[AML/CFT] FATF, 스테이블코인·비수탁지갑 관련 타깃 보고서 발간

FATF는 2026년 3월 『스테이블코인 및 비수탁지갑 관련 타깃 보고서: 개인 간 거래(Peer-to-Peer Transactions)』를 발간하였습니다. 이번 보고서는 스테이블코인을 기존 가상자산의 한 유형으로 포괄하는 데 그치지 않고, 비수탁지갑(unhosted wallet)을 통한 개인 간 거래(P2P 거래), 유통시장(secondary market) 중심의 거래 구조, 발행인의 기술적 통제수단 등 스테이블코인 특유의 자금세탁방지·테러자금조달방지(AML/CFT) 및 확산금융 대응(CPF) 리스크를 독립적으로 분석하고 있습니다.

1. FATF가 스테이블코인을 별도로 조명한 배경

보고서에 따르면 스테이블코인은 더 이상 가상자산 생태계 내부에 한정된 보조적 자산으로 보기 어려운 수준에 이르렀습니다. FATF는 2025년 중반 기준 259개의 스테이블코인이 유통되고 있으며, 같은 해 10월 기준 시가총액은 약 3,160억 달러, 24시간 거래량은 약 1,560억 달러에 달한다고 집계합니다. 전체 시장의 95%는 법정통화 담보형이며, 그 중 97%는 달러 연동형·중앙집중형 구조에 집중되어 있습니다. 온체인 가상자산 전체 거래량 중 스테이블코인 비중도 2025년 기준 30%에 달합니다.

이 같은 규모와 구조는 스테이블코인이 이미 독자적인 가치이전·정산 인프라로 기능하고 있음을 보여줍니다. 대형 은행, 카드 네트워크, 핀테크 기업 등 전통 금융기관의 스테이블코인 생태계 진입이 가시화되고 있는 점도 FATF가 이번 보고서에서 스테이블코인을 기존 가상자산 일반론과 구별되는 독립적인 AML 분석 대상으로 다루기 시작한 배경 중 하나입니다.

2. 주요 악용 사례

블록체인 분석업체 Chainalysis에 따르면 2025년 불법 가상자산 거래 중 스테이블코인 비중은 84%로, 사이버범죄 관련 온체인 거래에서 비트코인을 이미 추월하였습니다. 보고서는 위협행위자 유형별로 다음과 같은 악용 패턴을 제시합니다.

북한(DPRK) 연계 그룹은 가상자산 거래소 해킹으로 탈취한 자산을 믹서·크로스체인 브릿지·대량의 지갑을 경유해 세탁한 뒤 USDT(Tron)로 전환하고 OTC 브로커를 통해 현금화하는 방식을 반복적으로 사용하고 있습니다. 특히 북한의 주요 무기 거래 조직으로 유엔 제재 대상에 지정된 221총국(구 광업개발무역회사, KOMID)은 군사물자 조달 대금을 USDT로 직접 결제한 정황이 포착되어, 스테이블코인이 자금세탁 수단을 넘어 실물 거래의 결제 인프라로 활용되고 있음을 보여줍니다.

이란 이슬람혁명수비대(IRGC)는 이중사용물자 구매 및 후티(Houthis) 등 제재 대상 무장세력에 대한 자금 이전에 스테이블코인을 활용해 왔습니다. 2025년 중반 Tether가 IRGC 연계 주소를 동결하자 동결 기능이 없는 탈중앙화 스테이블코인(DAI 등)으로 이동하는 행태가 확인되었는데, 이는 제재 당국과 발행인 간 조치에 능동적으로 적응하는 양상을 보여주는 사례입니다.

마약 밀매 조직(DTO)은 합성 마약 원료 조달과 거래 정산에 USDT(Tron), USDC(Ethereum)를 활용하며, 세탁 과정에서 머니뮬(Money Mule, 자금 중간전달자)·OTC 브로커·P2P 플랫폼을 중개자로 활용하는 패턴이 반복적으로 확인됩니다.

3. 비수탁지갑과 P2P 거래가 제기하는 문제

이번 보고서에서 가장 비중 있게 다루는 문제는 스테이블코인 자체보다, 비수탁지갑을 통한 P2P 거래가 현행 AML 프레임워크의 취약지점이 될 수 있다는 데 있습니다. FATF는 이를 스테이블코인 생태계의 주요 취약점으로 명시합니다.

FATF의 AML/CFT 체계는 금융기관이나 가상자산사업자(VASP)와 같은 의무주체(obliged entity)를 중심으로 설계되어 있습니다. 이 때문에 사용자가 직접 통제하는 비수탁지갑 간 이전에서는 고객확인(CDD), 거래모니터링, 의심거래보고(STR), 제재 스크리닝 등의 통제장치가 충분히 작동하지 않을 수 있습니다. 거래 자체는 블록체인에 기록되더라도, 그것이 AML 체계 내에서 적절히 관리되는지 여부는 별개의 문제라는 점이 이번 보고서의 문제의식입니다.

