[Xangle RWA Series] 컴플라이언스

 

1. 토큰화에서 컴플라이언스가 복잡해지는 이유

2. 토큰화 자산에 적용되는 규제

3. 컴플라이언스 분류와 플레이어

4. 자산별 컴플라이언스 사례

5. 결론

 

 

1. 토큰화에서 컴플라이언스가 복잡해지는 이유

블록체인 위에서 현실의 자산을 다루려는 시도가 빠르게 늘고 있다. 미국 국채와 머니마켓펀드가 토큰으로 발행돼 수십억 달러 규모로 거래되고, 금과 사모신용, 주식도 온체인에서 발행되고 있다. 앞선 리서치에서 이 시장 전체를 자산군별로 나눠 지도를 그렸다면, 이번 시리즈에서는 그 지도의 한 구역을 확대해서 들여다본다. 이번 주제는 컴플라이언스, 곧 규제를 준수하는 일이다. 이 글은 토큰화 자산에 어떤 규제가 적용되는지 짚고, 그 규제를 지키는 플레이어(벤더)와 실제 사례까지 살펴본다.

토큰화라고 하면 보통 기술을 먼저 떠올린다. 어떤 체인 위에 올릴지, 어떤 표준으로 토큰을 발행해 지갑에 담을지 같은 것들이다. 그런데 블록체인과 토큰 표준이 보급되면서 자산을 토큰으로 만드는 일 자체는 이제 그렇게 어렵지 않다. 발행 자체는 오히려 쉬운 편이고, 정작 까다로운 일은 그 뒤에 시작된다.

펀드 지분을 토큰으로 만들어 투자자의 지갑으로 발행했다고 가정한다. 여기서 발행사는 토큰화 상품을 만들어 내놓는 주체를 말한다. 자산운용사가 펀드를 토큰화하면 그 운용사가, 기업이 자기 자산을 토큰화하면 그 기업이 발행사이고, 규제 의무는 일차적으로 발행사가 지게 된다. 발행부터, 그 토큰이 시장에서 유통되고, 다시 상환까지의 생애주기에서 발행사가 확인해야 하는 것들이 있다.

이 지갑을 실제로 쓰는 사람이 누구인지, 이 지갑이 토큰을 다른 지갑으로 전송할 수 있는 권한이 있는지, 수신하는 지갑이 제재 대상이나 범죄 자금에 관계되어 있지는 않은지, 발행한 토큰만큼 실제 펀드 자산이 남아 있는지, 그리고 이 모든 통제를 실행하는 스마트 컨트랙트 코드가 제대로 작동하는지다. 이 확인들은 토큰을 발행하는 순간부터 상환까지 반복되는 일이며, 컴플라이언스의 시간과 비용은 대부분 여기에 집중된다.

이렇게 발행 이후에 이어지는 확인이 어려운 이유는, 전통 금융이라면 한곳에서 처리하던 일이 토큰화에서는 여러 곳으로 흩어지기 때문이다. 지켜야 할 의무 자체가 새로 생긴 것은 아니다. 고객확인(KYC)과 자금세탁방지(AML), 적격투자자 심사 같은 절차는 전통 금융에 이미 수십 년에 걸쳐 자리 잡아 있다. 전통 금융에서는 이 일들이 금융회사의 계좌를 중심으로 한곳에 모여 있었다. 투자자가 증권사에 계좌를 개설하면, 그 계좌 안에서 신원 확인부터 거래 감시, 양도 제한, 소유권 기록까지 하나로 이어졌다. 계좌라는 하나의 중심이 이 모든 것을 하나로 묶고 있었다.

반면, 토큰화에는 그 중심이 없다. 지갑은 계좌와 성격이 다르다. 누구나 심사 없이 몇 초 만에 만들 수 있고, 한 사람이 여러 개를 보유할 수 있으며, 개인키가 유출되면 그 지갑을 실제로 통제하는 주체마저 달라진다. 계좌에는 명의를 고정하고 관리하는 은행이 있지만, 지갑에는 그런 관리자가 없다. 그래서 계좌 안에 모여 있던 정보가 토큰화에서는 여러 곳으로 나뉜다. 투자자의 신원은 중앙화 시스템에, 자산의 보유 기록은 블록체인에, 기초자산은 수탁기관에, 전송 규칙은 스마트 컨트랙트에 각각 존재한다.

결국 토큰화 컴플라이언스는 새로운 규제를 만드는 일이 아니라, 기존 금융에서 계좌 안에 모여 있던 통제를 지갑과 블록체인에 맞게 다시 배치하는 일이다. 문제는 투자자의 신원과 자산 기록, 기초자산, 전송 규칙이 서로 다른 곳에 나뉘어 있는 만큼, 이를 어떤 주체와 시스템으로 연결해 발행, 유통, 상환 전 과정에서 끊김 없이 집행하느냐가 핵심이다.

따라서 이 글은 두 질문을 나눠 살펴본다. 먼저 토큰이 담은 권리와 발행·판매 관할, 거래 주체에 따라 어떤 규제가 적용되는지 정리한다. 이어 컴플라이언스를 투자자 검증, 자금세탁방지, 전송 통제, 자산 검증, 스마트컨트랙트 보안으로 나눠 각 기능애 어떤 대표적인 플레이어가 있는지 살펴보고, 네 가지 사례를 통해 컴플라이언스의 배치를 알아보려 한다.

 

2. 토큰화 자산에 적용되는 규제

토큰화 자산에 적용되는 규제를 판단하려면 토큰이라는 기술적 형식과 토큰이 나타내는 법적 권리를 구분해야 한다. 자산을 블록체인 위에 기록했다고 해서 기존 권리의 성격이 사라지거나, 모든 토큰이 규제상 가상자산이 되는 것은 아니다. 주식이나 펀드 지분을 토큰화하면 증권 규제가 유지되고, 달러 상환청구권이나 실물 인출권을 담으면 각각 스테이블코인과 상품 구조에 맞는 규제가 적용된다.

따라서 세 가지를 순서대로 봐야 한다. 첫째는 토큰이 어떤 기초자산과 권리를 담는지, 둘째는 금융기관과 VASP가 어떤 자금세탁방지와 제재 통제를 수행하는지, 셋째는 토큰이 어느 국가에서 발행·판매되어 어떤 관할 규제를 받는지다.

2-1. 기초자산의 권리

토큰 보유자가 갖는 권리는 크게 넷으로 분류할 수 있다. 이 가운데 가장 많은 비중을 차지하는 것이 증권상 권리를 담은 토큰이다. 주식이나 채권, 펀드 지분처럼 원래 증권이던 것을 토큰으로 기록해도 증권이라는 성격은 그대로 남아, 증권을 누구에게 팔 수 있는지, 어떤 조건으로 전송하고 소유권을 어떻게 기록해야 하는지를 정한 증권 규제가 유지된다. 2026년 3월 미국 SEC와 CFTC도 공동 해석으로 토큰화된 증권을 디지털 증권으로 분류해 SEC 관할에 둔다고 발표했다. 주식과 채권만이 아니라 부동산이나 사모신용도 지분과 수익권 형태로 구조화되면 증권으로 해석되어, 토큰화 자산의 상당수가 여기 해당한다.

반면 지급형 스테이블코인은 성격이 다르다. 이 토큰이 담은 권리는 달러 같은 통화를 액면가로 상환받을 청구권이라, 증권과는 별개로 준비금을 얼마나 어떻게 쌓아두고 상환을 어떻게 보장하는지를 중심으로 규제된다. 미국에서는 GENIUS Act가 이 영역을 규율한다. 금이나 원자재처럼 실물의 소유·인출권을 그대로 토큰화한 경우는 증권이 아니어서, 공통 기반인 자금세탁방지에 더해, 실물이 실제로 보관되어 있는지 확인하는 검증이 붙을 뿐 별도의 증권 규제를 받지는 않는다. 다만 같은 실물이라도 발행사가 대신 운용해 수익을 내주겠다고 약속하는 투자계약 형태로 구조화하여 토큰화한다면, 이 역시 증권으로 해석되어 증권 규제를 지켜야한다.

