스테이블코인 환전 서비스, 첫 법원 판단이 KYC·AML 시장에 던진 시사점

스테이블코인 환전과 VASP 신고, 첫 법원 판단이 의미하는 것과 KYC·AML 대응 전략

서울행정법원이 스테이블코인을 포함한 가상자산 환전 서비스의 VASP 신고 의무와 관련한 첫 판단을 내렸습니다. 이번 판결이 가상자산 환전·결제·송금 사업자에게 어떤 의미인지, 특금법상 KYC·AML 대응을 중심으로 살펴봅니다.

첫 법원 판단이 가상자산 사업자에게 던진 의미

스테이블코인은 빠른 해외송금과 결제, 비교적 낮은 거래 비용, 국경을 넘는 자금 이동의 편의성을 바탕으로 새로운 금융 인프라로 주목받고 있습니다. 기존 금융망을 거치지 않고도 국가 간 가치를 이전할 수 있다는 점에서 해외송금, 관광객 환전, 글로벌 결제, 디지털 자산 거래 등 다양한 영역에서 새로운 서비스 모델이 등장하고 있습니다.

하지만 스테이블코인을 활용한 서비스가 확대될수록 기업이 반드시 함께 검토해야 하는 영역이 있습니다. 바로 가상자산사업자 신고 여부와 고객확인, 자금세탁방지 등 규제 대응 체계입니다.

최근 서울행정법원은 외국인을 대상으로 가상자산을 원화로 환전하는 서비스와 관련해 금융정보분석원(FIU)의 조치가 적법하다는 취지의 1심 판단을 내렸습니다. 가상자산 환전 서비스가 특금법상 가상자산사업자(VASP)에 해당하는지를 법원이 판단한 첫 사례로 알려지면서 업계의 관심도 높아지고 있습니다.

이번 판결은 특정 사업자의 사업 모델을 둘러싼 행정소송에서 나온 1심 결과입니다. 보도에 따르면 해당 사업자는 항소 의사를 밝힌 상태이므로, 이번 판단을 모든 스테이블코인 사업에 동일하게 적용되는 확정적인 기준으로 받아들이기는 어렵습니다.

그럼에도 이번 판결은 중요한 시사점을 남깁니다. 스테이블코인을 활용한 환전·송금·결제 서비스를 준비하는 기업이라면 기술 구현과 사용자 편의성뿐만 아니라, 서비스의 실질적인 구조와 사업자의 역할을 기준으로 VASP 해당 가능성을 검토해야 한다는 점입니다.

나아가 VASP 신고 대상에 해당할 경우 어떤 고객확인과 자금세탁방지 체계를 준비해야 하는지도 사업 초기부터 함께 고민해야 합니다.

관련 기사 : https://www.edaily.co.kr/News/Read?newsId=04624806645517800&mediaCodeNo=257

이번 판결에서 법원이 판단한 핵심은 무엇일까?

이번 사건에서는 외국인 이용자가 보유한 비트코인, 이더리움, 테더 등의 가상자산을 전송하면 원화를 지급하는 환전 서비스가 특금법상 가상자산사업자 영업에 해당하는지가 주요 쟁점이 됐습니다.

사건에서 다뤄진 서비스는 외국인이 여권을 통해 신원확인 절차를 거친 뒤 가상자산을 전송하면 원화를 지급받는 구조였습니다. 사업자는 환전 과정에서 기술적 중개와 정산 기능을 제공하고 수수료를 받았으며, 이용자가 전송한 가상자산의 보관에는 별도의 사업자가 관여한 것으로 알려졌습니다.

이 사건에서는 가상자산을 직접 보관했는지, 사업자가 기술적 중개자에 가까운지, 기존에 받은 규제샌드박스 승인의 범위가 어디까지인지 등이 함께 다뤄졌습니다.

1심 법원은 서비스의 명칭이나 개별 기술 구조만으로 판단하기보다, 가상자산 환전 과정에서 사업자가 수행한 실질적인 역할과 수익 구조 등을 종합적으로 살펴야 한다는 취지로 FIU의 조치가 적법하다고 판단했습니다.

이번 판단을 통해 확인할 수 있는 것은 사업자가 자신을 기술 플랫폼이나 중개 서비스로 정의하는 것만으로 규제 적용 여부가 결정되지는 않는다는 점입니다. 서비스가 실제로 어떤 방식으로 운영되는지, 가상자산과 법정화폐의 교환 과정에서 사업자가 어느 정도 관여하는지, 그 과정에서 어떤 수익을 얻는지 등이 함께 검토될 수 있습니다.

또 하나 주목할 부분은 규제샌드박스 승인과 금융 규제 의무의 관계입니다.

규제샌드박스는 새로운 기술이나 서비스의 실증을 지원하기 위한 제도이지만, 승인받은 범위를 넘어 다른 법령에서 요구하는 모든 의무까지 자동으로 면제하는 것은 아닙니다. 따라서 규제샌드박스를 통해 서비스를 실증하고 있더라도, 사업 구조에 따라 특금법상 VASP 신고나 AML 의무가 별도로 적용될 수 있는지 확인해야 합니다.

