DeepSafe와 CertiK는 기관의 스테이블코인 결제, 프로젝트 금고, 온체인 투자를 주제로 공동 조사를 진행하여, 기관이 어떻게 거래 권한을 구분하고 투자 범위를 제한하며, 이상 상황에서 자금을 처리하는지를 연구했습니다.
연구는 100개 프로젝트와 서비스 제공사의 공식 문서, 제품 설명 및 관련 코드를 검토하고, 업무 유형과 통제 메커니즘에 따라 근거를 기록했습니다. 보고서는 기관 자금의 실제 운용 순서를 따라 전개됩니다: 팀이 어떤 운영 권한을 부여받는지, 투자 규칙이 어떻게 수정되는지, 이상 발생 후 어떻게 청산하거나 복구하는지.
샘플 사례를 보면, 기관은 일상적인 자금 운용을 실행 팀에 맡길 수 있지만, 투자 범위 확대와 한도 상향 등의 변경은 별도로 승인하고, 긴급 일시정지·회수·복구에는 독립적이고 제한된 권한을 설정해야 합니다.
이러한 역할 분담은 팀이 정해진 범위 안에서 계속 운영하면서도, 새로 추가되는 리스크를 재검토하고 이상 상황을 처리할 기회를 남겨둡니다. 비상 대응 능력은 결국 하나의 업무 결과로 판가름납니다: 필요할 때 자금이 사용 가능한 계좌로 돌아올 수 있는지 여부입니다.
주요 결론
- 30개 자산운용 프로젝트 중 11개가 구체적인 투자 제한을 공개
이 11개 프로젝트는 진입 가능한 시장, 사용 가능한 자산, 호출 가능한 기능 또는 자금 규모를 명확히 제한합니다. RockSolid, Nerona 등의 사례는 전략 승인과 일상적인 자금 배분을 분리하여, 운영자가 정해진 범위 안에서 작업할 수 있게 하면서 새로운 투자 방향은 별도 승인을 받도록 했습니다.
- 50개 프로젝트 중 16개가 규칙 변경 대기를 공개 또는 지원
규칙 수정 권한을 설명한 50개 프로젝트 중 16개가 변경 대기 메커니즘을 함께 설명하거나 지원하며, 32.0%를 차지합니다. Feather, Neverland 등은 나아가 행위별로 역할을 나눕니다: 리스크를 새로 추가할 때는 검토 시간을 두고, 한도 하향이나 긴급 일시정지는 신속히 실행할 수 있습니다.
- 20개 프로젝트가 일시정지를 설명하고, 7개가 청산 관련 방안을 공개
이 7개 항목에는 자금 회수, 유동성 철수, 참여자 교체 후의 질서 있는 청산이 포함되며, 자금을 즉시 되찾을 수 있는 7개 프로젝트로 간주할 수 없습니다. 별도로 3개가 키 복구 또는 서명 참여자 교체를 설명합니다.
이 사례들이 제시하는 공통된 사고방식은 다음과 같습니다: 일상 운영은 실행 팀에 맡기고, 투자 범위 확대와 규칙 완화 결정은 별도로 관리하며, 비상 대응에는 명확하고 제한된 권한을 설정합니다.
목차
연구 범위와 방법 / 투자 제한 / 규칙 변경 / 비상 대응 방안
업무 분석 및 연구 결론 / 자료 출처와 연구 설명
자료 기준일: 2026년 10월 28일; 통계 근거 추가 확인: 11월 3일; 사례 세부 내용 추가 확인: 11월 5일. 비율은 문서 공개 또는 소스코드 지원을 반영하며, 실제 프로덕션 활성화율을 의미하지 않습니다.
100개 프로젝트, 다섯 가지 자금 업무를 포괄
연구 범위와 방법
연구 대상에는 디지털 자산 결제, 투자, 대출 및 발행 서비스가 포함됩니다. 초기 주요 업무에 따라 그룹화하며, 각 대상은 한 그룹에만 포함되어 총 100개입니다.
