한국 금융위, 거래소 콜드월렛 99% 의무화 검토

금융위, 99% 콜드스토리지 의무화 검토

한국 금융위원회가 국내 주요 가상자산 거래소와 커스터디 사업자와 긴급 보안 회의를 열고, 바이낸스의 역대 최대 규모 해킹 이후 고객 자산 보호를 강화하는 방안을 점검했다. 모든 라이선스 사업자에 적용되는 가상자산 이용자 보호법에 따르면 거래소는 고객 자산의 최소 80%를 콜드월렛, 즉 인터넷과 단절된 보관 수단에 두어야 한다. 콜드스토리지는 대개 하드웨어 월렛이나 이와 유사한 오프라인 기기로 구현된다. 나머지 몫은 핫월렛에 둘 수 있는데, 핫월렛의 각 암호화폐 지갑 주소는 온라인에 노출되며 출금 처리와 일상 거래를 위해 자금이 배치되는 곳이다. 규제 당국은 이제 필수 오프라인 보관 비율을 99% 수준까지 끌어올릴지 검토 중이며, 이 수준은 이미 일부 최대 규모 플랫폼이 유지하고 있는 수치다. 의무선을 올리면 온라인 공격자가 접근할 수 있는 고객 자금의 몫이 줄어든다. 이것이 이번 검토의 명시된 목적이다.

80%라는 기존 기준은 보안과 유동성 사이의 균형점이다. 콜드스토리지의 자산은 거래소의 프라이빗 키로 이루어지는 추가 승인과 서명이 있어야만 움직인다. 그래서 오프라인 보관 비율이 곧 즉시 출금에 쓸 수 있는 자금 규모를 결정한다. 핫월렛 잔고가 외부 송금을 감당하지 못하면 부족분을 오프라인 보관소에서 다시 인출한 뒤에야 출금이 완료된다. 이번 검토는 바이낸스 사건을 배경에 둔다. 이 사건에서 63억 달러가 넘는 금액이 탈취됐으며, 기록상 가장 큰 암호화폐 해킹이다. 미 연방수사국(FBI)은 북한과 연계된 해킹 조직 TraderTraitor를 공격 배후로 지목했고, 북한은 연루를 부인했다. 조선노동당 중앙위원회 부서장인 김여정은 미국의 혐의가 정치적 동기에서 비롯됐다고 반박했다. 당국자들은 또한 이번 점검이 보관 비율을 넘어 업계 전반의 내부 시스템 접근 통제와 거래 승인 절차까지 확대된다고 밝혔다. 아직 법 개정안이 발의되지는 않았고, 위원회는 의사결정 일정도 정하지 않았다.

비썸의 13시간 출금 지연

오프라인 비율을 높이면 운영 비용이 따르는데, 이 비용은 시장 내에서 고르게 분배되지 않는다. 소규모 거래소는 대형 플랫폼의 인력과 예비 자금 여력이 없고, 99% 요구가 적용되면 즉시 출금 가능한 자금이 극히 남지 않는다. 출금 수요가 갑자기 몰리면 핫월렛 보유액을 초과해, 송금이 처리되기 전에 콜드스토리지에서 자금을 옮겨와야 하는 상황이 벌어진다. 오프라인 보관소에서의 이동은 자동 이체 한 건이 아니라 검토 절차의 연쇄를 거치기 때문에, 압박이 큰 장세에는 처리 시간이 더 길어진다. 한국 거래 역사에는 전례가 있다. 8월에 국내 최대 거래소 중 하나인 비썸(Bithumb)에서 핫월렛 부족으로 콜드스토리지에서 추가 인출이 이뤄지면서 일부 알트코인 출금이 약 13시간 늦어졌다. 이 사례는 암호화폐 거래소 대 암호화폐 지갑에서 다룬 오래된 커스터디 논쟁도 다시 떠올리게 한다. 플랫폼에 맡긴 자산은 그 회사의 전적인 통제 아래 놓이기 때문이다.

출금 지연 위험은 가격이 빠르게 움직일 때 가장 크게 드러난다. 몇 시간 안에 가치가 급락할 수 있는 시장에서 오프라인 승인을 기다리는 투자자는 현물 거래로 제때 빠져나가지 못할 수 있고, 하락 중인 포지션의 손실이 깊어질 수 있다. 99% 기준을 검토하는 규제 당국은 이 긴장에 정면으로 직면한다. 오프라인 보호가 커질수록 고객이 가장 필요로 하는 순간에 쓸 수 있는 유동성은 줄어든다. 보안 전문가들 역시 보관 비율만으로 안전성이 결정되는지에 대해 의문을 제기해왔다. 거래소 CoinEx의 창업자 Haipo Yang은 바이낸스 침해사고가 불가피한 실패가 아니라 예방 가능한 취약점을 드러냈다고 주장했다. 그는 개발 환경과 운영 환경이 완전히 분리되지 않았고 운영 시스템에 실효적인 이중 인증이 없어서 단일 키 하나가 유출되는 것만으로 시스템 진입 경로가 열렸다고 말했다. 전용 업무 기기와 하드웨어 보안 키 기반 인증을 대안으로 제안했다. Yang은 추가로, 다중서명 구조에서 각 거래를 독립적으로 검증하지 않는 승인자가 있으면 한 노드가 뚫렸을 때 시스템 전체가 노출된다고 지적했다.

중소 거래소에 몰리는 규제 부담

COINOTAG 데스크는 이 제안을 한국 시장의 상위권이 아니라 중간층을 짜내는 구조로 읽는다. 99% 규칙이 채택되면 가상자산 이용자 보호법 아래 라이선스를 받은 모든 사업자에 적용되고, 개정안이 통과하기 전까지는 기존 80% 기준이 계속 강제력을 가진다. 이미 99%를 오프라인으로 보관하는 거래소는 별도의 노력 없이 기본으로 요건을 충족하는 이득을 보는 반면, 중형 거래소는 새로운 예비 자금과 인력 요건의 비용을 떠안는다. 이는 최대 플랫폼 쪽으로의 시장 재편을 앞당길 수 있다. 보관 비율은 변수 중 하나일 뿐이다. CoinEx 창업자가 접근 통제와 다중서명 검증을 겨냥해 제기한 비판을 보면, 최종 패키지는 내부 절차까지 함께 다뤄야 한다.