[이코노미스트 김정훈 기자] 경찰청의 ‘압수 가상자산 보관·관리 사업’ 우선협상대상자로 국내 최대 가상자산 거래소 업비트를 운영하는 두나무가 선정됐다. 업계에서는 대규모 가상자산 관리 경험과 재무적 책임 능력, 24시간 대응 체계, 금융권 수준의 보안·내부통제 역량 등이 두나무 선정에 영향을 미친 것으로 보고 있다.

15일 조달청 나라장터에 따르면 경찰청이 지난달 발주한 ‘압수 가상자산 보관·관리 사업’에서 가상자산사업자 가운데 두나무가 우선협상대상자로 선정됐다.

경찰청이 압수 가상자산 위탁보관 사업자를 선정하기 위한 입찰을 진행하면서 국내 가상자산 커스터디(수탁) 시장에서는 ‘누가 국가 압수 자산을 맡을 자격을 갖췄는가’에 관심이 쏠렸다.

앞선 입찰은 부적격 탈락 등의 이유로 세 차례 유찰됐다. 이후 진행된 4차 입찰에서는 기업 규모에 따른 참여 제한을 없애는 대신 △사고 발생 시 손실액 100% 배상 △24시간 상시 대응 △금융권 수준의 보안·내부통제 등 강화된 조건을 제시했다.

업계에서는 국내 중소 커스터디 업체들이 이 같은 조건을 재무적·인적·운영 측면에서 안정적으로 이행할 수 있는지를 두고 의문도 제기됐다.

경찰청이 요구한 ‘손실액 100% 배상’은 사업자의 기술력뿐 아니라 재무적 책임 능력까지 전제로 한다. 보관 과정에서 해킹이나 전산 사고 등이 발생해 압수 가상자산이 유실될 경우 사업자가 손실 전액을 감당할 수 있어야 하기 때문이다.

국내 가상자산 수탁 시장이 최근 크게 위축된 점도 변수로 꼽힌다. 국내 수탁업체의 수탁고는 2024년 6월 13조8000억원에서 2025년 12월 3071억원으로 약 98% 감소했다. 국내 일부 수탁업체가 이른바 ‘국산 알트코인’을 중심으로 자산을 보관해온 가운데 위믹스(WEMIX) 상장폐지와 일부 알트코인의 가격 하락 등이 영향을 미친 것으로 알려졌다.

다만 수탁고는 고객이 맡긴 가상자산의 가치로, 개별 사업자의 자기자본이나 손해배상 능력을 직접 보여주는 지표는 아니다. 업계에서는 수탁 시장의 급격한 위축이 중소 커스터디 업체의 사업 기반과 수익성에 부담으로 작용했을 가능성이 있다는 분석이 나온다.

인력과 운영 체계도 주요 평가 요소다. 경찰청은 수사기관의 요청 등에 따라 가상자산을 신속하게 이동해야 하는 업무 특성을 고려해 24시간 상시 대응 체계를 요구했다.

이를 위해서는 24시간 교대 근무 인력뿐 아니라 보안·전산·준법감시 조직이 유기적으로 대응할 수 있는 운영 기반이 필요하다. 업계에서는 조직 규모가 작은 사업자의 경우 상시 대응 체계를 유지하면서 해킹과 전산 장애 등 각종 사고에 조직적으로 대처하는 데 부담이 클 수 있다는 지적이 나온다.

전문가들은 경찰청이 가상자산 커스터디를 단순한 자산 보관 서비스가 아닌 고도의 보안 인프라로 판단한 것으로 보고 있다. 커스터디 업체가 관리하는 핵심 대상은 코인 자체가 아니라 블록체인상 자산을 이동할 수 있는 개인키와 서명·출금 권한이다. 개인키가 외부에 유출되거나 내부 권한 통제가 제대로 이뤄지지 않으면 대규모 자산 손실로 이어질 수 있다.

미국 국립표준기술연구소(NIST)의 사이버보안 프레임워크는 보안 관리를 식별·보호·탐지·대응·복구 단계로 구분한다. 가상자산 커스터디 역시 개인키 관리와 권한 분리뿐 아니라 이상거래 탐지, 사고 대응, 자산 복구 체계까지 종합적인 보안 역량이 필요하다는 설명이다.

업계 관계자는 “경찰이 관리하는 압수 가상자산은 국가가 최종적으로 소유하는 자산만 있는 것이 아니라 범죄수익으로 몰수되거나 향후 피해자 또는 원소유자에게 돌려줘야 할 자산도 포함될 수 있다”며 “보관 과정에서 자산이 유실되면 피해 회복이 어려워지고 국가의 배상 책임으로 이어질 가능성도 있어 높은 수준의 관리 역량이 요구된다”고 말했다.

이 같은 사업자 선정 방식은 다른 공공 보안 사업에서도 찾아볼 수 있다. 국가 중요시설과 대규모 보안 사업은 가격뿐 아니라 검증된 운영 실적과 24시간 보안관제(SOC) 역량, 재난복구 체계 등을 주요 평가 요소로 삼는 경우가 많다.

국가 핵심 정보시스템 사업도 대규모 운영 경험과 품질·신뢰성 확보 능력이 중요하게 평가된다. 공공 소프트웨어 사업에서는 사업 난도와 공공성 등을 고려해 일정 요건 아래 대기업의 참여를 허용하고 있다. 해외에서도 법집행기관의 압수 가상자산을 관리할 사업자를 선정할 때 대규모 자산 관리 경험과 자본력, 보안 체계, 법집행기관과의 협업 역량 등을 종합적으로 평가하는 사례가 있다.

가상자산 업계 전문가는 “가상자산 커스터디는 다루는 자산의 규모와 위험성이 커지면서 단순 보관을 넘어 금융·보안 인프라의 성격이 강해지고 있다”며 “국가가 관리하는 압수 자산의 경우 사고 발생에 따른 사회적 책임도 큰 만큼 검증된 운영 경험과 보안·내부통제 역량을 우선할 필요가 있다”고 말했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지