자체 보관 vs. 적격 보관

다음 상황을 고려해 보십시오: 한 패밀리 오피스가 5인 중 3인 다중서명 정책으로 디지털 자산을 보유하고 있습니다. 이후 일어나는 일은 기술 이상의 요소에 달려 있습니다. 권한, 유동성, 기록 우선순위, 그리고 예외를 흡수해야 하는 당사자가 결과가 검증을 견뎌낼 수 있는지를 결정합니다.

자체 보관은 소유자가 디지털 자산을 전송하는 데 필요한 개인 키 또는 권한을 직접 제어한다는 의미입니다. 적격 보관은 해당 자산을 적용 가능한 규제 및 보호 요건을 충족하는 기관에 맡깁니다. 두 모델 모두 하드웨어, 다중서명, 스마트 계정 또는 위임된 권한을 사용할 수 있으며, 핵심 차이는 법적 및 운영상의 책임에 있습니다.

시드 구문을 보유하고 있다고 해서 완전한 보관 시스템을 갖춘 것과는 다릅니다. 자체 보관은 백업, 상속, 거래 검증, 디바이스 보안 및 사고 대응이 필요합니다. 기관 보관은 수수료와 거래 상대방 의존성을 추가하지만, 자산 분리, 보고, 보험 계약, 거버넌스 및 복구를 제공할 수 있습니다.

Securities.io의 더 넓은 범위에 자체 보관과 적격 보관을 배치하려면, 스마트 계약 감사 업체, 스마트 계약 보안 및 AI, DeFi 스택 레퍼런스 모델을 비교하십시오. 이 가이드들은 발행자, 자산, 투자자 권리 또는 운영 인프라가 변할 때 동일한 디지털 자산 인프라 질문이 어떻게 달라지는지를 보여줍니다.

소유권 및 위임 설정을 통해 자산 및 권리 증명: 자체 보관 및 적격 보관 체인

소유권 및 위임 설정은 법적 소유자, 권한이 부여된 사용자, 목적 및 제한 사항을 식별합니다. 그 결과는 키 생성 및 보호 단계의 입력이 되며, 여기서 자격 증명을 안전하게 생성하고 위험에 따라 제어를 분할합니다. 이 인계는 자체 보관과 적격 보관을 테스트하는 첫 번째 지점이며, 수신자는 완료된 상태 변화를 메시지, 추정치 또는 임시 기록과 구분할 수 있어야 합니다. 동일한 검증은 이후 모든 단계에 적용되어, 자산 및 권리 증명 단계까지 진행되면 독립적으로 조정 가능한 결과를 도출합니다.

다이어그램을 자산 및 권리 증명 단계부터 역순으로 읽으십시오. 최종 상태는 소유권 및 위임, 키 생성 및 쿼럼 기록, 정책 및 거래 로그, 백업 및 복구 테스트, 온체인 잔액, 보관 원장, 분리 및 법적 조건으로 이어지며, 이후 유지 및 복구 단계에서 사용되는 권한, 거래 승인 단계에서 발생하는 노출, 소유권 및 위임 단계에서 수용되는 입력으로 이어집니다. 이 체인이 끊어지면, 유효한 자격 증명이나 복구 경로가 없더라도 키 손실이 완료된 거래처럼 보일 수 있습니다. 이러한 역추적은 분석을 제공자 라벨이나 인터페이스 상태가 아니라 법적 소유자의 자산과 이를 전송하는 데 필요한 기술적 권한에 집중하도록 합니다.

자체 보관 및 적격 보관에서 중요한 기록을 누가 관리합니까?

자산 소유자와 키 보유자 또는 서명자는 운영 체인의 서로 다른 측에 위치합니다. 자산 소유자는 경제적 노출을 부담하고 보관 위임을 설정하는 반면, 키 보유자 또는 서명자는 기술 규칙에 따라 이동을 승인할 수 있습니다. 그들의 기록—소유권, 지갑 인벤토리, 정책, 수혜자 및 명세서, 그리고 장치, 역할, 정족수, 접근 로그 및 폐기—은 하나의 공급업체 데이터베이스 복사본이 아니라 동일한 사건에 대해 일치해야 합니다. 보관인, 기술 제공자, 그리고 감사인 또는 규제자는 각각 별개의 결정이나 증거를 추가합니다; 이러한 기능을 상호 교환 가능하게 취급하면 재량권, 유동성 또는 법적 책임이 어디에 들어가는지 가려집니다.

