MiCA와 DeFi: 보이지 않는 대출 제공자, 누구를 규제할 것인가?

2024년부터 단계적으로 시행될 EU의 암호자산 규제 프레임워크 MiCA(Markets in Crypto-Assets Regulation)는 전통적인 암호자산 서비스 제공자들에게 명확한 규제 기준을 제시할 예정이다. 그러나 탈중앙화 금융(DeFi)의 핵심인 DeFi 대출 프로토콜을 어떻게 규제할지에 대한 문제는 여전히 풀리지 않은 채 남아 있다.
DeFi 대출 프로토콜(Aave, Compound, MakerDAO 등)은 은행이나 중앙 기관의 개입 없이 사용자들이 암호자산을 빌리거나 빌려줄 수 있도록 한다. 모든 거래는 스마트 컨트랙트로 자동 실행되며, 이론상으로는 어떤 개인가 운영자도, 책임자도 존재하지 않는다. 그렇다면 이 프로토콜에서 문제가 발생했을 때(예: 스마트 컨트랙트 오류, 시장 조작 시도) 누구에게 책임을 물을 것인가?
---
탈중앙화 vs. 감독: 규제의 딜레마
MiCA는 암호자산 거래소, 지갑 서비스 제공자와 같은 전통적인 서비스를 규제 대상에 포함시키려는 움직임을 보이고 있지만, 탈중앙화 구조의 DeFi는 이 범주에 명확히 들어맞지 않는다. EU와 독일 규제 당국은 이 문제를 두고 고민 중이다. 일부는 프로토콜 자체가 아니라 인프라를 제공하는 개발자나 프론트엔드 운영자를 규제 대상으로 삼아야 한다고 주장하지만, 독일 금융감독청(BaFin)은 "탈중앙화 여부와 관계없이 DeFi 서비스는 기존 금융 규제 하에 포함될 수 있다"고 입장을 밝혔다.
문제는 스마트 컨트랙트는 물리적 주소도, 경영자도, 재무제표도 없다는 점이다. 개발팀이 식별 가능하다 해도 그들은 자신의 코드가 "중립적"이라며 서비스로서의 책임을 부정할 수 있다. EU Comisión은 전통 금융사와 유사하게 ‘책임 있는 당사자’(responsible person)를 DeFi 프로토콜에 지정할 수 있는지 검토 중이다.
---
개발자의 역할: 혁신과 책임의 경계
DeFi 프로토콜의 개발자들이 스마트 컨트랙트 오류나 해킹 사고로 인한 손해에 책임을 져야 할까? 이는 오픈소스 문화의 근간을 위협할 수 있다는 우려와 동시에, 2016년의 DAO 해킹



사건처럼 큰 손실을 초래했을 때 책임 소재를 분명히 해야 한다는 현실 사이의 딜레마다.
당시 Ethereum 네트워크는 하드 포크를 통해 피해자들에게 보상금을 되돌려주었지만, 이는 탈중앙화의 근본 정신 자체를 뒤흔들었다. 일부는 "코드가 완벽히 작성됐다면 아무도 책임을 질 필요가 없다"고 주장했지만, 코드는 결코 오류가 없을 수 없으며, 수천억 원의 자금이 걸린 상황에서 책임 문제는 피할 수 없는 현실이다.
규제 당국은 혁신을 억제하지 않으면서도 투자자를 보호할 수 있는 균형을 찾아야 한다. EU는 위험 기반 접근법을 고려할 수 있는데, 이는 레버리지 위험이나 전통 금융과의 연계성이 높은 프로토콜에만 엄격한 규제를 적용하는 방식이다.
---
국제적 압력과 각국의 독자적 접근
EU만이 DeFi 규제 문제를 고민하는 것은 아니다. 미국과 영국에서도 유사한 논쟁이 진행 중이며, G20은 2022년 DeFi 서비스가 기존 금융 규제 체계에 통합돼야 한다고 권고했다. 그러나 EU가 MiCA라는 명확한 로드맵을 제시한 반면, 다른 국가들은 아직 뒤처져 있는 상황이다.
독일은 ‘혁신 금융 구역’(Innovationsfinanzzone)을 도입해 스타트업들이 감독 하에서 실험적인 금융 서비스를 테스트할 수 있도록 했지만, 탈중앙화 프로토콜을 이러한 체계에 어떻게 통합할 것인지는 여전히 불분명하다.
---
미래: 코드가 법이 되는 세상?
극단적인 해결책으로 ‘코드=법’(Code-as-Law) 시스템을 도입하는 방안이 있다. 그러나 이는 스마트 컨트랙트가 언제나 안전하고 공정하다는 전제에 기반하는데, 이는 현실적으로 불가능한 이야기다. 지금까지 나온 해답보다 더 많은 질문이 남아 있다.
EU Comisión은 2024년까지 DeFi 규제에 대한 보고서를 발표할 계획이지만, 그 전까지 DeFi 업계는 법적 모호성 속에서 운영될 수밖에 없다. MiCA는 시행될 테지만, DeFi 대출 프로토콜을 어떻게 규제할지 여부는 아직 otevrena 문제다. 기술적 구현이 아닌 ‘누구를 규제할 것인가?’라는 근본적인 질문에 답을 찾는 것이 관건이다.