요약
- FATF는 최근 첫 번째 디파이(DeFi) 전용 보고서를 발간했습니다. 이 글로벌 자금세탁방지·테러자금조달방지(AML/CFT) 표준 제정 기구는 디파이의 운영상 이점을 인정하면서도 , 각 관할권, 감독 당국, 가상자산 서비스 제공자(VASP), 금융 기관이 기존 AML/CFT 기준을 상황에 맞게 적용하여 책임감 있게 디파이와 협력할 수 있는 방안을 설명하고 있습니다.
- 프레임워크의 실제 적용: 이 보고서는 각 관할권이 구체적인 지표를 바탕으로 각 디파이(DeFi) 구조를 평가하여, 기존의 자금세탁방지(AML)/테러자금조달방지(CFT) 의무가 적용되는지 여부를 판단하는 방법에 대한 상세한 지침을 제시합니다. 간단히 말해, 단순히 스스로를 ‘분산형’이라고 칭하는 것만으로는 감독을 피할 수 없습니다.
- 블록체인 인텔리전스는 이 퍼즐을 풀기 위한 핵심 열쇠입니다. 온체인 추적 도구는 개발자와 규제 당국이 FATF의 권고 사항을 효과적으로 적용할 수 있는 인사이트 을 제공합니다.
FATF, 디파이(DeFi)에 대한 입장을 밝히다
분산형 금융(DeFi)은 오랫동안 규제상의 과제로 대두되어 왔다. 프로토콜이라고도 불리는 DeFi 체계는 자동화된 결제, 프로그래밍 가능한 금융 서비스, 24시간 이용 가능성 등 상당한 운영상의 이점을 제공할 수 있다. 그러나 이 체계들의 다양한 거버넌스 구조로 인해, 기존의 자금세탁방지 및 테러자금조달방지(AML/CFT) 의무가 언제, 어떻게 적용되어야 하는지 판단하기가 어렵다. 핵심적인 질문은, 만약 있다면, 누가 해당 체계에 대해 충분한 통제권을 행사하여 ‘ 컴플라이언스 ’에 대한 책임을 지게 되는가 하는 점입니다.
자금세탁방지 및 테러자금조달방지(AML/CFT) 분야의 글로벌 표준 수립 기구인 금융행동태스크포스(FATF)가 발표한 49페이지 분량의 새로운 보고서에서는 디파이(DeFi)의 ‘규제적 과제’를 중점적으로 다루고 있다. FATF는 보고서에서 기관들이 디파이의 이점을 활용하고자 열망하고 있으며, 각 관할 구역은 이러한 상호작용을 가능하게 해야 한다고 인정했다. 그러나 합법적인 사용자에게 DeFi를 매력적으로 만드는 바로 그 특성들이 불법 행위자들에게도 매력적으로 다가갑니다. 당사의 2026년 ‘ 가상자산 ’ 범죄 보고서에 따르면, DeFi 프로토콜로 유입되는 불법 자금 흐름이 전년 대비 343% 증가한 것으로 나타났으며, 이는 DeFi가 안전하게 계속 성장할 수 있도록 보장하기 위해서는 제한이 아닌 효과적인 위험 완화가 필수적임을 시사합니다.
이 보고서의 핵심에 있는 중요한 질문 중 하나는 규제 적용 범위입니다. 관할 당국은 어떤 디파이(DeFi) 프로토콜이 비트코인( 가상자산 ) 거래소나 스테이블코인 발행사 등 가상자산 서비스 제공자(VASP)에 대해 FATF가 정한 규칙에 따라 규제되어야 하는지 어떻게 판단할 수 있을까요? FATF의 답은 ‘통제권 또는 충분한 영향력’(COSI) 테스트입니다. 이 테스트는 해당 프로토콜이 규제 당국의 적용 대상에 포함되어야 하는지를 결정합니다.