2-2. 가상자산

자금세탁방지는 토큰이라는 형식 자체보다 가치의 교환과 이전, 보관을 수행하는 주체와 행위에 적용된다. FATF는 기존 금융기관 규율에 포함되지 않으면서 타인을 위해 가상자산과 법정통화의 교환, 가상자산 간 교환, 이전, 보관 또는 발행, 판매 관련 금융서비스를 영업으로 수행하는 주체를 가상자산사업자(VASP)로 정의한다. 각국은 이를 바탕으로 VASP를 등록하거나 인가하고, 고객확인과 거래 기록 보관, 의심거래보고, 트래블룰 등의 의무를 부과한다.

따라서 모든 토큰화 구조에 VASP 규제가 동일하게 적용되는 것은 아니다. 토큰화 증권을 브로커딜러나 수탁기관이 취급한다면 기존 금융기관의 자금세탁방지 체계가 작동하고, 가상자산의 교환, 이전, 보관을 중개한다면 VASP 규율이 적용된다. 개인 지갑 사이의 직접 전송에는 이용자를 확인하는 중개자가 없으므로 프로토콜 단계에서 동일한 KYC가 이뤄지지 않는다. 대신 발행·상환, 거래소, 수탁기관, 법정화폐와 가상자산을 연결하는 온·오프램프처럼 규제받는 사업자가 개입하는 지점에 통제가 집중된다.

제재는 자금세탁방지와 판단 기준이 다르다. 자금세탁방지가 고객과 자금의 출처, 거래 패턴을 통해 불법자금 위험을 확인한다면, 제재는 거래 상대방이나 그가 소유 및 통제하는 자산이 금지 대상과 연결돼 있는지를 확인한다. 정상적으로 조성된 자금이라도 제재 대상과 거래하면 위반이 될 수 있으며, 이 의무는 가상자산이나 법정화폐라는 지급 수단의 차이와 무관하게 적용된다. 다만 구체적인 제재 명단과 금지 범위는 UN과 각 국가의 외교, 안보 정책에 따라 달라진다.

2-3. 발행과 판매 관할

자금세탁방지는 FATF가 제시한 공통 기준을 각국이 법제화한다. 반면 증권의 발행, 판매, 거래는 관할마다 별도의 법률과 인가 체계를 따른다. 토큰화해도 증권이라는 법적 성격은 그대로이므로, 발행사는 어느 관할에서 토큰을 발행하고 어느 국가의 투자자에게 판매할지에 따라 증권 등록, 투자설명서, 판매 사업자, 2차 시장을 확인해야 한다.

아래에서는 관할별 차이가 가장 뚜렷한 증권형 토큰을 중심으로 미국, EU, 싱가포르, 아부다비 글로벌마켓의 발행 및 판매 규제를 비교한다.

미국

미국에서는 증권거래위원회(SEC)가 증권의 발행과 판매를 감독한다. 토큰화 국채 펀드가 활용하는 대표적인 구조는 증권법 Rule 506(c)와 투자회사법 3(c)(7)의 조합이다. Rule 506(c)는 공개적으로 투자자를 모집할 수 있도록 허용하되, 모든 매수자를 적격투자자로 제한하고 발행사가 그 자격을 직접 검증하도록 요구한다. 소득과 순자산 자료를 확인하거나, 브로커딜러와 투자자문사, 변호사, 회계사가 최근 확인한 서면을 받는 방식이 인정된다. 3(c)(7)은 투자자를 적격구매자로 한정하는 조건으로 펀드를 투자회사법상 등록 대상에서 제외하는 규정이다. 두 규정은 각각 증권 발행과 펀드 등록을 다루기 때문에 함께 적용된다.

일반 투자자를 대상으로 펀드를 판매하려면 투자회사법상 등록 구조를 갖춰야 한다. 이 가운데 머니마켓펀드로 설계한 상품에는 Rule 2a-7이 적용되며, 단기자산 중심의 포트폴리오 구성과 만기, 유동성, 공시 요건을 따라야 한다. 증권 판매와 중개를 외부 사업자가 맡으면 등록 브로커딜러가 필요하고, 소유자 명부와 권리 이전을 외부에서 관리하면 등록 명의개서대리인이 참여한다.

EU

EU에서 토큰이 주식이나 채권, 펀드 지분과 같은 금융상품에 해당하면 가상자산 규제인 MiCA가 아니라 기존 증권 규제를 따른다. 일반 투자자에게 공모하려면 본국 회원국 감독당국이 승인한 투자설명서가 필요하다. 이를 다른 회원국에 통지하면 같은 투자설명서를 이용해 해당 국가에서도 판매할 수 있다. 실제 판매와 중개는 금융상품시장지침인 MiFID II에 따라 인가받은 투자회사가 수행한다.

펀드에는 상품 유형에 따라 별도 규제가 필요하다. UCITS는 일반 투자자에게 판매하는 공모펀드에 적용되는 규정으로, 자산 분산과 유동성, 수탁기관 선임 등을 요구하며, AIFMD는 사모펀드와 헤지펀드 등 대체투자펀드의 운용사를 규율하며, 운용사 인가와 위험관리, 보고, 수탁 의무를 정한다. 블록체인 기록을 법적 증권 원장으로 인정하는 방식은 회원국법이 결정한다. 독일은 전자증권법을 통해 전자증권 등록부에 법적 효력을 부여하고, 룩셈부르크는 통제 대리인이 분산원장 기반 발행 기록을 관리하는 제도를 두고 있다.

싱가포르

싱가포르에서는 통화청(MAS)이 증권선물법에 따라 토큰화 증권을 감독한다. MAS는 토큰화가 상품의 법적 성격을 바꾸지 않는다는 원칙을 적용한다. 주식이나 채권, 펀드 지분을 토큰으로 발행해도 기존 증권의 발행과 판매 규제가 그대로 적용된다. 일반 투자자에게 공모하려면 투자설명서를 MAS에 등록해야 하고, 기관투자자나 적격투자자로 판매 대상을 제한하면 등록 면제를 받을 수 있다.

토큰화 증권을 판매하거나 취급하는 사업자는 자본시장서비스(CMS) 라이선스를 받아야 한다. CMS 라이선스는 증권 매매와 중개, 펀드 운용 등 자본시장 업무를 수행하기 위한 인가다. 2차 시장을 운영하려면 별도로 인가거래소나 인가시장운영자 지위가 필요하다. 블록체인 기록을 위한 별도 증권법은 없으며, 기존 증권 규제와 소유자 기록 체계 안에 토큰을 편입한다.

아부다비 글로벌마켓

아부다비 글로벌마켓(ADGM)은 아부다비에 설치된 국제금융센터이며, 금융서비스규제청(FSRA)이 내부 금융회사와 자본시장을 감독한다. 토큰화된 주식과 채권, 펀드 지분도 기존 증권으로 분류된다. 일반공모에는 FSRA가 승인한 투자설명서가 필요하고, 공식 목록 등재와 인가거래소 상장은 별도의 심사를 거친다. 전문고객 대상 등 일정 요건을 충족하면 Exempt Offer로 발행할 수 있으며, 이 경우 FSRA의 투자설명서 승인을 받지 않아도 된다.

토큰화 증권의 판매와 중개, 거래시장 운영에는 각각의 업무에 맞는 금융서비스허가가 필요하다. 2차 거래는 인가거래소나 다자간거래시설에서 이뤄지며, 수탁과 결제도 인가된 사업자가 담당한다. ADGM은 기존 증권 규제를 적용하면서 토큰화 증권의 발행부터 상장, 거래, 수탁과 결제까지 담당 주체와 인가 요건을 구체적으로 정하고 있다.

수탁과 결제도 인가된 주체가 담당한다. 인가청산소(RCH)나 수탁 허가를 받은 디지털결제시설(DSF)이 거래 결제와 토큰 보관을 수행하며, 디지털결제시설은 소유권 변경 기록, 투자자 명부 관리, 토큰의 발행과 소각, 배당 지급까지 맡을 수 있다. 또한 분산원장의 접근 권한은 발행사나 거래시설, 결제시설이 관리할 수 있어, 허가받은 참여자만 토큰을 보유하거나 다른 지갑으로 이전하도록 제한할 수 있다. ADGM은 토큰화 증권의 발행부터 상장, 2차 거래, 수탁, 결제와 명부 관리까지 담당 주체와 인가 요건을 하나의 구조로 연결한다.

