자체 보관은 은행 위험으로부터 당신을 구해주지 못합니다. 단지 위험을 더 잘 숨길 뿐입니다

자체 보관은 제3자를 더 이상 신뢰하지 않아도 되는 지점으로 여겨집니다. 개인키와 코인, 자금 사이에는 사용자의 지갑만 존재합니다. 그러나 이 약속은 암호화폐를 카드로 결제하는 순간까지만 유효합니다. Visa (V ) 또는 Mastercard 결제망을 통해 사용자를 대신해 자금을 이동할 인가 기관이 있어야 카드가 작동하기 때문입니다. 대부분의 카드 소지자는 그 기관의 이름을 알지 못하며, 올해 1월 전까지는 그 중요성조차 거의 생각하지 않았습니다.

그때 폴란드 규제 기관이 한 기업의 결제 라이선스를 취소했으며, 서로 명확한 연관성이 없던 세 개의 암호화 카드가 2주 이내에 작동을 멈췄습니다: CEX.IO Card, Trustee Plus, 그리고 IN1. 이 세 브랜드는 스스로 어떤 조치를 취해 이를 일으킨 것이 아닙니다. 단지 Quicko sp. z o.o.라는 동일한 허가 중개 회사를 통해 라우팅될 뿐이었으며, 그 회사의 승인이 철회되자 더 이상 거래를 처리할 수 없게 되었습니다.

저는 카드 회원 약관을 자주 읽습니다. Sweepbase는 암호화폐 연동 직불·신용카드 141개를 추적하며, 이를 비교하려면 각 카드의 세부 약관을 모두 살펴봐야 했습니다. 그 과정에서 같은 패턴이 반복해서 나타났습니다. 가입한 브랜드는 카드가 정상 작동하도록 책임지는 주체가 아닌 경우가 거의 대부분입니다. 그 아래에는 사용자에게 이름조차 알려지지 않은 별도의 회사가 있으며, 그 회사의 라이선스가 카드 서비스를 유지하는 유일한 기반입니다.

암호화 카드가 작동하도록 유지하는 요소

Visa나 Mastercard (MA ) 같은 카드 네트워크는 아무 기업에나 카드 발급을 허용하지 않습니다. 직접 발급하려면 주회원 자격을 얻어야 합니다. 이를 위해서는 은행 인가 또는 전자화폐 인가를 보유하고, 자본 요건을 충족하며, 준법감시 조직을 두고, 네트워크에 매년 수백만 달러를 지급해야 합니다. 전 세계에서 각 네트워크의 이 자격을 보유한 기업은 수백 곳뿐이며, 암호화폐 기업은 거의 없습니다.

따라서 암호화폐 카드 브랜드는 네트워크 접근 권한을 빌립니다. 인가받은 주회원이 브랜드의 BIN을 후원하는 방식입니다. BIN은 카드 번호 앞의 여섯 자리 코드로, 네트워크에 재정적 책임 주체를 알려줍니다. 브랜드는 앱과 보상 프로그램을 운영하고 지갑 연동과 고객 지원을 맡습니다. 반면 준법감시, 정산, 규제기관과의 관계는 후원사가 담당합니다. 서비스 유지의 핵심이지만 마케팅에는 거의 등장하지 않는 역할입니다. 사람들이 암호화폐 카드의 ‘발급사’를 말할 때는 대개 브랜드를 뜻하지만, 실제로 중요한 계약서에 이름이 적힌 주체는 후원사입니다.

위험이 집중되는 곳

암호화폐 카드 시장 전체만 보면 위험해 보이지 않습니다. Sweepbase 데이터에 포함된 카드 141개를 표준 시장집중도 지수인 허핀달-허시먼 지수로 계산하면 400~500 수준입니다. 미국 법무부는 1,500 미만을 비집중 시장으로 봅니다. 시장별 인가 정보는 영국 금융행위감독청 등록부 같은 공식 자료에서도 확인할 수 있습니다. 이 지표만으로는 문제가 없어 보입니다.

