가상자산에 대한 증권성 판단이 미치는 영향과 대처 방법

 

 2022년 초부터 세계적으로 대두된 가상자산에 대한 규제는 이제 본격화가 되고 있습니다. 2023년 부터는 대한민국 뿐만 아니라 미국, 유럽, 일본, 싱가포르 등 대부분 금융 선진 국가는 가상자산에서 규제 이슈로 증권성 여부를 이야기하고 있다.

 관련 기사를 검색해 보면 알 수 있겠지만, 아래 요건에 해당한다면 증권성과 관련이 있다고, 판단을 할 수 있다.

• 발행인의 존재 유무
• 가치 보존의 보장 유무
• 투자 유치 목적

 이외에도 여러가지가 있지만, 백서에 이러한 부분이나 발행 과정에 있어서 위의 성격을 띄고 있다면 증권성을 갖춘 것으로 보아도 무관할 것으로 본다.

 그럼 증권성을 띄면 어떤 상황이 발생하는 가에 대해서 이야기하자면,

• 증권성에 대해서 인지를 하고 발행을 했다면, 증권법에 따라서 모든 절차가 진행되었어야 한다. (한국의 경우에는 성문법이기 때문에 법문 조항이 존재하기 전에 일어난 일에 대해서 소급이 힘들 것이다. 하지만, 미국이나 유럽-특히 영국-이라면 이야기가 달라진다. 해당 행위의 성격에 대해서 인지를 하거나 의심을 했다면, 해당 법률을 따랐어야 한다.)
• 증권성을 띄게 된다면, 해당 가치 보존을 위해서 사업을 적절히 수행했는가를 따지게 된다. 이의 근거가 되는 것이 회계장부가 될 것이다.

 위의 기준으로 볼 때 많은 가상자산(토큰)이 증권성으로 분류될 것이고, 법에 의한 행정 처분 및 금융 관련 법령에 의해서 소송이 진행될 것이다. 또한, 해당 토큰을 보유한 측(주로 투자자)으로부터 소송을 당할 것이다.

 해당 가상장산(증권성 토큰)을 발행하는 단계에서 법무법인으로부터 많은 자문을 받거나 법리 검토를 받은 것으로 알고 있다. 하지만, 현재 증권성 판단 기준을 지켜야 한다고 검토한 자문이 그리 많지 않았던 것으로 기억한다. (내가 참여한 프로젝트들에서 이러한 부분에 대해서 이야기했다가 배제당한 것이 한두번이 아니었기 때문에 잘 알고 있다.)

 지금 현 상황에서 그러한 행위들을 정당화한다면, 당면한 문제를 어떻게 해결해 나갈 지에 대해서 관심을 갖게 된다. (당시에는 이랬으니까 지금은 이랬다? 규제에 대응하는 것은 미래 예측도 포함하는 부분이 있다. 현재 규제가 없다는 것은 거꾸로 위험에 가까운 해석일 수 있다. 특히 단편적으로 규제가 없는 것이지, 종합적으로 봤을 때는 규제가 있고 관련 법령이 있다는 사실을 몰랐을 리가 없기 때문이다. 법률 자문 건에 대해서도 책임을 지도록 해야지 이러한 아전인수격의 해석을 하는 경우가 사라지지 않을까 생각한다.)

 만약에 가상자산(토큰)을 보유하고 있다면, 현재 보유하고 있는(또는 보유를 했던) 가상자산(토큰)의 백서를 초기 버전부터 확보하는 게 좋을 방안이 될 것이라 본다.

 그 다음은 가상자산(토큰)을 발행한 지갑주소와 가상자산(토큰)을 구입한 경로에서 자산 이동 등에 대해서 면밀히 알아 보는 것도 필수적인 사안이다.

  가상자산(토큰)의 미래는 퍼블릭 블록체인의 미래가 될 수 있는 기회가 있었고, 아직도 존재한다고 생각한다. 다만 거기에 대해서 생각하는 바가 무엇이냐에 따라서 각자의 희비는 갈릴 것으로 본다.