 

3. 컴플라이언스 분류와 플레이어

앞서 본 것처럼, 토큰화 자산은 가상자산 규제와 기초자산 규제, 판매 국가의 규제를 동시에 지켜야 한다. 신원을 확인하고, 자금을 추적하고, 전송을 통제하고, 자산을 검증하는 실제 작업이 뒤따라야 한다. 이 작업을 수행하는 사업자들이 이 장의 주제다.

확인해야 할 곳은 다섯이다. 지갑의 사용자, 그 지갑이 주고받는 자금의 출처, 토큰을 받을 자격, 토큰을 뒷받침하는 자산의 실재, 이 통제를 실행하는 코드의 무결성이다. 다섯은 확인하는 대상도, 그에 필요한 역량도 다르다. 신분증의 진위를 판별하는 일과 온체인 자금 흐름을 추적하는 일, 금고의 실물을 검사하는 일을 한 회사가 모두 감당하기는 어렵다. 토큰화 자산의 컴플라이언스가 1)투자자 검증, 2)자금세탁방지, 3)전송 통제, 4)자산 검증, 5)스마트컨트랙트 보안이라는 다섯 기능으로 갈리는 이유다.

발행사는 이 다섯 기능마다 플레이어를 선택해 조합하거나, 여러 기능을 묶어 제공하는 플레이어에게 맡긴다. 이 선택은 규제를 어겼을 때 누가 책임을 지느냐로 이어진다. 미국 연방법은 신원 확인이나 의심거래 보고 같은 의무를 그 일을 실제로 수행하는 라이선스 보유자에게 부과한다 따라서, 라이선스를 가진 플레이어가 자기 이름으로 확인을 수행하면 그 책임까지 플레이어가 지고, 라이선스 없이 도구만 공급하는 플레이어를 쓰면 책임은 발행사에 남는다. 발행사가 각 기능에서 어떤 플레이어를 쓰는가는, 곧 자신이 어디까지 책임질 것인지도 정하는 일이다.

3-1. 투자자 검증

투자자 검증에서 확인하는 내용은 전통 금융의 계좌 개설과 같다. 신분증으로 개인을 확인하고(KYC), 법인이라면 등기와 지분 구조에 더해 그 뒤의 실소유자까지 확인한다(KYB). 서류상의 법인만 확인해서는 그 뒤의 실소유자가 제재 대상이어도 파악할 수 없기 때문이다. 취득 자격이 제한된 일부 발행에서는 소득이나 자산 요건을 갖췄는지까지 심사한다. 달라지는 것은 확인의 대상으로, 증권사가 관리하는 계좌가 아니라 투자자의 지갑을 확인해야 하는데, 지갑에는 사용자를 확인하고 관리하는 주체가 없다.

그래서 토큰화에서는 계좌가 하던 확인을 지갑에서 다시 구현한다. 지갑을 연결하는 시점에 신원과 자격을 확인하고, 확인에 쓰인 신분증이나 증빙 원본은 발행사나 검증 사업자의 중앙화 시스템에 보관한다. 그 지갑이 확인을 통과해 자격을 갖췄다는 결과만 온체인의 지갑 주소에 기록한다. 이 자격이 온체인에서 읽을 수 있는 상태로 남아야, 이후 전송 단계에서 그 지갑이 증권을 받을 자격이 있는지 판단하고 자격 없는 지갑으로의 전송을 차단할 수 있다.

또한, 이 확인은 한 번으로 끝나지 않는다. 지갑을 확인한 투자자가 그 지갑을 계속 사용한다는 보장이 없고, 한번 부여한 자격도 그대로 유지되지 않는다. 제재 명단은 갱신되고, 적격 상태도 시간이 지나면 만료되기 때문에, 지속적인 관리가 필요하다.

Securitize

Securitize는 증권의 발행과 투자자 검증, 명의개서, 2차 거래를 하나의 라이선스 체계 안에서 처리하는 토큰화 플랫폼이고, 그중 투자자 검증을 맡는 것이 Securitize ID로, 투자자 검증에 필요한 대부분을 제공한다. 개인 투자자는 신분증과 얼굴 대조로, 법인은 지배 구조와 실소유자까지 확인하고, 증권 취득에 필요한 적격성도 심사한다. 통과한 투자자의 지갑에 적격 자격이 부여되면, Securitize의 DS 프로토콜이 이 자격을 전송 통제에 활용하는 등, 투자자 검증과 전송 통제까지 제공하는 플레이어다.

Securitize의 강점은 투자자 검증에 따르는 규제 의무를 자사 라이선스 안에서 함께 처리한다는 데 있다. 토큰화 증권을 판매하려면 증권을 중개할 브로커딜러 라이선스가 필요한데, 이 라이선스를 가진 사업자는 고객을 받을 때 은행비밀법에 따라 고객확인(CIP)을 수행해야 한다. Securitize는 계열사 Securitize Markets가 SEC 등록 브로커딜러여서 이 계열사가 직접 투자자를 검증한다. 검증 소프트웨어만 공급하고 규제 의무는 발행사가 지는 대부분의 플레이어들과 달리, 별도로 브로커딜러를 세우거나 고객확인(CIP) 체계를 구축하지 않아도, Securitize의 라이선스를 통해 투자자 검증과 고객확인 의무가 함께 해결된다. 토큰 발행부터 투자자 검증, 전송 통제를 한번에Securitize에 맡길 수 있다는 장점이 있다.

iCapital

iCapital은 사모펀드나 헤지펀드처럼 접근이 제한된 대체투자 상품을 은행과 증권사에 연결하는 유통 플랫폼으로, 블랙스톤이나 KKR이 만든 상품이 이 플랫폼을 거쳐 팔린다. 이런 상품은 일정 소득이나 자산을 갖춘 적격투자자만 살 수 있어, 파는 쪽은 매입자가 그 자격이 되는지 확인해야 한다. iCapital은 2025년 Parallel Markets를 인수하며 이 확인을 한 번만 받으면 되는 투자자 여권을 도입했다. 한 번 자격을 확인받은 투자자는 다른 상품을 살 때 재확인 없이 이 여권을 쓴다.

iCapital의 강점은 이 검증에 따르는 책임을 자사 라이선스로 대신 진다는 데 있다. 계열사 iCapital Markets가 SEC 등록 브로커딜러로서, 사모 적격투자자 확인을 이 브로커딜러가 자기 이름으로 수행하고 확인서를 발급한다. 이 확인서는 미국 사모 규정에서 인정하는 검증 방식이라, 발행사는 이 확인서에 기대어 사모 적격성 검증 부담을 던다. 검증 결과만 넘기고 책임은 발행사에 남기는 소프트웨어 공급자와 다른 부분이다.

Sumsub

Sumsub은 투자자 검증 소프트웨어를 공급하는 회사로, Bybit과 Bitget 같은 글로벌 가상자산 거래소가 가입자를 받을 때 이 소프트웨어로 신원을 확인한다. 개인은 신분증과 얼굴 대조로, 법인은 지배 구조를 따라 실소유자까지 확인한 뒤, 그 결과를 제재 명단과 대조해 위험 인물을 가려낸다. 여기에 검증을 통과한 투자자를 사후에 지켜보는 모니터링까지 더해, 온보딩부터 감시까지 한 소프트웨어로 처리한다.

Sumsub의 강점은 이 기능들을 하나로 묶었다는 데 있다. 신원 확인부터 제재 스크리닝, 사후 모니터링까지 따로 조달하면 연동이 번거로운데, Sumsub은 이를 한 소프트웨어로 묶어 크립토 업계에서 가장 널리 쓰이는 검증 도구로 자리 잡았다. 다만 라이선스 없는 소프트웨어일 뿐이어서, 검증은 대신 수행해도 그 결과에 따르는 고객확인 책임은 이를 도입한 발행사에 남는다.

Entrust (Onfido)

Entrust는 신분증의 진위와 신청자 본인 여부를 판별하는 데 특화된 검증 회사로, 2024년 신원 검증 전문 기업 Onfido를 인수해 그 기술을 확보했다. Revolut, Bitstamp 같은 서비스가 가입자 확인에 Entrust를 써왔다. 정부가 발급한 신분증의 진위와 형식을 살피고, 얼굴을 촬영해 신분증 사진과 대조하며, 위조 신분증이나 딥페이크로 남을 사칭하려는 시도를 잡아낸다.