하지만 이 지표는 적절하지 않습니다. 실제 소비자가 카드 141개 전체를 놓고 선택하지는 않기 때문입니다. 푸에르토리코 법인을 통해 발급된 달러 기반 자체 보관 카드와 아르헨티나에서 발급된 페소 기반 카드는 애초에 같은 사용자를 두고 경쟁하지 않습니다. 실제 구매자가 선택하는 시장별로 카드를 묶으면 집중도가 급격히 높아집니다.

미국 자체 보관 카드 부문이 가장 분명한 사례입니다. Ether.fi Cash, Cypher, Solayer, Tangem Pay 같은 최근 출시 상품을 포함해 약 22개 카드가 운영 중인데, 거의 전체가 두 후원사를 거칩니다. 푸에르토리코 인가 송금업체 Third National은 Rain의 프로그램 관리망을 통해 카드를 발급하며 Cypher, Solayer, Tangem Pay 약관에 직접 명시되어 있습니다. 이름을 밝히지 않은 채 같은 망을 사용하는 카드 약 12개도 이 업체를 기반으로 합니다. 미주리주 인가 은행 Lead Bank는 Stripe가 소유한 Bridge를 통해 연결되며 Phantom Cash, Wayex, Airtm, Fuse 등 네 카드에 직접 명시됩니다. 후원사를 명문으로 밝힌 카드만 계산해도 이 부문의 집중도 지수는 5,000을 넘습니다. 같은 Rain 망으로 추정되는 카드까지 포함하면 6,000을 넘어 미국 법무부의 ‘고도 집중’ 기준보다 두 배 이상 높습니다.

유럽 시장은 규모가 더 작지만 편중은 훨씬 심합니다. 모든 카드가 후원사를 직접 밝히므로 문서도 더 명확합니다. Gnosis Pay, OKX의 유럽경제지역 카드, Kraken의 Krak 카드, Ledger의 CL 카드, 1inch는 모두 같은 전자화폐기관 Monavate를 거칩니다. 관련 유럽 인가 정보는 BaFin 및 ACPR 같은 규제기관 자료에서 확인할 수 있습니다. 2026년 5월 1일 Exodus가 법정관리 절차를 통해 Monavate의 최종 모회사를 장악하면서 소유권이 바뀌었습니다. 앞서 1억7,500만 달러 규모의 인수 계약이 무산되자 Exodus는 계약 종결을 강제하는 소송을 제기하는 한편 매도자에게 제공한 대출을 별도로 회수했고, 이후 법정관리로 이어졌습니다. 소유구조가 카드 자체에서 여러 단계 떨어져 있어 이를 경쟁 문제로 보도한 곳은 거의 없었습니다. 그러나 이제 자체 보관 지갑 기업이 Kraken 카드까지 포함한 여러 직접 경쟁사의 후원사를 실질적으로 통제합니다.

고립된 사례가 아닌 반복되는 패턴

Quicko는 가장 최근 사례일 뿐 최초는 아닙니다. 2020년 6월 Wirecard의 지급불능 신청 관련 보도, 후속 자료, BaFin 기록은 Crypto.com의 첫 Visa, Binance의 첫 Visa, TenX, Monolith, Wirex의 기존 Visa 등 초기 암호화폐 카드 다섯 개와 같은 후원사를 공유한 수십 개 핀테크 프로그램이 거의 하룻밤 사이 중단된 과정을 보여줍니다. 2023년에는 Metropolitan Commercial Bank가 암호화폐 사업에서 완전히 철수하면서 Mastercard 브랜드 BitPay 선불카드가 중단됐고 지금도 재개되지 않았습니다. 같은 해 Moorwand가 후원에서 철수하자 Bybit의 유럽 카드는 ACPR 등록정보에 나타난 다른 업체로 옮겨갔습니다. 6년 동안 네 차례의 붕괴가 있었지만 고객이 보는 브랜드는 매번 이름과 앱을 유지했고, 그 아래의 결제 기반만 바뀌거나 무너졌습니다.

