가상자산 사업자가 KYC/AML부터 CARF까지 준법 체계를 구축하는 법

같은 규정이라도 나라마다 임계값과 필드 요구가 다르다는 점이 가상자산 규제 대응 시스템을 설계할 때 가장 먼저 부딪히는 벽이다. 가상자산 산업이 제도권으로 빠르게 편입되면서 규제 준수는 선택이 아니라 사업의 전제조건이 됐다. 이 글은 KYC/AML, FATF 가이드라인, CARF(Crypto Asset Reporting Framework)의 핵심 요건과 실무 구축 절차를 정리한다. 각국의 이행 속도와 세부 규정이 상이하므로 최신 개정 사항은 별도로 확인해야 한다.

KYC/AML, FATF, CARF의 핵심 축

KYC(Know Your Customer)는 고객 식별·신원확인·거주지 확인·위험평가를 수행하는 체계로, CDD(고객확인의무)와 EDD(강화된 고객확인의무)를 포함한다. AML(Anti-Money Laundering)은 자금세탁·테러자금조달 방지 체계로 제재 스크리닝, 거래 모니터링, 의심거래보고(STR), 기록 보관을 포괄한다.

FATF(국제자금세탁방지기구) 가이드라인은 VASP(Virtual Asset Service Provider)를 정의하고 라이선스, 위험기반접근법, Travel Rule(권고안 16) 이행을 요구한다. 권고안 자체는 구속력이 없지만 각국 법령으로 전환되는 과정에서 임계값·데이터 필드·보고 기한이 나라마다 달라진다.

CARF(Crypto-Asset Reporting Framework)는 OECD의 과세 투명성 프레임워크다. CASP(crypto-asset service provider)에게 고객·거래 정보를 표준화된 형식으로 보고하도록 요구하며, CRS 개정과 연동되고 EU DAC8 같은 지역 규범에도 편입되는 중이다. 시행 시점과 보고 항목은 계속 바뀌고 있어 최신 정보를 확인해야 한다.

KYC 라이프사이클과 AML 모니터링

신원확인은 문서 인증(OCR, NFC), 생체 생존감 검사, PEP/제재 스크리닝, 거주지 검증으로 이뤄진다. 문서 불일치나 만료가 생기면 재업로드나 대체 인증 경로로 리트라이해야 한다. 위험평가는 국가·산업·제품·거래 유형을 기준으로 점수화하고, 고위험 고객에게는 자금출처증빙(SOW/SOF)을 포함한 EDD를 수행한다.

AML 거래 모니터링은 규칙 기반과 머신러닝을 병행하는 방식이 일반적이다. 임계값, 속도 이상, 믹서·프라이버시 코인 패턴, 온체인 히트 맵을 함께 활용하고, 정탐·오탐 비율을 관리하며 튜닝 주기를 정해둔다. 제재 스크리닝은 주소·개인·법인·관할 제재 목록을 실시간으로 동기화하고, 트래블룰과 연계해 송수신자 정보의 정합성을 검증한다.

FATF의 위험기반접근(RBA)은 상품·채널·지역별로 통제 강도를 차등화하는 방식이다. 라이선스 취득, 내부통제, 독립검토, 직원 교육 요건을 충족해야 한다. Travel Rule은 USD/EUR 1,000 등 임계값 이상의 이전에 송금인·수취인 정보를 함께 전송하도록 요구하며, IVMS101 표준과 TRISA·OpenVASP·TRP 같은 메시징 네트워크를 사용한다.

CARF의 보고 범위는 익명성 자산·스테이블코인·파생상품까지 포함할 수 있고, 자체보관 지갑의 취급 방식은 관할마다 다르다. 고객의 거주지를 판정하고 TIN(납세자번호)을 수집해야 한다. 파이프라인은 트랜잭션 집계 → 매핑(주소-계정) → 거주지·신원 검증 → 보고서 생성 → 보안 채널 제출 → 증적(감사 추적) 보관 순서로 흐른다.

데이터 거버넌스와 프라이버시 보호도 빼놓을 수 없다. 데이터 최소화·목적 제한·암호화(저장·전송), HSM/KMS 기반 키 관리, 접근통제·감사 로그·보존기간(예: 5~7년) 정책이 필요하다. 개인정보 보호와 규제 보고 사이의 균형을 맞추고, 열람·삭제 같은 권리행사에 대한 예외 처리와 그 법적 정당성을 문서화해야 한다.

업종별로 어떻게 다른가

중앙화 거래소(CEX)는 온보딩 단계에서 문서 인증, 생체 생존감(Liveness), 제재 스크리닝을 통합하고 리스크 스코어에 따라 한도를 차등화하며 고위험 국가·주소는 차단한다. 트래블룰에서는 송수신 양측 VASP를 탐색하고 IVMS101로 매핑한 뒤 메시지 재시도·서명 검증·타임아웃을 처리해야 한다.

