프랑스, MiCA 공동 개정안에서 DeFi 사고 시 플랫폼 책임 부과 제안

프랑스 당국, MiCA 공동 개정 제안서 제출

프랑스 재무부, 금융시장감독청(AMF), 프랑스은행(Banque de France), 신용감독해결기구(ACPR)는 10월 21일 수요일, 유럽연합의 암호자산시장규제(MiCA)를 겨냥한 개정 제안 꾸러미를 공동 제출했다. 이 문서의 핵심은 탈중앙화금융(DeFi) 보안 사고에 대한 책임을 규제 대상 플랫폼에 묻는 내용이다. 제출은 유럽위원회가 MiCA 개정 필요 여부를 묻기 위해 진행한 공청회에 대한 프랑스의 답변 형식이며, 이번 검토는 DeFi를 포함해 법의 원래 적용 범위 밖에 있던 활동에 대한 의견을 명시적으로 요구한 바 있다. 공동 제출서는 암호자산서비스사업자(CASP)가 DeFi 프로토콜 접근을 적극적으로 중개한 경우, 충분한 사전 점검이 보안 문제를 발견할 수 있었던 상황에서 고객에게 영향을 주는 일부 사고에 대해 책임을 져야 한다고 주장한다. 이 계획에 따르면 플랫폼은 고객에게 프로토콜을 제공하기 전 스마트컨트랙트 보안과 운영상 취약점을 DEX 거래 환경부터 대출 시장에 이르기까지 점검해야 하고, 접근이 개방된 뒤에도 취약점과 의심스러운 행동을 계속 모니터링해야 한다. 프랑스 당국은 DeFi 프로토콜과 스마트컨트랙트에 대한 인증 체계도 지지한다. 다만 규제 플랫폼을 통해 도달할 수 있는 모든 프로토콜에 인증을 강제하지는 않는다. 사업자가 자체 실사를 수행하고 관련 위험을 설명하는 강화된 고지를 고객에게 제공하면, 인증받지 않은 프로토콜에도 고객을 연결할 수 있다. 의무는 사업 규모에 비례해 부과된다. 규모가 큰 CASP는 전체 요구사항을 적용받고, 작은 사업자는 그에 상응하는 수준의 의무만 진다. 제안은 탈중앙화 네트워크에서 발생하는 모든 해킹에 대해 자동 보상을 요구하지는 않으며, 플랫폼이 탐지할 수 없었던 사고에 대한 책임도 묻지 않는다. 현행 틀은 중개자 없이 완전히 탈중앙화된 방식으로 제공되는 서비스를 적용 대상에서 제외하기 때문에, 프랑스 문안은 규제된 중개자가 사용자와 프로토콜 사이에 놓인 경우에만 보호장치를 확장한다.

ESMA 권한 확대와 미사용 ART 항목

DeFi에 이어 이번 제출서는 규모가 큰 CASP에 대한 감독 권한을 각국 감독기구에서 유럽증권시장감독청(ESMA)으로 옮기는 방안을 지지한다. MiCA는 유럽연합 내 평균 일일 활성 사용자가 1,500만 명에 도달하면 해당 사업자를 대형으로 분류하는데, 이 기준은 2023년 규정 원문에 명시돼 있고 프랑스는 이 수치를 낮추자고 주장한다. 당국은 또 사용자 수만으로는 규모가 크거나 구조가 복잡한 기업이 중앙화된 감독 밖에 남을 수 있다며, 수탁 자산, 사업 리스크, 기업 집단의 복잡성도 ESMA 관할 대상 선정에 반영할 것을 제안한다. 여기에 더해 프랑스는 암호자산 백서 제출과 관련 집행 업무를 ESMA로 통합해, 현재 각국 감독기구가 신고를 접수한 뒤 전달하는 방식을 대체하자고 한다. 유럽 감독기구는 이미 2027년 감독 우선순위를 준비 중이며, 여기에는 운영 회복력, 외주 계약, 유동성 리스크, 인가받은 사업자가 충분한 역내 운영을 유지하는지 여부가 포함된다. 스테이블코인과 관련해 프랑스는 MiCA가 자산연동토큰(ART) 항목을 유지할지 의문을 제기한다. ART는 여러 자산 바구니에 연동해 안정적 가치를 유지하도록 설계된 토큰을 다룬다. 이 틀에서 승인받은 ART는 아직 하나도 없으며, 제출서는 그 원인으로 수요 부족, 법적 불확실성, 까다로운 요구사항을 꼽는다. 당국은 영향 평가를 전제로 해당 항목을 폐지하고, 대신 전자화폐토큰 체계를 조정해 다중통화 스테이블코인을 커버하는 방안을 선호한다. 이 논의는 진행 중인 유럽 내 시행과 병행된다. Circle의 USDC는 10월 대형 토큰 분류를 받았고, 이에 따라 유럽 사업의 지정된 부분이 11월 12일부터 유럽은행감독청(EBA)의 직접 감독을 받는다. 자기수탁 소프트웨어는 더 가벼운 처우를 받는다. 당국은 제품이 하드웨어 지갑이든 브라우저 확장이든 지갑 개발사에 대한 일괄 인증에 반대하며, DeFi 서비스를 통합한 고급 애플리케이션에 한해 자발적 인증만 지지한다. 같은 공청회에서 업계 반응은 엇갈렸다. Cardano 재단은 유럽 감독기구가 기존 틀을 개선하고 중개 서비스와 블록체인 직접 참여를 분리해야 하며, 탈중앙화금융과 스테이킹에 새 규칙을 더하는 것은 아니어야 한다고 주장했다. 이는 유럽의회가 7월 해당 활동에 대한 추가 연구를 요구한 입장과 맞닿아 있다.

프랑스 문서는 공청회 답변이지 법이 아니다. 입법자가 움직이기 전까지 어느 기관도 구속되지 않으며, 유럽위원회의 EU 입법자 대상 검토 보고서는 2027년 6월 30일까지 제출 예정이고, 여기에 MiCA 밖 활동을 다루는 개정안이 동반될 수 있다. 제출서를 살펴본 우리의 판단은 이렇다. 채택될 경우 먼저 바뀌는 것은 행태다. 고객을 DeFi로 연결하는 플랫폼은 프로토콜 목록을 줄이고, 제3자 감사를 요구하고, 실사 비용을 서비스 가격에 반영할 강한 동기를 갖게 된다. 그 결과 EU 사용자에게 어떤 탈중앙화 애플리케이션이 도달할지 플랫폼이 사실상 결정하는 게이트키핑 역할이 형성된다. 특정 프로토콜 실패를 대상으로 가격이 책정되는 DeFi 보험 제품 수요는 끌어올릴 가능성이 크다. 반면 비수탁형 소프트웨어에 대한 예외 조항은 중개 서비스와 블록체인 직접 참여 사이의 기존 MiCA 경계를 그대로 유지한다.