AI 에이전트는 브레이크를 갖추기 전에 지갑을 먼저 가졌습니다.

2026년은 크립토(crypto)가 이를 실시간으로 해결하려고 시도하는 해가 될 것입니다.

1 - 설정 (The setup)

에이전트형 지갑(Agentic wallets)은 불과 몇 달 만에 개념에서 제품 카테고리로 발전했습니다:

→ @coinbase | 에이전트형 지갑 (Agentic Wallets), 2월 11일
x402를 통한 자율적인 지출, 수익 창출 및 거래

→ @phantom | MCP 서버 (MCP Server), 2월
사용자가 정의한 권한 내에서의 에이전트 서명, 스왑(swaps) 및 전송

→ @okx | 에이전트형 지갑 (Agentic Wallet), 3월 18일
TEE 내부에 봉인된 키, 약 20개의 네트워크 지원

→ @Cobo_Global | 에이전트형 지갑 (Agentic Wallet), 5월
MPC 보안, "Pact" 승인 및 80개 이상의 체인 지원

→ @binance | 에이전트형 지갑 (Agentic Wallet), 4월 24일
키리스(Keyless) 아키텍처, 사용자의 주요 자금과 격리됨

→ @FireblocksHQ | 에이전트 결제 스위트 (Agentic Payments Suite), 5월 20일
기업용 결제 레일(payment rails) 및 x402 재단 멤버십

→ @MetaMask | 에이전트 지갑 (Agent Wallet), 6월 8일
자기 수탁형(Self-custodial), CLI 우선 방식이며 25개 이상의 EVM 체인 전반의 DeFi를 위해 구축됨

Trust Wallet 및 기타 서비스들도 이 카테고리에 합류했으며, @BitGo와 같은 수탁 기관(custodians)들도 자체 프레임워크를 발표했습니다.

레일은 이미 가동 중입니다.

2 - 개념 (The concepts)

더 진행하기 전에 간단한 용어 설명을 제공합니다.

• 에이전트형 지갑 (Agentic wallet)

인간이 아닌 소프트웨어를 위해 구축된 지갑입니다.
일반적인 지갑은 사람이 "승인(approve)"을 클릭할 것이라고 가정합니다.

에이전트형 지갑은 AI가 스스로 트랜잭션을 시작할 수 있다고 가정하며, 이는 실제 제품이 제어 계층(control layer)임을 의미합니다:

→ 지출 한도 (Spending caps)
→ 화이트리스트 등록된 계약 (Allowlisted contracts)
→ 세션 제한 (Session limits)
→ 승인 규칙 (Approval rules)
→ 비상 제어 (Emergency controls)

가장 중요한 역할은 에이전트가 해서는 안 되는 일을 결정하는 것입니다.

• MCP: 모델 컨텍스트 프로토콜 (Model Context Protocol)

MCP는 AI 모델을 지갑을 포함한 외부 도구와 연결하는 표준입니다.

예를 들어, Phantom의 MCP 서버는 에이전트가 표준화된 인터페이스를 통해 잔액을 읽고 트랜잭션을 제안할 수 있도록 합니다.

하지만 이 표준은 아직 초기 단계입니다.

보안 연구원들은 이미 공개적으로 노출된 MCP 서버 전반에서 광범위한 취약점을 보고했습니다.

• TEE: 신뢰 실행 환경 (Trusted Execution Environment)

개인 키(private keys)를 저장할 수 있는 칩 내부의 봉인된 환경입니다.

에이전트는 서명(signature)을 요청할 수는 있지만, 키를 직접 읽을 수는 없습니다.

이것은 OKX가 사용하는 모델입니다.

• MPC: 다자간 계산 (Multi-Party Computation)

개인 키(private key)는 여러 당사자 사이에 분할됩니다.

해킹된 에이전트를 포함하여 그 어떤 단일 당사자도 단독으로 트랜잭션에 서명할 수 없습니다.

이것은 Cobo가 사용하는 모델입니다.

TEE와 MPC는 모두 키를 보호하는 데 도움을 줍니다.

하지만 이들은 트랜잭션 이면에 있는 판단(judgment)을 보호하지는 않습니다.

그 차이점이 바로 진짜 문제가 시작되는 지점입니다.

3 - 경고 사격

Step Finance, 1월 31일.

