컴플라이언스 KYC AML

암호화폐 거래소 KYC와 컴플라이언스: 2026년에 실제로 달라진 것

Codono Team | February 9, 2026 · Updated March 10, 2026 | 16 min read

회색 지대는 사라졌다
MiCA는 더 이상 다가오는 규제가 아니라 이미 집행 중이다
트래블 룰: 이론이 현실을 만난 지점
실제로 작동하는 KYC 등급 구조
AML 모니터링: 규제 당국이 실제로 보는 것
관할권별 비교: 2026년 현재 상황
컴플라이언스 기술 스택: 거래소 소프트웨어에 필요한 것
거래소를 폐쇄로 이끄는 흔한 컴플라이언스 실수
비용 계산: 컴플라이언스 대 비준수
앞으로의 전망

KYC는 네 가지 컴플라이언스 기둥 중 하나입니다. 컴플라이언스 요건 가이드에서 네 가지 전부와 이를 강제하는 통제 장치를 다룹니다.

회색 지대는 사라졌다

2년 전만 하더라도 거래소 운영자들은 특정 컴플라이언스 요건이 자신에게 적용되는지를 두고 논쟁할 수 있었습니다. 그 논쟁은 끝났습니다. 이제 모든 주요 관할권에는 암호화자산 서비스 제공자를 위한 명시적인 규칙이 있고, 이를 뒷받침할 집행 예산도 갖춰져 있습니다.

우리는 이 전환이 점진적으로 일어나다가 한순간에 완성되는 것을 지켜봤습니다. 2024년에는 MiCA가 아직 시동을 거는 단계였습니다. 2025년 중반에는 적응하지 못한 거래소들을 향한 집행 조치가 시작됐습니다. 그리고 2026년 초인 지금, EU, UAE, 싱가포르, 미국 대부분의 지역에서 완전히 규제된 환경이 됐습니다. 5년 전에 통했던 “여기는 등록하고, 저기는 무시하는” 식의 누더기 전략은 오늘날에는 거래소 폐쇄로 이어질 뿐입니다.

실제로 달라진 점은 이렇습니다. 규제 당국 간 협력이 훨씬 강화됐습니다. FATF 상호평가가 뒤처진 국가들을 압박해 움직이게 했습니다. EU의 MiCA 프레임워크가 다른 관할권에 템플릿을 제공했습니다. 그리고 결정적으로, 비준수 거래소를 탐지하는 도구가 발전했습니다. Chainalysis와 Elliptic 같은 블록체인 분석 기업은 이제 어떤 거래소가 의심스러운 거래를 중계하고 있는지 보여주는 실시간 대시보드를 규제 당국에 제공합니다. 더 이상 불투명성 뒤에 숨을 수 없습니다.

이것이 거래소 운영자에게 중요한 이유는, 사후적으로 컴플라이언스를 맞추는 비용이 처음부터 제대로 하는 비용보다 5~10배 높기 때문입니다. 동남아시아에서 우리와 함께 일한 한 거래소는 45,000달러면 예방할 수 있었던 컴플라이언스 문제를 해소하는 데 340,000달러를 썼습니다. 이건 예외적인 사례가 아니라 일반적인 현실입니다.

그럼 관할권별로, 규제별로 실제로 알아야 할 내용을 살펴 보겠습니다.

MiCA는 더 이상 다가오는 규제가 아니라 이미 집행 중이다

암호화자산 시장 규제(MiCA)는 2025년 중반 EU 27개 회원국 전역에서 본격적인 집행에 들어갔습니다. 모두가 계속 미뤄 왔던 유예 기간은 끝났습니다. CASP(Crypto-Asset Service Provider, 암호화자산 서비스 제공자) 인가 없이 EU 고객에게 서비스를 제공하고 있다면, 불법으로 운영하고 있는 것입니다.

실무에서 MiCA 집행은 어떤 모습인가:

프랑스의 AMF, 독일의 BaFin, 스페인의 CNMV 같은 각국 규제 당국이 등록된 CASP를 적극적으로 감사하고 미등록 사업자를 추적하고 있습니다. 프랑스는 2025년 4분기에만 무인가 운영 거래소를 겨냥해 14건의 집행 통지를 발령했습니다. 독일은 더 공격적이어서, BaFin이 독일 사용자에게 서비스를 제공하던 역외 거래소 도메인 6곳의 접속을 차단했습니다.

