1,309 BTC 출금 불가 사태, 암호자산 커스터디의 구조적 위험을 드러내다

멕시벤처스(MEXC Ventures)

2026.10.29 22:19:13

핵심 요약

-나스닥 상장사 데이터볼트AI는 10월 27일 거래소 비코노미에 보관한 비트코인을 6월부터 출금하지 못하고 있다고 공시했다. 주가는 당일 49.55% 하락했다.
-해당 1,309.04 BTC는 2025년 9월 사이렉스(Scilex)의 1억 5,000만 달러 투자 대금으로, 블록체인 전송이 아닌 거래소 내부 장부 이체(오프체인)로 계상됐다. 회사는 이를 디지털자산이 아닌 미수 청약금으로 재분류해 2025년 말 총자산 9,220만 달러를 정정할 예정이다(예비 추정치).
-같은 주 하드웨어 월렛 제조사 키스톤(Keystone)은 정품 인증키 탈취로 미판매 기기 18,835대를 폐기하기로 했다. 복구 문구와 개인키는 유출되지 않았으며, 데이터볼트의 출금 문제와는 위험의 성격이 다르다.
-거래소는 준비금·부채의 검증 가능한 정보, 보호 재원의 규모와 지급 조건, AI 에이전트의 접근 권한 통제를 강화할 필요가 있다. 준비금 증명은 재무제표 감사와 다르며 출금 가능성을 보장하지 않는다.

2026년 10월 마지막 주, 암호자산 보관을 둘러싼 두 가지 사고가 연달아 공개됐다. 상장사가 거래소에 맡긴 비트코인을 넉 달째 찾지 못하고 있다는 공시와, 하드웨어 월렛의 정품을 증명하는 열쇠가 외부로 유출됐다는 고지다. 본 리포트는 두 사건의 구조를 짚고, 거래소 커스터디 리스크가 어디서 발생하는지, 거래소가 이 리스크에 어떻게 답하고 있는지를 살펴본다.

1. 1,309 BTC는 거래소 내부 장부로 계상됐다

데이터볼트AI는 오리건에 본사를 둔 나스닥 상장 데이터·AI 기업으로, 비트코인 트레저리 전략을 병행해 왔다. 미국 현지시간 10월 26일 SEC에 제출한 8-K에 따르면 사태의 출발점은 2025년 9월 사이렉스 홀딩스와 맺은 계약이다. 사이렉스는 데이터볼트 보통주 1,500만 주와 2억 6,390만 주 규모의 선납 워런트를 1억 5,000만 달러에 인수하기로 했고, 대금은 비트코인으로 지급됐다.

핵심은 지급 방식이다. 사이렉스는 1,309.04 BTC를 데이터볼트의 비코노미 거래소 계정에 입금했는데, 이 입금은 비트코인 블록체인상의 전송이 아니라 거래소 내부 장부에서 잔고를 옮기는 오프체인 이체였다. 데이터볼트는 이 가운데 491.431 BTC를 약 4,050만 달러에 사이렉스에 되팔았고, 2026년 6월 외부 계좌로 출금을 요청했다. 앞선 두 수량의 단순 차이는 817.609 BTC이지만, 공시는 출금 요청 수량을 별도로 명시하지 않았다. 공시일 기준 이 출금은 완료되지 않았다. 공시는 출금이 막힌 이유를 설명하지 않았고, 비코노미는 코인데스크의 질의에 답하지 않았다.

회계 처리도 바뀐다. 데이터볼트는 해당 비트코인이 디지털자산 인식 요건을 충족하지 못한다고 보고, 사이렉스가 지급해야 할 '미수 청약금(subscription receivable)'으로 재분류하기로 했다. 미수 청약금은 자산이 아니라 자본의 차감 항목으로, 2025년 12월 말 기준 자산 9,220만 달러, 2026년 6월 말 기준 4,900만 달러가 줄어들 전망이다. 회사는 계속기업(going concern) 평가도 다시 하겠다고 밝혔고, 수치는 잠정치라고 덧붙였다. 10월 27일 DVLT 주가는 전일 0.133달러에서 0.067달러로 49.55% 하락했다.

