크립토 거래소 선택 5개 필터 — 포렌식 사전 부검 프레임워크

서문 · 8척의 배, 하나의 청사진

본 연구의 8개 침몰선: Mt.Gox 2014, Bitfinex 2016, BitGrail 2018, Cryptopia 2019, QuadrigaCX 2019, Celsius 2022, Voyager 2022, FTX 2022. 고객 자금 손실은 많게는 약 80억 달러에 이르렀습니다. 각각 당시 시장의 일부 구간에서 1티어 또는 최소한 평판 좋은 거래소로 평가받았습니다. 제2장의 표를 기준으로 하면, 여섯 척은 본문에서 정리할 다섯 개의 적신호 중 4개를, Cryptopia는 2개를 맞췄습니다. 1개만 맞춘 Bitfinex 2016이 예외인데 — 멀티시그 핫월렛 익스플로잇이라는 기술적 이유로 가라앉았지만 — 모든 고객 잔액을 약 36% 감액하고 BFX 토큰으로 보상하는 방식을 택했습니다.

본 강의는 네 부분으로 구성됩니다. 첫째, 8척의 한 단락 부검(필터의 이름을 붙이기 전에 패턴을 먼저 보이기 위해). 둘째, 5개 필터 자체 — 각 필터마다 역사적 기원, 점검 절차, 그리고 몇몇 거래소에 대해 이 아카이브가 공개 자료로 확인할 수 있었던 사실. 셋째, 직접 매긴 점수를 4단계 포지션 규모로 옮기는 결정 트리. 넷째, 프레임워크가 실패하는 지점.

한국 독자께 먼저 하나의 좌표를 드리고 시작하겠습니다. 본 강의는 보편적 거래소 선택 프레임워크이지만, 한국 거주자에게 모든 점검의 출발선은 KoFIU(금융정보분석원) 신고 여부입니다. 「특정금융정보법」 제7조에 따라 한국 거주자를 대상으로 가상자산 영업을 하려면 KoFIU에 신고된 가상자산사업자(VASP)여야 합니다. 2026년 5월 기준 원화 입출금이 가능한 신고 사업자는 다섯 곳입니다 — Upbit, Bithumb, Coinone, Korbit, GOPAX. 본 글의 5개 필터는 그 신고 여부를 확인한 다음 단계의 점검 도구입니다. 외국 거주자나 비거주자 상태의 시민권자에게는 본인 거주국 규정이 우선합니다 — 그 분들께도 5개 필터는 보편적으로 적용됩니다.

제1장 · 8개 침몰을 나란히 놓고 보기

각 침몰선을 한 단락으로 정리합니다. 규모, 손실, 근본 원인, 그리고 구조적으로 무언가 잘못되어 있다는 첫 공개 신호. 본 장의 목적은 패턴 인식입니다 — 8척을 한 번에 읽으면 다음 장에서 이름을 붙이기 전에 공유된 청사진이 이미 또렷해집니다.

Mt.Gox 2014

규모: 정점 시점 전 세계 BTC 거래량의 70% 이상. 손실: 약 85만 BTC — 2014년 기준 4억 8천만 달러. 근본 원인: Wizsec의 2017년 조사에 따르면 2011년 9월 핫월렛 개인키가 도난당했고 2013년 중반까지 약 63만 BTC가 빠져나갔습니다. 침몰 전 첫 신호: 2013년 5월 미국 당국이 Mt.Gox 미국 자회사의 Dwolla 계좌를 무면허 자금 송금 혐의로 압류.

Bitfinex 2016

규모: 2016년 USD/BTC 3대 거래소 중 하나. 손실: 약 12만 BTC — 2016년 기준 7,200만 달러, 2024년 시세로 약 80억 달러. 근본 원인: BitGo를 공동 서명자로 하는 멀티시그 핫월렛 구조가 침해당해 공격자가 필요한 서명 키 두 개를 확보. 결과: Bitfinex는 파산하지 않았습니다. 모든 고객 잔액을 약 36% 감액하고 그 보상으로 BFX 토큰을 발행했습니다. 이후: 2022년 미국 법무부가 약 9만 4천 BTC를 회수했습니다. Bitfinex는 지금도 운영 중입니다.

BitGrail 2018

규모: 작은 이탈리아 거래소이지만 NANO의 주요 거래 무대. 손실: 약 1,700만 NANO, 당시 약 1억 7천만 달러. 경과: 2018년 2월 BitGrail은 해킹으로 NANO를 잃었다고 발표했습니다. 결과: 피렌체 법원은 뒤에 BitGrail이 자금 보호도 제대로 하지 않았고 손실 보고 의무도 다하지 않았다고 판단했습니다(위키백과 · Nano 항목).

Cryptopia 2019

규모: 중간 규모 뉴질랜드 거래소, 정점 시점 월 거래량 약 50억 달러. 손실: 2019년 1월 핫월렛이 털렸고, 블록체인 분석 회사 Elementus는 도난 자산을 당시 약 2,400만 뉴질랜드 달러로 추산했으며 도난은 그 뒤 몇 주 동안 이어졌습니다(위키백과 · Cryptopia 항목). 근본 원인: 원시적 핫월렛 구조 — 지원하는 모든 토큰이 자산별 분리 없이 하나의 핫월렛을 공유, 키 하나의 침해가 전체를 한 번에 비웠습니다. 결과: 2019년 5월 청산 절차에 들어갔습니다.

QuadrigaCX 2019

규모: 당시 캐나다 최대 가상자산 거래소. 손실: 약 2억 캐나다 달러(약 1억 6천만 미국 달러). 근본 원인: 창업자 Gerald Cotten이 2018년 12월 인도에서 사망했다고 보도되었으며 회사는 그만이 콜드월렛 키를 알았다고 주장. Ernst & Young의 포렌식 회계는 그 '콜드월렛'들이 그의 사망 수개월 전부터 이미 비어 있었음을 밝혀냈습니다 — Cotten은 고위험 개인 트레이딩을 위해 고객 자금을 횡령해 왔고 그 간극을 메울 수 없었습니다. 전체 경과는 QuadrigaCX 권에 있습니다.

Celsius 2022

규모: 정점 시점 미국 최대 중앙화 가상자산 대출 플랫폼. 손실: 약 47억 달러의 동결된 고객 예치금. 근본 원인: 플랫폼이 약속한 연 최대 17% 수익률은 고객 예치금을 고위험 DeFi 프로토콜에 배치해서 만들어낸 것이었습니다 — Anchor Protocol의 UST 19.5% 수익과 stETH-ETH 차익거래 포함. 2022년 5월 Luna 붕괴로 손실이 커졌고 6월 stETH 디페그로 손실이 더해진 뒤, Celsius는 6월 13일 인출을 중단하고 7월 파산을 신청했습니다. 결과: CEO Alex Mashinsky는 증권 사기 등 7개 연방 혐의로 기소되었고, 2024년 12월 유죄를 인정했으며(상품사기·증권사기 각 1건), 2025년 5월 징역 12년을 선고받았습니다(위키백과 · Alex Mashinsky 항목).

