트래블룰에서 100만원이 사라진다

2026년 8월 11일 국무회의를 통과한 특정금융정보법 시행령 개정안에서 한 줄이 지워졌다. 가상자산사업자가 다른 사업자에게 가상자산을 이전할 때 송·수신인 정보를 넘겨야 하는 기준, 100만원이다. 금액 기준이 사라지면 이전 금액과 무관하게 모든 이전거래에 정보제공 의무가 붙는다.

금융위원회가 제시한 근거는 한 이용자의 기록이다. 약 3개월 동안 2억원 상당의 테더를 사들인 뒤, 100만원 미만 단위로 216차례에 걸쳐 내보냈다. 기준금액이 있는 규칙에서 기준금액 아래로 쪼개는 것은 위법이 아니라 산수다.

그런데 이 개정에서 비트코인을 자기 지갑에 보관하는 사람에게 더 중요한 조항은 금액이 아니다. 개인지갑에 관한 것이다.

이 규칙은 은행에서 왔다

트래블룰이라는 이름은 1990년대 미국 은행비밀법 규정에서 나왔다. 3,000달러 이상을 송금하면 송금인과 수취인 정보가 돈과 함께 다음 금융기관으로 따라가야 한다는 규정이고, 정보가 돈을 따라 여행한다는 뜻에서 그렇게 불렸다.

국제자금세탁방지기구는 2019년 6월 이 규칙을 가상자산으로 확장했다. 권고 15의 주석에 가상자산과 가상자산사업자의 정의를 넣고, 은행에 적용되던 권고 16을 사업자에게도 적용한다고 못박은 것이다. 이때 제시한 문턱이 1,000달러 또는 1,000유로다.

여기에 흔한 오해가 하나 있다. 문턱 아래는 아무 정보도 필요 없다는 뜻이 아니다. 권고는 문턱 위에서는 주소와 생년월일까지 요구하고, 문턱 아래에서는 송·수신인의 이름과 지갑 주소로 줄어든 항목을 요구한다. 즉 소액 거래에서 사라지는 것은 의무가 아니라 항목 수다.

한국은 2022년 3월 25일 이 규칙을 시행했고, 문턱을 100만원으로 잡았다. 시행령 제10조의10은 사업자가 다른 사업자에게 100만원 이상을 이전할 때 송·수신인의 성명과 양쪽 가상자산 주소를 함께 넘기고, 금융정보분석원장이나 수취 사업자가 요청하면 주민등록번호 같은 정보를 3영업일 안에 추가로 제공하도록 했다. 이번 개정은 이 조문에서 금액 요건만 걷어낸다.

블록체인에는 이름을 적을 칸이 없다

은행 송금에서 이 규칙은 구현이 간단하다. 전문에 필드를 하나 더 채우면 된다. 비트코인 거래에는 그런 칸이 없다. 거래는 입력과 출력, 잠금 스크립트로만 이루어져 있고 누가 보냈는지를 적는 자리가 설계에 없다.

그래서 규칙은 체인 밖에 별도의 통신망을 만들었다. 거래소가 코인을 보내기 전에 상대 거래소에 고객 정보를 따로 전달하고, 받는 쪽이 확인하면 전송이 진행되는 구조다. 코인은 체인으로, 이름은 체인 밖으로 간다.

한국에서는 이 통신망이 둘로 갈렸다. 빗썸·코인원·코빗이 함께 세운 코드가 하나이고, 두나무의 자회사 람다256이 만든 베리파이바스프가 다른 하나다. 서로 다른 규격으로 출발했으니 초기에는 같은 나라 거래소끼리도 출금이 막혔고, 2022년 4월 25일 상호 연동이 이루어진 뒤에야 국내 주요 거래소 사이가 이어졌다. 코드 쪽은 현재 60여 개국 350곳 이상의 사업자와 연결되어 있고 베리파이바스프, 노타베네, 시그나 같은 다른 규격과도 상호운용된다고 밝히고 있다.

문제는 이 통신망에 가입하지 않은 상대다. 규칙은 나라마다 시행 시점과 강도가 달라서, 국제적으로는 이것을 해가 시차를 두고 뜨는 현상에 비유해 선라이즈 문제라고 부른다. 상대 거래소가 규칙 밖에 있으면 정보를 넘길 곳이 없고, 정보를 넘길 수 없으면 출금이 거절된다. 김치 프리미엄이 몇 퍼센트씩 남는 이유 가운데 하나가 이것이다.

