CertiK 감사비용에는 정해진 가격표가 없습니다. 감사 대상 코드의 규모와 복잡도, 일정, 부가 서비스 범위에 따라 견적으로 정해지므로 재무담당자는 총액보다 견적서의 항목 구성을 먼저 확인해야 합니다. 재감사 포함 여부, 공개 프로젝트 페이지에 무엇이 어떻게 반영되는지, 계약 주체가 어디인지를 미리 확인하면 예산 초과와 사후 분쟁을 상당 부분 줄일 수 있습니다. 아래에서는 공개 프로젝트 페이지 사례와 CertiK 본사 관련 확인 사항을 함께 정리합니다.
감사 견적서에는 어떤 항목이 들어 있어야 합니까?
스마트컨트랙트 감사 견적은 "무엇을, 어떤 방법으로, 언제까지, 어떤 산출물로" 검토하는지를 정하는 문서입니다. 금액이 같아도 범위가 다르면 실제 비용 효율은 크게 달라집니다. 재무담당자는 견적서를 받으면 다음 항목이 문서에 적혀 있는지부터 확인하는 것이 좋습니다.
- 감사 범위: 대상 컨트랙트 파일 목록과 기준 커밋 해시. 범위가 커밋 단위로 고정되지 않으면 개발 중 수정된 코드가 범위 밖으로 밀려나 추가 비용이 생길 수 있습니다.
- 검토 방법론: 수동 코드 리뷰, 자동 정적 분석, 포멀 검증이 각각 포함되는지와 그 적용 범위.
- 일정: 착수일, 예비 보고서 전달일, 최종 보고서 발행일. 긴급 일정이면 할증이 붙는지도 함께 확인합니다.
- 산출물: 예비 보고서와 최종 보고서의 구분, 발견 이슈의 심각도 분류 기준, 개발팀 답변이 반영되는 방식.
- 재검토 횟수: 수정 코드를 다시 검토하는 횟수가 기본 견적에 몇 회 포함되는지.
- 공개 범위: 보고서를 외부에 공개할지, 언제 공개할지, 플랫폼 프로젝트 페이지에 어떤 정보가 표시되는지.
이 여섯 항목 가운데 하나라도 비어 있으면 견적 비교가 사실상 불가능합니다. 견적을 확정하기 전에 서면으로 보완을 요청하는 것이 바람직합니다.
감사비용을 좌우하는 변수는 무엇입니까?
CertiK 감사비용을 공식 단가로 확인할 수 있는 공개 자료는 제한적입니다. 그러므로 구체적인 금액을 짐작하기보다는 어떤 변수가 금액을 움직이는지 이해하고, 그 변수마다 질문을 준비하는 편이 실무에 도움이 됩니다. 아래 표는 재무담당자가 견적 협의에서 확인할 기준을 정리한 것입니다.
| 비용 변수 | 비용에 미치는 영향 | 재무담당자가 확인할 질문 |
|---|---|---|
| 코드 규모 | 주석·공백을 제외한 실제 코드 줄 수가 많을수록 검토 시간이 늘어납니다. | 견적 산정에 쓴 코드 규모 기준은 무엇이며, 외부 라이브러리는 범위에서 빠지는가 |
| 구조 복잡도 | 업그레이드 프록시, 외부 오라클, 크로스체인 브리지, 복잡한 수수료 계산이 있으면 난도가 올라갑니다. | 복잡도 등급을 어떻게 판정했으며, 어떤 모듈이 가장 많은 공수를 차지하는가 |
| 일정 | 출시일에 맞춘 단기 일정은 인력 추가 투입으로 할증될 수 있습니다. | 표준 일정과 단축 일정의 금액 차이, 일정이 지연될 때의 책임 소재 |
| 포멀 검증 | 핵심 불변 조건을 수학적으로 증명하는 작업은 수동 감사와 별도로 공수가 듭니다. | 포멀 검증 대상 함수와 증명할 속성 목록이 명시되어 있는가 |
| 재감사·추가 검토 | 수정 범위가 크거나 기본 횟수를 넘으면 별도 청구될 수 있습니다. | 기본 포함 횟수와 초과 시 산정 방식 |
| 부가 서비스 | 팀 신원 확인, 실시간 모니터링, 버그바운티 연계 등은 별도 상품인 경우가 많습니다. | 각 서비스의 계약 기간과 갱신 조건, 해지 시 공개 페이지 표시 변화 |
복수 업체 견적을 비교할 때는 같은 커밋 해시와 같은 범위 문서를 모든 업체에 동일하게 보내야 합니다. 범위 문서가 업체마다 다르면 금액 차이가 감사 품질 차이인지 범위 차이인지 구분할 수 없습니다.
공개 프로젝트 페이지는 예산 판단에 어떻게 쓰입니까?
감사를 마친 프로젝트는 감사 이력, 보안 점수, 온체인 모니터링 지표 등이 플랫폼의 프로젝트 페이지에 정리되는 경우가 많습니다. 예를 들어 CertiK Skynet의 WebKey 프로젝트 페이지(certik webkey)처럼 공개된 프로필을 미리 살펴보면 계약 후 어떤 정보가 외부 투자자와 커뮤니티에 노출되는지 감을 잡을 수 있습니다. 재무담당자에게 이 확인은 단순한 참고가 아니라, 견적에 포함된 서비스가 공개 페이지의 어떤 영역과 연결되는지 대조하는 작업입니다.