MiCA의 진짜 위력은 은행 측면에서 나옵니다. 유럽 은행들은 이제 자신이 거래하는 암호화폐 기업이 유효한 CASP 인가를 보유하고 있는지 확인해야 할 의무가 있습니다. 컴플라이언스를 입증하지 못해 은행 관계를 잃으면 끝입니다. 법정화폐 입출금 채널은 리테일 사용자를 대상으로 하는 모든 거래소의 생명줄이니까요.

MiCA에 따른 구체적인 KYC 요건:

모든 거래 전 고객 신원 확인 (소액 한도까지 익명 거래를 허용하던 방식은 종료)
고객 활동 및 거래 패턴에 대한 지속적인 모니터링
1,000 EUR 초과 거래에 대한 강화된 실사(EDD)
모든 고객에 대한 정치적 주요 인물(PEP) 스크리닝
15,000 EUR 초과 입금에 대한 자금 출처 확인
관계 종료 후 최소 5년간 모든 KYC 데이터 보존

강화된 실사 기준인 1,000 EUR는 많은 운영자를 당황하게 만드는 기준입니다. 높은 문턱이 아니거든요. 활발한 트레이더 대부분은 첫 주 안에 이 기준을 훌쩍 넘습니다. 사용자가 온보딩을 포기할 만큼 마찰을 만들지 않으면서도 단계별 인증을 원활하게 처리할 수 있는 시스템이 필요합니다.

운영자들이 MiCA에 대해 잘못 이해하는 부분:

가장 큰 오해는 MiCA가 라이선스 취득에 관한 것이라고 생각하는 것입니다. 그렇지 않습니다. MiCA는 지속적인 컴플라이언스 의무입니다. 국가 규제 당국에 정기 보고서를 제출하고, 자기자본 적정성 비율을 유지하고, 컴플라이언스 정책을 최신 상태로 유지하고, 정해진 기한 내에 감독 당국의 조회에 응답해야 합니다. 라이선스는 끝이 아니라 시작입니다.

트래블 룰: 이론이 현실을 만난 지점

일반적으로 트래블 룰(Travel Rule)이라 불리는 FATF 권고사항 16호는, 암호화폐가 거래소 간(또는 가상자산 서비스 제공자 간)에 이전될 때 송금인과 수취인의 개인정보가 거래와 함께 이동해야 한다고 요구합니다. 이름, 계좌 번호, 주소, 생년월일 모두 송신 VASP에서 수신 VASP로 전달돼야 합니다.

이론적으로는 간단해 보입니다. 실제로는 업계가 구현하는 데 악몽 같은 과정이었습니다. 2026년 현재 상황은 이렇습니다.

메시징 계층 문제는 대부분 해결됐습니다. 여러 트래블 룰 메시징 프로토콜이 자리를 잡았는데, TRISA, OpenVASP, Notabene의 상용 솔루션이 지배적인 3개입니다. 주요 거래소 대부분이 이제 최소 하나를 지원합니다. 2024~2025년을 괴롭혔던 프로토콜 간 상호운용성 문제도 브리지 솔루션을 통해 대부분 해결됐습니다. 완벽하지는 않지만요.

기준 금액은 관할권마다 다릅니다. 여기가 복잡해지는 지점입니다.

EU(MiCA 자금이체규정 적용): 0 EUR. 금액과 무관하게 모든 이체에 송금인/수취인 데이터 필요
미국(FinCEN): 금융기관이 관련된 이체의 경우 3,000달러
싱가포르(MAS): 1,500 SGD(약 1,100 USD)
일본(FSA): 0 JPY. 모든 이체, 기준 금액 없음
UAE(VARA): 3,500 AED(약 950 USD)
스위스(FINMA): 1,000 CHF

EU의 무기준(zero-threshold) 요건은 전 세계에서 가장 엄격하며, 유럽 사용자에게 서비스하는 모든 거래소가 모든 발신 이체에 대해 트래블 룰 컴플라이언스를 구현하도록 만들었습니다. 다른 거래소로의 10 EUR 이체조차 전체 데이터 핸드셰이크가 필요하다는 뜻입니다.

기술 스택에 미치는 의미:

거래소 소프트웨어에 트래블 룰 통합이 필요합니다. 무조건입니다. 다음이 가능해야 합니다.