다만 이번 판결은 현재 1심 판단입니다. 개별 서비스의 VASP 해당 여부는 거래 구조와 자금 흐름, 사업자가 수행하는 역할, 적용 법령과 향후 판결을 종합해 판단해야 합니다.

중요한 것은 특정 사업자의 옳고 그름이 아니라, 이번 사건을 통해 새로운 스테이블코인 사업도 기존 금융 규제와 분리해 설계하기 어렵다는 점이 다시 확인됐다는 것입니다.

기업이 주목해야 하는 것은 ‘VASP 신고’가 아니라 그 이후의 운영 의무!

이번 소식을 접하면 가장 먼저 “스테이블코인 환전 서비스를 제공하려면 VASP 신고가 필요한가?”라는 질문을 떠올릴 수 있습니다.

물론 사업자가 VASP에 해당하는지를 판단하는 것은 중요합니다. 그러나 실제 서비스를 운영하는 기업의 관점에서는 신고 여부만큼이나 신고 이후 어떤 운영 의무가 발생하는지가 중요합니다.

VASP 신고는 사업자 정보를 제출하는 단순한 행정 절차로 끝나지 않습니다. 가상자산사업자는 고객의 신원을 정확하게 확인하고, 거래 과정에서 발생할 수 있는 자금세탁과 테러자금조달 위험을 관리할 수 있는 체계를 갖춰야 합니다.

고객이 제출한 신분증과 개인정보가 실제 정보와 일치하는지 확인해야 하며, 신분증을 제출한 사람과 실제 인증을 시도한 사람이 동일인인지도 검증해야 합니다. 국제 제재 대상이나 정치적 주요 인물에 해당하는지도 확인하고, 위험도가 높은 고객에게는 일반 고객보다 강화된 확인 절차를 적용할 필요가 있습니다.

또한 고객확인은 가입 시점에 한 번 수행하고 종료되는 절차가 아닙니다.

고객의 거래 유형이나 위험도가 달라질 수 있고, 가입 당시에는 제재 대상이 아니었던 고객이 이후 제재 리스트에 새롭게 포함될 수도 있습니다. 따라서 고객 정보를 지속적으로 점검하고 위험 변화를 추적할 수 있는 모니터링 체계가 필요합니다.

결국 이번 판결이 가상자산 업계에 던지는 질문은 “VASP 신고가 필요한가?”에 그치지 않습니다.

더 중요한 질문은 다음과 같습니다.

VASP 신고 이후 요구되는 고객확인과 자금세탁방지 의무를 실제 서비스 안에서 지속적으로 운영할 수 있는가?

스테이블코인 환전·송금·결제 시장에 진입하려는 기업은 KYC와 AML을 서비스 출시 이후에 추가하는 부가 기능으로 보기 어렵습니다. 사업 초기부터 서비스 운영을 뒷받침하는 핵심 인프라로 설계해야 합니다.

서비스를 먼저 출시한 뒤 규제 변화에 맞춰 인증 단계를 하나씩 추가하면 사용자 경험이 복잡해질 수 있습니다. 신분증 OCR, 얼굴 인증, 라이브니스, AML 스크리닝 등을 서로 다른 솔루션으로 도입하면서 개발과 운영 부담도 빠르게 증가할 수 있습니다.

따라서 가입 단계뿐 아니라 거래, 출금, 고액 거래, 계정 복구, 개인정보 변경 등 고객 여정 전체에서 언제 어떤 수준의 인증과 위험 확인이 필요한지를 사전에 설계하는 것이 중요합니다.

단순한 신분증 확인만으로는 충분하지 않다

많은 기업이 KYC를 고객이 신분증을 촬영하면 이름과 생년월일을 확인하는 절차로 이해합니다.

신분증 정보 추출은 고객확인의 출발점이지만, 금융 서비스가 요구하는 KYC는 그보다 훨씬 넓은 범위를 포함합니다.

먼저 제출된 신분증이 실제 정부가 발급한 문서인지 확인해야 합니다. 단순히 신분증 이미지에서 글자를 읽어내는 것을 넘어, 위조·변조 흔적이나 유효기간, 문서 형식, 정보 간 불일치 여부 등을 함께 살펴야 합니다.

신분증이 유효한 것으로 확인되더라도 해당 신분증을 제출한 사람이 실제 소유자인지 확인하는 단계가 필요합니다. 신분증 사진과 인증 과정에서 촬영한 얼굴을 비교하고, 사진이나 영상 재생, 화면 촬영, 딥페이크 등을 활용한 비대면 인증 우회 시도를 탐지해야 합니다.

고객의 신원이 확인된 이후에는 자금세탁방지 관점의 검토가 이어져야 합니다.

해당 고객이 국제 제재 대상인지, 정치적 주요 인물인 PEP에 해당하는지, 고위험 국가 또는 자금세탁 위험과 연관돼 있는지 확인해야 합니다. 고객의 위험도가 높다고 판단될 경우 자금의 출처, 거래 목적, 직업이나 사업 정보 등을 추가로 확인하는 강화된 고객확인 절차도 필요할 수 있습니다.

