암호화폐 거래소가 시장 조작을 탐지하고 방지하는 방법

목차

• 문제의 규모
• 워시 트레이딩: 실제 모습과 적발 방법
• 스푸핑과 레이어링: 오더북 조작
• 실시간 펌프 앤 덤프 탐지
• 거래소에서의 프런트 러닝과 내부자 거래
• 시장 감시 시스템 구축하기
• 규제 당국이 감시 시스템에 기대하는 것
• 오탐지 문제
• 실패 시 처벌
• 거래소 운영자를 위한 구현 로드맵

문제의 규모

불편한 진실부터 시작하겠습니다. 미국 국립경제연구소(NBER)는 규제되지 않은 암호화폐 거래소에서 보고되는 거래량의 최대 70%가 가짜라고 추정했습니다. Forbes는 2022년 자체 분석을 통해 전체 비트코인 거래량의 절반 이상이 워시 트레이딩일 가능성이 높다는 결론을 낸 바 있습니다. 그게 벌써 4년 전의 일입니다. 규제된 플랫폼에서는 수치가 개선되었지만, 문제는 사라지지 않았습니다.

이것이 거래소 운영자인 여러분에게 왜 중요할까요? 두 가지 이유가 있습니다.

첫째, 규제 당국이 주시하고 있습니다. SEC는 2024년과 2025년에 부풀려진 거래량 수치와 관련해 여러 거래소를 기소했습니다. ESMA는 MiCA에 따라 암호자산 서비스 제공자(CASP)에게 시장 감시 시스템 유지를 의무화했습니다. 두바이의 VARA는 시장 무결성 모니터링에 관한 명시적인 규정을 두고 있습니다. 라이선스를 보유하고 있거나 취득할 계획이라면 감시 시스템이 반드시 필요합니다. 예외는 없습니다.

둘째, 가짜 거래량은 신뢰를 무너뜨립니다. 기관 투자자는 거래소의 거래량 데이터를 Kaiko, CoinGecko, Nomics 같은 서드파티 집계 서비스와 교차 검증합니다. 보고된 거래량이 외부 추정치와 맞지 않으면 그들은 여러분의 플랫폼에서 거래하지 않습니다. 이미 너무 많이 속아왔기 때문입니다.

실제 거래량이 있었지만 적절한 감시 및 보고 체계가 없어서 그것을 증명하지 못했던 거래소들과 일해 본 적이 있습니다. 그건 거래량이 아예 없는 것보다 더 안타까운 상황입니다. 옳은 일을 하고 있으면서도 그것을 입증하지 못하니까요.

각 유형의 조작을 탐지하고 방지하기 위해 실제로 알아야 할 내용을 정리했습니다.

워시 트레이딩: 실제 모습과 적발 방법

워시 트레이딩은 거래량 수치를 부풀리기 위해 자기 자신과 거래하는 행위입니다. 암호화폐 거래소에서 가장 흔한 조작 형태이며, 제대로 들여다보기만 한다면 가장 쉽게 탐지할 수 있는 형태이기도 합니다.

뻔한 패턴:

자기 거래(Self-trading)는 가장 단순한 형태입니다. 하나의 계정이 동일한 가격에 매수 주문과 매도 주문을 내고 스스로 체결합니다. 매칭 엔진은 이를 다른 거래와 똑같이 처리하지만, 이는 가짜 거래량입니다.

탐지 방법은 간단합니다. 매수자와 매도자가 동일 계정인 모든 거래를 플래그하는 것입니다. 대부분의 매칭 엔진은 자기 매칭을 완전히 차단할 수 있습니다. 저희 엔진도 그렇습니다. 하지만 이것으로는 아마추어 수준의 조작만 잡을 수 있습니다.

조금 덜 뻔한 패턴:

공모 계정은 더 어렵습니다. 같은 사람이 통제하는 두세 개의 계정이 서로 왔다 갔다 거래합니다. 서로 다른 이메일 주소를 사용하고, 때로는 IP 주소도 다릅니다. 얼핏 거래량이 진짜처럼 보입니다.