화이트리스트는 법이 명령한 것이 아니었다

여기서 짚어야 할 구분이 있다. 현행 트래블룰의 적용 대상은 사업자 사이의 이전이다. 조문은 사업자가 다른 사업자에게 이전하는 경우를 말하고 있고, 개인의 지갑은 사업자가 아니다.

그러면 거래소에서 하드웨어 지갑으로 출금할 때 주소를 등록하고 본인 소유임을 선언하라고 요구하는 절차는 무엇인가. 그것은 트래블룰 조문이 아니라 거래소가 자체 위험관리와 의심거래 판단을 위해 붙여 온 정책이다. 그래서 거래소마다 절차가 다르고, 같은 거래소도 시기마다 달라졌다.

개정 시행령은 이 관행을 법의 영역으로 끌어올린다.

개인지갑이 규칙 안으로 들어온다

신고된 국내 사업자가 해외 사업자나 개인지갑과 가상자산을 주고받을 때, 상대의 위험도에 따라 허용 범위를 셋으로 나눈다.

저위험으로 평가된 해외 거래소와는 이전거래가 허용된다. 그 외의 해외 거래소와 개인지갑은 송신인과 수신인이 동일한 경우에만 허용된다. 고위험으로 분류되면 거래가 금지된다. 위험도를 평가하는 주체는 거래소이고, 무엇을 보고 평가할지는 감독규정이 정한다. 상대가 자금세탁방지 조치를 이행하는지, 해당 나라의 인허가를 받았는지 같은 항목이다.

자기수탁을 하는 사람에게 이 조항은 두 방향으로 읽힌다. 내 거래소 계정에서 내 하드웨어 지갑으로 빼내는 것은 송신인과 수신인이 같으므로 허용 범위 안에 있다. 반면 다른 사람의 개인지갑으로 보내는 경로는 원칙적으로 허용 범위를 벗어난다. 가족에게 보내는 것, 물건값을 지불하는 것, 후원으로 보내는 것이 모두 같은 문언 아래에 놓인다.

1천만원 이상의 이전거래에는 별도의 의무가 붙는다. 입법예고 원안은 금액을 넘기면 위험도와 무관하게 의심거래로 보고하도록 했으나, 업계 의견을 받아 사업자가 자체 감시체계를 구축하고 운영하는 방식으로 조정됐다. 일률적인 보고는 빠졌지만 1천만원이라는 숫자는 남았다.

시행 시점은 조항마다 다르다. 사업자 신고제와 제재 관련 조항은 2026년 8월 20일 시행됐고, 트래블룰 확대와 해외 이전거래 규율은 공포 후 6개월이 지난 날부터 적용된다. 8월 중순에 공포됐으므로 2027년 2월이다.

유럽은 확인하라고 했고 한국은 범위를 정했다

같은 문제를 유럽은 다르게 풀었다. 2024년 12월 30일부터 적용되는 자금이전규정은 사업자 사이의 가상자산 이전에 금액 문턱을 두지 않는다. 한국이 이번에 가려는 지점에 유럽은 2년 먼저 도착해 있었다.

개인지갑 취급은 갈린다. 유럽 규정은 고객의 자기보관 주소로 1,000유로를 넘겨 보내거나 받을 때, 사업자가 그 주소를 고객이 실제로 보유하거나 통제하는지 신뢰할 수 있는 방법으로 확인하도록 한다. 확인하면 거래는 진행된다.

한국의 개정 시행령은 확인을 요구하는 대신 허용 범위를 정한다. 송·수신인이 동일하지 않으면 확인의 문제가 아니라 허용의 문제가 된다. 자기수탁 지갑을 가진 사람 입장에서 이 차이는 작지 않다. 앞의 규정은 증명하면 통과하는 문이고, 뒤의 규정은 증명해도 통과할 수 없는 문을 일부 포함한다.

내 지갑이 내 것임을 증명하는 방법

동일인 여부를 따지는 규칙은 곧 소유 증명의 문제를 부른다. 방법은 셋이다. 소액을 먼저 보내 보는 테스트, 본인이라는 자기 진술, 그리고 개인키로 메시지에 서명해 그 주소를 통제한다는 사실을 수학적으로 보이는 것이다.

