CryptoTotem Research 작성. 데이터 기준일: 2026년 9월 29일.
이 연구를 수행한 곳. CryptoTotem.com은 암호화폐 프로젝트와 서비스 공급업체에 관한 정보 플랫폼이다. 이 연구는 CryptoTotem Research가 SpazioCrypto를 위해 공개 문서를 정해진 범위 안에서 분석하여 작성했다. CryptoTotem은 이번 연구에 포함된 공급업체들과 유료 게재, 제휴 수수료, 기타 상업적 관계가 없음을 밝힌다. SpazioCrypto 편집팀은 데이터와 출처를 검토했으며 한국 관련 섹션을 추가했다.
유럽의 암호화폐 기업은 이제 단일 플랫폼에서 신원 확인. 제재 스크리닝, 블록체인 분석, 트래블 룰 소프트웨어를 한꺼번에 구매할 수 있다. 그런데 CASP를 위한 KYC·AML 도구를 도입한다고 해서 핵심 질문이 해결되는 것은 아니다. 컴플라이언스 팀이 특정 고객이나 특정 송금을 어떻게 평가했는지. 어떤 외부 서비스가 개입했는지, 누가 그 결과를 승인했는지를 재구성할 수 있는가 하는 질문이다.
CryptoTotem Research는 유럽연합과 접점이 있는 19개 컴플라이언스 공급업체를 표본으로 삼아, 7가지 기능과 5개 공개 정보 영역을 코딩했다. 가장 많이 언급된 카테고리는 트랜잭션 모니터링과 블록체인 분석으로, 각각 12개 공급업체가 이를 기술하거나 제공한다고 밝혔다. 트래블 룰은 7개 업체에서 확인됐다. 그러나 원본 문서 중 증거 내보내기 기능을 상세히 설명한 곳은 2개에 불과했고. 데이터 처리 방식을 다룬 곳은 단 1개였다.
이 결과는 정해진 문서 집합을 분석한 것이다. 시장 점유율, 제품 효과, 규제 준수 여부를 측정하지 않는다. 실용적 가치는 제품 설명이 구매자의 질문에 답하지 못하는 지점이 어디인지. 그리고 데모·계약·운영 테스트가 시작돼야 하는 지점이 어디인지를 보여주는 데 있다.
유럽 암호화폐 자산 서비스 제공업체, 즉 CASP에게는 지금 이 구분이 중요하다. MiCA 규정이 정한 최장 전환 기간이 종료됐고, 자금세탁방지 관련 다음 유럽 일정이 다가오고 있다. 구매자는 제안된 구성이 현행 의무에 부합하는지 검토하고, 다음 적용 시점을 위해 어떤 수정이 필요한지 파악해야 한다.
유럽의 규제 일정
유럽 암호화폐 자산 시장 규정인 MiCA는 2024년 12월 30일부터 전면 적용됐다. 자산연동토큰과 전자화폐토큰 관련 규정은 그보다 앞서 발효됐다. CASP에 대한 최장 전환 기간은 2026년 7월 1일에 종료됐으며. 각 회원국은 이 기간을 단축하거나 적용하지 않을 수 있었다(MiCA 제149조, 제143조). 이 마감이 실질적임은 바이낸스가 MiCA 라이선스 없이 EU 고객에게 계속 제공하는 서비스에 대해 유럽 규제당국이 개시한 검토에서도 확인된다.
MiCA 인가와 자금세탁방지 운영은 서로 다른 질문에 답한다. 인가는 특정 암호화폐 자산 서비스를 제공할 권리에 관한 것으로, 이미 감독을 받는 일부 중개업체에게는 별도 경로가 있다(제60조). 고객 신원 확인(KYC), 모니터링, 보고는 반면 상시적 프로세스다. 이번 연구에 공급업체가 포함됐다는 사실이 해당 공급업체가 암호화폐 자산 규제 서비스를 제공할 수 있는 인가를 받았음을 의미하지 않는다(MiCA 제59조).
