탈중앙화금융 관련 자금세탁 예방을 위한 향후 과제 > News Insight

가상자산 시장의 빠른 성장과 함께 가상자산을 매개로 이루어지는 탈중앙화금융 플랫폼 또한 빠르게 사용자층을 넓혀가고 있다. 탈중앙화금융 혹은 디파이(Decentralized Finance, Defi)는 블록 체인상에서 가상자산을 매개로 스마트계약을 이용해 구현된 금융서비스이며 중간매개자가 없다는 점에서 바이낸스, 업비트 등 중앙화된 가상자산 거래소와도 차별화된다. 원활한 금융거래를 위해서 는 거래상대방에 대한 신뢰구축이 필요한데, 기존 금융시스템 하에서는 금융기관이라는 중간자를 두어 신뢰의 문제를 해결한다. 

중앙화된 가상자산 거래소의 경우에도 운영주체인 가상자산사업자가 존재한다는 측면에서 기존 금융과 신뢰의 문제를 해결하는 방식이 유사하다. 반면 탈중앙화금융에 서는 미리 프로그래밍 된 컴퓨터코드(스마트계약)를 통해 일정 조건 충족 시 자동적 그리고 강제적 으로 거래를 성립시키게 된다. 그리고 블록체인의 상호합의 알고리듬이 이러한 거래기록의 위‧변조 가능성을 차단하여 중간자인 금융기관 없이도 금융 수요자와 공급자 간 거래를 가능케 한다.

탈중앙화금융은 오프라인 지점 및 인력을 유지할 필요가 없어 낮은 거래비용으로 오픈소스 방식 을 활용하여 다양한 금융상품의 자유로운 조합이 가능하다는 장점이 있으나 모호한 법적 관할권 및 명시적 운영 주체의 부재, 스마트계약 오류 가능성 등 다양한 법적, 기술적 위험요인을 안고 있다. 우선 블록체인 상에 디파이 서비스가 업로드되면 전 세계의 참여자들이 이용할 수 있게 되므로 분쟁 발생 시 관할권이 어느 나라 법원에 있는지 소송당사자가 누구인지 모호하다. 또한 인터넷 접근이 가능한 누구나 별도의 신원인증이나 허가절차 없이 서비스에 참여할 수 있으므로 익명성이 보장되는 반면, 자금세탁방지(Anti-Money Laundering, AML) 및 테러자금조달금지(Countering the Financing of Terrorism, CFT)를 위한 장치가 미비하다. 

또한 탈중앙화금융은 금융거래에 있어 중간매개자 역할을 하였던 금융기관을 일련의 프로그래밍 코드로 구현된 분산자율조직(Decentralized Autonomous Organizations, DAO)1)으로 대체하려는 시도이므로 시세조종 행위, 해킹 등의 불공 정거래 행위나 기타 불법 자금거래로 의심되는 거래가 발생할 시 이에 대한 대응책임이 있는 주체를 식별하기 어렵고 따라서 신속한 대응에 어려움을 겪을 가능성이 높다. 스마트계약 자체에 코딩 에러 가 있을 때에도 이를 서비스 개시 이전에 발견하지 못할 경우 금융사고로 이어질 수도 있다.

다양한 탈중앙화금융 관련 위험요인 가운데 가장 시급하게 해결하여야 할 과제 중 하나는 자금세 탁 및 테러자금조달 등 불법적 자금거래 시도를 예방, 식별 및 추적하는 일이다. 본고에서는 국제자금세탁방지기구(Financial Action Task Force, FATF)가 작년 10월 발표한 가상자산 관련 가이드라인 개정안을 중심으로 탈중앙화금융을 통한 불법 자금거래를 예방하기 위한 규제 방향을 정리하고 이와 부합하는 자금세탁 방지체계 구축 방안에 대해 논하고자 한다.

가상자산을  통한  자금세탁  현황

블록체인 분석업체 체이널리시스(Chainalysis)에 따르면 2021년 중 가상자산을 통한 자금세탁 규모는 약 86억 달러로 추정되어, 2020년 중 66억 달러에 비해 약 30% 증가하였다.2) 

가장자산 시장의 확대에 따라 가상자산을 통한 자금세탁 규모 또한 점차 증가하고 있으나 전체 가상자산 거래규모 대비 자금세탁 규모는 아직 1% 미만에 머물고 있다. 법정화폐를 매개로 한 전통적 자금세탁 규모가 약 8천억~2조 달러로 추산되어 글로벌 GDP의 2~5%를 차지한다는 점3)에 미뤄볼 때 가상자산 시장에서의 자금세탁 의심 거래는 아직 초기 단계이지만 적절한 방지대책이 수립되지 않을 경우 향후 그 규모가 더욱 빠르게 증가할 가능성이 있다. 