FATF는 각 관할권이 COSI를 검토할 수 있는 프레임워크를 제공하지만, 이를 실행하기 위한 단일한 지침을 제시하지는 않습니다. 하지만 FATF는 한 가지 필수적인 역량, 즉 블록체인 분석 기술을 강조하고 있습니다. 블록체인 분석은 이 프레임워크를 실질적으로 운영할 수 있게 해주는 온체인 정보를 제공함으로써, 감독 당국이 COSI 테스트를 적용하도록 지원하고, 규제 대상 기관이 안전하게 DeFi에 참여할 수 있도록 하며, DeFi 프로토콜이 효율성과 혁신을 저해하지 않으면서도 자금 세탁 방지( 컴플라이언스 ) 조치를 내재화할 수 있는 도구를 제공합니다.
통제 및 영향력 평가
FATF의 프레임워크는 디파이(DeFi)가 다양한 형태로 존재한다는 점을 인정합니다. 모든 프로토콜을 동일하게 취급하기보다는, 통제권이나 충분한 영향력을 행사하는 주체가 있는지 여부에 따라 세 가지 범주로 구분합니다:
- 중앙 집중형: 개인이나 법인이 명확한 통제권 또는 충분한 영향력을 행사하는 경우 . 이는 FATF 기준의 적용 범위에 포함되며, 가상자산 서비스 제공자(VASP)로 취급되어야 합니다.
- 중앙 집중적이지만 통제 주체가 확인되지 않은 경우: 아직 알려지지 않은 인물들의 통제 또는 상당한 영향력을 받는 프로토콜 . 이러한 프로토콜 역시 FATF 기준의 적용 범위에 포함됩니다. FATF는 감독 당국이 국내 당국, 해외 협력 기관 및 블록체인 분석 업체와 협력하여 이러한 프로토콜의 배후 인물을 파악할 것을 권고합니다.
- 진정한 탈중앙화: 그 누구에게도 통제되거나 상당한 영향을 받지 않는 프로토콜 . 이러한 프로토콜은 FATF 기준의 적용 범위를 벗어나지만, 여전히 대안적인 위험 기반 완화 조치가 필요한 위험 요소를 내포하고 있다.
“통제권 또는 충분한 영향력”을 측정하고, 이에 따라 해당 프로토콜이 어느 그룹에 속하는지 판단하기 위해 FATF는 다음과 같은 일련의 지표를 제시합니다:
온체인 지표:
- 거버넌스 집중: 소수의 개인이나 단체가 프로토콜의 금융 운영을 실질적으로 주도할 수 있을 만큼 충분한 거버넌스 토큰을 보유하고 있는 경우를 말합니다. 소수의 지갑(또는 겉보기에는 서로 관련이 없어 보이는 여러 지갑)이 금융 운영에 대해 상당한 통제력을 행사할 수 있습니다. FATF는 감독 당국이 “잠재적인 지갑 클러스터링”과 온체인 투표 행태를 고려하여 숨겨진 통제 패턴을 파악할 것을 촉구합니다. 중요한 점은, 집중 현상 자체가 중앙화의 증거는 아니라는 것입니다.
- 관리자 권한: 스마트 계약 업그레이드, 매개변수 변경, 프로토콜 일시 중지 또는 접근 제어를 가능하게 하는 개인 키 보유
- 수수료 및 재무 흐름: 프로토콜 수수료 수령, 재무 자금 관리, 또는 경제적 가치의 배분
체이널리시스 이는 감독 당국이 FATF의 프레임워크를 실질적으로 운영할 수 있도록 돕습니다. ‘ Reactor ’을 통해 수사관들은 관련 지갑을 그룹화하고, DeFi 프로토콜, 브리지, DEX를 통해 발생하는 수수료 및 자금 흐름을 추적하며, 27개 이상의 블록체인과 4,000만 개 이상의 자산을 아우르는 온체인 활동을 현실 세계의 거래 상대방과 연결할 수 있습니다. 이를 통해 감독 당국은 단순한 명칭이나 공개된 주장에만 의존하지 않고, 누가 실제로 프로토콜에 대한 통제권이나 충분한 영향력을 행사하는지 증거에 기반해 평가할 수 있는 방법을 확보하게 됩니다.