4. 트래블룰(Travel Rule, 자금이동규칙)의 유효성과 한계

FATF는 VASP가 고객과 비수탁지갑 사이의 이전을 처리하는 경우에도 송금인(originator) 및 수취인(beneficiary) 정보를 수집해야 한다는 기존 입장을 재확인합니다. 다만 이번 보고서는 위협행위자가 다층적 비수탁지갑을 활용할 경우 트래블룰이 적용되는 구간에서 점차 멀어진 거래 흐름을 만들어낼 수 있음을 지적합니다.

규제된 사업자가 직접 관여하는 최초 구간에서는 일정 수준의 정보 수집이 가능하더라도, 이후 여러 지갑을 경유하며 거래가 분절되면 실질적 연관성에 대한 가시성이 현저히 낮아집니다. FATF는 이 같은 구조가 스테이블코인의 결제 속도, 국경 간 이전 용이성, 다중 블록체인 활용과 맞물리면서 리스크를 더욱 증폭시킬 수 있다고 분석합니다.

5. STR 공백과 유통시장의 구조적 문제

보고서는 비수탁지갑 기반 P2P 거래의 또 다른 구조적 한계로 의심거래보고 제출 주체의 부재를 지적합니다. 특정 거래가 의심스럽더라도 이를 보고할 법적 책임을 지는 중개자가 존재하지 않는 구간이 발생한다는 의미입니다.

6. 발행인의 역할과 향후 규제 방향

이번 보고서는 스테이블코인 발행인이 스마트컨트랙트 기능을 통해 일정 수준의 기술적 통제수단을 보유할 수 있다는 점도 언급합니다. 허용목록 관리(allow-listing), 차단목록 관리(deny-listing), 동결(freeze), 소각(burn) 등이 그 예이며, 발행인이 유통시장에서도 보완적인 AML 역할을 수행할 수 있다고 제안합니다.

다만 FATF가 거듭 강조하는 것은 특정 스테이블코인의 설계 문제가 아니라, 중개자 없는 이전 구조에서 AML 장치 자체가 작동하지 않는다는 구조적 문제입니다. 향후 규제 논의는 발행인·거래소·수탁자·결제인프라 제공자 등 참여자별 역할과 책임을 보다 정교하게 구분하는 방향으로 전개될 가능성이 있습니다.

7. 스테이블코인 관련 주요 위험 지표

이번 보고서는 스테이블코인의 불법 이용을 탐지하기 위한 위험 지표 목록을 별도로 제시하고 있습니다. 거래 모니터링 및 의심거래보고 체계 구축에 참고할 수 있는 항목들로, 보고서는 이를 세 범주로 구분합니다.

(1) 거래 패턴 관련 지표

• 고객 프로필에 부합하지 않는 스테이블코인의 급격한 국경 간 이동
• 짧은 기간 내 여러 수취인에 대한 대규모 이전, 또는 다수의 관련 없는 송금인으로부터의 집중 수신
• 경제적 목적 없이 반복되는 법정통화와 스테이블코인 간 급속 전환, 또는 스테이블코인 간 교환
• 온라인 도박 플랫폼을 통한 스테이블코인 자금화 또는 허위 환불 처리
• 시장 평균보다 높은 수수료 등 불리한 조건에서의 스테이블코인 환전 요청
• 잔액이 0이 될 때까지 소액으로 반복 분산 이전하는 패턴
• 다수의 계좌 또는 결제수단을 이용한 단기간 내 반복적 전환 거래

(2) 익명성 강화 관련 지표

• 트래블룰 적용 지갑(Travel Rule-covered wallet)으로부터 거래상 거리를 둔 다층적 비수탁지갑 이전 구조
• 장기 휴면 후 단기간 내 다중 크로스체인 거래를 집중 실행하고 재비활성화되는 지갑
• 믹서·익명화 코인·프라이버시 지갑과의 결합을 통한 세탁 단계 강화
• 단시간 내 여러 블록체인을 경유하는 크로스체인 이전(TRON → Ethereum → Solana 등) 및 래핑·언래핑 반복
• 탈중앙화 거래소(DEX)·유동성 풀·이자농사(yield farming)를 활용한 거래 경로 은닉
• OTC 브로커를 통한 법정통화 전환으로 거래소 수준의 고객확인 우회
• 토르(Tor) 등 익명화 서비스를 통한 접속

(3) 테러자금조달 · 확산금융 관련 지표

• 동일한 QR코드·도메인·변경주소를 재활용하면서 수취 지갑은 빈번히 교체하는 소액 다건 후원 패턴
• 인도주의적 명목으로 수령한 자금이 수령 직후 트레이딩·믹서·크로스체인 이동으로 전용되는 사례
• 25개 이상의 연속 홉(hop)을 포함하는 고밀도 이전 후 익명화 자산으로 전환하여 재집결하는 구조
• 자유무역지대·물류 거점 인근 중개자를 통한 이중사용물자 조달 대금의 스테이블코인 결제
• 규율이 취약한 국가의 비준수 VASP를 경유한 스테이블코인 현금화
• 고위험 거래소 또는 제재 대상 주소와의 직·간접적 접점

8. 국내 특금법 체계와의 접점 및 과제

이번 FATF 보고서가 국내 실무에 갖는 함의를 이해하기 위해서는 현행 특정금융정보법(이하 '특금법') 및 가상자산이용자보호법 체계와의 접점을 살펴볼 필요가 있습니다.

