암호화폐 거래소의 AML 컴플라이언스란? VASP의 5가지 의무

미국 거래소의 컴플라이언스 담당자가 조사관의 서한을 개봉한다. 발견 사항은 매 주기마다 반복된다. 모니터링은 온보딩 시점에만 실행되었다. 의심거래보고서는 늦게 제출되었다. 라이선스 갱신은 등록 공백 문제로 막혀버렸다. 암호화폐 거래소의 AML 컴플라이언스는 단일 업무가 아니다. 이는 가상자산서비스제공자, 즉 VASP가 지속적으로 수행해야 하는 다섯 가지 의무의 집합이다. 어느 한 층이라도 놓치면 라이선스, 은행 파트너, 혹은 두 가지 모두가 압박을 받게 된다.

암호화폐 거래소에게 AML 컴플라이언스가 의미하는 것

암호화폐 거래소를 위한 AML 컴플라이언스란 VASP가 합법적으로 운영하기 위해 충족해야 하는 자금세탁방지 및 테러자금조달방지 의무의 집합이다. 이러한 의무는 가상자산에 대한 FATF 권고사항과, 미국의 경우 FinCEN의 자금서비스업체 규정에 의해 정해진다. 거래소는 다섯 개 층 전체를 책임지며, 온보딩 시점의 고객 확인만이 아니다.

VASP는 고객을 위해 가상자산을 교환, 이전, 또는 보관하는 모든 주체에 적용되는 규제상의 명칭이다. 거래소는 토큰 페어를 상장하는 순간 이 명칭을 갖게 된다. 거래소의 AML 의무는 은행 프로그램을 그대로 옮긴 것이 아니다. 이는 초 단위로, 여러 체인을 넘나들며, 종종 믹서를 거쳐 이동하는 온체인 주소와 거래 위에 놓여 있다.

이러한 속도는 업무의 형태를 바꾼다. 은행은 지급을 명단과 거래상대방 데이터베이스에 대조하여 스크리닝한다. 거래소는 세 홉 상류에서 믹서를 거쳤을 수도 있는 입금을 스크리닝해야 하며, 노출은 자금 경로를 추적했을 때만 드러난다. 고객 파일은 이 신호를 담고 있지 않다. 체인이 담고 있다. 이것이 다섯 가지 의무 중 하나인 거래 모니터링이 동일한 속도로 작동하는 은행 측 대응물이 없고, 체인 자체를 읽어야 하는 이유다.

이 글은 프레임워크를 정의하며 '무엇을'에 초점을 유지한다. 운영상의 실행 방법, 스크리닝 워크플로, 보고서 내보내기는 별도의 구현 안내서에 담겨 있다. VASP 명칭과 그 의무를 정의하는 글로벌 표준에 대해서는 FATF의 가상자산 가이던스를 참조하라.

VASP의 다섯 가지 핵심 의무 상세 설명

이 프레임워크는 다섯 가지 의무로 구성된다. 각각은 FATF 권고사항에 대응하며, 미국 거래소의 경우 FinCEN 규정에도 대응한다. 일부만 다루는 컴플라이언스 프로그램은 심사를 통과하지 못한다. 처음 두 가지와 마지막 하나는 전통적인 컴플라이언스 인프라다. 중간 두 가지는 온체인 데이터가 핵심 역할을 하는 부분이다.

1. 등록 및 라이선스. 고객에게 서비스를 제공하기 전, 거래소는 관할 당국에 등록해야 한다. 미국에서는 FinCEN에 자금서비스업체로 등록하고 주별 자금 송금업 라이선스를 보유하는 것을 의미한다. EU의 MiCA 체계와 뉴욕주의 BitLicense는 각자 고유의 인가 절차를 추가한다. 등록 없이 운영하는 것 자체가 위반이며, 이는 이후의 AML 위반과는 별개다. 2025년 7월 서명되어 2027년 1월부터 FinCEN 규칙 제정을 조건으로 발효되는 GENIUS 법(공법 119-27)은 결제형 스테이블코인 발행자를 은행보안법(Bank Secrecy Act) 적용 대상에 포함시키며, 이에 따라 스테이블코인 흐름을 취급하는 거래소는 이제 발행자 자신과 동일한 AML 경계 내에 놓이게 된다.