Voyager 2022

규모: 토론토 증권거래소에 상장된 가상자산 브로커. 손실: 약 16억 5천만 달러 고객 예치금. 근본 원인: Voyager가 단일 거래상대방에게 약 6억 7천만 달러의 고객 자금을 대출했는데 그 상대가 Three Arrows Capital이었습니다. 2022년 6월 3AC가 Luna 노출로 무너지자 Voyager는 대출을 회수할 수 없었습니다. 첫 신호: Voyager의 2022년 초 SEC 공시는 '집중 위험(concentration risk)'을 모호한 표현으로 언급했을 뿐 구체적인 6.7억 달러 단일 상대방 노출을 공개하지 않았습니다. 공시 집계 — 가장 큰 단일 거래상대방 노출을 '집중 위험' 단락에 묻어 두고 이름을 부르지 않는 것 — 그 자체가 적신호입니다.

FTX 2022

규모: 붕괴 직전 글로벌 2위 가상자산 거래소. 손실: 약 80억 달러의 고객 자금 부족분. 근본 원인: Alameda Research — FTX 창업자 SBF가 90% 이상 소유한 트레이딩 회사 — 가 오랫동안 FTX 고객 예치금을 유용했습니다. 전체 재구성은 화폐 침몰록 · 제3권에 있습니다. 첫 신호: 2022년 11월 2일 CoinDesk 기사로 Alameda의 대차대조표가 새어 나간 뒤, 업계는 닷새 안에 문제가 심각하다는 것을 알아차렸습니다. SBF는 11월 7일 트위터에 이렇게 적었습니다 — "FTX is fine. Assets are fine." 나흘 뒤 FTX는 파산 보호를 신청했습니다.

제2장 · 공유된 조기 신호

원인으로 보면 8건은 서로 다른 부류입니다 — 내부자의 사기·유용, 거래 상대방의 부도, 지갑·보안 사고. 그러나 나란히 놓으면 문제는 다섯 차원으로 정리됩니다. 준비금이 독립적으로 검증되었는지, 단일 관할에서만 운영했는지, 사용자 보호 기금이 있었는지, 관계사 트레이딩·대출이 분리되어 있었는지, 책임자의 공개 발언에 확인 가능한 내용이 있었는지입니다. Bitfinex 2016은 예외로, 거버넌스가 아닌 기술적 이유였습니다. 이 다섯 차원을 뒤집은 것이 5개 필터입니다.

제3장 · 다섯 개의 필터

각 필터마다 세 가지를 적습니다 — (1) 왜 중요한가, 역사적 침몰선에 비추어; (2) 어떻게 확인하는가, 구체적인 절차; (3) Binance · Coinbase · Kraken · Bybit · OKX 같은 몇몇 거래소에 대해 이 아카이브가 공개 자료로 확인할 수 있었던 사실. 읽기 전에 하나만 분명히 해 두겠습니다 — 점수는 이 아카이브가 대신 매기지 않습니다. 절차대로 직접 한 번씩 걸러 보십시오. 한국 원화거래소(Upbit, Bithumb, Coinone, Korbit, GOPAX)는 이번에 항목별로 대조하지 못했기 때문에 결론을 적지 않고, 대신 어디를 열어 무엇을 보면 되는지만 적었습니다.

필터 1 · PoR이 있을 것 — 월간 공시, 이용자 부채 측까지 증명, 그리고 본인이 직접 확인 가능할 것

왜 중요한가. PoR이 없다는 것은 거래소가 "우리는 X달러를 보유하고 있다"고 말하는 것을 그대로 받아들이고 점검 권한은 포기하는 것입니다. FTX, QuadrigaCX, Celsius가 2022년 11월 시세 기준 합쳐서 130억 달러에 가까운 고객 자금을 흡수했는데 — 어느 곳도 의미 있는 PoR을 한 번도 공개하지 않았습니다. 만일 셋 중 어느 한 곳이라도 머클트리 부채 측 준비금 보고서를 한 번이라도 공시하도록 강제되었다면 간극은 공개적으로 드러났을 것입니다. PoR은 기술적 질문이 아닙니다. 외부인이 장부를 보는 것을 거래소가 허락할 의지가 있는가의 질문입니다.

역사적 기원. 'Proof of Reserves'라는 용어는 2014년 가상자산 어휘에 처음 등장했습니다. Kraken 창업자 Jesse Powell이 Mt.Gox 붕괴 대응으로 Stefan Thomas(나중에 Ripple CTO)에게 첫 PoR 감사를 의뢰했습니다. 첫 시도였던 만큼 다루는 범위는 제한적이었습니다. 2017년부터 2022년까지 PoR은 선택사항이었습니다. 공개하고 싶은 거래소는 가끔 공개했고, 그렇지 않은 곳은 공개하지 않았습니다. 강제는 없었습니다.

PoR을 업계 표준으로 끌어올린 것은 2022년 11월 FTX 사태 전후였습니다. CZ는 트위터에서 모든 가상자산 거래소가 머클트리 방식의 준비금 증명을 해야 한다고 공개적으로 요구했고, Binance는 곧이어 자체 BTC 준비금 증명을 내고 Mazars에 검증 보고서를 맡겼습니다(위키백과 · Forvis Mazars 항목). 이후 몇 달 동안 여러 거래소가 뒤따랐습니다. 빨리 따라간 곳도, 한참 끈 곳도, 끝내 부채 측 증명을 하지 않은 곳도 있었습니다. 각 거래소의 첫 판이 정확히 언제 나왔는지는 해당 거래소의 PoR 페이지와 공지를 기준으로 삼으십시오. 그 분기 — 누가 따랐고 누가 따르지 않았으며, 따르다가 언제 멈췄는가 — 그 자체로 유용한 필터이며 모두 공개 기록입니다.

한국 거래소의 PoR 진화. 한국 5대 원화거래소는 약간 다른 길을 걸어왔습니다. 「가상자산 이용자 보호법」(2024.07.19 시행)은 거래소에 고객 예치금 분리 보관과 가상자산 보관 기준을 법적 의무로 부과했습니다. 법으로 묶인 분리 보관은 머클트리 방식의 PoR과는 다른 종류의 보증입니다 — 자산이 어디 있느냐는 쪽을 규제가 대신 담보해 주는 대신, 이용자 본인이 자기 잔액을 스냅샷에 대조해 보는 쪽은 여전히 비어 있습니다. 국내 원화거래소 각 사가 준비금 관련 공시를 어디까지 하고 있는지는 시기에 따라 달라지니, 이 글에 숫자나 도입 일정을 적어 두는 대신 각 사 공시·투명성 페이지를 직접 여시기를 권합니다. 볼 것은 세 가지입니다 — 정기적으로 내고 있는가, 스냅샷 시점과 검증 방식을 적어 두는가, 본인 계정을 대조할 도구가 있는가.

