디지털자산 수탁 공시 비교해보니…분리보관 같아도 감사 범위는 달랐다
디지털자산 수탁업체의 고객 자산 보호는 이제 ‘분리보관을 한다’는 선언만으로 판단하기 어렵다. 2026년 10월 23일 기준 한국 법제는 이용자 예치금을 사업자 고유재산과 분리해 은행 등 공신력 있는 기관에 예치 또는 신탁하도록 하고, 이용자 가상자산은 사업자 자기자산과 분리해 동종·동량으로 보유하도록 규정한다. 여기에 일정 비율 이상을 콜드월렛에 두고 해킹·전산장애에 대비한 보험이나 준비금도 요구한다. 다만 실제 공시를 들여다보면, 같은 ‘분리보관’ 아래에서도 자산이 개별 주소에 나뉘어 있는지, 옴니버스 계정에 모여 있는지, 감사가 재무보고 통제까지 보는지, 아니면 서비스 조직 통제 확인에 그치는지에 따라 보호 수준은 크게 달라진다.
국내 제도는 최소선을 세웠지만, 비교의 출발점은 구조다
가상자산이용자보호법 제6조는 이용자 예치금을 은행 등 관리기관에 분리해 예치 또는 신탁하도록 하고, 사업자 신고 말소나 파산 시에는 관리기관이 이용자에게 우선 지급하도록 정하고 있다. 제7조는 이용자 가상자산을 사업자 자기자산과 분리해 보관하고, 위탁받은 자산과 같은 종류와 수량을 실질적으로 보유하도록 규정한다. 금융위원회는 2024년 7월 19일 법 시행에 맞춰 이용자 가상자산의 경제적 가치 기준 80% 이상을 콜드월렛에 보관하고, 콜드월렛 보관분을 제외한 자산에 대해서는 보험·공제·준비금·예치·신탁금의 총합을 5% 이상으로 맞추도록 안내했다.
이 제도는 이용자 자산을 사업자 자금과 섞지 못하게 하는 최소 안전판으로는 분명한 진전이다. 그러나 투자자나 거래 상대방이 실제 위험을 가리려면 한 단계 더 들어가야 한다. 콜드월렛 비율, 주소 단위 분리 여부, 수탁기관이 직접 키를 보유하는지, 재위탁이 있는지, 일일 대사 절차가 있는지, 파산 시 법적 귀속을 어떻게 설명하는지까지 확인해야 한다는 뜻이다.
같은 분리보관이라도 개별 주소형과 옴니버스형은 위험 설명이 다르다
미국 상장사 공시는 이 차이를 비교하기에 유용하다. 코인베이스는 2025년 사업보고서에서 고객 수탁자금을 제한된 현금성 자산으로 분리 계정에 보관하고, 고객에게 돌려줄 의무를 부채로 함께 인식한다고 밝혔다. 또 고객 자산을 고객 동의 없이 자사나 계열사의 대출 담보, 마진, 재담보 등에 사용하지 않는다고 적시했다. 고객 자산 보호를 재무제표와 연결된 부채 인식 구조로 설명한 셈이다.
박트의 2025년 사업보고서는 더 세부적이다. 이 회사는 파이어블록스 트러스트, 코인베이스 커스터디, 비트고를 수탁 파트너로 사용한다고 밝히면서, 전체 디지털자산 가운데 통상 2% 이하만 온·웜월렛에 두고 대부분은 콜드스토리지에 둔다고 설명했다. 특히 코인베이스 커스터디와 비트고에 보관한 자산은 100% 분리된 콜드스토리지에 있고, 고객 자산은 각 블록체인상의 고유 주소에 보관돼 다른 고객 자산이나 수탁기관 자기자산과 섞이지 않는다고 적었다. 일일 잔고 대사와 월별 경영진 검토, SOC 1 관련 절차에 따른 키 보관도 함께 공시했다.
반대편 사례도 있다. 갤럭시디지털은 2025년 연차보고서에서 프라임 브로커리지 고객의 디지털자산을 제3자 수탁기관의 옴니버스 계정에 보관한다고 설명했다. 회사는 고객 이익을 위한 구조라고 밝히면서도, 디지털자산 법제가 아직 새롭기 때문에 자사 파산 시 법원이 이 자산을 파산재단 재산으로 볼 가능성을 완전히 배제할 수 없고, 그 경우 고객이 일반 무담보채권자로 취급될 위험이 있다고 적시했다. 분리보관 문구가 있더라도 실제 법적 방어력은 계정 구조와 계약 문구에 따라 달라질 수 있다는 반례다.
