비트코인 거래에는 사업적인 관점에서 큰 문제가 있습니다. 아무도 자주 이야기하지 않는 점입니다. 기업이 이미 사용한 지갑 주소로 공급업체에 비트코인(BTC)으로 대금을 지급한다고 가정해보겠습니다. 공급업체는 실제로 청구서를 넘어서 거래 내역을 확인할 수 있습니다.
지금 이 글을 읽고 있는 순간에도, 경쟁사가 블록 탐색기를 열어 귀사가 직전에 비트코인으로 누구에게, 얼마를, 언제, 어떤 상대방에게 지급했는지 확인할 수 있습니다. 거래 추적은 정보를 숨기려는 사람이 걱정할 문제가 아닙니다. 이는 상시적인 사업 리스크입니다. 자금운용 현황, 파트너 관계, 거래 흐름 등이 누구나 흔적을 몇 시간만 추적해보면 그대로 공개되어 있습니다.
많은 사람들이 이 노출이 온체인상, 즉 거래 서명 시점부터 시작된다고 생각합니다. 하지만 사실은 그렇지 않습니다. 2026년 7월, KU Leuven의 디스트리넷(DistriNet) 연구팀이 가장 인기 있는 브라우저 확장 지갑 85개를 테스트했습니다. 그 결과, 실제로 거래가 발생하기 전에도 지갑 자체에서 사용자 식별 및 추적이 가능할 정도의 정보가 유출된다는 사실이 밝혀졌습니다.
지갑은 잔액을 표시할 때 외부 서버에 신호를 보내는데, 이 요청에 이미 주소 정보가 평문으로 포함됩니다. 이것은 취약점이 아닙니다. 이 확장프로그램들은 본래 설계대로 작동하고 있었을 뿐입니다. 총 85개 중, 지문을 남기는 보안 취약점만으로도 36개 지갑이 해당되어 전체 조사 설치 수의 약 82%를 차지했습니다. 이 수치는 이후 모든 수치의 기준 집단입니다.
정직하게 사용하는 사용자들도 예외는 아닙니다. 앤디 그린버그는 암호화폐 범죄 관련 이슈를 10년간 가장 면밀히 추적해온 크로니클러입니다. 그는 해커, 딜러, 자금세탁범들이 블록체인을 은신처로 사용했던 전 과정을 취재했습니다. 그리고 수사관들이 이들을 하나하나 추적해내는 모습을 지켜봤습니다. 그가 “비트코인이 실제로 얼마나 추적 가능했는지 알기까지 10년이 걸렸습니다.” – 앤디 그린버그, 저널리스트. 이 원장은 이들을 보호해주기는커녕 오히려 확정적인 증거가 되어 유죄판결로 이어졌습니다.
잘못된 확신은 주로 이런 방향으로 작동합니다. 사생활 보호를 충분히 했다고 생각하는 사람들은 대개 숨길 것이 아무것도 없는 사람들입니다. 기부 내역 전체가 공개된 기부자, 지급내역으로 소스가 노출된 기자, 앞서 언급한 기업 간 거래처 모두 해당됩니다.
이런 정보 노출은 거의 모든 단계에서 사용자가 아닌 제3자에 의해 발생합니다. 이 글의 나머지 부분에서 전체 노출 경로를 정리하고, 사용자가 유일하게 직접 제어할 수 있는 마지막 연결고리가 무엇이었는지 설명합니다.
거래 자체를 넘어서 지갑에서 유출되는 정보들
암호화폐 지갑은 거래를 하지 않아도 정보를 유출할 수 있습니다. 잔액을 표시하기 위해 브라우저 지갑은 보통 외부 서버로 지갑 주소를 전송합니다. KU Leuven의 연구진은 약 3천5백만 건의 크롬 웹스토어 설치수에 해당하는 인기 확장 지갑 85개를 테스트했습니다. 그 결과, 36개의 지갑 — 조사 대상 설치량의 약 82% — 이 이런 방식으로 식별 및 추적될 수 있다는 사실을 밝혀냈습니다.
