저자: Rebecca, Jito Labs 최고운영책임자 겸 최고법률책임자

편집: Jia Huan, ChainCatcher

많은 금융 기관들이 블록체인 기술의 가장 혁신적인 발전 중 하나인 무허가 네트워크(permissionless networks)를 활용하고 있습니다.

Franklin Templeton은 2021년부터 무허가 블록체인을 활용하여 자사의 온체인 미국 정부 머니마켓 펀드 지분 정보를 기록하기 시작했으며, 2025년 2월에는 Solana를 지원 네트워크에 포함시켰습니다. BlackRock은 2024년 3월부터 이더리움에서 토큰화된 머니마켓 펀드 지분을 발행하고 있습니다. 2025년 11월, Apollo도 6개의 무허가 네트워크에서 Diversified Credit Fund의 토큰화된 투자 채널을 제공하기 시작했습니다.

이와 같이 전통적인 금융 기관들이 무허가 네트워크에 제품을 배포한다는 발표는 거의 매주 나오고 있습니다.

그러나 일부 전통적인 금융 기관들은 여전히 무허가 네트워크가 "접근 불가능"하다고 생각합니다. 반대로, 많은 은행, 브로커-딜러, 자산운용사들은 점차 허가 네트워크(permissioned networks)로 전환하고 있습니다. 이러한 시스템에서는 게이트키퍼나 컨소시엄이 누가 거래를 검증할 수 있는지, 누가 네트워크를 사용하거나 참여할 수 있는지, 네트워크가 어떤 목적으로 사용될 수 있는지를 결정합니다.

이러한 기관들이 허가 네트워크를 선택하는 것은 이것이 규정 준수 요구 사항을 충족하기 위한 전제 조건이라는 오해 때문입니다. 그 이면의 논리는 다음과 같습니다. 오직 신원이 명확하고 검증된 참여자 집합만이 금융 규정 준수 법률의 요구 사항, 즉 은행비밀보호법(BSA)에 따른 자금세탁방지(AML) 및 테러자금조달방지(CFT) 규정, 그리고 미국 제재 법률을 충족시킬 수 있다는 것입니다.

직설적으로 말하면, 기관의 규정 준수 부서는 무허가 네트워크가 은행비밀보호법 및 제재 법률과 호환될 수 없다고 생각합니다.

저희가 발표한 새 논문 《무허가 네트워크와 금융 규정 준수의 호환성: 금융 기관 실무 가이드》는 금융 기관이 무허가 블록체인 네트워크에서 완전히 제품을 구축하고 거래를 수행할 수 있다고 지적합니다. 금융 규정 준수 법률에 대한 우려가 기관이 이러한 네트워크를 사용하는 데 장애가 되어서는 안 되며, 현행 법률도 이미 관련 문제를 처리할 수 있습니다.

금융 기관은 적절하고 위험 기반의 규정 준수 프레임워크를 통해 의무를 이행할 수 있으며, 통제 조치를 기관이 실제로 통제할 수 있는 단계에 설정할 수 있습니다.

규제 관점이나 다른 관점에서 볼 때, 금융 기관은 기반 인프라를 소유할 의무가 없으며, 자사의 금융 거래 및 관련 통신을 호스팅하는 인프라를 선별, 검토 또는 제한할 의무도 없습니다. 실제로 규제 기관은 금융 기관이 "무허가"라는 기술 혁신에 따라 자체 금융 규정 준수 시스템을 조정할 수 있다는 점을 명확히 인정했습니다.

무허가 네트워크는 정말 금융 규정 준수 요구 사항을 충족할 수 없을까요?

은행비밀보호법과 제재 법률은 금융 기관이 위험에 대해 합리적인 통제를 실행하고 이러한 위험을 줄이기 위한 조치를 취할 것을 요구하지만, 위험을 완전히 제거할 것을 요구하지는 않습니다. 후자는 그 자체로 달성 불가능한 기준입니다.

