한국어 · 中文 · English

Triple-A, 금고 지갑 해킹으로 약 1,180만 달러 손실 확인…스테이블코인 결제 '중간층' 리스크 재조명

2026-07-28

무슨 일이 있었나

스테이블코인 결제 서비스업체 Triple-A는 자사 금고 지갑(treasury wallet)이 공격을 받아 누적 손실이 약 1,180만 달러에 달했다고 확인했다. 회사 측은 고객 자금은 영향을 받지 않았으며, 재무 손실은 자체 금고 준비금으로 충당해 사업은 정상적으로 운영된다고 밝혔다. 이 사건은 Cointelegraph가 7월 27일 보도하며 회사의 확인을 인용했다. 싱가포르에 본사를 둔 Triple-A는 공식 웹사이트에 따르면 상점(가맹점)을 위한 암호화폐·스테이블코인 결제 수취, 정산, 법정화폐 출금 서비스를 주된 사업으로 하는, 전형적인 B2B 결제 중간층 사업자이며 개인 대상 카드 발급사는 아니다.

이 글을 게시하는 시점까지, 공개된 정보에서는 공격 벡터(개인키 유출인지, 서명 프로세스 우회인지, 제3자 구성요소 침해인지)에 대한 완전한 설명이 아직 확인되지 않았으며, 제3자 감사나 온체인 추적 보고서도 없다. 본 매체는 독자적인 온체인 검증을 수행하지 않으며, 위 금액 및 “고객 자금 미영향” 표현은 모두 회사 측 발표와 위 언론 보도에 근거한다.

편집자 해설: 이 뉴스와 당신 손에 있는 U카드의 관계

먼저 결론부터 말하면, 이번 사건은 카드 발급사 사고가 아니며, 당신의 USDT 가상카드 한도, 카드번호, KYC 상태는 직접적인 영향을 받지 않는다. Triple-A는 개인에게 Visa/Mastercard를 발급하지 않으며, 가맹점 수취 측에 위치한 사업자다.

그럼에도 U카드 이용자가 주목할 이유는 있다. 이번 사건이 전체 결제 흐름 중 가장 쉽게 간과되는 지점, 즉 스테이블코인 결제의 청산·정산 중간층을 건드렸기 때문이다. USDT 가상카드는 충전부터 결제 승인까지 최소 세 단계를 거친다: 지갑 위탁 사업자 → 스테이블코인-법정화폐 정산/유동성 사업자 → 카드 발급 은행(BIN) 사업자. 이용자는 평소 첫 번째 단계(앱이 정상 작동하는지)와 세 번째 단계(BIN이 거절되는지)에만 주목하는데, Triple-A와 같은 사업자는 바로 두 번째 단계에 위치한다. 두 번째 단계에 문제가 생겼을 때 전형적인 증상은 “카드 정지”가 아니라 충전 반영 지연, 환율 스프레드의 일시적 확대, 일부 가맹점 정산 지연, 주말 출금 창구 축소로 나타난다.

구체적인 상품별 판단은 다음과 같다:

시간대별 전망: 7일 이내에는 대부분 아무 일도 일어나지 않을 가능성이 높으며 카드는 평소대로 사용 가능할 것이다. 30일 이내에는 Triple-A가 사후 보고서를 발표하는지, 가맹점 측 출금 일정 조정이 나타나는지 주목할 필요가 있다. 90일 이내에는 MAS나 업계에서 결제 사업자의 지갑 관리에 관한 추가 요구사항이 나온다면, 그 비용은 결국 KYC 강화나 출금 수수료 인상 형태로 소비자 단으로 전가될 것이다.

과거 사례 비교: “당신의 카드 문제가 아니지만 당신의 카드에 영향을 미친” 세 번의 사건

2023년 3월 USDC 디페깅(실리콘밸리은행 사태). 당시 USDC가 일시적으로 0.88달러 부근까지 하락했고, 여러 카드사가 USDC 정산을 일시 중단하거나 환전 스프레드를 인상했다. 공통점은 문제가 스테이블코인/정산 측에서 발생했지 발급 측에서 발생하지 않았다는 것이다. 차이점은, 그때는 준비금 측의 가격 사건이 공개적으로 확인 가능했고 이용자가 실시간으로 볼 수 있었던 반면, 이번은 개인키/금고 차원의 보안 사건이라 이용자가 온체인에서 자신이 영향을 받는지 확인할 수 없고 회사의 공개에 의존할 수밖에 없다는 점이다.

