Fireblocks Cold Wallet 관리 방식 — 리서치 자료

리서치 일자: 2026-04-17 (개정)
본 문서의 모든 사실에는 인라인 각주 [^n] 로 근거 출처를 표기했습니다. 각주 번호를 클릭하면 문서 하단의 출처로 이동합니다.
추측/의견은 포함하지 않으며, 불확실한 영역은 "해석 필요" 로 명시합니다.

공식 1차 자료 한글 번역본: 구체적인 절차·UI·화면은 docs/ 폴더의 Fireblocks Help Center 15개 문서 전문 번역을 참조하세요.

1. Fireblocks의 지갑 3단 계층 모델

Fireblocks는 MPC-CMP 기반으로 하나의 지갑을 3개의 키 쉐어(key share) 로 분산 저장하며¹, "세 번째 키 쉐어가 어디에 위치하고 어떤 방식으로 승인되는지" 에 따라 Hot / Warm / Cold로 구분됩니다²¹.

📘 상세 절차: docs/01-about-fireblocks-cold-wallet.md · docs/03-device-requirements.md

1.1 Cold Wallet의 핵심 특징

• 세 번째 MPC 키 쉐어를 에어갭 상태의 iOS 전용 기기에 저장¹⁶
• 승인 시 양방향 QR 코드(bi-directional QR code) 로 서명 페이로드 교환¹
• 블루투스·Wi-Fi·NFC·셀룰러 등 모든 무선 통신이 차단된 기기 사용²
• iOS 앱: "Fireblocks Cold Wallet" (App Store 배포)⁶ — Android 미지원
• 서명 절차: 콘솔↔에어갭 기기 사이 단일 라운드 통신(single round of communication) 으로 수 분 내 서명 완료. 24~48시간이 걸리는 전통 콜드스토리지(종이·USB 등)와 구별됨²
• 생체 인식(biometric ID) + PIN 코드 이중 검증
• 트랜잭션 타임아웃: 트랜잭션 생성 후 8시간 이내 서명 필요 (미서명 시 자동 취소)

1.2 MPC-CMP — Cold Signing을 가능하게 한 기술

• MPC-CMP는 Fireblocks가 발표한 개선 프로토콜⁷
• 이전 MPC 대비 서명 속도 약 800% 향상⁷⁸
• 최소 1개 키 쉐어가 오프라인 상태일 때도 서명 가능 (콜드 서명의 핵심)⁷
• Non-interactive signing: 서명에 참여하지 않는 키 쉐어가 오프라인이어도 프로토콜 진행 가능⁷
• 키 쉐어는 자동 refresh (proactive secret sharing) 되어 장기 보관 시 키 탈취 위험 감소⁷

1.3 서명 플로우 (양방향 QR)

📘 상세 절차: docs/07-signing-transactions.md

1. Fireblocks 콘솔의 오프라인 서명 패널에서 대기 중인 트랜잭션 선택
2. 콘솔이 트랜잭션 데이터를 QR 애니메이션으로 인코딩해 표시
3. 서명자가 에어갭 iOS 기기의 Cold Wallet 앱으로 QR 스캔
4. 앱에서 PIN + 생체 인증 후 Approve — 앱이 서명 결과를 QR 애니메이션으로 생성
5. 콘솔의 Confirm mobile scan 버튼 클릭 후, 앱의 QR을 컴퓨터 웹캠으로 스캔하여 서명 완료
6. 워크스페이스 구성 변경 승인(거래소 연결·화이트리스트 등록 등)도 동일한 UX로 처리

2. 워크스페이스(Workspace) 구조 제약

Fireblocks Workspace는 독립된 BIP32-HD 지갑 구조이며, 고유한 보안 및 트랜잭션 정책을 가집니다³.