Entrust의 강점은 이 신원 확인의 정확도다. 촬영한 얼굴이 실제 사람인지 가려내는 생체 검증이 국제 인증(iBeta Level 2)을 받았고, Onfido가 밝힌 오수용률(사기 시도를 정상으로 통과시키는 비율)은 0.01% 수준이다. 다만 Entrust 역시 라이선스 없는 소프트웨어 공급자라, 확인 결과를 넘길 뿐 그 사람을 투자자로 받아들이는 책임은 이를 도입한 발행사가 진다.

3-2. 자금세탁방지·거래 모니터링

투자자 검증이 지갑의 주인을 확인하는 일이라면, 자금세탁방지는 그 지갑이 주고받는 자금을 확인하는 일이다. 온보딩에서 확인한 신원은 그 시점의 상태일 뿐이어서, 확인을 통과한 투자자도 이후 제재 대상과 거래하거나 범죄 수익이 이동할 수 있고, 개인키가 유출되면 그 지갑을 사용하는 주체 자체가 달라진다. 게다가 온체인에서의 거래는 되돌릴 수 없어서, 위험이 뒤늦게 발견되면 자금은 이미 여러 지갑과 디파이를 거쳐 세탁되었을 가능성이 높다. 온보딩 이후에도 지갑의 자금과 거래를 지속적으로 모니터링해야 하는 이유다.

이 자금세탁방지는 두 가지 방식으로 이뤄진다. 하나는 트랜잭션 모니터링, KYT(Know Your Transaction)다. 지갑과 거래 흐름의 위험을 온체인에서 분석하는 것으로, 지갑이 제재 대상이나 해킹 자금, 믹서 같은 경로와 연결되는지 추적하고, 갱신되는 제재 명단에 맞춰 기존 투자자를 주기적으로 다시 대조한다. 다른 하나는 트래블룰이다. 기관 사이에 일정 금액 이상을 전송할 때 송신인과 수신인의 정보를 함께 전달하도록 요구하는 규정인데, 은행 간 송금에는 이 정보가 처음부터 함께 담기는 반면, 온체인 전송에서는 상대가 규제받는 사업자인지 개인 지갑인지조차 드러나지 않는다. 따라서 발행사는 상대를 식별하고 그 사업자와 정보를 주고받는 별도의 네트워크를 갖춰야 한다.

모니터링 시스템은 개별 거래를 실시간으로 스크리닝해, 제재 대상 주소나 믹서 노출, 비정상 거래 패턴, 기준 금액 초과 같은 위험 지표에 해당하면 알림을 생성한다. 알림이 발생하면 컴플라이언스 담당자가 해당 거래의 자금 흐름을 확인하고, 의심 거래로 판단되면 정해진 기한 안에 당국에 보고한다. 또한, 이를 어떤 근거로 무엇을 확인해 어떻게 판단했는지를 기록으로 남겨야 이후 규제당국의 검사에 대응할 수 있다.

Chainalysis

Chainalysis는 2014년부터 온체인 분석 시장을 이끌어온 회사다. 강점의 뿌리가 법 집행과 규제 기관에 있다. 미국 국세청과 연방수사국을 비롯한 각국 수사 당국이 범죄 자금 추적에 Chainalysis를 써왔고, 이 과정에서 쌓인 주소 라벨과 자금 흐름 데이터가 이후 민간 컴플라이언스 제품의 바탕이 됐다. 오래 축적된 데이터와 조사 역량이 이 회사의 자산이다.

분석하는 것은 지갑과 거래의 위험이다. 온체인 주소를 실제 주체(거래소, 믹서, 제재 대상, 다크마켓 등)와 연결하는 라벨링, 같은 주인이 쓰는 주소들을 하나로 묶는 클러스터링, 특정 지갑이 위험한 자금원과 몇 단계 떨어져 있는지 계산하는 익스포저 분석을 거쳐 각 지갑과 거래에 위험도를 매긴다. 이 위험도가 거래 스크리닝과 지갑 평가에 사용되고, 위험 신호가 포착되면 조사 도구인 Reactor가 자금의 출처와 목적지를 추적한다. 이 추적 결과가 당국 보고서의 근거나 자산 동결을 요청할 때의 소명 자료가 된다.

여기에 온보딩 이후로 모니터링이 계속된다는 특성이 더해진다. 거래 당시에는 문제가 없던 상대라도 나중에 제재 대상으로 지정되거나 범죄 정황이 드러나면 과거 거래의 위험이 소급해 재평가되고, 그 거래가 새로 보고 대상이 될 수 있다. 투자자 검증 때의 확인만으로는 잡을 수 없는 위험을 걸러내는 것이다.

Chainalysis는 토큰화 자산에서도 이 분석 역량을 그대로 제공한다. 스테이블코인 발행사 Tether가 실물자산 토큰화를 위해 만든 플랫폼 Hadron에 Chainalysis의 모니터링이 통합돼, 스테이블코인과 채권, 상품 담보 토큰이 발행되고 유통되는 과정의 거래를 감시하고 위험을 탐지한다.

TRM Labs

TRM Labs는 지갑과 거래를 추적해 제재 대상과 불법 자금 연결을 판별하고 위험 점수를 부여한다. 라벨링과 클러스터링, 익스포저 분석이라는 기본 방법은 Chainalysis와 유사하지만, 두 회사를 가르는 것은 이 위험 정보를 어떻게 활용하는지다. TRM의 무게는 위협을 실시간으로 공유하고 대응하는 데 있다.

그 중심이 비콘 네트워크(Beacon Network)다. 수사 기관과 거래소, 스테이블코인 발행사가 확인된 범죄·제재 관련 주소 정보를 이 네트워크에 공유하면, 표시된 자금이 참여 기관에 도착하는 순간 알림이 가고 그 기관이 입금을 보류하거나 검토할 수 있다. 해킹이나 사기, 제재 자금이 거래소를 통해 현금으로 출금되기 전에 길목에서 차단하는 구조다. 위험이 감지되면 컴플라이언스 팀이 조사 도구로 자금 흐름을 확인하고, 그 결과를 통해 당국에 보고할 수 있다.

미국 비밀경호국과 국토안보수사국을 비롯한 수사 기관이 사용하고 있으며, 민간 기업은 Circle과 PayPal, Visa, Coinbase 같은 결제·거래 사업자가 사용하고 있다. 범죄 자금이 결제망과 거래소로 흘러드는 것을 빠르게 잡아내야 하는 곳들이다. 이 가운데 Circle과 PayPal은 각각 USDC와 PYUSD를 발행하는 곳이라, 발행사 입장에서 필요한 실시간 모니터링이 대형 스테이블코인의 운영에서 검증되고 있는 셈이다.

Elliptic

Elliptic도 온체인 거래를 추적하고 조사하지만, 초점이 개별 거래보다 생태계 전체에 있다. 앞선 두 플레이어가 지갑 하나하나의 위험을 판별하는 데 무게를 둔다면, Elliptic은 발행사가 자기가 발행한 토큰을 둘러싼 위험을 들여다 볼 수 있다. 예를 들어, 토큰이 어느 2차 시장에서 거래되는지, 어떤 지갑들이 보유하는지, 생태계 전체의 위험 노출이 어떻게 달라지는지를 지속적으로 모니터링하는 방식이다.

이 덕분에 토큰화 자산과의 연결이 세 곳 가운데 가장 구체적이다. 2026년, Elliptic은 로빈후드가 토큰화 주식과 RWA 결제를 위해 구축한 블록체인을 출범 시점부터 지원한다고 밝혔고, 유로 스테이블코인을 발행하는 Monerium은 Elliptic의 제품군을 도입해 스테이블코인 생태계의 위험 관리에 사용한다. 발행사 입장에서 Elliptic은 개별 거래를 걸러내는 도구를 넘어, 자기가 발행한 토큰이 시장에서 어떤 위험에 노출되는지를 모니터링하는 것이다. 발행된 토큰이 퍼미션리스 형태로 유통되어 보유자와 거래처를 직접 통제할 수 없는 발행사일수록 이 시야가 필요하다.

Notabene

앞선 세 플레이어가 자금의 흐름을 쫓는다면, Notabene은 전송의 당사자를 식별한다. 트래블룰에 특화된 회사로, 전송 상대가 어느 사업자인지 확인하고 규정이 요구하는 정보를 주고받는 네트워크를 맡는다.