이 가운데 17개 지갑(약 2천3백만 설치)을 통해서는 같은 사용자가 보유한 여러 지갑 주소 사이의 연관성까지 노출될 수 있었습니다. 영향을 받은 36개 중 22개 지갑에서는, 사용자가 액세스를 해제하고, 브라우저를 재시작한 후에도 웹사이트가 주소를 읽어낼 수 있었습니다.
또 다른 문제가 있습니다. 사용자가 지갑을 연결하지 않아도 웹사이트가 어떤 지갑 확장 프로그램이 설치되어 있는지 감지하는 경우가 많습니다. 연구진은 또한 36개 취약지갑 가운데 23개가, 사용자가 아무런 클릭도 하지 않아도 외부 웹사이트에서 불러온 콘텐츠를 통해 주소가 유출될 수 있다는 점도 확인했습니다.
대부분의 지갑 제공업체들은 연구진의 연락에도 이를 심각한 버그로 인정하지 않았습니다. 코인베이스 월렛, 코인98, 하나(Hana)는 수정 조치를 취했으나, 메타마스크, 래비, OKX 등은 그러지 않았습니다. 연구팀이 테스트한 30개의 디앱 중에서, 사용자가 “연결 해제”나 로그아웃을 클릭할 때 지갑 접근권한을 제대로 해제한 곳은 11곳뿐이었습니다.
일단 주소가 노출되면, 퍼블릭 블록체인에서 나머지 정보는 얼마든지 확인할 수 있습니다.
블록체인 분석기업들은 여러 주소가 동일 개인 또는 단체에 속하는지를 시그널로 찾아냅니다.
예를 들어 여러 개의 지갑이 반복적으로 자금을 주고받거나 유사한 패턴으로 상호작용하면, 소프트웨어는 이들을 하나의 그룹으로 묶을 수 있습니다. 이처럼 공개된 한 주소를 통해 여러 추가 주소까지 분석자가 추적하게 됩니다.
이같은 작업은 엄청난 규모로 진행됩니다. 2026년 중반까지, 체인애널리시스(Chainalysis)는 10억 개가 넘는 블록체인 주소를 13만4천여 개의 실존 엔티티로 분류했다고 밝혔습니다.
블록체인 간 자금 이동 역시 흔적을 완전히 끊진 못합니다. 분석가들은 네트워크 간 브리지를 통과한 자산 이동도 추적할 수 있습니다. 디센트럴라이즈드 익스체인지 사용도 자동으로 거래 흔적을 감추진 못합니다. 교환(스왑) 역시 블록체인에 공개적으로 기록되기 때문입니다.
결국 지갑 주소는 무작위로 보일 수 있으나, 충분한 활동 내역이 축적되면 매우 자세한 금융 프로필로 변할 수 있습니다.
실제 이를 입증하는 사례도 있습니다. 2021년 콜로니얼 파이프라인 랜섬웨어 사건 당시, 미국 수사관들은 비트코인 흐름을 여러 지갑을 통해 추적하여 총 440만 달러 중 약 230만 달러를 회수했습니다.
헬릭스: 숨기려 해도 속일 수 없는 메커니즘
비트코인 초기 시절, 헬릭스는 다크넷 시장에서 매우 인기가 많았습니다. 오로지 한 가지 목적, 비트코인을 추적 불가능하게 만드는 것이었습니다. 래리 딘 하몬은 2014년부터 2017년까지 헬릭스를 텀블러로 운영하며, 고객의 코인을 섞어 자금 출처를 가렸습니다. 그리고 그 결과물을 “클린 코인”으로 홍보했습니다. 서비스 전체의 모델은 오직 은닉을 위한 것이었습니다. 코인의 출처와 도착지를 완전히 분리하는 데만 집중했습니다.
총 354,468BTC, 당시 약 3억1천1백만 달러 정도가 해당 서비스를 통과했습니다. 믹싱 처리는 거래 흔적의 형태만 바꿨을 뿐, 그 자체를 없애진 못했습니다. 모든 코인은 여전히 블록체인에 영구적인 흔적을 남겼습니다. 이 기록은 나중에 절대로 바꾸거나 삭제할 수 없었습니다.