2023년부터의 기술적 진화: zk-SNARK 부채 증명. 첫 번째 FTX 이후 PoR 물결은 단순한 머클트리를 사용했습니다 — 본인 계정 ID를 해시하고 본인 잔액이 트리에 포함되었는지 확인합니다. 약점은 포함된 모든 잔액의 합이 거래소가 공시한 총 부채와 같다는 것을 이 방식으로는 검증할 수 없다는 점입니다. 공격면: 거래소가 트리의 일부 사용자에게 헤어컷된 잔액을 줄 수 있습니다(실제 빚: 1 BTC, 트리 항목: 0.9 BTC); 각 사용자는 본인 행만 볼 뿐 합계는 보지 못합니다.

2023년 2월부터 Binance는 PoR에 zk-SNARK 모듈을 더했습니다. 암호학적 보장은 "모든 사용자 잔액의 합이 X이다"를 개별 잔액을 노출하지 않고 검증하고 — X가 온체인 자산 총합 이하임을 검증한다는 것입니다. Coinbase는 미국 상장 회사로서 다른 경로를 걷습니다 — 분기 SOC 보고서 + 독립 제3자 감사 + SEC 10-Q 공시가 규제 보완 역할. 두 경로 모두 부채 측을 검증합니다. 전자는 더 실시간이고 더 온체인입니다. 후자는 감사가 부정직할 경우 더 강한 법적 구제가 있습니다.

점검 절차(단계별).

1. 거래소 공식 사이트를 열고 'Proof of Reserves' 또는 'PoR' 또는 한국어 사이트의 경우 '준비금 공시'를 검색 — 페이지가 존재하지 않으면 이 필터는 해당 거래소에 대해 0점.
2. 누가 서명했는지, 서명이 있기는 한지 확인. 법인 이름이 적혀 있다면 빅4나 대형 독립 법인(Deloitte, PwC)이 무명 회계사보다 무게가 있습니다. 독립 제3자가 낸 보고서가 있으면 더 믿을 만하고, 없으면 온체인 주소를 직접 대조하는 수밖에 없습니다.
3. 주기를 확인. 월간이 분기보다, 분기가 연간보다 낫고, 주기 약속이 없는 것은 PoR이 아닙니다. 변동성이 큰 시장에서 5개월 된 스냅샷은 기능적으로 유통기한이 지난 자료입니다.
4. 부채까지 다루는지 확인. 자산 측 PoR만 있으면 게이밍이 가능합니다 — 스냅샷 당일 친구에게 코인을 빌리면 됩니다. 부채 쪽에도 검증 가능한 증명이 있어야 합니다. 보고서가 "우리 BTC 지갑 잔액은 X"만 말하고 "사용자 측 부채는 Y, X ≥ Y"를 말하지 않으면 보고서 가치는 반감됩니다.
5. 자가 감사 가능 여부 확인. 좋은 PoR은 자가 감사 도구를 제공합니다 — 본인 계정 해시를 입력하면 최신 머클트리에 본인 잔액이 포함되었음을 즉시 확인. 제공 여부는 각 거래소 PoR 페이지를 기준으로 하십시오.

각 거래소에 대어 보면: Binance, OKX, Kraken은 공식 PoR 페이지가 있으며(링크는 글 끝 출처란), 주기·메커니즘·본인 조회 입구는 각 페이지에 그때 적혀 있는 내용을 기준으로 하십시오. Coinbase는 상장사 정기 공시라는 다른 길을 가며, 거래소식 본인 조회 입구는 없습니다. 나머지 거래소는 위의 네 단계로 직접 걸러 보시고, 각 거래소의 당기 준비율도 그 거래소 PoR 페이지에서 직접 확인하십시오. 그 페이지는 늘 바뀝니다.

필터 2 · 다중 관할에 걸친 최소 3개의 의미 있는 금융 라이선스

왜 중요한가. 단일 관할 운영은 정책 위험을 한 곳에 집중시킵니다. Cryptopia는 단일 관할 뉴질랜드에서 죽었습니다. BitGrail은 단일 관할 이탈리아에서 죽었습니다. Mt.Gox는 명목상 일본에서만 운영되었고 라이선스를 가진 해외 자회사가 없었습니다. 다중 관할은 정책 위험 분산 그 이상입니다 — 최소 3개의 독립 규제 당국이 컴플라이언스 서류를 따로따로 검토했다는 뜻입니다. 그것은 하나가 아니라 세 개의 독립 도장입니다. 어떤 거래소의 컴플라이언스 문서가 장식인지 의심된다면, 감사를 의뢰하는 것보다 가장 저렴한 반증은 같은 문서가 미국 NMLS, 싱가포르 MAS처럼 기준이 서로 겹치지 않는 규제기관을 함께 통과했는지 확인하는 것입니다.

관할 등급 분류. 가상자산 라이선스는 세 등급으로 나뉩니다.

• 1티어(취득 진정 어려움): 미국 뉴욕 NYDFS BitLicense(2015년 도입 이후 발급 건수가 많지 않고 심사 기간도 대체로 깁니다); 일본 FSA(자본금 1,000만 엔 이상, 월간 컴플라이언스 보고, 이용자 자산 95% 콜드 스토리지 요건); 싱가포르 MAS DPT Licence(발급 속도가 느리고 보유 기관 수가 제한적); 홍콩 SFC Type 1/7(물리적 사무소 + 지정 책임자 필수). 한국 KoFIU 가상자산사업자 신고(「특정금융정보법」에 따라 ISMS 인증 등이 요건이고, 원화 거래를 하려면 은행 실명확인 입출금 계정이 필요)는 해외 라이선스와 일대일로 비교하기 어렵지만, 한국 거주자에게는 모든 점검의 출발선입니다.
• 2티어(중간 기준): 독일 BaFin Kryptowerte(2020년 이후); 아일랜드 중앙은행; 영국 FCA Crypto Registration.
• 3티어: 두바이 VARA(2022년 설립); 바하마 SCB(FTX가 보유했던 것); 카자흐스탄 AFSA; 세이셸. 단일 3티어 라이선스가 1티어를 대체할 수는 없습니다. FTX의 국제 사업이 기대고 있던 것이 바하마 SCB 라이선스였습니다.

점검 절차.