기존의 문제는, 트래블룰 정보를 주고받는 프로토콜이 하나로 통일되지 않았다는 데 있다. 사업자마다 서로 다른 규격을 쓰면 규정이 요구하는 정보가 전달되기 어렵다. Notabene은 여러 프로토콜을 하나로 묶어, 대상 사업자가 어느 규격을 쓰든 정보가 전달되게 한다. 전송이 실행되기 전 단계에서 사업자가 누구인지 확인하고, 제재 대상인지 판별하며, 조건에 맞지 않으면 전송을 보류하는 판단까지 지원한다.

다만, 지갑의 위험을 깊이 분석하는 조사 기능은 직접 갖추지 않고 있어, 위 세 플레이어가 제공하는 지갑의 위험 점수를 판단에 사용하는 방식이다. Notabene의 트래블룰 네트워크에는 2,000곳이 넘는 가상자산 사업자가 연결되어 있고, 이 망을 거친 누적 전송액은 2026년 1월 기준 2조 달러를 넘어섰다.

3-3. 전송 통제

규제 대상 증권을 직접 토큰화한 경우, 그 토큰은 일반 토큰처럼 자유롭게 전송될 수 없다. 토큰을 수신하는 지갑은 신원 확인을 마친 자격 있는 지갑이어야 하고, 제재 대상으로 동결된 지갑이어서는 안 된다. 국가나 관할에 따라 해당 토큰을 보유할 수 없는 경우도 있다. 반면 기초 자산을 직접 담지 않고 가격만 추종하도록 구조화된 토큰은 이런 제약 없이 거래되기도 한다. 전통 금융에서는 이런 제약을 소유권 이전의 마지막 단계에서 처리했다. 명의개서대리인이 소유자 명부를 관리하면서, 소유권 이전을 명부에 기록하는 단계에서 자격 없는 대상으로의 이전을 제한했다.

온체인에는 이런 단계가 없다. 토큰 전송은 블록체인에서 실행되면 되돌릴 수 없어서, 부적격 지갑으로 한번 전송되면 사후에 바로잡기 어렵다. 앞서 소개했던, 거래 모니터링만으로는 부족하다. 모니터링이 위험을 탐지하더라도, 부적격 지갑으로의 전송을 실제로 통제하지 못하면 통제가 완성되지 않기 때문이다. 전송 통제는 앞 영역들과 성격도 다르다. 신원 확인이나 거래 모니터링은 통제 소프트웨어가 데이터를 판별해 발행사에 넘기는 구조지만, 전송 통제는 그 판별 결과가 스마트 컨트랙트 안에 들어가 온체인에서 직접 집행되어야 한다.

이를 위해 두 가지 일이 함께 필요하다. 하나는 온보딩에서 확인한 신원과 적격성, 관할 정보를 지갑에 검증 가능한 형태로 기록하는 일이고, 다른 하나는 그렇게 기록한 자격을 전송 시점에 읽어 조건에 맞지 않으면 전송을 차단하는 일이다. 받을 자격이 있는지, 제재 대상은 아닌지, 허용된 관할인지를 토큰에 기록해두면, 전송이 일어날 때마다 스마트 컨트랙트에 담긴 코드가 그 조건을 자동으로 확인한 뒤 실행한다.

전송 통제는 발행 시점에 규칙을 설정하는 것으로 끝나지 않는다. 제재 지정이나 법적 명령은 발행 이후에도 언제든 내려올 수 있고, 이때 발행사는 특정 지갑의 토큰을 동결하거나 회수할 수 있어야 한다. 투자자의 자격이 달라지면 온체인 신원도 갱신하고, 갱신한 정보가 다음 전송부터 곧바로 반영되어야 한다.

Tokeny

Tokeny는 2017년 설립된 회사로, 발행사가 컴플라이언스가 내장된 토큰을 발행하도록 돕는 인프라를 제공한다. 이 인프라의 바탕은 ERC-3643이라는 토큰 표준이다. 일반적인 토큰 표준(ERC-20)이 누구나 자유롭게 주고받을 수 있게 설계된 것과 달리, ERC-3643은 전송이 일어나기 전에 받는 지갑이 자격을 갖췄는지 확인하고 조건에 맞지 않으면 전송을 거부하도록 설계된 허가형 토큰 표준이다. Tokeny는 이 표준의 개발을 주도했고, 표준을 실제로 운영하는 플랫폼(T-REX)과 지갑에 신원을 부여하는 온체인 신원 체계(ONCHAINID)를 함께 제공한다.

작동은 두 갈래로 나뉜다. ONCHAINID는 온보딩에서 확인된 투자자의 신원과 적격성, 관할 정보를 지갑에 검증 가능한 형태로 부여한다. 그리고 ERC-3643로 발행된 토큰은 전송이 시도될 때마다 받는 지갑의 ONCHAINID를 조회해, 그 지갑이 자격을 갖췄고 전송이 규정에 어긋나지 않는지를 스마트 컨트랙트가 스스로 확인한 뒤에야 전송을 실행한다. 자격 없는 지갑으로의 전송, 잠금 기간 중의 전송, 금지된 관할로의 전송은 스마트 컨트랙트 단계에서 거부된다. 제재 대상으로 지정되거나 법적 명령이 있을 때 특정 지갑의 토큰을 동결하거나 회수하는 권한도 이 구조에 포함된다.

Tokeny의 강점은 이 표준을 만든 당사자로서, 인프라까지 함께 제공한다는 데 있다. ERC-3643은 공개 표준이라 누구나 사용할 수 있지만, 그러려면 컨트랙트부터 신원 체계까지 고려한 인프라를 직접 구축해야 한다. Tokeny는 이를 완성된 형태로 제공해, 발행사가 직접 구축하지 않고도 컴플라이언스 내장 토큰을 발행할 수 있게 한다. 다만 Tokeny가 전송 제한과 ONCHAINID, 허가 로직을 제공하더라도, 그 발행이 증권법상 전매 제한과 제재, 명의개서 규정을 지켰는지에 대한 책임은 이를 사용하는 발행사와 명의개서대리인에 남는다.

Securitize (DS Protocol)

Securitize는 투자자 검증 부분에서 본 것처럼 발행부터 온보딩, 명의개서까지를 하나의 라이선스 체계 안에서 처리하는 토큰화 플랫폼이고, 전송 통제도 그 체계의 일부로 제공한다. 그 근간이 DS 프로토콜(Digital Securities Protocol)이다. Securitize가 발행하는 토큰화 증권은 이 프로토콜 위에서 만들어지는데, 토큰 자체에 컴플라이언스 규칙이 내장되어 전송마다 그 규칙을 검사한다는 점에서 작동 원리는 ERC-3643과 유사하다.

차이는 이 프로토콜이 독립적으로 쓰이지 않는다는 데 있다. DS 프로토콜은 Securitize ID로 확인한 투자자 자격을 읽어 전송을 통제하는데, 이 신원 확인과 발행, 명의개서가 모두 Securitize의 체계 안에서 맞물려 돌아간다. 투자자 검증에서 Securitize ID로 온보딩한 투자자의 자격이 온체인에 기록되고, DS 프로토콜이 그 자격을 통해 토큰의 전송을 허용하거나 차단하며, 그 전송 기록이 다시 Securitize의 명의개서에 반영되는 식이다.

여기서 규제 책임의 성격이 Tokeny와 갈린다. DS 프로토콜이 Securitize의 라이선스 체계 안에서 쓰일 때, 소유자 명부 관리와 전송 통제의 결과에 대한 책임은 명의개서대리인인 Securitize 계열사가 진다. 전송 통제라는 같은 기능을 Tokeny는 발행사가 책임지는 표준으로 떼어 제공하고, Securitize는 자사가 책임지는 발행 체계에 내장해 제공하는 것이다. Securitize는 발행부터 전송 통제와 그 책임까지를 한번에 맡길 수 있다는 장점이 있다.

3-4. 자산 검증

블록체인이 기록하는 것은 토큰이 얼마나 발행됐고 어느 지갑이 보유하는지까지다. 토큰을 뒷받침하는 기초자산은 체인 밖에 있다. 국채는 수탁은행의 계좌에, 금은 금고에 보관되며, 그 잔고와 재고는 온체인에서 확인할 수 없다. 발행사가 보유 내역을 공개할 수는 있지만, 그 내역이 사실인지 확인할 근거는 발행사의 주장 외에는 없다. 따라서 발행사는 독립된 제3자에게 이 확인을 의뢰하고, 그 결과를 보고서로 공개한다.