하먼은 각 교환마다 2.5%의 수수료를 받았습니다. 이 수수료는 다른 모든 코인이 간 곳과 마찬가지로, 모두 체인 상에 영구적으로 남았습니다. 그는 은닉 서비스를 운영하기 위해 떼어낸 금액을 블록체인에 기록하게 되었고, 그 기록이 곧 운영자에게로 이어지는 흔적이 되었습니다. 흔적을 지우기 위해 설계된 그 서비스는 소유자를 오히려 지울 수 없는 흔적에 기록하고 말았습니다.
지갑 흔적이 실제 인물과 연결되는 방법
헬릭스는 비트코인을 이동한다고 해서 흔적이 반드시 지워지는 것은 아님을 보여줍니다. 그러나 자금의 흐름을 추적하는 것은 절반에 불과합니다. 분석가들은 여전히 지갑 주소를 실제 인물이나 기업과 연결해야 합니다.
이러한 연결은 보통 자금이 규제된 거래소에 닿을 때 발생합니다. 거래소는 고객의 입금 주소를 알고 있으며, 고객 신원확인(KYC) 절차를 통해 신원 기록을 보유합니다. 수사기관이 비트코인을 해당 주소까지 추적하면, 법적 절차를 통해 계좌 정보를 요청할 수 있습니다.
이 한 번의 연결로 인해 한 거래보다 훨씬 많은 정보가 드러날 수 있습니다. 이미 여러 지갑 주소가 동일 소유주와 연관된 것으로 분석됐다면, 그중 한 곳만 확인해도 전체 그룹에 이름을 붙일 수 있습니다. 거래소는 플랫폼과 연결된 주소만 알 수 있지만, 이전 분석 결과가 이를 다른 주소들과 연결할 수 있습니다.
때로는 법적 요청이 필요하지 않습니다. 개인이나 기업은 자주 웹사이트, 기부 페이지, 텔레그램 채팅 또는 공개 프로필에 스스로 지갑 주소를 공개합니다. 한번 주소가 이름과 연결되면, 과거 거래 내역도 모두 볼 수 있습니다.
기업의 경우, 이는 기본적인 프라이버시 문제를 만듭니다. 공급사에 지급한 금액이 이전의 지불, 자금 이동, 다른 거래 상대도 노출할 수 있습니다. 블록체인 거래는 영구적이며 타임스탬프가 찍히기 때문에, 한 지갑만 확인되면 수년치 활동이 쉽게 복원될 수 있습니다.
블록체인 추적이 잘못될 수 있는 부분
블록체인 분석이 항상 옳다는 의미는 아닙니다.
지갑을 연결하는 시스템은 주로 패턴과 확률에 의존합니다. 잘못된 양성·음성 결과를 내놓을 수 있습니다. 무고한 행동이 의심받거나, 반대로 수상한 행동이 놓치는 경우도 생깁니다.
거래 내역도 주요 문제 중 하나입니다. 비트코인은 여러 사람을 거칠 수 있습니다. 코인이 이전에 믹서나 위험하다고 판단된 지갑을 거쳤다면, 나중 소유자는 과거와 관계없이 의심을 이어받을 수 있습니다.
한 P2P 구매자는 자신이 받은 비트코인이 이전에 믹서를 거쳤다는 이유로 계정이 동결된 사례가 있습니다.
거래소나 기타 규제 기관 입장에서는 이런 실수가 실제 비용을 초래합니다. 잘못된 경고가 정상 고객의 자금을 동결시키고, 준법 및 지원 문제로 이어질 수 있습니다.
또한, 추적 회사들이 볼 수 있는 데에도 한계가 있습니다. 모네로 같은 프라이버시 중심 암호화폐는 추적이 훨씬 어렵습니다. 비협조 관할국 거래소에 자금이 닿으면 조사가 중단될 수도 있습니다.
최대 규모의 블록체인 분석 회사들도 대규모 정정을 해온 바 있습니다. 2025년 초 체이널리시스는 전년도 북한이 탈취한 암호화폐 추정치를 10억 달러에서 6억 6,050만 달러로 하향 조정했습니다. 수차례 해킹 재평가 결과 3억 달러 넘게 수정한 것입니다.