외부감사는 중요하지만, 그것만으로 파산격리까지 증명하지는 않는다
외부감사도 범위를 구분해 봐야 한다. 박트는 2025년 말 기준 내부회계관리와 재무보고 내부통제가 효과적이었다고 공시했고, 독립 감사인인 그랜트 손턴의 감사도 받았다고 밝혔다. 이런 공시는 적어도 회사가 설명한 통제 절차와 재무보고 체계가 감사 대상이었다는 점을 보여준다. 다만 회계감사에서 말하는 내부통제는 재무보고의 신뢰성에 대한 ‘합리적 보증’을 목표로 한다. 미국 PCAOB 기준도 내부통제가 장래의 모든 오류나 부정을 막는 절대 보장이 아니며, 조건 변화에 따라 한계가 생길 수 있다고 본다.
SOC 1 역시 범위가 분명하다. AICPA는 SOC 1을 서비스 조직의 통제가 이용기업의 재무보고 내부통제와 관련될 때 이를 검증하는 보고라고 설명한다. 다시 말해 SOC 1이나 내부통제 감사가 있다는 사실은 중요한 신뢰 신호이지만, 그 자체로 고객 자산의 법적 소유권 분쟁, 파산격리, 보험 보상 한도, 해킹 이후 실손 회수 가능성까지 모두 보증하는 문서는 아니다. 같은 외부감사라는 표현 아래에서도 무엇을 대상으로, 어떤 기준으로, 어느 기간에 검증했는지가 빠지면 의미가 크게 줄어든다.
공시에서 먼저 봐야 할 항목
결국 수탁사의 실효성을 가르는 것은 네 가지다. 첫째, 예치금과 가상자산이 사업자 자산과 분리돼 있다는 법적 문구가 실제 계정 구조와 일치하는지다. 둘째, 고객 자산이 개별 주소 단위로 분리되는지, 아니면 수탁사 명의의 옴니버스 계정에 들어가는지다. 셋째, 일일 대사, 키 관리, 재위탁 제한, 온·웜월렛 한도 같은 운영 통제가 구체적으로 공개되는지다. 넷째, 외부감사가 재무보고 내부통제인지, 서비스 조직 통제인지, 또는 단순 재무제표 감사인지를 구분할 수 있는지다.
한국 제도는 2024년 7월 19일 시행 이후 이용자 예치금 신탁·예치와 가상자산 분리보관의 기본 틀을 세웠다. 다음 단계는 비교 가능성이다. 수탁사와 거래소, 그리고 이를 이용하는 상장사들이 고객 자산의 보관 구조와 감사 범위를 지금보다 더 세밀하게 공개하지 않으면, 독자는 ‘분리보관’과 ‘외부감사’라는 큰 단어만 보고 서로 다른 위험을 같은 것으로 받아들이기 쉽다. 공시의 실효성은 제도 문구보다, 그 문구를 어떤 구조와 절차로 구현했는지 드러내는 데서 갈린다.
자료: 국가법령정보센터, 가상자산 이용자 보호 등에 관한 법률 제6조·제7조(2026.10.2 시행); 금융위원회, 내일(7.19일)부터 ｢가상자산이용자보호법｣이 시행됩니다(2024.7.17); 금융위원회, ｢가상자산이용자보호법｣ 및 하위규정 관련 주요정책문답(2024); Coinbase Global, Inc., Annual Report on Form 10-K for the fiscal year ended December 31, 2025(2026); Bakkt Holdings, Inc., Annual Report on Form 10-K for the fiscal year ended December 31, 2025(2026); Galaxy Digital Inc., Annual Report for the year ended December 31, 2025(2026); Public Company Accounting Oversight Board, AS 2201 An Audit of Internal Control Over Financial Reporting That Is Integrated with An Audit of Financial Statements; AICPA, Reporting on an Examination of Controls at a Service Organization Relevant to User Entities’ Internal Control Over Financial Reporting (SOC 1 Guide)(2025)