커스터디

커스터디, 어렵지 않아요 내 코인을 누가 대신 지켜 주는지 알아봐요

1. 커스터디가 도대체 뭐예요?

커스터디(Custody)는 우리말로 '수탁' 또는 '보관'이라는 뜻이에요. 암호화폐에서는 전문 기관이 투자자를 대신해 자산의 통제 권한, 즉 개인키(코인을 옮길 수 있는 비밀 열쇠)를 대신 보관하고 관리해 주는 서비스를 말해요. 암호화폐는 이 개인키를 잃어버리거나 도둑맞으면 자산을 영영 되찾을 수 없어요. 그래서 안전하게 보관하는 일이 자산을 갖는 데 가장 중요한 문제가 되죠.

전통 금융에서 은행이나 증권사가 우리 자산을 대신 맡아 주듯이, 커스터디 사업자도 해킹을 막고, 물리적인 보안을 갖추고, 내부에서 함부로 손대지 못하게 하는 통제 절차를 마련해요. 여기에 콜드 스토리지(인터넷과 끊어 놓은 저장 방식)와 다중서명(여러 사람의 서명이 있어야 자금이 움직이는 방식) 같은 기술까지 써서 자산을 지켜요. 특히 아주 많은 자산을 굴리는 기관 투자자나 고래(엄청난 물량을 가진 큰손)에게는 없어서는 안 될 기반 시설로 여겨져요.

암호화폐에서는 '자산을 가졌다'는 말이 곧 '개인키를 쥐고 있다'는 말과 똑같아요. 바로 이 점이 커스터디를 전통 금융의 보관 서비스와 다르게 만들어요. 종이 증서나 통장 잔고가 아니라, 전자서명(거래를 승인하는 디지털 도장)을 만들어 낼 수 있는 비밀 정보를 누가 쥐고 있느냐가 실제 소유권을 결정하니까요.

이렇게 보면 쉬워요 · 커스터디는 내 금고 열쇠를 대신 지켜 주는 전문 경비 서비스예요.

2. 열쇠를 내가 쥘까요, 남에게 맡길까요?

커스터디는 크게 두 가지로 나뉘어요. 하나는 내가 직접 관리하는 자기수탁(self-custody), 다른 하나는 남에게 맡기는 제3자 수탁(third-party custody)이에요.

먼저 자기수탁은 이용자가 스스로 지갑과 시드 구문(지갑을 되살릴 때 쓰는 여러 단어로 된 복구 암호)을 직접 관리하는 방식이에요. '내 열쇠가 아니면 내 코인이 아니다(Not your keys, not your coins)'라는 말이 이 방식을 잘 보여 줘요. 남에게 통제권을 넘기지 않으니까 누가 막거나 얼려 버릴 걱정에서 자유롭지만, 대신 열쇠를 잃어버리거나, 새어 나가거나, 물려주는 문제를 전부 혼자 떠안아야 해요. 이 방식은 비수탁형(non-custodial)이라고도 부르고, 하드 월렛(인터넷과 분리된 전용 기기)이나 계층 결정적 지갑(하나의 시드에서 여러 주소를 만들어 내는 지갑) 같은 도구를 흔히 써요.

다음으로 제3자 수탁은 거래소나 전문 커스터디 기관에 보관을 맡기는 방식이에요. 대부분의 중앙화 거래소는 이용자 자산을 대신 보관하는 커스터디 역할도 함께 해요. 이럴 때 이용자는 편리함을 얻는 대신 개인키를 직접 통제할 권한은 내려놓게 되죠. 전문 커스터디 사업자는 자산의 상당 부분을 인터넷과 떼어 놓은 콜드 스토리지에 보관하고, 여러 개의 서명이 모여야만 자금을 옮길 수 있는 다중서명 구조를 써서 한 군데만 뚫려도 전부 털리는 일(단일 실패 지점)을 줄여요.

결국 자기수탁은 '내가 다 통제한다'를, 제3자 수탁은 '편하고 책임도 넘긴다'를 앞세워요. 두 방식은 서로 부딪히는 관계라, 이용자는 자산이 얼마나 많은지와 어디에 쓸지에 따라 하나를 고르거나 둘을 함께 쓰기도 해요.

이렇게 보면 쉬워요 · 집에 금고를 두느냐, 은행 대여금고에 맡기느냐의 차이예요.

3. 어떻게 그렇게 안전하게 지켜요?

커스터디 사업자는 개인키가 새어 나가거나, 도둑맞거나, 사라지지 않도록 여러 겹의 방어 장치를 겹쳐서 써요.

먼저 콜드 스토리지예요. 자산의 대부분을 인터넷과 물리적으로 끊어 놓은 콜드 스토리지에 보관해서, 멀리서 해킹당할 여지 자체를 줄여요. 바로바로 출금해 줘야 하는 소량만 인터넷에 연결된 지갑(핫월렛)에 남겨 두죠.