📘 상세 절차: docs/01-about-fireblocks-cold-wallet.md · docs/02-prerequisites.md

2.1 중요한 제약

"A Fireblocks workspace can be hot & warm, or cold wallet-only, but not both."
— Fireblocks Developer Docs¹

• Hot + Warm 혼합 워크스페이스 또는 Cold-only 워크스페이스 중 택일¹
• 한 워크스페이스 안에 Hot과 Cold가 공존 불가¹
• 콜드 월렛 워크스페이스는 계약에 명시적으로 포함된 경우에만 생성 가능 (Customer Success Manager 온보딩 세션 필요)
• Switch Workspace 기능으로 로그아웃 없이 핫/콜드 워크스페이스 간 전환 가능
• 따라서 기관은 운영용(Hot/Warm) 과 수탁용(Cold) 워크스페이스를 물리적으로 분리하여 운영⁴

2.2 운영용 vs 수탁용 분리

• 운영 워크스페이스: 일상 입출금/거래 처리 (Hot/Warm) — 투자·스테이킹 등 빈번한 상호작용 작업⁴
• 수탁 워크스페이스: 이용자 자산 장기 보관 (Cold-only) — 특정 금액 이상 이체·신중한 검토가 필요한 거래⁴
• 자금 이동은 Sweeping 정책 또는 TAP(Transaction Authorization Policy) 기반 반자동화된 규칙으로 처리⁴
• 정책 변경 SLA: 지원 티켓을 통한 정책 변경은 3~5 영업일 소요

2.3 워크스페이스 간 자금 이동 (P2P Network)

📘 상세 절차: docs/09-p2p-network.md

• 핫 ↔ 콜드 워크스페이스 간 자산 이동의 가장 효율적 방법은 Fireblocks P2P Network 사용
• 핫 환경에서 네트워크 프로필 먼저 설정 → 콜드 계정에 연결하는 것을 권장 (유연한 라우팅 구성 가능)
• 연결 추가에는 각 워크스페이스의 관리자 쿼럼(Admin Quorum) 승인 필요
• 콜드 월렛에서 유연한 라우팅(flexible routing) 은 Early Availability 상태 — CSM에게 활성화 요청 필요

3. 하드웨어 및 디바이스 프로비저닝

📘 상세 절차: docs/02-prerequisites.md · docs/03-device-requirements.md · docs/05-provisioning-owner.md · docs/06-provisioning-signer.md

3.1 필수 하드웨어

• 소유자(Owner)는 신규 사용자·디바이스 승인용으로 iOS 콜드 디바이스 필수
• 서명자(Signer)마다 전용 iOS 디바이스 필요
• 하드웨어는 Apple/제조사 웹사이트 또는 공인 리셀러에서 직접 구매 (손상된 디바이스 방지)

3.2 감독 모드(Supervised Mode) 잠금

• 모든 콜드 월렛 iOS 디바이스는 Apple Configurator로 감독 모드(supervised mode) 로 잠금
• 잠금 후에는 Fireblocks Cold Wallet 앱만 실행 가능
• 보안 관리자(Security Manager) 역할이 프로비저닝 전담 — Fireblocks 워크스페이스 로그인 불필요
• Fireblocks는 보안 관리자와 소유자가 함께 프로비저닝 진행할 것을 권장
• 사전 처리(Pre-processing) 완료 후에는 절대 인터넷에 재연결 금지

3.3 디바이스 수명 주기

• Fireblocks는 2~3년마다 디바이스 교체 권장
• 교체 절차: 새 디바이스 먼저 온보딩 → 이전 디바이스 해제 → 해제된 디바이스 안전 초기화 또는 물리적 파기
• 일련번호·할당 정보 포함한 디바이스 재고 목록 유지
• 잠금 서랍·내화 금고 등 접근이 제한된 장소에 보관 · 충전 상태 유지

4. 키 관리(Key Share Management) Best Practice

EY & Fireblocks 공동 발표 "Digital Asset Custody and Transaction Processing Leading Practices" 및 Fireblocks 공식 보안 모범 사례 기준⁴.

📘 상세 절차: docs/05-provisioning-owner.md · docs/06-provisioning-signer.md · docs/14-mobile-key-backup.md · docs/15-workspace-key-backup.md

4.1 키 생성(Key Generation)

• 최초 키 생성은 Fireblocks가 주관하는 고도 보안 ceremony 에서 진행⁴
• 독립 제3자 검증 및 국제 보안 표준(ISO 27001 등) 준수⁴
• 워크스페이스 소유자가 복구 패스프레이즈(recovery passphrase) 설정⁴
• 추가 사용자 키 생성은 자동화되지만 반드시 소유자 승인 필요⁴
• 소유자 디바이스는 루트 MPC 키 쉐어 보유 — 모든 서명 디바이스 키가 여기서 파생

