인가받은 코인 금고를 왜 다시 묻나요
2026년 7월 8일, ESMA CASP 커스터디 DORA CSA가 시작됐습니다. ESMA가 EU 국가감독당국과 인가 CASP의 커스터디 서비스를 들여다보겠다고 밝힌 사건입니다. 이상한 건, MiCA로 이미 "인가받은 금고"가 된 사업자에게 다시 묻는 질문이 "사고 나면 고객 코인을 복구하고 설명할 수 있나"라는 점입니다. 자물쇠가 튼튼한지는 이제 절반의 답입니다. CCTV, 출입대장, 소방훈련 기록을 사고 뒤 바로 꺼낼 수 있느냐가 다음 비용 항목입니다.
감독 질문은 허가증에서 운영 증거로 옮겨갑니다
-
ESMA가 공개한 CSA 점검 축은 6개입니다. DLT 거버넌스, 키·스토리지, 거래통제, 사고 탐지·대응, 스마트컨트랙트 리스크, 외부 제공자 의존성입니다.
-
점검은 2026년 하반기부터 2027년 상반기까지 진행되고, 2027년 하반기 이후 최종 보고로 모입니다. 그래서 이 사건은 하루짜리 보도자료가 아니라, 감독당국과 CASP가 같은 체크리스트를 맞춰가는 관찰 창입니다.
-
DORA는 2025년 1월 17일부터 적용 중입니다. 인가 CASP와 자산준거토큰 발행자는 금융 엔티티 범위에 들어가고, MiCA의 커스터디 조항은 고객별 포지션 장부·자산 분리·반환 절차·귀책 손실 책임을 요구합니다. 새 법이 튀어나온 게 아니라, 이미 있는 의무가 커스터디 운영 현장으로 내려온 겁니다.
키와 로그와 사고보고는 따로 놀지 않습니다
-
커스터디는 키만 보관하는 일이 아닙니다. 키가 만들어지고, 누가 접근했고, 어떤 거래가 승인됐고, 고객 장부와 맞았는지가 한 줄로 이어져야 합니다.
-
DORA의 중대 ICT 사고 보고는 4시간/24시간/72시간/1개월 리듬으로 움직입니다. 그래서 로그, 연락망, 원인분석, 비용·손실 기록은 사고 난 뒤 쓰는 보고서가 아니라 평소 돌아가는 운영 워크플로가 됩니다.
-
이 패턴은 처음이 아닙니다. 물류 클레임과 의료청구/보험 심사에서도 최종 책임은 고객 조직과 담당자에게 남고, 공급자는 예외큐·감사로그·운영증적을 팔았습니다. 인코어가 추적하는 공통 패턴으로 보면 이번 CASP 커스터디도 "책임 잔류·증적 판매형"에 가깝습니다. 다만 공급자가 CASP의 최종 책임까지 가져가지는 않고, 감독·기관고객 실사에서 로그·장부·외부 제공자 register가 실제 계약 요구가 될 때만 반복 운영매출로 굳습니다.
CASP가 책임지고, 공급자는 증거를 팝니다
대표 사례를 하나만 보겠습니다.
회사명이 아니라 CASP custody operating evidence layer, 즉 커스터디 운영증거 층입니다.
이 층은 고객자산 보관에서 시작해 키 생애주기, 거래통제, 고객별 포지션 장부와 reconciliation, 외부 제공자 register, 사고보고 템플릿, 감사로그와 통제 테스트로 이어집니다.
고객에게는 보관 서비스처럼 보입니다. 감독 앞에서는 다릅니다. "누가 언제 무엇을 보고 판단했나"를 꺼내는 자료실이 됩니다.
돈을 내는 쪽은 인가 CASP, 커스터디·서브커스터디 사업자, 관련 금융 엔티티입니다. 이들이 사는 것은 책임 면제권이 아닙니다. 키관리 도구, 보안관제, 사고대응, DORA register, 계약관리, 감사·assurance, 보험·보증 운영처럼 증거를 계속 남기는 운영 서비스입니다.
솔직히 이 대목이 핵심인데, 공급자는 금고 주인이 되지 않습니다. 금고 주인이 밤마다 잠을 잘 수 있게 CCTV와 출입대장, 훈련 기록을 정리해주는 쪽입니다. 코인은 지갑에 있지만, 돈은 로그와 장부에서 나기 시작합니다.
인코어 관점: 토큰 가격보다 기록의 질을 봐야 합니다
봐야 할 쪽은 화려한 지갑 기술 하나보다, 키·로그·사고보고·외부 제공자 장부를 한 운영 흐름으로 묶는 CASP와 공급자입니다. 위험한 쪽은 인가 서류는 갖췄지만, 사고가 나면 로그·장부·계약 증적이 서로 다른 폴더에 흩어진 조직입니다.
앞으로 볼 것은 세 가지입니다.
- CSA 진행 중 NCA가 어떤 운영증거를 반복해서 요구하는지.
- 2027년 하반기 이후 ESMA final report가 어떤 약점을 공통 이슈로 묶는지.
- DORA 사고보고와 외부 제공자 register의 품질이 고객 실사에서 어떻게 쓰이는지.
토큰 가격은 매일 움직입니다. 하지만 커스터디 사업의 체질은 기록을 꺼내야 하는 날 드러납니다.