두바이 수탁업 원칙적 승인…최종 인가 남았다

Cregis Custody FZE가 두바이 가상자산규제청(Virtual Assets Regulatory Authority·VARA)의 원칙적 승인(In-Principle Approval·IPA)을 받았다. 정식 디지털자산 수탁 서비스를 시작하려면 남은 규제 요건을 이행하고 최종 승인을 받아야 한다.

TechFlow는 11일 오전 11시 12분(한국시간) Cregis Custody FZE가 IPA를 확보했다고 전했다. 이번 승인은 가상자산사업자(VASP) 라이선스 신청 과정의 중간 단계다.

IPA는 최종 영업 허가가 아니다. VARA 공개 등록부는 IPA 상태의 신청자가 정식 VASP 라이선스를 받기 전까지 가상자산 관련 영업을 시작하거나 고객에게 서비스를 제공할 수 없다고 명시하고 있다.

Cregis Custody FZE는 Cregis 브랜드 아래 독립적으로 운영되는 법인이다. 최종 승인을 받으면 규제 대상 디지털자산 수탁 서비스를 제공할 계획이다.

Cregis는 별도로 디지털자산 수취와 지급, 자금 운용 등을 지원하는 기업용 인프라 사업을 이어간다. 수탁 업무는 독립 법인이 담당하고 기존 기업용 서비스는 Cregis가 계속 제공하는 구조다.

Cregis는 2017년 설립됐다. 회사는 현재 50개 이상 국가와 지역에서 4000개가 넘는 기업 고객에게 서비스를 제공하고 있다고 밝혔다.

회사가 제시한 누적 거래 보호 규모는 3000억 달러(약 425조1000억원) 이상이다. 고객군에는 금융기관과 결제서비스사업자, 외환 브로커, 핀테크 기업, 웹3 기업 등이 포함된다.

수탁은 고객을 대신해 디지털자산의 개인키와 거래 권한을 관리하는 업무다. 기관과 기업을 대상으로 하는 수탁 서비스에는 통상 개인키 보관뿐 아니라 접근 권한 설정, 내부 승인 절차와 감사 기록 관리가 함께 요구된다.

Cregis는 자사 인프라가 다자간연산(MPC), 하드웨어보안모듈(HSM), 신뢰실행환경(TEE)을 지원한다고 설명했다. 접근 통제와 자금세탁방지(AML) 절차, 위험 기반 운영 모델도 지원 범위로 제시했다.

MPC는 개인키를 여러 조각으로 나눠 관리하고 참여자들이 공동으로 거래를 승인하는 방식이다. HSM은 암호키 생성과 보관, 서명 작업을 전용 보안 장치 안에서 처리하며 TEE는 격리된 실행 환경에서 민감한 연산을 수행하도록 설계된다.

다만 이런 기술 구조가 규제 인가를 대신하지는 않는다. 실제 서비스 범위와 고객 대상, 운영 조건은 최종 라이선스에 적힌 허가 내용에 따라 결정된다.

VARA는 2022년 3월 두바이 법률 제4호에 따라 설립된 가상자산 전담 규제기관이다. 두바이국제금융센터(DIFC)를 제외한 두바이 본토와 자유구역에서 가상자산사업자 라이선스와 시장 행위 규칙을 관리한다.

VARA의 IPA를 받은 다른 사업자도 정식 라이선스 전에는 영업할 수 없다는 점을 명시하고 있다. Shipfinex 역시 IPA가 최종 운영 라이선스가 아니며 가상자산 관련 영업 권한을 부여하지 않는다고 밝혔다.

한국 기업이 두바이 기반 수탁 서비스를 검토할 때도 IPA와 최종 라이선스를 구분할 필요가 있다. Cregis Custody FZE는 남은 규제 요건을 이행한 뒤 VARA의 최종 승인을 받아야 수탁 서비스를 시작할 수 있다.

검증 출처: TechFlow 원문, VARA 공개 등록부, Cregis 회사 소개, Cregis 기관 인프라 소개