FATF는 또한 프론트엔드 인터페이스, 개발 리포지토리, 프로토콜 수정 가능성에 대한 공개 커뮤니케이션에 대한 통제권 등을 오프체인 지표로 지목하며, 이를 COSI 평가의 관련 요인으로 꼽고 있다.
COSI 테스트는 프로토콜이 책임감 있는 보안 및 컴플라이언스 관행을 채택했는지 여부가 아니라, 누가 프로토콜에 대한 전반적인 통제권을 가지고 있는지를 평가하는 것을 목표로 합니다. 특히, FATF는 모든 범주의 DeFi에 걸쳐 킬 스위치(kill switch) 및 일시 중지 메커니즘과 같은 보안 기능과, 프런트엔드 심사 및 제재 대상 확인과 같은 자금세탁방지(AML) 위험 완화 통제 수단을 적극적으로 장려하고 있습니다. 이러한 구분은 중요합니다. 프로토콜 운영자들은 규제 체계가 모범 사례를 처벌하기 위한 것이 아니라, 제공되는 금융 서비스에 대한 통제권 또는 충분한 영향력을 평가하기 위해 설계되었다는 점을 인지하고, 견고한 안전 장치를 도입하도록 장려받아야 합니다.
이것이 관할 당국과 감독 당국에 어떤 의미를 갖는가
지금까지 각 관할권은 디파이(DeFi)가 제기하는 과제를 해결하는 데 소극적인 태도를 보여왔으며, 이로 인해 집행 체계의 실효성에 공백이 발생했다. 디파이 보고서가 발표된 같은 주에 공개된 FATF의 제7차 표적 업데이트에 따르면, 관할권 중 93%는 자국 내 해당 기준에 부합하는 디파이 프로토콜을 파악하지 못한 것으로 나타났다. 면허 요건을 부과한 관할권은 단 4곳에 불과하며, 집행 조치를 취한 곳은 단 한 곳뿐이다. 이는 본 보고서가 제시하는 체계의 중요성을 여실히 보여준다.
FATF는 각 관할 구역이 관련 노력을 가속화할 수 있도록 명확한 우선순위를 제시하고 있습니다:
- DeFi 특유의 위험 평가를 수행한다: 복잡한 거버넌스 구조, 국경을 초월한 특성, 그리고 활동의 집중도를 고려한다.
- 지속적인 DeFi 감독을 위해 블록체인 분석 기술을 도입해야 한다: 이 보고서는 관리자를 파악하고 고위험 프로토콜을 모니터링하기 위해 “거래 추적, 지갑 클러스터링, 네트워크 분석 등을 포함한 지속적인 블록체인 분석을 수행”할 것을 권고한다.
- 블록체인 분석 도구와 함께 활용: 감독 당국은 중앙화된 DeFi 프로토콜의 관리자를 쉽게 파악할 수 없는 경우, “추가 식별 정보를 보유할 수 있는 블록체인 분석 업체”와 협력하도록 지시받고 있다.
- 프런트엔드 제공업체 및 오라클 운영자에 대한 감독을 강화한다: 자동화된 심사, 위험도 평가 및 지역 차단 기능을 의무화한다.
- 내장된 통제 장치 및 지속적인 모니터링과 함께 스마트 계약 감사를 장려해야 합니다. 이 보고서는 각 관할 당국이 이 세 가지를 모두 효과적인 디파이(DeFi) 감독을 위한 상호 보완적인 조치로 고려할 것을 권고합니다.
이 DeFi 보고서는 새롭게 대두되는 위험에 더 효과적으로 대응하기 위해 각 관할 당국이 DeFi 프로토콜, 가상자산 서비스 제공자(VASP), 블록체인 분석 기업과 협력할 것을 촉구하며, 이는 제7차 ‘Targeted Update’에서 강조된 민관 협력 모델입니다. 체이널리시스 는 ‘오퍼레이션 스핀캐스터(Operation Spincaster)’와 같은 이니셔티브를 통해 이러한 파트너십을 지원해 왔으며, 이 과정에서 공공 수사 기관과 민간 부문 파트너들이 협력하여 ‘ 가상자산 ’ 사기를 근절했습니다. 우리는 이 모델이 DeFi 생태계로 확대되는 것을 환영합니다.