발신 암호화폐 이체가 다른 VASP로 가는 것인지(개인 지갑이 아니라) 식별
송금인 정보를 수집해 상대방 VASP에 전송
수신 이체에 대해 상대방 VASP로부터 수취인 정보를 받아 검증
상대방 VASP가 응답하지 않거나 검증할 수 없는 이체에 플래그 지정
감사 목적의 모든 트래블 룰 메시지 기록 저장

VASP 간 이체와 개인 지갑(비수탁 지갑)으로의 이체 구분은 중요합니다. EU의 자금이체규정은 비수탁 지갑 이체를 다르게 취급합니다. 1,000 EUR 초과 이체의 경우 지갑이 고객 소유임을 확인해야 하지만, 완전한 트래블 룰 데이터 교환까지는 필요하지 않습니다.

거래소 플랫폼에 트래블 룰 지원이 내장돼 있지 않다면, 커스텀 통합(비용이 크고 개발에 3~6개월 소요)이나 이를 기본 포함하는 플랫폼으로의 전환 중 하나를 선택해야 합니다.

실제로 작동하는 KYC 등급 구조

모든 사용자에게 동일한 수준의 인증이 필요한 것은 아닙니다. 등급별 KYC 시스템은 규제 요건과 사용자 경험 사이의 균형을 잡아 줍니다. 수백 건의 거래소 구축에서 가장 효과적이었던 방식을 소개합니다.

0단계: 둘러보기 전용(인증 없음)

사용자는 플랫폼을 보고, 가격을 확인하고, 시장을 탐색할 수 있습니다. 거래도, 입금도, 출금도 안 됩니다. 이 단계는 순전히 고객 획득을 위해 존재합니다. 개인 문서를 요구하기 전에 사람들이 둘러볼 수 있게 하는 것입니다. 잘 설계된 거래소에서 0단계에서 1단계로의 전환율은 보통 35~50%입니다.

1단계: 기본 인증

이메일 및 전화번호 인증
법적 실명
생년월일
거주 국가
한도: 일반적으로 일일 거래량 1,000~~2,000달러, 월 5,000~~10,000달러

이 단계는 암호화폐를 좀 사서 보유하려는 일반 사용자를 위한 핵심 단계입니다. 마찰을 낮게 유지하면서 대부분의 관할권에서 기본적인 CDD(고객확인의무) 요건을 충족합니다. 좋은 KYC 제공업체를 쓰면 1단계 인증을 2분 이내에 완료할 수 있습니다.

2단계: 표준 인증

정부 발행 사진 신분증(여권, 주민등록증, 운전면허증)
본인확인(신분증을 든 사람이 사진 속 인물과 동일함을 확인하는 셀피 또는 영상)
주소 확인(3개월 이내 발급된 공과금 고지서, 은행 명세서 또는 정부 문서)
한도: 일일 10,000~~50,000달러, 월 100,000~~500,000달러

활발한 트레이더 대부분이 머무는 단계가 2단계입니다. 신분증 + 본인확인 조합은 이제 업계 표준입니다. Sumsub 같은 제공업체는 AI 기반 문서 검증으로 30~60초 만에 처리하며, 오거부율(false rejection rate)도 2024년 이후 크게 낮아졌습니다. Codono 같은 최신 플랫폼은 KYC/AML 시스템을 통해 Sumsub가 사전 통합된 상태로 제공돼 구현 작업이 몇 주에서 몇 시간으로 줄어듭니다.

3단계: 강화 인증

2단계의 모든 항목
자금 출처 서류(급여명세서, 세금 신고서, 사업자 서류)
자산 형성 출처 신고
강화된 지속 모니터링
한도: 일일 100,000달러 이상, 월 1,000,000달러 이상 또는 무제한

3단계는 고액 투자자와 기관 사용자를 위한 것입니다. 가장 가치가 높은 고객들이며, 전문적인 온보딩 경험을 기대합니다. 많은 거래소가 이 단계에서 전담 계정 매니저를 배정합니다. 자금 출처 요건에서 마찰이 가장 많이 발생하는데, 문서를 검토하는 명확한 프로세스와 합리적인 처리 시간(최대 48시간, 이상적으로는 당일)이 필요합니다.