2025년 2월 Bybit 콜드월렛 도난 사건(공개 보도 기준 약 14억 달러 규모). 처리 경로가 상당히 유사하다: 기관이 손실을 인정하고, 자체 자본이나 외부 유동성으로 보충하며, 이용자 자산은 1:1로 온전하다고 강조한다. Triple-A가 이번에 사용한 “금고 준비금으로 충당한다”는 같은 각본이다. 차이는 규모와 투명성이다. 거래소는 준비금 증명(proof of reserves)에 대한 대중적 압력을 받지만, B2B 결제 게이트웨이는 소비자가 확인할 수 있는 준비금 공개 경로가 거의 없다. 이것이 이번 사건에서 가장 계량화하기 어려운 부분이다.

2022년 FTX 붕괴. 그때의 교훈은 자산 혼합(고객 자금과 자기자본 자금이 분리되지 않음)이었다. Triple-A는 고객 자금이 영향을 받지 않았으며 손실은 자체 준비금으로 부담한다고 명확히 밝혔다. 이 표현이 정확하다면, 이번 사건에서는 분리 메커니즘이 작동했다는 뜻이다. 이는 긍정적인 신호이지만, 신호의 강도는 이후 독립 감사 확인 여부에 달려 있으며, 회사 발표 자체만으로 판단할 수는 없다.

규제 관점: 싱가포르 프레임워크상 이는 “회색지대”가 아니라 “명확히 규제되는” 사안

Triple-A가 소재한 싱가포르에서는 결제 서비스가 《결제서비스법》(Payment Services Act, PSA)의 적용을 받으며, MAS는 결제서비스 규제 페이지에서 디지털 결제 토큰 서비스, 이용자 자금 보관, 기술 리스크 관리에 대해 명확한 요구사항을 두고 있다. 규제 대상 기관은 중대한 IT 보안 사고 발생 시 MAS의 기술 리스크 관리 관련 통지에 정해진 기한 내에 보고해야 한다. 즉, 이번 사건은 법적 회색지대가 아니라 명확한 규제 소관을 가진 라이선스 기관의 보안 사고이며, 이후 규제 조사가 촉발되는지, 시정 요구가 나오는지는 기존 절차를 따를 것이다. 이용자 입장에서는 “등록지가 불분명한 발급사가 사고를 낸” 경우보다 낫다고 볼 수 있다. 적어도 책임을 물을 수 있는 규제기관이 존재하기 때문이다.

경계는 분명히 해두어야 한다. 싱가포르는 라이선스를 보유한 결제 기관의 이용자 자금 보관에 요구사항을 두고 있지만, 이것이 당신이 어떤 U카드에 넣어둔 잔액이 예금보험의 보호를 받는다는 의미는 아니다. MAS 프레임워크상의 자금 보호 메커니즘과 은행의 예금보험은 별개의 사안이다. 지역별 차이를 자세히 살펴보려는 독자는 싱가포르 규정 가이드홍콩 규정 가이드를 비교해 볼 수 있다. 같은 아시아·태평양 금융 중심지라도 스테이블코인 결제 사업자에 대한 라이선스 기준은 서로 다르다.

향후 30~90일 동안 지켜봐야 할 핵심 지표

  1. Triple-A의 사후 기술 보고서/제3자 감사 발표 여부: “고객 자금은 영향을 받지 않았다”는 발표의 신뢰도를 판단할 수 있는 유일한 확실한 지표다. 보고서가 없다면 일방적 진술로만 받아들여야 한다.
  2. MAS의 공개 대응 또는 시정 요구 여부: 라이선스 기관의 중대 보안 사고 이후 규제 조치는 통상 사건 발생 후 1~3개월 내에 질의, 검사, 업계 통지 형태로 나타난다.
  3. 가맹점 측 출금 처리 시간의 변화: 스테이블코인 수취를 통해 국경 간 사업을 운영하는 독자라면, 이번 달과 다음 달 정산 반영 주기가 길어지는지 주목해야 한다. 이는 중간층 압력의 가장 초기 관찰 가능한 신호다.
  4. 동종 사고의 연속 발생 여부: 2026년 하반기에 또 다른 스테이블코인 결제 게이트웨이의 금고가 공격받는다면, 업계 차원의 지갑 관리 규범(다중서명 임계값, 핫월렛 상한, 보험 보장 범위)이 빠르게 논의 테이블에 오를 것이며, 소비자 단에서는 KYC와 한도 강화를 체감하게 될 것이다.

편집부 제안