1. 거래소의 'Regulation' 또는 'Licenses' 페이지를 엽니다 — 보통 푸터 또는 About 하위 페이지. 페이지가 없거나 라이선스 번호 없이 이미지만 표시하면 0점.
2. 각 라이선스를 규제기관 공개 등록부에서 검증. FCA, VARA, FINTRAC, FSA, NMLS, MAS, SFC, BaFin 그리고 KoFIU 모두 공개 디렉터리 운영. 회사명 + 라이선스 번호, 30초 안에 확인 가능.
3. '신청 중', '논의 중', '원칙적 승인'은 인정되지 않습니다 — 오직 '발급 및 유효'만 인정. 원칙 승인에서 운영 허가까지는 시간이 걸릴 수 있습니다.
4. 티어 가중치. MiCA-CASP(EU 전체) > MSB(미국 FinCEN) > 주 단위. 전자는 27개 EU 회원국을 커버하고 후자는 한 주만 커버합니다. MiCA-CASP 하나는 단일 주 라이선스 4~5개와 거의 등가입니다.
5. 라이선스가 여전히 유효한지 확인. 규제기관은 취소 등록부를 공시합니다 — FTX가 무너진 뒤 바하마 SCB는 자회사 FTX Digital Markets의 자산을 동결하고 임시 청산인을 지정했습니다. 거래소 사이트에 여전히 표시된 라이선스는 역사적 기록에 불과할 수 있습니다.

대조 · 주요 거래소에 대해 공개 자료로 확인한 라이선스 예시(2026년 9월 확인, 전체 목록 아님).

이 표는 이 아카이브가 출처를 찾을 수 있었던 몇 항목만 적은 것으로, 각 거래소의 전체 라이선스 목록이 아니며 개수로 순위를 매긴 것도 아닙니다. 각 거래소가 실제로 보유한 라이선스는 여기 적힌 것보다 많고 해마다 달라집니다. 한국 원화거래소 다섯 곳은 KoFIU 신고 사업자 목록에서 직접 확인하시면 됩니다. 어느 거래소든 판단할 때는 위 절차대로 규제기관 공식 등록부를 하나씩 조회하고, '발급'으로 확인되는 것만 세십시오.

각 거래소에 대어 보면: 방향만 말하자면, Coinbase는 미국 본토 라이선스가 가장 촘촘하고, Binance·Kraken·OKX·Bybit는 최근 몇 년 사이 유럽과 중동에서 라이선스를 채워 가며 커버 범위를 넓히고 있습니다. 어느 거래소가 1티어 관할(뉴욕·일본·싱가포르·홍콩)에서 정식 라이선스를 갖고 있는지가 이 필터에서 직접 등록부를 열어 확인해 볼 가치가 가장 큰 부분입니다.

필터 3 · 공개 사용자 보호 기금(공개 달러 금액 및 온체인 검증 가능 지갑)

왜 중요한가. 본 연구의 8척 중 단 한 척도 사용자를 위해 인출 가능한 진짜 보호 기금을 갖지 않았습니다. 외부 원인으로 죽은 배(Cryptopia 해킹)에서도 사용자는 파산 채권자 줄 맨 뒤로 보내졌습니다. Binance는 2018년 7월 SAFU(Secure Asset Fund for Users)를 만들면서 거래 수수료의 10%를 별도 지갑에 넣겠다고 발표했고, OKX도 2018년 보험 기금에 자금을 넣었습니다(아래 비교 참조).

'보험 기금'의 세 가지 구조적 형태 — 동등하지 않습니다.

• 온체인 분리 지갑(Binance SAFU 패턴): 거래소가 기금을 공개된 온체인 주소에 보관. 잔액을 누구나 점검할 수 있음.
• 대차대조표 충당금(적지 않은 거래소의 '위험 준비금'이 이 형태): 거래소가 법인 대차대조표에 '사용자 보호 충당금' 항목을 두지만 별도 지갑으로 분리하지 않음. 여전히 거래소 자금이며, 바깥에서 잔액을 확인할 수 없음.
• 상업 보험(Coinbase 패턴): 거래소가 보험사에서 상업 보험을 구매. 강점: 법적으로 강제 가능한 실제 청구권 존재. 약점: 보험 약관이 일반적으로 비공개, 커버 상한 제한적, 대부분 특정 사건(전형적으로 해킹, 운영자 횡령은 아님)만 커버.
• 한국 모델 · 법정 분리 보관 + 사이버 보안 보험: 「가상자산 이용자 보호법」(2024.07.19)이 만든 한국 특유의 4번째 형태. 법은 거래소에 (a) 고객 예치금을 신탁업자 또는 인가 금융기관에 분리 보관하고, (b) 가상자산의 80% 이상을 콜드월렛에 보관하며, (c) 핫월렛 잔고에 대한 보험·공제·준비금 중 하나를 의무화. 이것은 SAFU 모델의 분리 지갑은 아니지만 법적 강제력이 있다는 점이 결정적 차이입니다. 그 위에 거래소가 자체 보호 기금을 얼마나 더 쌓았는지는 각 사 공시를 기준으로 하십시오.

몇몇 대형 거래소의 보호 장치 비교.

• Binance SAFU: 2018년 7월 설립. 당시 Binance는 거래 수수료의 10%를 별도 지갑에 넣겠다고 발표했습니다. 다만 이후의 공식 표현은 'SAFU 규모를 계속 모니터링해 이용자를 보호하기에 충분한 수준으로 유지한다'로 바뀌었고, 매 거래에서 고정 비율을 떼어낸다는 설명은 더 이상 하지 않습니다. 2024년 4월 18일 공지 "Update: SAFU Conversion to USDC"에서 기금 전액을 USDC로 전환했고, 규모에 대해서는 변동하지만 '이 수준은 통상 10억 달러로 설정한다'고 적었습니다. 같은 공지에 공개된 주소는 단 하나 — 0x420ef1f25563593aF5FE3f9b9d3bC56a8bd8c104 — 이므로 잔액은 믿고 넘어갈 대상이 아니라 누구나 직접 온체인에서 확인할 수 있는 숫자입니다. 실제로 쓰인 사례로 공개 확인된 것은 단 한 번, 2019년 5월 Binance 자신이 약 7,000 BTC(당시 시세로 약 4천만 달러)를 해킹당했을 때이며 전액을 SAFU로 충당해 이용자 손실은 없었습니다. 2020년 KuCoin 사건과 2022년 BSC Token Hub 사건이 SAFU 인출 이력으로 함께 묶이는 일이 잦지만, 공식 문서 기준으로는 둘 다 해당하지 않습니다.
• Coinbase: 상업 보험의 길을 택했고, 2014년부터 자사 서버에 보관한 비트코인에 대해 보험을 들어 왔습니다(위키백과 · Coinbase 항목). 보험 금액과 약관은 전부 공개되어 있지 않으며, 상업 보험은 보통 특정 사건(예: 해킹)만 보상하고 운영자의 유용은 보상하지 않습니다 — 이것이 SAFU와의 가장 큰 차이입니다. 상장사라는 점은 추가적인 방어막(더 예측 가능한 파산 절차)이 되지만, '보험' 자체는 엄밀히 말해 온체인으로 검증할 수 없습니다.
• OKX: 2018년의 한 거래 사고 뒤 보험 기금에 2,500 BTC를 넣은 적이 있습니다(위키백과 · OKX 항목). 현재 위험 준비금의 규모와 공시 상황은 OKX 공식 페이지에 그때 적혀 있는 기준을 따르십시오.
• Bybit: 이용자 보호 기금이 있다고 밝히고 있으며, 금액과 온체인 주소는 공식 페이지를 기준으로 하십시오. 덧붙일 점은, 2025년 2월 Bybit가 약 40만 ETH(약 14억~15억 달러어치)를 도난당했고 FBI가 이 공격을 북한 해커의 소행으로 지목했다는 것입니다(위키백과 · Bybit 항목). 이 필터를 볼 때 이 사건과 그 뒤 고객 손실을 어떻게 처리했는지는 공식 공지에서 직접 찾아볼 만합니다.
• Kraken: 별도의 온체인 보호 기금은 두지 않았습니다. 상업 보험 가입 상황은 공식 안내를 기준으로 하십시오.
• Bitstamp: 보험 장치는 공식 안내를 기준으로 하십시오. 2025년 6월부터 미국 상장사 Robinhood 소유가 되었으므로(위키백과 · Bitstamp 항목) 이후 공시 기준은 모회사를 따라갈 수 있습니다.
• Gate.io: 이용자 보호 기금의 금액과 검증 방식은 공식 페이지를 기준으로 하십시오.
• 한국 원화거래소: 다섯 곳 모두 위의 법정 의무(예치금 분리 보관, 콜드월렛 보관 비율, 보험·공제·준비금)를 적용받습니다. 그 위에 각 사가 따로 쌓은 보호 기금의 규모는 각 사 공시에서 직접 확인하십시오.