그렇다면 돈은 어떻게 되는가

미국의 보호 범위는 더 좁습니다. 일부 선불카드 프로그램은 FDIC의 통과형 예금보험 적용을 받을 수 있지만, 처음부터 계좌 구조가 요건에 맞아야 하고 후원 은행 자체가 파산했을 때만 보호됩니다. 은행과 고객 사이의 프로그램 관리자가 무너지면 아무런 도움이 되지 않습니다. 2024년 Synapse 사태에서 보험 가입 은행에 자금이 있다고 여겨졌는데도 고객 돈이 묶였습니다. 자세한 경과는 사태 분석에서 확인할 수 있습니다.

미국의 보호 범위는 더 좁습니다. 일부 선불카드 프로그램은 FDIC의 통과형 예금보험 적용을 받을 수 있지만, 처음부터 계좌 구조가 요건에 맞아야 하고 후원 은행 자체가 파산했을 때만 보호됩니다. 은행과 고객 사이의 프로그램 관리자가 무너지면 아무런 도움이 되지 않습니다. 2024년 Synapse 사태에서 보험 가입 은행에 자금이 있다고 여겨졌는데도 고객 돈이 묶인 이유가 바로 이것입니다.

이러한 비대칭성 때문에 Chase나 Barclays 고객은 Quicko와 같은 사태를 겪지 않습니다. 두 나라의 예금보험 적용 은행은 파산하더라도 업무 공백 없이 운영을 이어가도록 설계된 체계 안에 있습니다. 미국에서는 FDIC가 주말 사이 예금을 더 건전한 은행으로 이전하고, 영국에서는 자체 채무조정과 가교은행 제도가 같은 역할을 합니다. 관련 제도는 FDIC 안내에서도 확인할 수 있습니다. 반면 결제기관이 라이선스를 잃으면 이와 비슷한 안전망이 없습니다. 누구도 대체 후원사를 마련할 의무가 없으며, 인가가 사라지는 순간 그 위에서 운영되던 모든 카드가 동시에 멈춥니다.

자체 보관 카드가 특히 취약한 이유

이 문제는 자체 보관 카드 부문에 특히 큰 타격을 줍니다. 이 상품은 바로 이런 의존성을 없앤다고 홍보되기 때문입니다. 결제 직전까지 코인은 사용자의 지갑에 있지만 카드를 긁는 순간 사용자가 선택하지도, 검토할 수도 없는 후원사로 통제권이 넘어갑니다. 미국에서 운영 중인 자체 보관 카드의 약 4분의 3은 하나의 발급기관으로 연결됩니다. 이 부문에서 카드를 바꿔도 같은 기반 라이선스 위의 로고만 달라지는 경우가 많습니다.

그렇다고 BIN 후원 방식 자체가 잘못된 것은 아닙니다. 소수의 후원사가 많은 프로그램에 반복해서 등장하는 이유는 일반 은행이 구축할 필요가 없었던 준법감시 체계를 갖췄기 때문입니다. 이 인프라는 스테이블코인 기반 카드가 처음부터 대규모로 존재할 수 있게 한 핵심 요소입니다. 자체 보관도 실제 역할을 하지만 마케팅이 암시하는 것보다 범위가 좁습니다. 자산을 쓰기 전까지의 상황은 보호하지만, 결제 후 자금이 이동하는 망에서 생기는 일까지 보호하지는 않습니다. 카드에 잔액을 충전하기 전에 약 5분을 들여 카드 회원 약관에서 후원사 이름을 확인할 가치가 있습니다. 그 이름이 ‘이 서비스가 하룻밤 사이 멈춘다면 어느 규제기관에 연락해야 하는가?’라는 간단한 질문의 답입니다.