은행비밀보호법에 따라 금융 기관의 자금세탁방지 및 테러자금조달방지 프로그램은 불법 금융 활동을 식별, 기록 및 억제하는 데 중점을 두어야 합니다. 이러한 프로그램은 자금 세탁이나 테러 자금 조달을 완전히 차단하기 위한 것도 아니고 그렇게 할 수도 없습니다.

미국 연방 은행 규제 기관과 금융범죄단속네트워크(FinCEN)는 금융 규정 준수의 핵심이 "합리적으로 설계된" 자금세탁방지 프로그램을 구축하는 것임을 명확히 밝혔으며, 여기에는 "위험을 효과적으로 식별, 측정, 모니터링 및 통제하는 프로세스"가 포함되어야 합니다.

FinCEN은 2020년 8월에 발표한 《집행 성명》에서 규제 기관이 은행비밀보호법을 집행하는 것이 기관의 고립된 실수를 잡기 위한 것이 아니라고 추가로 설명했습니다.

미국 재무부의 "위험 회피"에 관한 보고서는 금융 기관의 우려에 직접적으로 답변했습니다. 은행들은 내부 통제에 어떤 문제라도 발생하면 막대한 벌금에 직면할 수 있다고 생각하는 경우가 많습니다. 그러나 규제 기관은 관련 벌금이 흔하지 않으며, 일반적으로 전체 자금세탁방지 및 테러자금조달방지 시스템이 붕괴된 경우에 발생하지, 위험 기반 접근 방식에서 가끔 발생하는 부분적 부족 때문이 아니라고 지적합니다.

제재 규정 준수 제도는 유사한 논리를 따릅니다.

미국 재무부 해외자산통제실(OFAC)의 《규정 준수 이행 프레임워크》는 효과적인 제재 규정 준수 프로그램의 5가지 핵심 구성 요소를 나열합니다: 경영진의 약속, 위험 평가, 내부 통제, 테스트 및 감사, 교육.

OFAC은 기관 규모, 제품 유형, 고객 그룹 및 비즈니스 소재 지역에 따라 규정 준수 조치의 구체적인 실행 요구 사항을 조정합니다.

《경제 제재 집행 가이드라인》은 의심되는 위반 행위를 처리할 때 기관의 고의성 여부, 관련 행위에 대한 인지 여부, 해당 행위가 제재 목표에 초래한 피해, 규정 준수 프로그램의 적절성 등의 요소를 종합적으로 고려합니다.

각 규제 기관의 집행 제도와 역사적 관행은 모두 "위험 균형, 무관용 아님"이라는 접근 방식을 지지합니다. FinCEN과 OFAC의 집행 초점은 기관이 합리적으로 식별할 수 있는 시스템적 결함에 있으며, 우발적인 개별 실수에 있지 않습니다.

이러한 집행 방향은 무허가 네트워크에 대한 금융 기관의 우려와 직접적으로 관련됩니다.

자금세탁방지, 테러자금조달방지 제도든 제재 제도든 요구하는 것은 식별된 위험에 부합하는 통제 조치이며, 이러한 통제는 무허가 네트워크에서도 완전히 구현될 수 있습니다. 간접적인 경로나 의도하지 않은 행위로 인한 위반은 자동으로 금융 기관이 해당 규정 준수 위험을 부담해야 하는 이유가 되어서는 안 됩니다.

금융 기관은 모든 검증인을 식별하고 선별해야 할까요?

금융 기관은 무허가 네트워크를 이미 공용 인터넷 및 전화 네트워크를 바라보는 것과 같은 방식으로 인프라로 간주해야 합니다.

공용 인터넷과 전화 네트워크는 모두 공유 시스템이며, 금융 기관은 그 안의 다른 사용자와 운영자를 알지도 못하고 선별하지도 않습니다. 무허가 네트워크에 대해서도 금융 기관은 이에 상응하는 규정 준수 접근 방식을 채택해야 합니다.

현재 금융 기관이 무허가 네트워크에 대해 신중한 태도를 보이는 주된 이유는, 알지 못하거나 자발적으로 선택하지 않은 상태에서 제재 대상자 또는 불법 활동에 연루된 자와 접촉할 것에 대한 우려 때문입니다.