점검 절차.

1. 공개 달러 금액 또는 검증 가능 잔액을 갖춘 공개 온체인 지갑 주소를 찾습니다. 둘 다 없으면 0점.
2. 구조적 형태 확인. 분리 온체인 지갑 > 대차대조표 충당금 > 비공개 약관 상업 보험. 한국의 경우 법정 분리 보관 + 추가 자체 적립이 별도 항목.
3. 비율 계산. 보험 기금 규모를 그 거래소 PoR 페이지에 나온 이용자 자산 총액으로 나눠 대략의 비율을 구해 보십시오. 두 숫자 모두 회차마다 바뀌니 본인이 확인한 회차의 값을 쓰십시오. 무시해도 될 만큼 작은 비율의 기금은 실질보다 상징에 가깝습니다.
4. 실제로 인출된 적이 있는지 확인하되, 인출 한 건마다 공식 출처를 찾을 수 있어야 합니다. Binance SAFU에서 공개적으로 확인되는 실전 사용은 2019년 5월 자체 피해 한 번뿐입니다. 인터넷에 도는 'SAFU 인출 이력'에는 KuCoin 2020, BSC Token Hub 2022처럼 SAFU를 쓴 적이 없는 사건이 섞여 있어, 그대로 옮기면 과대평가하게 됩니다. 한 번도 인출되지 않았거나 인출 기록을 공식 공지까지 추적할 수 없는 기금은 운영 메커니즘이 검증되지 않은 것으로 봅니다.
5. 공시 주기 확인. 한 번 발표하고 그 뒤로 소식이 없으면 감점.

각 거래소에 대어 보면: 확인할 수 있었던 것은 이 정도입니다 — Binance SAFU는 주소가 공개되어 있고, 공식적으로 규모 기준을 밝힌 적이 있으며, 공식 확인된 실제 사용이 한 번 있습니다. Coinbase는 상업 보험이고 약관이 전부 공개되어 있지 않습니다. 다른 거래소는 직접 확인할 때 위 다섯 단계를 하나씩 거치고, 찾을 수 없는 항목은 '없음'으로 치십시오.

필터 4 · 관계 거래 회사 부재, 또는 격리에 대한 독립 감사

왜 중요한가. FTX-Alameda. Celsius의 CEL 펌프-앤-차입 내부 장부. Voyager의 단일 거래상대방 3AC 노출. 세 다른 패턴, 같은 근본 결함: 기업 집단이 거래소(또는 수탁자)와 관계 트레이딩 법인(또는 단일 거래상대방)을 동시에 운영하면서 사이에 강제된 장벽이 없음. FTX에서 가장 치명적이었던 것은 구조입니다 — SBF는 FTX(거래소)와 Alameda(마켓메이커)를 함께 소유했고, FTX 고객 자금의 상당 부분을 Alameda의 '고빈도 마켓메이킹'에 돌렸습니다. Alameda가 돈을 잃었고, 80억 달러의 구멍은 그렇게 생겼습니다. 규제받는 증권사가 같은 일을 했다면 그것은 곧 고객 자산 유용입니다. 가상자산 거래소에는 많은 관할에서 아직 그만한 강도의 고객 자산 분리 요건이 없으므로, 관계사 위험은 거의 전적으로 거래소의 자기 규율과 독립 감사에 기대고 있습니다.

반례 · FTX-Alameda 자금 혼융 청사진. 2019년 FTX가 홍콩에서 설립되었을 때 SBF는 이미 2년째 Alameda를 운영하고 있었고, 2021년 FTX는 본사를 홍콩에서 바하마로 옮겼습니다(Bloomberg 보도). 명목상 두 회사였습니다. 그러나 FTX 백엔드 코드에는 스위치 — 외부 명명 'allow_negative' — 가 있었고, Alameda 소속 특정 계정 하나에 적용되었습니다. 그 스위치는 그 계정이 표시된 담보를 훨씬 초과하는 고객 자금을 청산 트리거 없이 차입하게 했습니다. 그 스위치의 존재는 사후 CEO John J. Ray III(엔론을 처리한 같은 John Ray)의 첫 구조조정 선언서에서 공개되었습니다.

Alameda는 이 스위치를 통해 FTX 고객 자금을 대규모로 끌어다 썼습니다. FTX 고객 자금 부족분은 그렇게 생겼습니다. 규제 쪽에서는 이런 구조를 'commingling(자금 혼융)'이라고 부릅니다. 본질: 단일 본인이 A 회사와 B 회사를 통제. B 회사가 손실을 보면 A 회사의 고객 자금이 저항 없이 B로 흘러갑니다. 흐름은 송금이나 종이 기록이 필요 없습니다 — 백엔드 불리언 하나면 됩니다.

Binance의 관계사 문제로 공개 기록에 남은 것. 2023년 6월 미국 SEC는 Binance와 창펑 자오(CZ)를 제소하면서, 고객 자산이 뒤섞였고 CZ가 통제하는 Sigma Chain과 Merit Peak로 옮겨졌다고 주장했습니다(SEC 발표). 이 사건은 2025년 5월 소 취하로 종결되었고(법원 기록), 그 주장은 재판을 거쳐 인정된 적이 없습니다. 자주 거론되는 40억 달러대 합의는 별개의 일입니다. 2023년 11월 미국 법무부, 재무부 산하 FinCEN과 OFAC, 그리고 CFTC를 상대로 한 것이었고, 대상은 자금세탁 방지 위반·무인가 영업·제재 위반이었습니다(미국 재무부 발표).

