업비트 콜드월렛 99.17%…거래소별 산정 기준은 달라

바이낸스 해킹 뒤 거래소들이 보관 비율을 공개하는 가운데, 업비트는 9월 말 기준 자산의 99.17%를 콜드월렛에 뒀다. 거래소마다 계산 대상과 기준일이 달라 비율만으로 보안 수준을 직접 비교하기는 어렵다.

업비트는 3일 9월 말 자산의 99.17%를 콜드월렛에, 0.83%를 핫월렛에 보관했다고 밝혔다. 해당 수치는 금융감독원에 제출한 자료에도 담겼다. 두나무 대변인은 고객 디지털 자산 가운데 핫월렛 보유량을 1% 미만으로 유지하는 것이 목표라고 말했다. 같은 시점 다른 원화 거래소의 비율은 빗썸 94.76%, 코인원 85%, 디지털엑스(옛 코빗) 82.79%, 고팍스 80.54%였다고 코인텔레그래프(Cointelegraph)는 전했다.

현행 규정은 가상자산사업자가 이용자 가상자산의 경제적 가치 중 80% 이상을 콜드월렛에 보관하도록 정한다. 공개된 국내 원화 거래소 다섯 곳의 비율은 모두 이 기준을 웃돈다.

콜드월렛은 인터넷과 분리해 자산을 보관하는 지갑이고, 핫월렛은 네트워크에 연결돼 입출금 처리에 쓰인다. 두 비율은 거래소가 자산을 온라인 환경에 얼마나 두는지 보여준다.

다만 보관 비중만으로 지갑 승인 절차나 개인키 관리, 운영자 권한 같은 보안 통제 전반을 판단할 수는 없다. 콜드월렛도 승인 체계가 취약하면 위험에 노출될 수 있다.

홍콩 증권선물위원회(SFC)는 2025년 8월 15일 공문에서 승인 장치 접근 통제와 거래 검증이 부실하면 핫월렛과 콜드월렛 모두 위험해질 수 있다고 경고했다. 서명자가 거래 내용을 확인하지 않고 승인하는 문제도 취약점으로 들었다. 공문은 지갑 종류와 별개로 운영·내부 통제가 중요하다고 설명했다.

코인베이스($COIN)는 4일 공식 블로그에서 고객 자산의 99% 넘게 오프라인 콜드월렛에 보관한다고 밝혔다. 바이낸스 사고로 자사 시스템이나 고객 자산이 영향을 받지 않았다고도 설명했다. 코인베이스의 자산 보호 설명은 입출금 수요에 따라 핫월렛 잔액을 조정하고 초과 자산을 콜드월렛으로 옮긴다고 밝혔다.

코인베이스는 자금 이동 통제로 분산 키, 출금 한도, 이상 거래 탐지, 서명을 멈출 수 있는 킬 스위치 등을 들었다. 콜드월렛에 자산을 보관하는 것과 거래를 승인·검증하는 절차를 함께 운영한다는 설명이다.

게이트(Gate)는 5일 공개한 보안 검증 체계(PoSEC)에서 4일 기준 전체 자산의 88.26%를 콜드 보관 자산, 11.74%를 핫월렛 자산으로 분류했다.

게이트는 콜드 보관 자산으로 고객 자산의 104.58%를 충당할 수 있다고 계산했으며, 이 자료는 외부 감사업체의 검증을 받고 있다고 밝혔다. 게이트는 PoSEC가 자산 보관 구조와 극단적 손실 시 충당 능력을 공개한다고 설명했다.

코인베이스는 고객 자산을 기준으로 콜드 보관 비율을 제시했지만, 게이트는 전체 자산에서 콜드·핫 자산이 차지하는 비중을 공개했다. 기준일도 달라 두 비율을 같은 기준의 순위처럼 비교할 수 없다. 게이트의 104.58%는 전체 자산 중 콜드 보관 비중이 아니라 고객 자산 대비 충당률이다.

TRM 랩스(TRM Labs)는 바이낸스 해킹으로 63억6000만달러(약 8조5000억원)가 유출됐으며, 대부분이 약 20분 사이 이동했다고 집계했다.

본지는 앞서 바이낸스가 피해 자산의 약 95%를 보충했다고 보도했다. 이는 탈취 자산의 회수율이 아니라 회사가 피해 자산을 다시 채운 비율이다. 피해 자산 보충 규모와 회수율의 차이는 평소 자산 보관 비율과 구분해야 한다.

금융위원회는 2일 금융감독원 등과 긴급 점검회의를 열어 국내 가상자산사업자의 보안 대응을 살폈다. 콜드월렛 비중 상향과 함께 입출고 상시 모니터링, 비정상 접근 시도 보고·공유, 준비금 추가 적립을 당부했다. 금융위원회 발표에는 지갑 출고 승인·서명 체계와 관리자 권한 관리도 점검 대상에 포함됐다.