다음은 다중서명이에요. 다중서명은 열쇠 하나가 아니라 미리 정한 개수 이상의 서명이 모여야만 자금을 옮길 수 있게 하는 방식이에요. 그래서 특정 담당자 한 명이나 장비 한 대가 뚫려도 자산이 함부로 움직이지 않아요.

키 분할 연산이라는 방법도 있어요. 개인키를 여러 조각으로 쪼개서 각기 다른 곳에서 계산하는 다자간 연산(MPC) 방식인데요, 이렇게 하면 온전한 개인키 하나가 어느 한 곳에도 통째로 존재하지 않게 돼요.

마지막으로 하드웨어 보안 모듈(HSM)이에요. 열쇠를 만들고 서명하는 일을 함부로 손대기 어려운 전용 하드웨어 안에서만 하도록 해서, 열쇠 원본이 밖으로 나오지 못하게 막아요.

여기에 더해, 여러 단계를 거쳐야 승인되는 절차, 미리 등록한 주소로만 출금을 허용하는 출금 화이트리스트, 한 사람에게 권한이 몰리지 않게 나누는 접근 권한 분리 같은 내부 통제까지 더해져요. 이렇게 기술적인 방어와 운영상의 통제가 함께 맞물려 돌아가요.

이렇게 보면 쉬워요 · 열쇠 하나가 아니라, 여러 사람이 각자 다른 열쇠를 돌려야 열리는 은행 금고 같은 거예요.

4. 커스터디에도 종류가 있어요?

누가, 어떤 형태로 제공하느냐에 따라 커스터디는 대체로 다음처럼 나뉘어요.

첫째는 거래소 겸업형이에요. 중앙화 거래소가 사고파는 서비스와 함께 이용자 자산도 보관해 주는 방식이에요. 쓰기는 편하지만, 그 거래소의 재무 상태가 튼튼한지, 보안이 안전한지가 곧바로 내 자산의 안전과 직결돼요.

둘째는 전문 커스터디 기관이에요. 보관 그 자체를 본업으로 하는 사업자로, 규제를 지키는 체계와 보안 시설, 보험 등을 갖추고 주로 기관 고객을 상대해요.

셋째는 기술 제공형이에요. 사업자가 직접 자산을 쥐지 않고, 다중서명이나 MPC 같은 보관 기술과 소프트웨어만 제공해서 고객이 스스로 통제권을 계속 쥐도록 도와주는 방식이에요.

또 사업자가 이용자를 대신해 자산을 실제로 들고 있느냐에 따라 수탁형(custodial)과 비수탁형(non-custodial)으로도 나눠요. 이 구분은 사고가 났을 때 누구 책임인지, 어디까지 규제를 적용할지를 가르는 기준이 돼요. 에스크로(거래가 끝날 때까지 제3자가 돈을 맡아 두는 것)나 담보 관리처럼 자산을 안전하게 예치해야 하는 서비스도 넓게 보면 커스터디 기능과 맞닿아 있어요.

이렇게 보면 쉬워요 · 물건을 직접 맡아 주는 창고, 창고를 전문으로 하는 회사, 좋은 자물쇠만 파는 가게로 나뉘는 셈이에요.

5. 나라에서 어떻게 규제하나요?

기관 돈과 일반인 돈이 함께 몰려들면서, 커스터디는 규제의 핵심 대상이 됐어요. 전문 커스터디 사업자는 보통 다음과 같은 요건을 따라야 해요.

먼저 고객확인·자금세탁방지예요. 고객확인제도(고객이 진짜 누구인지 확인하는 절차)와 자금세탁방지(범죄 자금 세탁을 막는 절차)를 통해 고객 신원을 검증하고 수상한 거래를 감시해요.

다음은 자산 분리 보관이에요. 고객 자산을 사업자 본인의 자산과 섞지 않고 따로 떼어 보관해서, 사업자가 부실해지거나 망하더라도 고객 자산은 보호되게 하는 거예요.

마지막으로 적격 수탁자 요건이 있어요. 지역에 따라 일정 자격을 갖춘 사업자만 기관 자산을 보관할 수 있게 제한하는 '적격 수탁자(qualified custodian)'라는 개념이 적용되기도 해요.

규제의 목적은 이용자를 보호하고 시장의 신뢰를 지키는 데 있어요. 각 나라는 사업 인가, 감독, 보험, 감사 의무 같은 것들을 이리저리 조합해서 사업자를 관리해요.

이렇게 보면 쉬워요 · 아무나 은행을 차릴 수 없듯, 자격을 갖춘 곳만 자산을 맡을 수 있게 문턱을 두는 거예요.

6. 왜 요즘 더 중요해졌어요?