4.2 키 쉐어 저장 위치 다변화

4.3 백업 및 복구

Soft Recovery (단일 서명 기기 분실)⁴
- 최소 2개 이상의 서명 기기를 사전 등록
- 개별 기기 분실 시 나머지 기기로 복구 가능
- 비소유자 서명자 복구: 새 서명자 온보딩 → 이전 서명자 삭제

Hard Recovery (전체 개인키 재구성)⁴
- 모든 운영 중단 필요
- Workspace Owner의 복구 패스프레이즈 필수
- fireblocks-key-recovery-tool 사용 (공식 GitHub 제공)⁵
- Workspace Key Backup Recovery Kit — 모든 키 쉐어의 암호화된 전체 백업

소유자 디바이스 복구 (2가지 방법)
- 방법 1: 소유자의 복구 패스프레이즈 사용 — Fireblocks 지원팀 화상 검증 → 복구 모드 활성화
- 방법 2: 기존 서명자를 임시 소유자로 승격 → 원 소유자 재생성 → 소유권 반환
- 소유자 복구는 Fireblocks 지원 SLA에 따라 수 일 소요 가능
- AGP(Auto-Generated Passphrase) 미지원, 타사 DRS 제공업체 통한 백업도 미지원

백업 저장소 원칙⁴
- 여러 지역에 분산 배치
- 제3자 저장소 사용 시 서로 다른 제공자 조합
- 복구 컴포넌트별 접근권을 별도 인원에게 할당하여 단일 장애점 방지
- 디바이스와 복구 자료를 같은 위치에 보관 금지 (SPOF 방지)
- 종이 또는 내화·방수 금속 카드에 각인
- 제3자 DR 서비스(Coincover, Station70) 평가 고려
- 최소 연 1회 이상 복구 테스트 (시뮬레이션 환경에서 임시 MPC 키 사용)⁴

4.4 복구 패스프레이즈 검증 (Verify Passphrase)

• Cold Wallet 앱 버전 2.0.16 이상 에서 제공
• 실제 복구 없이 패스프레이즈 정확성만 검증 — 약 5분 소요
• 경로: Cold Wallet 앱 Settings > Verify Recovery Passphrase
• 소유자·서명자 모두 사용 가능
• 정기적인 DR 리허설의 일환으로 활용 권장

5. 거버넌스 및 사용자 역할

📘 상세 절차: docs/04-user-roles.md · docs/10-adding-users.md · docs/13-security-best-practices.md

5.1 콜드 월렛 6대 역할

콜드 월렛 워크스페이스는 핫 월렛과 다른 역할 체계 — 핫 월렛의 "관리자(Admin)" 역할이 존재하지 않음.

핵심 포인트:
- Owner는 트랜잭션에 서명할 수 없음 — 관리 기능과 서명 기능 완전 분리
- Signer만 서명 가능 — 정책(Policy) 규칙으로 특정 서명자 지정
- Non-Signing Admin은 MPC 키 보유 X, 온라인 Fireblocks 앱 사용 — 일상 승인 업무에 최적화
- 사용자/API 키 추가·삭제·수정은 Fireblocks 지원팀 티켓 제출 필수 (소유자 서면 승인 요구)

5.2 역할 분리(Segregation of Duties)

Fireblocks는 고객사 평균적으로 워크스페이스당 3.5명의 관리자를 둠⁴.

Fireblocks 공식 권장:
- Owner는 일상 블록체인 운영·거래에서 분리 — 가급적 새 서명 디바이스 승인에만 활동 제한
- Owner는 보통 "개인"이 아니라 CISO 또는 유사 조직 역할
- 운영 편의를 위해 Non-Signing Admin 1명 이상 생성 필수
- 할당 작업: 트랜잭션 승인, 거래소 연결 승인, 주소 화이트리스트, 워크스페이스 설정 변경 승인
- 정책(Policy)으로 트랜잭션 생성·승인·서명 3단계 분리:
- Signer만 트랜잭션 생성 및 서명
- Non-Signing Admin과 Approver가 승인
- Admin Quorum(다중 관리자 승인)으로 관리 변경 제어⁴
- 퇴사자 접근 즉시 해지 → 새 디바이스 재프로비저닝
- 백업 인력 없는 단일 서명자 금지 — 최소 2명 이상 서명자 유지

