유럽 불법 암호화폐 거래소의 99%가 이탈리아 업체라는 뜻이 아니다. 실제로 확인된 사실은 다르다. ESMA의 미준수 암호화폐 사업자 등록부에서 167건 중 165건, 즉 98.8%가 이탈리아 금융감독원 콘솝(Consob)에 의해 신고된 것으로 나타났다. 이 불균형은 사기 행위의 지리적 분포를 보여주는 것이 아니라, 각 회원국의 MiCA 집행이 얼마나 불균일한지를 드러낸다.
비공식적으로 “MiCA 암호화폐 블랙리스트”라고 불리는 이 목록은 실제로는 MiCA 규정 제110조에 근거한 비포괄적 등록부다. ESMA는 각국 관할 당국으로부터 정보를 수집해 파일을 주기적으로 업데이트한다. 이 명단에 오른다는 것은 특정 당국이 신고를 전송했다는 의미이며, 명단에 없다고 해서 인가를 받았거나 안전하다는 뜻은 아니다.
ESMA 등록부에 실제로 담긴 내용
2026년 8월 21일 기준으로 업데이트된 공식 파일 NCASP.csv에는 총 167개 항목이 포함되어 있다. 신고 기관별로 분류하면 분포가 극단적으로 쏠려 있음을 알 수 있다. 165건은 이탈리아 콘솝이 신고했으며, 나머지는 네덜란드 금융시장청(AFM) 1건과 슬로바키아 국립은행 1건이다. 현재 기준으로 등록부에 등장하는 국가 당국은 단 세 곳뿐이다.
법적 범위는 “무허가 사업자”라는 일반적 표현보다 훨씬 정밀하다. MiCA 제59조는 인가 없이, 또는 제60조에서 규정하는 적격 금융 기관 지위 없이 EU 내에서 암호화폐 서비스를 제공하는 행위를 금지한다. 제61조는 역 권유(reverse solicitation)를 규율한다. 제3국 기업이 EU 고객에게 서비스를 제공하려면 고객이 먼저 단독으로 요청했을 때만 가능하며, EU 내 사전 홍보나 권유가 없어야 한다.
98.8%는 불법 사업자의 위치를 나타내지 않는다
이 수치를 지리적 불법 행위 순위로 해석하는 것은 큰 오류다. CSV 파일이 보여주는 것은 각 항목을 신고한 당국이 어디인가이며, 해당 기업이 이탈리아에 설립되어 있다는 사실을 증명하지는 않는다. EU 및 유럽경제지역(EEA) 30개 회원국을 기준으로 보면, 이 파일에는 단 세 국가의 당국에서 신고한 항목만 존재한다. 독일과 프랑스를 포함한 나머지 27개 당국은 이번 데이터셋에서 신고 기관으로 등장하지 않는다.
이것이 해당 시장에 불법 사업자가 없거나 감독 활동이 없다는 결론으로 이어지지는 않는다. ESMA는 이 등록부가 비포괄적이며, 매주 업데이트되고, 각국 당국으로부터 수신된 정보를 반영할 뿐이라고 명시하고 있다. 이 데이터를 올바르게 해석하려면 미준수 파일과 ESMA 인가 사업자 등록부를 구분해야 한다. 두 파일은 서로 다른 질문에 답한다.
- 총 167건
미준수 암호화폐 사업자 등록부 전체 항목 수. - 165건은 콘솝 신고
ESMA 전체 파일의 98.8%를 차지한다. - 3개 당국만 등장
이탈리아 콘솝, 네덜란드 AFM, 슬로바키아 국립은행.
콘솝 비중이 압도적인 이유
사실, ESMA 파일 자체가 이 불균형의 원인을 설명하지는 않는다. 다만 이 수치는 이탈리아 당국이 온라인 무허가 행위에 대해 상당히 적극적으로 공권력을 행사해 온 것과 일치한다. SpazioCrypto는 앞서 불법 금융 및 암호화폐 사이트에 대한 콘솝의 조치를 상세히 분석하면서. Decreto Crescita(성장 법령)에서 비롯된 일반 권한과 MiCAR 도입으로 추가된 특수 권한을 구분한 바 있다.
콘솝은 2026년 8월 11일 기준으로 2019년 7월 이후 금융 사이트 1,805곳을 차단했다고 공표했다. 이 총계는 여러 범주를 포함하므로 MiCA CSV의 165건과 직접 비교할 수는 없다. CSV는 기업 단위로 기록하며 한 항목에 여러 도메인이 연결될 수 있기 때문이다. 그럼에도 이탈리아에 매우 활발한 국가 모니터링·집행 체계가 존재함을 보여준다. 반대로 다른 유럽 당국들이 비활동적이라는 뜻은 아니다. 절차상 차이, 전송 시점, 분류 방식이 최종 통계 결과에 영향을 미칠 수 있다.
사업자의 실제 인가 여부 확인 방법
이용자 입장에서 블랙리스트를 역방향 보증서로 활용해서는 안 된다. 미준수 파일에서 특정 브랜드를 찾지 못했다고 해서 어떠한 안전 보장도 제공되지 않는다. 긍정적 검증은 MiCA 인가 CASP 목록에서 시작해야 한다. 법인명, 인가를 부여한 당국, 해당 기업이 제공할 수 있는 개별 서비스를 확인하는 것이 순서다.
그다음으로는 이용 중인 도메인이 실제로 인가받은 법인에 속하는지 확인하고, 국가 당국의 공지 사항도 점검해야 한다. 한 회원국에서 취득한 라이선스는 유럽 여권(passport) 제도를 통해 EU 전역에서 활용할 수 있지만. 이것이 모든 현지 의무를 면제하지는 않는다. 이 점은 MiCA를 넘어선 이탈리아 암호화폐 시장 의무 사항 분석에서 자세히 다룬 바 있다.
더 넓은 시각으로 읽기
MiCA는 공통 규정 체계를 만들었지만, 167건 중 165건이라는 수치는 집행의 가시성이 여전히 각국 당국에 크게 의존하고 있음을 보여준다. 사실상 한 감독 기관이 거의 모두 채운 유럽 등록부는 해당 관할권에서 일어나는 일에는 매우 유익하지만, 나머지 시장에 대해서는 거의 아무것도 말해주지 못할 위험이 있다.
결론은 이탈리아에 유럽 불법 사업자 대부분이 집중되어 있다는 것이 아니다. 유럽의 신고 시스템이 아직 균일한 전체 그림을 제공하지 못한다는 점이다. 블랙리스트는 누가 신고되었는지 파악하는 데는 유용하지만, 누가 안전한지를 추론하는 도구로 쓰기에는 한계가 있다. 그 목적에는 인가 사업자 등록부가 필요하며, 각국 당국의 조치와 함께 읽고 최신 날짜 기준으로 확인해야 한다. 금융감독원(FSS)이나 금융위원회(FSC)와 같은 한국 규제 당국도 국내 투자자를 위해 유사한 인가 확인 절차를 운영하고 있으므로. ESMA 등록부와 병행해 참조하는 것이 바람직하다.
