1. Jameson Lopp의 핵심 진단은 “보안의 본질은 안 바뀌었지만 속도가 완전히 달라졌다”는 것인데, LLM이 해커와 디펜더 모두의 생산성을 폭증시키면서 비트코인 생태계가 가장 먼저 공격받는 실험장이 됐다는 주장이다.
2. 그는 최근 Coldcard 취약점과 Liquid 해킹을 같은 프레임으로 묶는데, 오픈소스든 폐쇄형이든 이제는 “많은 눈이 보면 안전하다”는 오래된 믿음이 약해지고 AI가 코드 전체를 24시간 훑는 시대가 됐다고 본다.
3. 투자자 입장에서 중요한 포인트는 이게 단순한 보안 뉴스가 아니라, 비트코인 인프라·커스터디·KYC 데이터 비즈니스의 리스크 프라이싱이 다시 시작됐다는 점이다.
4. Liquid 사건은 공격자가 약 4,000 BTC를 가져갔고 대부분 반환했지만 여전히 약 600 BTC를 쥐고 있다고 설명했으며, 더 충격적인 대목은 “기존 취약점 수정이 더 큰 취약점을 만들었을 가능성”이다.
5. Lopp는 Casa 내부에서도 연 1회 외부 보안감사로는 부족해졌다고 말한다; 예전엔 감사 한 번에 10~20개 이슈가 나왔지만, 최근엔 AI 기반 펜테스트 하네스로 한 달에 120개, 업그레이드 후 수백 개 추가 이슈가 나왔고 본인도 8월에만 보안 관련 코드 5만 줄을 넣었다고 한다.
6. 이 말은 시장 구조상 “보안 부채”가 쌓인 기업일수록 밸류에이션 디스카운트를 받아야 한다는 뜻이기도 하다; 특히 적은 엔지니어 인력으로 강한 브랜드를 쌓은 지갑·인프라 프로젝트는 냉정하게 다시 봐야 한다.
7. Coldcard에 대해 그는 역설적으로 “지금이 역사상 가장 많이 검증받은 상태”라고 보지만, 동시에 단일 장치 신뢰는 여전히 위험하므로 life-changing money는 멀티시그와 분산 신뢰 구조가 기본이라고 못 박는다.
8. 개인 보안 팁도 투자 관점에서 중요하다; 수천 달러 이상이면 최소한 인터넷과 분리된 하드웨어 월렛을 쓰고, 큰 금액이면 2-of-3나 3-of-5 멀티시그로 넘어가야 하며, 렌치 어택까지 고려하면 “집에서 바로 전액 이동 가능한 구조” 자체가 취약점이라는 얘기다.
9. KYC는 더 큰 구조적 리스크로 나온다; Ledger 유출, Trezor 이메일 스캠, Revolut 데이터 유출처럼 개인정보 허니팟이 계속 터지는데, 규제는 돈세탁 방지 효과보다 일반 사용자 위험만 키우고 있다는 시각이다.
10. 후반부의 더 무서운 부분은 공격이 점점 산업화되고 있다는 점이다; 전화 스캐머들은 구글·코인베이스 번호 스푸핑으로 이메일 계정부터 먹고, 그 뒤엔 암호화폐 전문 팀·물리 공격 팀까지 분업하며, 북한 연계 인력은 실제 미국인을 1차 인터뷰에 내세워 비트코인 기업 취업까지 노린다고 한다.
트레이더/투자자 관점
• 내러티브: AI 수혜를 막연히 소프트웨어 생산성으로만 볼 게 아니라, 크립토에선 “AI가 보안비용과 해킹빈도를 동시에 끌어올리는 역풍”이라는 내러티브가 강해질 수 있다.
• 가격/포지셔닝: 장기적으로는 보안·커스터디·멀티시그·사이버 방어 인프라 기업이 상대강도를 가질 수 있고, 반대로 소규모 팀이 운영하는 월렛·브리지·DeFi·KYC 집중 사업자는 할인 요인이 커질 수 있다.
• 체크포인트: 추가 해킹 사례, 주요 월렛 업체의 외부감사·버그바운티 확대 여부, AI 기반 보안감사 자동화 도입, KYC 유출 이후 규제 논의 변화, 그리고 북한/사회공학 침투 사례가 실제 상장사·ETF 커스터디까지 번지는지 봐야 한다.