王一石, 『블록체인 100인』에 출연: 모든 사람의 성장 가능성은 무한하다

2013년, 토목공학을 전공하던 대학 3학년 학생이 타오바오에서 생애 첫 비트코인을 구매했다. 12년 후, 그는 이 업계에서 가장 중요한 하드웨어 지갑 회사 중 하나인 OneKey의 창업자가 되었다.

이번 대담에서 왕이스 @ohyishi는 그동안 걸어온 길에서의 판단과 선택에 대해 이야기했지만, 더 많은 시간은 최근 업계에서 피할 수 없는话题에 할애했다: AI가 공격과 방어 양쪽 모두를 동시에 강화시키는 문제, Bybit의 15억 달러 도난 사건 뒤에 도대체 무슨 문제가 있었는지, 그가 왜 OneKey의 채용 과정을 "맞선"처럼 만들었는지, 그 뒤에서 무엇을 걸러내고 있는지, 그리고 "첫 창업의 시행착오 자본"으로 자신의 후세를 어떻게 키울 계획인지.

一、업계 입문: 토목공학에서 비트코인까지

진행자 Beca: 토목공학 전공이신데, 2013년 대학 3학년 때 타오바오에서 첫 비트코인을 구매하셨습니다. 무엇이 당신을 공사현장에서 온체인으로 끌어냈나요?

왕이스 Yishi: 솔직히 말하면——올랐으니까요.

2013년은 강세장이었습니다. 2012년부터 계속 올라서 Q4에는 최고 8000위안 가까이까지 올랐습니다. 제가 처음 구매한 건大概 100여 달러, 700위안 정도였습니다.

그때 타오바오에서 비트코인, 리플을 직접 살 수 있었는데, 링크 하나 올리고 결제하면 되는 아주 원시적인 거래였습니다. 국내에도 거래소가 생기기 시작했는데, 예를 들어 양린커 사장이 만든 BTC China 같은 곳이요. 코인을 산 이유는 그냥 코인이 올랐기 때문에 이걸 주목하게 된 겁니다. 당시 샤오레이 선생님의 《此物一出天下反》이라는 글을 보고 매우 흥분해서 바비트 포럼, Bitcointalk에서 초기 게시글들을 많이 읽었습니다.

그래서 핵심 이유는——올랐기 때문에 샀다, 입니다.

진행자 Beca: 바이트댄스에서 비신을 거쳐 OneKey까지, 어떻게 한 걸음씩 선택을 내려오셨나요?

왕이스 Yishi: 제가 바이트댄스에 갔을 때 회사는大概 400명이었는데, 지금은 10만 명은 될 겁니다. 당시 바이트댄스에서 가장 돈을 잘 버는 건 진르터우탸오 APP 광고였고, 밸류에이션 10억 달러——지금은 아마 5000억, 심지어 조 단위일 겁니다.

바이트댄스는 아주 전형적인 「APP 공장」입니다: 매달 여러 개의 APP을 출시하고, 메인 APP의 Tab으로 신제품에 트래픽을 유도한 다음, 데이터를 보고 계속 투자할지 해산할지 결정합니다——정말 잔인합니다. 당시 이미 AB 테스트, 데이터 기반 사고방식이 매우 강했습니다.

하지만 대기업에는天生的 문제가 하나 있습니다: 자원이 너무 많다는 것도 때로는 저주입니다. 사람이 부족하면 채용하고, 예산이 부족하면 OA를 올리고, 트래픽이 부족하면 요구하면 됩니다——그 환경에서는 당신이 부품에 더 가깝고, 본업을 잘 해내야 하지만,天生的으로 「야생 생존 경험」이 부족하게 됩니다.

소위 「야생 생존」이란, 새로운 것을 만들 때 트래픽도 주입되지 않고, 제품 외적인 문제를 처리해줄 사람도 없는 것입니다. 그것은 밖에서 야생으로 자라는 것과는 다릅니다.

나중에 제가 왜 크립토를 선택했냐면——토목은 느리기 때문입니다. 토목의 피드백 주기는 「몇 년」 단위로 계산됩니다: 설계원에서 도면을 내고, 선배가 현장에서 대교 프로젝트를 따라가면 앞뒤로 몇 년입니다. 인터넷은 빠르고, 크립토는 더 빠릅니다——돈을 넣으면 오르면 오른 것이고, 강한 정적 피드백을 받습니다.

그리고 제가 바이트댄스에 다닐 때, 월세 내는 것 외에는 거의 모든 수입을 코인 사는 데 썼습니다. 어차피 코인을 살 거라면, 왜 업계에 직접 all in하지 않겠습니까?

二、OneKey의 「첫 번째 사용자 물결」은 어떻게 왔는가

진행자 Beca: 하드웨어 지갑이라는赛道에서 Ledger와 Trezor는 이미 6~7년 전부터 하고 있었습니다. OneKey는 어떻게 이렇게 많은 동종 업체 중에서 두각을 나타냈나요?

왕이스 Yishi: 사실 지금까지도 OneKey는 「두각을 나타냈다」고 할 수 없습니다——그 표현은 좀 과찬입니다. OneKey는 지금도 사실 매우 힘들게 성장하고 있습니다.

