Cake Wallet은 안전한가요?
Cake Wallet은 2018년부터 운영된 정식 오픈소스 셀프 커스터디 지갑이며, 공식 배포처에서 설치하고 제대로 백업한다면 대부분의 사용자에게 안전합니다. 최악의 사건은 2020–2021년 버전에서 생성된 취약한 Bitcoin seed로, Cake가 2021년 5월에 공개했습니다. 실제 손실의 대부분은 앱 자체가 아니라 가짜 앱, 피싱, 공유된 seed에서 발생합니다.
셀프 커스터디 지갑에서 "안전"에는 두 가지 측면이 있습니다. 소프트웨어가 키를 보호하는지, 그리고 주변의 사기를 피할 수 있는지입니다. 이 페이지는 2026년 10월 기준으로 두 가지를 날짜와 함께 다룹니다.
간단한 답변
- 정식 지갑인가: 그렇습니다. Cake Wallet은 Cake Labs가 만들었고, 2018년부터 App Store에 있었으며, MIT 라이선스로 GitHub에 코드를 공개합니다.
- 키는 사용자에게: 온체인 코인은 비수탁형입니다. Cake는 자금을 동결, 취소, 복구할 수 없습니다.
- 완벽하지는 않음: 심각한 결함 1건(2020–2021년 취약한 Bitcoin seed), 2026년 중간 수준 권고 1건이 있었고, 빌드를 독립적으로 재현할 수 없습니다.
- 가장 큰 위험: 코드가 아니라 사람입니다. 저희가 확인한 손실 사례의 대부분은 가짜 앱, 가짜 고객지원, seed 탈취에서 비롯됩니다.
보안 요소
| 요소 | 상태 (2026년 10월) |
|---|---|
| 커스터디 | 온체인 코인은 비수탁형. 키는 사용자 기기에서 생성·저장 |
| 소스 코드 | GitHub에 공개, MIT 라이선스 |
| 재현 가능한 빌드 | 아니요. Cake는 빌드가 아직 재현 가능하지 않다고 밝힘 |
| 서명된 릴리스 | 2026년 9월 Cake가 체크섬 파일과 릴리스 태그 서명용 릴리스 키를 공개. 서명된 체크섬 파일이 없는 릴리스는 노트에 SHA-256 해시를 기재 |
| 독립 감사 | 앱에 대한 감사는 찾지 못함 |
| 취약점 신고 | 비공개 GitHub 권고 채널과 암호화 이메일 주소를 갖춘 보안 정책 |
| 계정 또는 KYC | 지갑에는 없음 |
| 데이터 수집 | App Store 라벨에 "Data Not Collected"(데이터 수집 안 함) 표시 (개발자 자체 신고) |
| 앱 보호 | PIN, 생체 인증, 선택적 Cake 2FA, Duress PIN |
2020–2021년의 취약한 Bitcoin seed
가장 중요한 사건입니다. 2020년과 2021년 초에 출시된 Cake Wallet 버전은 안전하지 않은 난수 생성기로 Bitcoin 지갑을 생성했습니다. 영향을 받은 seed는 12단어 Electrum 방식("Segwit") Bitcoin seed입니다. 연구자들은 실질적인 무작위성이 너무 낮아 공격자가 키를 재구성할 수 있다고 추정합니다.
| 날짜 | 사건 |
|---|---|
| 2021년 5월 10일 | 버전 4.1.7에서 Bitcoin seed 생성 방식 변경 |
| 2021년 5월 11일 | 버전 4.2.0에서 지갑을 다시 만들라는 앱 내 배너 추가. 2021년 5월 Cake가 문제를 공개하고 새 지갑을 만들어 자금을 옮기라고 안내 |
| 2023년 12월 | Milk Sad 연구자들이 제공한 8,700개 이상 지갑의 데이터를 이용해, 알려진 취약한 seed를 계속 쓰는 사용자에게 앱 내 경고 추가 (코드 병합 2023년 12월 18일, 버전 4.12.0 무렵 배포) |
| 2024년 5월 | Milk Sad 팀이 기술 보고서 발표 |
| 2024년 5월 21일부터 | 연구자들은 취약한 지갑에서 나간 비교적 큰 거래가 대부분 악의적인 것으로 판단 |
연구자들은 취약한 지갑 8,757개와 2020년 11월부터 2024년 10월 사이에 이를 거쳐 이동한 약 548.9 BTC를 집계했습니다. 그 전부가 도난당한 것은 아니며, 총 손실액은 발표되지 않았습니다(Milk Sad 연구 업데이트, 2024). 알려진 바로는 Monero, Litecoin 및 기타 코인은 영향을 받지 않았습니다.
