加密资产监管概述系列（九）：韩国，从VASP登记到证券代币化

2026년 10월 1일, 한국 금융위원회는 《자본시장법》 및 《주식·채권 등의 전자등록에 관한 법률》의 부속 규정 개정안을 발표하며 증권 토큰화의 시행 세부사항을 확정했다. 주식, 채권, 펀드 및 일부 소액 투자 증권은 분산원장을 통해 발행 및 유통될 수 있으며, 관련 제도는 2027년 2월 4일 시행을 목표로 한다.

이번 개혁은 한국 디지털 자산 규제에 새로운 자본시장 진입 경로를 추가했다. 일반 가상자산 거래는 기존대로 VASP 등록, 자금세탁방지 및 이용자 자산 보호 규칙을 따라 운영되며, 증권적 권리를 가진 토큰은 발행, 계좌 관리, 거래 장소 및 투자자 보호 제도로 진입한다. 두 경로는 자산 권리의 성질에 따라 구분되지만, 은행 계좌, 고객 식별 및 기술 인프라에서 서로 연결된다.

한국의 규제 체계는 최근 몇 년간 거래소 등록에서 자산 분리, 시장 조작, 국경 간 이전 및 주주 적격성 심사로 확장되었다. 이 시장을 이해하려면 《특정금융거래정보의 보고 및 이용 등에 관한 법률》, 《가상자산 이용자 보호 등에 관한 법률》 및 자본시장 관련 법률을 함께 살펴봐야 한다.

1. 규제는 다섯 기관이 공동으로 수행

그림 2｜한국 디지털 자산 규제는 장부 기록, 증권 권리 및 지속적 감독을 동시에 연결한다

그림 3｜한국 가상자산 시장의 주요 규제 기관과 인프라

금융위원회(FSC)는 주요 정책, 규칙 제정 및 행정 처분을 담당한다. 가상자산 제도, 이용자 보호법 부속 규칙 및 증권 토큰화 로드맵은 모두 FSC가 발표한다. 중대한 위법 발생 시 FSC는 시정 명령, 영업 정지 및 과징금 등의 처분을 내릴 수 있다.

금융감독원(FSS)은 검사와 조사를 담당한다. 《가상자산 이용자 보호법》 제13조부터 제15조에 따라 FSS는 VASP가 고객 자산을 적절히 보호하는지 검사하고, 이상 거래 및 불공정 거래를 조사할 수 있다. 거래 플랫폼은 일상 모니터링에서 중대한 단서를 발견하면 FSS에 보고해야 한다.

한국금융정보분석원(KoFIU)은 FSC 체계 내에 위치하며 VASP 등록 및 자금세탁방지 규제의 핵심 기관이다. 《특정금융거래정보의 보고 및 이용 등에 관한 법률》 제7조는 VASP가 KoFIU에 신고할 것을 요구한다. 고객 실사, 의심 거래 보고, 트래블 룰 및 국경 간 가상자산 이전도 주로 이 법률을 따라 집행된다.

한국인터넷진흥원(KISA)은 정보보호 관리체계 인증을 담당한다. ISMS 인증은 VASP 등록의 중요한 전제 조건이며, 평가 범위에는 정보보호 조직, 접근 통제, 시스템 운영 및 사고 대응이 포함된다. 서비스 제공자는 일반적으로 정식 신고 전에 인증 준비를 완료해야 한다.

상업은행은 실명 입출금 계좌와 고객 자금 보관을 담당한다. 원화 거래 플랫폼은 은행과 협력하여 고객에게 실명 확인이 가능한 입출금 계좌를 제공해야 하며, 은행은 VASP의 자금세탁 위험, 고객 자금 분리 및 내부 통제를 평가한다. 한국예탁결제원(KSD)은 증권 토큰화 제도에서 전자등록 인프라 기능을 담당한다.

2. 자산 분류가 어느 법적 경로로 진입할지 결정

《가상자산 이용자 보호법》 제2조는 가상자산을 경제적 가치가 있고 전자적으로 거래 또는 이전될 수 있는 전자 증서 및 관련 권리로 정의한다. 발행인이 용도를 제한하고 화폐, 상품 또는 서비스로 교환할 수 없는 증서, 선불전자지급수단, 전자화폐, 전자등록 주식, 전자 어음 및 전자 선하증권 등은 정의에서 제외된다.

자산이 주식, 채권, 펀드 지분 또는 투자 계약 등 증권적 권리를 가질 경우 한국 《자본시장과 금융투자업에 관한 법률》(FSCMA)이 우선 적용된다. 증권을 블록체인으로 등록하더라도 수익권, 상환권 또는 발행인 의무는 변하지 않는다. 발행, 판매 및 유통 거래는 증권 제도에 따라 허가 진입 경로를 찾아야 한다.

NFT도 실제 권리에 따라 판단한다. 수집품형, 단일 발행이며 대체 가능성이 낮은 NFT는 일반적으로 일반 디지털 증서에 더 가깝지만, 대량 발행, 분할 거래 가능, 수익 약속 또는 지속적 거래 시장을 형성하는 상품은 가상자산 또는 증권 범위에 들어갈 수 있다. 프로젝트 명칭과 기술 형식이 보유자 권리에 대한 분석을 대체하지는 않는다.