2. 같은 주, 하드웨어 월렛의 '정품 증명'도 뚫렸다

키스톤은 10월 20일 웹사이트에 대한 비정상 접근을 탐지했다. 조사 결과 공격자는 웹사이트에 설치된 제3자 모니터링 도구의 취약점을 통해 권한을 확보했고, 기기 정품 인증(Device Check)에 쓰이는 WebAuth 키를 탈취했다. 이 키는 제조 단계에서 각 기기에 기록되며 사후에 지우거나 바꿀 수 없다. 키를 가진 공격자는 키스톤의 정품 검증을 통과하는 위조 기기를 만들 수 있다.

키스톤은 해당 키가 적용된 미판매 재고 18,835대를 폐기하고 출하를 중단했다. 10월 20일 이전에 배송돼 정품 검증을 통과한 기기는 정상 사용이 가능하며, 이후 수령한 기기는 고객지원을 통해 확인하라고 안내했다. 쇼피파이 스토어의 구매자 기록 약 25,964건(이름·연락처·배송지)도 함께 유출됐다. 이용자의 복구 구문이나 개인키는 침해되지 않았고, 위조 기기가 실제로 유통된 사례도 확인되지 않았다. 회사는 모니터링 도구의 공급사와 최초 침입 시점, 키의 보관 위치는 공개하지 않았다.

3. 잔액의 인출 가능성과 기기의 정품 여부는 별개의 검증 과제다

두 사건에서 확인해야 할 대상은 다르다. 데이터볼트는 계좌에 계상된 잔액의 인출 가능성과 디지털자산 인식 요건이, 키스톤은 기기의 정품 여부를 확인하는 인증키가 문제였다. 데이터볼트 공시는 출금 지연 원인이나 도난 여부를 확정하지 않았고, 키스톤은 복구 문구와 개인키는 사고에 포함되지 않았다고 밝혔다.

데이터볼트 계좌로의 입금은 온체인 전송이 아닌 거래소 내부 장부 이체로 이뤄졌다. 이것만으로 해당 비트코인이 블록체인에 존재하지 않았다고 단정할 수는 없다. 오프체인 이체는 거래소 내부에서는 완결된 거래지만, 거래소 밖에서는 '거래소가 그렇게 기록했다'는 사실 이상을 증명하지 못한다. 상장사가 그 잔고를 유동성으로 계산하고 재무제표에 자산으로 올렸다는 것은, 거래소의 장부를 곧 자산의 증거로 받아들였다는 뜻이다. 출금이 막히는 순간 그 전제는 무너졌고, 회계 정정과 계속기업 재평가로 이어졌다.

키스톤 사례는 자기 보관에서도 기기를 구입하고 정품을 확인하는 과정이 제조사의 인증 체계를 신뢰하는 구조 위에 있다는 점을 보여준다. 회사는 유출된 키의 보관 위치를 공개하지 않았다.

이용자 입장에서 확인할 수 있는 지점은 세 가지로 정리된다. 첫째, 잔고가 온체인에서 확인되는지 혹은 거래소 장부에만 존재하는지. 둘째, 거래소가 이용자 부채 대비 보유 자산을 독립적인 검증을 거쳐 정기 공개하는지. 셋째, 출금이 실제로 작동하는지를 사고가 나기 전에 확인했는지다. 준비금 증명은 특정 시점의 자산·부채 비율을 보여주는 것이지 출금을 보장하는 장치는 아니다. 다만 정기적으로, 검증 범위와 한계를 명시한 제3자 검증을 거쳐, 같은 기준으로 공개되는 숫자는 '장부만 있는 잔고'와 '뒷받침되는 잔고'를 구분하는 최소한의 근거가 된다.

4. 거래소의 답은 설명이 아니라 숫자다

거래소가 이 리스크에 답하는 방식은 크게 세 가지로 수렴한다. 이용자 부채 대비 보유 자산을 검증 범위와 한계를 명시해 공개하는 준비금 증명(Proof of Reserves), 사고 시 보상 재원을 수치로 공개하는 이용자 보호 펀드, 그리고 자산에 접근하는 권한 자체를 통제하는 장치다.

