자체를 통한 펌웨어 공격이 이론적으로 가능합니다.

세 번째 위험: 하드웨어 지갑 드라이버나 연결 소프트웨어의 취약점이 악용될 수 있습니다.

물론 잘 만들어진 하드웨어 지갑은 이런 공격들을 막는 보안 장치를 갖추고 있습니다. 하지만 에어갭 방식은 이 모든 위험을 아예 차단합니다. 연결 자체가 없으니 연결을 통한 공격도 없습니다.

---

3. 에어갭 방식의 두 가지 방법

에어갭 상태에서 거래를 처리하는 방법은 크게 두 가지입니다. MicroSD 카드 방식과 QR코드 방식입니다.

---

4. MicroSD 카드 방식 — 파일로 주고받기

MicroSD 방식은 작은 메모리 카드를 택배 기사처럼 활용합니다. PC와 하드웨어 지갑 사이에서 파일을 물리적으로 운반하는 것입니다.

작동 원리를 단계별로 설명드립니다.

1단계 — 거래 준비 (PC) 스파로우 월렛(Sparrow Wallet) 같은 PC 지갑에서 거래를 만듭니다. "A 주소에서 B 주소로 0.01 BTC 보내기"라는 내용을 담은 미서명 거래 파일(PSBT)을 MicroSD에 저장합니다.

PSBT는 Partially Signed Bit coin Transaction(부분 서명 비트코인 거래)의 약자입니다. 아직 개인키로 서명되지 않은 거래입니다.

2단계 — 카드 이동 MicroSD를 PC에서 빼내어 하드웨어 지갑(콜드카드 등)에 꽂습니다.

3단계 — 거래 확인 및 서명 (하드웨어 지갑) 하드웨어 지갑 화면에 거래 내용이 표시됩니다. 받는 주소와 금액을 직접 눈으로 확인합니다. 내용이 맞으면 PIN을 입력해 서명합니다. 이 순간 개인키로 서명이 이루어지지만 개인키는 기기 밖으로 나오지 않습니다.

4단계 — 카드 이동 (다시 PC로) 서명된 거래 파일이 MicroSD에 저장됩니다. MicroSD를 다시 PC에 꽂습니다.

5단계 — 네트워크 전송 (PC) PC 지갑에서 서명된 거래 파일을 비트코인 네트워크에 전송합니다. 거래 완료.

이 전체 과정에서 하드웨어 지갑은 단 한 번도 PC나 인터넷에 연결되지 않았습니다.

---

5. QR코드 방식 — 카메라로 주고받기

QR코드 방식은 MicroSD 카드 대신 카메라와 화면을 이용합니다. 더 직관적이고 물리적 매체가 필요 없습니다.

작동 원리를 단계별로 설명드립니다.

1단계 — 거래 준비 (PC/스마트폰) PC 또는 스마트폰 지갑에서 미서명 거래를 만들고, 이를 QR코드로 변환합니다. 화면에 QR코드가 표시됩니다.

2단계 — QR코드 스캔 (하드웨어 지갑) 하드웨어 지갑의 카메라로 PC/스마트폰 화면의 QR코드를 촬영합니다. 거래 데이터가 하드웨어 지갑으로 전달됩니다.

3단계 — 확인 및 서명 (하드웨어 지갑) 화면에 거래 내용이 표시됩니다. 확인 후 PIN을 입력해 서명합니다.

4단계 — 서명된 거래를 QR코드로 표시 하드웨어 지갑 화면에 서명된 거래가 QR코드로 표시됩니다.

5단계 — QR코드 스캔 (PC/스마트폰) PC 또는 스마트폰 카메라로 하드웨어 지갑 화면의 QR코드를 스캔합니다. 서명된 거래를 받아 네트워크에 전송합니다.

QR코드 방식을 지원하는 대표적인 기기로는 파운데이션 패스포트(Foundation Passport), 키스톤(Keystone), NGRAVE ZERO 등이 있습니다.

---

6. MicroSD vs QR코드 방식 비교표

구분MicroSD 방식QR코드 방식

 

물리적 매체	MicroSD 카드 필요	불필요
데이터 전달	파일 복사	카메라·화면
속도	빠름	보통
오염·손상 위험	MicroSD 손상 가능	없음
데이터 크기 제한	거의 없음	QR 용량 제한 있음
편의성	카드 탈착 필요	카메라만 있으면 됨
대표 기기	콜드카드	패스포트·키스톤
보안 수준	최고	최고 (동일)

---

7. 에어갭 방식이 실제로 막는 공격들

에어갭이 구체적으로 어떤 공격을 막는지 정리해 드립니다.

① 원격 해킹 차단 인터넷에 연결되지 않으므로 원격에서 개인키를 탈취하는 모든 시도가 원천 차단됩니다.