기술 제공자의 장애는 Self-Custody와 Qualified Custody에 대한 실질적인 책임 테스트입니다. 지갑, MPC, 하드웨어 또는 정책 소프트웨어를 공급합니다. 질문은 자산 소유자와 key holder 또는 signer가 여전히 아키텍처, 감사, 업데이트, 복구 및 종속성 맵을 통해 포지션을 재구성할 수 있는가입니다. 계약은 업무를 할당할 수 있지만, 고객 약속, 자산 또는 의무를 소유한 당사자는 증거를 외주 조항으로 대체할 수 없습니다. 회복력 있는 설계는 대체 기록과 불일치를 해결할 권한이 있는 사람을 명시합니다.

Self-Custody와 Qualified Custody에서 흔히 혼동되는 세 가지 상태

Self-Custody는 소유자가 키 자료를 제어하고 손실 및 복구 책임을 진다는 의미입니다. 반면 Qualified Custody는 규제된 보관인이 적용 가능한 보호, 장부 및 검토 요구사항에 따라 보관한다는 의미입니다. Delegated Technology는 세 번째 조건을 추가합니다: 소프트웨어 또는 MPC 제공자가 법적 보관인이 아닐 수도 있지만 승인을 수행합니다. 이러한 구분은 두 사용자가 유사한 확인을 보면서도 서로 다른 권리, 다른 시점, 혹은 다른 기관에 의존할 수 있기 때문에 중요합니다. Self-Custody와 Qualified Custody에서는 유용한 비교가 각 상태에 대한 권위 있는 기록과 손실 부담자를 명시합니다.

Self-Custody, Qualified Custody 및 Delegated Technology를 하나의 기준으로 비교하면 금액, 시간, 소모된 유동성, 가역성, 법적 청구권 및 잔여 손실을 평가합니다. Self-Custody와 Qualified Custody에서는 더 빠른 라벨이 자동으로 더 최종 상태를 의미하지 않으며, 더 원활한 보고된 회수가 자동으로 더 작은 경제적 위험을 의미하지도 않습니다. 하나의 측정 프레임을 사용하면 시점이나 회계 차이가 실제 개선으로 오해되는 것을 방지할 수 있습니다.

Self-Custody와 Qualified Custody가 실제로 상태를 변화시키는 방법

1. 소유권 및 위임 설정: Self-Custody와 Qualified Custody의 시작 상태 정의

법적 소유자, 승인된 사용자, 목적 및 제한 사항을 식별합니다. Self-Custody와 Qualified Custody의 이 단계에서는 키를 생성하고 보호하는 데 의존할 수 있는 조건을 설정합니다. 자산 소유자는 경제적 노출을 부담하고 보관 위임을 설정하기 때문에 핵심입니다. 작업 기록은 소유권, 지갑 인벤토리, 정책, 수혜자 및 명세서를 보존해야 합니다.

여기서 도전이 실패하면 키 손실이 발생합니다: 유효한 인증서나 복구 경로가 남아 있지 않습니다. 이 단계를 테스트하려면 동일한 시간, 범위 및 관리 조건을 사용하여 결과를 포착한 다음, 키를 생성하고 보호하기 전에 하나의 가정을 변경합니다. Self-Custody와 Qualified Custody에서는 방어 가능한 인계가 누가 승인했는지, 어떤 기록이 변경됐는지, 무엇이 가역적인지, 다음 참여자가 증거를 거부할 경우 누가 손실을 흡수하는지를 식별합니다.

2. 키 생성 및 보호: Self-Custody와 Qualified Custody에서 의사결정 규칙 식별

인증서를 안전하게 생성하고 위험에 따라 제어를 분할합니다. Self-Custody와 Qualified Custody의 이 단계에서는 거래를 승인하는 데 의존할 수 있는 조건을 검토합니다. key holder 또는 signer는 기술 규칙에 따라 이동을 승인할 수 있기 때문에 핵심입니다. 작업 기록은 장치, 역할, 정족수, 접근 로그 및 폐기를 보존해야 합니다.

