하드웨어 지갑 리셀러를 비난하는 것이 요즘 유행하는 ‘대세’가 된 가운데 (다음 달이면 집단 내 소속감을 과시하고, 일론 머스크 관련 보상을 노리고, 실속 없는 도덕적 우월감을 드러내는 대상은 완전히 다른 것으로 바뀌겠지만요.), 베트남에서 가장 오랫동안 하드웨어 지갑을 판매해 온 리셀러로서 (동남아시아라고요? 세상에! 😱) 저희는 꼭 짚고 넘어가야 할 다른 관점을 제시하고자 합니다.
핵심은 다음과 같습니다.
리셀러 모델의 등장은 전체적으로 볼 때 글로벌 사우스(Global South) 지역의 암호화폐 사용자들이 하드웨어 지갑을 더 안전하게 구매할 수 있도록 공급망을 더욱 안전하게 만들었습니다.
세부적인 운영 방식과 역사적 배경을 살펴보기 전부터 이미 어떤 반응이 나올지 예상할 수 있습니다. (세상에, 얼마나 지루하겠어요! 알고리즘이 신나게 돌아가고 머리가 편하게 작동하도록 화려하고 흑백이 분명한 주장이나 던져 달라는 거겠죠!)
“너희는 직접적인 금전적 이익이 있으니까 그렇게 말하는 거잖아!!!!1111😡😡😡”
좋습니다. 평균적인 지능 수준을 자랑하는 분이시군요. 다음 주제로 넘어가세요. 이 글은 당신을 위한 것이 아닙니다. 목소리는 크지만 경험은 부족하고, 저희에게는 당신의 생각을 바꾸도록 설득할 동기도 없습니다. 당신 말이 전적으로 옳다고 생각하시니, 그 생각과 함께 행운을 빕니다.
복잡한 문제를 진지하게 바라보는 분들을 위해, 저희는 거의 10년 동안 이 시장의 최전선에서 일해 온 운영자의 관점을 공유하고자 합니다. 그리고 애초에 왜 이 ‘사업’에 뛰어들기로 했는지 그 이유를 설명하겠습니다.
먼저 금전적 이익에 관한 반론부터 살펴보겠습니다.
수익을 낼 수 있다면 좋겠지만, 현실적으로 이 사업 모델은 수익성이 그리 높지 않습니다. 정말로 그렇습니다.
단순히 돈을 벌고 싶은 것이라면, 하드웨어 지갑 소매 판매업을 시작하기 전에 추천할 만한 다른 기회가 수천 가지는 있습니다.
좀 더 구체적으로 말씀드리겠습니다.
BitcoinVN Shop은 2017년 사업을 시작한 이후 매년 적자를 기록해 왔습니다.
모회사인 BitcoinVN이 매년 10,000~20,000달러를 지원해 주지 않았다면, 저희 고객에게 이 서비스를 제공하는 것은 불가능했을 것입니다. BitcoinVN은 2014년 초부터 운영되어 온 베트남 최초의 비트코인 거래 서비스입니다.
저희가 개척 단계에 있는 시장에서 리셀러가 되기로 한 이유는 커뮤니티와 고객에게 필요한 서비스를 제공하고, 다른 방법으로는 이용하기 어려운 더 안전한 공급망을 마련하기 위해서였습니다.
특히 요즘은 모든 리셀러가 고객을 속이기 위해 공급망에 조작된 기기를 몰래 끼워 넣으려는 악의적인 중간상처럼 묘사되고 있습니다.
만약 저희의 목적이 정말 그런 것이었다면, 고객에게 거래소에 코인을 보관하고 자산 관리를 저희에게 맡기라고 권하는 편이 훨씬 쉽고, 비용도 적게 들며, 절차도 간단하고, 수익성도 높았을 것입니다. 그리고 적당한 시점에 “해킹을 당했습니다”라고 발표하면 그만이겠죠.
사업을 시작했을 당시 저희는 고객이 자산을 저희에게 맡겨 보관하는 기능을 아예 허용하지 않았습니다. 고객은 구매하는 즉시 반드시 외부 주소로 코인을 출금해야 했습니다.
이론상으로는 훌륭한 방법입니다. IQ가 130 이상이고, 기술 지식과 이해력이 훨씬 부족한 사람들이 실제로 어떻게 행동하는지 전혀 모른다면 말이죠.