하지만 굳이 말하자면, 가장 큰 성장 노드는 2020년 DeFi Summer였습니다. 그때 대량의 자금이 거래소에서 온체인으로 몰려왔습니다——온체인에는 풀이 있고, 연이율이 매우 높은 수익이 있었기 때문입니다. 하지만 어떤 도구를 사용했습니까? Metamask를 사용했습니다.

小狐狸는 당시 보안이 그다지 좋지 않았습니다. 2020년 말 감사를 할 때, 우리는 그것이 니모닉을 저장하는 방식이 보안상 위험이 있다는 것을 발견했습니다——원본 파일을 비교적 쉽게 얻을 수 있고, 무차별 대입이 가능했습니다.

자금량이 비교적 큰 사용자들은 DeFi를 하고 싶으면서도, 언젠가 컴퓨터에 트로이 목마가 걸리거나 브라우저가 해킹당해서 돈이 다 사라지는 것을 원하지 않았습니다. 그들은 하드웨어 지갑을 사용하기 시작했습니다. 하지만 Ledger로 Uni에서 채굴하려면, Ledger Live를 설치하고, 이더리움 APP을 설치하고, Metamask를 설치하고, Metamask로 Ledger를 연결하고, Ledger 클라이언트를 꺼야 합니다. 왜냐하면 둘이 같은 USB 포트를 두고 다투기 때문입니다——

이 느낌은 마치 리모컨 세 개로 TV 한 대를 조종하는 것과 같습니다. 매우 사용하기 어렵습니다.

OneKey는 당시 사용자 경험에서 몇 가지 혁신을 했습니다, 특히 현지화와 마찰을 줄이는 경험——이것이 우리의 첫 번째 사용자 물결이었습니다.

진행자 Beca: 사용자 경험 향상 외에, 또 다른 증분을 실현한 이유는 무엇인가요?

왕이스 Yishi: 오픈소스입니다.

Ledger는 오늘까지도 오픈소스가 아닙니다. 우리의 판단은——제품이 당신에게 안전하다고 「믿게」 하는 것과, 안전한지 「검증」할 수 있는 능력을 주는 것, 장기적으로 보면 후자가 더 좋다는 것입니다. 지금의 AI 모델처럼, 저도 장기적으로 오픈소스를 낙관합니다. 검증 가능하다는 것은 매우 중요합니다.

첫 번째 성장 물결이 있은 후, 나머지는 사실 경쟁자 문제입니다——그들이 잘하지 못하고, 스스로 무너지면서, 서서히 사용자들이 넘어왔습니다.

얼마 전 Coldcard도 사고가 났습니다. Coldcard는 매우 전문적이고 긱한 비트코인 OG가 만든 지갑입니다. 하지만 상상할 수 있습니까——그들이 2021년부터 2025년까지 거의 4년 동안, 니모닉 생성 취약점 하나를 오픈소스 형태로 4년 동안 인터넷에 방치하고, 고치지도 않았습니다. 그러면 그들이 정말 전문적이라고 할 수 있습니까? 저는 물음표를 붙입니다.

경쟁자가 매번低级 실수를 할 때마다, 우리 사용자 수가 조금씩 증가합니다. 기본적으로 그렇습니다.

그래서 「두각을 나타냈다」가 아니라——그냥 살아남은 것입니다.

진행자 Beca: 회사의 고속 성장 단계는 가장 실수하기 쉬운 단계이기도 합니다. 어떤 우회로를 걸으셨나요?

왕이스 Yishi: 엄청 많습니다. 지금 생각하면——정말 황당합니다.

우리는 DeFi Summer 시기에 거의 1년 동안 지갑이 품절이었습니다.

원인은 당시 새 금형을 열고, 처음부터 끝까지 자체적으로 펌웨어를 만들려고 했는데, 이 일 자체의 난이도와 연구 개발 주기를 과소평가한 것입니다. 하드웨어에 손을 대면 소프트웨어와 다릅니다——하드웨어 뒤에는 공급망이 있고, 문제 하나 뒤에 백 개의 문제가 연결됩니다. 결과적으로 우리가大量으로 사용자를 확보해야 할 시기에, 물건이 없었습니다.

물건조차 없으면——실제로 트래픽을 밖으로 보낸 것입니다.

또 일부는 기술 아키텍처상의 문제입니다: 조기 설계, 조기 최적화, over-design. 「먼저 성장하고, 먼저 사용자가 쓸 수 있게 한 다음, 서서히 최적화한다」가 아니라요. 이 순서는 매우 중요합니다. 당시 이 문제를 명확히 생각했다면, 지금보다 훨씬 나았을 것입니다.

三、AI 시대의 공방: 「두 달」에서 「두 주」로

진행자 Beca: AI가 취약점을 찾는 효율이 점점 높아지고 있습니다. 어떤 준비를 하고 계신가요?

왕이스 Yishi: 이것은 전체 업계의 문제이고, 크립토 업계만이 아닙니다. 예전에는 사람들이 iOS가 매우 안전하다고 생각했지만, 지금은 AI 모델이 나온 후 iOS의 취약점도 많습니다.