핵심 원칙: 단계 업그레이드를 매끄럽게 만드는 것입니다. 한도에 도달한 1단계 사용자는 한도에 부딪히는 바로 그 시점에 인라인으로 2단계 업그레이드를 안내받아야 합니다. 설정 메뉴를 뒤져 찾아다니게 해서는 안 됩니다. 업그레이드 흐름이 매끄러울수록 인증 이탈로 잃는 매출이 줄어듭니다.

AML 모니터링: 규제 당국이 실제로 보는 것

KYC가 모든 관심을 받지만, AML(자금세탁방지) 모니터링이야말로 규제 당국이 검사에서 집중적으로 보는 부분입니다. 탄탄한 KYC 프로세스는 기본 중의 기본입니다. 준수하는 거래소와 그렇지 않은 거래소를 가르는 것은 온보딩 이후에 일어나는 일입니다.

필요한 거래 모니터링 규칙:

규제 당국은 최소한 다음 패턴에 대한 자동화된 모니터링을 기대합니다.

쪼개기(구조화): 보고 기준 직하의 금액으로 여러 번 입금하는 행위. 보고 기준이 10,000달러라면, 사흘에 걸쳐 9,500달러씩 다섯 번 입금하는 사용자는 알림을 유발해야 합니다.
급속한 자금 이동: 거래 없이 입금 직후 바로 출금되는 경우. 실제 거래 활동 없이 거래소를 믹싱 계층으로 사용하는 전형적인 자금세탁 패턴입니다.
휴면 후 대량 활동: 몇 달간 잠들어 있던 계정이 갑자기 50,000달러의 거래량을 처리하는 경우. 정상일 수도 있지만 플래그를 지정하고 검토해야 합니다.
상대방 위험: 알려진 불법 활동과 연관된 지갑과의 송수금. 블록체인 분석 통합이 필요합니다. Chainalysis, Elliptic, Crystal이 주요 제공업체입니다.
지리적 위험: 고위험 관할권(FATF 그레이리스트 또는 블랙리스트 국가)이 관련된 거래. 국가 수준의 위험 점수화가 필요합니다.
행동 이상: 사용자가 신고한 프로필과 일치하지 않는 거래 패턴. 목적을 “가벼운 투자”로 신고했는데 하루 200건의 거래를 실행하는 사용자는 재검토가 필요합니다.

이상거래보고(SAR):

모든 관할권은 거래소가 자금세탁, 테러자금조달 또는 기타 금융범죄와 관련될 수 있는 활동을 탐지했을 때 SAR를 제출하도록 요구합니다. 구체적인 제출 요건은 다양합니다.

미국: 탐지 후 30일 이내에 FinCEN에 제출
EU(MiCA): 국가 금융정보분석원(FIU)에 “지체 없이” 제출. 실무적으로는 24~48시간 이내를 의미
싱가포르: 이상거래보고실(STRO)에 합리적으로 가능한 한 빨리 제출
UAE: 금융정보분석원에 영업일 기준 2일 이내 제출

알림을 평가하고, SAR 제출이 필요한지 판단하고, 올바르게 제출할 수 있는 컴플라이언스 담당자(또는 서비스)가 필요합니다. 선택 사항이 아니며, 잘못하면 결과가 따릅니다. 2025년에 여러 거래소가 SAR를 늦게 제출하거나 아예 제출하지 않아 상당한 벌금을 물었습니다.

기록 보관:

모든 것을 보관하세요. 거래 기록, KYC 문서, 커뮤니케이션 로그, SAR 제출 기록, 내부 조사 메모까지. 대부분의 관할권이 5~7년의 보존을 요구합니다. 미국처럼 특정 상황에서 더 긴 기간을 요구하는 곳도 있습니다. 너무 적게보다는 너무 많이 보관하는 쪽을 택하세요.

관할권별 비교: 2026년 현재 상황

규제 지도가 크게 바뀌었습니다. 각 주요 관할권이 요구하는 사항의 현재 스냅샷입니다.