하지만 현실에서는 수많은 고객이 코인을 잃었습니다. 고객들이 “totallysafewallet.xyz” 같은 안전하지 않은 지갑이나 설정으로 코인을 보내면서 사기꾼들의 배만 불려 주는 일이 반복됐습니다.
좋습니다. 이 방식은 명백히 효과가 없었습니다. 그래서 전략을 바꿨습니다.
2017년 무렵부터 고객이 거래소에 코인을 일시적으로 보관할 수 있도록 허용하는 한편, 자기 수탁(self-custody)에 관한 지속적인 교육 캠페인에도 적극적으로 투자했습니다. 그리고 고객이 코인을 안전하게 직접 보관할 수 있도록 정품 하드웨어 지갑을 공급하는 서비스도 시작했습니다.
당시 시장에서 선택할 수 있는 것은 출처가 불분명한 비공식 수입 제품을 구매하거나, 해외 제조사에 직접 주문하는 것뿐이었습니다. 해외 주문은 배송에 몇 주씩 걸리는 경우가 많았고, 그마저도 세관에 발이 묶이기 일쑤였습니다. 수입 허가가 없다는 이유로 기기가 폐기될 수도 있었고, 통관 비용으로 제품 가격의 100~200%를 추가로 내야 할 수도 있었습니다. 운 좋게 배송되더라도 포장이 이미 개봉되거나 손상되었거나 봉인이 풀린 상태로 도착하는 일이 적지 않았습니다.
개척 단계의 시장에 사는 사람에게 “그냥 제조사에서 직접 주문하면 되잖아, 친구!”라는 말은 바로 이런 현실을 의미합니다.
이런 환경은 고객이 코인을 직접 보관할 수 있도록 원활하고 편리한 해결책을 제공하기에 전혀 적합하지 않았습니다.
그래서 저희도 직접 리셀러가 되기로 했고, 당시 Trezor와 Ledger에 직접 연락해 제조사로부터 기기를 수입했습니다. 이후 저희는 베트남 내수 시장에서 두 브랜드의 가장 오랜 리셀러로 자리 잡았습니다.
첫 Trezor 물량을 들여올 때는 창립팀이 직접 프라하로 가서 제조사 팀을 만나고, 기기를 인수해 베트남으로 가져오기도 했습니다. 하지만 재고를 보충할 때마다 먼 나라로 비행기를 타고 갈 수는 없습니다. 그렇게 하면 베트남 내 판매 가격이 감당할 수 없을 만큼 높아질 테니까요.
그럼에도 공급망을 짧게 유지하고 제품을 거치는 사람의 수를 줄이기 위해, 가능할 때는 지금도 직접 기기를 인수하고 있습니다.
저희가 리셀러가 된 것은 ‘수익을 위한’ 결정이 아니었습니다. 사업 운영상 필요한 선택이었습니다. 그렇지 않았다면 고객에게 출처를 알 수 없는 비공식 제품을 구매하거나 직접 수입을 시도하라고 안내할 수밖에 없었기 때문입니다. 직접 수입은 운이 좋으면 성공할 수도 있지만, 반대로 기기를 받기까지 몇 주를 허비하고 상당한 비용을 날리는 악몽 같은 상황으로 이어질 수도 있습니다. 그렇게 어렵게 받은 제품조차 완벽한 상태이거나 미개봉 상태라는 보장이 없습니다.
“그냥 제조사에서 직접 주문하면 되잖아, 친구!”라는 말은 이론상 훌륭하지만, ‘선진국’이라는 울타리 밖의 현실을 경험해 본 적이 거의 없다는 것을 보여 줍니다.
몇 번은 운 좋게 성공할 수도 있습니다. 하지만 같은 일을 충분히 반복하다 보면 이런 방식의 문제점을 금방 깨닫게 될 것입니다.
초기 리셀러 중 상당수는 비트코인 커뮤니티나 더 넓은 비트코인 생태계에서 활동하던 사람들이었습니다. 이들은 자신이 속한 커뮤니티와 고객이 코인을 직접 보관하는 과정을 더 쉽고 안전하게 진행하고, 출처가 불분명한 기기를 손에 넣을 위험을 줄이려는 진심 어린 목적을 가지고 있었습니다.