이들을 잡는 방법은 다음과 같습니다.

• IP 상관관계. 두 계정이 지속적으로 서로 거래하면서 IP 주소를 공유한다면(가끔이라도), 위험 신호입니다. IP는 가입 시점만이 아니라 세션 단위로 로깅하세요.
• 디바이스 핑거프린팅. 브라우저 핑거프린트, 디바이스 ID, API 클라이언트 시그니처는 IP가 달라도 계정을 연결해 줄 수 있습니다.
• 타이밍 분석. 워시 트레이더는 게으릅니다. 그들의 주문은 예측 가능한 타이밍 패턴을 따르는 경향이 있습니다. 서로 몇 밀리초 간격으로 들어오거나 일정한 주기로 들어오는 주문이 그렇습니다. 진짜 트레이더는 그렇게 행동하지 않습니다.
• KYC 교차 참조. KYC/AML 시스템이 온보드 과정에서 디바이스 데이터와 행동 생체 정보를 수집한다면, 이를 거래 패턴과 교차 참조할 수 있습니다.
• 출금 분석. 돈의 흐름을 따라가세요. 서로 빈번하게 거래하는 두 계정이 동일한 외부 지갑으로 자금을 보낸다면, 거의 확실히 연관된 계정입니다.

탐지 규칙 구축:

스코어링 모델부터 시작하세요. 각 지표(IP 겹침, 타이밍 패턴, 디바이스 일치, 출금 목적지)가 점수를 더합니다. 임계값을 정하고(예: 100점 만점에 75점) 이를 넘는 계정 쌍을 수동 검토 대상으로 플래그하세요.

즉시 자동 차단하지 마세요. 오탐지가 발생합니다. 같은 가정용 네트워크를 공유하는 가족이 IP 상관관계에 걸릴 수 있습니다. 같은 트레이딩 회사의 두 직원이 같은 사무실을 쓸 수도 있습니다. 수동 검토가 중요합니다.

탐지 파이프라인은 준실시간으로 돌아야 합니다. 하루에 한 번 배치 처리하는 것으로는 부족합니다. 조작을 잡았을 때쯤이면 이미 거래량 신뢰도는 망가진 후입니다.

스푸핑과 레이어링: 오더북 조작

스푸핑은 절대 체결할 의도가 없는 대규모 주문을 넣는 행위입니다. 목적은 수요나 공급에 대한 거짓 인상을 만들어 가격을 움직인 뒤, 주문이 체결되기 전에 취소하는 것입니다.

레이어링은 스푸핑의 더 정교한 사촌 격입니다. 하나의 큰 주문 대신, 조작자가 여러 가격대에 다수의 주문을 넣습니다. 강한 지지선이나 저항선이 있는 것처럼 보이게 오더북에 ‘층’을 만드는 것입니다. 가격이 유리한 방향으로 움직이면 모든 층을 취소하고 실제 포지션에서 이익을 챙깁니다.

주시해야 할 것:

• 높은 취소 대 체결 비율. 일반 트레이더도 가끔 주문을 취소합니다. 스푸퍼는 거의 모든 주문을 취소합니다. 특정 페어에서 어떤 계정의 취소율이 90%를 넘으면 의심스럽습니다. 대규모 주문에서 95% 이상이라면? 거의 확실히 스푸핑입니다.
• 주문 수명. 스푸핑 주문은 몇 초 이하로 존재합니다. 계정별 주문의 평균 수명을 추적하세요. 누군가 지속적으로 대규모 주문을 넣고 5초 이내에 취소한다면 플래그하세요.
• 방향성 편향. 취소된 주문과 체결된 주문의 관계를 보세요. 누군가 대규모 매수 주문을 취소하면서 동시에 소규모 매도 주문을 체결한다면(또는 그 반대라면), 전형적인 스푸핑 패턴입니다.
• 오더북 불균형 영향. 취소된 주문이 활성 상태였을 때 매수-매도 스프레드나 가시적 호가 깊이를 실질적으로 바꿨는지 측정하세요. 영향이 없었다면 덜 걱정할 필요 없습니다. 가격 발견에 상당한 영향을 줬다면 문제입니다.

