본문으로 건너뛰기

Chainlink의 SOC 2 트리플 스택: 다른 모든 오라클을 압도하는 컴플라이언스 해자

· 약 11 분
Dora Noda
Dora Noda
Software Engineer

모든 기관용 조달 체크리스트에는 지금까지 Web3 인프라가 금융권의 가장 수익성 높은 거래에 진입하지 못하도록 막아온 조용한 항목 하나가 있습니다. 이것은 규제 당국의 규칙도, 컴플라이언스 담당자의 체크리스트도 아닙니다. 그것은 바로 이 한 문장입니다: 최신 SOC 2 Type 2 보고서를 제출하십시오.

수년 동안 어떤 오라클도 이를 해내지 못했습니다.

2026년 5월 초, 체인링크가 Deloitte & Touche LLP로부터 SOC 2 Type 2 검토를 완료한 최초이자 현재까지 유일한 오라클 플랫폼이 되면서 상황이 바뀌었습니다. 이는 기존 SOC 2 Type 1 및 ISO/IEC 27001:2022 인증 위에 추가된 성과입니다. 이 트리플 스택을 통해 체인링크는 이제 Stripe, Square, AWS와 동일한 수준의 기본 컴플라이언스 기준을 충족하게 되었습니다. 그 영향은 단순히 단일 오라클 벤더를 넘어섭니다. 이는 차세대 토큰화 금융 (tokenized finance) 을 위한 가격 책정, 결제 및 크로스체인 레일을 누가 구축할 것인지를 재편하게 될 것입니다.

대부분의 크립토 기업이 결코 얻지 못하는 인증​

이것이 왜 중요한지 이해하려면 복잡한 용어들을 구분하는 것이 도움이 됩니다. SOC 2 Type 1은 스냅샷입니다. 감사인은 회사의 통제 항목 — 액세스 관리, 암호화, 벤더 리스크, 침해 사고 대응 방식 등 — 을 살펴보고 특정 시점에 해당 통제 설계가 적절한지 인증합니다. SOC 2 Type 2는 근본적으로 다릅니다. 감사인은 통제 항목이 장기간 (일반적으로 6 ~ 12개월) 동안 실제로 운영되는지 관찰하고, 실제 운영 환경에서 매일 제대로 작동했는지 보고합니다.

이 차이는 '소방 훈련 계획이 있다' 와 '1년 동안 매주 화요일마다 소방 훈련을 성공적으로 실시했다' 의 차이와 같습니다.

Type 2는 대부분의 규제 대상 은행, 자산 운용사 및 포춘 500대 기업에서 벤더를 온보딩할 때 거쳐야 하는 관문 통제 항목입니다. 이게 없으면 조달팀은 감사 보고서를 신뢰할 수 없으며, 200여 개의 보안 설문지를 발송하고 내부 정책 문서를 요구하며 별도의 리스크 면제 승인 절차를 구축해야 합니다. 각 단계는 딜 주기에 수주를 더하며, 조달 담당자에게 지연시킬 핑계를 제공합니다.

ISO/IEC 27001:2022는 국제적인 대응 표준으로, 조직의 리스크 관리를 위한 프레임워크입니다. SOC 2가 운영 통제를 다룬다면, ISO 27001은 이를 규율하는 관리 체계를 다룹니다. 두 가지를 모두 보유하는 것은 "우리는 통합하기에 안전하다" 는 공용어와 같습니다.

체인링크는 2025년 8월에 동일한 감사 법인과 동일한 범위 (Data Feeds, SmartData NAV/Proof of Reserve, CCIP) 에 대해 SOC 2 Type 1 및 ISO 27001을 처음 통과했습니다. 올해 4월의 Type 2 검토는 인증을 단순한 일회성 증명에서 지속적이고 일상적인 운영 규율에 대한 증거로 격상시켰습니다. 이것이 바로 JPMorgan의 벤더 리스크 팀이 계약 체결 전 확인하고 싶어 하는 보고서입니다.

다른 모든 오라클이 현재 약 18개월 뒤처진 이유​

경쟁 구도를 살펴보는 것이 중요합니다. 2026년 5월 기준:

  • Pyth Network — SOC 2 Type 1 또는 Type 2 인증 없음, ISO 27001 없음.
  • RedStone — SOC 2 Type 1 인증을 발표했으나, 아직 Type 2는 없음.
  • Switchboard — SOC 2 Type 1 또는 Type 2 없음.