말레이시아의 한 리셀러와 관련해 문서로 확인된 사례가 하나 있습니다. 해당 업체가 유통망과 신뢰, 공식 판매 권한을 악용해 조작된 기기를 대규모로 일반 소비자에게 유통하려는 악의적인 세력에 인수된 것으로 보이는 사례입니다. 하지만 모든 리셀러 또는 대다수 리셀러가 고객을 속이려는 수상한 판매자라는 가정은, 많은 경우 리셀러들이 애초에 이 사업 모델을 선택한 이유와 정반대입니다.
저희는 거래소 고객들을 통해 개척 단계의 시장에서 정품 기기를 구하는 일이 얼마나 어려운지 직접 확인했습니다. 저희가 직접 도매 수입업체가 되어 이 문제를 가능한 한 해결하고, 고객이 위조되거나 조작된 기기를 받지 않도록 보호하는 것이 사업을 시작한 핵심 동기였습니다.
여러 복잡한 절차, 특히 수입 과정의 어려움까지 감수하면서 제조사에 직접 주문하는 것이 하드웨어 지갑을 더 안전하게 구매하는 방법이라고 생각하신다면, 물론 그렇게 선택하셔도 됩니다.
저희는 직접 보고 경험하며 배운 것이 있습니다. 그래서 수입을 직접 처리하고 공급망을 가능한 한 짧게 줄이기로 결정한 데에는 분명한 이유가 있습니다.
또 한 가지 짚고 넘어갈 점이 있습니다.
제조사에 직접 주문하더라도 공급망에는 여전히 많은 사람이 관여합니다. 그중 누구든 정품 기기를 조작된 기기로 바꿔치기할 가능성이 있습니다.
구체적인 사례를 들어 보겠습니다.
올해 초, 저희 창립팀 구성원들은 제조사에서 기기를 직접 인수하기 위해 다시 한번 해외로 출장을 갔습니다.
하지만 여러 차례 요청했음에도 제조사 시설에서 기기를 직접 인수하는 것은 불가능했습니다. 저희가 제조사와 같은 도시에 머물고 있었는데도 말입니다.
결국 기기는 제조사 창고에서 저희 숙소로 배송되었습니다. 이 단계에서도 악의적인 배송 담당자나 운송 업체가 개입했다면 공급망 공격이 발생할 수 있었습니다.
이후 숙소의 컨시어지가 소포를 받았습니다. 이 사람 역시 기기를 바꿔치기하거나 배송물을 조작할 수 있는 악의적인 인물일 가능성을 이론적으로는 배제할 수 없습니다.
저희가 숙소에 도착할 때까지 기다려 달라고 요청했지만, 배송이 너무 일찍 이루어졌습니다. 그래서 기기는 숙소의 잠금장치와 출입 통제 시스템이 갖춰진 보관실에 이틀 동안 보관되었습니다.
그 보관실에 접근할 수 있는 사람이라면 누구든 기기를 조작할 가능성이 있었습니다.
그다음 기기는 저희가 베트남으로 돌아올 때까지 며칠 동안 객실에 보관되었습니다. 이 단계에서도 건물의 마스터키를 가진 사람이 객실에 들어와 기기를 조작하거나 바꿔치기할 수 있었습니다.
그리고 귀국길에는 기기를 위탁 수하물에 넣었습니다. 일부 국가에서는 공항 직원들이 적은 월급을 보충하기 위해 위탁 수하물에서 귀중품을 훔치는 사례가 알려져 있습니다. 따라서 수하물 안에 있던 기기 역시 조작될 가능성이 있었습니다.
“제조사에서 직접 주문”할 때 실제 공급망이 얼마나 긴지 알고 계신가요?
기기를 받을 때 공장 조립 라인 바로 옆에 서 있지는 않을 테니, 기기를 처음 컴퓨터에 연결하기 전까지 이미 열두 명이 넘는 사람의 손을 거쳤을 수도 있습니다.
이러한 현실을 고려해 계획하고 대응하세요.
다만 저희가 기기를 직접 가져오면서 피할 수 있었던 것은 가장 위험한 단계 중 하나라고 생각하는 상황이었습니다. 바로 세관에서 몇 주 동안 기기가 묶여 저희의 시야와 통제 범위에서 벗어나는 일이었습니다.
일반적으로, 기기를 반복해서 다루는 사람을 매수하거나 포섭하는 것은 기기를 단 한 번만 접하는 사람을 포섭하는 것보다 산업적 규모의 공격자에게 더 매력적인 기회가 될 수 있습니다.
