개인키 통제권으로 사업자 판단… 대형 운용사 관리 ‘허점’ [심층기획-제도권진입 앞둔 가상자산 구멍 여전]

<상> 모호한 가상자산 사업자 기준

가상자산 예치하고 운용 지갑사업자
고객 자산 안전하게 보관·관리 역할
개인이 암호키 보관해도 운용권 보유
위험성 감안할 때 금융당국 관리 시급

당국, 최근 가상자산 감독 규정 마련
미신고 사업자 선별부터 난관 부딪혀
궁여지책으로 닥사와 협의 제보 받아
현실 반영한 기준 재정비 목소리 높아

가상자산 투자자를 보호하는 가상자산이용자 보호법 시행이 5개월 앞으로 다가왔지만 정작 규제 대상인 가상자산사업자의 기준조차 미비한 수준이라는 지적이 나온다. 국내에서 발행한 가상자산 중 가장 규모가 큰 위메이드의 위믹스(WEMIX)와 카카오의 클레이튼(KLAY)은 자체 지갑서비스를 운영하고 있으나 가상자산사업자로 분류돼 있지 않아서다. 비트코인 시가총액이 1조달러를 넘는 등 올해 ‘크립토 붐’(가상자산 전성기)이 재현할 거라는 기대가 높지만 그만큼 투자자 보호에는 소홀해지는 것이 아니냐는 우려가 크다.

◆대표 블록체인 기업도 사업자 아냐

26일 가상자산 업계에 따르면 오는 7월19일 시행 예정인 가상자산이용자 보호법은 가상자산사업자를 대상으로 신고, 검사 조치를 강화해 투자자를 보호하는 게 골자다. 사업자는 가상자산거래소와 보관·관리업자, 지갑서비스 업자로 분류된다. 지난 19일 기준 37개가 이 같은 사업자로 등록됐다.

이 중 지갑사업자는 투자자의 가상자산을 예치하고 운용할 수 있는 서비스를 운영한다. 상장폐지 위험이 있는 거래소와 달리 고객의 가상자산을 안전하게 보관하는 기능을 한다.

이 같은 규정에도 규모가 큰 지갑서비스들이 정작 금융 당국의 관리 대상에서 벗어나 업계에선 뒷말이 무성하다. 대표적으로 위메이드가 운영하는 ‘플레이 월렛’은 국내 발행 코인 중 가장 큰 시가총액을 기록한 위믹스 계열의 가상자산을 보관하는 지갑이지만, 기술적인 이유로 서비스업자 등록을 피했다. 더구나 위메이드는 국내에서 가장 큰 규모의 블록체인 플랫폼을 구축하고 있는 사업자 중 하나로 꼽힌다. 가상자산 중계 사이트 코인마켓캡에 따르면 위믹스의 시총은 전날 기준 1조1073억원에 달한다.

위메이드가 운영하는 서비스가 기존 가상자산 거래소와 크게 다르지 않다는 지적도 나온다. 플레이 월렛을 비롯해 피닉스 거래소 등 위메이드가 운영하는 서비스는 55개 가상자산을 교환해 준다. 이 중에는 미국 달러 가격과 연동한 스테이블 코인인 ‘위믹스달러’도 포함돼 있으며, 위믹스달러로 교환하면 거래소를 통한 현금화와 비슷한 효과를 낸다. 다만 원화 거래가 안 되는 점이 차이로, 가상자산을 시중은행 계정과 연동된 국내 거래소로 옮겨 와 원화로 바꿔야 한다.

카카오도 마찬가지다. 카카오의 자회사 그라운드X는 이른바 ‘카카오 코인’이라 불리는 클레이튼을 중심으로 블록체인 서비스를 운영하고 있다. 클레이튼의 시총도 1조760억원으로 국내에서 위믹스 다음으로 규모가 크다. 아울러 카카오톡에 연동된 지갑인 ‘클립’에 가상자산을 보관하고 교환해 주는데도 지갑사업자로 등록돼 있지 않다. 클립은 클레이튼 외에도 이더리움과 폴리곤 등 주요 가상자산을 다루는 만큼 다른 지갑서비스와 크게 다르지 않다는 게 중론이다.

◆아리송한 금융 당국 기준

이들 업체는 가상자산사업자로 등록하려 했으나 금융 당국으로부터 대상이 아니라는 판단을 받았다는 입장이다.

위메이드 관계자는 “지갑 론칭(출시) 당시에는 기준이 미비했다”며 “위믹스 사업 신고를 했을 때 가상자산사업자로 등록하려 했으나 대상이 아니라는 판단을 받았고 신고가 수리되지 않다”고 설명했다.