금융 기관에 있어 이것이 의미하는 바는
이 보고서는 금융 기관들이 디파이(DeFi)에 대해 위험 기반 접근 방식을 채택할 것으로 전망한다. 전통 금융 부문이든 디파이( 가상자산) 부문이든 모든 금융 기관은 거버넌스 구조, 자금세탁방지(AML)/테러자금조달방지(CFT) 통제의 효과적인 이행 여부, 해킹을 포함한 위험을 완화할 수 있는 능력을 바탕으로 디파이 거래 상대방을 평가해야 한다. 이러한 조치는 거래 모니터링 및 지갑 심사 도구와 같이 해당 금융 기관들이 이미 온체인 위험을 완화하기 위해 시행하고 있는 조치들을 보완하는 역할을 한다.
다리(bridge), 믹서(mixer) 또는 크로스체인(cross-chain) 도구와 관련된 노출, 혹은 자금 세탁 방지( 컴플라이언스 ) 통제 체계가 미흡한 프로토콜과의 상호작용 등 더 높은 위험이 확인되는 경우, 규제 대상 기관은 자금 흐름에 대한 심층 분석, 고위험 서비스에 대한 노출 추적, 또는 의심스러운 활동에 대한 경고 기준치 하향 조정 등 강화된 실사 조치를 적용해야 합니다.
스테이블코인 발행사는 디파이(DeFi) 생태계 내에서 뚜렷한 책임을 지고 있습니다. 스테이블코인을 디파이에서 주요 담보 수단으로 만드는 특성, 즉 전 세계적으로 24시간 연중무휴 즉시 가치 이전이 가능하다는 점은 이를 악용하려는 불법 행위자들을 유인하기도 합니다. 당사의 2026년 ‘ 가상자산 ’ 범죄 보고서에 기록된 바와 같이, 현재 스테이블코인은 전체 불법 거래량의 84%를 차지하고 있습니다. 특히 DeFi 분야에서 스테이블코인이 성장함에 따라, 발행사들은 금융 범죄를 예방하고 근절하는 데 실질적인 변화를 이끌어낼 수 있는 특별한 기회를 갖게 되었습니다. FATF는 자산 동결 및 소각 기능을 기본 요건으로 기대하고 있으며, 제7차 표적 업데이트에서 지적된 바와 같이, 범죄 조직들은 이제 자산 동결을 회피하기 위해 특별히 설계된 스테이블코인을 개발하고 있습니다.
이것이 DeFi 프로토콜에 미치는 의미
DeFi 프로토콜이 COSI 테스트에서 어떤 등급을 받느냐에 따라 FATF의 권고 사항이 해당 프로토콜에 어떻게 적용되는지가 결정됩니다.
중앙화된 DeFi
프로토콜에 식별 가능한 관리자가 있거나, 단순히 아직 식별되지 않은 관리자가 있는 경우, 해당 프로토콜은 다른 모든 가상자산 서비스 제공자(VASP)와 동일한 자금세탁방지(AML)/테러자금조달방지(CFT) 의무를 준수해야 합니다. 여기에는 라이선스 취득, 고객 실사, 거래 모니터링, 제재 조치 컴플라이언스 및 해당되는 경우 트래블 룰 컴플라이언스 이 포함됩니다. 또한 FATF는 자동 동결, 온체인 위험 점수 산정, 거래 차단과 같은 통제 장치를 프로토콜 인프라에 직접 내장할 것을 권고합니다. 스마트 계약 감사는 필수적이며, 지속적인 모니터링은 표준 관행으로 자리잡아야 합니다.
메시지는 분명합니다. 권한이 있다면 그에 따른 의무도 따릅니다.