또한 체이널리시스에서 집계한 자금세탁 의심 거래 통계는 다크넷4) 상의 자금거래, 랜섬웨어 공격을 통한 가상자산 탈취 등 온라인 네트워크 상에 서 이루어진 수익자금의 은닉을 위한 사례 위주이며, 오프라인 상의 불법 자금을 가상자산 거래소로 이전한 경우 등은 파악이 어려운 경우가 많아 실제 자금세탁 거래 규모가 과소계상될 가능성이 있다 는 점에 유의할 필요가 있다.

한편, 자금세탁 의심 자금의 탈중앙화금융 플랫폼 유입액이 최근 들어 매우 빠르게 증가하고 있다 는 점은 주목할 만하다. 체이널리시스에 따르면 불법거래에 연루된 것으로 추정되는 지갑 주소로부터 탈중앙화금융 플랫폼으로 유입된 자금 규모는 2021년 약 9억 달러로 전년 대비 약 20배 증가하였다. 여전히 불법거래 연루 지갑으로부터 나온 자금 흐름의 절반 가량이 중앙화된 가상자산 거래소로 향하고 있으나, 탈중앙화금융 플랫폼으로 유입되는 자금의 성장 속도를 감안할 때 자금세탁 거래 에서 탈중앙화금융 플랫폼이 차지하는 비중도 빠르게 증가할 것으로 예상된다.

가상자산 자금세탁 거래에 사용되는 기법과 중앙화된 가상자산사업자에 대한 자금세탁방지의무 확대 또한 향후 가상자산 시장에서의 자금세탁이 탈중앙화금융 플랫폼을 중심으로 이루어질 수 있다는 우려를 높인다. 자금세탁을 시도하는 측은 은닉자금을 소규모로 분할하고 다수의 자금세탁용 지갑 주소를 거쳐 자금을 전송하거나, 코인 교환, 블록체인 변경,5) 믹서 또는 텀블러6)의 사용 등을 통해 최초 자금 송신 지갑 주소와 최종 수취 주소 간의 연결고리를 끊고자 시도한다.

 그러나 신원인증이 필요한 중앙화된 가상자산사업자의 계정은 자금세탁을 시도하는 자의 신원에 대한 단서를 제공할 가능성이 높을 뿐 아니라 충분한 수의 계정을 확보하는 것 자체가 번거롭고, 단시간에 반복적 자금거래가 일어날 경우 가상자산사업자의 의심을 살 우려가 있어 자금세탁의 난이도가 높다. 특히 FAT F 가 2019년 6월 가상자산 자금세탁 방지관련 국제기준을 채택하고 회원국에 준수 의무를 부과 한 이후 FAT F 회원국을 중심으로 중앙화된 가상자산사업자(Virtual Asset Service Provider, VASP)에 대한 고객신원확인제도와 자금세탁 및 테러자금조달금지 의무 부여가 점차 보편화7)될 것 으로 예상되므로 탈중앙화금융으로의 풍선효과가 우려된다.

탈중앙화금융 관련  FATF 개정 지침서의 주요 내용

FATF는 2021년 10월 발표한 개정 지침서8)에서 탈중앙화금융 기술(소프트웨어) 자체는 가상자산사업자로 간주하지 않으나 탈중앙화금융 플랫폼에 충분한 통제권이나 영향력을 행사할 수 있는 플랫폼의 개발자, 소유자 또는 운영자는 가상자산사업자로 간주할 수 있음을 밝혔다. 따라서 특정 개인 또는 법인이 탈중앙화금융에 관련된 가상자산 사업자로 식별된 경우 해당 개인 또는 법인은 여타 가상자산 사업자와 마찬가지로 자금세탁 및 테러자금조달 방지를 위해 필요한 조치를 취할 의무를 부여 받게 된다.

탈중앙화금융의 가장 핵심적 특성이 중간자인 금융기관의 부재라는 점을 고려할 때 탈중앙화금융 플랫폼에 상당한 영향을 미칠 수 있는 주체가 여전히 존재할 수 있다는 것이 일견 이해하기 어려울 수 있다. 그러나 다수의 탈중앙화금융 플랫폼의 지배구조를 자세히 뜯어보면 명목상으로는 탈중앙화금융을 표방하고 있으나 실제로는 중앙화된 의사결정 구조가 남아있는 것을 볼 수 있다. 