의뢰하는 곳과 확인의 형태는 기초자산에 따라 갈린다. 현금과 국채가 기초자산이면 회계법인에 준비금 증명(attestation)을 의뢰한다. 기준일의 수탁 계좌 잔고와 같은 시점의 토큰 유통량을 대조해, 발행량만큼의 준비금이 실재하는지 확인하는 작업이다. 기초자산이 펀드 지분이면 같은 회계법인이 수행하더라도 확인의 범위가 넓어진다. 펀드는 토큰화 여부와 무관하게 연 단위 회계감사(audit) 대상인데, 감사는 준비금 잔액을 대조하는 데 그치지 않고 재무제표 전체에 대해 회계법인이 의견을 낸다. 발행사는 이 감사 보고서를 투자자에게 전달한다. 기초자산이 금이라면 확인 대상이 회계 기록에서 금고의 실물로 바뀐다. 금괴가 실제로 있는지, 표기된 순도와 중량에 맞는지는 계량해서 기록과 대조해야 알 수 있어, 검사와 인증을 전업으로 하는 기관이 이 일을 맡는다.

현재 토큰의 담보 검증을 요구하는 규정은 지급형 스테이블코인에만 있다. GENIUS Act는 1대 1 준비금과 월별 준비금 보고, 그 보고에 대한 등록 회계법인의 검증을 요구하고, 발행 잔액이 500억 달러를 넘으면 연간 재무제표 감사까지 의무로 규정했다. 검증의 주기와 검증자의 자격을 정해둔 것이다. 반면, 스테이블코인 외의 토큰화 자산에는 이러한 규정이 없지만, 발행사들은 같은 검증을 의뢰해 공개하고 있다. 기초자산이 실재한다는 사실을 투자자에게 공개하지 못하면 신뢰를 줄 수 없기 때문이다. 규정이 없는 만큼 기관, 검증 주기, 공개 방법 등을 발행사가 정할 수 있다.

Big4 (Deloitte·KPMG·PwC)

대형 스테이블코인과 기관급 토큰화 자산의 검증은 Deloitte, KPMG, PwC 같은 대형 회계법인이 담당한다. 이들은 미국 상장회사회계감독위원회(PCAOB)에 등록되어 있어, 상장 발행사와 브로커딜러의 법정 감사까지 수행할 수 있는 자격과 독립성 요건을 갖췄다. Deloitte는 2022 회계연도부터 Circle의 재무제표를 감사해왔고, USDC 준비금은 2023년부터 매월 증명하고 있으며, Ripple의 RLUSD 준비금도 매월 검증한다. KPMG는 2025년부터 PayPal의 PYUSD 준비금을 매월 검증하고 있다.

준비금 증명에서 회계법인은 자산과 발행량을 각각 직접 확인한다. 준비금 자산의 잔액은 예치된 은행과 자산운용사에 직접 조회하고, 유통 중인 토큰 수량은 자체 인프라로 블록체인에서 확인한 뒤, 그 시점에 자산이 발행량 이상이었는지에 대해 의견을 낸다. Circle과 Paxos, Ripple이 매월 내는 보고서가 이 절차를 거친다.

The Network Firm

The Network Firm은 크립토 자산에 특화된 미국 공인회계법인으로, 스테이블코인과 토큰화 자산의 준비금 증명(Proof of Reserves)을 전문으로 한다. 증명 결과를 월별이나 분기별 보고서로 내는 데 더해, 같은 데이터를 온체인에 올리는 서비스(LedgerLens)를 운영한다. 수탁 계좌에 읽기 전용으로 접근해 잔액을 파악하고, 그 데이터를 체인링크의 준비금 증명 오라클로 전달하는 방식이다.

가상자산 거래소 크라켄의 보유 자산을 분기마다 검증해왔으며, Backed Finance의 토큰화 주식 서비스 xStocks에서는 발행된 토큰과 수탁된 주식이 대응하는지를 10분 단위로 확인하고 공개하고 있다.

Bureau Veritas

Bureau Veritas는 검사(inspection)와 인증(certification)을 전업으로 하는 기관으로, 상품과 설비의 실물 상태를 현장에서 확인하고 보고서를 발급한다. 금융이 아니라 무역과 산업에서 출발한 회사이고, 금 보관 검사는 그 업무의 한 갈래다. 세계 최대 금 ETF인 SPDR Gold Shares(GLD)의 금고 실사를 맡아왔고, 토큰화 자산에서는 Matrixdock의 금 토큰(XAUm) 담보 금고를 검사했다.

검사는 금고에서 이뤄진다. 검사원이 보관된 금괴를 하나씩 계량하고 순도를 측정한 뒤, 일련번호를 금고의 재고 기록과 대조한다. 검사일에 무엇이 몇 개 있었고 각각의 중량과 순도가 얼마였는지가 보고서에 기록된다.

3-5. 스마트컨트랙트 보안

앞의 네 영역에서 본 통제는 온체인에서 코드로 실행된다. 투자자 자격 확인 결과는 스마트 컨트랙트에 담긴 코드가 읽고, 전송 조건도 그 코드가 자동으로 검사하며, 동결과 회수와 같은 전송 통제도 코드의 권한 구조가 수행한다. 전통 금융의 전산 시스템은 자산을 기록하는 장부일 뿐이어서 장애가 발생해도 기관이 발견해 정정하고 잘못된 처리를 장부에서 되돌릴 수 있었지만, 토큰화에서는 자금이 코드 위에 직접 놓여 있다. 코드에 결함이 있으면 앞의 통제들이 작동하지 않는 데서 그치지 않고, 결함이 곧바로 사용자 자산의 손실로 이어진다.

스마트 컨트랙트가 특히 위험한 이유가 여기에 있다. 코드가 공개되어 있어 공격자가 결함을 먼저 찾아낼 수 있고, 온체인 전송은 되돌릴 수 없어 탈취된 자금은 회수하기 어렵다. 2025년 한 해에만 630건이 넘는 사고로 33억 달러가 넘는 자금이 탈취됐고, 그 가운데 상당수가 코드의 취약점에서 비롯됐다.

현재는 법이 스마트컨트랙트의 보안 감사를 강제하지는 않는다. 다만 소유권 기록의 정확성이나 고객 자산의 보호처럼 결과에 대한 책임은 기존 규정이 이미 묻고 있어서, 코드 결함으로 그 결과가 훼손되면 책임을 피하기 어렵다. 따라서 일반적인 웹3 프로젝트와 디앱은 서비스 배포 전에 독립된 스마트 컨트랙트 감사 업체를 통해 감사를 받는 것이 실무의 표준으로 자리 잡았다. 서비스 배포 이후에도, 스마트 컨트랙트를 업그레이드하거나 권한 구조를 변경할 때 다시 감사가 필요하고, 배포된 스마트 컨트랙트의 이상 유무를 상시로 감지하는 운영도 이 영역에 들어간다.

OpenZeppelin

이더리움 생태계의 수많은 프로젝트가 토큰과 접근 권한, 업그레이드 구조를 구현할 때 OpenZeppelin이 만든 오픈소스 컨트랙트 라이브러리를 사용한다. 검증된 코드를 표준으로 제공해 개발 단계에서부터 결함이 들어갈 여지를 줄이는 것으로, 이 라이브러리를 통해 35조 달러가 넘는 가치 이전과 2,500억 달러의 자산이 이동해왔다.

감사 이력도 이 분야에서 가장 오래됐다. 900건이 넘는 감사에서 1만 건이 넘는 취약점을 찾아냈고, 이더리움 재단과 코인베이스, 컴파운드, 아베 같은 주요 프로젝트의 코드를 점검했다. 컴파운드와는 70건이 넘는 감사를 이어왔고, 이더리움 재단과는 계정 추상화 표준(EIP-4337)을 세 차례 감사해 자금 탈취로 이어질 수 있는 고위험 결함을 다수 찾아냈다.

