가상자산 보관과 지갑 안내 — 국내 규정과 해외 기준

지갑의 기본: 핫월렛과 콜드월렛, 수탁과 비수탁

지갑은 개인키를 만들고 보관하며 거래에 서명하는 도구입니다. 미국 국립표준기술연구소(NIST)는 인터넷에 연결된 핫월렛은 자주 쓰는 소액에, 인터넷과 분리된 콜드월렛(하드웨어 지갑, 네트워크와 분리된 PC)은 오래 보관할 큰 금액에 알맞다고 설명합니다. 콜드월렛은 서명할 때 버튼이나 PIN 같은 물리적 확인을 거칩니다.

수탁형은 거래소나 커스터디 기관이 이용자 대신 개인키를 관리하는 방식이고, 비수탁형(셀프 커스터디)은 키 생성·백업·서명을 모두 이용자가 직접 합니다. 거래소 계정은 아이디와 비밀번호로 복구할 수 있지만, 개인지갑은 지갑을 만들 때 받은 복구 문구(시드 문구)가 유일한 복구 수단입니다.

복구 문구는 BIP-39 표준에 따라 보통 12개 또는 24개 영어 단어로 이루어지고, 단어는 0~2047번까지 번호가 매겨진 단어 목록에서 고릅니다. BIP-32 계층형(HD) 지갑은 이 하나의 시드에서 여러 주소를 나무 구조로 파생하므로, 시드 하나로 모든 주소를 되살릴 수 있습니다. BIP-44 경로의 코인 번호는 이더리움 60, 트론 195, 솔라나 501입니다(SLIP-0044).

출처: NIST IR 8301 — Blockchain Networks: Token Design and Management Overview · ethereum.org — 지갑 · BIP-39 — 니모닉 코드 · BIP-32 — HD 지갑 · BIP-44 — 다중 계정 경로 · SLIP-0044 — 코인 유형 번호

국내 거래소는 이용자 자산을 이렇게 보관합니다

원화는 은행에 100% 이상. 가상자산 이용자 보호법과 시행령에 따라 거래소는 이용자 예치금 총액의 100% 이상을 은행 등 관리기관(은행, 농협은행, 수협은행, 중소기업은행)에 예치·신탁합니다. 예치금은 영업일 단위로 계산해 다음 영업일까지 맡기고, 국채·지방채 매수 같은 안전한 방법으로만 운용됩니다.

코인은 동일 종류·동일 수량. 거래소는 자기 가상자산과 이용자 가상자산을 분리 보관하고, 이용자가 맡긴 것과 같은 종류·같은 수량을 실제로 보유해야 합니다. 이용자별 종류·수량·가상자산주소를 적은 이용자명부도 작성해 둡니다.

80% 이상은 콜드월렛. 시행령은 70% 이상 범위에서 금융위원회가 비율을 정하도록 했고, 가상자산업감독규정은 이를 이용자 가상자산 경제적 가치의 80%로 정했습니다. 경제적 가치는 종류별 보관 수량에 최근 1년간 일평균 원화 환산액을 곱해 계산합니다. 보안 기준을 갖춘 외부 수탁기관에 맡길 수도 있는데, 이 경우 수탁기관은 맡은 가상자산 전부를 인터넷과 분리해 보관해야 합니다.

사고 대비 보험·준비금. 해킹·전산장애에 대비한 보험·공제 보상한도와 준비금의 합계는 핫월렛에 있는 이용자 가상자산 가치의 5% 이상이면서 30억원 이상이어야 합니다(원화 거래가 없는 사업자는 5억원). 거래소는 매월 말 기준으로 금액을 다시 계산해 다음 달 10일까지 보완합니다. 금융위원회는 예치금 운용 대상, 콜드월렛 비율, 보험 기준을 3년마다 재검토합니다.

출처: 가상자산 이용자 보호 등에 관한 법률(국가법령정보센터) · 가상자산 이용자 보호 등에 관한 법률 시행령(국가법령정보센터) · 가상자산업감독규정(금융위원회 고시 제2024-37호)

잔고는 매일 맞춰 보고 공개합니다

디지털자산거래소 공동협의체(DAXA)는 2024년 9월 「가상자산 지갑 운영관리 모범사례」를 마련했습니다. 모범사례는 콜드월렛을 개인키를 오프라인 상태로 보관·사용하는 지갑으로 정의하고, 지갑 접근 역할을 3명 이상에게 나눠 맡기며, 멀티시그·MPC 같은 전자서명 방식으로 콜드월렛 보안을 강화하도록 합니다. 외부 수탁기관을 쓸 때는 연 1회 취약점 평가와 수탁 자산 100% 콜드 보관 여부를 확인합니다.

