에테나, USDe 운영 SOC 2 Type II 감사 ‘예외 없음’ 주장

에테나가 USDe 운영과 관련한 SOC 2 Type II 감사에서 예외사항이 없었다고 밝혔다. 다만 감사기관과 감사 기간, 대상 시스템을 담은 공식 보고서는 공개적으로 확인되지 않았다.

크립토브리핑은 14일 에테나가 독립 감사기관의 장기간 검토를 거쳐 ‘예외 없음’ 의견을 받았다고 보도했다. 에테나가 밝힌 감사 대상은 USDe 운영과 관련한 보안·가용성 통제다.

SOC 2는 미국공인회계사회(AICPA)의 신뢰서비스 기준에 따라 서비스 조직의 통제를 평가하는 보고서다. 평가 항목에는 보안·가용성·처리 무결성·기밀성·개인정보 보호가 포함될 수 있으며, 적용 범위는 조직과 시스템의 특성에 따라 달라진다. AICPA는 신뢰서비스 기준의 적용 범위가 조직과 시스템의 특성에 따라 달라질 수 있다고 설명한다.

Type II는 특정 시점의 통제 설계를 확인하는 Type I과 다르다. 일정 기간 접근권한 관리, 변경 관리, 사고 대응, 모니터링 등 통제가 실제로 작동했는지를 검토한다.

따라서 ‘예외 없음’은 감사 범위에 포함된 통제에서 예외가 발견되지 않았다는 의미로 해석해야 한다. USDe의 담보 구조나 파생상품 헤지, 스마트계약 위험까지 모두 해소됐다는 뜻은 아니다.

이번 감사 주장은 스마트계약 코드보다 조직 운영 체계와 시스템 관리에 초점이 맞춰져 있다. 스마트계약 감사가 코드 취약점과 자금 흐름을 검토한다면, SOC 2 Type II는 기업 내부의 운영 절차와 통제 체계를 평가한다.

에테나의 공개 감사 목록에는 젤릭, 퀀트스탬프, 스피어비트, 파쇼브, 코드포레나, 카오스랩스 등이 수행한 스마트계약·경제적 위험 관련 검토가 올라와 있다. 그러나 현재 공개된 에테나 공식 감사 목록에는 이번 SOC 2 Type II 결과가 별도 보고서로 게재되지 않았다.

에테나는 공식 사이트에서 USDe의 준비자산에 대한 실시간 정보와 주간 준비금 증명, 월간 수탁기관 확인 절차를 제공한다고 설명한다. USDe가 중앙화 거래소와 온체인 서비스에 통합돼 있다고도 밝혔지만, 사이트에는 SOC 2 Type II 감사 보고서 자체가 연결돼 있지 않다. 에테나 공식 사이트

SOC 2 보고서는 시스템 범위와 통제 절차 등 민감한 운영 정보를 포함할 수 있어 고객이나 잠재적 파트너에게 비공개로 제공되기도 한다. 보고서가 공개되지 않았다는 사실만으로 감사가 이뤄지지 않았다고 단정할 수는 없다.

다만 에테나가 감사기관, 감사 기간, 적용된 신뢰서비스 기준과 예외사항의 범위를 공개해야 ‘예외 없음’이라는 주장을 독립적으로 검증할 수 있다. 현재 공개 검색에서는 이번 결과를 별도로 확인한 감사기관 발표가 확인되지 않았다.

이에 따라 이번 사안은 감사 완료가 독립적으로 확정된 사실이라기보다 에테나 측 주장을 전한 보도로 분류하는 것이 적절하다. 향후 공식 보고서나 감사기관의 발표를 통해 감사 범위와 적용 기간이 확인될지가 남은 확인 지점이다.