비교 반례 · 미국 상장 공개 회사 Coinbase. Coinbase는 2021년 4월 NASDAQ에 직상장(티커 COIN). 상장 행위 자체가 강한 격리입니다. SEC가 모든 관계자 거래에 대한 10-K 연간 + 10-Q 분기 공시를 요구하고, CEO Brian Armstrong의 개인 가상자산 회사 지분은 보고 의무 대상. Coinbase Ventures(투자 부문)는 독립 LP 구조 사용; Coinbase Custody는 별도 법인. 이 구조의 비용은 적지 않습니다 — 상장사의 컴플라이언스 지출은 매년 큰돈입니다 — 그 대가로 '고객 자금이 CEO 개인 프로젝트로 흘러갈 수 없다'는 강한 보장을 얻습니다. 지금으로서는 가장 깨끗한 구조이지만, 거래소가 상장사의 컴플라이언스 부담을 받아들일 의지가 있어야 가능한 길입니다.

대조 · 주요 거래소의 관계사 문제에 대해 확인할 수 있는 공개 사실(2026년 9월 확인).

한국 원화거래소의 지배구조와 계열사는 금융감독원 전자공시시스템(DART)과 각 사 공시에서 직접 확인하실 수 있습니다.

점검 절차.

1. 지배주주나 CEO가 동시에 다른 가상자산 회사를 통제하는지 검색. OpenCorporates, SEC EDGAR, 홍콩 회사등록처, 한국 전자공시시스템(DART) 모두 무료.
2. 관계 법인이 있다면 SOC 2 Type 2 또는 등가 독립 감사가 격리를 증명하는지 확인. SOC 2 Type 2는 '통제 효과성'을 심사하는 미국공인회계사협회(AICPA) 기준으로, 이런 보고서를 내놓을 수 있는 가상자산 거래소는 많지 않습니다. 있다고 하면 보고서나 공식 사이트의 설명을 요청하십시오.
3. 거래소가 최대 단일 거래상대방 노출 비중을 공시하는지 확인(Voyager는 하지 않았고, FTX도 Alameda 비중을 공시하지 않았습니다). 이 항목을 스스로 공시하는 거래소는 가점.
4. CEO LinkedIn과 법인 등록부 확인 — CEO가 동시에 다수 가상자산 법인 이사로 등재된 경우 0.5점 감점.
5. 플랫폼 토큰. 거래소가 토큰을 발행(BNB, OKB, GT, KCS)하는 것 자체는 문제가 아니지만, 토큰이 같은 거래소 내에서 담보나 증거금으로 사용되는 것은 관계사 위험. BNB는 Binance에서 수수료 할인 결제에 쓸 수 있고 일부 상품에서는 담보로도 쓰입니다. OKB는 OKX 안에서 쓰임새가 더 넓습니다.

각 거래소에 대어 보면: 방향만 말하자면, 상장사(Coinbase, 그리고 지금은 Robinhood 산하인 Bitstamp)는 관계사 공시가 법정 의무로 받쳐지므로 이 필터에서 구조적으로 유리합니다. 비상장 거래소는 위 다섯 단계로 주주, 관계 법인, 플랫폼 토큰의 쓰임새를 직접 확인하는 수밖에 없습니다.

필터 5 · CEO 공개 발언 신뢰도

왜 중요한가. 배가 가라앉은 뒤 여기저기 퍼져 나르는 CEO 어록은, 널리 퍼진 것일수록 원출처를 찾기가 어렵습니다. 퍼 나르는 쪽은 누가 언제 누구에게 한 말인지를 확인하지 않으니까요. 그래서 이 필터의 판단 기준은 "그가 무슨 명언을 남겼는가"가 아니라, 홍보용이 아닌 자리에서 리스크 질문을 받았을 때 내놓는 것이 장치인가 형용사인가입니다. 대조 주기가 얼마인지, 제3자 감사는 누가 하는지, 준비금 증명은 얼마 간격으로 내는지, 사고가 나면 누가 결정하는지 — 이런 것이 장치입니다. "저희는 리스크를 매우 중요하게 생각합니다", "보안이 최우선입니다" — 이런 것이 형용사이고, 형용사는 뒤에 아무것도 없어도 됩니다. 누구나 말할 수 있으니까요. 이 필터가 앞의 넷과 같은 가중치를 갖는 이유는 더 정확해서가 아니라 가장 싸기 때문입니다. 앞의 네 개는 문서를 뒤져야 하지만, 이건 팟캐스트 두 개만 들으면 됩니다.

반례 · 출처를 확인할 수 있는 침몰 거래소 CEO 발언 몇 가지

• Sam Bankman-Fried (FTX), 2022년 11월 30일 뉴욕타임스 DealBook 서밋: "We completely failed on risk."(우리는 리스크 관리에서 완전히 실패했다.) 배가 가라앉은 뒤에 나온 말이니 예고라고는 할 수 없습니다. 다만 다른 쓸모가 있습니다 — 한때 320억 달러로 평가받던 거래소가 파산에 이를 만큼 리스크 관리에 "완전히 실패"할 수 있는데, 그 전까지 바깥에서는 거의 아무것도 보이지 않았다는 뜻이기 때문입니다. CEO의 말만 듣고 이런 위험을 걸러낼 수 없다는 근거가 바로 이 대목입니다.
• Alex Mashinsky (Celsius): "Somebody is lying. Either the bank is lying or Celsius is lying."(누군가는 거짓말을 하고 있다. 은행이 거짓말을 하거나 Celsius가 거짓말을 하거나.) 이 발언은 기자 Zeke Faux가 2023년 저서 Number Go Up에 옮겨 적은 것입니다. 당시 Celsius는 17% 수준의 연 수익률을 내걸고 있었고, 고객 자금의 상당 부분이 Anchor와 stETH에 들어가 있었는데 Anchor의 19.5%는 그 자체로 버틸 수 없는 숫자였습니다. 수익이 어디서 나오느냐는 질문에 돌아온 답은, 돈의 행방을 설명하는 대신 질문한 쪽을 "거짓말하는 편"으로 밀어 넣는 것이었습니다.
• Stephen Ehrlich (Voyager): 이 항목에서 볼 것은 그가 한 말이 아니라 공개 기록입니다. Voyager는 3AC에 약 6억 7천만 달러를 빌려주었고 끝내 회수하지 못했습니다(위키백과 · Voyager Digital 항목).
• FTX가 무너지기 직전의 한 줄, SBF의 2022년 11월 7일 트윗: "FTX is fine. Assets are fine." 나흘 뒤 FTX는 델라웨어에서 파산 보호 신청.

현직·전직 CEO에 대해 확인할 수 있는 공개 사실.

