한국, 암호화폐 AML 단속 강화: 기업이 알아야 할 사항

금융위원회(FSC) 산하 한국금융정보분석원(KoFIU)이 현장 검사에서 자금세탁방지 및 테러자금조달금지(AML/CFT) 통제의 심각한 허점을 발견한 후, 국내 5개 암호화폐 거래소 운영자에 대해 공식 제재 조치를 취했습니다. 이는 한국에서 디지털 자산 기업에 대한 규제 감독이 더욱 엄격해지는 것을 의미하며, 한국 시장에 노출된 국내외 기업은 주의를 기울여야 합니다. 이러한 환경에서 강력한 암호화폐 회계 소프트웨어와 컴플라이언스 인프라는 더 이상 선택이 아닙니다.

KoFIU 검사에서 발견된 사항

검사는 2022년 하반기에 수행되었으며, KoFIU는 2023년 3월 30일 제재 조치와 함께 조사 결과를 발표했습니다. 규제당국은 제재를 받은 5개 거래소의 이름을 밝히지 않았지만, 조치를 촉발한 행위를 보여주는 예시를 제공했습니다.

규제 당국의 주목을 받은 거래 패턴

KoFIU는 자금세탁 가능성을 암시하는 것으로 간주되는 여러 거래 패턴을 설명했습니다. 한 사례에서 단일 고객이 9개월 동안 1,074회에 걸쳐 해외에서 약 278억 원 상당의 가상자산을 수신했으며, 이에 상응하는 매수는 거의 없었고, 이후 12,267건의 거래로 해당 자산을 매도하고 712회에 걸쳐 282억 원을 현금으로 출금했습니다. 단방향 흐름, 엄청난 거래량, 그리고 현금으로의 최종 출금은 전형적인 레이어링 지표입니다.

두 번째 패턴은 고객이 미확인 주소 313곳으로부터 2,243건의 거래(총 164억 원)를 통해 32가지 유형의 가상자산을 수신한 후, 동일한 수의 거래로 해외 주소로 동일한 금액을 송금한 경우였습니다. 유입과 유출 사이의 거의 완벽한 대칭성과 알 수 없는 거래상대방의 수는 모든 표준 거래 모니터링 프레임워크에서 즉시 위험 신호를 발생시킵니다.

세 번째 사례는 73세에서 95세 사이의 고령 고객들이 동일한 해외 IP 주소에서 늦은 밤이나 이른 아침 시간에 다양한 가상자산을 활발히 거래한 것으로 나타났습니다. 이 패턴은 명의대여 계정 사용, 즉 진정한 실소유자일 가능성이 낮은 개인 명의의 계정을 제3자가 통제하는 상황을 시사합니다.

마지막으로, KoFIU는 거래소 임원과 직원들이 배우자 명의로 등록된 계정을 사용하여 자신의 고용주 플랫폼에서 가상자산을 거래한 사례를 확인했으며, 이는 직접적인 이해상충이자 내부 통제 위반입니다.

확인된 시스템적 컴플라이언스 실패

구체적인 거래 사례 외에도 KoFIU의 검사 결과는 5개 기업 전반에 걸친 광범위한 구조적 약점을 부각했습니다. 여기에는 효과적이지 못한 거래 모니터링 시스템, 부적절한 고객확인(KYC) 절차, 여행 규칙(Travel Rule) 미준수, 취약한 고객 위험 평가 관행이 포함됩니다. 이러한 실패는 거래소가 스머핑, 비경제적 현금화, 명의대여 이용의 잠재적 통로로 노출되게 했으며, 이는 모두 잘 문서화된 자금세탁 범죄수법입니다.

부과된 제재 및 강화 경고

「특정금융거래정보의 보고 및 이용 등에 관한 법률」(일반적으로 AML법)에 따라 취해진 제재 조치는 개별 직원 및 임원에 대한 경고 및 공식 견책에서 회사 자체에 부과된 금전적 벌칙에 이르기까지 다양했습니다. KoFIU는 향후 검사에서 유사한 위반이 발생할 경우 결과가 더 심각할 것이라고 명시했습니다. 이는 단순한 형식적 규제 언어가 아닙니다. FSC는 금융 부문에서 강화 경고를 실행에 옮긴 실적이 있습니다.

규제당국은 또한 지갑 운영자를 포함한 다른 범주의 디지털 자산 기업으로 검사 프로그램을 확대할 계획이며, 특히 높은 자금세탁 위험을 지닌 것으로 식별된 영역에 초점을 맞출 것이라고 발표했습니다. 일회성 검토가 아닌 주제별 검사가 이제 명시된 접근 방식입니다.

한국의 광범위한 단속 맥락

해외 거래소 및 개인에 대한 조치

2023년 3월 조치는 독립적으로 발생하지 않았습니다. 2022년 8월, KoFIU는 필요한 등록 절차를 완료하지 않고 국내 투자자를 대상으로 한 16개 외국 암호화폐 거래소의 한국 내 운영을 차단했습니다. 같은 달, 당국은 가상자산과 관련된 불법 외환 거래와 관련하여 16명을 기소했습니다. 국외 소재 기업을 추적하는 의지는 한국 사용자 기반을 둔 모든 해외 기업에 중요한 신호입니다.