거래소는 같은 종류·같은 수량을 실제로 갖고 있는지 확인하기 위해 매일 블록체인 잔고와 내부 장부를 대사(맞춰 보기)합니다. 원화마켓 거래소 5곳의 일일 대사 결과와 회계법인 월별 실사 결과는 DAXA 홈페이지에 공시됩니다. 금융위원회는 2026년 4월 5분 주기 상시 잔고대사 시스템 구축과 월별 외부 실사, 종목별 지갑·장부 수량 공시 확대를 추진하겠다고 밝혔습니다.

출처: DAXA — 가상자산 지갑 운영관리 모범사례 마련(2024.9) · DAXA — 거래소 잔고대사 결과 공시 · 금융위원회 — 이용자 자산 상시 점검·내부통제 강화(2026.4.6)

전문 수탁(커스터디) 사업자

가상자산을 대신 보관·관리하는 일은 특정금융정보법상 가상자산사업자의 영업 유형 가운데 하나입니다. 금융정보분석원(FIU)에 신고된 가상자산사업자는 2026년 9월 30일 기준 28곳이며, 이 중 거래소 없이 이전·보관 업무만 신고한 곳은 한국디지털에셋(KODA), 한국디지털자산수탁(KDAC), 오하이월렛, 커스텔라, 인피닛블록, 디에스알브이랩스, 비댁스, 로빗, ABC Cloud Wallet 등 9곳입니다. 비트고코리아는 2026년 8월 18일 신고가 수리되었습니다.

금융위원회 실태조사에 따르면 지갑·보관 사업자의 수탁고는 2026년 6월 말 2,304억원이었습니다. 금융위원회가 2025년 2월 발표한 법인의 가상자산시장 참여 로드맵은 법인 매매 가이드라인에 제3의 가상자산 보관·관리기관 활용 권고를 담기로 했습니다.

토큰증권(STO) 제도가 2027년 2월 4일 시행되면 계좌관리기관이 토큰증권 고객 계좌를 관리합니다. 입법예고안에 따르면 금융회사가 아닌 발행인도 자기자본 40억원 등 요건을 갖춰 발행인 계좌관리기관으로 등록할 수 있고, 분산원장에는 전자등록기관 외에 계좌관리기관 2곳 이상이 참여합니다.

출처: 금융정보분석원 — 가상자산사업자 신고 현황(2026.9.30 기준) · 금융위원회 — 2026년 상반기 가상자산사업자 실태조사 · 금융위원회 — 법인의 가상자산시장 참여 로드맵(2025.2.13) · 금융위원회 — 토큰증권 하위법규 입법예고(2026.10)

개인지갑으로 출금하려면: 주소 등록과 트래블룰

2022년 3월 25일부터 국내 거래소 사이에 100만원 이상 가상자산을 옮길 때는 보내는 사람과 받는 사람의 이름·가상자산주소가 함께 전달됩니다(트래블룰). 업비트와 고팍스는 VerifyVASP, 빗썸·코인원·디지털엑스(옛 코빗)는 CODE 솔루션을 쓰며, 두 솔루션은 2022년 4월 서로 연동되었습니다.

개인지갑은 미리 등록한 본인 지갑으로 출금합니다. 업비트는 고객확인과 2채널 인증을 거친 뒤 지갑 서명으로 본인 소유를 확인하고, 빗썸은 심사된 출금 주소(화이트리스트)로, 코인원은 인증을 마친 외부지갑 주소로, 고팍스는 본인 명의 지갑을 심사(최대 24시간)해 등록합니다. 거래소마다 등록할 수 있는 지갑 목록이 공지되어 있습니다.

2027년 2월 19일부터는 트래블룰이 금액과 관계없이 모든 사업자 간 이전에 적용되고, 받는 거래소는 정보가 빠지면 요청하고 끝내 받지 못하면 거래를 거절합니다. 개인지갑과의 이전은 보내는 사람과 받는 사람이 같은 경우(본인 간)에 허용되고, 거래소는 1천만원 이상 이전에 자체 의심거래 감시체계를 운영합니다. 위험이 낮은 해외 거래소로의 이전은 허용됩니다.