가입 당시 문제가 없었던 고객이라도 시간이 지나면서 위험 상태가 달라질 수 있습니다. 신규 제재 대상에 포함되거나 거래 패턴이 변화할 수 있기 때문에, 온보딩 시점의 일회성 확인을 넘어 지속적인 재확인과 모니터링이 필요합니다.

특히 외국인을 대상으로 서비스를 제공하는 기업은 고객확인 과정에서 더 많은 변수를 고려해야 합니다.

국가마다 신분증의 형태와 발급 기준, 표기 언어가 다르며, 하나의 국가에서도 여권, 체류증, 주민 신분증 등 여러 문서가 사용될 수 있습니다. 이름 순서나 영문 표기 방식이 다르고, 문서마다 주소와 생년월일을 표시하는 형식도 다릅니다.

따라서 글로벌 가상자산 서비스에서 KYC는 단순한 본인인증 기능이 아닙니다.

다양한 국가와 신분증, 고객 유형을 안정적으로 수용하면서 위험한 이용자는 걸러내고 정상 고객은 빠르게 통과시키기 위한 핵심 운영 인프라에 가깝습니다.

VASP 사업자가 점검해야 할 KYC·AML 체계

VASP 신고를 준비하거나 스테이블코인 기반 사업을 검토하는 기업이라면 현재의 고객확인 체계가 규제 요건과 실제 운영 환경을 모두 충족할 수 있는지 점검해야 합니다.

중요한 것은 특정 기능의 보유 여부만 확인하는 것이 아닙니다. 고객 온보딩부터 위험 평가, 예외 검토, 지속 모니터링과 감사 대응까지 전체 과정이 하나의 흐름으로 연결되어 있는지를 살펴봐야 합니다.

이러한 항목들은 각각 독립된 기능처럼 보이지만, 실제 서비스에서는 하나의 정책 흐름으로 작동해야 합니다.

예를 들어 신분증 인증이 완료됐더라도 얼굴 비교에서 불일치가 발생하거나 AML 스크리닝에서 위험 신호가 확인되면 자동 승인되지 않아야 합니다. 반대로 위험도가 낮고 제출 정보가 명확한 고객은 불필요한 수동 검토 없이 신속하게 다음 단계로 이동할 수 있어야 합니다.

또한 고객이나 거래의 위험 수준에 따라 인증 절차를 다르게 적용할 수 있어야 합니다. 모든 고객에게 동일한 강도의 인증을 요구하면 정상 고객의 이탈이 늘어날 수 있고, 모든 고객을 간단한 절차로만 처리하면 고위험 거래를 충분히 통제하기 어렵습니다.

따라서 중요한 것은 기능을 많이 도입하는 것이 아닙니다.

기업의 정책에 따라 각 인증 결과를 일관되게 판단하고, 명확한 건은 자동 처리하며 예외적인 건만 운영자가 검토할 수 있는 구조를 만드는 것이 중요합니다.

스테이블코인 시대, 기업이 준비해야 하는 것은 ‘신고 이후의 운영’이다

이번 판결은 스테이블코인과 가상자산을 활용한 새로운 사업 모델도 기존 금융 규제와 고객보호 원칙을 함께 고려해야 한다는 점을 보여줍니다.

다만 기업이 이번 사례를 통해 얻어야 할 결론은 단순히 “VASP 신고를 해야 한다”는 것이 아닙니다.

VASP 해당 여부는 각 사업의 거래 구조와 역할에 따라 법률적으로 검토해야 합니다. 그리고 신고 대상에 해당한다면, 기업은 고객확인과 자금세탁방지 의무를 실제 서비스 안에서 어떻게 지속적으로 운영할 것인지 준비해야 합니다.

앞으로 기업이 점검해야 할 질문도 달라져야 합니다.

“우리 서비스가 VASP 신고 대상인가?”

라는 질문에서 더 나아가,

“우리는 규제가 요구하는 수준으로 고객을 확인하고, 위험을 지속적으로 관리할 수 있는가?”

를 함께 물어야 합니다. VASP 신고는 사업을 시작하기 위한 요건일 수 있지만, 실제 서비스의 경쟁력은 신고 이후의 운영에서 만들어집니다. 인증 과정이 지나치게 복잡하면 정상 고객이 이탈하고, 수동 검토가 늘어나면 거래량이 증가할수록 운영 비용도 함께 높아집니다.

따라서 스테이블코인과 가상자산 사업을 준비하는 기업은 규제 요건을 충족하는 것과 동시에, 정상 고객이 빠르게 인증을 완료할 수 있는 경험과 운영팀이 위험을 효율적으로 관리할 수 있는 체계를 함께 설계해야 합니다.

그렇다면 실제 KYC·AML 체계를 구축하는 과정에서는 어떤 문제가 발생할까요?

2편에서는 신분증 OCR, 얼굴 인증, 라이브니스, AML 스크리닝을 개별적으로 연결했을 때 발생하는 운영 복잡성을 살펴보고, ARGOS가 이를 하나의 인증 흐름으로 어떻게 해결할 수 있는지 소개해드리겠습니다!