병행 진행 중인 입법 개발

단속만이 전부는 아닙니다. FSC와 국회는 2022년 10월 블록체인 개발과 투자자 보호의 균형을 맞추기 위한 법안 공동 개발을 발표했습니다. 17개의 별도 암호화폐 관련 입법 제안이 활발히 검토 중이며, 통합 프레임워크인 「디지털자산기본법」이 그 과정에서 탄생할 것으로 예상됩니다. 2023년 2월에는 기존 자본시장 규정 하에서 토큰화된 가상자산을 증권으로 취급하는 지침도 발표되어 더 많은 자산 유형이 규제 범위에 포함되었습니다.

또한, 법무부는 2023년 1월 가상통화 추적 시스템 구축 계획을 발표하여, 법 집행 기관이 자금세탁 활동을 식별하고 범죄와 관련된 가상자산 회수를 지원할 수 있도록 했습니다. 이는 2022년 10월 한국경찰청과 국내 5대 거래소 간의 가상자산 관련 범죄 조사 및 예방을 위한 파트너십에 기반한 것입니다.

전반적인 상황은 정부가 암호화폐 산업의 자리를 인정하지만, 기존 금융 서비스에 기대하는 것과 동일한 수준으로 규제할 의도가 있으며, 기준에 미치지 못하는 기업에는 실질적인 결과가 따른다는 것입니다.

B2B 기업에 대한 회계 및 컴플라이언스 영향

기록 유지 및 감사 가능성 요구사항

한국 사업장 또는 한국 고객 기반을 둔 기업에 자문을 제공하는 회계법인, 감사인, CFO에게 KoFIU의 조사 결과는 고객 기록의 구조와 유지 방식에 직접적인 영향을 미칩니다. 특히 다양한 자산 유형과 미확인 거래상대방을 포함한 고빈도, 대용량 흐름을 특징으로 하는 설명된 거래 패턴은 실시간 모니터링과 사후 감사 추적을 모두 지원하는 형식으로 거래 수준 데이터를 캡처해야 합니다.

효과적인 암호화폐 부기 소프트웨어는 거래상대방 범주별로 거래를 태그하고, 임계값 위반을 자동으로 플래그하며, 규제 당국의 요청에 짧은 시간 내에 대응할 수 있는 보고서를 생성할 수 있어야 합니다. 수십 개의 지갑 주소와 거래소 계정에 걸친 수동 조정은 KoFIU 사례에서 설명하는 규모에서는 현실적으로 불가능합니다.

한국 가상자산사업자(VASP)의 재무제표를 검토하는 감사인은 이제 KoFIU 검사 위험을 위험 평가 절차에 포함해야 합니다. 고객의 거래 모니터링 시스템이 위 패턴을 감지하고 보고했을 것임을 입증할 수 없다면, 이는 명확히 전달해야 하는 중요한 통제 약점입니다.

여행 규칙(Travel Rule) 준수 우선 과제

KoFIU는 여행 규칙 미준수를 관찰된 실패 중 하나로 특별히 지적했습니다. 한국은 2022년 3월 암호화폐 거래에 대한 여행 규칙을 시행했습니다. 적용 기준을 초과하는 이체에 대해 여행 규칙 데이터(송신인 및 수취인 정보)를 통합하지 않는 디지털 자산 회계 소프트웨어를 사용하는 기업은 불완전한 컴플라이언스 현황으로 운영되고 있는 것입니다. 이는 이론적 위험이 아니라 2023년 3월 제재를 초래한 명시된 결함 중 하나였습니다.

한국 VASP에 자문하는 기업은 여행 규칙 이행에 대한 격차 분석이 컴플라이언스 검토 의제의 최우선 순위에 있어야 합니다. 문제는 단순히 규칙이 기술적으로 마련되어 있는지 여부가 아니라 캡처되는 데이터가 정확하고, 완전하며, 실제로 검토되고 있는지 여부입니다.

특수관계자 거래에 대한 내부 통제

임원과 직원이 가족 명의 계정을 통해 고용주의 거래소에서 거래했다는 발견은 회계 전문가가 즉시 인식할 특정 내부 통제 실패, 즉 부적절한 특수관계자 거래 모니터링을 지적합니다. VASP의 경우, 임직원, 직계 가족, 실소유자의 계정은 기본 통제로 식별되고 플래그되며 강화된 조사를 받아야 합니다. 이는 전통적인 금융 서비스의 표준 요구사항이며, KoFIU는 암호화폐 기업에도 동일한 기대를 적용하고 있음이 분명합니다.

기업이 지금 취해야 할 조치

국내 VASP 및 자문사

KoFIU의 확대된 주제별 검사 발표는 국내 운영자의 경우 검사가 이루어질지 여부가 아니라 언제 이루어질지의 문제임을 의미합니다. 기업은 확인된 특정 결함(거래 모니터링 효과성, KYC 검증 품질, 여행 규칙 데이터 완전성, 고객 위험 등급 방법론, 특수관계자 계정 통제)에 대해 내부 격차 분석을 수행해야 합니다. 검사관이 도착하기 전에 이들 영역에서 적절한 통제를 입증할 수 없는 기업은 취약한 위치에 놓입니다.