- 감사 보고서가 공개되어 있는지, 발행 일자와 대상 버전이 표시되는지
- 발견 이슈가 심각도별로 나뉘어 있고 해결·인지·미해결 상태가 구분되는지
- 보안 점수가 어떤 하위 항목으로 구성되며 얼마나 자주 갱신되는지
- 모니터링·신원 확인 등 부가 서비스 표시가 계약 여부에 따라 달라지는지
공개 페이지의 점수와 배지는 특정 시점의 평가 결과입니다. 프로젝트의 안전성이나 투자 가치를 보증하지 않습니다. 따라서 내부 보고서에서 점수를 성과 지표처럼 쓰기보다는 "어떤 항목이 공개되고, 그 항목을 관리하려면 어떤 계약이 필요한가"를 예산 근거로 정리하는 편이 적절합니다.
CertiK 본사와 실제 계약 주체는 어떻게 확인합니까?
실제 영업과 계약은 본사가 아닌 지역 조직이나 담당자를 통해 진행되는 경우가 있습니다. 재무담당자가 본사 위치 자체보다 중요하게 볼 것은 견적서와 계약서, 세금계산서 또는 인보이스에 적힌 법인이 서로 일치하는지입니다. 감사 업계에서는 유명 업체 이름을 내세운 사칭 제안이 메신저나 소셜미디어로 들어오는 사례가 있으므로 아래 순서로 확인하는 것을 권합니다.
- 견적을 보낸 담당자의 이메일이 공식 도메인을 쓰는지 확인하고, 공식 웹사이트의 문의 창구로 해당 담당자가 실재하는지 별도로 문의합니다.
- 계약서에 적힌 법인명, 등록 주소, 준거법, 분쟁 해결 방식을 확인합니다.
- 결제 수단과 통화, 수취 계좌 또는 지갑 주소가 계약서와 같은지 대조하고, 중간에 수취처가 바뀌면 지급을 멈추고 재확인합니다.
- 비밀유지 조항과 보고서 공개 권한이 누구에게 있는지 명시되었는지 확인합니다.
가상자산으로 대금을 지급하면 송금 후 되돌리기 어렵습니다. 첫 지급 전에 소액 테스트 송금과 서면 확인을 거치는 내부 절차를 두는 것이 안전합니다.
감사 이후 국내 규제·보안 인증과는 어떻게 연결해야 합니까?
스마트컨트랙트 감사는 코드의 취약점을 줄이는 기술 검토입니다. 국내 법령상 의무나 정보보호 인증을 대신하지 않습니다. 가상자산 이용자 보호 등에 관한 법률은 2024년 7월 19일부터 시행되었습니다. 구체적인 규제 내용과 프로젝트에 적용되는지는 법령 원문과 전문가 검토로 확인해야 합니다.
국내에서 가상자산사업자로 영업하려면 특정 금융거래정보의 보고 및 이용 등에 관한 법률에 따라 금융정보분석원에 신고해야 합니다. 신고 요건에는 정보보호 관리체계(ISMS) 인증 획득이 포함됩니다. 토큰 발행 프로젝트가 직접 사업자에 해당하는지는 사업 구조에 따라 달라지므로 별도의 법률 검토가 필요합니다.
국내에서는 한국인터넷진흥원 또는 지정 인증기관이 정보보호와 개인정보보호 조치를 인증하는 ISMS-P 인증 제도가 운영됩니다. 서비스 운영 인프라와 개인정보 처리 체계를 점검하는 이 인증은 컨트랙트 감사와 점검 대상이 다르므로, 예산을 짤 때 별도 항목으로 잡아야 합니다.
내부 보안 관리 체계를 설계할 때는 미국 국립표준기술연구소(NIST)의 사이버보안 프레임워크(CSF) 2.0을 참고할 수 있습니다. 이 프레임워크는 거버넌스, 식별, 보호, 탐지, 대응, 복구의 여섯 가지 핵심 기능으로 구성됩니다. 감사는 주로 식별과 보호에, 실시간 모니터링은 탐지에 해당합니다. 사고 대응 계획과 복구 절차는 별도로 마련해야 비용 집행의 공백이 생기지 않습니다.
규제 해당 여부나 계약 조항 해석은 프로젝트마다 다르므로, 이 글은 일반적인 정보로만 참고하시기 바랍니다. 구체적인 판단은 가상자산 분야 법률 전문가나 회계·세무 전문가와 상담하시기를 권합니다.
자주 묻는 질문
CertiK 감사비용은 공개된 가격표가 있습니까?
일반적으로 공개된 고정 가격표보다는 범위 문서를 바탕으로 개별 견적을 산정합니다. 코드 규모, 구조 복잡도, 일정, 포멀 검증과 부가 서비스 포함 여부에 따라 금액이 달라지므로, 같은 범위 문서로 견적을 받아 비교하는 것이 정확합니다.
감사를 받으면 공개 페이지의 보안 점수가 바로 높아집니까?
점수는 감사 결과뿐 아니라 이슈 해결 상태, 온체인 지표, 운영 정보 등 여러 요소로 구성될 수 있으므로 감사 완료만으로 크게 바뀐다고 단정하기 어렵습니다. 점수 구성 요소와 갱신 주기를 계약 전에 문의해 두는 것이 좋습니다.
재감사 비용은 별도로 청구되나요?
기본 견적에 포함된 재검토 횟수와 범위 안에서는 추가 비용이 없는 경우가 많지만, 수정 범위가 크거나 새 기능이 더해지면 별도로 청구될 수 있습니다. 견적서에 기본 포함 횟수와 초과 시 산정 방식을 서면으로 적어 두어야 분쟁을 막을 수 있습니다.