감사 일정은 가차 없습니다. SOC 2 Type 2는 최소 6개월의 연속적인 관찰 기간이 필요하며, 통제 항목을 구현하고 증거를 생성하기 위한 수개월의 사전 감사 준비 작업이 필요합니다. 오늘 SOC 2 프로그램을 시작하는 자금력이 풍부한 경쟁업체라 하더라도 빨라야 2026년 말에나 Type 2 보고서를 확보할 수 있습니다. 이것이 체인링크가 방금 확보한 구조적 우위입니다.

이 이점을 더욱 강화하는 것은 SOC 2 감사의 범위 (scope) 입니다. 보고서는 특정 제품과 특정 통제 항목을 다룹니다. 체인링크의 보고서는 가격 피드 (Price Feeds), SmartData (Proof of Reserve 및 Net Asset Value), CCIP를 포함합니다. 이는 기관 발행사들이 토큰화 펀드, 스테이블코인 예치금 증명, 크로스체인 결제를 위해 정확히 필요로 하는 제품들입니다. 이는 운영 환경 (production stack) 을 범위에서 제외한 단순한 기업용 인증이 아닙니다. 구매자가 구매하려는 바로 그 제품을 감사인이 승인한 것입니다.

은행 내부의 조달 로직​

이것이 왜 마케팅 문구가 아닌 구조적 해자인지 이해하려면, 1티어 은행이 토큰화 펀드 파일럿을 위해 벤더를 온보딩하는 내부 과정을 살펴보십시오. 제품 팀이 오라클을 선택하면 컴플라이언스, 정보 보안 (infosec), 법무, 조달 부서가 각각 거부권을 행사합니다. 오라클 벤더는 반드시 다음을 수행해야 합니다:

  1. 제3자 리스크 검토 (TPRM) 통과 — 일반적으로 SOC 2 Type 2 또는 완벽하게 작성된 자체 보안 설문지 (8 ~ 12주 소요) 를 통해 결정됩니다.
  2. 최신 침투 테스트 결과, 사고 대응 절차, SOC 2 하위 서비스 조직 매핑 (sub-service organization mappings) 증명 제공.
  3. ISO 27001 통제 항목 또는 이에 상응하는 프레임워크에 따른 정보 보안 검토 통과.
  4. 은행의 승인된 벤더 마스터 (approved vendor master) 에 등록 — 인증이 없으면 이 프로세스는 6 ~ 9개월이 소요될 수 있습니다.

SOC 2 Type 2 보고서는 1 ~ 3단계의 대부분을 단 일주일간의 문서 검토로 축소합니다. 이것은 단순한 효율성 개선이 아닙니다. 이번 분기에 계약을 체결하느냐, 아니면 내년에 다시 오라는 말을 듣느냐의 차이입니다.

동일한 패턴이 토큰화 머니마켓펀드 (MMF) 를 운영하는 자산 운용사, 크립토 서비스를 제공하는 수탁 기관, 스테이블코인 재무 관리를 탐색하는 기업들 전반에서 반복됩니다. 기관이 단순한 파일럿 할당량 이상의 자산을 온체인으로 이동시키려 한다면, 자체 감사인을 통과하지 못하는 오라클에 의존할 수는 없습니다. 따라서 통과하는 오라클을 선택하게 됩니다.

진정한 자금이 모이는 곳: 토큰화된 RWA​

인증 시점은 우연이 아닙니다. 토큰화된 실물 자산(RWA)은 2026년 초 여러 변곡점을 넘어섰습니다. 홍콩 증권선물위원회(SFC)의 토큰화 펀드 운용자산(AUM)은 107억 달러에 달했고, 아폴로(Apollo)와 센트리퓨지(Centrifuge)의 토큰화된 사모 신용은 RWA 카테고리의 54%를 점유했으며, 싱가포르 통화청(MAS)의 프로젝트 가디언(Project Guardian)은 샌드박스를 벗어나 최소 4개의 주요 은행과 함께 상업적 파일럿 단계로 진입했습니다.