예를 들어, 금융 기관은 제재 대상자가 운영하는 검증인에게 네트워크 수수료를 지불하거나, 알지 못하는 사이에 제재 대상자와 거래를 하거나, 역사적으로 불법 주체와 접촉했던 암호자산을 수령하거나 거래할 것을 우려할 수 있습니다.

그러나 제재 대상 관할권에 위치한 검증인이나 기타 네트워크 참여자와 의도하지 않은 접촉을 하는 것은 제재 법률이 규제하려는 행위가 아닙니다.

이 문제는 지리적 위치에만 국한되지 않습니다. 검증인은 어디에서나 운영되는 제재 대상자일 수 있지만, 금융 기관은 해당 검증인을 능동적으로 선택하지 않았고, 계약을 체결하지 않았으며, 상품이나 서비스를 수출하지 않았고, 자금을 조달하지 않았으며, 다른 방식으로 거래하지도 않았습니다.

네트워크 수수료가 결국 검증인에게 도달하는 것은 네트워크 프로토콜이 모든 사용자에게 동일한 규칙을 적용하기 때문입니다.

규제 기관은 이미 이를 확인했습니다.

예를 들어, 2025년 1월, 미국 통화감독청(OCC)은 《해석서한 1186》을 발행하여 은행이 블록체인 네트워크에서 네트워크 수수료를 지불할 수 있고, 이러한 수수료를 지불하는 데 필요한 암호자산을 자체 명의로 보유할 수 있음을 확인했습니다.

이 해석서한은 OCC가 2021년 1월에 발행한 《해석서한 1174》의 연장선상에 있습니다. 후자는 은행이 노드를 운영하여 지불 거래를 검증, 저장 및 기록할 수 있다고 보았습니다. 은행이 노드를 운영하고 거래 기록에 참여할 수 있다면, 은행이 노드가 획득한 네트워크 수수료를 수취할 수 있다는 것은 이 결론의 자연스러운 확장입니다.

해석서는 이더리움을 예로 들었습니다. 이더리움은 무허가 네트워크이며, 그 프로토콜은 의사 무작위 방식으로 검증인을 선택합니다. 이 일련의 해석서들은 허가 네트워크와 무허가 네트워크를 구분하지 않습니다.

금융 기관이 무허가 네트워크를 통해 거래를 시작하면, 프로토콜은 해당 거래가 포함된 블록을 제안할 권리를 특정 검증인에게 할당합니다. 일반적으로 이 과정은 의사 무작위 방식으로 이루어지며 검증인의 스테이킹 양에 비례합니다.

네트워크 프로토콜은 네트워크 수요와 거래가 소비하는 컴퓨팅 리소스에 따라 해당 수수료를 결정합니다. 따라서 금융 기관은 자신의 거래를 처리할 검증인을 선택할 수 없고, 검증인과 수수료를 협상할 수 없으며, 거래 전후에 어떤 검증인이 거래를 처리했는지 알 수도 없습니다.

네트워크의 모든 사용자는 동일한 규칙을 따라야 합니다.

이러한 관계는 이메일 발신자와 이메일을 전달하는 라우터 운영자 간의 관계, 또는 전화 발신자와 통화 연결을 완료하는 교환기 운영자 간의 관계와 다소 유사합니다.

미국 금융 기관이 보낸 인터넷 프로토콜 데이터 패킷이 제재 대상 관할권의 인프라를 통과한다고 해서, 그 사실만으로 제재 위반으로 간주되지는 않습니다. 무허가 네트워크의 합의 계층에 대해서도 이러한 "중립적이고 프로토콜에 의해 자동으로 완료되는 전송" 분석을 적용할 수 있습니다.

은행비밀보호법 자체도 이러한 구분을 확인합니다. 이 법은 규제 정의에서 "자금 이체 서비스를 지원하기 위해 자금 이체 서비스에 사용되는 전달, 통신 또는 네트워크 접속 서비스만을 제공하는" 주체를 명시적으로 제외합니다.