2. 고객 실사(due diligence). 거래소는 고객을 식별하고, 위험을 평가하며, 고위험 관계에는 강화된 실사를 적용해야 한다. 신원 확인은 이 기둥 안에 포함된다. 이는 고객이 자신이 주장하는 사람이 맞는지를 확인한다. 거래를 확인하지는 않는다. 고객이 온보딩은 통과하고도 여전히 믹서에서 기원한 자금이 담긴 입금을 보낼 수 있는데, 이는 신원과 자금 흐름이 서로 다른 대상이기 때문이다.

3. 거래 모니터링. 거래소는 의심스러운 패턴을 위해 진행 중인 활동을 모니터링해야 한다. 암호화폐에서 이는 고객 파일뿐 아니라 거래소가 상호작용하는 주소와 거래소의 지갑에 닿는 거래를 스크리닝하는 것을 의미한다. 위험은 온보딩 이후에도 이동하므로, 모니터링은 지속적이고 실시간이어야 한다. 월요일에 정상으로 확인된 주소가 목요일에는 불법 활동과 연결될 수 있고, 금요일의 입금은 세 홉 이전에는 깨끗했지만 출처에서 오염된 자금을 포함할 수 있다.

4. 의심거래보고. 모니터링이 자금세탁이나 테러자금조달로 보이는 활동을 표시하면, 거래소는 보고서를 제출해야 한다. 미국에서는 이 제출이 의심활동보고서(suspicious activity report)다. 다른 관할권에서는 이를 의심거래보고서(suspicious transaction report)라고 부른다. 미국에서 SAR 제출 기한은 최초 발견으로부터 30일 이내이다(용의자가 특정되지 않은 경우 최대 60일). 다른 관할권은 더 촉박하다—홍콩은 24시간 이내 제출을 요구한다. 보고서는 조사관을 만족시킬 만큼 충분한 증거를 담아야 한다.

5. 기록 보관. 거래소는 앞의 네 가지 의무를 수행했음을 입증하는 기록을 보유해야 한다. 미국 은행보안법(Bank Secrecy Act)에 따르면 이는 CDD 파일, 모니터링 로그, 제출된 보고서를 5년간 보관하는 것을 의미한다. 조사관은 기록의 누락을 통제의 누락으로 간주한다. 보관 기간은 고객 관계보다 오래 지속되므로, 로그는 지갑이 사라진 이후에도 오랫동안 감사 가능해야 한다.

다섯 가지 의무는 VASP의 관점이다. 이는 거래소가 해야 할 일을 설명한다. 이는 AML 프로그램의 내부 기둥들과는 다른데, 후자는 정책, 지정된 컴플라이언스 담당자, 교육, 독립 감사, 그리고 CDD 프로그램 자체를 다룬다. 그 프로그램 관점은 별도의 글에서 다룰 별개의 질문이다. 여기서는 거래소가 이행해야 할 의무에 초점을 유지한다.

거래 모니터링 기둥 안착시키기

다섯 가지 의무 중, 거래 모니터링과 의심거래보고는 은행 도구로는 읽어낼 수 없는 온체인 데이터에 의존하는 두 가지다. Phalcon Compliance는 KYA와 KYT로 이 두 기둥을 커버한다. CDD 신원 확인, 등록이나 라이선스 관련 자문, 또는 기록 보관 인프라는 제공하지 않는다. 범위는 모니터링 및 스크리닝 계층이다.

KYA, 즉 Know Your Address는 라벨링된 주소 데이터베이스와 그 주변의 상호작용 그래프를 사용하여 지갑 주소의 AML 및 CFT 위험을 스크리닝한다. KYT, 즉 Know Your Transaction은 거래 내 각 토큰 전송을 스크리닝하고, 입금 또는 출금 방향으로 자금 경로를 추적하며, 위험 등급을 부여한다. 이 둘을 합치면 서로 다른 두 가지 질문에 답한다. KYA는 그 주소가 무엇인지에 답한다. KYT는 그 거래가 무엇을 하는지에 답한다.

