기관 암호화폐 수탁: 2026년 은행의 디지털 자산 안전 보관 방식

기관 암호화폐 수탁 서비스는 더 이상 암호화폐 전문 기업만의 전유물이 아닙니다. 자산 운용사, 기업, 펀드 및 기타 기관들이 기존 증권 수탁 서비스에서 기대하는 운영 통제, 거버넌스, 보고 및 법적 책임성을 암호화폐 수탁 서비스에서도 요구함에 따라, 대형 은행들도 디지털 자산 수탁 서비스를 제공하거나 구축하고, 관련 파트너십을 맺고 있습니다.

중요한 점은 "안전한 보관"이 은행이 비트코인이나 이더리움을 물리적인 금고에 보관한다는 의미가 아니라는 것입니다. 암호화 자산은 블록체인 상에 기록된 채로 유지됩니다. 수탁자가 보호하는 것은 거래 승인 권한, 즉 암호화 키, 서명 시스템, 접근 정책, 복구 절차, 그리고 자산 이동 권한을 결정하는 기록입니다.

은행이 암호화폐를 "보유"한다는 것은 실제로 무엇을 보유하는 것을 의미할까요?

일반적으로 은행 수탁기관은 암호화폐의 물리적 형태를 보유하지 않습니다. 암호화폐는 물리적 형태의 자산이 아니기 때문입니다. 미국 통화감독청(OCC)은 2020년 해석서한 1170호 에서 이러한 차이점을 다음과 같이 설명했습니다 . 디지털 자산은 블록체인 또는 분산 원장에 존재하며, 암호화 키를 통해 제어가 이루어집니다. 실질적으로 수탁이란 이러한 자산을 이동시킬 수 있는 키 또는 기타 서명 권한을 안전하게 보관하는 것을 의미합니다.

이러한 구분은 중요합니다. 왜냐하면 주요 손실 시나리오가 기존 금고 도난과는 다르기 때문입니다. 수탁자는 자격 증명 도난, 서명 장치 손상, 악의적인 내부자, 소프트웨어 취약점, 잘못된 거래 승인, 키 분실, 프로토콜 변경, 사이버 공격 및 운영 오류로부터 자산을 보호해야 합니다.

기관 차원에서 해야 할 일: 잠재적 수탁기관에게 정확히 어떤 부분을 관리하는지 설명해 달라고 요청하십시오. 완전한 개인 키를 보유하고 있는지, 분산 서명 방식을 사용하는지, 하위 수탁기관에 의존하는지, 아니면 여러 방식을 조합하는지 등을 명확히 해야 합니다. "은행 수준의 수탁"은 그 자체로 하나의 기술적 아키텍처가 아닙니다.

은행 수탁이란 은행이 암호화폐의 소유권을 갖는다는 의미인가요?

반드시 그런 것은 아닙니다. 수탁과 소유권은 별개의 개념입니다. 제대로 구성된 수탁 계약은 고객 자산이 은행의 거래 자산이 되는 것이 아니라 고객 소유로 유지되도록 설계되었습니다.

이러한 분리는 유럽 연합의 암호화폐 시장 규제(MiCA)에서 특히 명확하게 규정되어 있습니다. MiCA 에 따라 고객의 암호화폐 자산을 수탁하는 제공업체는 보유 현황 기록을 유지하고, 수탁 정책을 수립하며, 고객 자산과 자체 자산을 분리하고, 고객의 암호화폐 자산이 제공업체의 자산과 법적 및 운영적으로 분리되도록 조치를 취해야 합니다. 또한 MiCA는 고객에게 자산을 반환하거나 접근 수단을 제공하는 절차를 요구합니다.

바젤 위원회 역시 분리 수탁 활동과 은행이 단순히 암호화폐에 대한 방향성 포지션을 취하는 것을 구분합니다. 2026년 1월 1일 발효된 현행 암호화폐 기준에서는 고객 자산을 분리하여 관리하는 수탁 서비스는 일반적으로 암호화폐를 직접 소유하는 것과 같은 신용, 시장 또는 유동성 위험을 발생시키지는 않지만, 여전히 상당한 운영 위험을 수반한다고 명시하고 있습니다.

기관의 조치 사항: 상품 페이지뿐만 아니라 법적 수탁 계약서를 검토하십시오. 자산이 누구 명의로 등기되어 있는지, 고객 자산이 회사 자산과 분리되어 있는지, 파산 시 어떻게 되는지, 그리고 수탁자가 자산을 대출, 담보 제공, 재담보 설정 또는 기타 방식으로 사용할 수 있는지 여부를 확인하십시오.

개인 키 계층을 기관급 수준으로 만드는 요소는 무엇일까요?

