SEC 가상자산 수탁 규칙안｜기관 직접 보관에 붙은 조건

고객의 가상자산은 누가 보관하고, 누가 옮길 수 있을까요? 미국 증권거래위원회(SEC)가 2026년 10월 1일 제안한 가상자산 수탁 규칙안은 이 질문을 다룹니다. 일부 자산을 맡아 줄 수탁기관이 없는 상황에서 투자자문업자가 고객 자산을 직접 보관하는 경로와, 주정부 신탁회사를 활용하는 경로를 구체화했습니다.

수탁은 자산을 대신 보관·관리하는 일입니다. 이번 발표는 투자 대상의 가격보다 기관이 어떤 보관 구조로 고객 자산을 다룰 수 있는지에 관한 변화입니다. 아직 의견수렴을 위한 제안 단계라는 점부터 짚고 읽어야 합니다. SEC 공식 발표

확인 기준: 2026년 10월 5일(한국시간) · 제안일: 2026년 10월 1일 · 파일 번호: S7-2026-35

SEC가 제안한 수탁 규칙, 누구에게 적용되나

주요 대상은 SEC에 등록했거나 등록 의무가 있는 투자자문업자와 규제 대상 펀드입니다. 여기서 규제 대상 펀드는 등록 운용형 투자회사와 사업개발회사(BDC)를 말합니다. 새 직접 보관·주정부 신탁회사 경로에는 별도 적용 제외도 있어, 모든 펀드와 모든 기관을 한꺼번에 포괄한다고 볼 수는 없습니다. 규칙안 10쪽 및 각주 3

자산 범위도 구분해야 합니다. 자문업자 관련 수탁 규칙은 고객의 자금 또는 증권에 해당하는 가상자산을, 펀드 관련 규칙은 증권 또는 유사 투자자산에 해당하는 가상자산을 다룹니다. 이 제안만으로 모든 코인이 증권으로 분류되거나 모든 거래소의 보관 업무가 승인되는 것은 아닙니다. Peirce 위원 설명 및 각주 3

SEC 문서의 self-custody라는 표현도 주의해서 읽어야 합니다. 이 글에서는 ‘자문업자 직접 보관’으로 풀어 씁니다. 고객이 개인 지갑의 키를 스스로 관리한다는 뜻과 달리, 투자 조언을 하는 자문업자가 고객의 자산까지 직접 보관하는 구조를 가리키기 때문입니다.

자문업자 직접 보관은 언제 가능한가

규칙안의 출발점은 해당 가상자산을 맡아 줄 적격 수탁기관이 없다는 판단입니다. 자문업자는 필요한 조사를 거쳐 합리적인 근거를 갖추고, 직접 보관을 시작하기 전과 이후 적어도 분기마다 수탁기관 이용 가능성을 확인·문서화하도록 제안됐습니다.

원문에서 특히 중요한 대목은 비용입니다. 수탁기관에 내는 비용을 이유로 ‘이용 가능한 수탁기관이 없다’고 판단할 수는 없습니다. 반대로 적격 수탁기관을 이용할 수 있게 됐다고 판단하면, 합리적으로 실행 가능한 한 빨리 자산을 그 기관으로 옮기도록 했습니다. 분기 점검 사이에 이를 알게 된 경우에도 이 이전 의무가 생기는 구조입니다. 규칙안 81~84쪽

지갑 분리와 2인 승인, 어떤 안전장치인가

투자 결정을 돕는 쪽이 자산을 움직일 권한까지 가지면 이해상충과 오용 위험을 살펴야 합니다. SEC는 직접 보관에 자산별 전문성, 키 관리, 사이버보안과 독립적인 점검을 묶는 방식을 제안했습니다. 주요 조건은 다음과 같습니다. SEC 팩트시트 2~3쪽