토큰화 자산과의 연결도 뚜렷하다. OpenZeppelin은 시가총액 상위 10개 토큰화 펀드 전부와 상위 10개 스테이블코인 가운데 9곳이 자사 라이브러리를 사용한다고 밝혔으며, 규제 대상 증권 토큰을 위한 ERC-3643 구현과 자산 풀의 지분을 나타내는 토큰화 볼트 표준이 이 라이브러리에 포함되고, Securitize의 DSToken도 OpenZeppelin의 베이스 컨트랙트 위에서 구현됐다. 또한, 배포된 컨트랙트를 감시하는 도구(Relayer, Monitor)는 오픈소스로 공개해, 발행사가 자체 서버에 설치해 운영할 수 있도록 제공하고 있다.

CertiK

CertiK은 스마트컨트랙트 감사부터 상시 모니터링까지 아우르는 종합 보안사로, 컬럼비아와 예일의 전산학 교수들이 세웠다. 이 학문적 뿌리에서 나온 강점이 포멀 검증이다. 코드를 한 줄씩 살피는 수동 검토에 더해, 함수가 명세한 대로만 동작하는지를 수학적으로 증명하는 방식을 감사에 결합한다. 이 방식은 스마트컨트랙트 밖으로도 넓어져, zkWasm 영지식 회로처럼 코드 리뷰만으로는 확인하기 어려운 구조까지 검증하면서 현재까지 9만 건이 넘는 취약점을 찾아냈다.

CertiK은 배포 전 감사에 더해 배포 이후의 위험까지 Skynet으로 감시한다. Skynet은 스마트컨트랙트의 온체인 활동과 소셜 채널을 실시간으로 지켜보며 이상 징후를 탐지하고, 그 점수와 위험 피드는 지갑이나 거래소 같은 외부 서비스에 제공한다. 또한 토큰화 자산의 보안 점수를 집계하는 RWA 리더보드를 운영해, 코드와 운영, 거버넌스, 시장 등 여러 단계의 위험 신호를 한번에 보여준다. 이 가운데 Ondo와 Paxos처럼 국채와 스테이블코인, 금을 토큰화한 발행사가 CertiK의 감사를 거쳤다.

Zellic

Zellic은 공격자의 시각에서 취약점을 파고드는 데 강점을 둔 감사 회사다. 보안 경연(CTF)에서 이름을 쌓은 연구자들이 세운 회사로, 알려진 점검 항목을 따라가는 것을 넘어 코드의 허점을 실제 공격 경로로 재구성하는 방식에 무게를 둔다. 2025년 한 해 338건의 검토 가운데 153건에서 치명적이거나 고위험의 결함을 찾아냈다. 절반에 가까운 코드에 심각한 취약점이 잠복해 있었다는 뜻이다.

점검 범위는 이더리움(EVM) 호환 체인을 넘어, 솔라나와 Move 계열(앱토스, 수이), Cairo, NEAR, 코스모스까지 다루면서, 크로스체인의 코드 감사에 대한 강점을 갖고 있다. 토큰화 자산 쪽에서는 Ondo Global Markets와 Superstate, Matrixdock의 은 토큰(XAGm)과 금 토큰(XAUm)을 감사한 이력이 있다. 여러 체인을 잇는 브리지와 메시징 인프라, 영지식 회로처럼 정형화된 점검만으로는 놓치기 쉬운 구조도 다루고 있다.

Cyfrin

Cyfrin은 종합 스마트컨트랙트 보안사이면서, RWA와 토큰화 자산 감사에 특히 무게를 실어온 회사다. 자체 집계로 전통금융과 RWA 관련 감사를 33건 수행했는데, 그 고객이 이 시장을 대표하는 발행사들이다. Ondo Finance의 국채 토큰(OUSG)이 포함된 Ondo Funds, USDY 스마트컨트랙트를 감사했고, BUIDL과 Apollo, VanEck의 토큰화 상품을 발행한 Securitize의 감사를 수행했다. 감사 범위는 상환과 크로스체인 브리지, 솔라나 통합, 글로벌 명의 레지스트리, DSToken 리베이싱까지 넓은 범위를 감사했다.

RWA 감사가 일반 토큰 감사와 다른 지점이 이 회사의 전문성을 설명한다. 일반 ERC-20 토큰과 달리 토큰화 증권은 발행과 소각, 상환, 순자산가치 산정, 전송 제한, 강제 회수, 동결, 명의 대조까지 검증 대상이 넓다. Cyfrin은 이 넓은 RWA 검증 범위를 다루는 데 초점을 맞춰왔다.

Halborn

Halborn은 스마트컨트랙트 코드에 한정하지 않고 블록체인 인프라 전반의 보안을 다루는 회사다. 컨트랙트 감사와 함께 침투 테스트, 커스터디·키 관리 점검, 클라우드 보안까지 제공하며, 크립토 기업과 금융기관을 함께 고객으로 둔다. 리히텐슈타인의 블록체인 은행 Bank Frick의 커스터디 키를 감사했고, 토큰화 자산 쪽에서는 Securitize의 DSToken 스마트컨트랙트를 감사해 발행과 소각, 투자자 등록, 전송 제한, 상환에 이르는 증권 토큰 로직을 점검했다.

 

4. 자산별 컴플라이언스 사례

4-1. 미국을 포함하는 증권형 토큰: 블랙록 BUIDL

BUIDL은 블랙록이 발행한 토큰화 펀드다. 미국 단기국채와 환매조건부채권 등 현금성 자산에 투자하는 펀드의 지분을 토큰으로 발행했고, 토큰당 1달러의 가치를 목표로 수익을 매월 새 토큰으로 지급한다. 미국 투자자에게 판매하면서도 SEC 등록은 하지 않았다. 증권법의 사모 발행 규정(Rule 506(c))과 투자회사법 예외(3(c)(7))가 판매 대상을 적격투자자와 적격구매자로 한정하는 조건으로 등록 의무를 면제하기 때문이다.

이 조건이 BUIDL의 컴플라이언스 설계를 결정한다. 자격 없는 지갑으로 토큰이 이전되는 순간 등록 의무 면제의 근거가 사라지므로, 발행사는 발행 이후에도 보유자가 누구인지를 계속 통제해야 한다. BUIDL 토큰이 사전 승인된 지갑 사이에서만 전송되고 그 제한을 Securitize의 스마트컨트랙트와 화이트리스트가 집행하는 이유다. 따라서, 분실이나 도난이 발생하면 명의개서대리인이 해당 토큰을 소각하고 재발행한다.

컴플라이언스는 라이선스를 보유한 계열사가 담당한다. Securitize Markets가 브로커딜러로 투자자 온보딩과 청약을 담당하면서 고객확인(CIP)과 자금세탁방지 의무를 지고, Securitize Transfer Agent가 명의개서대리인으로 보유자 기록을 관리한다. 펀드 자산은 BNY Mellon이 수탁하고, PwC가 연 단위로 재무제표를 감사한다. 미국 투자자를 포함하려는 발행사에게 남는 선택지는 넓지 않다. 등록 면제를 한 토큰의 경우, 유통 범위는 승인된 투자자로 한정되고, 그 조건을 집행할 라이선스 보유자(Securitize)가 발행 구조 안에 있어야 하기 때문이다.

4-2. 미국을 배제하는 증권형 토큰: xStocks

xStocks는 애플과 테슬라 등 미국 주식과 ETF의 경제적 성과를 추종하는 토큰화 증권이다. 스위스의 Backed Finance가 상품을 설계하고, 저지(Jersey)에 설립된 특수목적법인이 법적 발행자가 된다. 토큰 보유자는 기초 주식의 가격 변동과 배당에 연동된 경제적 이익을 얻지만, 주식을 직접 소유하는 것은 아니므로 의결권과 같은 주주권은 갖지 않는다. 각 토큰은 규제받는 브로커와 수탁기관에 보관된 기초자산으로 1대 1 담보되며, EU에서는 리히텐슈타인 감독당국이 승인한 투자설명서를 바탕으로 유통된다. 반면 미국에서는 증권 등록을 하지 않고 미국인을 판매 대상에서 제외한다.

컴플라이언스는 발행과 유통에 집중된다. Backed를 통한 직접 발행과 상환, 크라켄과 같은 파트너 거래소를 통한 판매에서는 이용자의 신원과 거주지, 제재 여부를 확인하며 미국 등의 제한 관할의 이용자를 막고 있다. 그러나 토큰이 발행된 뒤의 온체인 전송까지 발행사가 매번 승인하지는 않는다. BUIDL이 화이트리스트에 등록된 투자자 사이에서만 전송되는 것과 달리, xStocks는 기술적으로 비허가 방식으로 전송될 수 있다. 이에 따라 발행사는 1차 발행과 상환을 통제하고, 중앙화 거래소는 각자의 라이선스 아래 고객확인과 자금세탁방지를 수행하며, 개인 지갑이나 탈중앙 거래소에서 이뤄지는 2차 전송에는 동일한 온보딩 절차가 개입되지는 않는다.