대한민국의 정부와 보안업체는 왜 화이트 해킹을 무서워 하는가?

 이유는 간단하다. 보안 방법이 단순히 비밀을 유지함으로써 가능한 방법을 선택할 뿐이라는 것이다.

 기술적으로 안전을 확보하는 Secure 의 개념이 아니라,
 시스템을 보호하는 Security 의 개념이기 때문이다.

 그럼 화이트 해킹(White Hacking)은 기술을 선의로 사용하는 것이다. 시스템이 안전한가 검증해 주고 문제가 발견되면 이를 알림으로써 사고를 예방하는 효과를 목적으로 하는 행위이다.

 화이트 해킹에 대해서 정부에 민원을 넣고, 보안 솔루션을 사용하고 있는 기업에 지적을 하면 돌아오는 답변은 간단하다. 법적으로 불법이니까 하지 말라고 한다.

 과연 화이트 해킹이 불법일까?
 정확한 법적 개념으로 이야기하자면, 화이트 해킹 자체는 불법이 아니다. 화이트 해킹을 정부나 기업이 받아 들여서 진행하는 것이냐 아니야에 의해서 불법이냐 아니냐가 결정될 뿐이다. (시스템을 소유한 곳에서 문제를 찾을 생각이 없다고 하는데, 그것에 대해서 문제를 찾겠다고 시스템을 분석하는 작업이 진행되서 만약에 위해-문제를 건드려서 작동 불능 또는 데이터 손실-이 발생했다면 위법으로 간주되기 때문이다.)

 화이트 해킹을 받아 들이지 않는 시스템을 Secure(안전)하다고 평가할 수 있을까?
 솔직히 이 질문에 대해서는 단순 명료하게 이야기할 수 있다. 절대로 안전하지 않기
때문에 받아 들이지 않는다고 말할 수 있으며, 문제가 표면화되기 전까지 안전하게
만들 생각이 없다라고 스스로 자인하는 것과 같다는 것이다.

 화이트 해킹의 기본 기술 중에 리버스 엔지니어링이 있다. 이 리버스 엔지니어링의
가장 쉽게 노출되는 것이 바로 ActiveX 기술이다. 서버와 클라이언트가 통신하는
방법론 자체에 대한 기술을 클라이언트에서 알 수 있게 해 주기 때문이다.
 WWW의 기술적인 내용을 보면 클라이언트는 서버가 어떻게 동작하는 지 알 수 없도록
하는 부분이 중요한 요소를 차지하고 있다.(솔직히 클라이언트 단에서 데이터 처리가
많을 수록 WWW-웹의 보안을 해친다는 것도 알고 있을 것이다. 과도한 JavaScript도
이에 해당한다고 보고 있습니다.)

 재화와 관련해서 가장 많은 정보가 왔다 갔다 하는 것이 바로 금융기관이라고 할 수
있다. 근데 대한민국 금융 기관의 보안 사고는 생각보다 많으며, 그 피해도 매우 크다.
왜 그럴까? 그 원인을 파악하기 위해서 금융기관이나 이에 대한 감독 기관인 금감원에
화이트 해킹 이야기를 꺼내는 순간 매우 불쾌하게 생각할 것이다. (자신들이 추구하는 보안-안전이 아님-이 그렇게 허술해 보이냐고 말이다.) 그럼, 그렇게 자신 있으면 화이트 해킹을
허락해 줄 수 있냐고 물어 보면, 한번도 허락을 한 적이 없다는 사실이 논리적 반증이 된다는것을 그들도 알고 있을 것이다.

 화이트 해킹을 통해서 안전한 시스템을 만들 수 있는 기술을 확보해 나갈 수 있다는
사실을 언제나 인정할 지에 대해서는 알 수가 없다. 대한민국에서 화이트 해킹에 대한
인식과 제도적으로 보장되는 상황이 되어야 한다는 것은 동의하지만, 불법도 아닌데
불법으로 몰아가는 정부나 기관, 기업들의 태도는 고쳐져야 한다는 생각을 전하고
싶을 뿐이다.