암호화폐 결제의 온체인 규정 준수: AML/CFT, 동결 위험 및 7가지 체크리스트

전통적인 AML/CFT는 중개기관을 중심으로 운영됩니다. 송금 양쪽의 은행이 송금인과 수취인 정보를 교환하며, 트래블 룰은 그 교환을 공식화한 것입니다. 이는 양쪽 기관 모두 고객이 누구인지 알고 있다는 전제 위에 구축된 시스템입니다.

암호화폐는 그 전제를 무너뜨립니다. 송금의 한쪽 "중개자"는 비수탁형 지갑 주소에 불과할 수 있습니다. 온체인 송금은 전통적인 금융 중개기관을 완전히 우회할 수 있으며, 가명 주소에 믹서, 크로스체인 브리지, 즉시 스왑까지 더해지면 신원 귀속과 자금 추적이 전통적인 은행 시스템보다 훨씬 어려워집니다.

패턴은 일관됩니다. 은행 간 컴플라이언스 흐름에만 의존할 수는 없습니다. 암호화폐 결제 회사에는 온체인 네이티브 컴플라이언스 도구(KYA, KYT, 지속적 모니터링, 실효성 있는 트래블 룰 및 SAR/STR 프로세스)가 필요하며, 자사의 행위와 무관한 리스크, 즉 스테이블코인 발행자가 컨트랙트 수준에서 자금을 동결하는 상황에 대한 방어도 갖추어야 합니다. 아래에서는 이 두 가지를 모두 다룬 뒤, 전체 내용을 7가지 자가 점검 항목으로 압축합니다.

전통적인 AML 프레임워크가 암호화폐에서 한계를 드러내는 이유

핵심 문제는 암호화폐에 규칙이 없다는 것이 아닙니다. 규칙이 모든 거래 상대방이 식별 가능한 기관인 세계를 전제로 작성되었다는 점입니다. 암호화폐에서는 그렇지 않은 경우가 많습니다.

온체인 송금은 은행도, 거래소도, 컴플라이언스 담당자도 없이 지갑 간에 직접 자금을 이동시킬 수 있습니다. 여기에 가명 주소와 자금 흐름을 의도적으로 난독화하기 위해 만들어진 도구들, 즉 믹서, 크로스체인 브리지, 즉시 스왑까지 결합되면 신원 귀속과 자금 추적은 전통적인 은행 시스템보다 훨씬 어려워집니다.

바로 그렇기 때문에 암호화폐 결제 회사는 AML을 거래 상대방이 전적으로 처리하는 문제로 취급할 수 없습니다. 상대방이 인가받은 협조적인 기관인지 여부와 무관하게, 온체인에서 직접 작동하는 컴플라이언스 도구를 배포해야 합니다.

KYA: 주소 파악

KYA(Know Your Address)는 암호화폐 AML의 기초 역량입니다. 주소 레이블링 시스템을 활용해 온체인 주소의 신원과 리스크 속성을 파악합니다. KYC 양식 대신 블록체인 데이터를 기반으로 구축된, 거래 상대방을 파악하는 것과 동등한 개념입니다.

주소 레이블은 세 가지 차원에서 주소를 설명합니다.

• 엔티티 — 해당 주소가 속한 기관(예: Binance, Tornado Cash).
• 속성 — 주소의 행동적 특성(예: 거래소, 믹서, 사기, 제재 대상).
• 세부 레이블 — 세밀한 마커(예: "OFAC SDN", "라자루스 그룹 연계").

이 레이블들은 오픈소스 인텔리전스(OSINT), 내부 탐지 엔진, 에코시스템 파트너로부터 수집되며, 거래소 입금 통합 및 팩토리 컨트랙트 생성과 같은 패턴을 통해 확장됩니다. 결과적으로 어떤 주소가 제재 노출을 포함한 고위험을 내포하는지 실시간으로 파악할 수 있는 라이브 맵이 형성되어, 트랜잭션을 처리하기 전에 사전 확인이 가능합니다.

KYT: 트랜잭션 파악

KYA는 주소에 대해 알려줍니다. KYT(Know Your Transaction)는 특정 트랜잭션에 대해 알려줍니다. 각 트랜잭션의 리스크를 실시간으로 평가하는 역량입니다.