여기서 도전이 실패하면 키 도난이 발생합니다: 공격자가 충분한 권한을 얻어 되돌릴 수 없이 전송합니다. 이 단계를 테스트하려면 동일한 시간, 범위 및 관리 조건을 사용하여 결과를 재계산한 다음, 거래를 승인하기 전에 하나의 가정을 변경합니다. Self-Custody와 Qualified Custody에서는 방어 가능한 인계가 누가 승인했는지, 어떤 기록이 변경됐는지, 무엇이 가역적인지, 다음 참여자가 증거를 거부할 경우 누가 손실을 흡수하는지를 식별합니다.

3. 거래 승인: Self-Custody와 Qualified Custody에서 위험 이전 측정

목적지, 금액, 네트워크, 정책 및 인간 승인 여부를 확인하십시오. Self-Custody와 Qualified Custody의 이 부분에서, 이 단계는 유지 및 복구에 의존할 수 있는 조건들을 재배치합니다. Custodian은 고객의 자산과 기록을 보호하기 때문에 핵심 역할을 합니다. 작업 기록은 법인, 통제, 분리, 하위 보관 및 조정을 보존해야 합니다.

여기서 도전이 실패하는 경우는 정책 우회(Policy Bypass)입니다: 서명자는 잘못된 주소, 네트워크 또는 트랜잭션을 승인합니다. 이 단계를 테스트하려면 동일한 시간, 범위 및 관리 조건을 사용하여 결과에 압력을 가한 뒤, 유지 및 복구 전에 하나의 가정을 변경하십시오. Self-Custody와 Qualified Custody에 대해, 방어 가능한 인계는 누가 승인했는지, 어떤 기록이 변경됐는지, 무엇이 되돌릴 수 있는지, 그리고 다음 참여자가 증거를 거부할 경우 누가 손실을 흡수하는지를 식별합니다.

4. 유지 및 복구: Self-Custody와 Qualified Custody에 대한 권위 기록 조정

키를 회전하고, 백업을 테스트하며, 인력 변동을 관리하고, 위협을 모니터링하십시오. Self-Custody와 Qualified Custody의 이 부분에서, 이 단계는 자산 및 권리가 의존할 수 있는 조건들을 조정합니다. Technology provider는 지갑, MPC, 하드웨어 또는 정책 소프트웨어를 제공하기 때문에 핵심 역할을 합니다. 작업 기록은 아키텍처, 감사, 업데이트, 복구 및 종속성 맵을 보존해야 합니다.

여기서 도전이 실패하는 경우는 Custodian Insolvency(보관자 파산)입니다: 분리와 법적 청구가 고객 기대와 일치하지 않습니다. 이 단계를 테스트하려면 동일한 시간, 범위 및 관리 조건을 사용하여 결과를 비교한 뒤, 자산 및 권리를 증명하기 전에 하나의 가정을 변경하십시오. Self-Custody와 Qualified Custody에 대해, 방어 가능한 인계는 누가 승인했는지, 어떤 기록이 변경됐는지, 무엇이 되돌릴 수 있는지, 그리고 다음 참여자가 증거를 거부할 경우 누가 손실을 흡수하는지를 식별합니다.

5. 자산 및 권리 증명: Self-Custody와 Qualified Custody의 최종 결과 테스트

온체인 제어와 고객 기록, 분리, 법적 청구를 조정하십시오. Self-Custody와 Qualified Custody의 이 부분에서, 이 단계는 기록된 결과가 의존할 수 있는 조건들을 마감합니다. Auditor 또는 regulator는 보호 및 진술을 평가하기 때문에 핵심 역할을 합니다. 작업 기록은 제어 보고서, 자산 검증, 사건 및 시정 조치를 보존해야 합니다.

여기서 도전이 실패하는 경우는 Subcustody Opacity(하위 보관 투명성 부족)입니다: 지정된 보관자가 공개되지 않거나 집중된 제3자에 의존합니다. 이 단계를 테스트하려면 동일한 시간, 범위 및 관리 조건을 사용하여 결과를 증명한 뒤, 기록된 결과 전에 하나의 가정을 변경하십시오. Self-Custody와 Qualified Custody에 대해, 방어 가능한 인계는 누가 승인했는지, 어떤 기록이 변경됐는지, 무엇이 되돌릴 수 있는지, 그리고 다음 참여자가 증거를 거부할 경우 누가 손실을 흡수하는지를 식별합니다.

Self-Custody와 Qualified Custody의 비용, 인센티브 및 대차대조표 효과

Self-custody는 보관 수수료를 피할 수 있지만 보안 인력, 하드웨어, 절차, 테스트, 보험 및 기회 비용이 필요합니다. 하나의 오류로 전체 포지션이 파괴될 수 있다면 저렴한 키 저장은 저렴한 기관 보관이 아닙니다.

