코인 커스터디 — 원화는 은행에 100퍼센트, 코인은 80퍼센트만 인터넷 밖에 있습니다

수출대금으로 받은 코인이 거래소 계정에 그대로 있다고 해봅시다. 화면에는 원화 잔고와 코인 잔고가 나란히 찍혀 있어요. 통장을 보는 느낌이라 “일단 여기 두면 되겠지” 하고 넘어가기 쉽습니다.

그런데 그 두 줄에 걸리는 법이 서로 다릅니다. 위쪽 원화는 은행으로 넘어가 따로 관리되고 있고, 아래쪽 코인은 거래소가 자기 시스템 안에서 들고 있어요.

커스터디가 뭔가요 — 「누가 열쇠를 쥐고 있나」입니다

커스터디는 코인을 남이 대신 맡아 주는 일을 말합니다. 우리말로는 수탁이라고 해요.

코인이 다른 자산과 다른 점이 하나 있습니다. 코인을 움직이려면 열쇠가 있어야 하는데, 그 열쇠를 쥔 쪽이 곧 그 코인을 움직일 수 있는 쪽이에요. 그래서 “어느 회사 계정에 들어 있나”보다 “누가 열쇠를 쥐고 있나”가 실질입니다.

열쇠를 쥐는 쪽으로 나누면 회사가 코인을 둘 자리는 셋뿐입니다. 거래소 계정에 그대로 두거나, 보관만 전문으로 하는 수탁기관에 맡기거나, 회사가 직접 지갑을 만들어 담거나.

거래소 계정에 둔 코인은 거래소 이름으로 된 통장에 가깝고, 회사 지갑에 담은 코인은 내 집 장롱에 가깝습니다.

다만 이 비유는 두 군데에서 깨집니다. 은행 통장은 은행이 망해도 예금자보호가 1억원까지 붙는데 거래소의 코인 잔고에는 그런 제도가 없어요. 그리고 장롱은 열쇠를 잃어버려도 부수면 열리지만, 코인 지갑은 열쇠를 잃으면 그걸로 끝입니다. 재발급해 주는 창구가 없거든요.

거래소에 둔 원화와 코인은 규칙이 다릅니다

먼저 원화 쪽부터 봅시다.

이용자가 코인을 사려고 거래소에 넣어 둔 돈을 법은 예치금이라고 부릅니다(법 제6조 제1항). 거래소는 이 돈을 자기 재산과 섞어 두면 안 되고, 은행·농협은행·수협은행·중소기업은행 가운데 한 곳에 예치하거나 신탁해야 해요(시행령 제8조 제1항). 증권사나 저축은행은 그 네 곳에 들어가지 않습니다.

금액도 정해져 있습니다. 이용자별 예치금 총액의 100분의 100 이상이에요(시행령 제8조 제3항). 그리고 이 계산은 하루 단위로 돌아갑니다. 감독규정 제4조가 영업일마다 산정해서 다음 영업일까지 넣으라고 정해 두었거든요.

여기에 더해 법 제6조 제3항은 누구도 그 예치금을 상계하거나 압류하지 못한다고 못박습니다. 가압류도 포함이에요. 거래소의 채권자가 와서 그 돈에 손을 대는 길을 아예 막아 둔 겁니다.

이제 코인 쪽입니다. 법 제7조 제2항은 거래소가 자기 코인과 이용자 코인을 나눠 보관하고, 위탁받은 것과 같은 종류·같은 수량을 실제로 들고 있어야 한다고 정합니다. 제3항은 그중 일정 비율 이상을 인터넷과 분리해 두라고 하고요.

거기까지입니다. 제7조는 네 개 항으로 끝나는데, 그 안에 압류를 막는 문장도, 무슨 일이 생겼을 때 먼저 돌려주라는 문장도 없습니다.

거래소가 파산하면 맡긴 것은 어떻게 되나요

원화부터 답이 명확합니다.

법 제6조 제4항은 세 가지 경우를 적어 뒀어요. 거래소의 사업자 신고가 말소된 경우, 해산이나 합병을 결의한 경우, 파산선고를 받은 경우입니다. 이 중 하나가 생기면 돈을 맡아 둔 은행이 이용자의 청구에 따라 그 이용자에게 먼저 지급해야 합니다.

다만 “먼저”가 곧 “전액”은 아닙니다. 시행령 제10조 제1항 제1호 나목은 지급액을 이렇게 계산하라고 해요. 은행에 실제로 들어 있는 예치금 총액을 이용자별 예치금의 총액으로 나눈 비율에, 각 이용자의 예치금을 곱합니다. 쉽게 말해 모자라면 나눠 받는 구조예요. 다만 앞에서 본 대로 평소에 100분의 100 이상을 넣게 돼 있으니, 규정대로 굴러갔다면 전액이 나옵니다.

절차도 시계가 붙어 있습니다. 감독규정 제7조는 은행이 그 사유를 통지받거나 알게 된 날부터 2개월 이내에 일간신문 둘 이상과 홈페이지에 지급 시기와 장소를 공고하라고 정해요. 불가피한 사정이 있으면 금융위원회 확인을 받아 1개월까지 늘릴 수 있습니다.