매칭 엔진에서의 구현:

관리자 대시보드는 계정별, 거래 페어별로 이 지표들을 추적해야 합니다. 다음에 대한 자동 알림을 설정하세요.

1. 취소율이 임계값을 초과하는 경우(90%에서 시작해 조정)
2. 대규모 주문의 평균 수명이 임계값 미만인 경우(3초에서 시작)
3. 오더북 한쪽의 취소가 다른 쪽의 체결과 상관관계를 보이는 패턴

까다로운 부분이 있습니다. 마켓 메이커는 주문을 많이 취소합니다. 그게 마켓 메이킹의 작동 방식입니다. 시장 상황에 따라 지속적으로 호가를 조정하니까요. 우수한 마켓 메이커의 취소율이 95%여도 완전히 정상일 수 있습니다.

차이점은 마켓 메이커는 취소하고 다시 넣는다는 것입니다. 스푸퍼는 취소하고 다시 넣지 않습니다. 둘을 구분하려면 취소 행위와 함께 재주문 행위를 추적하세요.

실시간 펌프 앤 덤프 탐지

펌프 앤 덤프는 유동성이 낮은 토큰을 노립니다. 한 그룹이 물량을 매집하고, 소셜 미디어와 텔레그램 그룹을 통해 토큰을 홍보한 뒤, 개인 투자자들이 가격을 올리면 덤핑합니다.

펌프 앤 덤프는 부분적으로 여러분의 통제 밖에 있습니다. 트위터에서 사람들이 토큰을 띄우는 것을 막을 수는 없습니다. 하지만 거래소 내 시그니처는 탐지할 수 있고, 신속하게 대응할 수 있습니다.

탐지 신호:

• 거래량 이상. 하루 $5,000 거래되던 토큰이 갑자기 한 시간에 $500,000을 기록하는 경우. 각 토큰의 기준 거래량 대비 알림 임계값을 설정하세요. 저희는 보통 30일 평균 시간당 거래량의 10배를 트리거로 사용합니다.
• 가격 속도. 시총이 낮은 토큰이 한 시간 이내에 30% 이상 움직이는 경우, 특히 거래량 급증과 동반될 때.
• 매수 집중도. 급등 동안 3~5개 계정이 매수 거래량의 60% 이상을 차지한다면 공모된 것입니다.
• 소셜 미디어 상관관계. 일부 감시 플랫폼은 온체인 및 거래소 데이터를 소셜 미디어 언급과 교차 참조합니다. 거래량이 급등하는 시점에 트위터 언급량이 평소의 50배가 된다면 진행 중인 펌프입니다.

실제로 할 수 있는 조치:

• 가격 및 거래량 임계값이 돌파되면 해당 페어의 거래를 일시 중단
• 이상 상황 동안 스프레드를 늘리거나 해당 페어의 최대 주문 규모를 축소
• 토큰이 펌프 앤 덤프 패턴을 보일 때 눈에 띄는 경고로 사용자에게 고지
• 펌프가 시작되기 전에 포지션을 축적한 계정 검토. 이들이 주동자일 가능성이 높습니다

보안 인프라에는 정확히 이런 시나리오를 위한 서킷 브레이커가 포함되어야 합니다. 초소형 토큰이 15분 만에 50% 움직이면 자동 거래 일시 중지가 발동해야 합니다.

거래소에서의 프런트 러닝과 내부자 거래

프런트 러닝에 대해 이야기하고 싶어 하는 사람은 없지만, 실제로 일어납니다. 거래소 직원이나 대기 중인 오더 플로우에 접근할 수 있는 사람은 누구든 대규모 주문보다 앞서 거래해 확정적인 이익을 얻을 수 있습니다. 주요 중앙화 거래소에서 실제로 일어난 일입니다(2022년 Coinbase 사건이 헤드라인을 장식했죠). 직원이 오더북의 대기 상태를 볼 수 있는 거래소라면 어디든 여전히 위험합니다.