유럽연합(MiCA)

라이선스: EU 회원국 중 한 곳에서 받는 CASP 인가(27개국 전체에 통용)
KYC: 모든 사용자 전면 인증, 익명 한도 없음
AML: 제6차 자금세탁방지 지침 요건에 MiCA 고유 의무 추가
트래블 룰: 무기준, 모든 VASP 이체
자본금 요건: 서비스에 따라 50,000~150,000 EUR
준수 비용: 초기 30,000~~100,000 EUR, 이후 월 5,000~~15,000 EUR
집행 강도: 공격적이며 가속화 중

미국

라이선스: 연방 MSB 등록 + 주별 송금업 라이선스(50개 주)
KYC: BSA/AML 요건, 고객확인프로그램(CIP)
AML: BSA 준수, FinCEN에 SAR 제출, 10,000달러 초과 거래에 대한 고액현금거래보고(CTR)
트래블 룰: 금융기관 관련 이체 3,000달러 기준
자본금 요건: 주마다 상이(0달러~5,000,000달러. 뉴욕이 예외적으로 높음)
준수 비용: 의미 있는 커버리지 기준 초기 100,000~~500,000달러, 이후 월 10,000~~30,000달러
집행 강도: SEC는 토큰 분류에 공격적, FinCEN은 AML 준수에 집중

UAE(VARA - 두바이)

라이선스: VARA 가상자산 서비스 제공자 라이선스
KYC: 단계별 인증, 40,000 AED 초과 시 강화된 실사
AML: 연방 AML법 요건, FATF 기준 부합
트래블 룰: 3,500 AED 기준
자본금 요건: 라이선스 유형에 따라 150,000~600,000 AED
준수 비용: 초기 15,000~~50,000달러, 이후 월 3,000~~8,000달러
집행 강도: 중간 수준이지만 강화 중. VARA는 2025년 말부터 활발히 활동

싱가포르(MAS)

라이선스: 결제서비스법에 따른 대형 결제기관(MPI) 라이선스
KYC: 모든 계정에 전면 CDD, 고위험 등급에 강화된 실사
AML: MAS 고시 PSN02 요건, FATF 기준 부합
트래블 룰: 1,500 SGD 기준
자본금 요건: 250,000 SGD
준수 비용: 초기 50,000~~100,000달러, 이후 월 8,000~~20,000달러
집행 강도: 철저하고 엄격. MAS는 라이선스를 많이 내주지 않지만 발급한 라이선스는 진지하게 관리

홍콩(SFC/HKMA)

라이선스: 증권선물위원회(SFC)의 VATP 라이선스
KYC: 전면 인증, 리테일 접근에는 추가 안전장치 필요
AML: AMLO 요건, FATF 기준 부합
트래블 룰: 모든 이체에 무기준
자본금 요건: 5,000,000 HKD
준수 비용: 초기 80,000~~200,000달러, 이후 월 15,000~~30,000달러
집행 강도: 선별적이지만 엄격. 홍콩은 2025년까지 소수의 거래소만 승인

튀르키예

라이선스: 신규 암호화자산법(2025년 중반 시행)에 따른 자본시장위원회(CMB) 인가
KYC: 국가 신분증 인증 필수, 단계별 한도
AML: MASAK(금융범죄수사위원회) 요건
트래블 룰: 도입 중, 기준 금액은 최종 규정 대기
자본금 요건: 50,000,000 TRY(약 150만 USD)
준수 비용: 초기 20,000~~60,000달러, 이후 월 5,000~~10,000달러
집행 강도: 새로운 프레임워크, 집행이 빠르게 구축되는 중

흐름은 분명합니다. 비용은 오르고, 요건은 FATF 기준으로 수렴하고 있으며, 모든 관할권이 더 엄격해지고 있습니다. 2022~2023년의 저렴하고 느슨한 관할권은 더 이상 존재하지 않습니다.

컴플라이언스 기술 스택: 거래소 소프트웨어에 필요한 것

컴플라이언스 의무는 이를 집행하는 기술만큼만 강력합니다. 수동 컴플라이언스 프로세스는 규모가 커지면 무너집니다. KYC 문서를 손으로 검토하거나 스프레드시트로 거래를 모니터링하고 있다면 놓치는 것이 생기고, 규제 당국이 알아챌 것입니다.

2026년에 준수하는 거래소에 필요한 최소 기술 스택은 다음과 같습니다.

신원 확인(KYC)

OCR 및 AI 기반 검증을 갖춘 문서 확인(여권, 신분증, 운전면허증)
본인확인(liveness detection, 스푸핑 방지)
얼굴 매칭(셀피와 문서 사진 대조)
PEP 및 제재 명단 스크리닝
부정적 언론 보도 스크리닝
지속적 모니터링(위험 수준에 따른 주기적 재인증)

이걸 직접 만들지는 마세요. 전문 제공업체를 통합하세요. Sumsub, Jumio, Onfido, Veriff가 선두 업체입니다. 거래소 플랫폼이 네이티브로 지원한다면 통합 작업은 최소한입니다. 예컨대 Codono는 Sumsub 통합과 인증 워크플로, 위험 점수화, 감사 추적을 즉시 처리하는 내장 컴플라이언스 대시보드를 기본 제공합니다.

