한 이용자가 국내 개발자에게 가상자산으로 용역대금을 지급하려고 한다. 개발자는 자신이 관리하는 개인지갑 주소를 알려줬지만 이용자가 쓰는 거래소에서는 송신인과 수신인이 다르다는 이유로 그 주소에 바로 출금할 수 없다. 지급이 막힌 것처럼 보이지만 방법은 있다. 이용자가 먼저 자신의 개인지갑으로 가상자산을 옮긴 다음 그 지갑에서 개발자에게 다시 보내면 된다. 송금이 한 차례 늘어났을 뿐 가상자산을 받는 사람과 지급 목적은 달라지지 않았다.

지난 8월 11일 국무회의에서 의결된 특정금융정보법 시행령 개정안은 해외 거래소와 개인지갑으로 가상자산을 보낼 때 적용할 기준을 새로 마련했다. 해외 거래소는 자금세탁 위험에 따라 다르게 취급한다. 저위험 해외 거래소에는 가상자산을 보낼 수 있지만 그 밖의 해외 거래소는 송신인과 수신인이 같을 때만 허용하고 고위험 거래소와의 거래는 금지한다. 개인지갑에는 이런 구분이 없다. 거래의 위험이나 지급 사유와 관계없이 거래소 고객 본인이 관리하는 지갑으로만 보낼 수 있으며 제3자의 지갑으로 직접 보내는 것은 허용되지 않는다. 이 내용은 개정안이 공포된 뒤 6개월이 지난 날부터 시행될 예정이다.
 

금융당국이 개인지갑 거래를 엄격히 보려는 이유는 이해할 만하다. 금융위원회가 공개한 사례에서 한 이용자는 거래소에서 산 가상자산을 100만원 미만으로 잘게 나누어 출처를 알 수 없는 여러 개인지갑으로 보냈고, 그렇게 흩어진 가상자산은 다시 하나의 지갑으로 모였다. 이 같은 거래가 수개월 동안 반복됐다면 자금의 흐름을 감추거나 추적을 피하려 했다고 의심할 수 있다. 더구나 예금계좌와 달리 개인지갑 주소에는 소유자의 이름이 표시되지 않으므로 거래소가 고객에게 수취인의 이름을 밝히라고 하더라도, 회신이 정확한지 곧바로 확인하기 어렵다.

출금을 본인 지갑으로 한정할 경우 거래소가 확인한 고객과 첫 번째 수령 지갑의 동일성은 담보될 수 있다. 고객 본인에게 제3의 지갑으로 송금하는 수고와 비용을 들이게 해 무분별한 전송을 어느 정도 줄이는 효과도 기대할 수 있다. 가상자산 출금 직후 믹서나 해킹 사건과 관련된 주소로 흘러간다면 거래소는 블록체인 기록을 분석해 의심거래로 보고하거나 해당 고객의 추가 출금을 제한할 수도 있다. 본인 지갑에 한정하는 출금 제도에 아무런 효과가 없다고 말할 수 없는 이유다.
 

다만 일단 가상자산이 본인 지갑으로 들어간 이후에는 거래소가 할 수 있는 일이 별로 없다. 개인키를 가진 사람은 그 가상자산을 어느 지갑으로든 다시 보낼 수 있기 때문이다. 거래소는 그 이후 흐름을 블록체인에서 살펴볼 수 있을 뿐 두 번째 송금을 미리 승인하거나 막을 수 없다. 앞서 본 이용자도 자신의 개인지갑을 한 번 거치기만 하면 개발자에게 대금을 지급할 수 있다. 제3자 송금이 사라진 것이 아니라 거래소 밖에서 송금을 한 번 더 하게 된 것이다.
 

거래소가 알 수 있는 정보도 오히려 줄어들 수 있다. 만약 개발자의 지갑으로 직접 보내도록 허용 하면서 거래소가 최종 수취인의 신원과 지급 사유를 확인한다면 필요에 따라 계약서나 청구서까지 받아 거래의 실체를 살펴볼 수 있다. 반면 이용자의 개인지갑으로 먼저 출금하면 거래소의 확인은 거기서 끝난다. 본인 지갑을 한 번 거치게 한 탓에 자금세탁방지에 필요한 최종 수취인 정보가 거래소의 확인 범위에서 벗어나는 것이다.
 

국제자금세탁방지기구(FATF)는 개인지갑 거래를 본인 지갑으로만 한정하라고 요구하지 않는다. 거래소가 개인지갑의 전송에 관여할 때에는 고객으로부터 송신인과 수신인 정보를 받고 위험이 크다고 판단하면 자료를 더 요구하고 금액도 제한할 수 있으며 의심이 풀리지 않으면 거래를 거절하도록 하고 있다. 개인지갑이라는 이유만으로 제3자 지급을 원천 차단하기보다는 상대방이 누구인지 확인하고 확인한 내용과 거래 위험을 함께 살펴 허용 여부를 정하라는 취지다.
 

일본과 유럽연합은 제3자의 개인지갑으로 보내는 경우도 규제 안에 끌어담았다. 일본에서는 거래소가 상대방 지갑 소유자의 이름과 주소, 거래 관련 정보를 수집하고 그 지갑의 자금세탁 위험을 살피도록 했다. 유럽연합은 거래소가 관여하는 개인지갑 거래에서 송신인과 수신인 정보를 확보하게 하고 1000유로가 넘으면 지갑을 누가 소유하거나 관리하는지까지 확인하도록 했다. 지갑이 고객이 아닌 제3자의 것으로 밝혀지더라도 곧바로 거래를 막는 대신, 믿을 만한 별도 자료로 그 사람의 신원을 확인하고 필요하면 추가 확인이나 거래 제한을 붙인다. 이처럼 해외에서는 개인지갑의 명의가 다르다는 이유로 거래를 금지하기 보다는 명의가 다를 때 무엇을 더 확인할지를 정하는 편이다.
 

물론 제3자의 개인지갑으로 보내는 거래를 조건 없이 허용해서는 안된다. 그러나 소액의 일회성 거래라면 수취인의 기본정보와 지급 목적을 확인하는 정도로 하고 금액이 크거나 거래가 반복되면 지갑 관리 권한과 자금의 출처, 당사자의 관계를 추가로 확인하는 방법을 고려할 수 있다. 용역대금이나 물품대금이라면 계약서와 청구서를 받고 수취인이 제재 대상인지 또는 해당 지갑이 믹서나 해킹 사건과 관련되어 있는지도 살펴야 한다. 신원을 확인할 수 없거나 제출된 자료만으로 의심이 풀리지 않는 거래는 거절하면 된다.
 

업무량이 늘어나는 거래소의 고충은 이해된다. 제출된 신분자료가 진짜인지, 수취인이 실제로 지갑을 관리하는지 가려내기 어려운 경우도 생기고 같은 자료를 두고 거래소마다 다른 판단을 내릴 수도 있다. 그러나 고객이 본인 지갑을 한 번 거치게 한다고 이런 어려움이 없어지지는 않는다. 오히려 최종 수취인을 모르는 상태에서 이상 거래가 계속될 가능성이 늘어날 뿐이다. 거래소가 제3자의 신원과 지급 목적을 확인할 수 있다면 본인 지갑을 거쳐 보내게 하는 것보다 직접 제3자에게 송금을 허용 하는 편이 오히려 자금세탁 방지에 도움이 되지 않을까.

개인지갑 송금, 막는게 능사가 아니다 [디센터 기고] | Decenter