작동하는 KYT 시스템은 네 가지 기능으로 구성됩니다.

• 실시간 트랜잭션 모니터링 — 들어오거나 나가는 모든 트랜잭션이 자동으로 리스크 평가를 촉발합니다.
• 멀티홉 추적 — 직접 거래 상대방을 넘어서 자금의 이력을 추적하며, 일반적으로 3~5홉 이전까지 소급합니다. (아래의 준비 점검 목록은 최소 5홉이라는 더 높은 기준을 제시합니다. 항목 2 참조.)
• 리스크 스코어링 — 주소 레이블, 경로 분석, 행동 패턴을 종합한 복합 점수.
• 알림 및 차단 — 고위험 트랜잭션은 자동으로 플래그 처리되거나 차단됩니다.

KYT 시스템을 평가할 때 실질적으로 중요한 세 가지가 있습니다. 트랜잭션이 확정되기 전에 리스크 판단을 내릴 수 있는지, 얼마나 많은 체인과 토큰을 커버하는지, 레이블 데이터베이스가 얼마나 자주 업데이트되는지입니다. 시스템에 의존하기 전에 이 세 가지를 모두 확인해두는 것이 좋습니다.

지속적 모니터링: 주소 리스크는 시간이 지남에 따라 변한다

대부분의 컴플라이언스 프로그램이 놓치는 지점이 있습니다. KYA와 KYT는 모두 특정 시점에 내려진 판단이지만, 주소의 리스크는 고정되어 있지 않습니다. 트랜잭션 당시에는 문제없어 보였던 주소가 이후 OFAC 제재 목록에 추가되거나, 도난과 연관되거나, 믹서 연계로 플래그 처리될 수 있습니다.

그 리스크 변화가 자사와 거래한 적 있는 주소, 고객 중 하나, 또는 수신 주소의 자금 출처에서 발생한다면, 인지하지 못한 채 조용히 그 리스크를 떠안게 됩니다. 직접 확인하기 전까지는 모르는 상태로 남습니다.

따라서 기술적 컴플라이언스는 일회성 스크리닝으로 끝날 수 없습니다. 세 가지 지속적인 작업이 필요합니다.

• 주기적 재스크리닝 — 최신 레이블 및 제재 데이터를 기준으로 과거 거래 상대방, 고객이 신고한 주소, 활성 수신 주소를 정기적으로 재스캔합니다.
• 리스크 변화 알림 — 이전에 저위험으로 분류된 주소가 새로운 고위험 레이블을 받는 즉시 알림을 받습니다. 다음 트랜잭션이 발생할 때까지 기다리지 않습니다.
• 트리거 후 처리 — 리스크가 확인되면 계획에 따라 행동합니다. 관련 자금을 동결 또는 정지하고, 영향을 받은 트랜잭션 경로를 추적하며, 필요시 SAR을 제출하고, 해당 거래 상대방에 대한 향후 전략을 조정합니다.

이는 아래에서 다룰 스테이블코인 동결 리스크 모니터링과 동일한 기본 원칙입니다. 이미 수령한 자금과 이미 거래한 주소를 계속 감시하고, 리스크 상태가 변하는 즉시 조치를 취해야 합니다. 지급 시점이나 감사 중에 발견하는 것이 아니라 그 이전에 말입니다.

트래블 룰과 현실적 한계

FATF 트래블 룰은 VASP가 송금 시 송금인과 수취인 신원 정보를 교환하도록 요구하며, 많은 국가들이 이를 입법화했습니다. 반드시 준수해야 하는 규정이지만, 실제로 어디까지 적용되고 어디서부터 적용되지 않는지 이해하는 것이 중요합니다.

이 규칙은 송금 양쪽 모두 고객 신원 정보를 보유한 인가된 기관이라는 전제를 기반으로 합니다. 암호화폐 현실에서는 방대한 비율의 송금에서 상대편이 비수탁형 지갑이며, 그 주소 뒤에 누가 있는지 알 수 없는 경우가 많습니다. 자사 측이 의무를 완전히 이행하더라도, 상대편이 익명 지갑이라면 교환할 신원 정보 자체가 존재하지 않아 규칙이 적용되지 않습니다.