진정한 탈중앙화 DeFi
어떤 개인이나 단체도 통제권이나 충분한 영향력을 행사하지 않는 프로토콜은 FATF의 규제 대상에서 제외됩니다. 하지만 규제 대상에서 제외된다고 해서 위험이 전혀 없다는 의미는 아닙니다. FATF는 감독 당국이 블록체인 분석 기술을 활용해 이러한 프로토콜을 모니터링할 것을 권장하며, 접점에 있는 규제 대상 기관들이 적절한 실사 절차를 적용할 것을 기대하고, 간접적인 안전장치로서 스테이블코인 발행사의 내부 통제 체계를 신뢰하고 있습니다.
실질적인 시사점은, 진정으로 탈중앙화된 프로토콜이라 할지라도 설계 및 배포 전 단계에서 자발적으로 ‘ 컴플라이언스 ’ 통제 장치를 도입함으로써 이점을 얻을 수 있다는 것입니다. 초기 징후에 따르면, 심사, 모니터링 및 거버넌스 통제 장치가 마련된 프로토콜에 기관 자금이 이미 우선적으로 유입되고 있는 것으로 보입니다. ‘ 컴플라이언스 ’은 단순한 규제 의무가 아닌, 시장에서의 차별화 요소로 자리 잡고 있습니다.
실행상의 과제
FATF의 디파이(DeFi) 보고서는 실용적이고, 기술 중립적이며, 비례성을 갖춘 프레임워크를 제시합니다. 규제적 명확성을 모색하는 업계에 있어 이는 건설적인 성과입니다. 하지만 이 프레임워크의 가치는 실제로 어떻게 적용되느냐에 달려 있습니다. 아직 해결되지 않은 몇 가지 쟁점들이 디파이의 다음 단계를 좌우할 것입니다.
- 프레임워크에서 실무로: COSI 테스트는 여러 가지 지표를 제시하지만, 이를 적용하는 과정에서 실질적인 문제들이 제기될 것입니다. 가장 즉각적인 위험은, DeFi에 익숙하지 않은 관할권이 중앙 집중식 통제나 영향력의 요소가 하나라도 존재하면 모든 DeFi를 중앙 집중식으로 간주할 수 있다는 점입니다. FATF의 3가지 범주 구분은 바로 이러한 오류를 방지하기 위해 마련된 것입니다. 관할권은 사소한 운영 세부 사항에 대한 집중된 거버넌스나 보안 목적을 위한 제한적인 기술적 기능의 유지가 그 자체만으로는 중앙 집중식 프로토콜로 분류되어서는 안 된다는 점을 인식하고, 이를 비례적으로 적용하는 것이 중요할 것입니다. FATF의 지표는 포괄적이지 않고 참고용일 뿐이므로, 관할 당국은 이를 기계적으로 적용하기보다는 신중하게 고려해야 합니다. 핵심적인 질문은 단순히 기술적 능력이 존재하는지가 아니라, 확인된 통제나 영향력이 금융 서비스 제공에 있어 중요한지 여부여야 합니다.
그 밖에도 해결해야 할 문제들이 남아 있습니다. 즉, 통제 기능을 사후에 추가할 수 없는 불변 프로토콜을 어떻게 다룰지, 온체인 투표가 현실 세계의 영향력을 반영하지 않을 때 거버넌스 집중도를 어떻게 평가할지, 그리고 지리적 기반이 없는 프로토콜에 대한 관할권을 어떻게 확립할지 등입니다. 이는 프레임워크의 결함이 아닌 실행상의 문제이지만, 각 관할권이 COSI 테스트를 적용하기 시작함에 따라 이에 대한 해답이 필요할 것입니다. - 점진적 탈중앙화: 많은 프로토콜은 중앙집중식 구조로 시작해 점차 통제권을 이양합니다. 프로토콜이 ‘적용 대상’에서 ‘적용 대상 외’로 전환되는 시점은 언제일까요? 이 보고서는 이러한 전환 과정에 대해서는 다루지 않지만, 자금세탁방지(AML) 및 테러자금조달방지(CFT) 통제 수단과 사이버 보안 조치 등 견고한 위험 완화 방안을 구현하는 것이 언제나 바람직한 관행임을 분명히 하고 있습니다.