5.3 Transaction Authorization Policy (TAP)

• 16가지 파라미터 를 조합해 정책 규칙 구성 가능⁴
• 평균 9개, 대형 금융기관은 12개 이상의 규칙 운영⁴
• 구성 요소: 거래 한도, 빈도 제한, 화이트리스트 주소, 승인 워크플로우, 일회용 주소 제한⁴

Cold Wallet 관점 TAP 권장⁴:
- Cold Wallet 출금은 반드시 다단계 승인(maker/checker)
- 화이트리스트 주소 또는 P2P Network 등록 거래상대방에 한해서만 송금 허용
- 금액·빈도·시간 기반 임계값 설정
- 임계값 초과 시 별도 승인자 추가 요구
- 정책 규칙은 가장 제한적 → 가장 덜 제한적 순으로 정렬 (first-match principle)
- 테스트넷 워크스페이스에서 정책 변경 테스트 후 프로덕션 적용

6. Vault 구조 — 분리(Segregated) vs 옴니버스(Omnibus)

Fireblocks는 고객 자금 관리 시 두 가지 Vault 구조를 권장⁴:

"Funds are never stored in an omnibus account or commingled with any other customer funds, as every customer has a segregated set of keys on segregated on-chain addresses."
— Fireblocks 공식 문서⁴

7. 향상된 콘솔 경험 및 셀프 서비스 기능

📘 상세 절차: docs/08-enhanced-console.md

Enhanced Cold Wallet Console — 기존 별도 "Offline Signing Panel" 을 통합한 신규 UX:

주요 개선 사항

• 통합 Recent Activity: 트랜잭션·승인 요청을 한 패널에서 처리
• Full Transaction Context: QR 스캔 전에 금액·자산·출처·목적지·수수료 전체 확인
• Configuration Change Visibility: 워크스페이스 구성 변경 승인 요청도 전체 컨텍스트 표시
• Type 필터: Transactions / Approvals 구분 필터링

셀프 서비스 기능 (Early Availability)

기존에는 지원 티켓 필수였으나, 활성화 시 콘솔에서 직접 관리 가능:

• 사용자 그룹·승인 그룹 관리 — 그룹 생성, 멤버 변경, 승인 임계값 조정
• 정책 편집 — 소유자 승인 없이 Non-Signing Admin 승인만으로 정책 변경
• In-House Key Backups — 콘솔에서 자체 백업 생성
• P2P Network 연결 — 네트워크 프로필·연결 셀프 관리
• IP Allowlist 관리

중요: 셀프 서비스는 Cold Wallet 앱 v2.1.0 이상 + Non-Signing Admin 최소 1명 필요. 활성화는 CSM/지원팀 조율.

8. 실제 현장 통계 (EY & Fireblocks 리포트)

9. Cold Wallet 운영 체크리스트

Fireblocks 공식 Security & Operational Best Practices 요약.

📘 상세 절차: docs/07-signing-transactions.md · docs/09-p2p-network.md · docs/13-security-best-practices.md

인프라 및 디바이스

• [ ] 운영(Hot/Warm)과 수탁(Cold) 워크스페이스 물리적 분리
• [ ] 신제품·공장 밀봉 iOS 기기만 사용 (퇴사자 기기 재사용 금지)
• [ ] 감독 모드(supervised mode)로 잠금, Fireblocks Cold Wallet 앱만 실행 가능
• [ ] SIM 제거·Wi-Fi/BT/셀룰러 영구 차단·에어갭 무결성 유지
• [ ] 잠금 서랍·내화 금고 등 물리 보안 장소 보관, 충전 상태 유지
• [ ] 디바이스 재고 대장(일련번호·할당자) 유지
• [ ] 2~3년 주기 디바이스 교체 계획

키 관리 및 백업

• [ ] 복구 패스프레이즈 오프라인 전용 보관 (스크린샷·타이핑 금지)
• [ ] 종이 또는 금속 카드에 기록, 디바이스와 분리 보관
• [ ] 키 쉐어 저장소를 HSM + 클라우드 + 모바일로 다변화
• [ ] Workspace Key Backup Recovery Kit 생성 (전체 키 쉐어 암호화 백업)
• [ ] 최소 연 1회 Soft/Hard Recovery 리허설 (테스트넷 환경)
• [ ] Verify Passphrase 기능으로 패스프레이즈 유효성 주기 확인 (v2.0.16+)