단적으로 말하면, 트래블 룰은 폐쇄적인 VASP 간 환경에서는 작동하지만, 오픈된 온체인 주소를 만나는 순간 무력화됩니다. (대상 시장별로 어떤 라이선스 체계가 어떤 트래블 룰 의무를 촉발하는지 매핑하고 싶다면, 당사의 글로벌 암호화폐 결제 라이선스 맵에서 국가별로 확인할 수 있습니다.)

비수탁형 지갑을 실질적으로 커버하는 것은 온체인 데이터 기반의 KYA/KYT입니다. 주소 리스크 스크리닝과 트랜잭션 추적은 거래 상대방이 자발적으로 신원을 제공하는 것에 의존하지 않고, 온체인 행동에서 리스크를 추론합니다. 실용적인 접근법은 다음과 같습니다. VASP 간 송금에서는 규정에 따라 정보를 교환하고, 비수탁형 지갑으로의 송금에서는 KYA/KYT의 온체인 리스크 판단에 무게를 둡니다.

KYT가 트랜잭션을 플래그 처리할 때 SAR/STR 제출

KYT 시스템이 의심스러운 트랜잭션을 감지하면 규제기관에 의심거래보고서(SAR/STR)를 제출할 의무가 발생합니다. 이 과정은 일반적으로 일관된 워크플로우를 따릅니다.

1. 조사 대상 정의 — 누구를 조사할 것인지 특정합니다.
2. 온체인 분석 도구를 사용해 데이터를 수집합니다.
3. 관련 주소들을 통해 자금 흐름을 추적하고 분석합니다.
4. 주소를 식별하며, 경로상의 각 주소가 핵심 주소인지 판단합니다.
5. 증거와 보고서를 작성합니다.
6. 제출 후에도 관련 주소에 대한 모니터링을 지속합니다.

컴플라이언스 조사는 보통 내부 KYA/KYT 시스템에 의해 촉발됩니다. 반면 형사 수사는 법 집행기관이 시작하며, 증거 수집, 용의자 식별, 불법 자금 추적을 목표로 합니다. 출발점은 다르지만 종종 동일한 온체인 경로를 따릅니다.

레이블된 주소, 트랜잭션 수준의 리스크 점수, 문서화된 조사 워크플로우를 통해 그 경로를 신뢰할 수 있게 구축하는 것이 의심거래 알림을 실제로 제출 가능한 보고서로 전환하는 핵심입니다. 그 기반이 되는 스크리닝 레이어로는 Phalcon Compliance가 지갑 스크리닝, KYT, 제재 확인을 한 곳에서 제공합니다.

스테이블코인 동결 리스크: 예외적 사건이 아닌 설계 특성

AML/CFT 스크리닝은 불법 활동을 다룹니다. 그 위에 별도의 리스크가 존재합니다. 스테이블코인 발행자는 귀사가 잘못한 것이 없더라도 컨트랙트 수준에서 자금을 동결할 수 있습니다. 발행자에 의한 동결은 중앙화된 스테이블코인 시스템의 내재된 설계 특성 중 하나이며, 가끔 발생하는 사건이 아닙니다. 그 규모는 대부분의 재무 및 컴플라이언스 팀이 예상하는 것보다 훨씬 큽니다.

2026년 4월 기준으로, 테더는 법 집행기관 지원을 통해 누적 총 44억 달러 이상의 USDT를 동결했음을 공식 공개했습니다. 이는 65개국, 340개 이상의 법 집행기관, 2,300건 이상의 사례에 걸쳐 있으며, 미국 법 집행기관 관련 사례만 1,200건 이상입니다.

BlockSec의 2026년 상반기 데이터에 따르면 단 6개월 만에 2,623개의 신규 동결 주소가 확인되었습니다. 이더리움 347개, 트론 2,276개로, 동결 금액은 16억 7천만 달러(이더리움 7,900만 달러, 트론 15억 9천만 달러)에 달합니다.