자금 이전 규정(TFR)은 암호화폐 자산 이전에 대해 별도의 정보 제공 의무를 규정하며, 역시 2024년 12월 30일부터 적용된다. 구매자는 송금인·수취인 정보 교환과 블록체인 리스크 분석을 구분해야 한다. 메시지가 전달됐다는 사실이 이전의 리스크를 평가했다는 의미는 아니다(EU 규정 2023/1113 제14-17조 및 제40조). 유럽 밖에서도 같은 논리가 더 강력한 요구로 이어지고 있다. 브라질에서는 바이낸스가 해외 암호화폐 송수신 거래마다 목적과 거래 상대방을 요구할 예정이다.
유럽 자금세탁방지 규정(AMLR)은 2027년 7월 10일부터 CASP를 포함한 모든 대상에 전면 적용된다. 유럽 자금세탁방지 당국(AMLA)이 연합의 감독 기관이며, 그 로드맵은 AMLR 적용일과 별개로 운영된다. 직접 감독을 위한 첫 번째 선정 절차는 2027년 7월에서 12월 사이에 예정돼 있으며, 직접 감독은 2028년에 시작된다. 이 감독은 전체 금융 부문에서 최대 40개 기관 또는 그룹에 적용되며. 암호화폐 기업 40개나 모든 CASP가 대상이 되는 것은 아니다(AMLR 제90조, AMLA 직접 감독 설명 자료).
적용 날짜와 감독 이정표는 별개의 사건이다. 월별 또는 연도별로 표시된 이정표는 정확한 시작 날짜가 아니다. 출처: CryptoTotem Research, ESMA, AMLA, 이탈리아 중앙은행, Consob.
구매자 입장에서 실질적인 질문은 현재 구성된 시스템이 오늘의 의무와 호환되는지, 그리고 다음 변경에 필요한 작업을 누가 책임지는지다. 로드맵 항목 하나와 프로덕션에서 검증된 프로세스는 같은 평가표의 다른 열에 놓여야 한다.
샘플이 측정하는 것
사실, 이번 조사는 25개 후보에서 출발했다. CryptoTotem의 초기 목록에서 7개, 문서 분석 과정에서 18개가 추가됐다. CryptoTotem Research 기준으로 19개가 EU 연결 요건을 충족했으며, 유럽 고객 사례를 실명으로 인용한 곳이 1개, 유럽을 명시적 대상으로 한 서비스를 제공하는 곳이 12개, 명명된 통합을 통해 간접적 연결이 문서로 확인된 곳이 6개였다. 고객 사례는 과거 사례이며 현재 계약 유지를 증명하지는 않는다.
6개 후보는 검토한 문서에서 요구되는 유럽 연결을 입증하지 못해 제외됐다. 제외는 조사의 경계선을 나타낼 뿐, 해당 기업의 유럽 내 서비스 가용성에 대한 판단이 아니다.
포함된 각 브랜드는 7가지 기능으로 코딩됐다. 신원 확인, 기업 확인(KYB) 및 실소유자 확인, 성명 및 제재 스크리닝, 거래 모니터링 및 사건 관리, 블록체인 분석, Travel Rule 서비스, 워크플로 오케스트레이션이 그것이다. 하나의 공급업체가 여러 범주에 등장할 수 있으며, 분모는 19로 고정되므로 비율의 합이 100이 되지 않는다.
코딩은 운영 방식으로 설명된 자체 브랜드 제품, 파트너를 통한 명시적 구현, 세부 정보가 부족한 선언, 미확인 데이터를 구분한다. “자체 브랜드”가 모든 기반 데이터베이스를 소유한다는 의미는 아니다. 어떤 기능도 ‘확인된 부재’로 코딩되지 않았으며, 미해결 사례는 미확인으로 표시됐다.
이 조사는 추론된 문서 샘플이며 전수 조사가 아니다. 제품 비교 테스트나 각 공급업체의 전체 문서에 대한 체계적인 검색을 포함하지 않는다. 유럽 범위는 EU 27개 회원국 기준이며. EU 외 소재지가 자동으로 기업을 제외하지는 않고 유럽 규정이 유럽경제지역(EEA) 모든 국가에 자동으로 확장되지도 않는다.
공급업체 기능과 뒷받침하는 증거
CryptoTotem Research에 따르면, 거래 모니터링과 블록체인 분석은 각각 19개 프로필 중 12개에 등장해 63.2%를 기록했다. 성명 및 제재 스크리닝은 10개, 신원 확인은 8개, Travel Rule과 오케스트레이션은 각각 7개, 기업 및 실소유자 확인은 5개였다.
