국내 디지털자산 시장의 무게중심이 '거래'에서 '보관'으로 옮겨가고 있다. 지난 8월 20일 비트고코리아가 글로벌 가상자산 기업 가운데 처음으로 국내 가상자산사업자(VASP) 신고를 수리받았고, 5대 금융지주도 합작 형태로 이미 수탁 시장에 발을 걸쳐 두었다. "자산을 누가, 어떻게 들고 있을 것인가"가 실무 의제가 된 것이다.
선택지는 둘이다. 외부 수탁사에 맡기거나, 직접 키를 쥐거나. 후자, 즉 자기수탁을 검토하는 금융회사와 가상자산 예비 사업자가 눈에 띄게 늘었다. 다만 자기수탁은 하드웨어 지갑 몇 대를 사고 금고를 마련하는 일이 아니다.
내 자산인가, 고객 자산인가
먼저 가를 지점은 기술이 아니라 법적 지위다. 회사 고유 자산을 보관하는 것과 타인의 자산을 대신 보관하는 것은 전혀 다른 규제 트랙이다. 후자는 특정금융정보법상 '가상자산의 보관·관리업'에 해당해 신고 대상이 되고, 미신고 영업은 형사처벌 대상이다. 국회에 발의된 디지털자산기본법안은 여기서 더 나가 보관업을 인가제로 두고 자기자본 5억원 이상, 전문인력, 내부통제기준, 이용자 자산과 고유 자산의 분리보관을 요구한다. 지금 만드는 구조가 훗날 인가 요건을 통과할 수 있는지 역산해두지 않으면 시스템을 두 번 만들게 된다.
키는 어디서, 어떤 무작위성으로 만들어졌나
지난 7월 말 캐나다 업체의 하드웨어 지갑 콜드카드에서 터진 사고가 이 질문의 무게를 보여준다. 2021년 3월 배포된 펌웨어의 설정 오류로 일부 기기가 하드웨어 난수원 대신 예측 가능한 소프트웨어 난수로 시드를 만들었고, 공격자는 기기에 손도 대지 않은 채 좁아진 후보군을 계산으로 훑어 개인키를 찾아냈다. 5년 넘게 드러나지 않던 오류가 1억 달러가 넘는 피해로 이어졌다.
주목할 대목은 피해 규모가 아니라 사고의 성격이다. 펌웨어 패치는 이후에 만들어질 키를 보호할 뿐, 이미 취약한 상태에서 생성된 시드를 되돌리지 못한다. "최신 버전으로 업데이트했다"는 사실이 안전을 보증하지 않는다는 뜻이다. 장비를 조달할 때 인증서 유무만 봐서는 부족하다. 키가 기기 내부에서 생성되는지, 엔트로피의 출처가 무엇인지, 그 과정을 제3자가 검증한 기록이 있는지를 실사 항목에 명시해야 한다.
단일 실패점은 사람 쪽에 있다
멀티시그, MPC, HSM 가운데 무엇을 고르느냐는 생각만큼 결정적이지 않다. 질문은 결국 몇 명이 모여야 서명이 완성되는가, 출금 화이트리스트와 한도가 규정이 아니라 시스템으로 강제되는가로 수렴한다. 한 사람의 단말과 한 번의 승인으로 자산이 나갈 수 있다면 아무리 비싼 장비를 써도 자기수탁이 아니라 자기위험이다.
백업도 마찬가지다. 시드를 어디에 나눠 보관했는지 적어둔 문서는 대개 존재하지만, 담당자가 퇴사하고 금고 위치가 바뀐 상황을 가정해 복구를 실행해본 조직은 드물다. 자기수탁에서 손실은 대개 해킹이 아니라 접근 불능의 형태로 온다.
보관보다 어려운 것은 증명이다
2027년 1월 1일부터 가상자산 소득 과세가 시작된다. 연 250만원을 넘는 소득에 지방소득세를 포함해 22%가 적용된다. 핵심은 세율이 아니라 입증 책임이다. 거래소 밖에서 이동한 자산은 실제 취득가액을 납세자가 증명해야 한다. 기획재정부는 확인이 곤란한 경우 양도가액의 일정 비율(최대 50%)을 필요경비로 의제하는 방향을 제시했는데, 뒤집어 말하면 기록이 없을수록 비용으로 인정받는 몫이 줄어든다.
기관이라면 회계와 외부감사 요구가 더해진다. 어떤 주소가 회사 자산이고 내부 이체와 처분을 어떻게 구분할지를 설계 단계에서 정해두지 않으면 결산 때마다 수작업이 반복된다.
위험은 사라진 것이 아니라 옮겨온 것이다
자기수탁은 거래상대방 위험을 제거한다. 그러나 그 위험은 소멸한 것이 아니라 이동한 것이다. 거래소와 수탁사가 지던 몫이 우리 조직의 절차와 사람에게 넘어온다. 감당할 준비가 됐는지는 장비 사양서가 아니라 내부 규정과 훈련 기록이 말해준다.
도입 여부를 정하기 전에 두 편의 시나리오를 먼저 써보길 권한다. 키를 잃어버렸을 때 무슨 일이 벌어지는가, 그 키가 애초에 잘못 만들어졌다면 무엇을 할 수 있는가. 기업과 기관이 디지털자산을 직접 다뤄야 하는 시점이 다가올수록, 보관 솔루션과 내부통제 체계를 설계할 때 이 두가지 시나리오에 대한 대비를 필수적으로 해야만 한다.
※외부 필진 기고는 본지 편집 방향과 다를 수 있습니다.
/장효진 기자(js62@inews24.com)