② USB 악성코드 차단 USB BadUSB 공격처럼 USB 연결을 통해 악성코드를 심는 공격이 불가능합니다. 연결 자체가 없기 때문입니다.

③ 중간자 공격(MITM) 차단 거래 데이터가 네트워크를 통하지 않고 물리적 방법(MicroSD·QR)으로 전달되므로 네트워크 중간에서 데이터를 가로채는 공격이 불가능합니다.

④ 드라이버 취약점 공격 차단 하드웨어 지갑 드라이버 소프트웨어의 취약점을 통한 공격이 불가능합니다.

---

8. 에어갭 방식의 한계와 주의사항

에어갭이 모든 위험을 막아주지는 않습니다. 알아두어야 할 한계가 있습니다.

① 물리적 접근 공격은 막을 수 없다 에어갭은 원격·네트워크 공격을 차단하지만, 누군가 기기를 물리적으로 빼앗거나 강제로 PIN을 알아내는 공격은 막을 수 없습니다. 기기 자체의 물리적 보안도 함께 신경 써야 합니다.

② 화면 표시 내용 반드시 확인 MicroSD나 QR코드로 받은 거래 내용이 화면에 표시될 때 반드시 받는 주소와 금액을 눈으로 직접 확인해야 합니다. 악성코드가 거래 내용을 바꾼 PSBT를 만들었을 수 있기 때문입니다.

③ MicroSD 카드 관리 MicroSD 카드를 분실하거나 손상되면 거래가 실패할 수 있습니다. 별도 백업 카드를 준비해 두는 것이 좋습니다.

④ 에어갭 기기도 결국 시드 구문이 핵심 에어갭이 아무리 강력해도 시드 구문이 노출되면 모든 보안이 무너집니다. 에어갭 방식을 사용하더라도 시드 구문 오프라인 보관은 필수입니다.

---

9. 에어갭을 지원하는 주요 하드웨어 지갑

기기방식오픈소스특징

 

콜드카드 Mk4	MicroSD	✅	BTC 전용, 최고 보안
파운데이션 패스포트	QR코드	✅	BTC 전용, 직관적 UI
키스톤 프로	QR코드	부분	멀티코인, 터치스크린
NGRAVE ZERO	QR코드	부분	독자 생태계
시드사이너(SeedSigner)	QR코드	✅	DIY 오픈소스 기기

---

10. 실제 사례: 시드사 이너(SeedSigner) — 직접 만드는 에어갭 지갑

에어갭 방식의 가장 극단적인 형태가 있습니다. 바로 시드사 이너(SeedSigner)입니다.

시드사 이너는 라즈베리파이 제로(약 15달러짜리 초소형 컴퓨터)에 카메라 모듈과 작은 화면을 달아 직접 만드는 완전 오픈소스 에어갭 지갑입니다. 소프트웨어는 GitHub에 무료로 공개되어 있고, 누구나 직접 조립해 사용할 수 있습니다.

이 기기는 인터넷에 연결된 적이 단 한 번도 없는 완전한 에어갭 상태입니다. QR코드를 통해 거래를 서명합니다. 시드 구문도 기기에 저장하지 않고 사용할 때마다 직접 입력하는 방식을 지원합니다. 사용 후 전원을 끄면 모든 정보가 사라집니다.

비용은 3~5만 원 수준으로 상용 하드웨어 지갑보다 훨씬 저렴합니다. 하지만 직접 조립하고 소프트웨어를 설치해야 하므로 기술적 지식이 필요합니다. 이 사례는 에어갭 보안이 고가의 전용 기기 없이도 구현 가능하다는 것을 보여주는 흥미로운 사례입니다.

---

11. 필자의 생각: 에어갭을 어떻게 바라봐야 할까

💡 에어갭은 보안의 철학이다

에어갭을 처음 배웠을 때 이런 생각이 들었습니다. "이게 진짜 비트코인 정신이구나." 중앙 기관을 믿지 않고 수학으로 신뢰를 만들듯이, 에어갭은 소프트웨어 보안을 믿지 않고 물리적 격리로 신뢰를 만듭니다. 코드에 버그가 있을 수 있고, 운영 체제가 해킹당할 수 있습니다. 하지만 물리적으로 연결되지 않은 기기를 해킹하는 것은 현실적으로 불가능합니다. 에어갭은 "최악을 가정하고 설계한다"는 보안의 황금 원칙을 구현한 것입니다.

💡 모든 사람에게 필요한 것은 아니다

에어갭 방식이 최고 수준의 보안을 제공하지만, 솔직히 모든 사람에게 권장하지는 않습니다. MicroSD를 주고받거나 QR코드를 스캔하는 과정이 번거롭고, 실수할 가능성도 있습니다. 보유 금액이 크고 보안에 진심인 분들에게는 강력히 권장하지만, 소액을 보유한 초보자라면 일반 하드웨어 지갑으로도 충분합니다.

