DPT Pay는 안전합니까?

은행이 아닌 핀테크에서 ‘안전’이 실제로 의미하는 것

DPT Pay는 은행이 아니라 금융 기술 회사입니다. DPT Pay에 맡긴 예치금은 홍콩 예금보험제도(Deposit Protection Scheme), 미국의 FDIC, 영국의 FSCS 또는 다른 지역의 상응하는 제도 같은 은행 예금보험의 보호를 받지 않습니다. ‘이 예금 계좌는 FDIC 보험에 가입되어 있습니까?’라고 묻는 방식으로 ‘DPT Pay는 안전합니까?’라고 물으면 잘못된 답에 이르게 됩니다.

올바른 기준은 규제 기관이 모든 비은행 결제기관에 적용하는 기준과 같습니다. 운영사가 라이선스를 받고 감독을 받는지, 카드 발급사가 네트워크로부터 인가를 받았는지, 수탁기관이 규제를 받는지, 고객 자금이 운영 자금과 분리되어 있는지, 그리고 어떤 계정 단위 통제가 제삼자 사기로부터 사용자를 보호하는지입니다. 이들 각각은 별개의 안전 영역입니다. DPT Pay는 각 항목에 대해 문서화된 답을 갖추고 있습니다.

아래 섹션에서는 실제 파트너(U.S. Bank, BitGo)와 실제 규제 범위(AMLO Cap. 615에 따른 홍콩 TCSP 라이선스)를 밝히면서 각 층위를 순서대로 살펴봅니다. 마케팅 문구가 아니라 고객센터에서 쓰는 표현으로 설명합니다.

출처: DPT 고객센터 — DPT는 은행입니까?

라이선스 층위 — AMLO Cap. 615에 따른 홍콩 TCSP

DPT Pay는 홍콩 회사인 DPT (HK) Limited가 운영합니다. DPT (HK) Limited는 홍콩의 비은행 금융 서비스 사업자에 대한 AML/CFT 의무를 규정하는 법률인 Anti-Money Laundering and Counter-Terrorist Financing Ordinance(AMLO, 자금세탁방지 및 테러자금조달방지 조례), Cap. 615에 따라 신탁 또는 회사 서비스 제공업자(Trust or Company Service Provider, TCSP) 라이선스를 보유하고 있습니다.

TCSP 라이선스는 Hong Kong Companies Registry(홍콩 회사등기처)와 Customs and Excise Department(홍콩 세관)가 관할합니다. 이 라이선스를 보유한다는 것은 DPT Pay가 다음 의무를 진다는 뜻입니다. 모든 고객의 신원을 확인하고 검증해야 하고(등급별 간소화가 아닌 완전한 KYC), 의심스러운 활동이 있는지 거래를 모니터링해야 하며, 필요한 경우 의심거래보고서를 제출해야 하고, AMLO가 정한 기간 동안 고객 기록을 보관해야 하며, 규제 기관이 AML/CFT 프로그램을 검토할 수 있도록 해야 합니다. 이 라이선스로 DPT Pay가 은행이 되는 것은 아니며 예금보험이 적용되는 것도 아닙니다. 하지만 DPT Pay를 감독 범위 밖이 아니라 안에 두는 효과가 있습니다.

스테이블코인을 다루는 핀테크에게 이 라이선스는 형식적인 컴플라이언스를 넘어 운영상으로도 의미가 있습니다. 실질적인 KYC, 모든 거래에 대한 실질적인 제재 대상 심사(아래 KYT 참고), 그리고 문제가 생겼을 때 규제 기관에 대한 실질적인 보고 체계를 강제하기 때문입니다.

출처: DPT 고객센터 — DPT는 누가 운영합니까?, DPT 고객센터 — DPT는 어디에 있습니까?, DPT 고객센터 — DPT는 어떤 라이선스를 보유하고 있습니까?