유럽 CASP를 대상으로 서비스를 제공하는 19개 KYC/AML 공급업체의 공개 문서에서 확인된 컴플라이언스 기능. 범주는 중첩되며 시장 점유율을 나타내지 않는다. “미확인”은 공개 문서에서 데이터를 찾지 못한 것이며 부재가 확인된 것이 아니다. 출처: CryptoTotem Research, 2026년 9월 29일까지 검토된 공개 문서.
이 차트는 운영 설명과 덜 상세한 선언을 분리하며, 2차 집중 검토에서 나온 4건의 코딩 수정 사항을 반영한다. 전체 합계는 변경되지 않았다.
모니터링과 블록체인 분석 항목의 집중은 선택된 샘플 구성과 일치하지만, 이 범주들이 유럽 전체 시장을 지배한다는 증거가 되지는 않는다. 마찬가지로 KYB 항목 5개가 기업 확인 서비스가 상업적으로 부족하다는 뜻도 아니며, 미확인 셀은 불완전한 조사를 반영할 수 있다.
3개 프로필이 7가지 기능 모두를 설명하거나 선언한다. 이는 구성 요소들이 어떻게 맞물리는지 확인하라는 신호이지, 3개 플랫폼이 전체 컴플라이언스 운영 모델을 대체할 수 있다는 증거가 아니다. 동일한 합계가 상세한 운영 흐름, 파트너 통합, 간략한 제품 선언을 조합한 결과일 수 있다.
겉으로 비슷해 보이는 기능 목록을 비교할 때 이 점이 중요하다. 신원 확인은 어떤 사람인지를 묻고, KYB와 실소유자 분석은 기업과 그 기업을 소유하거나 통제하는 사람을 살핀다. 성명 스크리닝과 블록체인 주소 스크리닝은 서로 다른 대상과 증거를 다루는데. USDT를 사용한 이란 제재 지갑 사례가 이를 잘 보여준다. Travel Rule 메시징은 당사자 간에 정보를 이동시킨다. “AML”이라고 쓰인 단일 녹색 체크 표시는 구매가 실제로 시작되기도 전에 이 모든 구분을 지워버린다.
공급업체 파트너십이 실제로 커버하는 범위
결과적으로, 명명된 통합은 유용한 증거가 될 수 있지만, 그것만으로는 어느 회사가 전체 흐름을 관리하거나 고객과 계약을 체결하는지 알 수 없다.
한 가지 사례로, 2026년 9월 Sardine과 Notabene 간 발표를 들 수 있다. 해당 발표는 Notabene의 Travel Rule 기능과 트랜잭션 승인 기능을 Sardine 플랫폼에 통합하는 내용을 담고 있다. 방향성이 중요하다. 이 발표를 Notabene이 결합 서비스의 신원 확인 또는 기업 검증 구성 요소 전체를 독자적으로 제공한다는 주장으로 해석해서는 안 된다. 매트릭스상에서 해당 기능들은 파트너 구현으로 표시되어 있다 (Notabene이 공개한 공동 서비스 설명).
데이터 의존성 역시 별도 항목으로 다룰 필요가 있다. Sumsub의 스크리닝 문서는 제3자 AML 데이터를 활용하는 플로우를 설명하며, ComplyAdvantage가 기본 공급업체로 지정되어 있다. 표준 구성에서는 ComplyAdvantage와 Sumsub 양측의 알고리즘으로 매칭이 처리되고, 다른 공급업체는 bring-your-own-key 방식의 통합으로 사용 가능하다. 개정된 코딩은 이러한 의존성과 별개로 제품 자체를 기록한다. 그렇지 않으면 단일 레이블이 제품 소유권과 업스트림 데이터 소유권을 혼동하게 만들 수 있다 (Sumsub 스크리닝 구성 문서).
구매 측면에서 시사점은 명확하다 한편 각 입력 데이터를 어느 주체가 제공하는지. 해당 데이터가 불가용 상태가 되면 어떤 일이 발생하는지. 그리고 변경 사항이 구매자의 통제 시스템에 어떻게 반영되는지를 반드시 물어야 한다. 파트너 로고는 이 질문들에 답하지 못하며, 메시징 제품이 지원하는 자산 수는 블록체인 리스크 데이터 커버리지를 증명하지 않는다. 외부 공급업체 의존성 문제는 유럽 당국이 EU 금융에서 비유럽 AI 사용에 관해 제기하는 문제와 본질적으로 같다.