따라서 탈중앙화금융 플랫폼이 스스로 표방하는 마케팅 수사(修辭)보다는 해당 플랫폼의 실질적 지배구조 상에 중앙화된 의사결정 구조가 남아있지 않은지 여부를 검증할 필요가 있다. 만약 플랫폼의 운영사항에 대해 충분한 영향력을 지닌 개인 또는 법인이 존재하는 경우 해당 플랫폼은 실질적으로 탈중앙화를 온전히 달성하지 못한 것으로 볼 수 있으며, 따라서 해당 개인 또는 법인을 가상자산사업자로 간주할 수 있다.

보다 구체적으로 보면 탈중앙화금융 플랫폼의 운영에 따른 수익을 수취하거나, 스마트계약 또는 모수(母數)를 임의로 변경할 수 있거나, 플랫폼의 운영정책을 변경할 수 있는 투표권인 거버넌스 토큰을 대량으로 보유한 경우 가상자산사업자로 간주될 소지가 있다. 다수의 탈중앙화금융 플랫폼에는 스마트계약 변경, 서비스 개선 등을 위해 관리자 키가 존재하는 것으로 알려져 있으며, 특히 서 비스 개시 초반에는 오류 수정 등을 위하여 관리자 키를 유지하는 경우가 많다. 이 경우 사실상 플랫폼 운영방식을 임의로 변경할 수 있어 관리자 키를 보유한 개인 또는 법인을 가상자산사업자로 간주하는 것이 타당할 것이다. 또한 스마트계약 수정안을 발의하고 이를 스스로 가결시킬 수 있을 정도로 거버넌스 토큰을 보유한 경우도 탈중앙화금융 플랫폼의 운영에 충분한 권한을 행사하고 있다 고 볼 수 있다.9)

탈중앙화금융 플랫폼별 실질적 지배구조에 초점을 둔 규제 설계가 비단 자금세탁 및 테러자금조달 금지에만 국한된 것은 아니다. 일례로, 미국 증권거래위원회의 경우 2021년 8월 미등록증권 발행 및 사기성 상품 판매 혐의로 탈중앙화금융 플랫폼인 ‘Defi Money Market’을 운영해온 Blockchain Credit Partners에 대해 약 1,300만 달러 규모의 추징금을 부과하고 영업정지 명령을 내렸으며 창업자 2인에 대해서도 각각 12.5만 달러의 벌금을 부과하였다.10)

 Blockchain Credit Partners의 창립자들은 프로그래머를 고용하여 ‘Defi Money Market’을 개발토록 하였으며, 해당 플랫폼을 SNS 등을 통해 홍보하고, ‘Defi Money Market’의 거버넌스 토큰인 DMG 토큰을 발행하여 초기 발행분 전액을 Blockchain Credit Partners에 배정한 후 토큰 판매대금을 사적으로 사용하는 등 사 실상의 운영주체로서 활동하였다. 즉 탈중앙화금융 플랫폼을 자처한 ‘Defi Money Market’의 마케팅 수사와 실제 플랫폼의 지배구조 간에 상당한 괴리가 있었던 셈이다. 이에 따라 미국 증권거래위원회가 Blockchain Credit Partners와 그 창업자를 특정하여 제재조치를 가할 수 있었다. 이러한 사례를 볼 때 완전한 탈중앙화를 달성하지 못한 플랫폼의 경우 실질적 운영주체 역할을 하는 가상자 산사업자를 식별하고 이들에게 자금세탁 방지의무를 부여하는 것이 가능할 것이다.11)

탈중앙화의 진전과 향후 규제 방향

탈중앙화금융 플랫폼의 운영진 또한 해당 플랫폼의 거버넌스가 실질적인 탈중앙화를 달성하지 못 하는 경우 언제든 자신들에게도 가상자산사업자의 지위가 부과될 수 있다는 점을 인식하고 있으므로, 이를 회피하기 위해 중장기적으로는 지배구조의 완전한 탈중앙화를 추진할 가능성이 크다. 

이를 위해 개발자 키를 폐기하고 플랫폼의 모수 또는 스마트계약을 변경할 수 있는 권한을 분산자율조직 에 이양한 후 분산자율조직의 투표권인 거버넌스 토큰의 집중도를 완화하여 개인 또는 소수집단의 투표권만으로 플랫폼의 정책이 변경되는 일이 불가능하도록 할 가능성이 크다. 

예를 들어, 가상자산예치 및 대출 플랫폼인 Aave의 경우 서비스 초기 관리자 키를 유지하고 있었으나 2020년 10월 관리자 키를 분산자율조직에 이양한 바 있다. 만약 플랫폼의 운영진이 관리자 키 이양을 거부하는 경 우 오픈소스인 탈중앙화금융의 특성상 다른 개발진이 손쉽게 소스코드를 복사하여 더욱 탈중앙화된 형태의 새로운 서비스를 런칭할 수도 있다.