2026년의 대규모 동결 사례들은 법 집행기관과의 협력이 얼마나 일상화되었는지를 보여줍니다.

• 테더는 OFAC과 협력하여 2026년 4월 3억 4,400만 달러 규모의 USDT를 동결했습니다. 두 개의 주소가 제재 대상 기관 또는 범죄 네트워크와 연계된 것으로 확인되었습니다.
• 2026년 1월에는 터키 당국을 지원해 불법 온라인 도박 및 자금세탁 네트워크를 겨냥한 5억 4,400만 달러 규모의 USDT를 동결했습니다.

Circle이 발행하는 USDC는 상대적으로 더 작은 규모와 느린 빈도로 동결이 이루어지지만, 컨트랙트 레이어에 동일하게 blacklister와 pauser 권한이 있어 이론적인 권한은 동일합니다. USDC의 낮은 수치를 경계를 늦추는 이유로 해석해서는 안 됩니다. 이 메커니즘은 특정 발행자의 집행 속도가 아닌 토큰 자체에 내재되어 있습니다.

또한 "거래소에 코인을 보관하지 않으면 동결될 수 없다"고 가정해서는 안 됩니다. USDT나 USDC를 보유하는 한, 발행자는 컨트랙트 수준에서 유통을 제한할 수 있습니다. 위에서 다룬 지속적인 KYT 모니터링은 이에 대한 방어 수단 중 하나입니다.

엔터프라이즈 보호 시스템 구축

엔터프라이즈 플레이북은 동결 리스크가 실제로 발생하기 전에 기업이 마련할 수 있는 네 가지 보호 조치를 제시합니다.

• 계층화된 지갑 — 수신, 통합, 운영, 예비 지갑을 별도로 관리하여 엣지 주소의 리스크가 메인 자금 풀로 확산되는 것을 방지합니다.
• 스테이블코인 보유 다각화 — 중요한 운영 유동성을 단일 발행자나 단일 체인에 집중시키지 않습니다.
• 지속적인 KYT 모니터링 — 수신, 통합, 출금, 기존 보유 자산 검토 단계에서 지속적인 리스크 통제를 배포합니다. 무료 USDT 동결 및 블랙리스트 확인 도구를 사용해 이더리움/트론의 단일 주소에 대한 USDT 동결 및 블랙리스트 상태를 빠르게 확인할 수 있습니다.
• 동결 사건 대응 계획 — 리스크가 실제로 발생하기 전에 에스컬레이션 경로, 증거 준비, 발행자와의 소통 채널을 정의해두어야 합니다.

동결 발생 시 대응

동결이 실제로 발생하면 대응은 세 단계로 진행됩니다. Phalcon Compliance를 통해 사전에 노출을 파악하고, 동결이 발생하면 MetaSleuth로 온체인 귀속 분석을 실행하여 원인과 범위를 명확히 하고, 발행자와의 대화를 위한 구조화된 자료를 준비합니다.

가장 잘 대비된 기업은 동결을 피하기를 바라는 기업이 아닙니다. 계층화된 지갑, 다각화된 보유 자산, 지속적인 KYT 모니터링, 그리고 동결이 발생했을 때를 위한 계획이 이미 마련된 기업입니다.

7가지 컴플라이언스 자가 점검

"우리는 컴플라이언스를 준수하고 있나요?"라는 질문에 "온보딩 시 KYC를 진행했습니다"라고 답한 적이 있다면, 그것이 완전한 답이 아님을 이미 알고 있을 것입니다. 다음은 플레이북에서 제시하는 컴플라이언스 준비 점검 목록을 그룹화한 것입니다. 컴플라이언스 및 보안 팀과의 대화를 위한 출발점이지, 대화를 대체하는 것이 아닙니다. 준수 인증서가 아닌, 취약점을 찾기 위한 도구로 활용하세요.