💡 에어갭의 진짜 적은 사용자의 실수다

에어갭 방식이 아무리 강력해도 가장 큰 위험은 결국 사용자의 실수입니다. 화면에 표시된 주소를 확인하지 않고 서명하거나, 시드 구문을 부주의하게 관리하거나, 가짜 소프트웨어를 설치하는 실수들이 에어갭 보안을 무력화할 수 있습니다. 기술적 보안과 함께 사용자 자신의 주의력도 보안의 핵심 요소입니다.

---

12. 자주 묻는 질문 (FAQ)

Q1. 에어갭 방식을 사용하면 거래 속도가 느려지나요?

실제 비트코인 네트워크 처리 속도는 동일합니다. 다만 서명 과정이 MicroSD 탈착이나 QR코드 스캔 단계를 거치므로 일반 USB 방식보다 몇 분 더 걸립니다. 자주 거래하는 분들에게는 불편할 수 있지만, 장기 보유 목적이라면 충분히 감수할 만한 불편함입니다.

Q2. QR코드 방식에서 QR코드를 누군가 촬영하면 개인키가 노출되나요?

아닙니다. QR코드에는 거래 내용(받는 주소, 금액, 서명)만 담겨 있습니다. 개인키는 절대 QR코드에 포함되지 않습니다. 서명된 거래 QR코드를 누군가 촬영해도 이미 완료된 거래 정보일 뿐, 개인키를 역추적하는 것은 수학적으로 불가능합니다.

Q3. MicroSD 카드가 바이러스에 감염될 수 있나요?

이론적으로 PC에 꽂은 MicroSD가 악성코드에 노출될 수 있습니다. 하지만 잘 설계된 에어갭 지갑(콜드카드 등)은 MicroSD에서 실행 파일을 실행하지 않고 특정 형식의 거래 파일만 처리합니다. 따라서 MicroSD에 악성코드가 있어도 하드웨어 지갑에 영향을 미치기 매우 어렵습니다. 그래도 가능하면 에어갭 용도 전용 MicroSD를 별도로 사용하는 것이 좋습니다.

Q4. 에어갭 방식과 일반 하드웨어 지갑 중 어느 것을 선택해야 하나요?

보유 금액과 보안 필요 수준에 따라 다릅니다. 100만 원 미만이라면 트레저나 레저 같은 일반 하드웨어 지갑으로 충분합니다. 500만 원 이상을 장기 보유한다면 에어갭 방식을 진지하게 고려할 가치가 있습니다. 결국 보안 수준과 편의성 사이의 균형을 본인이 판단해야 합니다.

Q5. 에어갭 지갑을 쓰면서도 주의해야 할 피싱 공격이 있나요?

있습니다. 가장 흔한 공격은 가짜 스파로우 월렛이나 가짜 지갑 소프트웨어를 설치하게 유도하는 것입니다. PC 소프트웨어가 악성이면 처음부터 조작된 거래 파일을 만들 수 있습니다. 따라서 PC 지갑 소프트웨어도 반드시 공식 사이트에서만 내려받아야 하며, 항상 하드웨어 지갑 화면에서 주소와 금액을 직접 눈으로 확인하는 습관이 중요합니다.

---

13. 결론: 공기만이 사이에 있는 가장 강력한 보안

에어갭의 원리를 한 문장으로 요약하면 이렇습니다.

"연결되지 않은 것은 해킹할 수 없다."

인터넷을 통한 모든 공격, USB를 통한 모든 공격, 네트워크를 통한 모든 공격은 에어갭 앞에서 무력해집니다. 개인키가 있는 기기와 인터넷 사이에 공기(Air)만 있다면, 그것이 가장 강력한 방화벽입니다.

물론 에어갭도 물리적 보안과 사용자의 주의력이 뒷받침되어야 완전해집니다. 하지만 비트코인 보안의 최전선에서 에어갭은 현재 가장 신뢰받는 방법임에 틀림없습니다.

다음 24편에서는 비트코인 지갑 백업 시 주의할 점과 시드 구문을 물리적으로 안전하게 보관하는 방법에 대해 알아보겠습니다.

---

📚 함께 읽으면 좋은 책 추천

이 시리즈를 읽으시면서 비트코인 보안과 에어갭에 대해 더 깊이 공부하고 싶으신 분들께 관련 도서를 추천드립니다. 블로그 글은 흐름을 잡기에 좋지만, 책 한 권이 주는 깊이와 체계는 또 다릅니다. 비트코인 보안을 철학으로 이해하고 싶다면 아래 링크를 참고해 보세요.

👉 비트코인 추천 도서 쿠팡에서 보기

이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.

---

※ 이 글은 정보 제공을 목적으로 작성된 것이며, 특정 자산에 대한 투자를 권유하지 않습니다. 투자에 대한 모든 결정과 책임은 투자자 본인에게 있습니다.