두 스크리닝을 뒷받침하는 위험 엔진은 제재(Sanctioned) 및 테러자금조달부터 믹싱, 랜섬웨어, FATF 그레이 리스트 관할권에 이르기까지 17개의 위험 지표를 사용한다. 스크리닝된 모든 주소 또는 전송은 위험(Critical)부터 높음(High), 중간(Medium), 낮음(Low), 위험 없음(No Risk)에 이르는 다섯 가지 위험 등급 중 하나에 분류된다. 등급은 구성 가능하며, 팀은 각 등급을 자체 내부 정책과 위험 성향에 매핑한다. FATF 가이던스에 기반한 기본 엔진이 기본 제공되며, 거래소의 위험기반접근법에 맞게 수정할 수 있다.

스크리닝에서 전송이 표시되면, 알림이 팀이 선택한 채널을 통해 발동된다. 분석가는 노출을 확인하고 스크리닝 시점에 지정된 입금 또는 출금 방향과 함께 해당 전송에 대한 의심거래보고서를 내보낸다. 이 보고서는 주요 규제 관할권과 정렬되어 있으며, 직접 제출을 위해 지역별 템플릿을 통해 내보낼 수 있다. 내보낸 STR은 보고 기둥의 증거다. 스크리닝 로그는 기록 보관 기둥에 공급된다. 하나의 도구가 두 가지 의무를 마무리한다.

BlockSec이 커버하지 않는 세 가지 기둥은 전통적인 컴플라이언스 인프라다. 거래소는 등록을 법률 자문으로부터, 신원 확인을 CDD 벤더로부터, 기록 보관을 기록 시스템으로부터 조달한다. 모니터링과 보고 기둥은 온체인 네이티브 도구가 제 역할을 발휘하는 지점인데, 이는 이 기둥들이 다뤄야 할 데이터가 체인 위에 존재하기 때문이다. KYT가 거래소 거래 생애주기 전반에 걸쳐 어떻게 작동하는지에 대한 운영 안내는 KYT Compliance 가이드를 참조하라.

프레임워크에서 실행으로

정의는 출발점이지 목적지가 아니다. 컴플라이언스 팀이 다섯 가지 VASP 의무를 명확히 정의할 수 있게 되면, 다음 단계는 이를 실행하는 것이다. 두 가지 경로가 도움이 된다. AML 컴플라이언스 프레임워크 전체와 모니터링 기둥을 뒷받침하는 플랫폼을 읽으려면 Phalcon Compliance를 방문하라. 정의에서 거래소 배포로 넘어가려면 암호화폐 거래소를 위한 KYT 컴플라이언스 구현 가이드를 따르라.

북미 거래소는 FinCEN MSB 등록과 주 자금 송금업 라이선스 계층을 먼저 검토해야 하는데, 이것 없이 운영하는 것 자체가 독립적인 위반이기 때문이다. 모니터링과 보고 기둥은 그다음이며, 이들은 온체인 거래량에 따라 확장되는 부분이다.

자주 묻는 질문

암호화폐 거래소를 위한 AML 컴플라이언스란 무엇인가? 거래소가 지속적으로 수행해야 하는 다섯 가지 VASP 의무의 집합이다: 등록 및 라이선스, 고객 실사, 거래 모니터링, 의심거래보고, 그리고 기록 보관.

다섯 가지 VASP 의무는 AML 프로그램의 다섯 가지 기둥과 같은 것인가? 아니다. VASP 의무는 거래소가 해야 할 일이다. AML 프로그램 기둥은 컴플라이언스 부서가 어떻게 구축되는지를 나타낸다. 이 글은 의무를 다룬다.

KYC는 별도의 의무로 간주되는가? 아니다. 신원 확인은 고객 실사 기둥 안에 포함된 단계다. 이는 고객이 누구인지를 확인한다. 거래를 스크리닝하지는 않는다.

온체인 모니터링은 어떤 의무를 커버하는가? 거래 모니터링과 의심거래보고다. 주소 및 거래 스크리닝은 체인을 읽으며, 내보낸 STR이 곧 보고서다.

미국 거래소는 AML 기록을 얼마나 오래 보관해야 하는가? 은행보안법(Bank Secrecy Act)에 따라 5년이다. 보관 대상은 CDD 파일, 모니터링 로그, 제출된 보고서를 포함한다.