입금할 때는 보내는 쪽과 받는 쪽의 네트워크가 같아야 하고, XRP는 데스티네이션 태그, XLM·EOS 등은 메모 같은 2차 주소까지 입력해야 정상 반영됩니다.

출처: 금융위원회 — 트래블룰 본격 시행(2022.3.24) · 업비트 공지 — 트래블룰 솔루션과 연동 일정(2022.3) · 업비트 고객센터 — 개인지갑 주소 등록 · 빗썸 고객센터 — 출금 주소 등록과 개인지갑 목록 · 코인원 공지 — 외부지갑 출금주소 인증 · 고팍스 공지 — 개인지갑 주소 등록 · 특정금융정보법 시행령(2027.2.19 시행분, 국가법령정보센터) · 금융위원회 — 특정금융정보법 시행령 개정안 국무회의 의결(2026.8.11) · 업비트 고객센터 — 2차 주소(데스티네이션 태그·메모)

국내 거래소의 USDT 네트워크

USDT는 여러 블록체인에서 발행되므로 거래소가 지원하는 네트워크를 먼저 확인해야 합니다. 업비트는 2025년 6월 앱토스, 8월 카이아 네트워크의 USDT 입출금을 추가했습니다. 2026년 10월 25일 각 거래소 공개 API 기준으로 빗썸은 이더리움·트론·카이아·앱토스, 디지털엑스(옛 코빗)는 트론·이더리움 네트워크를 지원합니다.

출처: 업비트 공지 — USDT 앱토스 네트워크 지원(2025.6) · 업비트 공지 — USDT 카이아 네트워크 지원(2025.8) · 빗썸 공개 API — USDT 네트워크 상태 · 디지털엑스(옛 코빗) 공개 API — 지원 자산 · Tether — Supported Protocols

해외는 어떻게 보관하나

주요국도 같은 방향입니다. 고객 자산은 사업자 자산과 분리하고, 대부분을 인터넷과 분리해 보관하며, 사업자가 파산해도 고객 자산은 채권자에게 넘어가지 않도록 합니다. 한국의 80% 콜드 기준은 일본(95%)·홍콩(98%)과 함께 보관 비율을 규정으로 정한 사례입니다.

미국에서는 은행의 가상자산 수탁 길이 넓어졌습니다. SEC는 2025년 1월 SAB 122로 수탁 자산을 부채로 계상하게 했던 SAB 121을 철회했고, 통화감독청(OCC)은 2025년 3월 해석서한 1183으로 사전 무이의(nonobjection) 요건을 없앤 데 이어 5월 해석서한 1184로 고객 지시에 따른 매매와 하위 수탁기관 이용을 확인했습니다. SEC 직원은 2025년 9월 일정 조건 아래 주(州) 신탁회사를 적격 수탁기관으로 볼 수 있게 했고, 2026년 10월 투자자문사·펀드의 가상자산 수탁 규칙안을 공개했습니다(의견 마감 2026년 12월 7일).

일본은 2026년 7월 암호자산 규제를 금융상품거래법으로 옮기는 법을 통과시키면서 콜드월렛 원칙 등 기존 안전관리 규제를 그대로 이어 가기로 했습니다. EU에서는 MiCA 경과기간이 2026년 7월 1일까지였고, 이제 EU 안의 수탁 서비스는 MiCA 인가를 받은 사업자가 제공합니다.

출처: EU 가상자산시장법(MiCA, 규정 2023/1114) · 일본 암호자산교환업자에 관한 내각부령(e-Gov) · 일본 금융청 — 금융상품거래법 등 개정 법률(2026) · 홍콩 SFC — 가상자산 거래플랫폼 운영자 가이드라인 · 싱가포르 MAS — 디지털결제토큰 서비스 규제 의견수렴 결과(2023.7) · 두바이 VARA — 수탁 서비스 규정집 · 스위스 채무추심파산법(SchKG) 제242a조 · 미 SEC — SAB 122(2025.1) · 미 OCC — 해석서한 1183(2025.3) · 미 OCC — 해석서한 1184(2025.5) · 미 SEC — 주 신탁회사 수탁 비조치의견서(2025.9.30) · 미 SEC — 가상자산 수탁 규칙안(2026.10.6)

스테이블코인 준비자산은 누가 보관하나

미국 GENIUS법(2025년 7월 18일 제정)은 결제용 스테이블코인 발행인에게 1:1 이상의 준비자산을 요구하고, 준비자산·담보·발행용 개인키의 수탁은 연방 또는 주 금융감독을 받는 기관만 하도록 했습니다. 수탁기관은 고객 자산을 자기 재산과 섞지 않고 채권자로부터 보호하며, 발행인이 도산하면 보유자의 청구권이 준비자산에 대해 다른 채권보다 우선합니다. OCC는 2026년 10월 23일 이 법의 최종규칙을 공표했고 2027년 1월 18일 시행됩니다.