전송을 비허가형으로 열어둔 대신, 발행량과 기초자산이 실제로 대응하는지를 확인하는 담보 검증이 중요해진다. Backed가 제공하는 발행·수탁 데이터를 The Network Firm이 검증하고, 그 결과는 체인링크 준비금 증명 오라클을 통해 온체인에 공개된다. xStocks의 특징은 통제의 위치를 토큰 전송 자체에서 발행·상환, 거래소 접근, 담보 검증으로 옮긴 것에 있다. Backed가 미국 투자자를 대상에서 제외하고, 누구에게나 유통가능한 구조를 택하면서 xStocks는 디파이와 탈중앙 거래소에서도 활용될 수 있게 됐다.

4-3. 결제 스테이블코인: PayPal

PYUSD는 페이팔이 결제와 송금을 위해 만든 달러 스테이블코인으로, Paxos Trust Company, N.A.가 발행과 수탁을 맡는다. 1 PYUSD는 1달러로 상환되며, 증권이 아니기 때문에 투자자 적격성이나 전매 제한보다 발행자의 인가, 1대 1 준비금, 상환 능력이 규제의 중심이 된다. Paxos는 2025년 12월 OCC의 조건부 승인을 받아 뉴욕주 신탁회사에서 국가신탁은행인 Paxos Trust Company, N.A.로 전환했다. 이후 Paxos는 OCC의 감독과 승인 조건 아래 PYUSD의 발행과 준비금 관리를 수행한다.

PYUSD는 적격투자자 제한 없이 신원 확인을 마친 이용자가 취득하고 보유할 수 있으며, 페이발과 모바일 결제 앱 벤모와 같은 서비스나, 외부 지갑과 여러 블록체인으로 이전할 수 있다. 이에 따라 컴플라이언스 책임도 거래가 이뤄지는 곳마다 나뉜다. 페이팔과 벤모 안에서는 플랫폼의 고객확인과 거래 모니터링이 작동하고, Paxos는 발행과 상환, 준비금 관리, 공급 통제와 발행자 차원의 자금세탁방지 의무를 담당한다. 외부 지갑 사이의 전송에는 플랫폼의 온보딩 절차가 개입하지 않지만, 통제 수단까지 사라지는 것은 아니므로, Paxos는 스마트컨트랙트를 통해 전송을 일시 정지하거나 특정 주소를 동결하고, 법적 절차에 따라 동결된 잔액을 소각할 수 있다.

준비금은 Paxos가 매월 구성을 공개하고 KPMG가 별도의 검증 보고서를 발행한다. 이는 특정 시점에 준비금이 유통 중인 PYUSD를 뒷받침하는지를 확인하는 증명으로, 재무제표 전체를 살피는 연 단위 회계감사와는 범위가 다르다. PYUSD에는 BUIDL처럼 보유자 명부를 관리하고 매 전송을 승인하는 명의개서대리인이 존재하지 않는다. 대신 발행과 상환, 준비금, 공급량과 제재 대응 권한이 발행자인 Paxos에 집중된다. 증권형 토큰에서 여러 라이선스 주체로 나뉘었던 통제가 스테이블코인에서는 발행자 중심으로 재편된 구조다.

4-4. 금 담보 토큰: Matrixdock

XAUm은 실물 금을 담보로 발행되는 토큰으로, 각 토큰은 금고에 보관된 LBMA 규격 금 1트로이온스를 나타낸다. 증권이나 지급형 스테이블코인이 아니라 실물 상품의 소유권을 토큰화한 구조이기 때문에, 규제의 중심도 투자자 적격성이나 현금성 준비금보다 금에 대한 권리와 실물의 존재, 보관 상태다. 금은 Brink’s와 Malca-Amit이 운영하는 홍콩과 싱가포르의 금고에 보관되며, 발행량은 실제 금 보유량과 1대 1로 대응하도록 설계돼 있다.

유통 구조는 1차 발행과 2차 거래에서 갈린다. Matrixdock을 통해 직접 발행하거나 상환하려면 계정을 등록하고 KYC를 거쳐야 하며, 미국 거주자와 제재 관할은 배제된다. 다만 증권형 토큰과 달리 적격투자자 자격까지 확인하지는 않는다. 발행된 토큰의 2차 전송은 비허가 방식으로 자유롭게 열려 있으므로, Matrixdock은 발행·상환의 고객확인과 자금세탁방지를 책임지고 거래소는 각자의 이용자 온보딩과 거래 모니터링을 맡는다. 발행사는 법 위반이나 규제 위험이 발생하면 발행·상환과 서비스 접근을 통제할 수 있다.

XAUm에서 가장 중요한 컴플라이언스는 실물 자산의 검증이다. 2025년 7월 Bureau Veritas는 홍콩과 싱가포르의 금고 세 곳에 보관된 421개 금괴를 직접 계량하고 측정해, 금괴의 사양과 금고 기록이 일치하는지를 확인했다. 온체인에서는 준비금 증명 체계가 토큰 발행량과 금 보유량을 대조하고, 스마트컨트랙트 코드는 별도의 보안 감사를 받는다. 은행 잔액은 회계법인의 조회로 확인할 수 있지만, 금괴의 일련번호와 순도, 중량, 보관 위치는 현장 검사를 거쳐야 한다. 담보가 실물로 바뀌면 자산 검증도 회계 검토에서 물리적 재고 검사로 바뀐다는 점이 XAUm의 핵심이다.

 

5. 결론

이번 리서치는 토큰화 자산의 컴플라이언스를 어떤 규제가 적용되는지, 그 규제를 누가 어떻게 실행하는지로 나눠 살펴봤다. 적용되는 규제는 토큰이 담고 있는 권리와 발행, 판매 관할, 그리고 교환, 전송, 보관을 누가 수행하는지에 따라 결정된다. 이를 실제로 집행하기 위해서는 투자자 검증, 자금세탁방지, 전송 통제, 자산 검증, 스마트컨트랙트 보안이 발행부터 상환까지 이어져야 한다.

이 과정에서 확인한 것은 토큰화가 규제를 새롭게 도입하는 것이 아니라, 기존 금융에서 계좌 안에 모여 있던 통제를 지갑과 블록체인에 맞게 다시 재배치하는 일이라는 점이다. 투자자의 신원은 중앙화 시스템에, 토큰의 보유와 전송 기록은 블록체인에, 기초자산은 수탁기관에 나뉘어 존재한다. 발행사는 이 구조를 여러 플레이어로 다시 연결해야 하며, 플레이어를 고르는 일은 기능뿐 아니라 규제 책임을 누구에게 맡기고 어디까지 발행사에게 남길지를 정하는 일이 된다.

BUIDL, xStocks, PYUSD, XAUm은 똑같이 토큰화 되더라도 통제 구조가 여러개로 나뉘는 점을 보여준다. BUIDL은 승인된 지갑과 명의개서 체계 안에서 유통되어 전문 투자자를 대상으로 판매하고 있으며, xStocks는 발행·상환 단계에 규제를 집중한 뒤 2차 전송을 자유롭게 열어 일반 투자자의 접근을 용이하게 했다. PYUSD는 준비금과 발행자의 통제가, XAUm은 금고에 보관된 실물의 검증이 중심이 된다. 허가형과 비허가형의 차이 역시 자산의 권리와 관할, 책임을 어디에서 집행할 것인지에 따라 나온 결과다.

따라서, 발행사가 먼저 정해야 하는 것은 체인이나 토큰 표준이 아니라, 토큰이 어떤 권리를 담고 누구에게 어느 관할에서 판매될 것인지다. 그 다음에야 각각의 컴플라이언스 기능을 어떤 라이선스 주체와 시스템으로 연결할지 결정할 수 있다. 토큰화 시장의 경쟁력은 자산을 온체인에 올리는 속도보다, 법적 권리와 규제 의무를 발행, 유통, 상환 전 과정에 끊김 없이 집행하는 능력에서 나뉠 것이다.