X Money가 뉴욕 사용자에 300달러 보너스를 제공하는 가운데 Bitcoin(BTC) 결제 확장은 NYDFS 규제 장벽에 부딪힌다

NYDFS, X Money 잔액 이자 지급 차단

X Money가 뉴욕 사용자에 대해 이자 지급을 중단하고 일시금 보너스로 지급 구조를 바꿨다. 뉴욕 금융서비스국(NYDFS)이 이번 주, 일론 머스크(Elon Musk)의 결제 부문에 대해 은행이 아닌 계좌에 보유한 잔액에 은행 계좌식 이자를 계속 지급할 수 없다고 통보한 것이다. 이번 규제 개입의 대상은 고객이 마주하는 모든 면에서 보통예금 계좌처럼 작동하면서도 법적으로는 은행 시스템 바깥에 놓여 있는 상품이다. X Money는 뉴욕에서 은행 계좌를 제공하지 않는다. 대신 고객은 회사가 '저장 가치 계좌(stored value account)'라고 부르는 곳에 자금을 보관하며, 이곳은 '수익을 얻는' 공간으로 마케팅되고 캐시백, 송금, 수표 우편 발송, 공과금 납부, 무료 ATM 출금까지 지원하면서 'FDIC 보호'를 내세웠다. 그러나 약관은 다른 이야기를 한다. 계좌 약관은 'X Payments는 은행이 아니며, FDIC 보험에 가입하지 않았고, 예금을 받지 않는다'고 명시한다. 실제로 X Money 홈페이지를 검토한 결과 '예금(deposits)'이라는 단어가 무려 16번 등장했다. 이 구분이 중요한 이유는 저장 가치 계좌에는 은행 예금에 붙는 소비자 보호장치가 전혀 없기 때문이며, FDIC 보호를 강조하는 마케팅 문구는 이 경계를 흐릴 위험이 있다. 라이선스 기록도 똑같이 명확하다. NYDFS는 X Payments LLC를 자금이체업자(money transmitter), 즉 예금을 받는 기관이 아니라 대중을 위해 자금을 이동시키는 사업자로 승인했고, 그 효력은 7월 23일에 발생했으며 라이선스 번호 MT-105532는 7월 24일에 발급됐다. 회사 자신의 라이선스 페이지도 'X Payments LLC는 은행이 아니다'라는 한 줄로 이를 인정한다. 뉴욕 사용자의 자금 이탈을 막기 위해 X Money는 지급 구조를 재편했다. 잔액은 9월 30일까지 '이자를 받을' 수 있었고, 10월 1일부터 고객은 대신 '300달러 보너스'를 받게 된다. 이 보너스는 적격 예치 3,000달러를 충족한 뒤 14일 이내에 지급된다. 공식 급여이체 보너스 페이지는 이 지급금이 'APY나 이자를 구성하지 않는다'는 점을 반복해서 강조하고 있다. 이름만 바꾼 임시 보상인 셈이다.

비밀번호 재설정 폭탄, X 사용자 겨냥

보안이 두 번째 압박 요소다. 여러 지역의 X 사용자들은 8월부터 발신 요청한 적 없는 비밀번호 재설정 이메일을 받기 시작했고, 9월 1일에는 신고가 급증했다. 이메일 자체는 진짜다. X의 자체 시스템에서 발송된 것이지만, 계좌 보유자는 누구도 요청한 적이 없으며 회사는 조사 중이라고 밝혔다. 예상되는 공격 방식은 로우테크다. 사용자명은 공개적으로 보이기 때문에 공격자는 아무 핸들에 대해서나 비밀번호 찾기 양식을 반복 제출해 원하는 대로 재설정 이메일을 발동시킬 수 있다. 지금까지 X 플랫폼 침해의 증거는 없고 확인된 계정 탈취 물결도 없지만, 이 기법은 탐침으로 작동한다. 즉 방어가 약한 계정을 미리 지도화한 뒤 더 정교한 시도로 이어지는 것이다. X의 안내는 의도치 않은 재설정 이메일 속 링크를 무시하고 공식 앱이나 웹사이트를 통해서만 계정 상태를 확인한 뒤, 비밀번호 재설정 보호, 2단계 인증, 패스키로 계정을 강화하라는 것이다. X가 금융 플랫폼으로 성숙할수록 판돈은 커진다. Uber 같은 서비스의 초기 번들링 시도 이후 소셜 플랫폼 위에 결제와 금융 서비스를 얹은 올인원 앱 전략은, 이제 해킹당한 소셜 계정이 단순히 도용된 피드 이상이라는 뜻이다. 같은 로그인이 송금, 저장 잔액, 공과금 납부를 통제한다면 자격 증명 탐침은 금융 절도 미수가 되고, 암호화폐 사용자가 러그풀 시대에 이미 익힌 사기 매뉴얼이 계정 단위 공격으로 이동한다. X의 결제·투자 기능이 아직 출시되지 않은 일본 같은 시장에서 이번 재설정 물결은 예고편이다. 사용자는 금융 등급의 제품이 도착하기 전에 금융 등급의 리스크를 물려받는 셈이다. 블록체인 도메인 기반의 탈중앙화 신원과 Bitcoin Cash 같은 P2P 암호화폐 결제망은 중앙화된 재설정 지점 자체를 없앤다. 대신 복구 책임이 사용자에게 전가된다. 시장을 실시간으로 추적하려는 독자는 Binance에서 현물·선물 가격을 실시간으로 확인할 수 있다.

하나의 경계, 두 개의 경고

두 사건을 함께 읽으면 같은 균열선을 양쪽에서 비춘다. X Payments 자신의 라이선스 공시 MT-105532와 저장 가치 계좌 약관이라는 1차 기록을 우리가 직접 검토한 결과, 회사 스스로 은행이 아니며 예금을 받지 않는다고 명시하고 있음이 확인됐다. 규제 당국은 새 규칙을 만든 것이 아니라 기존의 감독 경계를 적용했을 뿐이다. 한편 재설정 캠페인은 사용자명이 공개된 상태에서 그 경계가 얼마나 저렴하게 탐지될 수 있는지를 보여준다. Bitcoin부터 프라이버시 중심의 Zcash까지, X의 암호화폐 시대 결제 확장 속에서 올인원 앱 지갑과 자기 관리형 자산 사이에서 저울질하는 사용자에게 트레이드오프는 이제 명시적이다. 편의 대통제, 그 선택의 순간이다.