기관 자금이 암호화폐 시장에 들어오면서 커스터디의 중요성은 더욱 커졌어요. 연기금, 자산운용사, 상장기업 같은 곳들은 스스로 개인키를 직접 관리하기가 어려워서, 규제를 지키는 전문 수탁 시설이 반드시 필요해요.

현물 ETF(실제 암호화폐를 담아 만든 상장 투자 상품) 상품은 운용사가 진짜 암호화폐를 들고 있어야 하기 때문에, 믿을 수 있는 커스터디 기관이 꼭 필요해요. 또 실물자산 토큰화(부동산이나 채권 같은 실물을 디지털 토큰으로 바꾸는 것) 시장이 커지면서, 여러 종류의 자산을 안전하게 보관하려는 수요도 늘고 있어요. 여기에 탈중앙화 금융 참여, 스테이킹(자산을 맡겨 두고 보상을 받는 것), 담보 운용처럼 그냥 보관하는 데서 그치지 않고 자산을 굴리려는 요구까지 겹쳐요. 그래서 커스터디는 단순한 금고를 넘어, 자산을 운용하는 기반 시설로 역할을 넓혀 가고 있어요.

이렇게 보면 쉬워요 · 예전엔 그냥 맡아만 주던 창고가, 이제는 물건을 굴려 이자까지 내주는 곳으로 커진 셈이에요.

7. 우리나라 상황은 어때요?

한국에서는 특정금융정보법이 개정되어 시행되면서, 가상자산 사업자에게 고객확인제도와 자금세탁방지 의무가 부과됐어요. 이로써 자산 보관에 대한 제도적인 요건이 마련되기 시작했죠. 그 뒤로 은행권과 금융지주회사들이 디지털 자산 수탁 사업에 관심을 보이며, 기관과 법인의 자산을 안전하게 보관할 시설을 갖추려는 움직임이 이어지고 있어요.

다만 법인이 시장에 참여할 수 있는 범위나 실명계좌 발급 같은 세부 제도는 아직 단계적으로 정비되는 중이에요. 그래서 국내 커스터디 시장은 규제가 다듬어지는 것과 발맞춰 이제 막 형성되어 가는 단계라고 볼 수 있어요. 자기수탁(직접 보관)과 전문 기관 수탁을 어떻게 함께 쓸지에 대한 실무적인 논의도 계속 이어지고 있어요.

8. 과거에 어떤 사고가 있었나요?

과거 마운트곡스 사건은 자산 보관이 허술하면 어떤 일이 벌어지는지 보여 준 대표적인 사례예요. 엄청난 양의 비트코인이 사라지면서 이용자들이 큰 피해를 입었고, 이 일을 계기로 이후 커스터디 보안 표준이 강화됐어요.

이 사건은 몇 가지 교훈을 남겼어요. 첫째, 거래소에 자산을 맡긴다는 건 곧 그 사업자의 보안과 재무 건전성에 내 자산을 의지하는 일이라는 점이에요. 둘째, 콜드 스토리지 분리, 다중서명, 자산 분리 보관 같은 통제 장치가 없으면, 한 군데만 뚫려도(단일 실패 지점) 치명적인 손실로 이어진다는 점이에요. 이 사건 이후 업계에서는 '내 열쇠가 아니면 내 코인이 아니다'라는 인식과 함께, 전문적으로 갖춰진 수탁 시설의 필요성이 나란히 강조됐어요.

9. 앞으로 뭘 더 풀어야 하나요?

커스터디는 편의성과 통제권, 보안과 접근성 사이에서 균형을 끊임없이 맞춰야 하는 분야예요. 남은 과제는 다음과 같아요.

먼저 보안과 활용의 조화예요. 자산을 안전하게 잠가 두면서도, 동시에 스테이킹이나 탈중앙화 금융 참여처럼 체인 위에서 자산을 활용하도록 지원하는 방식이 필요해요.

다음은 규제 조화예요. 나라마다 다른 적격 수탁자 요건과 보고 의무를, 서로 어긋나지 않게 어떻게 모두 만족시킬지가 국제적인 숙제로 남아 있어요.

또 키 분실·상속 문제가 있어요. 개인키를 안전하게 복구하거나 다음 사람에게 물려주는 방법은, 자기수탁이든 제3자 수탁이든 양쪽 모두에서 아직 풀어야 할 문제예요.

마지막으로 투명성 입증이에요. 사업자가 실제로 고객 자산을 온전히 들고 있다는 사실을, 누구나 확인할 수 있는 방식으로 증명(준비금 증명 등)하라는 요구가 점점 커지고 있어요.

결국 커스터디의 발전은 기술적인 보안뿐 아니라, 제도적인 신뢰와 검증 가능성까지 함께 갖추는 방향으로 나아가고 있어요.