요약
- 법 제정이 집행 속도를 앞지르고 있다: 각 관할 구역에서 ‘트래블 룰’ 관련 법안부터 가상자산 서비스 제공자(VASP) 인허가 제도에 이르기까지 필요한 규제를 점점 더 많이 도입하고 있는 반면 , 집행은 뒤처지고 있다. FATF의 메시지는 분명하다. 종이 문서만 사용하는 가상자산 서비스 제공자( 컴플라이언스 )에 대한 유예 기간은 끝났다.
- 동결 방지 스테이블코인은 새롭게 대두되는 위협이다. 범죄 조직들은 이제 규제 당국이 의존해 온 프로그래밍 가능한 통제 체계를 의도적으로 무력화하기 위해, 자산 동결에 영향을 받지 않는다고 홍보하는 자체 스테이블코인을 발행하고 있다. FATF는 이를 “중대하고 새롭게 대두되는 위험”으로 지목하고 있다.
- 범죄는 AI와 결합하며 그 규모가 확대되고 있다: 조직범죄 , 사기, 북한의 대량살상무기 확산 자금 조달, 테러 자금 조달, 제재 회피 등이 점점 더 동일한 인프라를 공유하고 있다. AI는 딥페이크를 이용한 신원 사기에서 블록체인 기반 금융 애플리케이션에 대한 자동화된 공격에 이르기까지 모든 단계를 가속화하고 있다.
- 블록체인 분석은 규제상의 기본 요건입니다. FATF가 민간 부문에 제시한 권고 사항에는 지갑 심사, 블랙리스트/화이트리스트 관리, 블록체인 분석 도구, 자산 동결·차단 기능 등이 규정 준수AML/CFT 체계의 필수 구성 요소로 명시되어 있습니다.
현재 상황: 이행 현황과 여전히 남아 있는 격차
7여 년 전, 금융행동태스크포스(FATF)는 각국이 가상자산 산업을 효과적으로 감독하기 위해 취해야 할 조치를 처음으로 제시했습니다. 이 정책 기구가 마련한 권고안 패키지(R.15로 알려짐)는 규제 당국이 테러 자금 조달자, 자금 세탁자 및 기타 불법 행위자들이 급변하는 자산군을 악용하는 것을 막기 위한 지침서 역할을 하도록 마련되었습니다. FATF 역시 변화에 발맞춰, 가상자산 전반에 걸쳐 새롭게 대두되는 동향을 다루는 새로운 지침을 통해 R.15를 지속적으로 강화해 왔다. 연례 평가 보고서를 통해 국제 사회가 R.15를 얼마나 잘 이행하고 있는지 추적하고 있다.
7월 16일에 발표된 최신 평가 보고서인 ‘가상자산 및 가상자산서비스제공자(VASP)에 관한 FATF 기준 이행 현황 제7차 집중 업데이트’에 따르면, 국제 사회는 상당한 진전을 이룬 것으로 나타났다. 그러나 이 보고서는 법 제정과 실제 집행 간의 격차가 확대되고 있음을 동시에 드러내고 있다.
좋은 소식은 각 관할 구역이 노력을 강화하고 있다는 점입니다. FATF가 147개 관할 구역을 대상으로 실시한 설문조사에 따르면, 86%가 가상자산(VA)/가상자산서비스제공자(VASP)에 대한 위험 평가를 실시한 것으로 나타났습니다(2025년 76%에서 증가). 83%는 트래블 룰 관련 법안을 통과시켰습니다(73%에서 증가). “대체로 준수(Largely Compliant)” 등급을 받은 관할 구역은 29%에서 34%로 증가했습니다. 또한 VASP 라이선스를 의무화한 95개 관할 구역 중 81%가 현재 감독 점검을 실시하고 있으며(73%에서 증가), 71%는 집행 조치를 취했습니다. 라이선스 체계를 도입하기로 약속한 관할 구역들은 이를 점점 더 충실히 이행하고 있습니다.
하지만 여전히 과제가 남아 있습니다. ‘트래블 룰’ 관련 법안을 제정한 관할 구역 중 60%는 아직 이에 대한 감독이나 집행 조치를 취하지 않았습니다. 또한 FATF가 각 관할 구역의 예방적 자금세탁방지·테러자금조달방지(AML/CFT) 조치, 즉 불법 활동을 선제적으로 차단하기 위한 통제 체계를 평가했을 때, 139개 관할 구역 중 단 13곳만이—10%도 채 되지 않는 수치—기준을 완전히 충족했습니다. 예방은 R.15 프레임워크 전체에서 가장 큰 미개척 잠재력을 지닌 분야입니다. 법안의 효과는 그 집행에 달려 있습니다.