Custodian은 고정된 통제를 고객에게 분산하고 보고 및 복구를 지원할 수 있지만, 집중은 시스템적 노출을 초래합니다. 수수료는 법적 보호, 서비스 범위, 인출 가능성 및 남은 무보험 위험과 비교해야 합니다.

하이브리드 구조는 키 또는 정책을 소유자와 제공자 사이에 분할하여 단일 당사자 통제를 감소시킬 수 있습니다. 그러나 거래가 실패할 경우 책임이 복잡해지므로, 도입 전에 역할과 책임을 명확히 해야 합니다.

Self-Custody와 Qualified Custody가 실패하는 지점 및 먼저 테스트해야 할 항목

• 키 손실: 유효한 자격 증명이나 복구 경로가 남아 있지 않습니다. 소유권 및 명령을 설정하는 것을 중단하고 자산 소유자는 정상적인 의무를 유지하며, 이후 self-custody가 위에서 설명한 의미를 여전히 갖는지 확인하십시오.
• 키 절도: 공격자가 되돌릴 수 없게 전송할 충분한 권한을 얻습니다. 키를 생성하고 보호하는 것을 중단하고 키 보유자 또는 서명자는 정상적인 의무를 유지하며, 이후 qualified custody가 위에서 설명한 의미를 여전히 갖는지 확인하십시오.
• 정책 우회: 서명자가 잘못된 주소, 네트워크 또는 트랜잭션을 승인합니다. 거래를 승인하는 것을 중단하고 custodian은 정상적인 의무를 유지하며, 이후 delegated technology가 위에서 설명한 의미를 여전히 갖는지 확인하십시오.
• 보관인 파산: 분리와 법적 청구가 고객 기대와 일치하지 않는다. 기술 제공자가 정상적인 의무를 유지하는 동안 유지 및 복구를 중단하고, 이후 자체 보관이 위에서 설명한 의미를 여전히 갖는지 확인한다.
• 하위 보관 투명성 부족: 명시된 보관인은 공개되지 않거나 집중된 제3자에 의존한다. 감사인이나 규제기관이 정상적인 의무를 유지하는 동안 자산과 권리를 증명하고, 이후 적격 보관이 위에서 설명한 의미를 여전히 갖는지 확인한다.

유용한 자체 보관 및 적격 보관 스트레스 테스트는 각각을 별도로 검증하는 대신 키 손실과 정책 우회를 결합한다. 승인 거래를 동결하거나 지연시키고, 기술 제공자를 사용할 수 없게 만든 뒤, 감사인이나 규제기관이 통제 보고서, 자산 검증, 사고 및 복구 결과를 조정하도록 요구한다. 설계는 자산과 권리를 증명하여 하나의 설명 가능한 상태에 도달하고, 적격 보관과 연계된 권리를 보존하며, 중단 이전에 존재하던 규칙에 따라 모든 부족분을 할당할 때만 통과한다.

작업 예시: 하나의 자체 보관 및 적격 보관 이벤트를 처음부터 끝까지 추적

가족 사무소는 5인 중 3인의 다중 서명 정책으로 디지털 자산을 보관한다. 키는 하드웨어, 위치, 사람에 걸쳐 분산되며, 대규모 전송은 검증된 목적지와 지연된 승인이 필요하다. 이 방식은 단일 보관인을 피하지만 승계와 운영 책임을 만든다. 적격 보관인을 이용하는 기관은 핵심 운영을 외주화할 수 있지만, 여전히 분리, 하위 보관, 보험 한도, 포크, 스테이킹 및 자산 인출 절차를 이해해야 한다.

예시는 키 생성 및 보호를 위한 가정이 변경되거나 보관인이 제공한 증거가 제거될 경우 위조될 수 있다. 승인 거래를 통해 변화를 추적하고, 유지·복구하며, 자산과 권리를 증명한다; 입력에서 바로 최종 결과로 뛰어넘지 않는다. 새로운 자체 보관 및 적격 보관 결과가 소유권·위임, 키 생성·쿼럼 기록, 정책·거래 로그, 백업·복구 테스트, 온체인 잔액, 보관 원장, 분리 및 법적 조건으로부터 재현되지 못한다면, 해당 프로세스는 문서화되지 않은 판단이나 기록에 의존하게 된다.