커스터디·월렛 사업자는 체인 분석사의 리스크 태그와 연계해 주소별 위험을 평가하고 컨센서스 기준을 정한 뒤 화이트리스트·블랙리스트를 운영한다. CARF 대응에서는 고객 계정과 온체인 주소를 레졸빙하고, 거래 유형(매도·스왑·수수료)을 분류해 보고 스키마로 변환한 뒤 암호화해 송신한다.

DeFi 프로토콜은 합법 지역에만 UI를 노출하는 게이트드 액세스를 적용하고, 선택적 KYC 토큰(GID·소울바운드)을 연계할 수 있다. 온·오프램프와 연동할 때는 트래블룰 브리지를 구성해야 한다. 프라이버시를 지키면서 규제에도 대응하려면 영지식증명(ZKP) 기반 지갑 적격성 증명을 검토할 만하다.

NFT·게임 영역은 상거래성 거래에 대한 모니터링 룰셋을 적용하고, 로열티 세탁이나 워시트레이딩 탐지·리포팅과의 연관성을 검토해야 한다.

규제 준수 절차 다이어그램

⤢✕

자체 구축, SaaS, 하이브리드

옵션	성능	확장성	일관성	안정성	운영 편의
자체 구축(In-house)	데이터 로컬 처리로 지연 최소화 유리	마이크로서비스 수평 확장 필요, 팀 역량 의존	스키마/룰 관리 표준화 필요	DR/BCP 직접 구현 부담	커스터마이즈 용이, 운영 복잡도 높음
SaaS RegTech	벤더 최적화 엔진으로 평균 우수	멀티테넌트 확장 용이	규칙/모델 버전 관리 체계 제공	SLA/고가용성 제공	신속 도입, 벤더 락인 리스크
하이브리드/온체인 모듈	온프레+API 조합으로 균형	워크로드 분산으로 유연	온체인 증적+오프체인 PII 분리	구성 복잡도 증가	규제 대응 유연, 통합 비용 존재

성능은 실시간 승인율과 평균 응답시간, 확장성은 일/월간 온보딩·트랜잭션 처리량, 일관성은 룰·모델 버전 일치율, 안정성은 가용성·장애 복구 시간, 운영 편의는 운영 업무량·변경 주기로 각각 해석한다.

기대 효과와 남는 위험

문서 자동화와 Liveness를 적용하면 온보딩 승인율이 515% 개선되고 평균 승인 시간이 3060% 단축된다는 업계 사례 기반 추정이 있다. 규칙 튜닝과 ML을 병행하면 AML 알림 정탐율이 1025%p 개선되고 오탐은 2040% 감소하며, STR 제출 리드타임은 30~50% 단축된다. CARF 자동 보고는 수작업 시간을 60% 이상 절감하고 보고 오류율을 한 자릿수 이하로 낮춘다.

정성적으로는 규제 리스크가 줄고 라이선스 취득·유지가 수월해지며, 파트너 은행·결제망 온보딩 성공률이 오른다. 고객 신뢰가 높아지고 시장 진입 장벽을 넘기 쉬워지며 내부통제 성숙도와 감사 대비도 개선된다.

다만 관할별로 임계값·필드 요구가 달라 법무·컴플라이언스와의 협업은 필수이고, 데이터 보호법·국경 간 이전 제한 대응도 함께 필요하다. FATF/CRS/CARF·DAC8 등은 개정 주기가 있어 상시 관찰이 필요하다(최신 정보 확인 필요).

도입 순서

요구사항을 정립하는 단계에서는 관할·사업모델을 매핑하고 라이선스 요건·임계값·보고 기한을 정의한 뒤, 데이터를 PII/온체인/메타데이터로 분류하고 보존·파기 정책을 세운다. 기술 아키텍처 설계 단계에서는 KYC 벤더·제재 리스트·체인 분석사를 선정하고 Travel Rule 네트워크와 IVMS101 스키마를 결정하며, 암호화·HSM/KMS·접근통제·키 순환 정책으로 데이터 보안을 갖춘다.

룰·모델 설계 및 운영 단계에서는 RBA 매트릭스, 룰셋·시나리오, ML 피처와 오탐 저감 전략을 세우고 A/B 테스트와 주간 튜닝 리듬을 운영하며, 티켓·SLA·증적·워크플로우가 자동화된 케이스 관리 시스템을 구축한다. 보고·감사 체계 단계에서는 CARF·현지 양식 생성기, 암호화 전송, 오류 리트라이, 전송 영수증 보관을 마련하고 내부감사·독립검토·모의 침투·DR/BCP 테스트를 주기화한다. 마지막 거버넌스·교육 단계에서는 정책·표준·절차(SOP)를 문서화하고 역할·권한·분리의 원칙을 적용하며 전사 교육과 벤더 리스크 관리, 서드파티 감사를 병행한다.

블록체인 규제 준수의 본질은 위험 기반 접근, 데이터 거버넌스, 자동화된 보고 체계를 유기적으로 결합하는 데 있다. KYC/AML, FATF 가이드라인, CARF를 공통 언어로 삼아 프로세스·시스템·증적을 표준화하고, 단계적 도입과 하이브리드 아키텍처로 성능·확장성·프라이버시의 균형을 맞추는 접근이 권고된다(최신 정보 확인 필요).