문서 개선이 네 가지 분류를 바꾼 방법
결과적으로, 2차 검증에서 Sumsub의 경우. 처음 참조했던 출처보다 훨씬 상세한 운영 문서가 비문서 신원 확인 및 기업 검증 플로우에서 발견되었다. 두 항목 모두 '세부 정보가 부족한 선언'에서 '문서화된 자체 브랜드 제품'으로 분류가 변경되었다. 스크리닝 항목도 업데이트되었으며, 외부 데이터 의존성은 명시적으로 유지되었다 (신원 확인 플로우, 기업 검증 플로우).
네 번째 수정은 ComplyAdvantage의 트랜잭션 처리 API에 관한 것이다. 이 API는 스크리닝 및 모니터링의 구성 가능한 실행과 트랜잭션 결과를 설명한다. 해당 범위 내에서 문서화된 오케스트레이션 코드로는 충분하지만. 모든 온보딩 시스템이나 제3자 시스템으로 확장된 오케스트레이션을 의미하지는 않는다 (트랜잭션 처리 API).
이러한 변경 사항은 문서 조사 연구의 한계를 드러낸다. 결과는 무엇을 찾았는지, 그리고 얼마나 주의 깊게 읽었는지에 달려 있다. 수정 사항은 기록으로 남았으며 조용히 덮어쓰지 않았다. 다만 이는 표적 개선에 불과하며. 2차 코더를 활용한 독립 검토나 19개 공급업체 전체를 동일한 깊이로 검토한 기술 감사는 아니다.
카테고리별 총계는 이 코퍼스의 지도로서 여전히 유용하다. 그러나 단일 셀 하나만으로 공급업체를 선택하는 기준으로 삼아서는 안 된다. 구매자는 특정 셀을 활용하기 전에 최신 문서를 요청하고, 실제로 사용할 플로우를 직접 테스트해야 한다.
공개 정보가 답하지 못하는 것들
1차 분석에서는 다섯 가지 항목을 정해진 기준, 즉 미확인, 부분적이거나 개략적, 운영 수준의 상세로 나누어 검토했다. 19개 공급업체 중 커버리지에 대해 운영 수준의 상세 정보가 확인된 곳은 4곳, 명명된 의존성은 3곳, 가격 단위는 3곳, 증거 내보내기는 2곳, 데이터 처리는 1곳이었다.
동일한 19개 공급업체의 공개 문서에서 확인한 커버리지, 증거 내보내기, 제3자 의존성, 데이터 처리, 가격 단위 관련 정보. 이는 공개 문서의 투명성을 측정한 결과이지, 공급업체 순위가 아니다.
그래프는 원본 코퍼스를 유지한다. 기능에 대한 후속 표적 검증이 모든 공급업체의 이 다섯 항목을 체계적으로 업데이트하지는 않았다. 수치가 낮다고 해서 다른 기업들이 계약, 내보내기 기능, 개인정보 보호 조치를 갖추지 않았다는 뜻은 아니다. 일부 정보는 코퍼스 외부 문서에 있거나, 요청 시 제공되거나, 협상된 구성에 따라 달라질 수 있다. 연구팀은 이 단계에서 코딩된 자료만으로는 해당 질문들을 해결할 수 없었다.
상세 정보에도 한계는 있다. 건당 공개 가격이 재시도 비용, 수동 작업 비용, 최소 보장량, 기타 모듈을 포함하지 않을 수 있다. 개인정보 처리방침 페이지는 계약 주체, 구성, 데이터 플로우 분석을 대체하지 못한다. 샘플 리포트는 증거가 어떻게 표시되는지를 보여주지만, 구성 변경 후에도 과거 결정을 재구성할 수 있는지는 증명하지 못한다.
구매자는 이 미지의 항목들을 요청 구조화에 활용할 수 있다. 케이스 내보내기 샘플, 적용 가능한 서비스 설명, 의존성 목록, 제안된 구성에 대한 가격표를 요청하고, 데모 실행 시 적용된 가정과 함께 보관해 두어야 한다.