공격자들은 임원들의 기기를 해킹하여 당시 약 2,700만 달러 상당의 261,854 SOL을 탈취했습니다.

이후 평가에서는 총 손실액이 4,000만 달러에 더 가까운 것으로 나타났습니다.

스마트 컨트랙트(smart contract)의 오류는 없었습니다.

서명 환경(signing environment) 자체가 침해되었습니다.

약 470만 달러만이 회수되었습니다. 토큰 가격은 약 96% 폭락했으며, 프로젝트는 2월 말에 종료되었습니다.

이것은 AI 해킹이 아니었습니다.

하지만 제 견해로는, 자율 에이전트(autonomous agents)가 서명 권한을 부여받을 때 규모가 커지게 될 바로 그 형태의 실패 모드(failure mode)입니다.

4 - 두 가지 해답

업계는 현재 두 가지 보안 철학으로 나뉘는 것으로 보입니다.

정책 집행 (Policy enforcement)

이것은 @MetaMask의 접근 방식입니다.

모든 에이전트 트랜잭션은 다음을 수행합니다:

→ 트랜잭션 시뮬레이션 (Transaction simulation)
→ Blockaid 위협 스캐닝 (Blockaid threat scanning)
→ MEV 보호 (MEV protection)
→ 지출 한도 (Spending limits)
→ 컨트랙트 허용 목록 (Contract allowlists)
→ 플래그가 지정된 작업에 대한 필수 2FA (Mandatory 2FA for flagged actions)

에이전트는 이러한 보호 조치를 단순히 비활성화할 수 없습니다.

MetaMask는 또한 안전하다고 분류된 트랜잭션에 대해 월 최대 1만 달러의 보장을 제공합니다.

TEE를 사용하는 OKX, MPC를 사용하는 Cobo, 그리고 키리스 격리(keyless isolation)를 사용하는 Binance는 각기 다른 집행 모델을 사용하지만, 더 넓은 범주의 동일한 카테고리에 속합니다.

원칙은 간단합니다:

에이전트는 행동할 수 있지만, 오직 사전에 정의된 경계 안에서만 가능합니다.

하드웨어 집행 (Hardware enforcement)

이것은 @Ledger의 접근 방식입니다.

7월 16일에 오픈 소스로 공개된 Ledger의 에이전트 스택(Agent Stack)은 에이전트가 다음을 수행할 수 있도록 합니다:

→ 잔액 읽기 (Read balances)
→ 포트폴리오 분석 (Analyze portfolios)
→ 트랜잭션 준비 (Prepare transactions)
→ 작업 권장 (Recommend actions)

하지만 물리적인 Ledger 기기에서의 승인 없이는 아무것도 움직일 수 없습니다.

에이전트는 제안합니다.
인간은 승인합니다.
하드웨어는 집행합니다.

개인 키 (Private key)는 소프트웨어 환경에 절대 닿지 않습니다.

나의 견해

정책 (Policy)은 더 빠릅니다.
하드웨어 (Hardware)는 더 엄격합니다.

둘 다 대규모 환경에서 충분히 검증 (Battle-tested)되지 않았습니다.

현재로서는 두 가지 모두 해결된 문제가 아닌, v1 단계의 답변으로 취급해야 합니다.

하지만 시야를 넓혀보십시오.

8개의 주요 플레이어들이 6개월도 채 되지 않아 에이전트-지갑 인프라 (Agent-wallet infrastructure)를 출시했습니다.

이러한 속도는 일시적인 내러티브 (Narrative)라기보다 구조적인 변화 (Structural shift)에 가깝게 보입니다.

당장 에이전트를 배포할 필요는 없습니다.

하지만 만약 당신이 크립토 (Crypto) 분야에서 일하고 있다면, 제 생각에 이것은 무시하기에는 잘못된 카테고리입니다.

지금 용어들을 익혀두십시오.

나중에 따라잡는 비용은 오늘 주의를 기울이는 비용보다 아마 더 높을 것입니다.

에이전트의 자율성 (Agent autonomy)이 제품은 아닙니다.

제한된 자율성 (Bounded autonomy)이 제품입니다.

데이터 출처: @HalbornSecurity 및 @CertiK에서 발표한 공식 발표 및 사고 보고서.
[IMG:1]