거래 모니터링(AML)

의심 패턴에 플래그를 지정하는 실시간 규칙 엔진
블록체인 분석 통합(Chainalysis KYT, Elliptic Lens 또는 Crystal)
조사 워크플로를 갖춘 알림 큐
SAR 생성 및 제출 지원
행동과 프로필 기반의 사용자별 위험 점수화

트래블 룰 컴플라이언스

TRISA, OpenVASP 또는 Notabene 통합
상대방 VASP 식별
송금인/수취인 데이터 교환
비수탁 지갑 식별 및 확인

제재 스크리닝

OFAC SDN 리스트, EU 제재 목록, UN 통합 목록에 대한 실시간 지갑 스크리닝
제재 대상 주소의 자동 차단
정기적인 목록 업데이트(최소 매일)

감사 및 보고

모든 컴플라이언스 조치의 완전한 감사 추적
자동화된 규제 보고(CTR, SAR, 정기 보고)
5~7년 요건을 충족하는 데이터 보존 시스템
규제 검사를 위한 내보내기 기능

거래소 소프트웨어를 평가하고 있다면, 컴플라이언스 도구가 기준 목록 상단에 있어야 합니다. KYC/AML 인프라가 내장된 플랫폼은 몇 달의 통합 작업을 절약하고 컴플라이언스 공백 위험을 줄여 줍니다. 이런 통합을 처음부터 구축하는 것도 가능하지만 비용이 듭니다. 50,000~~150,000달러의 예산과 4~~8개월의 개발 시간을 잡아야 합니다.

거래소를 폐쇄로 이끄는 흔한 컴플라이언스 실수

우리는 같은 실수가 거래소를 반복적으로 침몰시키는 것을 봐 왔습니다. 대부분은 피할 수 있는 실수입니다.

1. KYC를 일회성 이벤트로 취급하는 것.

온보딩 시 인증은 첫걸음일 뿐입니다. 프로그램 전체가 아닙니다. 지속적 모니터링이란 주기적 재인증(표준 위험은 매년, 고위험 사용자는 6개월마다), 연속적인 거래 모니터링, 목록 업데이트 시 PEP/제재 재스크리닝을 의미합니다. EU 규제 당국은 CASP 감사에서 “지속적인 실사 부족”을 주요 지적 사항으로 꼽았습니다.

2. 지리적 제한을 무시하는 것.

이용약관에 제재 국가를 서비스하지 않는다고 적어 뒀다고요. 좋습니다. 그런데 실제로 집행하고 있나요? IP 기반 차단만으로는 부족합니다. VPN으로 우회하는 것은 아주 쉽습니다. 사용자가 신고한 국가를 문서로 검증된 국적, IP 지리적 위치, 거래 패턴과 교차 대조해야 합니다. 2025년에 한 거래소는 이용약관에 전면적인 지리적 제한을 두고도 이란 사용자에게 서비스를 제공해 120만 달러의 벌금을 물었습니다.

3. 컴플라이언스 인력 부족.

월 1,000만 달러를 처리하는 거래소에 파트타임 컴플라이언스 담당자 한 명으로는 어림도 없습니다. 일반적인 경험칙은 월 거래량 2,500만~5,000만 달러당 최소 한 명의 전담 컴플라이언스 전문가가 필요하다는 것입니다. 소규모 거래소는 시간제 컴플라이언스 책임자와 자동화 도구의 조합으로 가능할 수 있지만, 누군가는 매일 알림을 검토하고 SAR 제출 여부를 결정해야 합니다.

4. 문서화된 절차의 부재.

컴플라이언스 프로세스가 서면 절차가 아니라 사람들의 머릿속에 있다면 취약한 것입니다. 규제 당국은 서면 KYC 절차, AML 모니터링 규칙 문서, 에스컬레이션 프로토콜, SAR 제출 절차, 직원 교육 기록을 보기를 원합니다. 규제 당국이 “절차를 보여 달라”고 할 때, 말로 설명하는 것이 아니라 문서를 건넬 수 있어야 합니다.

