CertiK, 9월 9일 키르기스 중앙은행과 디지털 솜(Digital Som) CBDC 보안 양해각서 체결

디지털 솜 보안 협약

키르기스 공화국 중앙은행(NBKR)과 블록체인 보안 기업 CertiK가 2026년 9월 9일 비슈케크에서 양해각서(MoU)를 체결했다. 협약의 핵심 대상은 중앙은행 디지털화폐(CBDC) 이니셔티브인 디지털 솜(Digital Som)의 보안이며, 여기에 디지털 자산 전반의 감독 체계 구축까지 포함된다. NBKR 이사회 위원 산자르 압디가지예프(Sanzhar Abdygaziev)가 중앙은행 측 서명인으로 참여했고, CertiK 대표진과 함께 문서에 서명했다. 양측은 사이버 보안, 블록체인 보안, 디지털 자산, 규제 감독, 리스크 관리 분야에서 전문성을 상호 교환하기로 약속했다.

협약의 가장 두터운 부분은 디지털 솜 자체에 닿아 있다. NBKR과 CertiK는 플랫폼이 개발·테스트 단계를 거치는 동안 보안 평가, 정형 검증(formal verification), 사이버 보안 통제, 운영 복원력 조치를 함께 검토할 계획이다. 정형 검증은 수학적 방법을 사용해 소프트웨어가 정해진 모델 하에서 사전 정의된 속성을 충족하는지 확인하는 절차로, 일반적인 보안 감사를 보완한다. 시스템 행동을 형식적으로 정의된 요구사항과 대조해 검증하는 방식이다. 운영 복원력은 디지털 금융 인프라가 기술 장애나 사이버 사고 이후에도 운영을 유지하고 예측 가능하게 회복하는 능력을 가리킨다.

이런 부류의 CBDC가 안고 가는 보안 고려사항은 대체로 소프트웨어 무결성, 키 관리, 결제 정산, 거래 모니터링, 프라이버시, 시스템 가용성과 복원력에 걸쳐 있다. 양해각서는 디지털 솜 구축 과정에서 이 중 여러 항목을 다루는 틀을 마련한다. CertiK의 공동창업자이자 CEO인 룽후이 구(Ronghui Gu)는 디지털 자산 인프라에는 "설계 초기 단계부터 지속적인 운영에 이르기까지" 보안과 리스크 관리가 필요하다고 말하며, NBKR과의 장기 협력에 자사 전문성을 담아 국가 디지털 자산 생태계의 안전한 발전을 지원하겠다고 밝혔다. NBKR 입장에서 이 협약은 개념 작업에서 실제 작동하는 CBDC 아키텍처로 넘어가는 국면에 도착했다는 점에서 의미가 크다. 이 단계에서는 설계 선택이 빠르게 굳어진다.

AML 감독과 모니터링 도구

CBDC를 넘어 이 틀은 중앙은행이 디지털 자산과 그 자산을 취급하는 기업을 어떻게 감독할지에도 이른다. 범위에는 자금세탁방지·테러자금조달방지(AML/CFT) 실무, 거래 모니터링, 디지털 자산 커스터디, 기술 보안 표준, 디지털 자산 활동을 수행하는 주체에 대한 라이선스 요건이 포함된다.

양해각서에 따라 NBKR과 CertiK는 지속적인 리스크 모니터링과 규제 감독을 위해 CertiK 제품 두 가지의 잠재적 활용을 검토한다. CertiK Compliance는 AML 스크리닝, 자금 추적, 위협 인텔리전스, 컴플라이언스 보고, 자산 및 거래상대방 평가를 하나로 묶는다. CertiK Supervision은 규제 당국용으로 설계되었고, 가상자산사업자(VASP), 토큰, 지갑, 거래의 모니터링을 지원한다. 의심스러운 자금 흐름을 관련된 각 지갑 주소로 역추적하는 스크리닝도 가능하며, 분석가들이 통상 고래 활동으로 표시하는 비정상적으로 큰 규모의 이체도 이에 포함된다.

양측은 이 합의의 한계도 분명히 하고 있다. 이런 도구의 도입은 여전히 탐색적 단계에 머물며, 계약에 따른 구현으로 공표된 바 없다. 양해각서는 NBKR의 CertiK에 대한 라이선스 부여나 승인을 구성하지 않는다고 명시적으로 밝히고 있으며, 라이선스 관련 언급은 디지털 자산 사업을 규율하는 규제 프레임워크 쪽을 가리킨다. 압디가지예프는 양해각서를 "추가 대화와 협력을 위한 틀"이라고 규정하며, 블록체인·디지털 자산 보안, AML/CFT, 디지털 자산 거래의 분석과 모니터링에서 경험 교환의 가치가 특히 크다고 짚었다.

보안 논거는 CertiK 자체의 Hack3D 보고서에서 수치로 확인된다. Web3 관련 손실은 2025년에 33억 5,000만 달러에 달했고, 2026년 상반기에만 344건의 사고로 추가로 13억 1,000만 달러가 유출됐다. 이 상반기 총액 가운데 지갑 침해가 4억 4,400만 달러 이상을, 코드 취약점이 또 다른 1억 5,200만 달러를 차지했다. 이런 배경에서 교육과 지식 교환은 블록체인 보안부터 리스크 모니터링까지 이어지는 협약의 10개 명시된 협력 영역을 채운다. 시장을 실시간으로 추적하려는 독자는 Binance에서 현물·선물 가격을 실시간으로 확인할 수 있다.

국가 지원 크립토 보안의 템플릿

두 축을 나란히 읽으면 하나의 흐름이 보인다. 설계 단계부터 보안을 입힌 CBDC, 그리고 디지털 자산 감독을 준비하는 감독기관 — 중앙은행이 보안을 부가기능이 아니라 인프라로 취급하기 시작했다는 메시지다. 양해각서 자체에 대한 우리의 판단은 구체적 약속이 아직 좁다는 것이다. 전문성 교환, 공동 연구, CertiK의 Supervision·Compliance 도구 검토가 전부이며, 금융 조건도, 도입 일정도, 계약된 배포도 공개된 것이 없다. 디지털 솜이 브리지 프로토콜 같은 외부 레일과 연결되는지, 외부 데이터를 위해 블록체인 오라클 계층에 의존하는지에 대해서도 언급이 없다. 공식적인 구현이 발표되기 전까지 이 합의가 보여주는 것은 의지와 표준 정렬이지, 작동하는 구축이 아니다. 다음으로 추적해야 할 것은 헤드라인이 아니라 이 간극이다.