우리 팀에는 Anzen Labs라는 보안 팀이 있습니다(Anzen은 일본어로 「안전」이라는 뜻입니다). 올해 우리는 Black Hat에서 USB 취약점을 발표했습니다——취약점을 찾는 것부터 재현하고, 여러 취약점을 연결해 완전한 공급망 공격으로 만드는 것까지, 거의 전 과정을 AI로 했습니다.

예전에 AI가 없었을 때, 이런 완전한 공격 체인을 만들려면大概 2~3명의 비교적 시니어한 보안 연구원이 두 달을 써야 했습니다. 하지만 이번에 우리가 이 취약점을 찾는 데는 보안 엔지니어 한 명에 두 주밖에 걸리지 않았습니다.

속도 변화가 매우 빠릅니다.

하지만 AI로 취약점 찾기가 쉬워졌고, 이 「쉬움」은 방어 측에도 마찬가지입니다.

방어 측은 공격 측보다 한 가지优势가 있습니다: 당신 창고에는 아직 발표되지 않은 코드가 있습니다. 공격 측이 당신을 공격하려면, 전제는 당신의 것을 찾을 수 있어야 한다는 것입니다. 만약 당신이 오픈소스라면, 모든 사람이 몰려와 공격할 수 있습니다; 하지만 당신의 제품과 코드는 끊임없이 반복되고 있고, 분명히 일부는 아직 발표되지 않았습니다——그때 당신은 스스로 자신을 공격할 수 있습니다.

예전에 우리가 펌웨어 보안 감사를 할 때는, 기본적으로 1년에 두 번, 두 곳 이상의 회사를 찾아 교차 감사를 했습니다. 빈도가 매우 낮았습니다. 하지만 지금은 AI 도구의 보조가 있은 후, 매주 매 release마다 감사할 수 있습니다.

AI는 솔직히 말하면 식칼 하나입니다——사람을 죽이는 데 쓸 수도 있고, 요리하는 데 쓸 수도 있습니다. 업계의 팀이 어떻게 사용하느냐에 달려 있습니다.

四、Bybit 15억 달러 도난 사건:一整条 체인에서 아무도 실수하지 않았는데, 돈은 사라졌다

진행자 Beca: 왜这些年 방어 도구는 계속 강해지는데, 사고는 줄지 않습니까?

왕이스 Yishi: 도구가 점점 많아지고, 점점 강해지고, 사고는 계속 있다——이 세 가지는 동시에 성립합니다.

예전에 흔한 공격 수단은 컨트랙트 취약점 찾기, 플래시론, 오라클 조작——이것들은 지금도 있지만, 예전만큼 많지는 않습니다. 왜? 지금은 많은 프로토콜 개발자들이 감사 도구와 형식 검증을 사용해서, 이러한 취약점 대부분을 차단할 수 있기 때문입니다.

그래서 공격자들은 발견했습니다——코드를 건드리는 건 가성비가不高다. 그렇죠, 김 장군은 이렇게 많은 사람을 먹여 살려야 하니까.

그러면 그들은 발견합니다: 코드 위에서는 하기 어려우니, 사람에게서下手하자.

진행자 Beca: Bybit의 15억 달러 도난 사건을 예로 들면——각 고리마다 문제가 없어 보였습니까?

왕이스 Yishi: 맞습니다. 이것은 특히 전형적인 예입니다.

Bybit 당시 Safe 멀티시그가 15억 달러를 도난당했는데, 사실 각 고리를 따로 보면 모두 괜찮았습니다: 멀티시그 컨트랙트 자체에는 버그가 없었습니다; Bybit 콜드월렛 자체도 문제가 없었습니다; 그들이 사용한 Ledger 하드웨어 기기도 버그가 없었습니다.

그러면 문제가 어디서 발생했습니까? Safe라는 프로토콜의 프론트엔드 엔지니어 한 명, 그의 컴퓨터가 북한 해커 Lazarus에게 사회공학 공격을 당했습니다.

사회공학 공격을 당한 후, Safe의 공식 프론트엔드에 악성 코드를 심었고, 이 코드는 Bybit의 그 한 주소에만 적용되었습니다. 그래서 Bybit 네 사람(Ben과另外 세 명의 재무, 감사)이 서명할 때, 그들이 웹페이지에서 본 것은 매우 정상적인, 콜드월렛에서 핫월렛으로의 이체였습니다.

공교롭게도, Ledger 쪽은 블라인드 서명이었습니다——Safe 컨트랙트 파싱을 하지 않았고, delegatecall을 표시하지도 않았고, 어떤 경고도 하지 않았습니다.

결과적으로 그들이 실제로 서명한 것은 「대리 양도」 동작이었습니다——Bybit Safe 컨트랙트의 권한을 직접 넘겨버린 것입니다. 소유권이 사라졌습니다.

보시다시피 각环节은 문제가 없어 보였고, 유일하게 문제가 발생한 것은 Safe 그 프론트엔드 엔지니어의 컴퓨터가 돌파당한 것입니다. 하지만 모든 조건이