(1) 가상자산사업자 의무와 비수탁지갑 규율 공백

특금법상 가상자산사업자는 고객확인(CDD), 의심거래보고(STR), 고액현금거래보고(CTR) 등의 AML 의무를 부담합니다. 그러나 FATF 보고서가 지적하는 바와 마찬가지로, 국내 특금법 역시 의무 부담의 주체를 가상자산사업자에 한정하고 있어 비수탁지갑을 이용한 P2P 거래는 사실상 규율 사각지대에 놓여 있습니다. 이용자가 직접 통제하는 지갑 간 이전에 대해 CDD·STR 의무를 이행할 사업자가 존재하지 않기 때문입니다.

(2) 트래블룰의 적용범위와 개정 논의

국내에서는 2022년 3월부터 100만 원 이상의 가상자산 이전 시 송수신자 정보 제공이 의무화되는 트래블룰이 시행되고 있습니다. 그러나 동 의무는 가상자산사업자 간 이전, 또는 사업자와 이용자 간 이전을 전제로 하며, 이용자가 비수탁지갑에서 다른 비수탁지갑으로 직접 이전하는 경우에는 적용되지 않습니다. 이 점은 FATF가 이번 보고서에서 강조하는 다층 비수탁지갑을 통한 규제 회피 경로와 직접 연결됩니다.

(3) KoFIU 신고 체계와 실효성 문제

가상자산사업자는 의심거래를 금융정보분석원(KoFIU)에 보고할 의무가 있으나, 이 의무의 실효성은 해당 사업자가 거래를 인지하고 있는지 여부에 달려 있습니다.

비수탁지갑과의 거래, 특히 다층적 지갑 구조를 통한 간접 거래의 경우 사업자의 가시성이 낮아져 의심거래 인지 및 보고 자체가 어려워질 수 있습니다. 또한 국내 사업자를 경유하지 않고 해외 무인가 OTC 브로커나 탈중앙화 거래소(DEX)를 통해 최종 현금화가 이루어지는 경우, KoFIU 보고 체계가 사실상 작동하지 않는 구간이 발생합니다.

(4) 입법적 과제

현행 특금법과 가상자산이용자보호법은 스테이블코인 발행인을 명시적인 AML 의무 주체로 규정하고 있지 않습니다. FIU의 특금법 개정 TF에서 스테이블코인 제도화 및 발행인에 대한 자금세탁방지 의무 부과가 주요 의제로 올라와 있는 만큼, 이번 FATF 보고서의 권고 내용이 국내 입법 논의에 직접적인 참고자료로 활용될 가능성이 있습니다.

9. 실무상 검토 사항

이번 보고서는 디지털자산 AML 이슈가 단순한 가상자산 규제의 범주를 넘어, 제재·확산금융·국경 간 지급결제·감독기술의 영역까지 확장되고 있음을 보여줍니다. 스테이블코인은 규모·유동성·전통금융과의 연결성, 그리고 P2P 이동 구조라는 복합적 특성으로 인해 기존 가상자산과는 구별되는 AML 리스크를 내포하며, FATF가 거듭 강조하는 것은 스테이블코인의 기술적 설계보다 이동 구조와 참여자별 책임 배분의 문제입니다. 국내 실무상으로도 다음 사항에 대한 검토가 필요해질 것으로 판단됩니다.

• 비수탁지갑 상대 거래에 대한 위험평가 및 강화된 고객확인(EDD) 체계 마련
• 트래블룰 전면 확대 개정에 대비한 내부통제 체계 점검 및 정비
• 유통시장·OTC·P2P 현금화 경로에 대한 모니터링 강화 및 KoFIU 보고 체계 점검
• 발행인의 동결·차단목록 관리 등 기술적 통제수단과 국내법상 법적 권한 구조 검토
• 디지털자산 AML과 UNSC 제재·확산금융 리스크의 연계 분석 체계 구축

***

법무법인(유) 린 AML/CFT팀은 가상자산사업자·금융기관·핀테크 기업을 대상으로 스테이블코인 관련 AML 규제 대응, 비수탁지갑 거래 내부통제 체계 구축, 트래블룰 개정 대비 컴플라이언스 자문, 디지털자산 관련 제재·확산금융 리스크 검토 등 디지털자산 AML 전반에 걸친 법률 자문을 제공하고 있습니다.

이번 가이드라인에 따른 이슈 및 관련한 내용에 상세한 논의가 필요하시다면
언제든지 법무법인(유) 린 AML/CFT팀(Tel. 02-3477-8695)에 문의해 주시기 바랍니다.