5. SAR 제출 지연.

이것 때문에 거래소가 심각한 문제에 빠집니다. 의심스러운 활동을 탐지하는 순간 시계가 돌기 시작합니다. 대부분의 관할권이 주 단위가 아니라 일 단위의 기한을 줍니다. 일부 거래소는 정보를 더 모으고 싶어서, 또는 잃고 싶지 않은 고액 고객이라는 이유로 제출을 미룹니다. 둘 다 지연을 정당화하는 끔직한 이유입니다. SAR를 제출하고 조사는 별도로 계속하세요. SAR에 대해 고객에게 알리는 행위(tipping off) 자체가 대부분의 관할권에서 형사범죄입니다.

6. 불충분한 기록 보관.

“스토리지를 아끼려고” 오래된 KYC 기록을 삭제하거나 컴플라이언스 결정을 로깅하지 않는 것이 거래소를 끝장냈습니다. 스토리지는 쌉니다. 규제 벌금은 싸지 않습니다. 모든 것을 최소 7년간 색인하고 검색 가능한 상태로 보관하세요.

7. 다른 거래소의 컴플라이언스 정책을 복사해 붙여넣는 것.

규제 당국은 알아챕니다. AML 정책은 자사의 구체적인 비즈니스 모델, 위험 감수 성향, 목표 시장, 운영 현실을 반영해야 합니다. 제공하지 않는 서비스나 진출하지 않은 관할권을 언급하는 정책은, 당신이 이 일을 진지하게 받아들이지 않는다는 것을 규제 당국에 알려 주는 위험 신호입니다.

8. 규제 변경 시 업데이트하지 않는 것.

MiCA 요건은 초기 프레임워크와 최종 시행 규정 사이에서 진화했습니다. 트래블 룰 기준 금액도 2025년 동안 여러 관할권에서 바뀌었습니다. 컴플라이언스 프로그램이 여전히 2024년 요건을 반영하고 있다면 비준수 상태입니다. 운영하는 모든 관할권의 규제 변경을 추적할 담당자를 지정하세요. 최소 분기별로 정책을 검토하고 업데이트하세요.

비용 계산: 컴플라이언스 대 비준수

거래소 운영자들은 때때로 컴플라이언스 비용에 주춤합니다. 이해합니다. 실제 돈이니까요. 하지만 비준수의 계산은 더 나쁩니다. 훨씬 더 나쁩니다.

제대로 하는 데 드는 비용:

1~2개 관할권에서 운영되는 중견 거래소(월 거래량 5,000만 달러 미만) 기준:

KYC 제공업체: 월 500~3,000달러(인증 건수에 따라)
블록체인 분석: 월 1,000~5,000달러
트래블 룰 솔루션: 월 500~2,000달러
컴플라이언스 인력: 월 5,000~15,000달러(시간제 MLRO 또는 전담 채용)
법률 자문 리테이너: 월 2,000~5,000달러
규제 보고 및 제출: 월 1,000~3,000달러
컴플라이언스 소프트웨어/플랫폼: 거래소 플랫폼에 내장돼 있다면 포함, 아니면 월 2,000~8,000달러

합계: 대략 월 10,000~~40,000달러. 연간 120,000~~480,000달러 정도로 보시면 됩니다.

많이 들리죠. 이제 대안을 봅시다.

적발됐을 때의 비용:

규제 벌금: 100,000~10,000,000달러 이상(MiCA는 연간 매출의 12.5% 또는 5,000,000 EUR 중 더 큰 금액까지 벌금 허용)
은행 관계 해지: 사실상 법정화폐 운영 중단, 잠재적으로 영구적
법적 방어 비용: 관할권과 심각도에 따라 200,000~1,000,000달러 이상
강제 사용자 환불: 경우에 따라 다르지만 치명적일 수 있음
평판 손상: 수치화 불가하지만 파괴적. 컴플라이언스 스캔들 이후 사용자는 돌아오지 않습니다
개인 책임: 여러 관할권에서 이사진이 컴플라이언스 실패로 형사 고발을 당할 수 있음
운영 중단: 규제 당국은 즉각적인 활동 중단을 명령할 수 있고 실제로 그렇게 합니다

집행 조치 한 번이면 10년 치 컴플라이언스 지출보다 많이 듭니다. 오프라인으로 강제 전환되면서 잃는 매출을 계산하기 전의 이야기입니다.