모든 은행에서 사용하는 단일한 표준 설계 방식은 없습니다. 정확한 구현 방식은 의도적으로 공개되지 않는 경우가 많습니다. 하지만 강력한 기관 시스템은 일반적으로 직원 한 명, 노트북 한 대, 또는 유출된 계정 정보 하나로 고객 자산이 이동될 가능성을 차단하도록 설계되었습니다.

보안 조치에는 하드웨어 보안 모듈, 분산형 키 생성 또는 서명 시스템, 다중 사용자 승인, 관리자 및 거래 역할 분리, 엄격하게 통제된 서명 환경, 허용된 대상 주소 목록, 거래 한도, 네트워크 분할, 변조 방지 암호화 하드웨어 등이 포함될 수 있습니다. 일부 기관에서는 단일 사이트 장애로 인해 접근 권한이 손실되지 않도록 서명 권한을 여러 위치 또는 시스템에 분산시키기도 합니다.

은행이나 기술 제공업체가 암호화 모듈을 사용하는 경우, 공인된 보안 표준은 유용한 증거를 제공할 수 있습니다. 예를 들어, NIST FIPS 140-3은 인증, 물리적 보안, 중요 보안 매개변수 관리, 자체 테스트, 소프트웨어 보안 및 수명 주기 보증을 포함하는 암호화 모듈에 대한 요구 사항을 정의합니다. FIPS 인증만으로는 전체 수탁 플랫폼이 안전하다고 입증할 수는 없지만, 평가해야 할 중요한 통제 요소 중 하나입니다.

기관 차원에서 취해야 할 조치: 서명 스택의 어떤 부분이 독립적으로 검증되는지, 어떤 구성 요소가 키 자료에 접근할 수 있는지, 그리고 단일 관리자가 독립적인 승인 절차 없이 거래 정책을 변경하거나 키를 복구할 수 있는지 여부를 확인하십시오.

냉장 보관이면 충분할까요?

콜드 스토리지는 서명 키를 오프라인에 보관함으로써 원격 공격에 대한 노출을 줄이기 때문에 여전히 중요한 보안 수단입니다. OCC의 초기 암호화폐 수탁 지침에서는 콜드 월렛을 오프라인 저장소로 정의하고 인터넷에 연결된 핫 월렛과 대조했습니다. 하지만 "콜드"가 곧 "안전"을 의미하는 것은 아닙니다.

오프라인 키도 분실, 오용, 복제, 복구 중 노출 또는 권한 있는 내부자에 의한 사용 등의 위험이 존재합니다. 또한 기관은 출금, 스테이킹, 포크, 마이그레이션 및 기타 블록체인 관련 작업을 처리해야 합니다. 따라서 강력한 오프라인 보안과 운영 가용성 사이에는 상충 관계가 존재합니다.

따라서 많은 기관 투자 설계에서는 계층 구조를 활용합니다. 엄격한 제한이 있는 콜드 레이어를 통해 장기 보유 자산의 대부분을 보호하고, 소규모 운영 자금은 통제된 온라인 또는 준온라인 서명 환경을 사용합니다. 정확한 조합은 인출 빈도, 지원 자산, 서비스 수준, 위험 감수 성향에 따라 달라집니다.

기관 차원에서 취해야 할 조치: "콜드 스토리지를 사용하십니까?"라는 질문에 그치지 마십시오. 자산 중 몇 퍼센트를 온라인으로 관리할 수 있는지, 누가 자산을 계층 간에 이동할 수 있는지, 긴급 인출은 어떻게 처리되는지, 키가 백업 또는 복구 상태에서 실제 사용 상태로 전환될 때 어떤 통제가 적용되는지 등을 질문하십시오.

은행은 내부자 횡령과 잘못된 이체를 어떻게 줄일까요?

암호화폐 거래는 최종 결제 후 취소가 어렵거나 불가능할 수 있으므로, 사후 조치보다 예방이 훨씬 중요합니다. 따라서 기관 수탁 서비스는 직무 분리와 거래 관리 체계에 크게 의존합니다.

잘 설계된 프로세스는 여러 역할 담당자의 승인을 요구하고, 송금 대상을 사전 승인된 주소로 제한하고, 비정상적으로 큰 규모의 송금을 지연시키고, 거래 한도를 설정하고, 별도의 검증 절차를 요구하고, 고객의 일반적인 정책 범위를 벗어나는 활동에 플래그를 지정할 수 있습니다. 또한 내부 장부와 블록체인 기록을 대조하여 불일치를 신속하게 감지할 수 있도록 해야 합니다.

바젤 위원회는 인력, 시스템 및 프로세스 실패를 운영 위험으로 간주합니다. 2026년 암호화폐 프레임워크는 은행의 개인 암호화 키 분실을 운영 손실의 예로 명시적으로 제시하고 있으며, 암호화폐 관련 활동에 참여하는 은행들에게 기술, 사이버, 아웃소싱, 사기, 데이터 및 복원력 위험을 평가하도록 요구합니다.