EU MiCA는 자산준거토큰의 준비자산을 발행인과 별개인 수탁기관에 보관하고, 전자화폐토큰 발행 대금의 30% 이상을 은행 별도 계좌에 두도록 합니다. 홍콩(2025년 8월 1일 스테이블코인 조례 시행)은 준비자산을 신탁으로 분리해 적격 수탁기관에 맡기게 하고, 싱가포르 MAS는 2026년 9월 준비자산을 신탁 분리계좌로 인가 수탁기관이 보관하는 개정안을 공개했습니다. 금융안정위원회(FSB)도 글로벌 스테이블코인 준비자산의 분리와 도산 시 보호를 권고합니다.

출처: 미국 GENIUS법(Public Law 119-27) · 미 OCC — GENIUS법 최종규칙(연방관보 2026.10.23) · EU 가상자산시장법(MiCA, 규정 2023/1114) · 홍콩 HKMA — 스테이블코인 발행인 감독 가이드라인 · 싱가포르 MAS — 결제서비스법 스테이블코인 개정안 의견수렴(2026.9) · FSB — 글로벌 스테이블코인 권고(2023.7)

멀티시그, MPC, 스마트 계정

멀티시그는 여러 사람이 각자 키를 갖고 n개 중 m개 서명이 모여야 거래가 실행되는 방식입니다. 키 하나를 잃어도 필요한 수만큼 남아 있으면 자산에 접근할 수 있습니다. NIST는 3개 중 2개 키가 필요하도록 하고 2개는 이용자가, 1개는 수탁기관이 보관하는 부분 수탁 예를 소개합니다. Safe 같은 스마트 계정은 소유자 목록과 승인 임계값을 정해 운영합니다.

MPC(다자간 계산)는 하나의 키를 여러 조각으로 나눠 함께 서명하는 방식으로, NIST가 다자간 임계값 암호 프로젝트로 표준화를 연구하고 있습니다. 국내 DAXA 모범사례도 콜드월렛 보안에 멀티시그·MPC 활용을 권합니다.

스마트 계정은 스테이블코인 이용을 편하게 합니다. ERC-4337의 페이마스터는 수수료를 대신 내 주는 컨트랙트로, ETH 없이 ERC-20 토큰으로 가스비를 낼 수 있게 하며 Circle Paymaster는 USDC로 가스비를 내게 합니다. 2025년 5월 7일 이더리움 펙트라 업그레이드로 적용된 EIP-7702는 일반 지갑이 스마트 컨트랙트 기능을 위임받아 승인과 전송을 한 번에 묶거나 수수료 대납을 받을 수 있게 했고, 위임은 소유자가 언제든 바꾸거나 철회할 수 있습니다.

출처: NIST IR 8301 — Blockchain Networks: Token Design and Management Overview · NIST — Multi-Party Threshold Cryptography · Safe 문서 — 스마트 계정 개요 · DAXA — 가상자산 지갑 운영관리 모범사례 마련(2024.9) · ERC-4337 — 계정 추상화 · Circle — Paymaster(USDC로 가스비 지불) · EIP-7702 — EOA 코드 위임 · ethereum.org — 펙트라 업그레이드

네트워크별로 알아 둘 점

트론: USDT 전송 같은 스마트 컨트랙트 실행에는 에너지가 쓰이고, 자원이 부족하면 TRX가 소각되어 비용을 충당합니다. 그래서 트론에서 USDT를 보내려면 TRX나 에너지가 필요합니다. 새 주소는 TRX 등을 받아 활성화되어야 네트워크에서 인식되며, 주소는 T로 시작합니다.