플랫폼에 상당한 영향력을 행사한다고 볼 수 있는 특정한 개인 또는 법인을 식별하기 어려운 경우 해당 플랫폼에 고객신원확인 및 자금세탁 방지 기능을 요구하는 것 자체가 어려운 과제가 된다. 이 때는 기존의 중앙화된 거래소 및 운영주체의 식별이 가능한 탈중앙화금융 플랫폼이 FAT F 의 위험기반접근법에 의거하여 자금세탁방지 및 테러자금조달금지를 위한 조치들을 적절히 취하고 있는지를 면밀히 모니터링 함으로써 동 기관으로부터 자금세탁 방지장치가 미비한 플랫폼으로의 무분별한 자 금 유출을 예방할 필요가 있다. 

위험기반접근법이란 ‘국가와 소관당국 및 금융기관이 그들이 노출되어 있는 자금세탁 및 테러자금조달의 위험을 확인‧ 평가 및 이해하고 이를 효과적으로 경감시키기 위하여 그에 상응하는 AML-CFT를 위한 조치를 취하는 것’12)으로 정의된다. 이에 따라 금융기관 및 가상자산사업자 등은 고위험 거래로 판단되는 경우 해당 위험을 경감시키기 위한 조치를 스스로 취할 필요가 있다. 

이러한 원칙이 적절히 집행된다면 가상자산사업자가 스스로 상대방 가상자산사업자 또는 탈중앙화금융 플랫폼의 위험도를 평가하고 위험도가 큰 경우 송금을 억제하는 조치를 취 하게 된다. 따라서 자금세탁 위험도가 높은 탈중앙화금융 플랫폼으로의 유동성 유입이 줄어들게 되며 이는 탈중앙화금융 플랫폼들이 자율적으로 고객신원확인 및 자금세탁 방지장치를 도입하도록 하는 인센티브를 제공하게 될 것이다.

우리나라는 지난 3월 25일 가상자산 트래블룰 시행에 따라 가상자산 전송 시 송금인 정보 공유가 의무화되고 식별이 되지 않은 개인지갑으로의 가상자산 송금이 제한되는 등 자금세탁방지를 위한 제도를 마련한 바 있다. 다만 우리나라의 트래블룰 도입은 세계적인 가상자산 자금세탁 방지장치 도입 흐름과 비교해 보아도 선제적인 조치로 볼 수 있으며, 아직 해외 가상자산사업자의 경우 AML- CFT 조치가 미흡한 경우가 많아 국내 가상자산사업자와 송금거래가 가능한 해외 가상자산사업자의 수가 제한적이다. 

따라서 향후 거래 가능한 해외 가상자산사업자의 범위가 확대되어 나가는 과정에 서 해외 가상자산사업자에 대한 자금세탁 관련 위험평가가 적절히 이루어지는지 여부를 지속적으로 모니터링할 필요가 있다.

또한 자금세탁 및 테러자금 조달을 식별하기 위한 블록체인 분석기법의 개발 및 활용에도 투자가 이루어질 필요가 있다. 가상자산의 자금 흐름은 블록체인에 기록되어 누구나 투명하게 열람할 수 있다는 장점이 있는 반면, 지갑 주소를 무한대로 생성할 수 있고 지갑 주소만으로는 지갑 소유자의 인적사항을 파악할 수 없다는 어려움이 있다. 따라서 거래패턴을 분석하여 복수의 지갑주소를 사용한 단일한 거래 주체를 파악하고, 웹사이트 또는 SNS 등 온라인 상의 부가적인 정보를 활용하여 주소 의 실제 소유자를 찾아내는 등의 블록체인 분석 기법이 자금흐름 분석에 활용된다. 따라서 가상자산 사업자들이 스스로 블록체인분석 기법을 활용하여 이상거래를 식별 ‧ 보고 할 수 있도록 장려하는 한 편 감독당국 차원에서도 관련 인력을 확충하는 등의 투자가 필요하다.

더불어, 탈중앙화금융 플랫폼 사용자 커뮤니티에 대한 홍보활동을 통해 이용자 신원확인 등 자금 세탁 방지장치를 자율적으로 도입하도록 설득하는 방안도 고려해 볼 수 있다. 특히 이용자 신원확인 도입 등의 조치가 반드시 중앙화된 관리자의 존재를 필요로 하지는 않는다는 점을 설득할 필요가 있다. 예를 들어, 탈중앙화금융 플랫폼은 개인지갑의 연결을 허용하기 전에 신원인증 서비스를 제공하는 제3자의 인증을 거쳐 신원이 확인된 지갑 주소만 연결을 허용하는 방식으로 신원인증 서비스를 도입하는 방안을 고려할 수 있다.