거버넌스 및 정책

• [ ] Owner는 서명 디바이스 승인에만 활동 제한 (일상 거래 배제)
• [ ] Non-Signing Admin 1명 이상 생성 (일상 승인 담당)
• [ ] 최소 2명 이상 Signer (단일 서명자 금지)
• [ ] TAP 규칙: 화이트리스트 주소 or P2P Network에 한정 송금
• [ ] 금액·빈도·시간 임계값 차등 설정
• [ ] 정책 변경은 테스트넷 검증 후 프로덕션 적용 (SLA 3-5 영업일)

운영 및 모니터링

• [ ] Hot → Cold 자금 이동은 Sweeping 규칙으로 자동화
• [ ] 모든 워크스페이스 변경 이력 외부 로그 시스템에 아카이빙
• [ ] 대규모 거래·권한 변경·키 생성 자동 감시 파이프라인
• [ ] 콜드 월렛 운영 런북(Runbook) 유지
• [ ] 보안 인시던트 에스컬레이션 절차 문서화
• [ ] 콜드 월렛 담당 인력 최신 연락처 목록 유지
• [ ] 사용자 접근·역할 할당 정기 검토

10. 긴급 절차 및 위험 대응

📘 상세 절차: docs/13-security-best-practices.md · docs/14-mobile-key-backup.md

10.1 손상 의심 시

• Workspace Freeze 기능 즉시 발동 (Owner, Non-Signing Admin 권한)
• 모든 사용자 역할이 Viewer로 변경 → 발신 트랜잭션 차단
• 수신 트랜잭션은 계속 수용
• 인시던트 타임라인 및 대응 조치 문서화

10.2 디바이스 분실·도난

• 보안팀 + Fireblocks 지원팀에 즉시 보고
• 재프로비저닝 전 보안 평가 수행
• 비소유자 기기: 새 서명자 온보딩 → 이전 서명자 삭제
• 소유자 기기: Fireblocks 지원팀 화상 검증 → 복구 모드 활성화 (수 일 소요)

10.3 인사 이동

• 워크스페이스 접근 즉시 해지
• 영향받는 디바이스 재프로비저닝 (새 서명자로)
• 보류 중 트랜잭션 검토

10.4 피해야 할 일반적 위험

• ❌ 백업 인력 없는 단일 서명자 운영
• ❌ 디바이스와 복구 자료 같은 위치 보관
• ❌ 약하거나 공유된 패스프레이즈
• ❌ 불명확한 승인 권한·임계값
• ❌ 테스트되지 않은 재해 복구 절차

출처 (각주 정의)

Fireblocks Help Center — "About Fireblocks Cold Wallet". https://support.fireblocks.io/hc/en-us/articles/4405965412114-About-Fireblocks-Cold-Wallet

Fireblocks Help Center — "Prerequisites for Fireblocks Cold Wallet". https://support.fireblocks.io/hc/en-us/articles/8662206297884-Prerequisites-for-Fireblocks-Cold-Wallet

Fireblocks Help Center — "User roles for Cold Wallet workspaces". https://support.fireblocks.io/hc/en-us/articles/4408675228306-User-roles-for-Cold-Wallet-workspaces

Fireblocks Help Center — "Signing transactions with your Cold Wallet device". https://support.fireblocks.io/hc/en-us/articles/360021915320-Signing-transactions-with-your-Cold-Wallet-device

Fireblocks Help Center — "Cold Wallet Enhanced Console Experience". https://support.fireblocks.io/hc/en-us/articles/23150461188508-Cold-Wallet-Enhanced-Console-Experience

Fireblocks Help Center — "Connecting Cold Wallet with hot workspaces using the Fireblocks P2P Network". https://support.fireblocks.io/hc/en-us/articles/10013505724444-Connecting-Cold-Wallet-with-hot-workspaces-using-the-Fireblocks-P2P-Network

Fireblocks Help Center — "Cold Wallet Mobile Key Share Backup & Recovery". https://support.fireblocks.io/hc/en-us/articles/20538130228892-Cold-Wallet-Mobile-Key-Share-Backup-Recovery

Fireblocks Help Center — "Cold Wallet workspace key backup". https://support.fireblocks.io/hc/en-us/articles/14084784609564-Cold-Wallet-workspace-key-backup

Fireblocks Help Center — "Cold Wallet Security & Operational Best Practices". https://support.fireblocks.io/hc/en-us/articles/24268646131228-Cold-Wallet-Security-Operational-Best-Practices