바로 이 지점에서 블록체인 기술의 독특한 특성이 강점으로 작용합니다. 거래 가시성이 사후 중개자의 보고에 의존하는 기존 금융 시스템과 달리, 가상자산의 온체인 투명성과 정교한 분석 도구는 진정한 예방 조치를 가능하게 합니다. 즉, 자금이 이동한 후가 아니라 이동하기 전에 위험을 선별하고, 차단하며, 경고할 수 있게 해주는 것입니다. 이러한 격차를 해소할 수 있는 도구는 이미 존재하며, 이를 대규모로 도입하면 근본적으로 더 안전한 금융 환경을 조성할 수 있습니다.
지속적인 과제:
- 허가 현황 대 실제 운영 현황: 보고서에 따르면, 73%가 가상자산서비스제공자(VASP) 허가를 의무화하고 있으나, 실제로 허가를 발급한 곳은 58%에 불과하다. 상호 평가에서 해당 기준을 만족스럽게 충족한 곳은 40%에 그쳤다.
- 집행 없는 금지: 현재 23%의 관할 구역에서 VASP를 금지하고 있으나(2023년 11%에서 증가), 집행 측면에서는 “진전이 없다”. 적극적인 모니터링 없이 금지 조치만 취할 경우, 규제 당국의 감시 범위 밖에서 VA 활동이 계속되는 ‘블랙홀’이 만들어진다.
- DeFi에 대한 정의는 여전히 명확하지 않다: 관할권 중 93%는 소위 ‘적격 DeFi 구조’를 규명하지 못하고 있으며, 이러한 구조의 경우 식별 가능한 소유자나 운영자가 존재하여 해당 구조가 가상자산 서비스 제공자(VASP) 규제의 적용 대상이 될 수 있다. 면허 요건을 부과한 관할권은 단 4곳에 불과하며, 이 중 2곳은 1곳에 면허를 발급했고, 1곳은 이를 집행했다. FATF는 추가적인 지침을 제공하기 위해 ‘탈중앙화 금융(DeFi)의 규제적 과제’에 관한 표적 보고서를 발간했다.
- 스테이블코인 발행사 별도 추적: 보고서에 첨부된 설문조사 결과 표에는 이제 스테이블코인 발행사 인허가 현황을 나타내는 열이 추가되었습니다. 이는 당사가 당시 분석했던 FATF의 2026년 3월 스테이블코인 보고서에서 제시된 중점 사항을 반영한 것입니다.
FATF가 지적한 신흥 위험 요소들
이 보고서는 우려가 커지고 있는 5가지 분야를 지적하고 있으며, 이들 중 상당수는 우리가 2026년 ‘ 가상자산 ’ 범죄 보고서에서 파악한 추세와 밀접하게 부합합니다:
- 산업화된 사기: 캄보디아에 기반을 둔 사기 센터와 ‘피그 도살(pig-butchering)’ 작전은 “불법 수익의 주요 창출원”이 되었습니다. 캄보디아에 기반을 둔 한 대기업 집단은 최소 40억 달러(2021년 8월~2025년 1월)를 세탁했으며, 조직 범죄 사기, 지하 금융, 가상 자산(VA) 기반 자금 세탁을 연결하는 거점 역할을 했습니다. 이 중 최소 3,700만 달러는 대량살상무기(WMD) 프로그램을 지원하는 북한의 사이버 절도 사건과 연관된 것으로 밝혀졌다. 스페인의 ‘보렐리 작전(Operation Borrelli)’은 전 세계 5,000명 이상의 피해자를 양산한 4억 6,000만 유로 규모의 투자 사기 네트워크를 해체했다. 당사의 데이터에 따르면 2025년 사기 활동 규모는 약 170억 달러에 달했으며, ‘피그 버처리’ 사기가 여전히 재정적 피해가 가장 큰 범주로 남아 있다.
- 독점적인 “자산 동결 방지” 스테이블코인: 제3자 발행사가 자사 지갑에 보관된 2,900만 달러 이상의 자산을 동결한 사건 이후, 해당 대기업은 “자산 동결에 면역이 있다”고 홍보되는 달러 연동 스테이블코인을 출시했으며, 이 코인은 여러 공개 블록체인과 독점 체인을 통해 발행되었다. FATF는 가상자산 서비스 제공자(VASP)들이 “ 컴플라이언스 (자금 세탁 방지) 안전장치로서 발행자 차원의 자산 동결/소각 메커니즘에만 의존할 수 없을 수도 있다”고 경고하며, 스테이블코인 발행에 대해 강력한 AML/CFT 요건을 적용할 것을 촉구했다. ISIL과 알카에다를 포함한 테러 조직들도 자금 조달 및 송금을 위해 비트코인보다 스테이블코인을 점점 더 선호하고 있다. 이는 현재 스테이블코인이 전체 불법 거래량의 84%를 차지한다는 당사의 조사 결과와 일치한다.