• 창펑 자오 (CZ, Binance 창업자): 2023년 11월 미국 법무부와 유죄 인정 합의를 맺고 CEO에서 물러났습니다. 합의에 따라 개인적으로 법무부에 5,000만 달러의 벌금을, CFTC에 1억 5,000만 달러의 민사 제재금을 냈고(CFTC 발표), 2024년 4월 30일 징역 4개월을 선고받았습니다(위키백과 · 창펑 자오 항목).
• Brian Armstrong (Coinbase): 상장사 CEO로서 분기 실적 발표 컨퍼런스콜에 본인이 직접 나와야 합니다(CFO가 대신할 수 없음). 2023년 SEC가 Coinbase를 제소하자 회사는 법정에서 다투는 길을 택했고, 2025년 2월 SEC가 소를 취하하면서 소송은 끝났습니다(위키백과 · Coinbase 항목).
• Jean-Baptiste Graftieaux (Bitstamp CEO): Bitstamp는 2011년 Nejc Kodrič와 Damian Merlak이 세웠고 현재 CEO는 Graftieaux입니다(위키백과 · Bitstamp 항목). 2025년 6월 Robinhood가 인수를 마친 뒤로 Bitstamp는 Robinhood 소유입니다.

점검 절차.

1. CEO 이름 + 'podcast' + 'interview' 검색 — 가장 최근의 공개 대화 2~3개 청취. YouTube와 Apple Podcasts가 직접 채널. 한국 CEO의 경우 국정감사 출석 영상 및 국회 가상자산 TF 자료가 가장 신뢰할 수 있는 1차 소스.
2. 네 가지 부정 신호 주시: (1) 위험 선호 자랑("우리는 가장 공격적이다"); (2) 규제기관 경멸 발언("규제기관은 이해 못 한다"); (3) 경쟁사 인신 공격; (4) 모든 우려를 'FUD'로 일괄 일축.
3. 세 가지 긍정 신호 주시: (1) '지속적으로 개선 중' 보일러플레이트가 아닌 구체적 단어로 오류 인정; (2) 구체적 숫자 인용(사용자 수, 준비율, 유동성 깊이); (3) 리스크 관리 세부 사항 논의(팀 규모, 도구, 감사 주기).
4. 5년 종단으로 보기 — CEO의 5년 일관성이 어느 한 인터뷰보다 정보가 많습니다. 트위터 이력과 오래된 인터뷰 영상 모두 무료 아카이브.
5. CEO가 분기 실적 발표(공개) 또는 월간 AMA(비공개)에 직접 출석하는지 확인. CEO가 CFO/PR에게 전체 발표를 대체시키면 0.5점 감점.

각 거래소에 대어 보면: 이 필터는 원래 직접 들어 보셔야 하는 것입니다. 먼저 알아 두면 좋을 배경 몇 가지만 적습니다. Binance의 Richard Teng은 규제기관 출신입니다. Coinbase의 Brian Armstrong은 상장사 CEO여서 분기마다 열리는 실적 발표가 그대로 긴 시간의 기록이 됩니다. Kraken은 2023년 4월 Dave Ripley가 CEO를 이어받았고 2024년 10월부터 Arjun Sethi와 공동 CEO를 맡고 있어(위키백과 · Kraken 항목) 교체 이후의 발언 기록이 아직 길지 않습니다. OKX 창업자 Star Xu, Bybit 창업자 겸 CEO Ben Zhou는 위 다섯 단계대로 인터뷰를 찾아 들어 보시면 됩니다. 한국 원화거래소 대표들은 국정감사 출석 영상과 각 사 공시가 가장 확인하기 쉬운 1차 자료입니다.

제4장 · 다섯 필터로 지금의 거래소를 걸러 보기

쓰는 법은 간단합니다. 필터마다 통과하면 1점, 절반만 통과하면 0.5점, 통과하지 못하면 0점을 주고 다섯 개를 더합니다. 만점은 5점입니다. 점수는 직접 매기십시오 — 위의 필터마다 확인 절차를 적어 두었고, 거래소 한 곳을 확인하는 데 대략 하룻저녁이면 됩니다.

이 글은 어느 거래소에도 점수를 매기지 않습니다. 한국 거주자에게는 KoFIU 신고 여부가 이 점수보다 먼저입니다.

결정 트리 · 점수에서 포지션 규모까지

점수를 매겼다면 그다음에는 그것을 포지션 규모로 옮기는 규칙이 필요합니다 — 0~5점의 연속 구간을 네 단계로 나누고, 단계마다 다른 자금 비중을 두는 방식입니다. 매핑은 의도적으로 보수적입니다 — 위쪽으로 틀리는 비용은 작고(자산이 늘어나는 속도가 느려질 뿐) 아래쪽으로 틀리는 비용은 전손이기 때문입니다.

• 주력 등급(점수 ≥ 4.5/5): 주된 거래 포지션을 둘 수 있는 곳. 어느 거래소가 이 등급에 드는지는 직접 매긴 점수를 기준으로 하십시오. 한국 거주자라면 먼저 KoFIU 신고 거래소 안에서 고르는 것이 출발점이며, 본 글은 한국 거주자에게 해외 거래소 가입을 권유하지 않습니다.
• 보조 등급(3.5/5 ≤ 점수 < 4.5/5): 주력보다 작은 포지션. 핵심 용도: (1) 주력 거래소가 인출을 중단할 경우 대피 채널; (2) 주력 거래소가 지원하지 않는 자산이나 지역의 백업; (3) 거래소 간 차익거래 상대. 보조 등급 거래소에 장기 보유 자산을 두는 것은 권하지 않습니다.
• 신중 등급(2.5/5 ≤ 점수 < 3.5/5): 실험적 소액 포지션. 이 등급의 특징은 '어떤 항목은 강하고 어떤 항목은 뚜렷하게 약하다'는 것입니다 — 실험 포지션을 돌려 볼 수는 있지만 장기 자금은 두지 않습니다.
• 비등급(점수 < 2.5/5): 배분 0. 이런 거래소가 반드시 사고를 낸다는 뜻이 아니라, 구조적 필터에서 뚜렷하게 뒤처져 있어 자금을 둘 만한 위험 대가가 없다는 뜻입니다.

재실행 주기: 이 점수는 반년마다 다시 매겨야 합니다. 그 사이 큰 사건 — 주요 거래소의 규제 처분, 주요 거래소 CEO의 공개 발언에서 나온 적신호, 주요 거래소의 PoR 주기 누락, KoFIU 신고 사업자 목록 변경 — 이 생기면 그때그때 끼워 넣어 다시 봅니다.

점수를 매길 때의 두 가지 메모.

1. 점수는 구조적 위험만 다룹니다. 두 거래소의 점수가 비슷하다면 남은 차이는 제품 기능, 지역 가용성, 지원 자산 같은 부차적 차원이고, 이 강의에서는 다루지 않습니다.
2. 점수는 매긴 그 시점만 반영합니다. 다섯 필터의 실질 내용은 업계와 함께 변합니다. 2027년이 되면 '실시간 온체인 감사'나 'AI 리스크 관리 공개 수준' 같은 항목이 더해질 수도 있습니다. 반년마다 다시 매기십시오.