계산은 명확합니다. 컴플라이언스는 비용 센터가 아니라 보험입니다. 비싼 보험이긴 하죠. 하지만 대안보다는 압도적으로 쌉니다.

컴플라이언스 비용을 최적화하는 방법:

컴플라이언스 지출을 피할 수는 없지만 현명하게 할 수는 있습니다.

컴플라이언스 도구가 내장된 거래소 소프트웨어를 선택하세요. Codono 같은 플랫폼은 KYC/AML 시스템, Sumsub 통합, 컴플라이언스 대시보드를 기본 기능으로 포함합니다. 이것만으로 처음부터 통합을 구축하는 데 들 50,000~150,000달러를 없앨 수 있습니다.

한 관할권에서 시작해 확장하세요. 동시에 모든 곳에서 준수하려 하지 마세요. 주력 시장을 정하고, 거기서 컴플라이언스를 완벽히 해내고, 그 기반을 활용해 추가 관할권으로 확장하세요.

자동화할 수 있는 모든 것을 자동화하세요. 수동 컴플라이언스 프로세스는 비싸고 오류가 나기 쉽습니다. 자동화된 거래 모니터링, 자동화된 제재 스크리닝, 자동화된 규제 보고에 투자하세요. 초기 비용은 인력 요구 감소를 통해 몇 달 안에 회수됩니다.

처음 12~18개월은 시간제(fractional) 컴플라이언스 서비스를 활용하세요. 월 500만 달러를 처리하는 단계에서 상근 최고컴플라이언스책임자(CCO)는 필요 없습니다. 암호화폐 기업 전용 MLRO-as-a-service를 제공하는 회사가 여럿 있습니다. 거래량이 늘면 상근 채용으로 확장하세요.

KYC 제공업체와 협상하세요. 월 1,000건 이상의 인증을 처리한다면 협상력이 있습니다. 대부분의 제공업체가 물량 약정에 대해 20~40% 할인을 제공합니다.

앞으로의 전망

규제의 궤적은 단방향입니다. 감독은 줄지 않고 늘어납니다. 남아 있는 비규제 틈새는 향후 12~24개월 안에 닫힐 것입니다. 암호화폐 규제 미비로 현재 FATF 그레이리스트에 오른 국가들은 입법을 하라는 강한 압박을 받고 있습니다.

거래소 운영자에게 이것은 사실 좋은 소식입니다. 명확한 규칙은 공정한 경쟁의 장을 만듭니다. 일찍 컴플라이언스에 투자한 거래소들이 지금 시장 점유율을 얻고 있습니다. 사용자가 신뢰하고 은행이 함께 일해 주니까요. 컴플라이언스를 회피하려 했던 곳들은 뒤늦게 따라잡으려 발버둥 치거나 문을 닫고 있습니다.

2026년에 거래소를 만들거나 운영하고 있다면, 컴플라이언스는 마지못해 체크하는 항목이 아닙니다. 제품의 핵심 부분입니다. 사용자가 기대합니다. 규제 당국이 요구합니다. 은행 파트너가 요구합니다. 그리고 제대로 하면, 그저 비용이 아니라 경쟁 우위가 됩니다.

처음부터 제대로 하세요. 미래의 당신과 미래의 사용자들이 고마워할 것입니다.

출처 및 추가 자료

FATF 가상자산 지침 - 권고사항 15호 및 해석 노트 — Financial Action Task Force
가상자산 서비스 제공자를 위한 FATF 트래블 룰 — FATF
MiCA CASP 요건 - 유럽은행감독청 — EBA
Chainalysis 암호화폐 범죄 보고서 2025 — Chainalysis
가상통화를 위한 OFAC 제재 컴플라이언스 지침 — 미국 재무부

첫날부터 KYC가 내장된 환경이 필요하신가요? Codono의 KYC 및 AML 컴플라이언스 모듈은 Sumsub 및 Shufti Pro와 사전 통합돼 있습니다. 단계별 인증, 본인확인, 제재 스크리닝, 트래블 룰 지원까지. 작동 방식 보기 또는 데모 요청.

컴플라이언스 KYC AML 규제 MiCA

Codono Team

Codono builds enterprise-grade crypto exchange software deployed by 250+ operators across 40+ countries. Our team writes from production experience running spot, derivatives, custody, and compliance at scale.

View all posts by Codono Team →