기관 조치 사항: 고객 지시부터 블록체인 전송까지의 출금 과정 전반에 대한 설명 요청. 핵심 질문은 공격자가 하나의 계정이나 직원을 해킹했을 때, 그 해킹을 되돌릴 수 없는 이체로 전환할 수 있는지 여부입니다.

은행이 하위 수탁기관을 이용하면 어떤 일이 발생하나요?

은행 브랜드의 수탁 서비스라고 해서 모든 암호화 작업이 은행 소유의 인프라에서 수행되는 것은 아닙니다. 은행은 키 관리, 거래 실행, 블록체인 연결 또는 자산별 지원을 위해 전문 기술 제공업체나 하위 수탁기관을 이용할 수 있습니다.

미국에서는 통화감독청(OCC)이 2025년 5월에 이 점을 명확히 했습니다. 해석서한 1184호 는 국립은행과 연방저축협회가 적절한 제3자 위험 관리 체계를 갖춘다면 수탁 및 실행 서비스를 포함한 허용 가능한 암호화폐 자산 관련 활동을 외부에 위탁할 수 있음을 확인했습니다. 은행은 해당 활동을 안전하고 건전한 방식으로, 그리고 관련 법률을 준수하여 수행할 책임이 있습니다.

하위 수탁은 전문 역량을 향상시킬 수 있지만, 동시에 집중, 의존성, 서비스 중단, 계약 및 복구 위험을 야기하기도 합니다. 금융기관은 서명 인프라를 실제로 관리하는 주체가 누구인지, 그리고 손실 발생 시 누가 책임을 져야 하는지 정확히 파악해야 합니다.

기관 조치 사항: 완전한 의존성 지도를 확보하십시오. 출금에 필수적인 은행, 기술 제공업체, 하위 수탁기관, 거래소 또는 유동성 공급처, 블록체인 노드 제공업체, 재해 복구 사이트, 클라우드 또는 보안 서비스 등을 파악하십시오.

미국에서 은행 수탁을 더 쉽게 만든 규제 변화는 무엇입니까?

2025년 미국의 정책 환경은 크게 변화했습니다. 2025년 3월, 통화감독청(OCC)은 암호화폐 수탁이 국립은행과 연방저축협회의 허용 가능한 활동임을 재확인하고 기존의 감독기관 승인 요건을 폐지했습니다. 같은 달, 연방 예금보험공사(FDIC)는 사전 신고 요건을 철회하고 FDIC 감독 대상 기관은 관련 위험을 적절히 관리하는 한, FDIC의 사전 승인 없이도 허용 가능한 암호화폐 관련 활동에 참여할 수 있다고 밝혔습니다.

별도로, 2025년 1월 30일 발효된 SEC의 직원 회계 게시판 122호 (SAB 122)는 SAB 121의 암호화폐 보호 회계 지침을 폐지했습니다. 이 회계 변경은 일부 수탁 사업 모델을 복잡하게 만들었던 중요한 대차대조표 처리 방식을 제거한 것입니다. 하지만 이것만으로는 은행이 모든 암호화폐 자산을 수탁할 수 있도록 허용하거나 은행법, 증권법, 상품법, 제재법 또는 주법을 무시할 수 있도록 하는 것은 아닙니다.

기관 차원에서 취해야 할 조치: 법인 및 관할 지역 차원에서 규제 승인을 평가하십시오. 글로벌 은행은 특정 자회사 또는 국가를 통해서는 서비스를 제공할 수 있도록 승인받았지만, 다른 자회사 또는 국가에서는 승인받지 못할 수도 있습니다.

어떤 은행들이 이미 기관 암호화폐 수탁 서비스를 제공하고 있나요?

몇몇 주요 은행들은 단순히 연구 프로젝트를 발표하는 데 그치지 않고 실제 수탁 서비스를 제공하고 있음을 공개적으로 밝혔습니다.

BNY는 2022년 10월 미국에서 디지털 자산 수탁 플랫폼을 가동하여 초기에는 일부 고객에게 비트코인과 이더리움을 보유하고 전송할 수 있도록 했다고 발표했습니다. 이는 세계적으로 중요한 은행이 디지털 자산 수탁 운영을 계획 단계에서 실제 운영 단계로 전환했다는 점에서 역사적으로 중요한 의미를 지닙니다.

스탠다드차타드는 2024년 9월 아랍에미리트(UAE)에서 디지털 자산 수탁 서비스를 출시했으며 , 초기에는 비트코인과 이더리움을 지원하고 브레반 하워드 디지털(Brevan Howard Digital)을 첫 번째 고객으로 선정했습니다. 또한, 2025년 1월에는 MiCA 시행에 따라 EU 디지털 자산 수탁 서비스를 위한 룩셈부르크 법인 설립을 발표했습니다.