카드 발급 층위 — Visa 라이선스에 따른 U.S. Bank

DPT Visa 카드는 U.S. Bank가 Visa의 라이선스에 따라 발급합니다. 이는 카드를 발급하는 대부분의 핀테크가 사용하는 ‘앞에는 핀테크 브랜드, 뒤에는 규제받는 발급사’라는 표준 구조입니다. DPT Pay는 카드 프로그램을 직접 운영하지 않고 U.S. Bank와 제휴합니다. U.S. Bank는 카드 자체, 차지백 권리, 이의 제기 절차, 그리고 카드 발급사로서 따르는 규제 범위를 책임지는 Visa 주회원입니다.

카드 소지자가 얻는 것은 다음과 같습니다. 표준 Visa 무과실 책임 면제 사기 보호가 적용되고, 표준 차지백 권리가 적용되며, 카드는 전 세계 가맹점 단말기에서 다른 Visa Platinum 또는 Visa Infinite 카드와 같은 Visa 결제망으로 작동하고, 이의 제기도 같은 Visa 스킴 규칙에 따라 처리됩니다. 카드 앞면의 브랜드가 은행 이름이 아니라 ‘DPT Pay’라고 해서 다른 상품이 되는 것은 아닙니다.

출처: DPT 고객센터 — DPT 카드는 누가 발급합니까?

수탁 층위 — BitGo

DPT 계정에 입금된 스테이블코인(USDC와 USDT)은 BitGo가 수탁 보관합니다. BitGo는 규제를 받는 최대 규모의 디지털 자산 수탁기관 가운데 하나로, 콜드 스토리지, 다중 서명 키 관리, 기관 자산 분리 보관에서 오랜 실적을 쌓아 왔습니다. DPT Pay는 고객 암호화폐를 자체 인프라에서 직접 수탁하지 않습니다. 자산은 BitGo의 규제받는 수탁 체계 아래 BitGo에 보관되며, DPT Pay는 계정 운영자 역할을 합니다.

이 분리가 중요한 이유는, 설령 DPT Pay의 운영 시스템이 침해되더라도 고객 자산은 플랫폼 자체의 키와 섞이지 않고 독립적인 규제받는 수탁기관이 보관하고 있기 때문입니다. 이는 규정을 준수하는 대부분의 스테이블코인 카드 프로그램이 사용하는 구조와 같습니다. 핀테크는 사용자 관계와 카드 프로그램을 맡고, 규제받는 수탁기관은 자산을 보관합니다.

출처: DPT 고객센터 — 내 돈은 보험이나 보호를 받습니까?

자금 분리 보관

고객 자금은 DPT Pay 자체의 운영 자금과 분리되어 보관됩니다. 이는 규제받는 수탁기관을 이용하는 데 따른 핵심 결과입니다. BitGo가 DPT Pay 고객을 위해 보관하는 자산은 DPT Pay가 사업 운영에 사용하는 자산과 별도로 회계 처리됩니다. 다음 섹션의 내용이 성립하는 것도 이 분리 보관 덕분입니다.

분리 보관은 예금보험과 같지 않습니다. 수탁기관 자체의 인프라가 자산 단계에서 침해된다면, 분리 보관만으로는 고객의 손실을 보전할 수 없습니다. 그런 경우를 위해 수탁기관 보험, 콜드 스토리지 원칙, 운영 통제가 있습니다. 하지만 분리 보관은 고객 자산이 DPT Pay 자체의 재무상태표에 포함되지 않도록 보장하며, 따라서 회사가 재무적 위기에 처하더라도 고객 자산이 가장 먼저 손실을 떠안는 자산이 되지 않습니다.

출처: DPT 고객센터 — 내 돈은 보험이나 보호를 받습니까?, DPT 고객센터 — DPT가 서비스를 종료하면 내 돈은 어떻게 됩니까?