해야 할 일: 2020년이나 2021년 초에 Cake Wallet에서 만든 12단어 Bitcoin seed가 있거나, 그런 seed를 다른 지갑으로 가져왔다면 유출된 것으로 간주하세요. 최신 버전으로 새 지갑을 만들고 남은 자금을 즉시 옮기세요. seed 유형 확인 도구는 단어 수만으로 seed 유형을 식별하도록 도와줍니다. 단어 자체는 절대 웹사이트에 입력하지 마세요.
오픈소스가 증명하는 것과 증명하지 못하는 것
오픈소스 코드 덕분에 누구나 Cake Wallet이 키를 생성하고, 노드와 통신하고, 거래를 만드는 방식을 읽을 수 있습니다. 외부 연구자들이 2021년 seed 결함을 자세히 연구할 수 있었던 것도 이 덕분이며, 코드 변경이 GitHub에서 공개적으로 이루어진다는 뜻이기도 합니다.
하지만 스토어의 앱이 그 코드로 빌드되었다는 것을 증명하지는 못합니다. Cake는 빌드가 아직 재현 가능하지 않다고 밝히므로, 직접 코드를 컴파일해 동일한 파일을 얻어 비교할 수 없습니다(Cake Wallet VERIFY.md, 2026). 확인할 수 있는 것은 다운로드가 진짜인지입니다. 2026년 9월 Cake는 새 릴리스의 체크섬 파일과 태그 서명용 릴리스 키를 공개했고, 모든 릴리스에는 SHA-256 해시가 기재되며, GitHub, Accrescent, Cake의 F-Droid 저장소에서 받은 Android APK는 같은 서명 인증서를 공유합니다. 다운로드 가이드에서 두 가지를 확인하는 방법을 안내합니다.
또한 2026년 10월 기준으로 Cake Wallet 앱에 대해 공개된 독립 보안 감사는 찾지 못했습니다. Cake는 취약점 공개 정책을 운영하고 있어 연구자는 GitHub나 암호화 이메일로 문제를 비공개 신고할 수 있으며, Cake는 수정이 배포되면 권고를 게시합니다.
기타 보안 권고
2026년 9월 4일 Cake는 중간(moderate) 등급의 GitHub 권고 GHSA-695v-fhpj-fv8x를 게시했습니다. 버전 6.1.2부터 6.3.0까지는 체인 ID가 누락되어 Ethereum 방식의 결제 요청이 잘못된 EVM 네트워크에서 준비될 수 있었습니다. 위험은 키 탈취가 아니라 결제 실패나 잘못된 전송이었으며, 6.4.4에서 수정되었습니다. 최신 버전으로 업데이트하세요. 전체 사건 목록은 보안 이력 페이지에 있습니다.
Lightning 문제
버전 6.0(2026년 2월)에서 추가된 Lightning은 Breez SDK를 통해 Spark 네트워크에서 작동합니다. Cake는 관리할 채널이 없는 셀프 커스터디 방식이라고 설명합니다. 그러나 문서에는 Spark 전송이 금액과 주소를 볼 수 있는 소수의 허가된 운영자에 의해 공동 서명된다고도 적혀 있습니다(Cake Wallet 문서, 2026).
2026년 10월 6일 WalletScrutiny는 분석 결과 앱이 운영자 없이 Lightning 잔액을 온체인으로 되돌릴 방법을 제공하지 않는다며 Cake Wallet을 "Custodial"(수탁형)로 재분류했습니다. 이는 Lightning 잔액에 대한 판단일 뿐이며, Monero, 온체인 Bitcoin, 기타 코인과는 관계가 없습니다. 신중한 방법은 Lightning에 생활비 정도만 보관하는 것입니다. Cake Wallet의 Lightning을 참고하세요.
프라이버시와 안전
Cake Wallet은 기본적으로 Cake 자체 노드와 서비스에 연결됩니다. 편리하지만, 이 서비스들은 IP 주소와 사용자가 요청하는 지갑 데이터를 볼 수 있습니다. 더 높은 프라이버시를 원한다면 자신의 노드나 Tor를 사용하세요. 한 가지 주의할 점: Cake 문서에 따르면 Silent Payments에서 자신의 Bitcoin 서버에 필요한 인덱스가 없으면 앱은 Cake 서버로 대체 연결합니다. 자세한 내용은 프라이버시와 Tor, 사용자 지정 노드를 참고하세요.