• 고객별 주소 분리: 각 고객의 가상자산만 담는 하나 이상의 블록체인 주소로 보관합니다.
• 키 관리와 공동 승인: 개인키 관리 체계와 함께 지정된 최소 2명이 자산 이전을 공동 승인하고, 그중 1명 이상은 자문업자의 경영진이어야 합니다. 규제 대상 펀드 자산이면 해당 경영진이 그 펀드의 임원이기도 해야 합니다.
• 보안 체계 점검: 자산 보호 시스템과 사이버보안 통제가 실제로 작동하는지 적어도 매년 검토합니다.
• 외부 내부통제 보고서: 직접 보관을 시작한 뒤 6개월 이내, 이후 매년 독립 공인회계사의 내부통제 보고서를 받습니다.
• 고객 명세서: 원칙적으로 적어도 분기마다 명세서 또는 요건을 갖춘 전자정보를 제공합니다. 정해진 감사 요건을 충족한 공동투자기구, 등록 투자회사 및 BDC 계좌에는 예외가 있습니다.
• 서면 합의와 펀드 감독: 해당 주법상 추가 보호를 위해 자산을 ‘금융자산’, 자문업자를 ‘증권중개기관’으로 취급하는 서면 합의가 필요하며, 규제 대상 펀드는 이사회의 추가 감독을 받도록 했습니다.

* 첫 외부 내부통제 보고서는 직접 보관 시작 후 6개월 이내입니다. 위 도식은 주요 주기를 요약했으며 모든 요건을 담지는 않았습니다.

여기서 2인 승인은 거래 권한을 한 사람에게 집중시키지 않기 위한 조건입니다. 이를 특정 멀티시그 제품 사용 의무로 단정할 수는 없습니다. 또 자산 분리와 점검 체계가 제시됐다고 해서 해킹, 파산이나 투자 손실이 사라지는 것도 아닙니다.

주정부 신탁회사에는 어떤 조건이 붙나

또 하나의 변화는 주정부 신탁회사를 수탁기관으로 활용하는 별도 경로입니다. 미국 주법에 따라 설립되고, 주 은행감독 당국의 감독·검사를 받으며, 신탁 권한을 갖춘 회사가 대상이 됩니다. 단순히 주정부의 어떤 가상자산 면허를 받았다는 사실만으로 이 요건을 충족하는 것은 아닙니다. 규칙안 183~186쪽

자문업자나 펀드는 계약 전과 이후 매년 관련 주 당국이 그 회사에 가상자산 수탁을 허용했는지, 자산 보호 정책과 절차를 갖추고 실행하는지 조사해야 합니다. 최신 연간 감사 재무제표와 내부통제 보고서도 받아 검토하고, 고객·펀드 자산을 신탁회사 자체 자산과 분리하도록 제안됐습니다. SEC 팩트시트 3쪽

따라서 독자가 수탁 관련 발표를 읽을 때는 ‘주정부 인가’라는 표현에서 멈추기보다 누가 감독하는지, 어떤 자산의 수탁 권한인지, 감사·통제 자료를 누가 확인하는지까지 살펴보는 편이 유용합니다.

돈의 흐름에서 볼 변화와 남은 절차

다음은 규칙안에 적힌 내용과 구분한 분석 관점입니다. 보관 방법이 불명확해 제공하기 어려웠던 가상자산 투자 전략에 규정상 경로가 생긴다면, 자문업자와 펀드의 상품 설계 선택지가 넓어질 수 있습니다. 동시에 키 관리, 고객별 주소 관리, 사이버보안과 회계 검증에는 인력·시스템 비용이 필요합니다. 기관이 들어온다는 제목과 함께 실제 수탁 역량과 운영비를 봐야 하는 이유입니다.

다만 규칙 제안 자체가 신규 자금 유입이나 특정 코인의 수익률을 입증하지는 않습니다. 실제 변화는 최종 규칙의 내용, 수탁기관의 지원 자산, 자문업자·펀드의 채택 여부를 확인해야 평가할 수 있습니다. 한국의 개인 지갑이나 국내 거래소 보관 규정이 이 발표로 곧바로 바뀌는 것도 아닙니다.

이번 규칙안을 읽는 핵심 질문은 간단합니다. 누가 고객 자산의 키를 관리하고, 어떤 근거로 그 보관 방식을 선택하며, 누가 정기적으로 확인하는가. 이 세 가지를 확인하면 ‘기관 수탁 확대’라는 뉴스가 실제로 무엇을 바꾸려는지 더 구체적으로 볼 수 있습니다.