대출 및 신용 운용은 대출, 담보, 프로토콜 자금에 주목합니다; 자산운용 및 전략 운용은 금고 투자와 자금 배분에 주목합니다; 결제 및 급여는 기업 지급에 주목합니다; RWA 및 발행 운용은 실물자산의 온체인 발행과 관리에 주목합니다; 기타 범주에는 크로스체인 및 관련 프로토콜 자금 운용이 포함됩니다.
연구 방법
공식 문서, 헬프 센터, 제품 설명 및 접근 가능한 코드를 근거로 네 가지 사실을 항목별로 기록했습니다: 인원 및 서명 권한, 거래 또는 투자 제한, 규칙 수정 권한과 발효 조건, 이상 발생 후의 일시정지 및 복구 방안. 각 기록에는 출처 URL, 제품 또는 버전, 그리고 해당 판단을 뒷받침하는 구체적 내용이 대응됩니다.
근거 대장은 140개의 서로 다른 출처 URL을 색인했습니다. 100개 대상 중 64개에서 주요 통계 기준에 부합하는 메커니즘을 최소 하나 이상 확인했고, 32개는 자료가 제한적이거나 주요 메커니즘이 확인되지 않았습니다; 4개는 과거 마이그레이션 또는 사전 출시 설계와 관련되어 잠정적으로 메커니즘 통계에서 제외했습니다. 64개 대상은 서명 및 인원 권한, 거래 또는 투자 제한, 규칙 수정, 비상 대응 방안을 포괄하며, 아래 세 가지 주요 발견에 국한되지 않습니다.
통계 기준
지표의 분모는 해당 업무에 따라 정합니다: 투자 제한은 30개 자산운용 프로젝트를 분모로; 변경 대기는 규칙 수정 권한을 설명한 50개 프로젝트를 분모로; 비상 대응 방안은 전체 100개 대상을 분모로 합니다. 각 메커니즘은 중복될 수 있습니다. 문서 공개, 소스코드 지원, 프로덕션 활성화는 각각 구분하여 봅니다; 본 보고서의 비율은 앞의 두 가지를 집계한 것으로, 미공개 항목을 갖추지 않은 것으로 판정하지 않습니다.
서명 기술과 업무 승인은 별도로 기록합니다. MPC는 여러 참여자가 키 조각을 사용해 협력하여 서명을 생성하도록 합니다; 멀티시그는 일반적으로 서로 다른 키가 각각 서명하고, 온체인 프로그램이 서명 수를 검사합니다. 업무 승인자가 반드시 서명 참여자와 같을 필요는 없습니다. 관리자 변경 대기와 고객 환매 대기는 각각 따로 집계합니다.
보고서는 공개된 설계와 그 업무적 의미를 분석합니다. 실명 사례는 해당 제품과 버전에 따라 소개합니다; 공개 자료만으로는 실제 구성, 실행 효과 및 복구 시간을 확인하기에 충분하지 않습니다.
30개 자산운용 프로젝트 중 11개가 구체적인 투자 제한을 공개
발견 1: 투자 제한
30개 자산운용 및 전략 프로젝트 중 11개가 투자 가능한 시장, 자산, 컨트랙트 기능 또는 자금 상한을 명확히 설명했으며, 36.7%를 차지합니다. 이들 프로젝트는 누가 서명할 수 있는지만 나열하는 것이 아니라 권한을 구체적인 운용 범위까지 세분화합니다.
RockSolid: 전략 매니저는 자금을 배분할 수 있지만, 신규 전략은 공동 승인 필요
rETH 금고 사례에서 RockSolid는 유통 주체를 맡습니다. 전략 매니저가 새 전략을 제안하면, RockSolid는 MPC 절차를 통해 화이트리스트 승인에 참여합니다. 이후 전략 매니저는 승인된 전략 간에 자산을 배분하고 리밸런싱할 수 있습니다; 모든 거래는 서명 규칙을 준수해야 하며, 규칙에 맞지 않는 요청은 거부됩니다.