AML/CFT 기술 컴플라이언스 — 트랜잭션 생애주기 전반에 걸친 세 가지 점검

1. 고객 온보딩. KYC/KYB가 온체인 KYA 스크리닝과 연계되어 있습니까? 믹서 노출, 도난 자금, OFAC SDN 목록, 제재된 프로토콜과의 상호작용에 대해 고객이 신고한 모든 주소를 리스크 스크리닝했습니까?
2. 트랜잭션 단계. 모든 입출금 트랜잭션에 대해 실시간 KYT를 실행하고, 멀티홉 추적(최소 5홉)으로 고위험 기관에 대한 간접 노출을 포착합니까? 이 커버리지가 주요 체인뿐만 아니라 운영하는 모든 체인으로 확장됩니까?
3. 긴급 단계. SAR/STR 제출 및 자산 회수를 지원하기 위한 온체인 자금 추적 역량이 있습니까?

이 세 가지 점검 중 어느 것도 일회성 프로젝트가 아닙니다. 온보딩 당시 문제없어 보였던 주소가 이후 제재 목록에 추가되거나 도난과 연관될 수 있습니다. 바로 그렇기 때문에 트랜잭션 단계 및 긴급 단계 점검이 온보딩 대신이 아니라 온보딩과 함께 존재하는 것입니다.

스테이블코인 동결 리스크 — 발생 전 두 가지 점검

4. 지속적인 스크리닝 및 모니터링. 입금 자금이 메인 풀로 유입되기 전에 스크리닝됩니까? 격리된 자금이 통합되는 페이인 흐름의 스윕 단계에서의 재스크리닝을 포함하여? 모든 지갑 주소가 입금이 도착했을 때 한 번만 확인되는 것이 아니라 동결 또는 블랙리스트 상태 변화에 대해 지속적으로 모니터링됩니까? 일회성 시점 확인은 이전에 깨끗했던 주소가 사후에 플래그 처리되는 경우를 놓칩니다.
5. 동결 사건 계획을 문서화하십시오. 에스컬레이션 경로, 증거 준비, 발행자 소통 채널을 포함하는 동결 사건 비상 계획이 서면으로 존재합니까? 동결은 실제 운영 규모에서 발생하므로, 문제는 이것이 귀사에 발생할 수 있는지가 아닙니다. 팀이 실제 사건 발생 시 즉흥적으로 대응하는 것이 아니라, 그 순간을 위한 문서화된 계획을 갖고 있는지 여부입니다.

지속적 개선 — 결코 끝나지 않는 두 가지 점검

마지막 그룹은 기술적 통제가 아닙니다. 앞의 다섯 가지 항목이 구식이 되지 않도록 유지하는 규율입니다.

6. 교육 및 훈련. 모든 관련 직원이 온보딩 보안 교육을 이수했습니까? 최초 채용 시 일회성 교육이 아니라, 사회공학 방어 훈련, 신규 위협 브리핑, 사고 대응 훈련을 정기적으로 실시합니까? 결제 시스템은 자금을 이동시키므로, 이를 운영하는 사람들은 코드만큼이나 공격 표면의 일부입니다.
7. 업계 사건에서 배우기. 주요 업계 사건에 대한 사후 분석이 다른 회사의 문제로 취급되는 것이 아니라 자사의 통제 체계에 체계적으로 반영됩니까? 다른 암호화폐 결제 회사에서 발생한 사건은 귀사도 공유할 수 있는 통제 취약점에 대한 무료 교훈입니다. 그 교훈이 실제로 귀사 시스템에서 무언가를 변화시킬 때만 점검 목록은 가치를 발휘합니다.

더 큰 그림에서의 위치

이 7가지 점검 목록은 기술적 AML/CFT 컴플라이언스, 동결 리스크 관리, 지속적 개선을 다루지만, 의도적으로 하나의 전체 컴플라이언스 트랙을 제외합니다. 특정 관할권에서 운영할 라이선스를 보유하고 있는지 여부입니다. 이는 국가별로 별도의 체계를 가진 독립적인 문제이며, 당사의 글로벌 암호화폐 결제 라이선스 맵에서 매핑하고 있습니다.

일곱 가지 점검을 모두 통과하더라도 그것만으로 컴플라이언스가 보장되지는 않습니다. 컴플라이언스는 항목이 체크되었는지가 아니라 각 통제가 얼마나 잘 구현되고 유지되는지에 달려 있습니다. 하지만 감사인, 규제기관, 또는 사건이 먼저 발견하기 전에 취약점을 파악하는 빠른 방법입니다.