코인에는 이 절차가 없습니다. 제7조 어디에도 관리기관이 등장하지 않고, 우선 지급을 요구할 상대가 조문상으로는 정해져 있지 않아요.

「80퍼센트는 인터넷과 분리」가 무슨 말인가요

인터넷에 연결되지 않은 곳에 코인을 보관하는 것을 업계에서는 콜드 보관이라고 부릅니다. 열쇠를 네트워크에서 떼어 놓으면 외부에서 침입해 빼내기가 어려워지거든요.

비율은 법에서 바로 나오지 않고 세 단계를 거칩니다. 법 제7조 제3항이 “대통령령으로 정하는 비율”이라고 넘기고, 시행령 제11조 제1항이 “100분의 70 이상의 범위에서 금융위원회가 정하여 고시하는 비율”로 다시 넘기고, 감독규정 제9조 제1항이 100분의 80이라고 못박습니다. 조문만 따라가면 70이라는 숫자에서 멈추기 쉬운데, 실제로 지켜야 하는 선은 80입니다.

기준은 개수가 아니라 값입니다. 코인 종류별로 보관 중인 총 수량에 전월 말일 기준 최근 1년간 일평균 원화환산액을 곱해서 더한 금액, 그 경제적 가치의 100분의 80이에요.

우리 회사 돈으로 환산해 보면 이렇습니다. 거래소 계정에 10억원어치 코인이 있다면 그중 8억원어치는 인터넷과 끊긴 곳에 있고, 2억원어치는 연결된 상태로 남아 있는 셈입니다. 출금 요청을 바로 처리하려면 어느 정도는 연결해 둬야 하니까요.

그 나머지에 대비하는 장치가 따로 있습니다. 감독규정 제10조 제2항은 보험 보상한도와 준비금 적립액, 예치·신탁금을 다 합쳐 두 기준을 모두 넘기라고 해요. 하나는 인터넷과 분리하지 않은 코인 경제적 가치의 100분의 5, 다른 하나는 30억원입니다. 원화 입출금 없이 코인끼리만 거래시키는 사업자는 5억원이고요.

여기서 숫자를 오해하기 쉽습니다. 이 금액은 거래소 전체를 기준으로 쌓아 두는 것이지 내 계정 몫으로 배정된 돈이 아니에요. 연결된 자산이 1,000억원이면 100분의 5는 50억원인데, 사고가 그보다 크게 나면 그 50억원을 여러 이용자가 나누게 됩니다.

수탁기관에 맡기면 뭐가 달라지나요

법 제7조 제4항은 거래소가 이용자 코인을 보안기준을 충족하는 기관에 위탁해 보관할 수 있다고 열어 둡니다. 그 기준을 시행령 제11조 제2항이 네 가지로 적어 놨어요.

첫째, 업무지침을 만들어 시행하고 홈페이지에 공시해야 합니다. 그 안에 위험관리와 사고 예방, 이해상충 방지체계, 그리고 다시 다른 곳에 맡기는 것을 금지한다는 내용이 들어가야 해요. 맡긴 코인이 우리 모르게 또 어딘가로 넘어가는 경로를 막아 둔 겁니다.

둘째, 보관용 정보시스템을 연 1회 이상 점검·평가해야 합니다. 감독규정 제9조 제2항은 전자금융감독규정에 따른 평가전문기관을 통해 취약점을 분석하고, 그 결과와 보완조치 계획을 종료 후 30일 이내에 금융감독원장에게 제출하라고 정합니다.

셋째가 이 글에서 가장 중요한 대목입니다. 수탁기관은 위탁받은 가상자산 전부를 인터넷과 분리해 보관해야 합니다. 거래소가 직접 들고 있을 때의 기준은 100분의 80인데, 위탁분에는 예외 비율이 없어요.

넷째는 그 밖에 금융위원회가 고시로 더할 수 있는 기준입니다.

정리하면 같은 코인이라도 거래소 금고에 있을 때와 수탁기관에 넘어갔을 때 걸리는 규칙의 강도가 다릅니다. 거래소를 고를 때 “이용자 자산 중 얼마를 어디에 맡기고 있나”를 물어볼 만한 이유가 여기 있어요.

회사 지갑에 직접 담으면요?

담아도 됩니다. 다만 그 순간부터 지금까지 본 조문은 우리에게 적용되지 않습니다.

제6조와 제7조는 가상자산사업자에게 지운 의무예요. 우리 회사가 자기 지갑에 자기 코인을 담으면 맡긴 사람도 우리고 맡은 사람도 우리라, 지켜야 할 상대가 없습니다. 보호 장치가 법에서 나오는 게 아니라 우리 내부 규정에서 나오게 되는 거죠.