이더리움: 가스비는 ETH로 내므로 USDT·USDC를 보내려면 소량의 ETH가 필요합니다. ERC-20의 approve는 상대 컨트랙트가 한도 안에서 내 토큰을 가져갈 수 있게 허용하는 기능이니, 필요한 만큼만 승인하고 쓰지 않는 승인은 철회하는 것이 좋습니다.

솔라나: 토큰은 소유자 주소와 토큰 주소로 정해지는 연관 토큰 계정(ATA)에 보관되고, 계정 유지에 필요한 최소 잔액은 계정을 닫으면 돌려받습니다. 수수료는 SOL로 냅니다.

같은 키에서 나온 주소라도 네트워크가 다르면 서로 다른 주소입니다. 받는 쪽이 지원하는 네트워크와 발행사가 공개한 공식 컨트랙트 주소(Tether, Circle)를 확인한 뒤 보내세요.

출처: TRON 개발자 문서 — 리소스 모델 · TRON 개발자 문서 — 계정 · ethereum.org — 가스와 수수료 · EIP-20 — 토큰 표준 · ethereum.org — 토큰 승인 철회 방법 · Solana 문서 — 토큰과 연관 토큰 계정 · Solana 문서 — 수수료 · Tether — Supported Protocols · Circle — USDC 컨트랙트 주소

지갑을 안전하게 쓰는 법

복구 문구와 개인키는 누구에게도 알려 주지 마세요. 정상적인 서비스는 이를 요구하지 않으며, 공공기관·수사기관은 가상자산 전송을 요구하지 않습니다. 복구 문구는 메일·클라우드·스크린샷이 아닌 오프라인에 보관하고, 큰 금액은 하드웨어 지갑(콜드월렛)에 두는 것이 좋습니다(KISA·경찰청, ethereum.org, FBI).

거래소 계정에는 OTP를 설정하고, API 키는 권한을 나누고 IP·출금지 제한 기능을 쓰세요. 접속한 사이트 주소가 공식 주소와 일치하는지, 지갑 서명 요청의 출처가 맞는지 확인합니다. 블록체인 거래는 되돌릴 수 없으므로 받는 주소는 앞뒤 몇 글자가 아니라 전체를 확인하세요. 새 네트워크는 공식 홈페이지 공지로 출시 여부를 확인하고, 조금이라도 의심되면 전송을 멈추고 공식 채널로 확인합니다(금융감독원).

스테이블코인 발행사는 법령에 따라 특정 주소의 토큰을 동결할 수 있습니다(Tether·Circle 이용약관). 낯선 주소에서 USDT·USDC를 받기 전에는 그 주소가 동결되었거나 제재 목록에 있는지 확인해 두면 안전합니다.

출처: KISA 보호나라 — 가상자산 보안 수칙(2025.1) · 금융감독원 — 소비자경보(2026.10.22) · 금융정보분석원 — 이용자 유의사항(2026.10.13) · ethereum.org — 보안 수칙 · FBI IC3 — 공익 안내 PSA240903 · FBI IC3 — 공익 안내 PSA230309 · Tether — 이용약관 · Circle — USDC 이용약관

은행 예금토큰: 프로젝트 한강

한국은행은 2025년 4월 1일부터 6월 30일까지 국민·신한·우리·하나·기업·농협·부산은행 7곳과 함께 예금토큰 실거래 테스트(프로젝트 한강)를 진행했습니다. 참가자는 은행 앱에서 비대면으로 전자지갑을 열어 예금을 토큰으로 바꾸고 QR로 결제했으며, 예금토큰은 예금보험이 적용되고 보유 한도는 100만원, 총 전환 한도는 500만원이었습니다. 한국은행 디지털화폐는 참가 은행만 보유하는 기관용으로 설계되었습니다.

2026년 3월 시작한 2단계는 디지털화폐 정식 도입과 예금토큰 상용화 기반을 마련하고, 전기차 충전시설 보조금 같은 국고보조금을 예금토큰으로 집행하는 시범사업도 포함합니다.

출처: 한국은행 — 프로젝트 한강 예금토큰 실거래 테스트(2025.3) · 한국은행 — 프로젝트 한강 2단계(2026.3)

받기 전에 주소 확인하기

USDT·USDC를 받을 주소나 보낼 주소가 발행사에 의해 동결되었는지, 제재 목록에 있는지는 Stablecoin scanner ACHIVX에서 무료로 확인할 수 있습니다. 네트워크별 동결 현황은 네트워크 페이지에서 볼 수 있습니다.

자주 묻는 질문