- 증폭기로서의 AI: FATF는 AI를 독립적인 기술적 위험이 아닌 “자금세탁·테러자금조달 및 제재 회피 위험을 증폭시킬 수 있는 구조적 요인”으로 규정합니다. 대표적인 사례로는 딥페이크를 이용한 채용 사기(100만 달러 이상 탈취), AI를 활용한 스마트 계약 악용 코드 개발, 상용 AI 보안 장치를 우회하기 위한 오픈-웨이트 모델의 사용 등이 있습니다. 당사의 ‘ 가상자산 ’ 범죄 보고서에 따르면, 지난 1년간 AI를 이용한 사칭 사기가 가장 빠르게 성장한 사기 하위 범주로 나타났습니다.
- PF, TF 및 제재 회피의 융합: 이러한 요소들은 “개별적인 위험으로 간주되어서는 안 되며, 공통된 디지털 자산 인프라를 통해 가능해진 상호 연결된 활동으로 봐야 한다.” 북한은 VASP와 디파이(DeFi) 프로토콜뿐만 아니라, 이들이 의존하는 네트워크 노드 및 다자간 보안 시스템을 포함한 제3자 인프라도 악용하고 있다.
- 해외 VASP 및 P2P의 취약점: 해외 VASP는 적극적으로 고객을 유치하고, VPN 사용을 권장하며, 중첩된 계좌를 통해 일반 사용자인 것처럼 위장할 수 있습니다. 관할 구역의 88%가 호스팅되지 않은 지갑을 통한 P2P 거래를 고위험으로 평가하고 있지만, 이를 측정하기 위한 지표를 수집하는 곳은 23%에 불과합니다.
관할 기관 및 감독 당국을 위한 권고 사항
이 보고서는 공공 부문에 대한 세 가지 명확한 우선순위를 제시하고 있다.
- VASP를 금지하기로 결정했다 하더라도 관련 위험 요소를 파악해야 합니다. 활동을 금지하는 것만으로는 가상자산 관련 위험( 컴플라이언스 )을 방지하기에 충분하지 않으며, 오직 효과적인 모니터링 체계를 통해서만 이를 달성할 수 있습니다. FATF는 VASP를 금지한 관할권을 포함해 모든 관할권에 가상자산(VA)/VASP 관련 노출 위험을 포괄적으로 평가할 것을 촉구하고 있습니다. 국내 VASP, 현지 고객에게 서비스를 제공하는 해외 VASP, 스테이블코인 발행자, DeFi 구조, P2P 활동, 그리고 새롭게 등장하는 비즈니스 모델까지 모두 고려해야 합니다.
- 프레임워크에서 실행으로 옮겨야 합니다. 각 관할 당국은 감독 체계를 단순히 서류상으로만 갖추는 데 그치지 않고, 이를 실질적으로 운영해야 합니다. 즉, 가상자산 서비스 제공자(VASP), 스테이블코인 발행자 및 해당 요건을 충족하는 디파이(DeFi) 구조에 대한 인가를 부여하고, 실질적인 현장 및 비현장 검사를 실시하며, 무허가 운영 주체를 적극적으로 파악하여 제재해야 합니다. 인가 요건을 마련하는 것과 실제로 인가를 발급하는 것 사이의 격차는 FATF가 해소하기를 바라는 부분입니다.
이러한 변화에는 실질적인 전제 조건이 있습니다. 바로 감독 당국 스스로가 온체인 데이터를 활용해야 한다는 점입니다. 금융 행동 태스크포스( 컴플라이언스 )의 규정에 따라 가상자산 서비스 제공자(VASP)를 신뢰성 있게 감사하기 위해서는 규제 당국이 온체인에서 어떤 일이 일어나고 있는지 이해해야 합니다. 위험을 평가하고, 자금 흐름을 추적하며, 조사 결과를 입증할 수 있는 도구가 부족한 규제 당국은 FATF가 현재 요구하는 효과적인 이행 조치를 입증하는 데 어려움을 겪을 것입니다.
