이번 브리핑은 한국 시간 기준 2026년 9월 28일부터 10월 4일까지의 발표와 변화를 다룬다.
1. Base: Cobalt 메인넷 업그레이드
베이스는 UTC 기준 9월 30일 18:00에 Cobalt 메인넷 업그레이드를 완료했다. 핵심 기능인 유효성 트랜잭션(Validity Transactions)을 이용하면 사용자는 서명된 트랜잭션에 만료 시간과 블록 높이, Flashblock 위치, 컨트랙트 스토리지값 등의 조건을 첨부할 수 있다. 시퀀서는 해당 트랜잭션을 보관하다가 모든 조건이 충족될 때만 블록에 포함한다. base_sendRawTransactionValidity로 제출된 트랜잭션은 실행 전까지 공개 멤풀에 노출되지 않으며, 조건이 계속 맞지 않으면 끝내 실행되지 않는다. 기존에는 Keeper가 상태를 감시하며 제출 경쟁을 벌여야 했으나, 이제는 블록 빌더가 직접 자격을 평가한다.
베이스의 Cobalt 릴리스 노트는 이 기능을 조건부 스왑과 출금에 유용하다고 설명한다. 폴링 인프라나 재제출 경쟁을 없애주지만, 서명 시점에 체인의 나머지 상태까지 고정해 주지는 않는다. 따라서 지갑과 dApp은 실행 조건, 만료 시간, 그리고 자격을 갖춘 트랜잭션이라도 가스비 경합에서 밀릴 수 있음을 사용자에게 명확히 보여줘야 한다. 또한 트랜잭션 생명주기를 다룰 때 초기 서명을 완료된 주문으로 처리하기보다 제출됨, 대기 중, 자격 갖춤, 블록 포함, 만료 등의 상태로 구분해 관리하는 것이 바람직하다.
Cobalt는 베이스의 자체 토큰 표준인 B20도 확장한다. 발행자는 기존 KYC 화이트리스트와 제재 블랙리스트를 AND/OR 논리로 조합할 수 있고, 주식 분할 같은 권리 행사(Corporate Action)에 맞춰 표시 수량 배수를 예약 변경할 수 있으며, 필요 시 seizeWithMemo 기능을 활성화할 수 있다. 마지막 기능은 승인된 관리자가 사유를 온체인에 기록하면서 특정 보유자의 잔액을 다른 주소로 강제 이체할 수 있게 한다. 이러한 원형(primitive) 기능들은 스테이블코인과 토큰화 자산의 규제 준수 및 회수 프로세스를 프로토콜 수면 위로 올려놓지만, 일반적인 ERC-20과는 전혀 다른 권한 모델을 형성한다. 지갑, 인덱서, 익스플로러는 계정 동결 및 몰수 기능을 명확히 노출하고, 실제 잔액과 배수가 적용된 표시 잔액을 구분하며, 새 ABI에 맞게 시스템을 업데이트해야 한다.
2. SEC: 자문사 및 규제 펀드 대상 암호화폐 수탁 규제안
10월 1일, SEC는 등록된 투자 자문사와 규제 펀드를 위한 새로운 수탁 규제안을 제안했다. 펀드가 신규 암호화폐 자산을 취급하려 할 때 기존의 적격 수탁 기관이 이를 지원하지 못할 수 있음을 인정한 조치다. 제안서에 따르면 요건을 갖춘 주(State) 신탁회사1가 수탁 기관으로 참여할 수 있으며, 적격 수탁 기관을 찾을 수 없는 경우 자문사나 펀드가 해당 자산을 직접 수탁할 수 있는 길도 열린다. 이는 확정안이 아니며, 관보 게재 후 60일간 의견 수렴을 거치게 된다.
여기서 말하는 자체 수탁(Self-custody)은 개인 투자자가 개인 지갑을 직접 관리하는 것을 의미하지 않는다. 자문사나 펀드가 고객 자산의 수탁 기관 역할을 겸하는 것을 뜻한다. Hester Peirce 위원은 수탁을 맡기 전 적격 수탁 기관이 없는지 먼저 확인해야 하며, 이를 분기마다 재평가해야 한다고 설명했다. 주 신탁회사는 인가 상태와 보안 조치에 대해 최초 및 연례 실사를 받아야 한다. 또한 자문사나 펀드가 직접 수탁을 맡을 경우 전문성, 사이버 보안, 연례 점검, 내부 보고, 계좌 내역서 발급, 고객 공시 등의 까다로운 요건을 충족해야 한다.
이 프레임워크가 최종 채택되면 기관용 수탁 제품의 역할은 단순히 단순 키 보관에 그치지 않는다. 자산별 수탁 가능 여부 증빙, 내부 수탁 승인 절차, 분기별 재평가, 사고 기록 관리 기능까지 갖춰야 한다. 자산을 주 신탁회사로 전달하는 플랫폼 역시 해당 기관의 인가 상태와 통제력을 지속적으로 검증해야 한다. 수탁 경로가 다양해질수록 지갑 정책, 키 생성 및 관리 의식(Key Ceremony), 역할 분담, 감사 가능한 승인 절차의 중요성은 더욱 커질 수밖에 없다.
3. Roughrider: 솔라나 기반 은행 토큰을 기존 코어 뱅킹 시스템과 연동
Fiserv는 10월 1일 자사의 디지털 자산 플랫폼을 금융기관 고객들에게 개방하고, 노스다코타 은행의 'Roughrider Coin'이 첫 번째 실사용 사례가 되었다고 발표했다. Roughrider Coin은 퍼블릭 체인의 빠른 속도를 엄격한 참여자 제한 및 회수 통제권과 결합해 코어 뱅킹 워크플로 안으로 녹여낸 대표적인 사례다.