은행비밀보호법은 중립적 전송과 거래 행위를 구분하며, 제재 분석 역시 양자 관계에 능동적 선택, 지시 또는 거래 행위가 존재하는지에 초점을 맞춥니다.

금융 기관이 무허가 네트워크에서 거래할 때, 선별되지 않은 네트워크 운영자와 일종의 접촉을 가질 수 있지만, 이러한 접촉은 제재 법률이 규제하는 행위와는 다릅니다.

후자의 경우, 참여하는 어느 쪽도 상대방을 능동적으로 선택하지 않았습니다.

더 넓은 범위에서 보면, OFAC가 《가상화폐 업계 제재 준수 가이드라인》을 발표한 지 약 5년이 지났습니다. 이 기간 동안 검증인이 제안한 블록에 제재 대상자의 거래가 포함되었다는 이유로 집행 조치가 취해진 사례는 없었으며, 시장 참여자가 프로토콜 수준의 네트워크 수수료를 지불했다는 이유로 집행 조치가 취해진 사례도 없었습니다.

공개 원장이 프라이버시와 규정 준수를 동시에 충족할 수 있을까?

기관이 제기한 두 번째 우려는 프라이버시 문제입니다. 은행이 경쟁사에 고객 포지션, 거래 상대방 및 거래 전략을 노출하지 않으면서 공개 원장에서 거래를 수행할 수 있을까요?

초기에 무허가 원장을 지지한 주요 근거는 완전한 투명성 자체가 규정 준수 자산이 될 수 있다는 것이었습니다.

하지만 금융 규정 준수가 실제로 요구하는 범위는 더 좁습니다. 필요한 정보가 금융 기관, 거래 상대방 및 규제 기관이나 감독 기관에 의해 검증될 수 있으면 충분합니다.

오늘날 암호학 기술은 기관이 규정 준수와 관련된 특정 사실을 증명할 수 있을 정도로 발전했으며, 해당 사실을 증명하는 데 필요한 모든 데이터를 공개할 필요가 없습니다.

예를 들어, 기관은 특정 거래 상대방이 특별지정국민(SDN) 명단에 없음을 증명하거나, 준비금이 부채를 초과함을 증명하면서도 원장 내용과 거래 상대방 신원을 공개하지 않을 수 있습니다.

출처 증명은 한 당사자가 특정 자산이 식별된 불법 자산 집합에서 비롯된 적이 없음을 증명할 수 있게 하며, 완전한 거래 관계 그래프를 공개할 필요가 없습니다.

기밀 전송 방식은 원장상의 금액과 잔액을 암호화하는 동시에, 금융 기관이 검사를 받을 때 심사관에게 제공할 수 있는 조회 키를 보존합니다.

이러한 암호학 기술을 결합하면 폐쇄형 시스템보다 더 강력한 검증 보장을 규제 기관에 제공할 수 있으며, 동시에 경쟁사에 어떤 정보도 공개할 필요가 없습니다.

이로 인해 프라이버시는 더 이상 무허가 네트워크 사용의 장애물이 아니라, 오히려 금융 기관이 이러한 네트워크를 선택하는 이유가 될 수 있습니다.

이러한 기술 중 일부는 이미 사용되고 있으며, 다른 기술은 여전히 연구 개발 단계에 있습니다.

주소 순환 및 계정 추상화는 이미 실제 적용 단계에 진입했습니다. 총괄 계정 및 계층형 수탁 구조는 원장 외부에서 고객 수준의 세부 정보를 보관할 수 있습니다. 동시에 관련 메시지 프로토콜은 체인 상 전송과 함께 "Travel Rule" 데이터를 전송할 수 있습니다.

감사 키가 있는 기밀 전송 방식은 배포가 시작되었지만, 현재 기관 업무에서의 적용은 여전히 제한적입니다.

제재 대상이 아님을 증명하는 방식과 특정 명단에 대한 자산 출처 증명 방식은 현재 파일럿 및 연구 단계에 있습니다.

