FATF Travel Rule과 CARF를 함께 설계하는 가상자산 규제 준수 체계

실시간 통제와 정기 보고가 만나는 지점

가상자산 사업자의 규제 대응은 거래를 보내기 전의 통제와 보고 기간이 지난 뒤의 데이터 제출을 함께 다뤄야 한다. FATF 가이드라인은 자금세탁방지·테러자금조달방지와 제재 준수를 위한 운영 통제의 기준을 제시하고, OECD의 Crypto Asset Reporting Framework(CARF)는 국경 간 자동 정보교환을 위한 보고 기준을 다룬다.

둘은 목적과 실행 시점이 다르지만, 고객 식별 정보와 거래 데이터를 신뢰할 수 있는 방식으로 연결해야 한다는 점에서 같은 데이터 기반을 요구한다.

FATF가 요구하는 VASP 통제

FATF 가이드라인은 가상자산과 가상자산사업자(VASP)를 대상으로 하는 AML/CFT 권고안 집합이다. 위험기반접근(RBA), 고객확인의무(KYC/CIP), 제재 스크리닝, 의심거래보고(STR), Travel Rule이 주요 요소다.

Travel Rule은 송금인과 수취인 정보를 송신 VASP와 수신 VASP 사이에서 안전하게 전송하고 보관하도록 하는 의무다. 메시지 데이터 모델로는 IVMS101을, 메시징 네트워크로는 TRISA, TRP, OpenVASP 등을 활용할 수 있다.

CARF가 다루는 보고 범위

CARF는 OECD가 발표한 가상자산 보고 체계로, 가상자산 거래와 보유 정보를 국경 간 자동 정보교환(AEOI)에 활용하기 위한 표준이다. CRS(Common Reporting Standard)를 보완하거나 병행하는 체계로 볼 수 있다.

보고 대상에는 교환·결제·수탁 기능을 제공하는 중개자(Intermediary)의 고객 관련 거래와 잔액 정보가 포함된다. 스테이블코인, 일부 NFT, 일부 DeFi 포지션의 포함 여부는 정의에 따라 달라지며, 채택 및 시행 시점도 관할권별로 다르므로 최신 정보를 확인해야 한다.

데이터와 운영 방식에서 갈리는 역할

FATF와 CARF는 같은 정보를 활용할 수 있어도 통제 목적과 처리 방식은 다르다.

항목	FATF 가이드라인	CARF
목적	AML/CFT, 제재 준수	조세 투명성, 자동 정보교환
범위	거래 전·중 실시간 통제, VASP 전반	보고 기간 단위의 거래·잔액 데이터
기술	Travel Rule, IVMS101, 제재 스크리닝	AEOI 스키마(XML), TIN/국가코드 검증
일관성/정합성	실시간 KYC/리스크 스코어 일관성	배치 검증·리컨실리레이션 중심
운영 편의	케이스 관리·실시간 예외처리 중시	데이터 품질·오류 재처리 자동화 중시

Travel Rule 연동에서는 IVMS101 데이터 모델을 채택하고, 필수 필드와 선택 필드를 분리해 개인정보 최소전송 원칙을 지켜야 한다. 송수신자 식별자, VASP LEI 또는 등록번호, 호스티드·언호스티드 지갑 구분도 필요하다.

여러 네트워크를 함께 연결할 경우 상호운용 문제가 생길 수 있다. 게이트웨이 또는 멀티-네트워크 커넥터 계층에서 이중 송신, 재시도, 중복 방지를 처리하는 구조가 필요하다.

위험기반접근은 고객·국가·상품·채널별 위험을 평가하고, 임계값에 따른 통제를 설계하는 방식이다. 강화 실사와 간소화 실사를 차등 적용하며, 제재·PEP·불법 자금 출처 위험은 모델로 관리한다. 운영, 리스크관리, 내부감사로 이어지는 3선 방어와 규제 보고 라인도 마련해야 하며, 데이터 소유권과 변경관리 체계가 이를 뒷받침해야 한다.

CARF 보고를 위해서는 TIN, 거주지, 관할권 같은 고객 식별 정보를 수집·검증하고 거래를 교환·지급·수탁 이동으로 분류해야 한다. 거래상대방과 토큰 속성 매핑도 필요하다. 보고주기는 통상 연 1회이며, XML·스키마 검증과 거부·부분수리 오류 관리, 재제출 절차를 운영 안에 포함해야 한다.

거래소와 커스터디 환경에 적용하는 방식

중앙화 거래소(CEX)는 온보딩 KYC, 제재·PEP 스크리닝, 거래 전 Travel Rule 라우팅, 리스크 임계값 기반 승인·차단을 실시간 레이어로 구성할 수 있다. 데이터 레이어에서는 원장과 체인 이벤트를 수집·정규화한 뒤 마스터 고객·계좌 레퍼런스와 결합하고, CARF 대상 거래를 분류·요약한다. 정책 버전 관리, 모델 성능 모니터링, 샘플링 기반 내부감사와 규제 감사 대응은 거버넌스 영역에서 다룬다.