왜 지금 자체 보관과 적격 보관이 중요한가

기관 채택이 증가함에 따라 누가 보관인으로 적격한지, 고객 자산이 어떻게 분리되는지, 그리고 하위 보관인 및 스마트 계약 전반에 걸쳐 통제가 어떻게 증명되는지에 대한 검토가 강화되고 있다. 자체 보관 기술도 MPC와 스마트 계정을 통해 개선되고 있다. 올바른 선택은 이념이 아니라 자산 가치, 거버넌스 역량, 법적 의무 및 복구 필요성에 따라 결정된다.

자체 보관과 적격 보관에 대한 지속적인 교훈은 소유권과 위임을 설정하고 자산과 권리를 증명하는 것이 동일한 사건이 아니라는 점이다. 중간 단계의 결정이 법적 소유자의 자산과 이를 이전하기 위한 기술적 권한을 결정하며, 자산 소유자와 감사인·규제기관이 기록의 서로 다른 부분을 볼 수 있다. 이러한 결정을 더 저렴하게 검증하도록 자동화하는 것은 가치가 있지만, 하나의 상태로 압축해 하위 보관 투명성을 가릴 경우 위험하다.

자체 보관 및 적격 보관의 근거 증거

자체 보관 및 적격 보관에 대한 주요 증거는 SEC Safeguarding Advisory Client Assets, SEC Custody Rule, NIST Cybersecurity Framework에서 나온다. 이를 보완적인 계층으로 읽어야 한다: 규칙 및 정의, 기관·시장 구조, 그리고 실제 주장을 검증하기 위해 필요한 운영 증거. 위에 언급된 제품 문서, 회계 또는 거래 기록을 대체해서는 안 된다.

자체 보관 및 적격 보관을 의존하기 전에 물어야 할 질문

• 자산 소유자가 소유권, 지갑 인벤토리, 정책, 수혜자 및 명세서를 키 생성·보호 전에 증명할 수 있는가?
• 키 보유자·서명자와 기술 제공자가 의견이 일치하지 않을 경우 어떤 기록이 이를 제어하는가?
• 승인 거래 시 발생하는 노출을 누가 자금 지원하거나 흡수하는가?
• 법적·경제적 측면에서 적격 보관이 자체 보관과 다른 점은 무엇인가?
• 키 도난을 자산과 권리를 증명하기 전에 시스템이 어떻게 감지하는가?
• 보관인이 이용 불가능하거나 증거가 오래된 경우 어떻게 되는가?
• 독립적인 검토자가 결과를 소유권·위임, 키 생성·쿼럼 기록, 정책·거래 로그, 백업·복구 테스트, 온체인 잔액, 보관 원장, 분리 및 법적 조건과 일치하도록 조정할 수 있는가?

자체 보관 및 적격 보관에서는 “플랫폼이 처리한다”와 같은 문구를 명시된 계정, 계약, 타임스탬프, 승인 규칙 및 책임 주체로 교체한다. 완전한 답변은 검토자가 자산과 권리를 증명하는 과정에서 소유권과 위임을 재확인하고, 각 기록의 소유자를 식별하며, 예외 발생 전 손실을 누가 부담하는지 계산할 수 있게 해야 한다.

자체 보관 및 적격 보관의 핵심 원칙

Self-Custody와 Qualified Custody는 법적 소유자의 자산과 이를 다섯 단계 운영 과정을 통해 이전하는 데 필요한 기술적 권한을 분석하고, 결과를 소유권 및 위임, 키 생성 및 정족수 기록, 정책 및 거래 로그, 백업 및 복구 테스트, 온체인 잔액, 보관 원장, 분리, 그리고 법적 조건과 대조할 때 가장 명확해집니다. 흐름은 어떤 변화가 일어나는지를 설명하고; 참여자 표는 누가 그 변화를 승인할 수 있는지를 식별하며; 삼상 비교는 서로 다른 주장들이 혼동되는 것을 방지하고; 실패 지도는 신뢰도가 떨어져야 할 위치를 보여줍니다. 이러한 조합은 눈에 잘 보이지 않는 층으로 이동된 마찰이나 위험이 아닌 실제 개선을 구별합니다.

Self-Custody와 Qualified Custody의 주요 출처

• SEC Safeguarding Advisory Client Assets
• SEC Custody Rule
• NIST Cybersecurity Framework