계정 단위 보안

위의 라이선스 층위와 수탁 층위는 고객을 시스템 위험으로부터 보호합니다. 계정 단위 층위는 사용자 한 명 한 명을 표적 사기, 피싱, 로그인 정보 도용으로부터 보호합니다. 이 영역에서 DPT Pay가 갖춘 수단은 최신 핀테크의 표준 구성입니다.

• 이중 인증(2FA): 패스키나 인증 앱을 사용합니다. 앱의 프로필 → 보안에서 켤 수 있습니다. 2FA 기기에 접근할 수 없게 되면 등록된 이메일이 복구 수단이 됩니다.

• 피싱 방지 코드: 본인만 아는 사용자 지정 단어나 문구로, DPT Pay가 보내는 모든 공식 이메일에 포함됩니다. DPT에서 보냈다고 주장하는 이메일에 이 코드가 없다면 DPT가 보낸 것이 아닙니다.

• 실시간 결제 알림: 모든 카드 거래마다 즉시 푸시 알림이 오므로, 무단 사용을 몇 초 안에 알아차릴 수 있습니다.

• KYT(거래 확인, Know Your Transaction) 모니터링: 모든 거래를 대상으로 제재 위반, 사기 징후, 불법 활동 패턴을 실시간으로 심사합니다. 사용자가 따로 할 일은 없습니다.

• 계정 잠금: 비밀번호를 다섯 번 잘못 입력하면 24시간 동안 로그인이 자동으로 잠깁니다. 잠긴 동안에도 카드는 계속 사용할 수 있으며, 제한되는 것은 로그인뿐입니다.

• 카드 단위 잠금: 단말기에서 CVV / 유효기간 / PIN을 세 번 잘못 입력하면 계정 상태와 관계없이 카드가 24시간 동안 잠깁니다.

중요한 행동 수칙이 하나 있습니다. DPT Pay는 비밀번호, 전체 카드 번호, CVV, 지갑 복구 구문을 절대 묻지 않습니다. 이런 정보를 요구하는 메시지는 DPT가 보낸 것이 아니므로 신고해야 합니다.

출처: DPT 고객센터 — 이중 인증, DPT 고객센터 — 피싱 방지 코드, DPT 고객센터 — 결제 알림, DPT 고객센터 — KYT 거래 모니터링, DPT 고객센터 — DPT가 비밀번호나 CVV를 묻는 경우가 있습니까?

카드를 분실하거나 도난당했거나 정보가 유출되었을 때

가장 빠른 대응은 DPT 앱에서 바로 카드를 동결하는 것입니다. 고객 지원 문의는 필요 없습니다. 동결된 동안에는 어떤 거래도 처리되지 않습니다. 카드를 찾았거나 대체 카드를 활성화하면 언제든지 직접 동결을 해제할 수 있습니다.

동결은 잠금과 다릅니다. 잠금은 자동으로, 단말기에서 CVV / 유효기간 / PIN을 세 번 잘못 입력하면 실행되며 24시간이 지나면 별도 조치 없이 해제됩니다. 동결은 수동으로, 사용자가 앱에서 직접 실행하며 시간 제한이 없습니다. 침해가 의심될 때는 동결을 사용하십시오. 자동 잠금은 따로 신경 쓸 필요 없는 안전망으로 생각하면 됩니다.

이미 게시된 무단 결제가 있다면, 카드를 동결한 다음 거래 내역(날짜, 금액, 가맹점)을 준비해 고객 지원팀에 문의하십시오. 차지백은 명세서 게시일로부터 60일 이내에 접수해야 합니다. 이후 이의 제기는 Visa의 표준 스킴 규칙에 따라 진행되며, 이는 모든 Visa 카드에 적용되는 절차와 같습니다.

카드뿐 아니라 계정 자체가 침해되었다고 의심된다면, 카드를 동결하고, 로그인 화면의 ‘비밀번호 찾기’로 비밀번호를 변경하고, 2FA가 아직 꺼져 있다면 켜고, 최근 거래 내역을 검토하십시오. 알아볼 수 없는 결제는 위의 이의 제기 절차로 신고하십시오.