향후  과제

탈중앙화금융 생태계의 빠른 확장은 자금세탁방지 및 테러자금지원금지의 관점에서 새로운 도전 이 되고 있다. 향후 탈중앙화금융 플랫폼을 통한 자금거래의 투명성을 확보하기 위해서는 우선적으로 국내 가상자산사업자들이 위험기반접근법에 기반하여 자금세탁방지를 위한 조치를 준수하고 있는지에 대한 지속적인 모니터링이 필요하다. 특히 향후 거래 가능한 해외거래소 범위 확대 등에 따 라 자금세탁방지조치가 미비한 거래소로의 가상자산 전송이 허용될 가능성 등에 주의할 필요가 있다. 

또한 블록체인 분석기법 개발 등의 인프라 확충에 노력하는 한편 탈중앙화금융 플랫폼 사용자 커뮤니티에 대한 홍보활동 전개를 통해 플랫폼 스스로 사용자 신원확인 장치를 도입하도록 장려하는 방안을 고려할 필요가 있다. 마지막으로 주로 국내 소비자들을 대상으로 활발한 마케팅을 하는 탈중앙화금융 플랫폼의 거버넌스 구조를 분석하고 해당 플랫폼의 실질적 운영주체가 식별가능한지, 만약 식별가능하다면 국내에 소재한 법인 또는 개인인지 여부를 확인하려는 노력을 통해 실질적으 로 가상자산사업자의 역할을 하는 주체가 탈중앙화금융을 통해 규제 사각지대에 놓이는 일을 예방 할 필요가 있다.

-----------------------------

1) 분산자율조직은  중앙형 관리자 없이 미리 프로그래밍된 규칙에 따라 관리되는 조직이며 운영규칙 변경은   주로 지분보유자들의 투표권 행사를 통해 이루어짐.

2) Chainalysis, ‘The 2022 Crypto Crime Report’, February 2022.

3) UN 마약범죄사무소 사이트 참조(https://www.unodc.org/unodc/en/money-laundering/overview.html)

4) 다크넷은 의도적으로 IP를 은닉하는 비표준적 통신 프로토콜을 사용하는 소프트웨어(Tor 등)를 통하거나 별도의 네트워크 허가가 있어야 접근할 수 있는 가상화 네트워크를 지칭함.

5) 블록체인 변경(chain hopping)은 예를 들어 비트코인 블록체인에 있는 자산을 심플스왑 등의 코인교환 플랫폼을 이용하 여 이더리움 또는 모네로 등의 여타 블록체인으로 전송하는 작업을 말함. 이러한 연속적인 블록체인 변경 과정에서 특히 모네로, Z캐쉬 등 익명성이 강화된 블록체인을 거침으로써 자금흐름의 파악을 어렵게 만들 수 있음.

6) 믹서 또는 텀블러는 여러 사용자가 자금을 모아 함께 가상자산을 전송하는 과정에서 어떠한 특정 사용자가   어느 주소로 자금을 보내는지 여부를 불명확하게 만드는 서비스임.

7) 우리나라의 경우에도 2020년 3월 특정금융정보법 개정(2021년 3월 25일 시행)에 따라 가상자산사업자에게 자금세탁 방지 의무가 부과되었음. 가상자산 이전 시 관련 정보 제공 의무(트래블룰)는 법 시행 이후 1년의 유예기간을 거쳐 2022년 3월 25일부터 시행되었음. 

8) FATF, ‘Updated Guidance for a Risk-Based Approach for Virtual Assets and Virtual Asset Service Providers’,October 2021.

9) 다만, 애초의 플랫폼 설계상 투표를 통해 조정할 수 있는 모수 또는 스마트계약의 범위가 제한되어 있는 경우 논란의 여지가 있으며 개별 사안별 판단이 필요함.

10) SEC 행정절차 33-10961 참조

11) 다만 많은 탈중앙화금융 플랫폼 개발자 또는 운영자가 익명으로 활동하고 있으므로 이들에게 가상자산사업자의 지위를 부여하는 경우에도 신원확인을 위해서는 수사기관 등 유관기관과의 원활한 협조가 필요할 것으로  보임.

12) 김양곤(2015), 자금세탁방지법상의 위험기반접근법에 관한 소고, 은행법연구, 8(2), pp. 227-260.