평범한 도시의 호텔 직원이 해외 마피아 조직의 돈을 받고 일할 가능성은 그리 높지 않습니다. 그 직원은 이런 기기를 정기적으로 다루지 않기 때문입니다.
반면 글로벌 사우스 국가의 통관 절차에 개입하는 것은 반복적으로 실행할 수 있는 공격 기회를 제공할 수 있습니다. 관련 담당자들은 수입 기기를 정기적으로 취급합니다. 저희는 이 때문에 통관 단계가 조직적인 공격자들이 대규모로 조작된 기기를 공급망에 끼워 넣기에 더 매력적인 지점이 될 수 있다고 봅니다.
그렇다고 전문 리셀러가 비슷한 공격에서 안전하다는 뜻은 아닙니다. 기기를 정식으로 수입하려면 이들 역시 통관 절차를 거쳐야 하며, 같은 위험에 노출될 수 있습니다.
다만 전문 리셀러는 전문 수입 대행업체와 함께 대규모로 운영합니다. 따라서 저희는 도매 수입 물량이 조작될 가능성이 상대적으로 낮다고 보고 있습니다. 물론 이는 어디까지나 저희의 판단일 뿐, 보장은 아닙니다(!!!). 저희 경험상 개인이 수입하는 물품은 세관에 적발되어 검사받을 가능성이 훨씬 높습니다. 또한 일반 고객은 이후 발견되는 악의적인 조작 흔적을 식별할 능력이 상대적으로 부족할 수도 있습니다.
그렇다면 최종 소비자는 어떻게 해야 할까요? 해외에서 200~300달러를 주고 주문한 하드웨어 지갑이 세관 검사 과정에서 개봉되었다면, 그래도 계속 사용하시겠습니까? 아니면 버리시겠습니까?
일반적으로 제조사는 세관에서 제품이 손상되더라도 교환해 주지 않습니다.
하지만 공식 인증 리셀러에게 구매했다면, 제품이 손상된 상태로 배송되었을 때 일반적으로 교환을 받을 수 있습니다.
따라서 현재 X(옛 트위터)에서 리셀러를 비난하는 분위기가 이번 주의 인기 있는 유행 담론이 되었다고 해도, 이는 여러 개척 시장의 실제 상황과는 거리가 멉니다.
리셀러들은 자신이 속한 커뮤니티에 기여하고, 자기 수탁을 더 안전하고 쉽게 이용할 수 있도록 돕기 위해 상당한 기회비용을 감수하며 이 ‘사업’을 시작한 경우가 많습니다.
물론 악의적인 세력이 앞으로도 공급망을 노리고 침투해 이를 훼손하려 할 것이라는 점을 모두가 염두에 두어야 합니다. 이들은 갈수록 정교하고 은밀한 전술과 도구, 기술을 사용할 것입니다.
암호화폐가 정말 ‘미래의 돈’이라면, 이러한 군비 경쟁이 앞으로도 계속 진화할 것이라고 예상해야 합니다.
저희의 기본적인 조언은 변하지 않았습니다.
장기적으로 살아남고 싶다면, 항상 경계를 늦추지 마세요.
공급망을 짧게 유지하세요. 거래 경로를 가깝게 하고, 각 단계를 철저히 검증해야 합니다.
또한 자산 보관 체계에서 가능한 한 단일 실패 지점을 제거하세요.
저희가 아무리 ‘선의’를 가지고 있더라도, 자기 수탁을 돕기 위해 구매한 기기가 결함이 있는 펌웨어와 함께 공장에서 출고되거나, 기기가 저희 창고에 도착하기도 전에 상위 공급망이 침해된다면 여러분을 보호할 수 없습니다.
저희는 이 현실을 결코 가볍게 여기지 않습니다. 여러분도 그래야 합니다.
하지만 여러 제조사의 기기를 사용하고 올바르게 구성한 멀티시그(multisig) 방식으로 자기 수탁하라는 조언을 따른 사용자들은 침해된 기기를 통한 도난으로부터 보호받을 수 있었습니다. Coldcard 사례와 최근 Ledger 공급망 사고 모두 마찬가지였습니다.
어쩌면 우리 모두가 여기서 교훈을 얻을 수 있고, 또 반드시 그래야 할 것입니다.