출처: DPT 고객센터 — 카드는 어떻게 동결합니까?, DPT 고객센터 — 카드가 잠긴 이유는 무엇입니까?, DPT 고객센터 — 사기 결제나 무단 결제는 어떻게 신고합니까?, DPT 고객센터 — 계정이 해킹당한 것 같습니다

DPT Pay가 서비스를 종료한다면

고객 자금은 규제받는 수탁기관(BitGo)이 보관하고 DPT Pay 자체의 운영 자금과 별도로 회계 처리되므로, DPT Pay 차원에서 사업에 차질이 생기더라도 고객 자산이 DPT Pay의 회사 자산과 섞이지 않습니다. 수탁기관은 DPT Pay 회사의 상황과 관계없이 독립적으로 자산을 계속 보관합니다.

이는 비은행 핀테크 수탁의 표준 방식이며, 은행이 예금을 보유하는 방식과는 실질적으로 다릅니다. 은행의 경우 예금은 은행의 부채이며, 한도 내에서 국가 예금보험의 보호를 받습니다. 규제받는 수탁을 이용하는 비은행 핀테크의 경우, 자산은 핀테크의 부채가 아니라 수탁기관이 보관하는 사용자 본인의 자산이며, 핀테크는 플랫폼 운영자입니다. 국가 보증 보험은 없지만, 자산이 회사 재무상태표의 항목도 아닙니다.

솔직하게 정리하면, 서비스 종료 위험은 실제로 존재합니다. 하지만 분리 보관 구조는 자산이 섞여 있을 때와 달리 서비스 종료 위험이 곧 자금 손실 위험이 되지 않도록 설계되어 있습니다.

출처: DPT 고객센터 — DPT가 서비스를 종료하면 내 돈은 어떻게 됩니까?

DPT Pay가 안전하지 않은 부분 — 솔직한 한계

‘안전’이 ‘은행보다 못한 수준’을 뜻할 수밖에 없는 세 가지 지점이 있습니다.

1. 국가 예금보험이 없습니다. DPT Pay는 은행이 아닙니다. 잔액은 홍콩 DPS, 미국 FDIC, 영국 FSCS 또는 이에 상응하는 어떤 제도의 보호도 받지 않습니다. 수탁기관 차원의 보호 장치는 있지만 국가 보증과 같지 않습니다.
2. 스테이블코인 위험은 그대로 전가됩니다. 잔액은 USDC 또는 USDT로 보유됩니다. 페그 이탈 위험, 발행사 위험(USDC는 Circle, USDT는 Tether), 그리고 입금한 네트워크의 체인 단위 위험은 DPT Pay가 BitGo를 통해 자산을 보유한다고 해서 사라지지 않습니다. 이는 스테이블코인 자체에 내재된 위험입니다.
3. 컴플라이언스상 동결이 발생할 수 있습니다. KYT는 제재 및 사기 심사를 실시간으로 수행합니다. 정상적인 거래는 영향을 받지 않지만, 이상 출처로 표시된 곳에서 추적된 입금은 검토가 끝날 때까지 동결될 수 있습니다. 이는 결함이 아니라 규제 범위 안에 있기 때문에 생기는 특성이지만, ‘원할 때 언제든 출금할 수 있다’는 기대에는 실제 제약이 됩니다.

이 중 어느 것도 DPT Pay가 절대적인 의미에서 안전하지 않다는 뜻은 아닙니다. 다만 질문이 ‘안전합니까?’가 아니라 ‘이 안전 모델이 내 용도에 맞습니까?’가 되어야 한다는 뜻입니다. 수탁, 분리 보관, 규제받는 운영사를 갖춘 Visa 결제망에서 스테이블코인으로 일상 결제를 하는 용도라면, 맞습니다. FDIC 보험이 적용되는 은행에 하듯 평생 모은 저축을 보관하는 용도라면, 맞지 않습니다. 그것은 어떤 비은행 스테이블코인 플랫폼도 해당하지 않는 역할입니다.

