Original Content
candidate_metadata: candidate_id: “JC26Q1A0892” title: “[특별기고] 한국 디지털자산기본법 시행을 앞두고: 가상자산사업자의 보안 인프라는 준비되어 있는가?” source_name: “데일리시큐” source_domain: “dailysecu.com” url: “https://dailysecu.com/news/articleView.html?idxno=206506” canonical_url: “https://dailysecu.com/news/articleView.html?idxno=206506” published: “2026-04-28T00:00:00+09:00” collected: “2026-08-28T04:36:31+00:00” query: “디지털자산기본법 스테이블코인” snippet: “[특별기고] 한국 디지털자산기본법 시행을 앞두고: 가상자산사업자의 보안 인프라는 준비되어 있는가? 데일리시큐” candidate_id: “JC26Q1A0892” title: “[특별기고] 한국 디지털자산기본법 시행을 앞두고: 가상자산사업자의 보안 인프라는 준비되어 있는가?” source_url: “https://dailysecu.com/news/articleView.html?idxno=206506” canonical_url: “https://dailysecu.com/news/articleView.html?idxno=206506” source_domain: “dailysecu.com” source_type: “article” author: “Not stated” published: “2026-04-28” collected: “2026-08-28” original_language: “korean” registered_by: “hermes” registered_at: “2026-08-28T04:36:31Z” collector_note: “스테이블코인의 국내외 법·규제·AML/FIU 통제, 발행 및 준비자산 구조, 결제·송금·정산 인프라, 은행·핀테크 상용화 사례와 사업 기회를 장기 추적한다. 가격·투자성 동향은 정책 또는 인프라 영향이 명확한 경우에만 포함한다.”
[특별기고] 한국 디지털자산기본법 시행을 앞두고: 가상자산사업자의 보안 인프라는 준비되어 있는가?
Preserved body
디지털 자산을 둘러싼 규제 환경이 빠르게 바뀌고 있다. 사후 대응 중심의 감독 방식에서 벗어나 포괄적인 규제 체계를 구축하려는 움직임이 아시아 전역에서 가속화되고 있으며, 한국은 그 흐름의 한가운데 서 있다.
디지털자산기본법은 그 전환을 상징하는 법안이다. 세부 시행 규정이 아직 완성되지 않았지만 방향성만큼은 분명하다. 자금세탁방지(AML)나 투자자 보호에 머물던 기존 규제를 넘어, 디지털 자산 사업자의 지배구조·위험 관리·운영 전반에 걸친 포괄적인 의무 부과로 나아가겠다는 것이다.
이는 비단 한국만의 이야기가 아니다. 홍콩·싱가포르·호주·EU는 이미 라이선스 제도를 도입하고, 고객 자산 보호 기준을 높이며, 서비스 제공자의 책임 소재를 명확히 하고 있다. 전 세계 규제 당국이 한목소리로 말하는 것은 결국 하나다. 디지털 자산도 전통 금융과 같은 수준의 투명성·자산 안전성·지배구조를 갖춰야 한다는 것. 국내에서 사업을 영위하는 가상자산사업자(VASP)들에게 이제 남은 질문은 ‘변화가 오느냐’가 아니라 ‘얼마나 준비됐느냐’다.
한국 가상자산사업자에게 무엇이 달라지는가?
한국 법령상 가상자산사업자(VASP)는 가상자산의 매도·교환·이전·보관·관리·중개를 업으로 하는 사업자를 뜻하며, 거래소·수탁 사업자·지갑 운영자가 모두 해당된다. 디지털자산기본법이 시행되면 이들은 크게 세 가지 측면에서 훨씬 강화된 의무를 이행해야 한다.
수탁 및 상환 능력 입증. 이용자 자산의 분리 보관을 실증하고, 동등한 자산을 보유하며, 해킹·운영 사고에 대비한 보험 또는 준비금을 확보해야 한다. 스테이블코인 등 특정 자산 유형에는 더 엄격한 준비금·상환 요건과 함께 지배구조·공시 의무도 추가로 요구될 전망이다.
감사 대응 내부통제 체계 구축. 법안은 미공개 중요 정보 이용, 시세 조종, 부정 거래를 명시적으로 금지하고 위반 시 손해배상 책임을 부과한다. 데이터 접근 기록과 감사 추적을 관리할 시스템이 없다면 분쟁 대응은 물론 규제 보고 의무 충족 자체가 어려워진다.
보안 감독 기준 상향 충족. 금융 당국은 내부통제·감사 로그·키 관리 관행에 대한 엄밀한 검증 쪽으로 방향을 잡아가고 있다. 사실상 VASP에게 요구되는 보안 인프라 수준이 전통 금융기관에 적용되던 기준으로 높아지는 것이다.
규제는 이유 없이 생기지 않는다…반복되는 사고의 기록
이 같은 규제의 필요성은 추상적인 논리가 아니다. 이미 현실로 기록된 사건들이 그 근거다.
2025년 2월, 두바이 소재 암호화폐 거래소에서 이더리움 기반 자산 약 15억 달러(한화 약 2조 원)가 탈취됐다. 역대 최대 규모의 암호화폐 해킹 사건으로 기록된 이 사고 전후로, 2024년에는 일본과 인도 거래소에서도 각각 약 3억 달러, 2억 3,000만 달러 규모의 대형 사고가 잇따랐다.
