“내 비트코인, 정말 꺼낼 수 있나?”…멕시벤처스(MEXC Ventures), 커스터디 리스크 분석

거래소에 기록된 비트코인(BTC) 잔고가 실제 인출 가능한 자산인지를 둘러싸고 ‘커스터디 리스크’가 부각됐다. 멕시벤처스(MEXC Ventures)는 리서치 보고서를 통해 나스닥 상장사 데이터볼트AI의 출금 지연과 하드웨어 월렛 제조사 키스톤의 인증키 유출을 분석했다. 두 사건은 암호화폐 보관의 신뢰를 잔액 표시나 기기 보유만으로 판단하기 어렵다는 점을 보여준다.

보고서에 따르면 데이터볼트AI는 미국 현지시간 2026년 10월 26일 증권거래위원회(SEC)에 제출한 공시에서 거래소 비코노미에 보관한 비트코인을 지난 6월부터 출금하지 못하고 있다고 밝혔다. 출발점은 2025년 9월 사이렉스 홀딩스와 체결한 1억5,000만 달러 규모의 투자 계약이다. 사이렉스는 데이터볼트AI 보통주 1,500만 주와 선납 워런트를 인수하고 대금을 비트코인(BTC)으로 지급하기로 했다.

문제의 핵심은 ‘오프체인 이체’였다. 사이렉스가 지급한 1,309.04 BTC는 블록체인 전송이 아닌 비코노미 내부 장부의 잔액 이동으로 계상됐다. 데이터볼트AI는 이 가운데 491.431 BTC를 약 4,050만 달러에 사이렉스에 되팔았으며, 이후 외부 계좌로 요청한 출금은 공시일까지 완료되지 않았다. 두 수량의 차이는 817.609 BTC지만, 공시는 실제 출금 요청 수량을 별도로 명시하지 않았다. 출금 지연 원인과 도난 여부도 확정되지 않았다.

출금 문제는 재무제표 정정으로 이어졌다. 데이터볼트AI는 해당 비트코인이 디지털자산 인식 요건을 충족하지 못한다고 판단해 사이렉스로부터 받을 ‘미수 청약금’으로 재분류하기로 했다. 자산이 아닌 자본 차감 항목으로 처리하면서 2025년 말 자산은 9,220만 달러, 2026년 6월 말 자산은 4,900만 달러 줄어들 것으로 잠정 추산했다. 회사는 계속기업 평가도 다시 진행할 방침이다. 보고서에 제시된 10월 27일 주가는 0.067달러로 전일 대비 49.55% 하락했다.

같은 시기 공개된 키스톤 사고는 다른 유형의 커스터디 리스크를 드러냈다. 키스톤은 10월 20일 웹사이트의 비정상 접근을 탐지했으며, 제3자 모니터링 도구의 취약점을 통해 기기 정품 인증에 사용하는 WebAuth 키가 탈취됐다고 설명했다. 제조 단계에서 기기에 기록되는 이 키는 사후 변경이 불가능하다. 공격자가 키를 활용하면 정품 검증을 통과하는 위조 기기를 만들 수 있다는 것이 보고서의 설명이다.

키스톤은 해당 인증키가 적용된 미판매 기기 1만8,835대를 폐기하고 출하를 중단하기로 했다. 구매자 이름과 연락처, 배송지 등 약 2만5,964건의 기록도 유출됐다. 다만 이용자의 복구 문구와 개인키는 침해되지 않았으며, 위조 기기가 실제 유통된 사례도 확인되지 않았다고 밝혔다. 회사는 10월 20일 이전 배송돼 정품 검증을 통과한 기기는 정상적으로 사용할 수 있고, 이후 수령한 기기는 고객지원을 통해 확인하도록 안내했다.

멕시벤처스(MEXC Ventures)는 두 사건에서 검증해야 할 대상을 구분했다. 데이터볼트AI 사례에서는 거래소 잔액의 인출 가능성과 자산 인식 요건이, 키스톤 사례에서는 기기의 정품 여부를 보증하는 인증 체계가 쟁점이다. 오프체인 이체만으로 비트코인이 존재하지 않았다고 단정할 수는 없다. 그러나 거래소 내부 장부에 표시된 잔액만으로 외부에서 자산의 존재와 통제 가능성을 충분히 확인하기도 어렵다.

보고서는 커스터디 리스크에 대응할 수단으로 준비금 증명, 이용자 보호 재원, 자산 접근 권한 통제를 제시했다. 준비금 증명을 살필 때는 보유 자산뿐 아니라 이용자 부채의 반영 범위, 검증 기관, 공개 주기까지 함께 확인해야 한다. 준비금 증명은 재무제표 감사와 다르며, 특정 시점의 검증 결과가 향후 출금 가능성을 보장하지 않는다. 보호 펀드 역시 규모와 함께 실제 지급 조건을 확인해야 의미를 판단할 수 있다.

멕시벤처스가 제시한 거래소 대응 사례에는 MEXC의 준비금 공개가 포함됐다. 보고서에 따르면 MEXC는 해큰의 검증을 거쳐 10월 16일 공개한 자료에서 비트코인(BTC) 294%, 테더(USDT) 122%, 유에스디코인(USDC) 115%, 이더리움(ETH) 111%의 준비금 비율을 제시했다. 9월에는 가디언 펀드에 1,000 BTC를 추가해 보호 재원을 2,000 BTC와 1억 USDT 이상으로 확대했다. 이러한 수치는 검증 범위와 산정 기준이 일관되게 유지되는지 함께 살펴야 한다.

인공지능(AI) 에이전트의 거래 참여는 커스터디 리스크의 범위를 접근 권한으로 넓힌다. 이용자를 대신해 주문하는 프로그램에서 자격증명이 노출되거나 과도한 권한이 부여되면 의도하지 않은 거래가 발생할 수 있기 때문이다. 보고서에 따르면 MEXC와 해큰은 10월 27일 공개한 ‘AI 트레이딩 안전 핸드북’에서 실행 한도, 승인 절차, 권한 통제와 사후 검토 등을 점검 항목으로 제시했다. 자산 보유 여부와 함께 누가 어떤 조건으로 자산을 움직일 수 있는지도 검증해야 한다는 취지다.

향후 확인할 사항은 데이터볼트AI의 출금 완료 여부, 비코노미의 지연 사유 설명, 사이렉스로부터의 미수 청약금 회수 가능성이다. 후속 확인 결과에 따라 잠정적인 자산 정정 규모와 계속기업 평가도 달라질 수 있다. 멕시벤처스(MEXC Ventures)는 이번 분석에서 비트코인 보유량뿐 아니라 보관 장소와 방식, 자산을 실제 통제할 수 있는지를 확인해야 한다고 강조했다. 거래소 커스터디 리스크와 자기 보관의 인증 위험을 평가하는 기준은 각기 다르지만, 공통된 과제는 증명 장치의 검증 가능성이다. 준비금 증명 역시 공개된 숫자의 범위와 한계를 확인하는 과정이 뒷받침돼야 한다.