방지 방법:

• 직원 거래 제한. 모든 직원이 자사 플랫폼에서 거래하는 것을 금지하세요. 예외는 없습니다. 일부 거래소는 사전 승인 조건으로 허용하지만, 보여지는 모습도 좋지 않고 컴플라이언스 부담을 감수할 가치가 없습니다.
• 접근 통제. 프로덕션 오더북 데이터는 사람이 아니라 시스템만 접근할 수 있어야 합니다. 관리자 패널에는 개별 대기 주문이 아니라 집계된 데이터를 표시하세요.
• 감사 추적. 오더북이나 거래 데이터베이스에 대한 모든 쿼리는 사용자 신원, 타임스탬프, 쿼리 파라미터와 함께 로깅되어야 합니다. 누군가 자신의 직무 범위 밖에서 오더 플로우 데이터를 보고 있다면 알아야 합니다.
• 정보 장벽. 상장 팀은 상장 발표 전에 거래할 수 없어야 합니다. 시장 데이터 팀은 예정된 파트너십 발표를 알 수 없어야 합니다. 기본적인 것처럼 들리지만, 대부분의 소규모 거래소는 이를 시행하지 않습니다.

시장 감시 시스템 구축하기

모든 것을 처음부터 만들 필요는 없습니다. 중견 거래소라면 이렇게 접근할 것입니다.

1단계(Tier 1) - 매칭 엔진에 내장(첫날부터):

• 자기 거래 방지(동일 계정 매칭 차단)
• 계정별 취소율 추적
• 거래 페어별 거래량 이상 알림
• 연결된 계정에 대한 기본 IP 및 디바이스 상관관계

거래소 소프트웨어가 이것들을 기본으로 처리해야 합니다. 현재 플랫폼이 취소율을 추적하지 못하거나 자기 거래를 플래그하지 못한다면 그것 자체가 문제입니다.

2단계(Tier 2) - 출시 후 90일 이내에 추가:

• 워시 트레이딩 탐지를 위한 행동 스코어링 모델
• 주문 수명 분석을 포함한 스푸핑 탐지
• 펌프 앤 덤프 시나리오용 서킷 브레이커
• 직원 거래 모니터링(또는 금지)
• 자동화된 SAR(의심 거래 보고서) 생성

3단계(Tier 3) - 규모 확장을 위한 자체 구축 또는 구매:

• 자사 데이터로 학습된 머신러닝 모델
• 시장 간 감시(여러 거래 페어나 파생상품을 제공하는 경우)
• 소셜 미디어 모니터링 통합
• 관리자 대시보드를 통한 컴플라이언스 담당자 실시간 알림
• 블록체인 분석 제공자(Chainalysis, Elliptic)와의 통합

Eventus(Validus), NICE Actimize, Nasdaq의 SMARTS 플랫폼 같은 서드파티 감시 벤더들은 암호화폐 전용 모듈을 제공합니다. 비쌉니다. 거래량에 따라 연간 $50K~$200K. 하지만 실전에서 검증되었고 규제 당국이 인정합니다.

일일 거래량 $50M 미만의 대부분 거래소에게는 1단계와 2단계를 자체 구축하고 3단계에 서드파티 벤더를 추가하는 것이 적절한 균형입니다.

규제 당국이 감시 시스템에 기대하는 것

답은 관할권마다 다르지만, 방향은 분명합니다. 모두가 더 많은 것을 원합니다.

MiCA(유럽연합): 제76조는 CASP에게 “의심되는 시장 남용을 탐지하고 보고”할 것을 요구합니다. 문서화된 감시 절차, 훈련된 컴플라이언스 인력, 요청 시 거래 감시 보고서를 제출할 수 있는 능력이 필요합니다. ESMA는 ‘적절한’ 감시가 어떤 모습이어야 하는지를 명시한 기술 표준을 발표했습니다.