이탈리아 CASP에 대한 시사점
이탈리아는 인허가와 지속적 감독의 차이를 잘 보여주는 구체적 사례다. 입법령 129/2024는 MiCA에 맞게 국내법을 정비하면서 CASP 인허가 권한을 Consob와 이탈리아 중앙은행(Banca d'Italia)에 부여했다. Consob가 인허가를 발급하되, 소관 사항에 대해서는 Banca d'Italia와 협력해 결정한다(Banca d'Italia CASP 페이지). MiCA 이전에는 가상자산 사업자(VASP)가 중개인·중재인 기구인 OAM이 관리하는 등록부에 등록하는 방식이었다.
법령 95/2025로 연장된 국내 전환 체제에 따르면, 2024년 12월 27일 기준 OAM 등록부에 등재된 VASP는 2025년 12월 30일까지 이탈리아 또는 다른 EU 회원국에서 CASP 인허가 신청서를 제출한 경우 인허가 승인 또는 거부 결정이 날 때까지, 늦어도 2026년 6월 30일까지 영업을 계속할 수 있었다(2025년 7월 2일 Consob-Banca d'Italia 공동 공고). 전환 기간이 종료된 후 2026년 6월 30일 발표된 공동 성명에는 이탈리아 내 9개 인가 주체가 명시됐다. Consob가 Banca d'Italia와 긴밀히 협력해 인가한 CASP 8개사와 신고한 은행 중개기관 1곳이다. EU 회원국 중 한 곳에서도 인가를 받지 못한 사업자는 영업을 중단하고, 자금세탁방지(AML) 의무를 준수하면서 기존 고객 관계를 질서 있게 청산해야 했다(2026년 6월 30일 공동 성명). 감독 측면에서 Consob는 무허가 사업자에 대한 단속도 지속하고 있으며, 최근 몇 년간 차단된 암호화폐 사이트들이 이를 잘 보여준다.
자금세탁방지 규제는 별도의 트랙으로 병행 진행된다 또한 Banca d'Italia의 CASP FAQ에 따르면. 2025년 7월 23일 발효된 조치가 해당 CASP에 고객 확인(CDD) 및 내부 통제 관련 규정을 적용하도록 확대했다. 이탈리아 기업이라면 제품 구성을 유럽 프레임워크뿐 아니라 적용 가능한 국내 AML 절차와도 연결해 검토해야 한다(Banca d'Italia CASP FAQ).
MiCA 제73조는 기능을 외주화하는 CASP라도 모든 의무에 대한 완전한 책임을 진다고 규정하며. 외주 기능 감독에 필요한 자원, 정보 접근권, 서면 계약 요건을 정하고 있다(MiCA 제73조). 서비스를 도입하는 측은 외부 공급업체 외에 자체 의사결정 책임자를 명확히 지정해야 한다. 스크리닝 결과를 해소하는 담당자는 누구인가 그리고 정책 변경을 승인하는 사람은 누구인가? 예상 거래가 모니터링 시스템에 유입되어 설정된 규칙대로 처리됐는지 확인하는 주체는 누구인가? 이러한 책임은 인력이 바뀌거나 공급업체가 교체되더라도 반드시 유지돼야 한다.
설정 오류는 거래 모니터링의 공백으로 이어질 수 있다. 아일랜드 중앙은행과 Coinbase Europe 간의 합의 사례가 이를 보여준다. 아일랜드 중앙은행은 2021년 4월 23일부터 2022년 4월 29일 사이에 설정 오류로 인해 해당 모니터링 규칙이 적용되지 않은 거래가 약 3,000만 건에 달하며. 이는 같은 기간 Coinbase Europe 전체 거래의 약 31%에 해당한다고 판단했다. 최종 제재금은 21,464,734유로였고, 최종적으로 제출된 의심거래보고(STR) 건수는 2,708건이었다. 약 1,760억 유로라는 수치는 해당 거래들의 가치 규모를 나타낼 뿐, 해당 자금이 범죄 수익이라는 판정은 아니다. 이 사례는 모니터링 설정과 적용 범위를 검증하는 일이 얼마나 중요한지 보여준다. 공급업체 평가 결과가 아니라 본 연구의 설명적 사례다(아일랜드 중앙은행 합의 공고 제14항 및 제18항).
