러시아 중앙은행, 고객 개인키 접근 제외 요청 미반영

러시아 중앙은행(Bank of Russia)은 러시아은행협회(Ассоциация «Россия»)가 등록 가상자산 사업자의 정보 시스템에서 고객 개인키와 거래 서명 수단을 보안 당국의 접근 대상에서 제외해 달라고 한 요청을 반영하지 않았다.

중앙은행이 공개한 규정안 의견 종합표 43번 항목에는 협회가 수사활동 지원 시스템(SORM)을 통한 비밀키, 키의 비밀 분할값, 고객 거래 서명 수단 접근을 제외해 달라고 요청한 내용이 담겼다. 중앙은행은 요청을 ‘미반영’으로 처리하고 초안의 접근 방식이 보안 담당 연방기관과 합의됐다고 밝혔다.

협회는 같은 항목에서 사업자 시스템 변경 사항의 심사 기한과 보안 취약점을 긴급히 수정할 절차도 정해 달라고 요구했다. 중앙은행은 이 제안도 반영하지 않았다.

중앙은행 답변은 화물 운송주선업자와 호스팅 사업자, 인터넷 정보 유통사업자, 통신사업자 등에도 유사한 정보 접근 규정이 적용된다는 설명을 들었다. 이는 협회가 제기한 키 접근 제외 요구에 대한 중앙은행의 답변이다.

의견표에 명시된 것은 키와 서명 수단을 접근 대상에서 제외해 달라는 요청이 미반영됐다는 사실이다. 이 답변만으로 러시아 연방보안국(FSB)이 원시 개인키를 직접 읽거나 고객을 대신해 거래에 서명할 수 있다고 단정할 수는 없다. 실제 키 접근 범위와 기술적 권한은 의견표에 구체적으로 적히지 않았다.

규정안의 적용 대상은 브로커, 거래 주최자, 가상자산 교환업체, 디지털 예탁기관의 정보 시스템이다. 규정안이 러시아인의 모든 개인 지갑에 적용된다는 뜻은 아니다.

초안은 사업자가 가상자산 거래 정보와 서비스에 쓰는 정보 시스템의 자료를 보관하고 보안 담당 연방기관에 제공하는 절차와 장비 요건을 다룬다. 이번 논의는 이런 사업자 시스템에서 어떤 정보가 제공 대상이 되는지를 둘러싼 것이다.

규정안의 근거는 2026년 8월 4일 제정된 연방법 제282-FZ호 ‘디지털 통화 및 디지털 권리에 관한 법률’ 제40조다. 이 조항에 따라 중앙은행은 정보 저장과 제공 절차를 정하는 규정을 마련하고 있다.

제282-FZ호는 2026년 9월 1일 시행됐다. 이 법은 중개기관을 통한 가상자산 거래 체계를 도입했다.

중앙은행은 2026년 10월 6일 디지털 예탁기관 5곳과 가상자산 교환업체 4곳을 첫 등록 사업자로 공개했다. 디지털 예탁기관은 디지털 통화와 권리를 기록·이전하고, 해당 자산이 기록된 주소 식별자에 대한 접근을 제공할 수 있다.

개인이 디지털 계좌에서 본인 비수탁형 지갑으로 가상자산을 옮기는 행위는 제282-FZ호 제31조에 따른 별도 제한이다. 이는 사업자 시스템에서 보안 당국이 어떤 정보에 접근할 수 있는지를 다루는 이번 규정안과 구분된다.

러시아은행협회는 의견표 57번 항목에서 규정 시행을 2028년 1월 1일 이후로 미루자고 제안했다. 중앙은행은 이 요구도 반영하지 않고 초안의 시행 예정일을 2027년 3월 1일로 제시했다.

2027년 3월 1일은 초안에 제시된 시행 예정일이다. 개인키 관련 조항이 최종 규정에서 어떤 범위로 정리될지는 의견 종합표만으로 판단할 수 없다.