준비금 증명은 2022년 FTX 사태 이후 주요 거래소의 관행으로 자리 잡았지만, 공개 주기와 감사 기관, 대상 자산은 거래소마다 다르다. 예를 들어 MEXC는 10월 16일 해큰(Hacken) 감사를 거친 10월 보고서에서 BTC 294%, USDT 122%, USDC 115%, ETH 111%의 준비금 비율을 공개했고, 9월에는 이용자 보호 재원인 가디언 펀드에 1,000 BTC를 추가해 2,000 BTC와 1억 USDT 이상으로 늘렸다. 월 단위로 같은 감사기관이 같은 기준으로 검증할 때 이런 숫자는 특정 시점의 스냅샷이 아니라 추세로 읽을 수 있다.

세 번째 영역은 아직 형성 중이다. AI 에이전트가 이용자를 대신해 주문을 내는 환경에서는 자격증명 노출, 과도한 권한, 의도하지 않은 실행이 새로운 커스터디 리스크가 된다. MEXC와 해큰이 10월 27일 공개한 'AI 트레이딩 안전 핸드북'은 이용자에게 질문·검증·한도·통제·검토의 점검 항목을, 플랫폼에 보호·한도·승인·통제·테스트의 원칙을 제시했다. 커스터디 리스크의 범위가 '자산이 있는가'에서 '누가, 어떤 권한으로, 그 자산을 움직일 수 있는가'로 넓어지고 있다는 뜻이다.

5. 시사점: '거래소 잔고'가 자산으로 인정받는 조건이 바뀐다

데이터볼트 사태의 직접적 교훈은 기업 회계에 있다. 거래소에 보관된 암호자산을 재무제표에 올리려면 그 잔고가 통제 가능하다는 사실을 증명해야 하며, 오프체인 입금과 출금 불능은 그 증명을 무효로 만든다. 비트코인 트레저리 전략을 채택한 상장사가 늘어나는 가운데, 감사인과 투자자는 '얼마를 보유했는가'만큼 '어디에, 어떤 형태로 보유했는가'를 묻게 될 것이다.

거래소 입장에서 이 사태는 투명성이 마케팅이 아니라 생존 조건임을 다시 확인시킨다. 비코노미가 출금 지연의 이유를 설명하지 않는 동안 데이터볼트의 시가총액은 절반이 사라졌다. 이용자가 거래소를 고를 때 보는 기준은 상장 종목 수와 수수료에서 '검증된 숫자를 얼마나 자주, 누구의 감사로 공개하는가'로 옮겨가고 있다.

키스톤 사례는 자기 보관 역시 공급망 신뢰 위에 서 있다는 점을 보여준다. 거래소 보관과 자기 보관 중 어느 쪽이 안전한가라는 오래된 질문보다, 각 방식이 어떤 증명 장치에 의존하고 그 장치가 외부에서 검증되는지를 묻는 편이 정확하다.

6. 향후 전망

첫 번째 확인 지점은 데이터볼트와 비코노미의 후속 공시다.

817.64 BTC의 출금이 완료되는지, 비코노미가 지연 사유를 설명하는지, 사이렉스로부터 미수 청약금을 회수할 수 있는지에 따라 정정 규모와 계속기업 평가 결과가 달라진다. 잠정치로 제시된 9,220만 달러와 4,900만 달러도 추가 오류 발견 시 바뀔 수 있다.

두 번째는 준비금 증명의 표준화다.

지금은 거래소마다 공개 주기와 감사 기관, 대상 자산이 다르다. 데이터볼트 사태처럼 거래소 장부가 기업 재무제표에 직접 연결되는 사례가 늘수록, 회계 기준과 규제 당국이 준비금 증명의 형식을 요구하는 방향으로 움직일 가능성이 있다. 거래소의 커스터디 신뢰는 사고가 없다는 사실로 증명되는 것이 아니라, 사고가 나기 전에 공개한 숫자가 사고 이후에도 맞는지로 증명된다.

면책 조항(Disclaimer): 본 콘텐츠는 투자, 세무, 법률, 금융, 회계 관련 조언을 제공하는 것이 아닙니다. MEXC Ventures는 정보 제공 목적으로 본 글을 작성하였으며, 투자 결정 및 그에 따른 모든 책임은 투자자 본인에게 있습니다.