지갑 또는 커스터디 서비스의 Travel Rule 처리에서는 송금 요청을 받은 뒤 VASP 디렉터리나 네트워크로 수취 VASP를 찾고, 언호스티드 지갑 여부를 판별한다. IVMS101 메시지를 생성·송신하고 응답을 검증하며, 타임아웃이 발생하면 재시도나 대체 경로를 적용한다. 승인된 거래는 체인 전송으로 이어지고, 실패 건은 큐에 적재한 후 사후 통지와 케이스 오픈으로 처리한다. 언호스티드 지갑에는 관할 규정에 따라 강화 실사 또는 제한을 적용한다.

CARF 파이프라인은 트랜잭션 이벤트를 교환·지급·수탁 이동 유형으로 매핑하는 데서 시작한다. 고객 식별자, 거주지, 관할권을 연결하는 조인 키를 표준화하고, 스키마 밸리데이션, TIN 포맷 확인, ISO 국가코드 검증, 중복 제거, 스냅샷과 증분을 혼합한 전략으로 품질을 관리한다. 전송 단계에서는 암호화·서명·전송 로그 불변화를 적용하며, 거부 응답은 수정 후 재제출하는 루프로 처리한다. 관할별 파일 분할과 시행 일정·기술 사양의 변동성도 고려해야 하므로 최신 정보를 확인해야 한다.

DeFi와 자가보관 지갑은 VASP 해당성부터 판단이 필요하다. UI 제공자, 프론트엔드·라우터, 커스터디 개입 여부에 따라 책임 범위가 달라지고 관할권별 해석도 다르다. 일부 관할권이 아직 이행하지 않은 경우에는 사전 검증, 사후 보완, 제한 국가 차단으로 상호운용을 보완할 수 있다. 믹서, 탐지 리스트, 자금 흐름 위험 점수를 온체인 분석과 연결하면 강화 실사 트리거를 구성할 수 있다.

규제 데이터를 처리하는 흐름

⤢✕

네트워크 타임아웃, 스키마 오류, 중복 이벤트는 재시도·데드레터 큐·카디널리티 제약으로 다룬다. 트랜잭션 일관성은 멱등 키(idempotency key)와 감사 로그 해시체인으로 보장한다.

보호해야 할 데이터와 감수할 운영 복잡도

전송 경로는 암호화하고, 정착 스토리지에는 필드 레벨 암호화 또는 토큰화를 적용한다. ABAC/RBAC 기반 접근통제, 데이터 지역성 준수, 로그 불변성도 함께 고려해야 한다. 데이터는 최소한으로 수집하고 목적 제한과 보존 기한을 관리하며, 열람·정정·삭제 같은 권리 행사 절차를 마련한다.

PII는 필드 레벨 암호화와 HSM/KMS 기반 키 관리로 보호할 수 있다. 성능과 보안의 균형은 암호화 전후 토큰화를 활용한 캐시로 완화한다. 실시간 통제에는 이벤트 기반 스트리밍을, CARF 보고에는 배치 레이크하우스를 결합하는 하이브리드 구성이 가능하며, 지연과 일관성의 균형에 따라 람다 또는 키파 아키텍처를 선택한다.

복수의 Travel Rule 네트워크를 지원하면 운영 복잡도는 증가한다. 커넥터 또는 브로커 계층으로 이를 캡슐화하고 모니터링을 단일화할 수 있다. 규정 변동에는 정책·스키마 버전 라우팅과 Blue/Green 규칙 배포, 관할권별 차등 설정 관리로 대응한다. 시행 시점과 스코프는 변경될 수 있으므로 최신 정보를 확인해야 한다.

규제 리스크 측면에서는 벌금·영업제한·라이선스 지연을 피하고 제재 적발 누락률을 예를 들어 30%→5%로 낮출 수 있다. 자동화는 단위 거래당 수작업 검토 시간을 40% 이상 줄이고, 데이터 품질이 개선되면 재처리율을 50%↓까지 낮출 수 있다. 고위험 거래를 선별하고 정상 고객의 패스스루를 최적화하면 승인율을 예를 들어 96%→98%로 개선하며, 크로스보더 온보딩 TAT도 단축할 수 있다.

FATF는 실시간 AML/CFT 통제의 골격을 제공하고 CARF는 사후 조세 투명성 보고를 체계화한다. 두 요구사항을 함께 다루려면 Travel Rule 상호운용, RBA 모델, 데이터 품질과 보안을 엔드투엔드 아키텍처로 통합해야 한다. 초기 설계부터 데이터 거버넌스와 자동화를 중심에 두고, 모듈화·버전 관리·관할권별 설정으로 규정과 기술 표준의 변동성에 대비한다.