자주 묻는 질문

DPT Pay는 규제를 받습니까?

받습니다. 다만 그 규제 범위 안에서입니다. DPT (HK) Limited는 AMLO Cap. 615에 따른 홍콩 TCSP 라이선스를 보유하고 있습니다. 카드 발급사(U.S. Bank)는 Visa 라이선스를 보유한 주회원(principal member)입니다. 수탁기관(BitGo)은 규제를 받는 디지털 자산 수탁 제공업체입니다. DPT Pay 자체는 은행이 아니며 은행으로서 규제를 받지 않습니다.

DPT Pay가 파산하면 제 돈은 보험으로 보호됩니까?

은행 예금보험 제도를 통해서는 보호되지 않습니다. DPT Pay는 은행이 아니므로 잔액은 홍콩 예금보험제도(Deposit Protection Scheme), FDIC, FSCS 또는 이에 상응하는 제도의 보호를 받지 않습니다. 고객 자금은 BitGo의 규제받는 수탁 아래 보관되며 DPT Pay 자체의 운영 자금과 분리되어 있으므로, DPT Pay 차원에서 사업에 차질이 생기더라도 고객 자산이 회사 자산과 섞이지 않습니다. 하지만 분리 보관은 국가 보증 보험과 같지 않으며, 그 차이는 중요합니다.

DPT Pay가 해킹당한 적이 있습니까?

공개된 사고 이력은 고객센터 콘텐츠에 포함되어 있지 않으므로, 여기서 무사고 기록을 주장하지는 않겠습니다. 사용자별 방어 수단은 계정 단위 통제, 즉 2FA, 피싱 방지 코드, KYT 모니터링, 실시간 결제 알림, 수동 카드 동결입니다. 이 분야에서는 계정 단위 침해(피싱, 로그인 정보 재사용, 기기 분실)가 플랫폼 침해보다 훨씬 흔하며, 보안 체계도 그에 맞게 설계되어 있습니다.

DPT Pay가 제 계정을 동결할 수 있습니까?

특정한 상황에서는 할 수 있습니다. KYT(거래 확인, Know Your Transaction) 모니터링은 모든 거래를 대상으로 제재 위반, 사기 징후, 불법 활동 패턴을 심사합니다. 이상 거래로 표시되면 검토가 끝날 때까지 출금이 보류될 수 있습니다. 이는 재량적 정책이 아니라 AMLO Cap. 615에 따른 규제 요건이며, 홍콩에서 운영되는 규정 준수 비은행 결제기관 모두에 적용됩니다.

카드 동결과 카드 잠금은 어떻게 다릅니까?

동결은 수동입니다. 앱에서 직접 실행하며, 시간 제한이 없고, 준비되면 직접 해제합니다. 침해가 의심될 때 사용하십시오. 잠금은 자동입니다. 단말기에서 CVV / 유효기간 / PIN을 세 번 잘못 입력하면 실행되고, 24시간이 지나면 별도 조치 없이 저절로 해제됩니다. 둘 다 적용되는 동안에는 거래가 차단됩니다.

관련 가이드

• DPT Pay란 무엇입니까? — 브랜드 핵심 가이드 전체(법인, 라이선스, 파트너, 요금)
• 암호화폐 카드란 무엇입니까 — 스테이블코인 카드가 Visa 결제망에서 일반적으로 작동하는 방식
• 스테이블코인 카드가 거래를 처리하는 방식
• 수탁형 vs 비수탁형 — 실제로 자금을 보관하는 주체는 누구인가
• DPT 고객센터 — 보안 및 계정 — 12개 항목으로 구성된 보안 FAQ 전체