VARA(두바이): VARA 규칙집은 거래소가 워시 트레이딩, 스푸핑, 가격 조작을 탐지하는 시장 감시 시스템을 구현할 것을 요구합니다. 라이선스 감사 때 탐지 로직, 알림 임계값, 대응 절차를 보여달라고 요구합니다.

MAS(싱가포르): 지급서비스법(PSA)에는 아직 암호화폐 전용 시장 남용 조항이 없지만, MAS는 도입을 예고했습니다. MPI 또는 CMS 라이선스로 운영 중이라면 ‘공정하고 질서 있는 시장’을 유지해야 합니다. 기능적으로 감시 시스템을 의미합니다.

SEC(미국): SEC는 자신이 증권으로 간주하는 암호자산에 기존 증권법의 시장 조작 규정을 적용합니다. 등록된 ATS이거나 ATS 등록을 신청 중이라면 전통적인 거래소가 유지하는 수준의 감시가 필요합니다.

공통점은 이렇습니다. 규제 당국은 서면 정책, 자동화된 탐지 시스템, 조사 절차, 그리고 과거 조사와 그 결과에 대한 기록을 보길 원합니다. “조작을 본 적이 없습니다”는 용납될 수 있는 답이 아닙니다. 조작이 일어난다면 어떻게 잡을 것인지 보여줘야 합니다.

규제 감사가 실제로 어떻게 진행되는지에 대해서는 보안 아키텍처 심층 분석을 참조하세요.

오탐지 문제

시장 감시에 대해 아무도 알려주지 않는 사실이 있습니다. 알림 대부분이 오탐지라는 것입니다. 특히 처음 6개월 동안은요.

정상적인 마켓 메이커가 스푸핑 알림을 울릴 것입니다. 마음을 바꾼 고래 트레이더가 워시 트레이더처럼 보일 것입니다. 인기 인플루언서에게 언급된 토큰이 실제 조작 없이도 펌프 앤 덤프 알림을 울릴 것입니다.

새로운 감시 시스템의 오탐지율은 보통 85~95%입니다. 컴플라이언스 팀이 대부분의 시간을 정상적인 활동 조사에 쓴다는 뜻입니다. 사기를 꺾고 비용도 많이 듭니다.

오탐지율을 낮추는 방법:

• 자사 데이터를 기반으로 임계값을 조정하세요. 남의 임계값을 그대로 가져오지 마세요. 활발한 마켓 메이커가 있는 거래소와 없는 거래소에서 취소율 90%는 완전히 다른 의미입니다.
• 알려진 마켓 메이커를 화이트리스트에 올리세요. 마켓 메이커와 계약이 있다면, 그들의 계정에는 취소율과 주문 빈도에 대해 다른 알림 임계값을 적용해야 합니다.
• 신호를 겹치세요. 단일 지표로 알림을 울리지 마세요. 알림 생성 전에 두세 개의 상관된 신호를 요구하세요. 높은 취소율만? 아마 괜찮습니다. 높은 취소율 + 짧은 주문 수명 + 방향성 체결? 조사할 가치가 있습니다.
• 조사 결과를 모델에 피드백하세요. 모든 오탐지는 학습 데이터입니다. 6개월의 튜닝 후에는 오탐지율이 50% 이하여야 합니다. 1년 후에는 30% 이하.
• 데이터가 충분할 때만 ML을 사용하세요. 감시용 머신러닝 모델은 제대로 작동하려면 수천 개의 레이블된 사례가 필요합니다. 그 정도 데이터량이 없다면 규칙 기반 시스템이 더 신뢰할 수 있습니다.

실패 시 처벌

부적절한 시장 감시의 결과는 해마다 심각해지고 있습니다.

규제 벌금: SEC는 2023년 Bittrex에 $24M의 벌금을 부과했습니다. FCA는 Binance Markets Limited에 벌금을 부과하고 영국 사업을 제한했습니다. 2025년에는 두 개의 EU 거래소가 MiCA 감사에서 감시 시스템 부실이 발견되어 CASP 인가를 박탈당했습니다.

