[디파이 서비스 출시 전에 보안감사 업체와 계약하려고 합니다. 감사를 받았는데도 해킹이 나면 감사 업체에 책임을 물을 수 있을까요?]
토큰이나 디파이 서비스를 출시하는 프로젝트는 출시 전에 외부 업체에 스마트컨트랙트 보안감사를 맡기는 경우가 많습니다.
감사를 받은 뒤에도 해킹이 생기면 이용자 자산 손실과 프로젝트의 배상 책임이 문제 되지만, 감사계약서에 따라 감사 업체에 책임을 물을 수 있는 범위가 크게 달라집니다.
감사계약을 맺기 전에 프로젝트가 확인할 조항을 정리합니다.
🕒 바쁜 분들을 위한 3줄 요약
감사 범위: 감사 대상 코드 버전과 제외 항목을 구체적으로 정합니다.
책임 제한: 책임한도와 면책 조항이 유효한 범위를 확인하고 협상합니다.
사후 관리: 재감사 조건과 감사보고서의 공개, 표시 방법을 정합니다.
1. 감사 후에도 해킹 위험이 남는 이유
2025년 11월 27일 업비트의 솔라나 계열 지갑에서 약 445억 원어치 가상자산이 외부로 비정상 출금됐습니다. 이 사고는 거래소 지갑에서 발생했지만, 블록체인 서비스의 보안 사고가 얼마나 큰 손실로 이어지는지 보여 줍니다.
스마트컨트랙트 감사는 특정 시점에 제출된 코드를 검토하는 용역입니다. 감사 이후 코드가 바뀌거나 감사 범위 밖의 구성 요소에서 문제가 생기면 감사 결과가 그 부분까지 보장하지 않습니다.
그래서 해외 감사계약은 대부분 모든 취약점을 찾았다거나 해킹이 없을 것이라는 보증을 하지 않는다고 정합니다.
2. 감사 대상 코드와 범위
감사계약서에는 감사할 저장소와 커밋 해시, 대상 컨트랙트 목록을 적습니다. 범위가 모호하면 해킹이 난 뒤 해당 코드가 감사 대상이었는지부터 다투게 됩니다.
오라클, 프론트엔드, 관리자 키 관리, 외부 프로토콜 연동처럼 범위에서 빠진 항목을 명시하고, 따로 점검할 계획을 세워야 합니다.
감사 방법도 확인합니다. 수동 코드 리뷰, 자동화 도구, 경제적 공격 시나리오 검토 가운데 무엇을 포함하는지에 따라 감사의 실질이 달라집니다.
3. 책임한도와 면책 조항의 효력
감사 업체는 보통 책임한도를 감사 대금 범위로 정하고, 간접손해와 이용자 손실에 대한 책임을 배제합니다. 프로젝트 입장에서는 실제 손실에 비해 회수할 수 있는 금액이 매우 작을 수 있습니다.
국내법이 적용되는 경우, 사업자가 미리 마련한 약관으로 자신의 고의나 중대한 과실로 인한 책임까지 배제하는 조항은 약관규제법에 따라 무효가 됩니다. 다만 개별 협상으로 정한 조항이나 해외 법이 준거법인 계약에서는 판단이 달라질 수 있습니다.
책임한도를 대금의 일정 배수로 높이거나, 명백한 검토 누락에는 한도를 적용하지 않는 방안을 협상할 수 있습니다.
[국가법령정보센터 「약관의 규제에 관한 법률」 제7조]
4. 지적 사항 수정과 재감사
감사 업체가 취약점을 지적하면 프로젝트가 코드를 고치고, 감사 업체가 수정 결과를 다시 확인하는 절차를 거칩니다.
재검토가 감사 대금에 포함되는지, 몇 차례까지 가능한지, 출시 직전 코드 변경을 어떻게 처리할지 계약서에 정해야 합니다. 최종 배포 코드와 감사 완료 코드가 같은지 확인하는 절차도 둡니다.
출시 후 업그레이드가 예정되어 있다면 추가 감사의 조건과 비용도 미리 협의합니다.
5. 감사보고서의 공개와 표시
프로젝트는 감사보고서를 공개해 이용자와 투자자의 신뢰를 얻으려 합니다. 감사 업체는 자신의 이름이 과장되게 쓰이는 것을 막으려 합니다.
감사 완료를 안전 보장처럼 표시하면 이용자 오인을 불러 프로젝트의 책임이 커질 수 있습니다. 감사 범위와 시점, 미해결 지적 사항을 함께 공개하는 방식을 정합니다.
감사 과정에서 넘긴 코드와 내부 자료의 비밀유지, 취약점 정보의 공개 시점도 계약서에 둡니다.
6. 자주 묻는 질문
Q1. 감사를 받으면 해킹 피해에 대한 프로젝트 책임이 줄어드나요?
감사를 받았다는 사실만으로 이용자에 대한 책임이 없어지지는 않습니다.
다만 합리적인 보안 조치를 다했는지 판단할 때 감사 범위와 지적 사항 처리 기록이 중요한 자료가 됩니다.
Q2. 해외 감사 업체와 계약하면 국내법을 적용할 수 있나요?
준거법과 관할을 어떻게 정하느냐에 따라 달라집니다.
해외 업체 양식에는 대부분 업체 소재지 법과 중재가 정해져 있어 협상 단계에서 확인해야 합니다.
Q3. 감사 업체가 놓친 취약점으로 해킹이 나면 대금을 돌려받을 수 있나요?
계약서의 감사 범위와 보증, 책임한도 조항에 따라 판단합니다.
범위 안의 명백한 검토 누락이라면 다툴 여지가 있지만, 책임한도 때문에 회수 금액이 제한될 수 있습니다.
7. 계약 검토의 핵심
스마트컨트랙트 감사는 해킹 위험을 줄이는 수단이지만, 감사계약서가 정한 범위 밖의 위험까지 막아 주지는 않습니다. 감사 대상 코드 버전과 제외 항목, 책임한도와 면책의 효력, 재감사 조건과 감사보고서 표시 방법을 계약 전에 정해 두는 것이 좋습니다.
[디센트 법률사무소 – 스마트컨트랙트 감사 계약 자문]
🔸 스마트컨트랙트 감사계약서 검토와 수정
🔸 책임한도와 면책 조항 협상
🔸 해킹 사고 발생 시 책임 분석과 대응
상담 안내
[유선 문의] 02-6951-5248
[이메일] admin@decentlaw.io
[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층