이러한 사례들은 기관 수탁이 주류 금융 인프라의 일부가 되어가고 있음을 보여주지만, 모든 은행이 동일한 자산, 관할권, 결제 속도, 스테이킹 기능 또는 지갑 기술을 지원한다는 증거로 해석해서는 안 됩니다.

기관 조치 사항: 온보딩 전에 은행에 직접 문의하여 현재 지원되는 자산 목록과 법인 유형을 확인하십시오. 상품 범위는 은행의 일반 마케팅 자료보다 빠르게 변경될 수 있습니다.

보험이 보안 통제를 대체할 수 있을까요?

아니요. 보험은 유용할 수 있지만 모든 암호화폐 손실을 보상해주는 것은 아닙니다. 보상 범위는 특정 지갑, 손실 원인, 내부 도난 시나리오 또는 보관 장소에만 적용될 수 있습니다. 보험에는 자기부담금, 제외 항목, 하위 한도 및 고객 간 공유되는 총 보상 한도가 포함될 수 있습니다.

기관 고객은 수탁기관 자체의 재무제표상 자원, 제3자 보험, 계약상 면책 조항, 그리고 법정 고객 보호 장치를 구분해야 합니다. 은행이 서비스 제공자라는 이유만으로 전통적인 예금 보험이 암호화폐 자산을 보장한다고 가정해서는 안 됩니다.

기관의 조치 사항: 보험 요약서와 관련 계약 조항을 요청하십시오. 최대 보상 금액과 본인이 보관할 것으로 예상되는 자산 가치를 비교하고, 명시적으로 보상 범위에서 제외되는 손실 사유를 확인하십시오.

금융기관은 은행 수탁기관을 선정하기 전에 무엇을 확인해야 할까요?

아직 불확실한 것은 무엇입니까?

법률 및 감독 방향은 몇 년 전보다 명확해졌지만, 기관 암호화폐 수탁은 아직 완전히 표준화되지 않았습니다. 은행은 모든 보안 아키텍처를 공개하지 않고, 관할 지역마다 파산 및 재산법 규정이 다르며, 블록체인 프로토콜은 계속해서 변화하고 있습니다. 스테이킹, 토큰화된 예금, 스테이블코인 결제, 토큰화된 증권과 같은 새로운 서비스는 단순한 "콜드 월렛" 모델에 깔끔하게 들어맞지 않는 위험을 내포하고 있습니다.

은행 수탁기관이 모든 암호화폐 전문 수탁기관보다 자동으로 더 안전하다고 주장할 근거는 없습니다. 은행은 성숙한 지배구조, 규정 준수, 감사 및 운영 위험 관리 체계를 갖추고 있는 반면, 암호화폐 전문 수탁기관은 특정 블록체인 기술에 대한 더 깊은 경험을 보유할 수 있습니다. 어떤 수탁기관을 선택하는 것이 더 나은지는 해당 기관의 자산 규모, 거래 빈도, 법적 요건, 손실 복구 필요성 및 제3자 집중 허용 범위에 따라 달라집니다.

기관 차원에서 취해야 할 조치: 수탁기관 선정은 브랜드 전략이 아닌 실사 과정으로 접근해야 합니다. 보안은 아키텍처, 거버넌스, 계약상 보호 장치, 운영 테스트, 규제 준수 여부 및 통제 시스템 증거를 통해 입증되어야 합니다.

결론적으로

은행들은 전통적인 수탁 원칙을 다른 기술 자산에 적용하여 암호화폐 수탁의 안전성을 높이고 있습니다. 여기에는 고객 자산 분리, 암호화 서명 시스템 강화, 이체 승인 권한 제한, 오프라인 또는 엄격하게 통제된 키 환경 사용, 제3자 모니터링, 블록체인 기록 대조, 복구 계획 수립 등이 포함됩니다. 규제 당국은 이러한 서비스를 점차 허용하고 있지만, 은행들이 다른 중요 금융 인프라에 적용하는 것과 동일한 수준의 심각성을 가지고 암호화폐 관련 기술 및 운영 위험을 관리할 것을 계속해서 요구하고 있습니다.

기관 고객에게 가장 유용한 질문은 "이 은행에서 암호화폐 수탁 서비스를 제공하나요?"가 아니라 "문제가 발생했을 때 내 자산은 정확히 어떻게 관리, 분리, 복구 및 보호되나요?"입니다. 은행 이름만 보는 것보다 이 질문에 대한 답변의 질이 수탁 안전성을 판단하는 더 나은 지표가 될 수 있습니다.