문서화는 통제 자체만큼 중요합니다. 잘 설계된 모니터링 시스템이라도 서면 정책, 결정 로그, 에스컬레이션 기록이 없다면, 컴플라이언스 문화의 증거라기보다 컴플라이언스 체크리스트로 간주되어 규제 당국을 만족시키지 못할 것입니다.

한국 시장 노출이 있는 외국 기업

2022년 8월 16개 외국 거래소 차단은 KoFIU가 해외 사업자에 대해 조치를 취할 준비가 되어 있음을 입증했습니다. 한국 사용자가 있거나, 한국 원화를 수용하거나, 필요한 등록 절차를 완료하지 않고 한국 거주자에게 서비스를 마케팅하는 모든 플랫폼은 위험에 노출되어 있습니다. 해외 사업자에 대한 집행이 물류적으로 더 복잡하다는 사실이 발생하지 않을 것이라고 가정하는 것은 안전하지 않습니다. 「디지털자산기본법」 과정을 통해 입법 프레임워크가 성숙해짐에 따라 외국 사업자의 등록 및 준수 의무는 더욱 명확해질 가능성이 높습니다.

이러한 위치에 있는 고객에게 감사 또는 자문 서비스를 제공하는 기업은 한국 규제 노출이 문서화되고, 고객이 등록 요구사항을 이해하며, 등록하지 않기로 한 결정이 의식적으로 그리고 위험에 대한 완전한 인식 하에 이루어지고 기본값이 아닌지 확인해야 합니다.

블록체인 분석이 AML 조사를 어떻게 변화시키고 있는지에 대한 이전 분석은 규제 당국이 사용하는 조사 도구에 대한 유용한 맥락을 제공합니다: 비트코인 범죄 수사 및 AML의 블록체인 분석. 다중 관할 라이선스 문제를 탐색하는 기업은 홍콩의 차세대 가상자산 라이선스 요구사항에 대한 보도에서 관련 유사점을 찾을 수 있습니다.

자주 묻는 질문

한국에서 암호화폐 거래소의 AML 의무를 규율하는 법률은?

주요 법률은 「특정금융거래정보의 보고 및 이용 등에 관한 법률」(일반적으로 AML법)입니다. 한국에 등록된 가상자산사업자는 금융위원회 내 KoFIU의 감독 하에 KYC, 고객확인(CDD), 거래 모니터링, 여행 규칙 준수를 포함한 AML/CFT 통제를 시행해야 합니다.

한국의 여행 규칙 요구사항은 무엇이며 언제 시행되었나요?

한국의 암호화폐 이체 여행 규칙은 2022년 3월에 발효되었습니다. 이는 VASP가 지정된 기준을 초과하는 가상자산 이체 시 송신인과 수취인 정보를 수집하고 전송하도록 요구합니다. KoFIU의 2023년 3월 제재 조사 결과는 검토된 5개 거래소에서 이 규칙의 미준수를 명시된 결함 중 하나로 확인했습니다.

디지털자산기본법이란 무엇이며 암호화폐 기업에 어떤 영향을 미치나요?

디지털자산기본법은 한국 국회에서 개발 중인 포괄적인 입법 프레임워크로, 17개의 별도 암호화폐 관련 법안을 통합합니다. 이는 투자자 보호 및 사업 행위 기준을 포괄하는 디지털 자산에 대한 통합 규제 구조를 제공하기 위한 것입니다. FSC와 국회는 2022년 10월 이 프레임워크에 대한 협력을 발표했습니다. 입법의 최종 형태는 국내 운영자와 한국 사용자를 대상으로 하는 외국 기업 모두에 대한 라이선스 의무, 허용 활동, 준수 요구사항을 결정할 것입니다.

한국 당국이 외국 암호화폐 거래소를 제재할 수 있나요?

네. 2022년 8월, KoFIU는 필요한 등록 절차를 완료하지 않고 국내 투자자를 대상으로 한 16개 외국 암호화폐 거래소의 한국 내 운영을 차단했습니다. 해외 사업자에 대한 집행에는 실질적인 어려움이 있지만, KoFIU는 설립지나 본사 소재지에 관계없이 미준수 기업을 추적할 의사를 분명히 했습니다.

2023년 3월 제재 조치로 이어진 구체적인 거래 모니터링 격차는 무엇인가요?

KoFIU의 검사 결과는 네 가지 주요 통제 실패를 식별했습니다: 고위험 패턴을 감지하지 못한 비효율적인 거래 모니터링 시스템, 부적절한 KYC 및 고객 실사 프로세스, 국경 간 이체에 대한 여행 규칙 요구사항 미준수, 취약한 고객 위험 평가 방법론이었습니다. 규제 당국은 또한 명의대여 계정 사용과 직원의 특수관계자 거래가 해당 거래소에 의해 식별되거나 보고되지 않았다는 사실을 발견했습니다.

출처: Elliptic