순자산가치(NAV)도 역할을 나눕니다: 전략 매니저가 갱신을 제안하고, 유통 주체가 온체인 데이터를 근거로 재검토한 뒤 공동으로 확인합니다. 이 사례는 전략 승인, 일상 운용, NAV 확인을 서로 다른 책임에 맡겨 운영 여지를 남기면서도 한쪽이 단독으로 투자 방향을 바꾸는 것을 제한합니다.
투자 범위 승인 → 일상 거래 제출 → 서명 규칙 실행
전략 및 프로토콜 확인 → 승인된 범위 내 배분 → 규칙에 맞지 않는 요청 거부
Nerona: 리스크 구성, 전략 운용, 서명을 서로 다른 주체가 담당
sUSDnr 금고의 리스크 관리 문서는 Upshift의 화이트리스트 및 리스크 구성, Nerona의 전략 운용, Fordefi MPC의 서명 책임을 분리합니다. 운용 팀은 승인된 범위 내에서 자금을 배분합니다; 수수료와 출금 주기 등 민감한 파라미터 수정에는 24시간 대기가 적용되며, 비상 기능에는 별도의 일시정지 및 회수 방안이 마련되어 있습니다.
사례에서 도출한 판단
이런 설계는 투자 집행 권한과 투자 범위를 바꾸는 권한을 분리합니다. 잦은 자금 배분이 필요하면서도 매번 의사결정을 상부로 올리고 싶지 않은 팀에 적합합니다. 통제의 본질은 실행 시스템이 승인된 범위에 따라 거래를 검사하고, 범위를 확대하려면 별도의 승인 절차를 거쳐야 한다는 데 있습니다.
전체 100개 대상과 업무 범주를 통틀어 6개가 MPC를 명확히 채택했으며, 그중 4개가 거래 또는 투자 제한을 함께 설명합니다: RockSolid, Fipto, Yuzu, Nerona. 결제 분야의 Fipto는 수취인 화이트리스트로 거래를 제한하고 멀티시그 절차와 역할 권한을 구성합니다; 자산운용 사례는 별도로 전략과 프로토콜 범위를 다룹니다.
CertiK 보안 해설｜거래 제한과 서명 전략
MPC나 멀티시그가 곧 투자 리스크 관리인 것은 아니며, 거래 규칙의 적용 범위와 우회 경로가 존재하는지를 여전히 점검해야 합니다. 화이트리스트 외에도 레버리지, 부채, 집중도를 주시해야 합니다.
Peiyu Wang | Senior Audit Partner at CertiK
첨부 그림 Google Cloud Multi-party Compute 아키텍처
업계 기술 사례 | v1beta 프리뷰 | 「연구 범위와 방법」 및 「투자 제한」 참조
조정자(coordinator)는 요청 라우팅을 담당하고, 키 조각을 보유한 신뢰 실행 환경(TEE)이 권한을 검증하고 공동으로 서명합니다. 그림은 업계 아키텍처 참고 자료입니다.
출처 Google Cloud Multi-party Compute Architecture
원본 문서에는 2026년 10월 27일 업데이트로 표기되어 있습니다. 공식 SVG를 PNG로 변환했으며, 그림과 텍스트는 원본 그대로 제시합니다.
50개 프로젝트 중 16개가 규칙 변경 대기를 공개 또는 지원
발견 2: 규칙 변경
규칙 관리 또는 의사결정 권한을 설명한 50개 프로젝트 중 16개가 변경 대기 메커니즘을 함께 설명하거나 지원하며 32.0%를 차지합니다; 그중 7개는 최소 한 가지의 명확한 0이 아닌 대기 시간을 제시합니다. 이는 공개 공개 또는 소스코드 지원 비율이며 실제 활성화율이 아닙니다; 구성 가능한 코드만으로는 프로덕션 환경에서 0이 아닌 대기가 활성화되었음을 확인할 수 없습니다.
