코인베이스 아일랜드 법인 325만유로 제재, 문제는 해킹이 아니라 '고객 돈 칸막이'였다

아일랜드 중앙은행은 22일 Coinbase Ireland에 견책과 금전 제재를 부과하는 합의를 발표했다. 당국이 산정한 제재금은 464만6,597유로다. 회사가 사실관계를 다투지 않는 합의 절차를 택하면서 30%가 감액돼 최종 금액은 325만2,618유로가 됐다.

회사는 위반 사실과 제재를 수락했다. 다만 발표 당시 이 제재는 아일랜드 고등법원의 확인을 받아야 효력이 생기는 단계였다. 발표만으로 집행이 끝났다고 볼 수는 없다.

당국이 짚은 세 가지

지적 사항은 운영 구조에 몰려 있다.

먼저 외주 관리다. Coinbase Ireland는 고객자금 보호 업무를 미국 그룹에 맡겼는데, 현지 법규 준수 여부를 아일랜드에서 감독할 전문성과 체계를 충분히 갖추지 못했다. 다음은 통제 설계다. 시스템 설계와 통제 시험이 미흡해 고객자금 보호 계정의 잔액이 필요한 금액보다 부족한 상태가 이어졌다. 마지막은 보고 체계다. 중요한 변경을 발견하고 경영진과 당국에 올리는 내부 통제와 거버넌스가 작동하지 않았다.

세이프가딩이란 무엇인가

전자화폐·결제 사업자는 고객이 맡긴 돈을 회사 운영자금과 분리해 보호해야 한다. 이를 세이프가딩(safeguarding)이라 한다. 회사가 급여나 임대료로 쓰는 돈과 고객에게 돌려줘야 할 돈이 섞이면, 회사가 어려워졌을 때 고객이 돈을 돌려받을 가능성이 낮아진다.

함께 공개된 합의문은 실제 소비자 피해가 실현됐다는 증거는 없다고 밝혔다. 다만 계정의 시차 문제로 2022년 7월부터 2024년 10월까지 부족 상태가 이어졌고, 일일 최대 부족액은 2023년 340만유로, 2024년 520만유로였다고 적었다. 그래서 "코인베이스 고객 돈이 사라졌다"는 해석은 근거가 없다. 그럼에도 당국이 제재한 이유는 분명하다. 평상시 손실이 없어도 부족 상태가 이어지면, 회사가 지급불능에 빠질 경우 그 공백이 고객 손실로 이어질 수 있다.

코인 가격 사건과 다른 점

이 사건은 특정 코인의 가격 조작이나 블록체인 해킹과 관련이 없다. 아일랜드에서 전자화폐 사업을 하는 법인 하나의 법정통화 관리 문제다. 전 세계 코인베이스 이용자의 자산 보관과도 범위가 다르다.

오히려 시사점은 글로벌 거래소의 확장 방식에 있다. 본사의 공통 시스템으로 여러 나라에 진출할 때, 현지 책임자와 계정 대사, 규제 보고가 실제로 작동하지 않으면 각국 규제의 표적이 된다. 블록체인 위 자산만을 대상으로 한 준비금 증명으로는 법정통화 보호 계정과 부채까지 확인할 수 없다.

남은 절차는 고등법원의 확인이다. 합의문은 시차 문제와 미배정 자금 문제를 2024년 10월 시정했다고 적었다. 제재 수락과 시정 조치, 법적 효력 발생을 구분해 볼 필요가 있다.