하지만 관련 솔루션은 실제로 존재합니다. 예를 들어, Privacy Pools는 이더리움과 Solana 위에 배포된 프라이버시 프로토콜로, 영지식 증명을 활용하여 기밀 전송 및 교환을 지원합니다.

규정 준수 프레임워크를 어떻게 구축할까?

우리는 무허가 네트워크 활동에 적용 가능한 금융 규정 준수 프레임워크를 제안하며, 총 9가지 구성 요소로 이루어져 있습니다.

이 중 거래 계층 통제 조치는 주로 기관의 고객 및 거래 상대방을 대상으로 하며, 그 형태는 금융 기관이 현재 사용하는 통제 조치와 대체로 동일합니다. 네트워크 계층 통제 조치는 기본 인프라 자체를 대상으로 합니다.

이러한 조치는 금융 기관이 검증자를 식별하거나, 특정 프로토콜과 서비스 수준 계약을 체결하거나, 특정 게이트키퍼에게 네트워크 멤버십을 신청할 것을 요구하지 않습니다. 이는 모두 허가형 네트워크의 전형적인 특징이지만, 현행 금융 규정 준수 법률은 이러한 요구 사항을 제시하지 않습니다.

이 프레임워크는 또한 미국에서 최근 통과된 《GENIUS 법안》과 일치합니다.

《GENIUS 법안》도 이러한 프레임워크를 채택했습니다. 자금 세탁 방지, 테러 자금 조달 방지 및 제재 통제 조치는 애플리케이션 계층에 두어야 하며, 고객 신원을 파악하고 자산을 통제할 수 있는 주체가 이를 실행해야 합니다.

이 법안은 지급형 스테이블코인 발행을 승인받은 발행자에게 애플리케이션 계층에서 신원이 확인된 규제 대상 주체로서 자금 세탁 방지 프로그램과 제재 준수 프로그램을 구축했으며, 합법적인 명령에 따라 유통 중인 스테이블코인을 동결하거나 소각할 수 있는 기술적 능력을 갖추었음을 증명하도록 요구합니다.

이러한 의무는 스테이블코인 발행자가 부담하며, 스테이블코인이 유통되는 무허가 네트워크가 부담하는 것이 아닙니다.

수십 년 전, 규제를 받는 금융 기관은 또한 개방적이고 글로벌하며 무허가인 네트워크에 직면한 적이 있습니다. 누구나 이 네트워크에 가입할 수 있었고, 네트워크는 합법 및 불법 사용자의 통신 트래픽을 모두 전달했습니다.

금융 기관은 결국 인터넷의 개방형 프로토콜 위에 사업을 구축했고, 애플리케이션 계층에 해당 통제 조치를 마련했습니다.

오늘날 무허가 네트워크도 동일한 방식을 채택할 수 있습니다.

무허가 네트워크를 회피하는 것은 금융 규정 준수 전략이 아니라, 미국 금융 기관이 오랫동안 달러 금융 시스템의 탄력성, 정보 투명성 및 위험 관리 능력을 향상시키는 데 수행해 온 역할을 포기하는 것입니다.

사실, 달러로 표시된 활동은 이미 무허가 네트워크에서 발생하고 있으며, 미국 금융 기관의 참여 여부와 관계없이 계속 발전할 것입니다.

미국 금융 법 집행이 관련 활동을 효과적으로 포괄할 수 있는지 여부는 규제 기관이 금융 흐름을 볼 수 있는지에 달려 있습니다. 그리고 금융 규정 준수 법률 뒤에 있는 제도 설계, 집행 및 법 집행은 미국 금융 기관이 이러한 활동을 능동적으로 관찰하고 모니터링하는 데 의존합니다.

금융 기관이 관련 법률을 잘못 해석하거나 과거의 규제 입장을 우려하여 무허가 네트워크를 회피하기로 선택한다면, 궁극적으로 잃게 되는 것은 개방형 네트워크를 활용하여 고객에게 더 많은 제품과 서비스를 제공할 기회입니다.