세 번째 방법이 기술적으로는 가장 깔끔하다. 그리고 비트코인 쪽에서는 이미 한 번 시도되었다가 접혔다. 스위스 감독당국이 자기보관 주소로의 출금에 소유 증명을 요구하자, 그 증명을 지갑에서 한 번에 처리해 주는 주소소유증명 프로토콜이 만들어졌고 2022년 1월 트레조가 이를 도입했다. 며칠 만에 철회했다. 블루월렛과 스패로도 뒤이어 지원을 뺐다.

반대 논거는 편의의 문제가 아니었다. 지갑이 서명 버튼을 기본 기능으로 갖추면, 주소와 실명을 연결하는 작업이 추정에서 확정으로 넘어간다. 한번 확정된 연결은 그 주소에서 나간 모든 과거와 미래의 거래로 퍼진다. 기술은 이미 있었고, 없던 것은 그것을 어디까지 쓸지에 대한 합의였다. 개정 시행령의 동일인 조항은 그 질문을 한국 이용자에게 다시 가져온다.

아직 정해지지 않은 것

이 글에 적은 숫자는 규정이고 실무가 아니다. 위험도를 어떤 항목으로 채점하는지, 그 결과를 거래소별로 어떻게 공개하는지, 개인지갑의 동일인 확인을 어떤 방법까지 인정하는지는 감독규정과 업계 안내로 채워진다. 2027년 2월까지 남은 기간이 그 작업의 시간이다.

디지털자산기본법은 이것과 별개의 법안이고 아직 국회에 있다. 발행과 공시, 스테이블코인 인가 체계를 다루는 쪽이라 원화 스테이블코인 논의와 함께 움직인다. 트래블룰은 그 법안의 통과 여부와 무관하게 시행령으로 이미 확정됐다.

세금 쪽에서는 다른 규칙이 같은 방향으로 움직이고 있다. 경제협력개발기구가 만든 암호화자산 보고체계에 따라, 한국은 2027년부터 국가 간에 가상자산 거래정보를 자동으로 교환하기 시작한다. 트래블룰이 거래의 순간에 이름을 붙이는 규칙이라면 이쪽은 1년치 거래를 모아 과세당국 사이에 넘기는 규칙이다. 2027년 과세를 준비하는 사람은 두 규칙이 같은 해에 겹친다는 점을 계산에 넣는 편이 좋다.

시행 전에 해 둘 일

출금 주소 등록을 미리 해 두는 것이 첫째다. 등록 절차는 거래소마다 다르고, 급할 때 하면 검토에 걸리는 시간만큼 기다려야 한다. 한국 거래소에서 비트코인을 사는 과정에서 이 단계를 건너뛰면 나중에 같은 자리로 돌아온다.

본인 명의 여부를 정리해 두는 것이 둘째다. 가족 명의 계정에서 내 지갑으로 빼내는 식의 구성은 동일인 조항 아래에서 다르게 취급된다. 지금 문제가 없더라도 2027년 2월 이후에는 같은 경로가 막힐 수 있다.

기록을 남기는 것이 셋째다. 어느 주소가 누구의 것이고 어떤 목적으로 옮겼는지를 스스로 설명할 수 있어야 한다. 의심거래 판단은 거래소의 재량이고, 판단이 한 번 붙으면 입출금 제한으로 이어진다.

규칙이 정하는 것은 창구의 성질이다

트래블룰은 비트코인을 금지하는 규칙이 아니다. 비트코인 네트워크는 이 규정을 읽지 않는다. 규칙이 정하는 것은 거래소라는 창구의 성질이다.

그래서 이번 개정의 실질적인 의미는 창구 안과 밖의 차이가 더 벌어진다는 데 있다. 창구 안에서는 모든 금액에 이름이 붙고, 내보낼 수 있는 상대가 목록으로 관리된다. 창구 밖에서는 그런 규칙이 닿지 않는다. 자기수탁이 무엇을 바꾸는지 가장 선명하게 보이는 지점이 여기다. 내가 키를 쥔 비트코인과 거래소 계정에 적힌 잔고는 같은 숫자로 표시되지만, 어디로 보낼 수 있는지가 이미 다른 물건이다.

다만 창구를 지나야 하는 일은 남는다. 원화로 사고 원화로 파는 한 누구나 그 문을 통과한다. 통과하는 순간의 규칙을 알아 두는 것과, 통과한 다음 어디에 두는지를 결정하는 것은 서로 다른 선택이다.