이러한 각 프로그램에서 가격 오라클은 부차적인 문제가 아닙니다. 그것은 바로 '신뢰의 닻(trust anchor)'입니다. 토큰화된 머니마켓펀드(MMF)의 순자산가치(NAV)는 규제 대상 관리자에 의해 오프체인에서 계산된 후, 종단 간 감사가 가능한 오라클을 통해 온체인에 게시되어야 합니다. 토큰화된 사모 신용 풀에는 은행 법무팀이 방어할 수 있는 예치금 증명(Proof-of-Reserve) 피드가 필요합니다. 이더리움과 허가형 칸톤(Canton) 또는 아발란체(Avalanche) 서브넷 간의 크로스체인 동시결제(DvP)에는 연결하는 체인과 동일한 준거성을 갖춘 CCIP 스타일의 메시징 레이어가 필요합니다.

체인링크(Chainlink)의 기존 기관 채택은 그 토대를 마련하고 있습니다:

  • Swift는 2025년 11월 실시간 CCIP 통합을 완료하여 회원 은행들이 퍼블릭 및 프라이빗 체인 전반에서 토큰화된 자산을 결제할 수 있도록 했습니다.
  • JPMorgan과 UBS는 CCIP를 통해 토큰화된 펀드 워크플로우를 라우팅합니다.
  • Ondo Finance는 체인링크 가격 피드를 기반으로 3억 7,000만 달러 규모의 토큰화된 국채 TVL과 20억 달러의 누적 거래량을 운영하고 있습니다.
  • BlackRock, Fidelity, PayPal은 다양한 데이터 및 예비비 증명 피드를 위해 통합되어 있습니다.
  • CCIP는 70개 이상의 체인에서 월간 약 180억 달러의 크로스체인 거래량을 처리합니다.

확보된 가치(value secured) 기준으로 체인링크는 이미 오라클 시장의 약 69.9%를 점유하고 있으며 1,000억 달러 이상의 온체인 가치를 뒷받침하고 있습니다. SOC 2 Type 2 인증은 기술적 우위를 조달 프로세스에서 방어 가능한(procurement-defensible) 우위로 전환하기 때문에 그 격차를 더욱 벌릴 것입니다. 이는 최고정보책임자(CIO) 수준의 벤더 통합 검토에서도 살아남을 수 있는 종류의 경쟁력입니다.

Web3 인프라에 주는 시사점​

여기서 읽을 수 있는 더 깊은 신호는 인증 기준이 오라클뿐만 아니라 모든 Web3 인프라에 걸쳐 '선택'에서 '필수'로 이동하고 있다는 점입니다. 가격 오라클에 SOC 2 Type 2를 요구하는 것과 동일한 티어 1 은행은 다음의 요소들에게도 이를 요구할 것입니다:

  • 토큰화된 펀드의 온체인 이력을 위한 인덱싱 파이프라인을 제공하는 RPC 제공자.
  • NAV 조정 보고서를 지원하는 인덱서 및 데이터 분석 플랫폼.
  • 기관급 스테이킹 자산을 보유한 밸리데이터 및 스테이킹 운영자.
  • 펀드 관리자를 대신해 트랜잭션에 서명하는 MPC 커스터디언 및 키 관리 서비스.
  • 체인 간 규제 자산을 이동시키는 브리지 및 메시징 프로토콜.

P2P.org는 2025년 말 기관용 스테이킹에 대한 SOC 2 Type 2 인증을 완료했습니다. Validation Cloud도 비슷한 시기에 Type 2를 획득했습니다. Transak은 2024년 온/오프램프 서비스 중 최초로 이를 통과했습니다. Moralis는 2024년 말 범용 Web3 인프라 중 최초였습니다. 패턴은 분명합니다. Web3 인프라의 모든 카테고리에는 초기부터 광범위한 컴플라이언스 인증을 통해 지배력을 확보한 선두 주자가 존재합니다. 이에 비해 Alchemy와 QuickNode는 여전히 뒤처져 있습니다. Alchemy는 Type 1과 Type 2가 모두 없으며, QuickNode는 2022년의 Type 1은 보유하고 있으나 공개된 Type 2는 없습니다.

2024–2025년의 RPC 및 인덱싱 전쟁이 지연 시간(latency), 가동 시간(uptime), 가격을 중심으로 치러졌다면, 2026–2027년의 라운드는 '조달 방어력'을 두고 벌어질 것입니다. 그리고 이미 감사 보고서를 보유한 제공업체들이 기관 시장의 불균형적인 점유율을 가져가게 될 것입니다.