Feather: 신규 시장 추가와 한도 상향은 대기, 한도 하향은 즉시 실행
Feather 금고의 큐레이터가 시장을 새로 추가하거나 한도를 상향할 때는 타임락을 거쳐야 합니다; 한도 하향은 즉시 실행할 수 있습니다. 자금 배분 담당자는 승인된 시장과 한도 내에서만 운용하며, Guardian 역할은 대기 중인 변경을 거부할 수 있습니다. 타임락은 특정 수정을 대기열에 넣은 후 정해진 시간이 지나야 실행할 수 있는 메커니즘입니다.
이 구성은 신규 투자 승인과 한도 축소를 구분합니다: 시장 추가와 한도 상향에는 먼저 검토 기간을 두고, 한도 하향은 즉시 실행할 수 있습니다. 다만 한도 하향은 주로 이후의 자금 배분을 제약할 뿐, 기존 포지션이 이미 청산되었거나 현재 리스크 익스포저가 줄었다는 것을 의미하지는 않습니다.
Neverland: 거버넌스, 리스크 파라미터, 일시정지에 서로 다른 발효 조건 적용
24시간 / 주요 시장 거버넌스 및 관련 업그레이드, 문서에 제시된 대기 하한
1시간 / 관련 리스크 파라미터 수정, 문서에 제시된 대기 하한
즉시 실행 / Sentinel Safe가 별도의 비상 권한으로 긴급 일시정지를 발동
이 조건들은 문서에 명시된 조작에 대응합니다. Loopscale도 파라미터별로 구분합니다: 담보 추가 또는 LTV(대출가치비율) 상향은 24시간 타임락을 발동합니다; 개시 수수료 등 수수료 설정 변경도 타임락의 제약을 받습니다. 담보 제거, LTV 하향, APY 업데이트는 즉시 실행할 수 있습니다. LTV는 대출 금액과 담보 가치의 비율로, 차입 가능 규모에 영향을 줍니다.
사례에서 도출한 판단
대기 메커니즘은 리스크를 확대할 수 있는 변경에 검토와 개입 시간을 확보해 줍니다; 일시정지나 한도 하향 같은 조치는 더 빠른 경로를 쓸 수 있습니다. 이런 설계를 평가하려면 수정 내용, 대기 시간, 모니터링 및 취소 권한, 그리고 업그레이드와 기타 핵심 관리 진입점이 해당 제약을 받는지 함께 봐야 합니다.
CertiK 보안 해설｜규칙 수정, 업그레이드와 관리 권한
타임락은 효과적인 모니터링 및 취소 권한과 결합되어야 하며, 업그레이드와 핵심 권한 변경까지 포괄해야 합니다. 한도 하향은 기존 리스크 감소와 같지 않으며, 그 실제 효과를 명확히 해야 합니다.
Peiyu Wang | Senior Audit Partner at CertiK
20개 프로젝트가 일시정지를 설명하고 7개가 청산 관련 방안을 공개
발견 3: 비상 대응 방안
100개 프로젝트 중 20개가 일시정지 방안을 설명하고, 7개가 청산·회수·마이그레이션 관련 방안을 공개하며, 3개가 키 복구 또는 서명 참여자 교체를 설명합니다. 여기에는 투자 포지션 철수, 자금 마이그레이션, 참여자 교체 후의 질서 있는 금고 종료가 포함되며, 이를 통합하여 자금이 이미 기관의 사용 가능한 지갑으로 돌아왔다고 해석할 수는 없습니다.
Gearbox: 일시정지는 개별 실행, 재개는 다수 승인 필요
Gearbox V3.0 문서는 2개의 지정된 분석 주소가 각각 일시정지를 발동할 수 있도록 허용하지만, 이 주소들은 일시정지 권한만 부여받습니다. 재개 조치는 4/12 멀티시그가 처리하며, 즉 12명의 서명자 중 최소 4명이 동의해야 합니다; 기술 변경은 6/12 멀티시그가 통제하고 2일의 타임락이 적용됩니다. 따라서 신속 대응자는 일반 관리 권한을 함께 가질 필요가 없습니다.