실제 손실이 발생하는 곳
- seed를 요구하는 가짜 앱과 복제 웹사이트. 다운로드 가이드의 공식 배포처에서만 설치하고, 다운로드 확인 도구로 링크를 확인하세요.
- 가짜 고객지원. Cake Wallet은 고객지원이 절대 seed를 요구하지 않으며, 먼저 연락해 지원을 제안하는 사람은 거의 항상 사기범이라고 밝힙니다(Cake Wallet 문서, 2026).
- 스크린샷, 메모 앱, 클라우드 드라이브, 이메일 등 온라인에 저장된 seed.
- 잘못된 주소나 네트워크. 거래는 되돌릴 수 없습니다. 주소 확인 도구를 사용하고 먼저 소액으로 테스트하세요.
- 도난당한 암호화폐를 되찾아 주겠다는 "복구" 서비스. 모두 사기입니다.
더 많은 경고 신호는 가짜 Cake Wallet 앱과 사기에 있습니다.
안전 체크리스트
- cakewallet.com을 직접 입력해 찾아간 App Store, Google Play, Accrescent, Cake의 F-Droid 저장소 또는 GitHub에서 설치하세요.
- 앱을 최신 상태로 유지하세요.
- 각 seed를 종이에 적어 오프라인으로 보관하세요. 25단어 Monero seed라면 restore height도 적어 두세요. seed 백업을 참고하세요.
- 강력한 PIN을 설정하고 Cake 2FA를 고려하세요. Cake는 2FA가 휴대폰을 가진 사람에게는 도움이 되지만 seed를 가진 사람에게는 소용없다고 설명합니다.
- 큰 금액은 하드웨어 지갑이나 Cupcake를 사용하세요. Ledger와 Trezor를 참고하세요.
- 2020–2021년의 12단어 Electrum seed로 만든 오래된 Cake Bitcoin 지갑은 교체하세요.
- seed를 절대 공유하지 말고, 먼저 연락해 오는 사람은 무시하세요.
지갑이 유출되었다고 생각되면
Cake의 조언은 다음과 같습니다. 영향을 받은 각 코인마다 즉시 새 지갑을 만들어 남은 자금을 옮기고, 이전 지갑 사용을 중단하고, 모든 내용을 기록하고, 도난을 경찰과 Cake 고객지원에 신고하세요(Cake Wallet 문서, 2026). Monero 지갑은 공격자가 동기화하는 데 시간이 더 걸릴 수 있어 대응할 짧은 시간이 생길 수 있습니다. "복구" 도우미에게 절대 돈을 더 보내지 마세요.
자주 묻는 질문
Cake Wallet은 믿을 수 있는 지갑인가요?
네. Cake Labs가 만든 실제 오픈소스 지갑이며 2018년부터 App Store에서 제공되고 있습니다. 가짜 복제품이 있으니 공식 배포처에서만 설치하세요.
Cake Wallet이 해킹당한 적이 있나요?
Cake 자체 시스템이 뚫려 사용자 자금이 노출된 사례는 찾지 못했습니다. 심각한 문제는 2020–2021년 버전에서 생성된 취약한 Bitcoin seed였으며, 연구자들은 사용자가 자금을 옮기지 않은 해당 지갑들에서 2024년 5월 21일 이후 나간 비교적 큰 거래가 대부분 악의적이라고 판단합니다.
Cake Wallet이 내 자금을 보거나 동결할 수 있나요?
온체인 코인은 불가능합니다. Cake는 거래를 동결, 취소, 복구할 수 없습니다. 다만 Tor나 자신의 노드를 쓰지 않으면 Cake 서버가 IP 주소를 볼 수 있습니다.
큰 금액을 Cake Wallet에 보관해도 안전한가요?
큰 금액이라면 Ledger나 Trezor와 함께 쓰거나 Cupcake를 오프라인 서명기로 사용하고, seed 백업은 오프라인에 보관하세요.
Cake Wallet 고객지원이 먼저 연락하기도 하나요?
Cake Wallet은 먼저 연락해 지원을 제안하는 사람은 거의 항상 사기범이며, 고객지원은 절대 seed를 요구하지 않는다고 밝힙니다.
2021년 seed 결함이 내 Monero 자금에도 영향을 주나요?
아니요. 결함은 2020년과 2021년 초에 생성된 12단어 Electrum 방식 Bitcoin seed에 해당하며, Monero seed와는 무관합니다.