그래서 자체 보관을 택했다면 문서부터 만들어야 합니다. 열쇠를 누가 보관하는지, 얼마 이상 움직일 때 몇 사람의 승인이 필요한지, 백업은 어디에 두는지. 이걸 정해 두지 않으면 담당자 한 사람의 실수나 이탈이 곧 회사 자산의 문제가 됩니다.

주소를 잘못 적어 엉뚱한 곳으로 보냈을 때 되돌릴 창구가 어디까지인지는 코인 오입금 편에서 조문으로 따라가 봤습니다.

그래서 어디에 둬야 하나요

정답이 하나로 정해지지는 않습니다. 그 코인을 얼마나 오래 들고 있을지에 따라 갈려요.

며칠 안에 원화로 바꿀 돈이라면 거래소 계정에 그대로 두는 편이 현실적입니다. 옮기는 과정에서 오히려 사고가 날 수 있으니까요. 대신 그 거래소가 신고를 수리받은 곳인지, 보험이나 준비금을 얼마나 쌓아 두고 있는지는 한 번 확인해 두는 게 좋습니다. 거래소를 고르는 다른 기준들은 거래 규율 편에 정리해 두었어요.

몇 달을 들고 있어야 하는 돈이라면 수탁기관 위탁 여부를 물어볼 만합니다. 위탁분은 전부 인터넷과 분리되고 재위탁도 막혀 있으니 보관 조건이 한 단계 위예요.

회사 지갑을 직접 운영하는 길은 열쇠 관리 규정과 권한 분리, 백업 절차를 문서로 만든 다음에 들어가는 게 순서입니다.

어느 쪽을 고르든 공통으로 남겨야 할 게 하나 있습니다. 잔고 화면을 캡처해 두는 것 말고, 언제 얼마가 어디에서 어디로 갔는지를 건별로 기록해 두는 일이에요. 결산 때도 소명할 때도 결국 이 기록을 찾게 됩니다.

자주 묻는 질문

커스터디가 정확히 무슨 뜻인가요?

코인을 남이 대신 맡아 주는 것을 말합니다. 코인은 열쇠를 쥔 쪽이 움직일 수 있어서, 어디에 뒀느냐보다 누가 열쇠를 쥐었느냐가 실질입니다.

거래소에 둔 코인도 예금자보호를 받나요?

받지 않습니다. 예금자보호는 은행 예금에 붙는 제도예요. 거래소에 맡긴 원화에는 별도의 예치·신탁 의무가 걸려 있지만 그것도 예금자보호와는 다른 장치입니다.

거래소가 파산하면 맡긴 원화는 어떻게 되나요?

관리기관이 이용자에게 우선 지급합니다. 법 제6조 제4항이 신고 말소·해산 결의·파산선고 세 경우를 정해 뒀어요.

그럼 코인도 우선 지급되나요?

가상자산의 보관을 정한 제7조에는 우선 지급 조항이 없습니다. 압류를 막는 조항도 예치금 쪽에만 있어요.

80퍼센트를 인터넷과 분리한다는 건 무슨 뜻인가요?

이용자 코인의 경제적 가치 기준으로 100분의 80 이상을 인터넷에 연결되지 않은 곳에 두라는 뜻입니다. 감독규정 제9조 제1항이 정한 비율이에요.

나머지 20퍼센트는 사고 나면 못 받나요?

거래소가 보험이나 준비금으로 대비해 둡니다. 다만 그 금액은 사업자 전체 기준이라 내 몫으로 미리 배정된 돈이 아닙니다.

수탁기관에 맡기면 뭐가 달라지나요?

위탁받은 코인을 전부 인터넷과 분리해서 보관해야 합니다. 다른 곳에 다시 맡기는 것도 업무지침으로 금지하게 돼 있어요.

회사 지갑에 직접 담아도 되나요?

됩니다. 다만 그 순간 이 법의 보관 규정은 우리에게 적용되지 않아요. 열쇠 관리 규정을 회사가 직접 만들어 둬야 합니다.

출처

참조 6건 중 1차출처 6건 · 본문 5,304자 · 읽는 시간 14분

1. 국가법령정보센터 — 가상자산 이용자 보호 등에 관한 법률 제6조(예치금의 보호) PRIMARY
2. 국가법령정보센터 — 가상자산 이용자 보호 등에 관한 법률 제7조(가상자산의 보관) PRIMARY
3. 국가법령정보센터 — 같은 법 시행령 제8조(예치금의 보호) PRIMARY
4. 국가법령정보센터 — 같은 법 시행령 제10조(예치금의 우선 지급 방법 및 절차) PRIMARY
5. 국가법령정보센터 — 같은 법 시행령 제11조(가상자산의 보관) PRIMARY
6. 국가법령정보센터 — 가상자산업감독규정(금융위원회 고시 제2024-37호) 제9조·제10조 PRIMARY

같이 읽으면 좋은 글

• 예치금 이용료, 코인 보유량에는 붙지 않아요
• 법인 지갑 개인키 관리 — 회사 인감은 금고에 있는데, 개인키는 누구 노트북에 있나요
• 해외금융계좌 신고, 해외 거래소 코인도 세나요 — 매월 말일로 갈립니다