MiCA 전환기 공식 종료: ESMA, 가상자산 수탁 보안 및 제3자 의존성 리스크 집중 점검

2026년 7월 8일 현재, 유럽 가상자산 시장의 유예 기간이 공식적으로 종료되었다. 지난 7월 1일 가상자산시장법(MiCA) 전환 기한이 만료됨에 따라, 유럽증권시장감독청(ESMA)은 정책 수립 단계에서 벗어나 본격적인 감독 체제로 전환했다. 특히 ESMA는 가상자산 수탁 과정에서 발생하는 시스템적 리스크, 특히 키 관리와 제3자 기술 의존성에 대한 감시의 고삐를 죄고 있다.

ESMA는 미인가 가상자산 서비스 제공업체(CASP)들이 투자자 보호를 최우선으로 하며 질서 있게 사업을 정리할 것을 강력히 촉구하고 있다.

MiCA 제143조 3항에 따른 '기득권 인정(grandfathering)' 조항이 일주일 전인 2026년 7월 1일부로 만료되면서, 이제 유럽 연합 내에서 정식 인가를 받지 않은 업체가 표준 운영을 지속하는 것은 명백한 법 위반이다. 인가를 획득하지 못한 업체들은 즉시 신규 고객 유치를 중단하고 기존 고객의 자산 반환을 위한 절차에 착수해야 한다.

수탁 리스크의 세 가지 핵심 축

ESMA의 이번 감독은 크게 세 가지 영역에 집중된다. 첫째는 프라이빗 키의 관리 보안이며, 둘째는 보안 사고 발생 시의 대응 계획(Incident Response)의 견고함이다. 마지막으로 외부 기술 벤더에 대한 의존도가 시스템 전체의 안정성에 미치는 영향을 면밀히 조사하고 있다. 규제 당국은 이러한 핵심 요소들이 적절히 관리되지 않을 경우 투자자 자산이 심각한 위험에 처할 수 있다고 판단하고 있다.

• 신규 EU 고객 온보딩 및 신규 관계 구축 중단
• EU 내 모든 마케팅 및 권유 활동 중지
• 자산 이전 또는 포지션 종료에 필요한 서비스로 제한
• 즉시 실행 가능한 비즈니스 정리 계획(Wind-down plans) 유지

운영 탄력성과 제3자 의존성 문제도 주요 쟁점이다. ESMA는 소수의 기술 제공업체에 리스크가 집중되는 현상이 유럽 가상자산 생태계 전체의 안정성을 해칠 수 있다고 우려한다. 특정 인프라 장애가 다수의 수탁 업체에 동시다발적인 피해를 줄 수 있기 때문에, 규제 당국은 업체들이 외부 벤더에 대한 실사 및 리스크 관리 체계를 어떻게 구축했는지 집중적으로 들여다보고 있다.

국가별로 MiCA 적용 방식이 상이했던 점도 시장의 혼란을 가중시켰다. 프랑스, 몰타, 룩셈부르크, 에스토니아 등 일부 국가는 18개월의 유예 기간을 전면 적용했으나, 국가별로 상이한 기한 설정은 서비스 제공업체들에게 복잡한 규제 지도를 형성하게 했다. 2026년 7월 1일이라는 통일된 기한이 도래함에 따라 시장은 이제 본격적인 규제 통합 단계에 진입했다.

고객 이익 보호와 시장 재편

고객 이익 보호를 위한 소통 의무도 강조된다. 미인가 업체들은 자산 이전 및 포지션 종료 일정에 대해 고객에게 명확하고 반복적으로 안내해야 한다. 이는 잔여 포지션의 자동 청산으로 인한 투자자 손실을 방지하기 위한 필수 조치다. ESMA는 업체들이 자산 반환 과정에서 발생할 수 있는 모든 시나리오를 검토하고 투자자에게 불이익이 가지 않도록 할 것을 명시했다.

ESMA는 각국 규제 당국(NCA)과의 협력을 통해 미인가 업체의 불법 영업을 엄단할 방침이다. 이는 단순히 서류상의 규제를 넘어 실제 시장에서의 집행력을 강화하겠다는 의지로 풀이된다. 규제 당국은 미인가 업체가 여전히 EU 고객을 대상으로 마케팅을 하거나 신규 계좌를 개설하는 행위에 대해 강력한 제재를 예고하고 있다.

향후 유럽 가상자산 시장은 규제 미준수 업체들의 퇴출과 함께 대대적인 시장 재편이 예상된다. 소규모 업체들이 규제 비용을 감당하지 못하고 시장을 떠나면서, 인가를 받은 대형 업체 중심의 과점 체제가 강화될 가능성이 높다. 이는 시장의 다양성을 줄일 수 있으나, 전반적인 투자자 신뢰도와 시스템 안정성은 향상될 것으로 전망된다.