Yuzu: 리스크 모니터링이 사전 승인된 출금과 연결
Yuzu 문서는 Hypernative 모니터링, Sentinel 사건 대응 시스템, Fordefi MPC 지갑을 연결하여 위협 확인 후 사전 승인된 출금을 실행합니다. 경보만 발송하는 방식과 비교해 이 설계는 자금 처리 조치를 추가했습니다; 실제로 얼마나 회수할 수 있고 언제 입금되는지는 여전히 승인 범위와 청산 조건에 달려 있습니다.
Surge: 조각 분실과 임계치 유출 의심에 서로 다른 복구 방식 적용
Surge는 암호화된 백업과 여러 복구 에이전트가 참여하는 임계치 복구로 조각의 분실이나 손상을 처리합니다. 서명 임계치에 도달할 수 있는 조각의 유출이 확인되거나 의심되면 새 키를 생성하고 자금을 마이그레이션합니다. 전자는 서명 가용성을 복구하고, 후자는 원래 키에 대한 의존을 끝내는 것까지 포함합니다.
7개 청산 관련 기록 중 Charm의 emergencyBurn은 지정된 구간의 유동성을 철수합니다; RockSolid는 사용할 수 없는 참여자를 교체하여 질서 있는 전환 또는 금고 종료를 지원합니다. 둘 다 자금이 이미 기관의 사용 가능한 지갑으로 돌아왔다는 것을 직접 입증하지는 않습니다. 3개 복구 기록 중 Surge를 제외한 나머지 2개는 RockSolid의 참여자 교체와 Due의 복구 구성에서 나온 것입니다; 모두 복구 훈련을 완료했음을 의미하지 않습니다. 동일한 대상이 서로 다른 메커니즘에 따라 청산과 복구 범주에 각각 집계될 수 있습니다.
사례에서 도출한 판단
비상 대응 방안에는 이미 역할 분담이 명확한 설계가 나타났습니다: 낮은 진입 장벽의 제한된 일시정지 권한은 리스크 억제에, 사전 승인된 출금은 자금 처리에, 복구 절차는 서명 능력 재구축에 사용됩니다. 키가 유출될 가능성이 있을 때는 키 교체와 마이그레이션이 추가로 필요하며, 단순히 기존 서명 능력만 복구하는 것으로는 원래의 통제 리스크가 해소되지 않습니다.
CertiK 보안 해설｜자금 회수와 복구 훈련
일시정지와 서명 복구가 자금 사용 가능과 같지 않으며, 훈련을 통해 실제 입금 시간을 검증해야 합니다. 키 유출이 의심될 때는 기존 키로 더 이상 자산을 통제할 수 없도록 해야 합니다.
Peiyu Wang | Senior Audit Partner at CertiK
첨부 그림 자금 거버넌스 메커니즘의 공개 현황
「투자 제한」「규칙 변경」「비상 대응 방안」 참조.
투자 제한과 규칙 변경 대기는 각각 30개와 50개 대상을 분모로 합니다. 비상 대응 방안은 전체 100개 대상을 분모로 하며, 각 항목은 중복될 수 있습니다.
투자 제한과 비상 대응 방안은 결국 자금을 계획대로 사용할 수 있는지에 영향을 미친다
업무 분석과 연구 결론
기관이 디지털 자산을 관리할 때는 팀이 일상 업무를 수행하도록 하면서도, 승인 범위 안에서 리스크가 누적되는 것을 막고, 이상 발생 후 자금을 처리할 능력을 유지해야 합니다. 다음 두 가지 독립적으로 구성한 시나리오는 보고서의 메커니즘 차이가 업무 결과에 어떤 영향을 미치는지 보여줍니다.
시나리오 1: 프로토콜은 여전히 화이트리스트에 있지만 포트폴리오 레버리지는 계속 상승
전략 팀이 계속 자산을 담보로 맡기고 차입하며 빌린 자금을 다시 투입하지만, 사용하는 프로토콜은 동일하게 승인된 것입니다. 상호작용 대상은 바뀌지 않았지만 포트폴리오 부채, 레버리지, 담보 집중도는 상승할 수 있습니다. 이때 목표 컨트랙트 화이트리스트만으로는 리스크를 단독으로 제한할 수 없습니다.
