콜드월렛(오프라인 지갑)은 인터넷과 분리돼 가상자산 보안 방식 중 가장 안전하다고 여겨졌다. 그런데 지난달 말 비트코인 전용 하드웨어 지갑 ‘콜드카드(Coldcard)’에서 대규모 해킹 사건이 발생했다. 블룸버그통신에 따르면 콜드카드 약 5000개에서 비트코인 1755개, 우리 돈 약 1570억원이 유출됐다. 콜드카드 하드웨어의 문제는 아니었다. 일반적인 비트코인 지갑은 12~24개의 무작위 단어로 구성된 복구 문구(Seed Phrase)를 생성한다. 이 복구 문구는 지갑을 열 수 있는 핵심 열쇠다. 해킹 원인은 이 열쇠에 있었다. 2021년 3월 배포된 구형 모델용 펌웨어에서 결함이 발견됐고, 그 버그로 인해 복구 문구의 무작위성이 훼손됐다. 이에 해커들이 복구 문구를 복원해 비트코인을 탈취할 수 있게 된 것이다. 해킹 사건이 발생한 지 대략 사흘 만에 콜드카드 이용자들은 보유하던 코인을 거래소로 옮겼다. 기업이 콜드카드 같은 개인용 하드웨어 지갑을 쓰는 경우는 드물다. 그러나 이번 사고가 드러낸 것은 특정 지갑의 결함이 아니라 암호키를 생성하고 지키는 절차 전반의 취약성이다. 모바일 릴게임손오공하는법 보안업체 블록에이드에 따르면 올해 상반기 발생한 가상자산 손실의 대부분은 암호키 유출이나 관리 부실에서 비롯됐다. 기업이 가상자산을 보관할 때 쓰는 다중서명 지갑이나 수탁 서비스는 여러 주체가 암호키를 생성하는 방식이지만, 생성 절차에 결함이 있을 수 있다는 .에서 예외는 아니다. 기업과 개인의 차이는 사고가 발생한 이후에 뚜렷해진다. 가상자산 회계처리 감독 지침상 가상자산 보유 기업은 취득부터 처분에 이르는 전 과정에 내부통제 체계를 구축해야 하며 이는 외부감사의 대상이 된다. 가상자산 수탁 기관을 변경하는 일이 단순한 자산 이전으로 끝나지 않고, 내부통제 절차와 재무제표 주석 공시 등을 함께 손봐야 한다는 의미다. 더 근본적인 문제는 보유한 가상자산을 수탁할 곳이 마땅치 않다는 데 있다. 현행 특정금융정보법은 수탁업을 독립된 업종으로 규율하지 않는다. 매매와 교환, 보관을 개별 업무 단위로 인가하는 구조여서 거래소와 콜드월렛 사업자를 막론하고 누구나 수탁을 겸영할 수 있다. 지난달 23일 국회에서 열린 학술회의에서 법인과 기관투자자에게 독립 수탁기관 이용을 의무화하고 거래와 보관 기능을 분리해야 한다는 제언이 나온 배경이다 바다이야기 5만 . 이런 상황에서 기업이 우선으로 확인해야 할 것은 지배구조다. 자산을 수탁할 기관이 거래와 보관을 겸영하는지, 겸영한다면 고객 자산과 고유 자산이 장부와 지갑 단위에서 실제로 분리돼 있는지 확인해야 한다. 다음으로 .검할 것은 보안 체계다. 암호키가 여러 주체에 분산돼 단독으로 자산을 이동할 수 없는 구조인지 따져야 한다. 콜드카드 사건처럼 복구 문구 생성 단계의 결함은 뒤늦게 발견될 수 있는 만큼, 그 절차가 외부 검증을 거쳤고, 결과가 공개돼 있는지도 확인 대상이다. 마지막은 사고 발생 시의 대응 체계다. 보험에 가입돼 있는지, 보상 한도가 수탁 자산 규모를 감당할 수 있는지, 배상 책임의 주체와 범위가 계약서에 명시돼 있는지 살펴야 한다. 자산 이관에 소요되는 기간 역시 사전에 파악해 둬야 할 사항이다. 국내에서 법인의 가상자산 시장 참여는 머지않아 허용된다. 그 시.에 디지털자산을 보유한 상장사가 받게 될 질문은 보유 규모에 그치지 않을 것이다. 어디에, 어떤 방식으로 보관했으며, 안전성을 어떻게 입증할 수 있는지가 함께 요구될 것이다. 그리고 그 답은 선택하는 시。이 아니라 그 이전에 이미 마련돼 있어야 한다. 비스는 여러 주체가