금감원, 가상자산 사업자에 ‘콜드월렛 관리’ 등 미흡사항 개선 권고

서울 여의도 금융감독원 본원 전경. ⓒ금융감독원

금융감독원이 ‘가상자산 이용자보호법’ 이행을 지원하기 위한 컨설팅 과정에서 이용자자산 분리보관과 콜드월렛 관리 등 일부 미흡사항을 파악해 개선을 권고했다.

17일 금융감독원에 따르면 올해 2월～4월 15개 사업자를 대상으로 가상자산법 이행 준비 실태 파악 및 지원을 위한 현장컨설팅을 실시한 결과 고유·고객 가상자산을 지갑 간 분리 없이 동일 지갑에 혼장 보관하는 등의 미흡사항을 파악했다.

이번 컨설팅은 법률상 사업자의 의무인 ▲이용자 자산 관리 ▲거래기록 유지 및 보고체계 ▲이상거래 감시의무를 중심으로 실시했다.

컨설팅 결과 이용자자산 분리 보관과 관련해 미흡 사례가 관측됐다. 일부 가상자산사업자는 고유·고객 가상자산을 원장(DB)에서는 분리해 관리하고 있으나 지갑은 분리하지 않은 채 동일 지갑에서 혼장 보관했다.

고유 가상자산과 고객 가상자산은 각각 관리·통제절차가 달리 적용돼야 하며 책임소재도 구분돼야 함에도 동일 지갑에 혼장 보관·관리해 권한이 없는 자에 의해 고객 가상자산이 임의 탈취될 가능성도 지적됐다.

이에 금감원은 관리·통제·책임이 구분되도록 원칙적으로 고유·고객 가상자산 간 지갑을 분리해 보관하되 고유 및 고객 가상자산에 대한 통제절차를 각각 구분해 적용·관리하고 주기적으로 점검 및 분리를 실시하도록 권고했다.

가상자산 이전을 위한 전자서명 수행 방식과 관련해서도 미흡 사례가 나왔다.일부 사업자는 콜드월렛에서 핫월렛으로 가상자산을 이전 시 온라인 환경에서 전자서명을 수행했다.

이는 저장매체의 명칭에도 불구하고 가상자산을 인터넷과 분리해 안전하게 보관하도록 정한 법률에 부합하지 않으며 전자서명을 온라인 환경에서 수행할 경우 해킹 등에 의한 개인키 유출 위험이 존재한다.

금감원은 가상자산법 준수, 개인키 탈취 위험 방지 등을 위해 전자서명 절차가 인터넷과 분리된 오프라인 환경에서 이뤄질 수 있도록 개선할 것을 자문했다.

이용자자산 분리 보관 관련 미흡 사례. ⓒ금융감독원

미흡 사례가 나오기는 했으나 가상자산사업자는 법 이행을 위한 조직·인력·시스템을 구축하면서 세부 내부통제절차를 마련하고 있다.

사업자는 예치금 관리, 준비금 적립, 입출금 차단 통지 절차 등을 보완중에 있으며 금감원이 현장컨설팅 과정에서 파악한 가상자산의 분리·보관, 콜드월렛 관리 등 내부통제절차 취약점에 대해서는 개선 중이다.

또한 이상거래 감시시스템 구축을 완료했거나 개발 중이고 관련 인력을 지속 충원 중이다.

향후 금감원은 법 시행 시점까지 사업자의 준비현황을 서면으로 지속 확인해 사업자의 미흡사항 보완을 유도하고, 사업자 실무에 적용 가능하도록 업계와 함께 가상자산 지갑 관리 등의 사례 위주로 실무해설서를 마련해 배포할 예정이다.

아울러 6월 중순부터 규제 시범적용(pilot test)을 통해 준비 상황을 최종 점검하고 미비점을 보완할 예정이며 불공정거래 조사 인프라와 사업자의 이상거래 감시체계에 대한 충분한 점검을 통해 안정화 하는 등 본격적인 법 시행에 만전을 기할 계획이다.