이것이 해결하지 못하는 것​

낙관적인 해석과 더불어 몇 가지 주의사항도 살펴볼 가치가 있습니다.

SOC 2 Type 2는 운영 통제 항목을 증명하는 것이지 오라클의 정확성을 증명하는 것이 아닙니다. SOC 2를 완벽하게 준수하는 오라클이라도 데이터 소스가 잘못되었다면 여전히 잘못된 가격을 게시할 수 있습니다. 네트워크의 크립토 경제적 보안(노드 탈중앙화, 슬래싱, 분쟁 해결)은 감사가 다루지 않는 별개의 축입니다. 기관 구매자들은 이를 잘 알고 있으며, 여전히 노드 운영자의 다양성, 스트레스 상황에서의 오라클 지연 시간, 과거 사고 이력에 대해 문의할 것입니다.

인증은 유지되어야 합니다. SOC 2 Type 2 보고서는 일반적으로 매년 갱신되며, 중간 기간은 브릿지 레터(bridge letters)로 보완됩니다. 행정적인 실수라 할지라도 인증이 실효되면 해자(moat)에 상당한 타격을 줄 것입니다. 인프라 제공업체의 임무는 인증을 자축하는 것이 아니라, 매 주기마다 인증을 최신 상태로 유지하고 범위를 넓히는 것입니다.

마지막으로, 컴플라이언스는 필요조건이지 충분조건은 아닙니다. 토큰화 펀드 발행자들은 여전히 오라클의 품질, 지연 시간, 총 소유 비용(TCO)을 벤치마킹할 것입니다. SOC 2는 협상 테이블에 앉을 자격을 줄 뿐, 계약을 확정 짓는 것은 아닙니다.

연말 테스트​

추적해 볼 만한 반증 가능한 예측이 여기 있습니다. 현재 체인링크는 확보된 가치 기준으로 약 70%의 오라클 시장 점유율을 차지하고 있습니다. 2026년 4분기까지 이 수치는 특히 토큰화 RWA 가격 피드 부문에서 80% 이상으로 상승할 것으로 예상됩니다. 이는 기술적 우위 때문이 아니라, 기관 구매자들이 인증되지 않은 경쟁사를 검토하기 위해 자신들의 컴플라이언스 팀을 투입할 수 없다는 현실 때문일 것입니다. 신생 오라클들이 2026년에 Type 1을 따라잡을 수는 있겠지만, Type 2 보고서는 2026년 말이나 2027년에야 나올 것이며, ISO 27001 추가 인증에는 더 많은 분기가 소요될 것입니다. 경쟁사들이 이 격차를 메울 때쯤이면 홍콩의 SFC, 싱가포르의 MAS, EU의 MiCA Title V 토큰화 펀드 파일럿, 그리고 미국의 Genius Act 스테이블코인 배포 라이선스는 이미 오라클 의존성을 확정했을 것입니다.

Web3 인프라 스택은 10년 전 클라우드 스택이 견고해졌던 것과 동일한 진실로 수렴하고 있습니다. 다음 성장의 단계를 점유할 기업은 최고의 데모나 가장 저렴한 API 호출을 제공하는 곳이 아니라, 조달 담당자가 망설임 없이 바인더에 감사 보고서를 끼워 넣을 수 있는 기업입니다. 체인링크는 방금 그 바인더를 제작했습니다. 다른 모든 이들은 여전히 표지를 초안하고 있습니다.

BlockEden.xyz는 Sui, Aptos, Solana, Ethereum을 포함한 12개 이상의 체인에서 프로덕션 Web3 애플리케이션을 위한 RPC 및 인덱싱 인프라를 운영합니다. 토큰화 펀드와 규제 대상 스테이블코인 발행사가 파일럿에서 프로덕션 단계로 이동함에 따라, 체인링크가 방금 통과한 것과 동일한 컴플라이언스 기준이 스택의 모든 레이어에 적용될 것입니다. Web3의 기관 시대를 위해 설계된 인프라 위에서 빌드하려면 당사의 API 마켓플레이스를 살펴보세요.

참고 자료​

Share on Twitter