KYA, KYT, SAR/STR 의무, 동결 리스크 방어가 결제 시스템의 더 넓은 보안 및 컴플라이언스 프로그램에 어떻게 맞는지에 대해서는 암호화폐 결제 보안 및 컴플라이언스 플레이북(PDF)을 다운로드하세요.

FAQ

KYA와 KYT의 차이점은 무엇입니까? KYA(Know Your Address)는 주소 자체의 리스크를 평가하며, 엔티티, 속성, "OFAC SDN"과 같은 특정 마커에 대한 레이블을 사용합니다. KYT(Know Your Transaction)는 멀티홉 추적과 리스크 스코어링을 사용해 특정 트랜잭션의 리스크를 실시간으로 평가합니다.

FATF 트래블 룰이 비수탁형 지갑으로의 송금을 커버하지 못하는 이유는 무엇입니까? 트래블 룰은 송금 양쪽 모두 고객 신원 데이터를 보유한 인가된 VASP라고 가정합니다. 송금의 상대편이 비수탁형 지갑인 경우 교환할 신원 정보가 없어 규칙이 적용되지 않습니다. 그렇기 때문에 KYA/KYT 온체인 리스크 판단이 그 역할을 대신해야 합니다.

최초 트랜잭션 이후에도 주소를 재스크리닝해야 하는 이유는 무엇입니까? 주소 리스크가 고정되어 있지 않기 때문입니다. 트랜잭션 당시 문제없었던 주소가 이후 OFAC 제재 목록에 추가되거나, 도난과 연관되거나, 믹서 연계로 플래그 처리될 수 있습니다. 해당 주소와 거래한 적이 있다면 모르는 사이에 그 리스크를 떠안게 됩니다.

KYT 멀티홉 추적은 몇 홉을 커버해야 합니까? 일반적인 KYT 구현은 3~5홉을 소급 추적합니다. 컴플라이언스 준비 점검 목록은 직접 거래 상대방만 확인하는 것으로는 드러나지 않는 고위험 기관에 대한 간접 노출을 포착하기 위해 최소 5홉을 기준으로 설정합니다.

SAR/STR 제출을 촉발하는 것은 무엇입니까? SAR/STR 제출 의무는 KYT 시스템이 의심스러운 트랜잭션을 감지할 때 촉발되며, 다음과 같은 조사 워크플로우가 시작됩니다. 대상 정의, 온체인 데이터 수집, 자금 흐름 추적, 핵심 주소 식별, 증거 구축, 이후 지속 모니터링.

테더가 총 동결한 USDT는 얼마입니까? 2026년 4월 기준으로 테더는 법 집행기관과의 협력을 통해 누적 총 44억 달러 이상의 USDT를 동결했음을 공식 공개했습니다. 65개국, 340개 이상의 기관, 2,300건 이상의 사례(미국 사례 1,200건 이상 포함)에 걸쳐 있습니다.

USDC도 USDT와 동일한 방식으로 동결될 수 있습니까? 예. Circle이 발행하는 USDC는 상대적으로 더 작은 규모와 느린 빈도로 동결이 이루어지지만, 컨트랙트 레이어에 동일하게 blacklister와 pauser 권한이 있어 이론적인 동결 권한은 동일합니다.

거래소에 스테이블코인을 보관하지 않으면 동결로부터 보호됩니까? 아니요. 거래소에 코인을 보관하지 않는다고 동결을 피할 수 있다고 가정해서는 안 됩니다. USDT나 USDC를 보유하는 한, 발행자는 컨트랙트 수준에서 유통을 제한할 수 있습니다.

이 점검 목록을 통과하면 완전히 컴플라이언스를 준수한 것입니까? 아니요. BlockSec의 컴플라이언스 준비 점검 목록 대비 취약점을 찾기 위한 자가 점검 도구입니다. 실제 컴플라이언스는 각 통제가 얼마나 잘 구현, 문서화, 유지되는지, 그리고 이 점검 목록의 범위 밖에 있는 라이선싱 같은 요건에 달려 있습니다.