[Q&A] 가상자산 지갑 운영관리 모범사례 및 해설서 관련

디지털자산거래소 공동협의체(DAXA)는 지난달 시행된 '가상자산 이용자 보호 등에 관한 법률(이용자보호법)' 제7조에 따라 가상자산사업자(VASP)에게 부여된 가상자산 보관과 관련한 수범 의무를 지원하고자 '가상자산 지갑 운영관리 모범사례 및 해설서'를 마련했다. 주요 내용은 Q&A 형식으로 안내했다.

Q) 모든 가상자산사업자가 이번 모범사례를 적용해야 하는지?

A) 2024.7.19. '가상자산 이용자 보호 등에 관한 법률'이 시행되어 고객 가상자산 보관 관련 의무를 규율. 이에 가상자산 지갑 관리에 대한 세부 지침이 필요하고, 사업자별 내부통제 체계 등에 차이가 있으므로 가상자산 업계가 공통으로 적용할 수 있는 가상자산 지갑 관련 자율규제가 요구된다.

이에 따라 '24년 상반기부터 DAXA 및 국내 사업자는 가상자산 보관 실무에 활용 가능한 모범･미흡사례, 업무해설 등을 정리･마련했으며, 감독당국도 그간 적극적으로 지원하고 있다.

동 모범사례는 사업자의 가상자산 보관･관리 실태를 고려하여 필요한 최소한의 내부통제 기준을 제시한 자율규제로써, 개별 사업자가 내규, 시스템 등에 반영하여 시행할 예정이다.

Q) 가상자산사업자의 기존 가상자산 보관업무에 비해 크게 달라지는 부분은?

A) 국내 주요 사업자는 가상자산 해킹사고, ISMS 인증심사 등에 대비하여 내부통제 체계를 구축해왔으며, 모범사례의 상당 부분을 이미 반영하고 있다.

다만, 사업자의 가상자산 보관 업무절차 등의 경우 외부 정보유출로 인한 해킹 위협 등을 예방하기 위해 대외비로 분류되는 등 대내외 정보공유가 극히 제한된다.

금번 자율규제는 금융당국이 현장컨설팅('24.2~4월) 과정에서 사업자에게 제공한 주요 미흡사항*과 모범기준 등을 사례 중심으로 정리한 것으로, 사업자 간 모범사례 공유를 통해 업계의 가상자산 보관 관련 법령상 의무 이행을 위한 내부통제 역량 등을 제고할 것으로 기대되고 있다.

Q) 모범사례의 전문을 공개할 계획은 없는지?

A) 금번 발표한 가상자산 지갑관리 모범사례의 경우 주요내용에 한해 일부공개하고 있으며, 해킹 등의 위협에 악용되지 않도록 상세 내용은 공개하지 않을 방침이다.

Q) 상용 하드웨어월렛을 사용하는 경우 콜드월렛으로 인정되는 것이 아닌지?

A) '가상자산이용자보호법'에 따르면 가상자산사업자는 이용자 가상자산을 해킹, 악성코드 등 침해사고로부터 안전하게 보호하기 위해 경제적가치의 80% 이상을 인터넷과 분리하여 보관해야 한다. 이때, 콜드월렛은 오프라인 상태로 저장･유지할 뿐만 아니라 전자서명 등 콜드월렛 개인키 등의 정보를 사용할 때에도 보안에 유의하여 인터넷과 분리할 필요가 있다.

그러므로 가상자산 지갑의 물리적 형태와 무관하게 가상자산의 보관 및 전자서명 절차가 모두 인터넷과 분리되어 이루어지는 경우 콜드월렛으로 인정할 수 있을 것이다.

Q) 사업자의 제한된 인력 사정을 고려할 때 가상자산 지갑업무 수행 시 역할 분리가 현실적으로 가능한지?

A) 해킹 등 외부 위협뿐만 아니라 내부통제가 취약한 경우에도 가상자산의 탈취, 임직원의 권한 오남용 등 사고 발생할 가능성이 있음. 따라서 이용자 가상자산을 안전하게 보호하는 방법의 일환으로 콜드월렛 접근･이용･관리 등 업무 수행시, 역할과 책임을 분리하고 업무 담당자간 상호견제*가 이루어질 필요가 있다.

한편, 사업자의 인력 부담 등을 감안하여, 업무해설서를 통해 업무분장에 필요한 최소한의 인력(3명)을 기준으로 역할을 분리할 수 있는 사례 등을 제시하고 있다.