은행 관계 상실. 은행은 거래소 고객을 모니터링합니다. 거래소가 규제 감시 대상 목록에 오르거나 의심스러운 거래량 패턴으로 플래그되면, 은행 파트너가 계좌를 해지할 수 있습니다. 한번 끊기면 새로운 은행을 구하는 것은 극도로 어렵습니다.

상장 제외. CoinGecko와 CoinMarketCap 모두 워시 트레이딩 문제가 알려진 거래소의 거래량을 할인해 반영합니다. 주요 집계 서비스에 플래그되면 기관 거래량을 유치하는 것이 거의 불가능해집니다.

형사 책임. 심각한 경우 거래소 임원이 개인 형사 고발을 당할 수 있습니다. Bitzlato의 전 CEO는 2023년 체포되었습니다. BitMEX 창업자들은 연방 기소를 당했습니다. 적절한 감시 체계가 없었다는 것을 규제 당국이 보여줄 수 있다면 “몰랐다”는 변명이 통하지 않습니다.

설계하는 수수료 구조도 도움이 될 수 있습니다. 의미 있는 테이커 수수료가 있는 메이커-테이커 모델은 워시 트레이딩 비용을 높여, 감시로 모든 사례를 잡지 않아도 발생 빈도를 줄여줍니다.

거래소 운영자를 위한 구현 로드맵

분기별로 나눈 실용적인 경로입니다.

1분기 - 기초:

• 매칭 엔진에서 자기 거래 방지 활성화
• 취소율 추적 및 알림 구현(계정별, 페어별)
• 거래량 이상 탐지 설정(기준의 10배 시 알림)
• 시장 감시 정책 문서화(규제 당국이 요구할 것입니다)
• 알림 조사를 담당할 컴플라이언스 담당자 지정
• KYC 시스템이 디바이스 핑거프린트와 IP 데이터를 수집하는지 확인

2분기 - 탐지:

• 스푸핑 탐지 구축 또는 구매(주문 수명 + 취소 패턴)
• 연결 계정 탐지 구현(IP, 디바이스, 출금 상관관계)
• 극단적인 가격/거래량 움직임에 대한 서킷 브레이커 추가
• 관리자 패널에 조사 워크플로우 생성
• 컴플라이언스 인력에게 조사 절차 교육

3분기 - 고도화:

• 소셜 미디어 상관관계를 포함한 펌프 앤 덤프 탐지 추가
• 직원 거래 제한 및 모니터링 시행
• 1~2분기 조사 데이터를 기반으로 알림 임계값 튜닝 시작
• 3단계(Tier 3) 역량을 위한 서드파티 감시 벤더 평가
• 조사 결과로부터 자동화된 SAR 생성 구축

4분기 - 성숙:

• 블록체인 분석 통합(Chainalysis 또는 유사 서비스)
• 거래량이 뒷받침된다면 레이블된 조사 데이터로 ML 모델 학습 시작
• 감시 프로그램의 외부 감사 실시
• 다음 규제 검토를 위한 감시 보고서 준비

1분기를 건너뛵 채 바로 ML 모델로 뛰어들지 마세요. 기본적인 데이터 수집 체계가 없어서 $100K를 들여 구매한 정교한 감시 소프트웨어를 쓰지 못한 거래소들을 봤습니다. 단순하게 시작하세요. 데이터를 수집하고, 규칙을 튜닝한 다음, 그 후에 화려해지면 됩니다.

시장 무결성을 진지하게 받아들이는 거래소만이 진짜 비즈니스가 될 만큼 오래 살아남습니다. 나머지는 그저 소음일 뿐입니다.

---

출처 및 추가 자료

• IOSCO Consultation Report on Crypto-Asset Trading Platforms — 국제증권감독기구(IOSCO)
• FATF Guidance on Virtual Assets and VASPs — 국제자금세탁방지기구(FATF)
• Forbes Analysis of Fake Crypto Trading Volume — Forbes Digital Assets
• SEC Enforcement Actions in Crypto Markets — 미국 증권거래위원회(SEC)
• ESMA Technical Standards for MiCA Market Surveillance — 유럽증권시장감독청(ESMA)