그라운드X 관계자도 “클립은 개인키(통제권)를 암호화해 저장하기 때문에 (사측이) 가상자산 통제권을 갖고 있지 않다”며 “이 때문에 가상자산사업자 요건에 해당하지 않는다”고 설명했다.

금융위원회 금융정보분석원(FIU)의 ‘가상자산사업자 신고 매뉴얼’에 따르면 지갑사업자에서 제외되는 요건으로 ‘사업자가 개인 암호키 등을 보관·저장하는 프로그램만 제공할 뿐 독립적인 통제권을 가지지 않아 매수·매도·교환 등에 관여하지 않는 경우’가 적시돼 있다.

업계 전문가들은 이들 업체가 운영하는 지갑서비스의 구조가 투자자의 개인키를 서버에 저장하는 방식으로, 서버가 해킹되면 이용자의 자산이 사라질 수 있는 위험이 있는 만큼 금융 당국의 관리가 필요하다고 입을 모은다.

한 개발자는 “플레이 월렛은 사용자가 개인키를 백업할 수 없고 전부 서버에서 관리하는 것으로 보인다”며 “서비스에서 이용자의 코인 전송을 막을 수 있다”고 말했다.

사진=로이터연합뉴스

그러면서 “암호화한 키를 이용자가 가지고 있다고 하더라도 현 구조에서는 운용을 하는 사측에서 통제권을 가지고 있다고 보는 게 맞다”고 지적했다.

조재우 한성대 교수도 “개인키를 사용자가 관리하지 않고 서버가 관리하는 지갑이라면 가상자산사업자로 관리해야 하는 게 맞다”며 “안전을 위한 보안조치부터 규제 당국이 감독하기 위해서라도 사업자로 관리돼야 한다”고 지적했다.

업계에서 지적이 빗발치자 금융 당국은 급히 검토에 나섰다. 금융위원회 관계자는 “국제적인 기준으로 보면 개인키에 대한 통제권을 누가 가지고 있느냐로 판단하는 것이 맞지만, 서버에 보관하느냐, 개인이 통제권을 가지고 있느냐에 대한 실제적인 판단은 확인 절차가 필요해 다양한 사실관계를 살펴보고 있다”고 말했다.

FIU와 더불어 서울남부지검도 위메이드의 미신고 영업 의혹에 대한 조사를 진행하고 있는 것으로 알려졌다.

지난 21일(현지시간) 미국 뉴욕 타임스퀘어 나스닥 시장 전광판에 비트코인 가격이 떠 있는 모습. UPI연합뉴스

◆규제 마련했는데 대상 요건은 모호

금융 당국은 최근 가상자산이용자 보호법 시행령과 가상자산 감독 규정 등을 통해 가상자산사업자가 가상자산 80%를 ‘콜드월렛’에 보관토록 하고, 해킹이나 전산장애 등 책임을 위해 보험 또는 공제에 가입하게 하는 등의 규제안을 마련했다.

규제 대상인 가상자산사업자에 대한 기준이 미비한 만큼 금융 당국은 미신고 사업자를 가려내는 것 자체부터 난관에 부딪히고 있는 게 현실이다. 궁여지책으로 디지털자산거래소 공동협의체(DAXA·닥사)와 협의해 미신고 사업자에 대한 제보를 받고 있는 상태다.

전문가들은 블록체인 기술을 활용한 탈중앙화 거래소(DEX), 탈중앙화 지갑 등 비수탁형 가상자산 서비스에 대한 규제도 필요하다고 강조한다. 이들 가상자산 서비스는 개인키를 서버가 아닌 이용자가 관리하며 개인과 개인 거래의 플랫폼 역할을 한다는 특징이 있다. 해외에서는 이더리움 기반 지갑서비스인 메타마스크, 탈중앙화 거래소인 유니스왑 등이 대표적이며 국내에서는 빗썸의 부리또 월렛 등이 해당한다.

최진홍 법무법인YK 변호사는 지난달 국회에서 열린 ‘김치코인, 버거코인 투자자 보호를 위한 정책 토론회’에서 “비수탁형 지갑사업자는 이용자의 개인키를 관리하는 서비스를 제공하나 이를 이용해 이용자 직접거래(P2P) 방식으로 위장한 가상자산의 매매 또는 교환 서비스를 제공할 수 있고 이용자의 개인키를 탈취해 가상자산을 횡령하는 등의 범죄 발생도 가능하다”며 “가상자산이용자 보호법을 개정해 신고가 필요한 사업자와 불필요한 사업자를 구별하는 진입 규제를 마련할 필요가 있다”고 강조했다.

안승진 기자 [e-mail]