공급업체 데모 전에 확인해야 할 질문들
아래 질문들은 조사 내용을 실제 검증 작업으로 연결한 것이다. 법적으로 완결된 체크리스트가 아니라 도입 전 확인용 테스트 항목이다. 초기 후보군을 구성 중이라면 CryptoTotem의 KYC·AML 공급업체 가이드를 통해 공급업체 유형을 파악한 뒤. 예상 구성에 이 검증 항목을 적용해 볼 수 있다. 해당 가이드는 별도의 참고 자료이며 본 연구의 데이터셋이 아니다.
간단한 시나리오 테스트 하나가 긴 기능 투어보다 더 많은 것을 드러낼 수 있다. 소유권 불일치가 해소되지 않은 가상의 법인 고객을 공급업체에 제시한 뒤, 스크리닝 경보와 상대방 정보가 불완전한 이체를 추가로 투입한다. 그리고 어느 단계에서 프로세스가 멈추는지, 각 문제를 누가 해결하는지, 최종 파일에 무엇이 담기는지 직접 보여달라고 요청한다. 이는 예시적 테스트 조건이며 특정 공급업체에 대한 결과가 아니다.
운영 연속성도 같은 맥락의 대화에 포함돼야 한다. DORA(디지털 운영 회복력법)는 2025년 1월 17일부터 적용되며, 적용 대상 기관의 제3자 의존성을 포함한 IT 리스크를 규율한다. 실질적 검증에는 서비스 중단 및 복구 시나리오가 포함돼야 한다. 상업적 회복력 선언은 테스트 결과가 아니다(ESMA DORA 개요 페이지).
가장 확실한 접근법은 자신의 프로세스를 문서화하여 시뮬레이션해 보는 것이다. 조사를 통해 더 구체적인 질문을 도출할 수 있으며, 답은 실제로 유럽에서의 사업을 뒷받침할 설정, 증거, 책임 구조에서 나와야 한다.
방법론과 투명성
지원 자료에는 표본, 개별 셀 수준의 출처, 코딩 정의, 기능 항목에 대한 네 차례의 검토, 그리고 차트 데이터가 포함된다. 공개 정보 차트는 원본 코퍼스를 사용하며, 기능 집계는 2차 검토 기준을 따른다. 공급업체 진술은 어디까지나 공급업체의 선언이다. 비교 성능 테스트나 독립적인 법률 검토는 별도로 수행되지 않았다.
CryptoTotem은 크립토 프로젝트 및 서비스 제공업체에 관한 정보 플랫폼이다. 이 연구는 SpazioCrypto를 위해 작성되었으며, CryptoTotem은 포함된 공급업체와 유료 게재, 제휴 수수료, 기타 상업적 관계가 없음을 선언한다. 본 연구는 특정 공급업체를 추천하거나 규정 준수를 인증하지 않으며, 규제 관련 내용은 명시된 출처와 범위로 한정된다.
부록: 공급업체 기능 매트릭스
실제로, 이 매트릭스는 포함된 19개 공급업체 전체에 대해 검토된 문서에서 발견된 증거를 기록한다. 품질이나 성능을 순위화하지 않으며, 각 셀은 공급업체의 실제 역량이 아닌 발견된 공개 문서를 나타낸다.
기능 코딩, 2차 검토. 별표는 네 차례의 집중 검토 항목을 나타내며, 나머지 코드는 원본 코퍼스 기준이다. 출처: CryptoTotem Research, 2026년 9월 29일 기준 데이터.
IDV = 신원 검증; KYB = 기업 및 실질적 소유자 검증; SCR = 명칭 및 제재 스크리닝; TM = 트랜잭션 모니터링 및 케이스 관리; BC = 블록체인 분석; TR = 트래블 룰; ORC = 플로우 오케스트레이션. N = 자체 브랜드 제품으로 운영 방식이 기술됨; P = 파트너 또는 공동 제공을 통한 명시적 구현; C = 세부 내용이 부족한 선언; U = 검토된 코퍼스에서 알 수 없음. 확인된 부재로 코딩된 기능은 없다. N은 모든 업스트림 데이터의 소유를 의미하지 않는다. Notabene의 P 셀은 Sardine과의 공동 제공을 의미하며, 계약 범위 및 가용성은 별도로 확인이 필요하다.