- 국경을 초월한 협력: 프로토콜의 스마트 계약, 프론트엔드 운영자, 거버넌스 토큰 보유자, 재단이 모두 서로 다른 관할권에 속해 있을 때 , 누가 이를 규제할 것인가? 온체인 데이터는 국경을 넘나들지만, 규제 요건은 그렇지 않다. 국제적 협력과 공유된 분석 인프라가 필수적일 것이다.
- 사이버 보안과 자금세탁방지·테러자금조달방지(AML/CFT)의 융합: 전통적으로 사이버 보안은 AML/CFT의 핵심이 아니었지만, 디파이(DeFi) 분야에서는 이 두 가지가 뗄 수 없는 관계입니다. 스마트 계약의 취약점을 악용하면 세탁되어야 할 불법 수익이 발생하며, 북한과 같은 국가 주체의 경우 이러한 수익이 무기 개발 프로그램에 자금을 지원합니다. 비너스 프로토콜(Venus Protocol) 사례는 이를 실전에서 잘 보여준다. 보안 대응(공격 탐지, 프로토콜 일시 중지)이 동시에 자금세탁방지 및 테러자금조달방지 대응(도난 방지 및 자금이 이동되기 전에 1,300만 달러를 회수)이 되었던 것이다. 점점 더 많은 전통 금융 기관이 디파이(DeFi)에 참여함에 따라, 사이버보안을 감독 체계의 핵심 구성 요소로 취급하는 것은 그 중요성이 더욱 커질 것이다.
어떻게 체이널리시스 도움이 될 수 있을까요?
FATF는 공공 및 민간 부문 모두에게 DeFi 관련 조사 를 지원하기 위해 블록체인 분석 도구에 대한 기술적 전문성을 강화할 것을 명시적으로 권장하고 있습니다. 앞서 언급된 이행상의 과제 중 상당수는 체이널리시스 이 기관만이 해결할 수 있는 과제들입니다. 체이널리시스 2026년에는 1억 4,500만 건의 스마트 계약 거래를 정확히 추적하여, 그 가치가 15조 8,000억 달러에 달할 것으로 전망됩니다.
COSI 테스트를 비례적으로 적용하려면 거버넌스 토큰 분배를 분석하고, 지갑 클러스터를 매핑하며, 수수료 흐름을 추적하고, 프로토콜 배후의 실제 통제 현황을 평가할 수 있는 능력이 필요합니다. 이는 바로 당사의 클러스터링 및 귀속 분석 기능이 구축된 목적과 정확히 일치합니다. 감독 당국이 관할 구역과 체인을 아우르는 가시성을 제공하는 공통의 분석 인프라를 공유할 때, 국경을 초월한 협력이 실질적으로 가능해집니다. 또한 앞서 언급한 Venus Protocol 사례에서 입증된 바와 같이, 사이버 보안과컴플라이언스 의 융합은 이미 당사의 제품군에서 현실로 자리 잡고 있습니다.
더 넓은 관점에서 볼 때, 당사는 규제 대상 기관이 자사의 디파이(DeFi) 노출 정도를 평가할 수 있도록 지원하고, 디파이 프로토콜이 FATF가 권장하는 자금세탁방지(AML)/테러자금조달방지(CFT) 통제 조치를 도입할 수 있도록 돕며, 100여 개국의 감독 당국과 협력하여 온체인 인텔리전스를 실무에 적용할 수 있도록 지원하고 있습니다. 대다수의 관할권에서 아직 적격 디파이 프로토콜을 특정하지 못한 상황에서, 제도와 실무 간의 격차는 조속히 해소되어야 합니다. 당사는 이러한 격차를 해소하는 데 기여할 준비가 되어 있습니다.
다음에 대해 더 자세히 알아보시려면 체이널리시스 DeFi 컴플라이언스 와 감독 기능을 지원하는 방법에 대해 자세히 알아보시려면 당사 팀에 문의해 주십시오.
자주 묻는 질문
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