제5장 · 프레임워크 한계 · 자기 비판

한계 1 · 숨겨진 관계사 자금 혼융은 바깥에서 보이지 않습니다

FTX가 무너지기 한 달 전인 2022년 10월, FTX에는 규제 라이선스(바하마 SCB 등)가 있었고 PR 노출이 매우 높았습니다. 제2장의 표는 사후 시점에 드러난 사실로 채운 것이며, 당시 바깥에서 볼 수 있던 정보만으로는 관계사 문제를 확인할 수 없었습니다.

그래서 프레임워크에는 근본적 사각지대가 있습니다 — 숨겨진 관계사 자금 혼융은 외부에서 보이지 않습니다. FTX/Alameda 'allow_negative' 백엔드 스위치는 John Ray III 팀이 파산 후 코드베이스를 뒤져서 발견했습니다. 어떤 외부 감사, 규제 실사, 사용자 조사도 2022년 10월에 그것을 볼 수 없었습니다. 교훈: 5/5 ≠ 100% 안전. 프레임워크는 주요 구조적 위험을 걸러내지만 내부 숨겨진 혼융에는 거의 무력합니다. 주력 등급 거래소를 사용하더라도, 제1강의 원칙은 여전히 적용됩니다 — 장기 보유 자금은 자가 수탁 하드웨어 지갑에 두고, 거래소는 단기 거래에 사용할 만큼만.

한계 2 · 2014년에 이 프레임워크는 존재하지 않았습니다

화폐 침몰록 · 제1권을 돌아보면, 2014년 Mt.Gox에는 PoR도, 이용자 보호 기금도 없었고 관할은 일본 한 곳이었습니다. 함정은 — 2014년에 이 5개 필터가 대중적 프레임워크로 존재하지 않았다는 것입니다. PoR은 2014년 3월에야 Kraken이 처음으로 실시했습니다 — Mt.Gox가 이미 파산을 신청한 뒤였습니다.

그래서 역사적으로 프레임워크는 '2026년 표준으로 2014년 사건을 사후 채점'하는 것입니다 — 회고적 학습에는 유용하지만 당시 참여자가 사용할 수 있었던 것처럼 취급해서는 안 됩니다. 모든 프레임워크에는 출생일이 있습니다. 출생일 이전 사건은 사후 채점은 가능하지만, 참여자들이 그것을 사용할 수 있었던 것처럼 다루어서는 안 됩니다. 오늘에 대한 대응적 함의: 2030년에는 현재의 5개 필터가 불충분하다고 여겨질 수 있습니다. 그때는 '실시간 온체인 감사 + AI 행동 분석 + 거래소 간 거래상대방 위험 그래프'가 필요할 수 있기 때문에. 프레임워크는 주기적으로 업그레이드되어야 합니다 — 결코 영원한 진리로 다루지 마십시오.

한계 3 · Celsius의 경우 — 문제는 포지션 규모였습니다

제2장의 사후 표에서 Celsius가 체크되지 않은 칸은 '단일 관할 운영' 하나뿐입니다. Celsius는 대외적으로 7억 5,000만 달러짜리 예치금 보험이 있다고 했지만, FTC는 그런 보험이 없었다고 주장했습니다. Celsius가 무너진 뒤 FTC는 Celsius가 유용한 이용자 예치금이 40억 달러를 넘는다고 주장했고(FTC 발표), 피해자 가운데에는 17% 연 수익률에 끌려 자금 대부분을 넣어 둔 사람이 적지 않았습니다.

Celsius가 드러낸 문제는 점수가 아니라, 점수대로 포지션을 정했느냐에 있습니다. 프레임워크는 포지션 규모 규칙을 실제로 따르는 사람만 도울 수 있다는 것입니다. 비등급 거래소가 17% 수익률을 제공하는데도 사용자가 순자산의 100%를 거기에 배분하면, 어떤 프레임워크도 구제할 수 없습니다. 그 표현이 당연하게 들립니다. 그럼에도 그것은 2022년 연쇄 손실의 큰 비중을 묘사합니다.

한계 4 · 자주 거론되는 여섯 번째 필터 후보 · 제가 내린 선택

여섯 번째 필터를 더하자는 제안은 자주 나옵니다. 주요 후보는 이렇습니다.

• 대차대조표 외 사업 공시(후보 A) — Celsius가 스테이블코인·법정화폐·DeFi 프로토콜을 섞어 정상적인 감사로는 잡히지 않는 '장부 밖' 자금 이동을 많이 했다는 것이 근거입니다. 오래 고민했지만 넣지 않았습니다. 확인 비용이 너무 높아서(SOC 1 보고서 전체를 읽어야 함) 일반 이용자가 할 수 없기 때문입니다. 이 항목은 필터 4(관계사 격리)의 확장 정의에 합쳤습니다.
• 내부 출금 지연(후보 B) — BitGrail이 무너지기 반년 전부터 출금 지연 보고가 있었다는 것이 근거입니다. 이것도 넣지 않았습니다. 침몰 몇 달 전 이용자 커뮤니티에 지연 보고가 올라오는 것은 '사후에야 보이는 선행 지표'이고, 그 보고에 CEO가 어떻게 반응하는지(공개적으로 인정하느냐, 글을 지우느냐)는 이미 필터 5에 들어 있습니다. 반응 방식이 지연 자체보다 더 많은 것을 말해 줍니다.
• 고객센터 응답 속도(후보 C) — 넣지 않았습니다. 이것은 제품 경험의 차원이지 구조적 위험의 차원이 아닙니다. 고객 응대가 좋은 거래소라고 무너지지 않는 것도 아니고(FTX 고객센터는 2022년 10월에도 무척 친절했습니다), 응대가 평범한 거래소라고 무너지는 것도 아닙니다.
• 자금세탁 방지(AML) 위반 전력(후보 D) — Binance가 2023년, OKX가 2025년에 모두 자금세탁 방지 관련 위반으로 미국 법무부와 유죄 인정 합의를 맺고 벌금을 냈다는 것이 근거입니다(위키백과 · OKX 항목). 이것은 반쯤 넣었습니다. 필터 2(다중 관할 라이선스)의 확장 채점에 합쳤고, 규제기관에 처벌받은 적이 있다고 해서 곧바로 감점하지는 않습니다. 같은 종류의 위반이 되풀이되고 고쳐지지 않을 때 감점합니다. Binance의 2023년 40억 달러대 합의로 말하자면, 이 규칙에서 중요한 것은 그 뒤에 같은 종류의 위반이 반복되었느냐이고, 이것은 점수를 매길 때 최신 규제 공지를 직접 찾아보십시오.

필터를 다섯 개에서 여섯 개로 늘리는 일은 당분간 보류합니다. 지금 다섯 개를 유지하는 이유는 기억하기 쉽기 때문이고(다섯 개는 보통 사람이 외울 수 있지만 여섯 개부터는 빠뜨리기 시작합니다), 역사적으로 비교할 수 있기 때문입니다(다섯 필터 모두 여덟 척의 침몰선 표본에 걸쳐 데이터가 있습니다).