노스다코타주 내 90개 이상의 은행과 신용협동조합이 이를 은행 간 자금 이체에 활용할 수 있다. VersaBank USA가 발행·소각·준비금 관리·수탁을 담당하고, Fireblocks가 디지털 자산 인프라를 제공하며, 솔라나가 트랜잭션을 처리한다. 참여 기관들은 기존의 은행 간 자금 이체에 사용하던 '파이서브 커머셜 센터' 인터페이스를 그대로 활용해 거래한다.
노스다코타 은행의 아키텍처 설명에 따르면, 이 토큰은 일반 소매용 공개 스테이블코인이 아니다. 미국 달러와 1:1로 매칭되는 허가형 기관 전용 토큰이다. 계정 동결 및 회수(clawback) 기능이 포함된 솔라나 Token-2022 제어 기능을 사용하며, 참여 기관들은 자동화된 컴플라이언스 정책이 적용된 파이어블록스 MPC 지갑을 통해 거래한다. 토큰 민팅은 참여 기관의 운영 계좌에서 지정된 수익자 지정 계좌(FBO)로 현금이 입금된 후에만 실행된다. 수신 기관의 지갑에 토큰이 도착하면 스마트 컨트랙트 명령이 작동하여 토큰을 자동으로 소각한다.
이 구조에서는 온체인 최종성(Finality)과 최종 은행 장부 상태가 서로 별개로 동작한다. 토큰 전송과 자동 소각 외에도 FBO 계좌 간 자금은 매일 상계 정산되어 ACH 파일2로 이동한다. 따라서 시스템이 블록체인 탐색기의 성공 상태를 곧바로 최종 정산 완료로 간주해서는 안 된다.
4. 메타마스크의 보안 기본 설정, 메타데이터 노출과 인프라 의존성 문제 동시에 드러내
9월 29일, 메타마스크는 프로필 및 개인정보 제어 기능을 단일 기본 기능 설정으로 통합했다. 이 설정은 신규 사용자에게 기본적으로 활성화되며 토큰 및 NFT 감지, 트랜잭션 시뮬레이션, 보안 알림, 피싱 방지, ENS 도메인 해독, 컨트랙트 디코딩, 네트워크 상태 점검을 지원한다. 그 대가로 지갑 주소는 개별 프로필과 연결되며, 일부 기능 작동 시 표준 네트워크 요청을 전송하게 된다. 복구 문구(Secret Recovery Phrase) 방식 지갑은 이 설정을 끌 수 있지만 해당 기능들을 이용할 수 없게 된다. 반면 구글, 애플, 텔레그램 등 소셜 로그인을 통해 생성된 지갑은 프로필 자체가 로그인 모델에 귀속되어 있어 이 설정을 끌 수 없다. 이는 선택 항목인 익명 지표 수집 설정과는 별개의 사안이다.
기본 활성화된 보안 보호 기능은 피싱이나 내역을 알 수 없는 서명(Blind Signing) 사고를 줄여주지만, 주소와 프로필의 연동을 기본 동작으로 만든다. 자체 수탁이 개인키의 제어권을 보장할지는 몰라도, 토큰 감지·시뮬레이션·보안 알림 백엔드에 필요한 메타데이터까지 은폐해 주지는 않는다. 지갑 서비스는 계정 생성 전 단계에서 어떤 주소와 요청이 어떤 서비스로 전송되는지, 설정을 끌 때 정확히 어떤 기능이 비활성화되는지, 그리고 소셜 로그인 방식이 복구 문구 방식과 어떻게 다른지 개인정보 메뉴 밖에서도 명확히 안내해야 한다.
같은 주에는 별도의 운영상 인프라 의존성 문제도 불거졌다. 9월 30일부터 메타마스크는 자사 인프라 일부에 영향을 미친 보안 사고에 대응하여 비수탁 스테이킹 운영 중인 노드 중 영향받은 검증인들을 선제적으로 이탈 처리했다. 10월 1일 기준 메타마스크는 지갑이나 고객 자금에 영향이 미친 정황은 없으며, 자사가 고객의 출금 키를 관리하지 않는다고 밝혔다. 회사 측이 구체적인 원인을 밝히지 않았으므로 공격 경로나 영향을 섣불리 추정해서는 안 된다. 하지만 이번 사고는 키 수탁과 서비스 가용성이 엄연히 다른 경계에 있음을 보여준다. 스테이킹 중이라도 자금 자체는 사용자 제어 하에 안전할 수 있지만, 시뮬레이션·알림·백엔드 기반 기능은 얼마든지 저하될 수 있다. 따라서 상태 알림과 사고 대응 프로세스 체계는 이러한 상태들을 서로 분리하여 보고해야 한다.
5. Ethereum Glamsterdam 업그레이드: ePBS와 병렬 검증을 Sepolia에서 시험
Ethereum Foundation은 9월 28일 Glamsterdam을 Sepolia에서 10월 6일 13:53:36 UTC에 활성화한다고 발표했다. Hoodi와 mainnet 일정은 아직 없다. Glamsterdam은 Amsterdam execution layer 변경과 Gloas consensus layer 변경을 포함한다. 핵심은 protocol에 내장된 proposer-builder separation(ePBS)과 block-level access list(BAL)다.
이 블로그에서는 Glamsterdam에서 변경되는 내용을 상세히 다루고 있다. 글 보기: Fusaka, Glamsterdam, Hegota: 이더리움 L1 코어와 확장성 로드맵의 진화
브리핑은 매주 월요일 Codex로 생성된 분석 자료를 기반으로 작성된다. 게재 전 블로그 운영자의 직접 검수 및 승인을 거친다.