이러한 시스템의 신뢰성은 법정에서 도전받기도 했습니다. 비트코인 포그, 토네이도 캐시 사건 등에서 변호인단은 외부인이 완전히 검증할 수 없는 독점 소프트웨어 분석 결과의 신뢰성에 의문을 제기했습니다.
이런 검증이 중요한 이유는 체이널리시스가 미국 정부의 주요 계약업체이기 때문입니다. 연방 기록을 토대로 한 독립 보도에 따르면, 이 회사는 9,320만 달러가 넘는 정부 수주를 받았습니다.
잘못된 결과로 인한 최대 위험은 무고한 사용자에게 돌아갑니다. 연관이 잘못 연결될 경우 계정이 동결될 수 있습니다. 보호가 약한 국가에서는 동일 추적 도구가 기부자, 언론인, 혹은 정치적 반대 인물까지 노출시킬 수 있습니다. 블록체인 추적으로 많은 사실을 밝힐 수 있으나, 결과를 자동적으로 옳다고 여겨서는 안 됩니다.
사용자가 여전히 통제할 수 있는 흔적의 한 부분
앞서 언급한 노출 대부분은 사용자가 직접 통제할 수 없는 부분에서 발생합니다. 거래 전에도 지갑은 주소를 노출할 수 있습니다. 블록체인 분석은 여러 주소를 연결하고, 규제된 거래소는 고객 신원확인(KYC) 기록을 통해 실제 신원과 결부할 수 있습니다.
사용자가 실제로 제어할 수 있는 부분은 발신자와 수신자 간 직접 연결입니다. 한 지갑이 다른 지갑에 지불할 경우, 그 연결이 영구적으로 온체인에 기록되어 추후 거래 상대, 자금 이동, 사업 관계 등이 드러날 수 있습니다.
체인지나우는 프라이빗 트랜스퍼 기능으로 이 직접 연결을 제거했습니다. 해당 기능은 결제를 1회성 별도 주소로 우회해, 수신자가 송신자로부터 직접 자금을 받지 않도록 합니다. 이로써 송신자-수신자간 노출 경로를 끊지만, 더 넓은 거래 자체를 익명화한다고 주장하지는 않습니다.
다른 노출 가능성은 그대로 남아 있습니다. 지갑 메타데이터는 여전히 유출될 수 있고, 블록체인 분석으로 주변 활동이 추적될 여지가 있으며, 입금·이체·출금 단계마다 자금세탁방지(AML) 심사가 적용됩니다.
API 파트너에게 프라이빗 트랜스퍼는 기존 송금 인프라 내 선택적 기능입니다. 동일한 API 키 및 수수료 체계를 사용하며, 별도 제품이나 통합이 필요하지 않습니다. 목적은 명확합니다. 사용자가 실제로 생성하지 않을 수 있는 직접 노출 연결만을 제거하는 것입니다.
결론
이 글의 출발점으로 되돌아가 봅니다. 앤디 그린버그는 수년간 블록체인이 이용자들을 숨겨준다고 믿었지만 정반대 결론에 이르렀습니다. [“나는 비트코인이 얼마나 추적불가능과는 반대인지 깨닫는 데 10년이 걸렸다.” – 앤디 그린버그, 저널리스트]. 이것이 이 글 전체가 기반한 사실입니다. 완전한 의미의 추적불가능성은 존재하지 않습니다. 지갑은 흔적을 남기고, 체인은 기록하며, 주소 묶음은 결국 이름으로 귀결됩니다.
파트너 입장에서 주목해야 할 점도 여기에 있습니다. 10년 동안 추적된 코인들이 보여주듯, 익명성은 실질적 속성이라기보다 이야기일 뿐입니다. 어느 단계가 닫히고, 어느 단계가 열려 있는지 분명하게 파악해야 합니다. 프라이빗 트랜스퍼는 사용자가 만들 수 있었던 단 한 개의 노출 연결만을 제거합니다.