- 불법 자산의 추적 및 압수를 위해 협력해야 한다. FATF는 각 관할 구역에 “불법 가상 자산을 신속하게 추적, 동결 및 압수할 수 있도록 공공 기관과 민간 부문 파트너가 참여하는 적절한 운영 인프라, 법적 체계 및 프로토콜을 마련할 것”을 촉구한다. 즉, 효과적인 법 집행을 위해서는 민관 협력이 필수적이다.
체이널리시스 이 분야에 깊이 관여하고 있습니다. 당사는 여러 관할 구역에 걸쳐 민관 협력 관계를 지원해 왔으며, 여기에는 법 집행 기관, 거래소, 블록체인 분석 업체가 협력하여 ‘ 가상자산 ’ 사기를 근절하고 피해자를 보호한 ‘오퍼레이션 스핀캐스터( Operation Spincaster)’와 같은 이니셔티브도 포함됩니다. ‘오퍼레이션 스핀캐스터’를 통해 1억 6,200만 달러 상당의 손실을 초래한 7,000건의 단서가 제공되었습니다. 이러한 제보 덕분에 계좌가 압류되었을 뿐만 아니라, 한 잠재적 피해자가 가상자산 에서 6자리 수의 자금을 모두 잃을 뻔한 사기 행위에 휘말리는 것을 막을 수 있었습니다. 저희는 FATF가 이러한 모델을 강조하는 것을 환영하며, 이를 적극적으로 확대해 나갈 것을 약속합니다.
민간 부문이 지금 해야 할 일
FATF가 가상자산 서비스 제공자(VASP), 스테이블코인 발행자 및 해당 기준을 충족하는 탈중앙화 금융(DeFi) 체계에 제시한 권고사항(5~6항)은 현재까지 운영 측면에서 가장 구체적이다. 이 권고사항은 규정 준수 기관이 갖춰야 할 역량에 대해 명확한 기대치를 제시하고 있다:
- 지갑 심사, 블랙리스트 등록 및 화이트리스트 등록 — 또한 새롭게 대두되는 위협에 대응할 수 있는 자산 동결 및 차단 기능
- 호스팅되지 않은 지갑 거래에 대한 강화된 실사 — 특히 지갑 활동의 위험도가 높은 경우
- 거래 모니터링 및 블록체인 분석 — 의심스러운 패턴을 파악하고 자금의 급격한 이동을 실시간으로 탐지하기 위해
- 해외 가상자산 서비스 제공자(VASP)에 대한 거래 상대방 실사 — 중첩 계정을 통해 VASP가 소매 사용자로 위장하고 있는 경우 이를 탐지할 수 있는 기능 포함
- DeFi 노출 평가 — 프로토콜, 브리지, 믹서 및 크로스체인 도구를 통한 위험 파악
방향은 분명합니다. 강력한 블록체인 분석은 효과적인 컴플라이언스 의 기본 전제입니다.
어떻게 체이널리시스 도움이 될 수 있을까요?
단속 역량을 강화하려면 공공 및 민간 부문이 블록체인 분석 분야의 기술적 전문성을 높여야 합니다. 체이널리시스 는 지갑 심사 및 거래 모니터링부터 크로스체인 추적 및 거래 상대방 위험 평가에 이르기까지, 이를 달성하기 위한 플랫폼을 구축합니다. 100여 개국의 법 집행 기관, 규제 당국, 가상자산 서비스 제공자(VASP), 금융 기관 및 스테이블코인 발행사와의 협력을 통해 본 보고서에 명시된 의무 사항을 실질적으로 이행하고 있습니다.
또한 당사는 미래형 위협에 대비한 선제적 대응 수단을 제공합니다. 불법 행위자들이 사기 및 KYC 우회를 위해 AI를 점점 더 악용함에 따라, 당사의 AI 기반 탐지 기능(알테리아)는 자금이 유출되기 전에 이러한 공격을 식별하고 차단하는 데 도움을 줍니다.
당사가 귀사의 조직을 어떻게 지원할 수 있는지 더 자세히 알아보시려면 당사 팀에 문의해 주십시오.
앞으로의 전망
제7차 대상국 보고서는 새로운 기준을 도입하기보다는 기존 기준의 이행을 요구하는 내용입니다. 민간 부문은 이행을 효과적으로 수행하기 위해 필요한 기술적 역량을 확보해야 합니다. FATF는 평가, 위험 분석, 역량 강화 등 모든 수단을 동원하여 “VASP 부문이 상당한 비중을 차지하는 관할 구역”에 특히 주의를 기울이며 이행 상황을 지속적으로 모니터링할 것입니다.
이러한 변화하는 기대에 부응할 수 있는 도구는 이미 존재합니다. VA 업계의 모든 관계자들은 이를 신속히 도입해야 합니다.
자주 묻는 질문
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