이에 대응하는 통제는 세 가지 층위를 포괄해야 합니다: 호출이 허용된 프로토콜, 실행이 허용된 함수와 금액, 그리고 거래 후 포트폴리오의 부채와 집중도입니다. 앞의 두 층위는 컨트랙트나 지갑 정책으로 실행할 수 있습니다; 포트폴리오 지표는 가격, 포지션 데이터 및 그에 맞는 리스크 관리 시스템이 추가로 필요합니다.
시나리오 2: 장부상 1,000만, 이틀 내 지급까지 120만 부족
즉시 사용 가능 80만 / 대출 포지션 420만 / 정기 전략 500만
한 기관이 1,000만 USDT 상당의 자산을 보유하고 있으며, 그중 80만은 즉시 사용 가능하고 420만은 대출 포지션, 500만은 정기 전략에 있습니다. 이틀 내에 200만을 지급해야 하므로 최소 120만이 제때 입금되어야 합니다. 투자 일시정지가 유동성을 직접 방출하지는 않으며, 출금을 제출했다고 해서 자금이 이미 입금된 것도 아닙니다.
해당 기관이 신뢰할 수 있는 지급 능력을 갖추었는지는 출구 가능 금액, 출금 대기열, 만기, 외부 유동성을 확인해야 합니다. 복구 훈련도 시스템이 언제 재가동되었는지만이 아니라 자산이 실제로 사용 가능한 지갑으로 돌아온 시간을 기록해야 합니다.
연구 결론
첫째, 11개 자산운용 사례가 구체적인 투자 제한을 공개하여 일상 집행은 팀에 맡기고 투자 범위 변경은 별도로 관리하는 방식을 보여주었습니다. 기관 간에 비교할 만한 것은 제한의 적용 범위와 집행 지점입니다.
둘째, 16개 프로젝트가 규칙 변경 대기 메커니즘을 공개하거나 소스코드에서 지원하며, 일부 사례는 리스크 확장과 비상 축소를 추가로 구분합니다. 관리 권한의 제약은 수정, 대기, 취소, 최종 발효까지 이어져야 하며, 일상 거래만 제약해서는 안 됩니다.
셋째, 비상 사례는 일시정지, 회수, 서명 복구를 각각 처리합니다. 이러한 방안이 자금 가용성을 보장할 수 있는지는 실제 구성, 자산 청산 조건, 복구 훈련 결과에 달려 있습니다.
자료 출처와 연구 설명
본문의 주요 자료는 다음과 같습니다. 전체 근거와 통계 기록은 연구 기초표에서 확인할 수 있습니다.
RockSolid｜Architecture & Roles (rETH 금고)
Nerona｜Risk Management (sUSDnr)
Charm｜AlphaProVault (emergencyBurn 및 withdraw)
Gearbox｜V3.0 Operational Multisigs
Surge Credit｜Disaster Recovery
연구 설명
본문은 공식 문서와 공개 소스코드를 근거로 특정 제품과 버전을 분석합니다. 전체 프로젝트 목록, 출처, 집계 규칙은 연구 기초표와 출처 색인에서 확인할 수 있습니다.
조사 파트너: CertiK, Lunaray.
미디어 지원에 감사드립니다: PANews, Techub News, Odaily, 金色财经, ChainCatcher, PureNews, Chain Times.
공동 조사 기관 소개
DeepSafe는 기관급 MPC 자기보관 지갑을 핵심으로 하여 지갑 관리, 정책 엔진, 팀 승인 기능을 제공하며, 지갑 서비스(WaaS)를 통해 업무 시스템에 연동할 수 있도록 지원하여 기관의 디지털 자산 관리와 협업 시나리오를 지원합니다.
CertiK는 Web3 보안 서비스 기관으로, 스마트 컨트랙트 감사, 형식 검증, 지속적 리스크 모니터링 등의 서비스를 제공하여 프로젝트와 기관이 디지털 자산 관련 보안 리스크를 식별하고 관리하도록 돕습니다.