한국도 예외가 아니었다. 2025년 11월, 국내 주요 거래소 중 한 곳에서 솔라나 기반 자산 약 445억 원이 빠져나갔다. 전문가들이 오래전부터 지적해온 문제가 그대로 드러난 셈이다. 현행법에는 VASP 침해 사고 발생 시 제재나 보상 명령의 직접적인 법적 근거가 없다. 디지털자산기본법은 바로 이 공백을 메우기 위한 법안이다.
전체 그림은 더욱 심각하다. 체이널리시스(Chainalysis)에 따르면 2025년 상반기에만 발생한 글로벌 암호화폐 해킹 피해액은 약 21억 7,000만 달러로, 2024년 연간 피해액에 육박하는 수준을 불과 6개월 만에 기록했다. 공격의 빈도도, 규모도 모두 커지고 있다. 보안은 더 이상 VASP가 선택할 수 있는 영역이 아니다. 생존의 문제다.
문제의 핵심: 키(Key)와 데이터
보안 의무가 강화되는 가운데, VASP의 리스크 노출 수준을 가르는 근본적인 질문 두 가지가 있다.
개인키(Private Key)는 어디에, 어떻게 보관되고 있는가?
블록체인 시스템에서 개인키는 자산 소유권을 증명하는 최후의 수단이다. 이것이 침해되는 순간, 이용자 자산 보호 의무 전체가 무력화된다. 최근 잇따른 대형 사고에서 드러났듯, 적지 않은 사업자들이 여전히 소프트웨어 기반 키 관리 환경에 의존하고 있다. 이런 환경은 해킹·내부자 절취·메모리 공격에 구조적으로 취약하다. 더 큰 문제는 이 취약점이 사고 전에는 규제 당국에 입증하기도, 반증하기도 어렵다는 것이다. 눈에 보일 때는 이미 늦다.
고객 데이터에 대한 접근은 통제되고 기록되고 있는가?
VASP는 가상자산만 다루는 곳이 아니다. 고객확인(KYC) 과정에서 신분증·금융 거래 내역·지갑 주소 등 민감한 개인정보가 대량으로 쌓인다. 이 데이터에 대한 접근을 실시간으로 기록하고 이상 징후를 즉시 포착하는 시스템이 없다면, 미공개 중요 정보 이용 금지 의무를 기술적으로 준수하고 있다는 것을 입증하기 어렵다. 책임을 ‘주장’이 아닌 ‘증거’로 보여줘야 하는 규제 환경에서, 감사 추적의 부재는 그 자체로 법적 리스크다.
지금 당장 시작해야 하는 이유
법안의 최종 통과 시점과 무관하게, 준비는 지금 시작해야 한다. 법이 시행되는 순간 VASP는 사업 분류 확인, 인허가·등록 요건 충족, 내부통제 시스템 작동 여부 입증을 동시에 해내야 한다. 하드웨어 조달부터 아키텍처 설계, 시스템 통합, 임직원 교육까지 감안하면 준비에 필요한 시간은 몇 주가 아니라 수개월이다. 법안 확정을 기다렸다가 시작하는 건 전략이 아니다.
앞서 짚은 두 가지 핵심 취약점을 해결하려면 임시방편이 아닌, 처음부터 이 목적을 위해 설계된 전용 인프라가 필요하다.
개인키 수탁에 대한 해답은 **HSM(하드웨어 보안 모듈, Hardware Security Module)**이다. HSM은 인증된 하드웨어 경계 안에서만 키를 생성하고 보관한다. 대표적인 HSM 제품들은 규제 금융 환경에서 사용되는 암호화 모듈의 국제 표준인 FIPS 140-3 Level 3 인증을 취득하고 있으며, 물리적 변조 시도가 감지되면 저장된 모든 키를 자동으로 파기한다. 키는 장치 외부로 절대 노출되지 않는다. 이 방식은 주요 규제 당국이 참조하는 국제 표준과도 부합한다.
고객 데이터 보호와 감사 추적 가능성 확보를 위해서는 저장 단계에서 민감 데이터를 암호화하고, 역할 기반 접근 제어를 적용하며, 모든 접근 이벤트를 실시간으로 기록하는 플랫폼이 필요하다. CipherTrust Data Security Platform은 이 요건을 직접적으로 충족한다. 민감한 고객 데이터를 암호화·토큰화하고, 역할 기반 접근 제어를 적용하며, 모든 접근 이벤트에 대한 완전한 실시간 감사 로그를 유지한다. 책임이 증거로 요구되는 규제 환경에서 이 감사 추적은 선택 사항이 아니다. 그 자체가 컴플라이언스의 기록이다.
이 접근법은 이미 실무에서 검증됐다. 아시아에서 가장 엄격한 디지털 자산 라이선스 환경 중 하나인 홍콩에서, 증권선물위원회(SFC) 인가를 받은 VASP 12개사 중 10개사가 Thales HSM을 채택해 거래 인프라를 보호하고 규제 요건을 충족했다. 한국 VASP들이 앞으로 마주하게 될 상황과 직결되는 선례다.
[글. Wayne Hui, 탈레스 AVP]