스테이블코인은 현재 주로 가상자산 프레임워크 내에 위치하며, 지급, 준비금 및 발행 제도는 계속 발전 중이다. 환전, 이전, 보관 또는 중개 업무를 영위하는 서비스 제공자는 우선 VASP 규칙이 적용되며, 스테이블코인이 증권적 수익권을 함께承载하는 경우 자본시장법 요건도 고려해야 한다.

3. VASP 등록은 KoFIU 신고를 진입점으로

그림 4｜한국 VASP의 등록 준비부터 지속 운영까지의 주요 단계

《특정금융거래정보의 보고 및 이용 등에 관한 법률》 제7조는 가상자산 매매, 코인 간 환전, 이전, 보관 관리 및 거래 중개를 영위하는 기업을 대상으로 한다. 디지털 지갑 서비스 제공자가 범위에 포함되는지는 고객 자산을 실제로 통제하거나 이전을 실행하는지에 따라 결정된다. 순수 기술 소프트웨어와 고객을 대신해 자산을 운영할 수 있는 서비스는 규제상 다른 결과를 보인다.

신고 자료에는 회사 및 대표자 정보, 영업 장소, 연락처, 서버 위치 및 자금세탁방지 제도 등이 포함된다. VASP는 KISA가 발급하는 ISMS 인증을 취득하고, 고객 거래 기록 분리 관리, 의심 거래 보고 및 내부 통제를 구축해야 한다. KoFIU가 접수한 후에야 기업은 한국에서 관련 업무를 지속적으로 수행할 수 있다.

원화 매매를 제공하는 거래 플랫폼은 은행 실명 입출금 계좌도 취득해야 한다. 협력 은행은 고객 예치금이 분리되었는지, 기업이 최근 몇 년간 중대한 제재를 받은 적이 있는지, 거래 기록이 별도로 관리되는지 확인하고 자금세탁 위험 평가를 완료한다. 따라서 은행 협력은 제품 진입 경로이자 지속적 컴플라이언스 검사가 된다.

2026년 8월 시행된 개정안은 등록 심사를 기업 지배구조까지 확대했다. VASP 부채비율은 원칙적으로 200%를 초과할 수 없고, 지난 3년간 채무불이행이 없어야 하며, 자산 부족 금융기관이나 금융법 위반으로 허가가 취소된 기관에 속해서도 안 된다. 심사 범위는 최고경영자, 지배주주 및 법인 최대주주의 대표자까지 확대된다.

기업은 전문 인력, 전산 시스템, 네트워크 보안 설비 및 내부 통제를 갖추었음을 입증해야 한다. 임원과 주요 주주의 금융법 위반, 자금세탁방지 위반 및 기관 운영 기록이 모두 적격성 판단에 들어간다. 등록은 이로써 기술 안전과 자금세탁방지 신고에서 재무 건전성, 소유권 및 경영진 신뢰성에 대한 종합 심사로 확장되었다.

4. 자금세탁방지 의무는 모든 이전에 적용

VASP는 고객 신원 확인을 완료하고 고객 자료와 거래 목적을 지속적으로 심사하며, 고위험 고객, 상품 및 행위에 대해 강화된 실사를 수행해야 한다. 거래소, 수탁업자 및 이전 서비스 제공자는 모두 의심 거래 식별 규칙을 수립하고 KoFIU에 관련 정보를 보고해야 한다.

트래블 룰은 송신 기관이 수신 기관에 송금인 및 수취인 정보를 전달할 것을 요구한다. 한국은 2022년 3월부터 100만 원 이상의 VASP 간 이전에 이 제도를 시행했다. 2026년 개정안은 등록 VASP 간 트래블 룰을 전액으로 확대하고, 수신 측도 송신 측이 제공한 정보를 확보하도록 요구할 계획이다.

해외 VASP 및 개인 지갑은 더 세분화된 조건 관리가 적용된다. 저위험 해외 기관으로의 이전, 동일 주체의 자체 계좌 간 이전 등은 확인 후 처리할 수 있지만, 고위험 거래는 제한된다. 단건 또는 누적 1,000만 원에 달하는 해외 VASP 또는 디지털 지갑 이전은 KoFIU에 보고해야 하며, 위험 등급이 이 보고 요건을 면제하지 않는다.

기업의 경우 국경 간 제품은 고객 신원, 온체인 주소, 상대방 기관 및 자금 용도를 동시에 보관해야 한다. 플랫폼이 지갑 주소만 기록하면 후속 조사를 충족하기 어렵고, 은행이 법정화폐 흐름만 보면 온체인 위험 식별을 완료할 수 없다. 두 종류의 데이터는 거래 번호와 고객 파일을 통해 대응 관계를 유지해야 한다.

5. 《가상자산 이용자 보호법》은 고객의 돈과 코인을 관리

《가상자산 이용자 보호법》은 2024년 7월 19일부터 시행되었다. 제6조는 VASP가 고객 법정화폐 예치금을 자기 자금과 분리하고 은행 등 적격 기관에 보관할 것을 요구한다. 보관 기관은 자금이 이용자 소유임을 명확히 표시해야 하며, VASP 등록이 말소, 해산 또는 파산 등의 상황에서 이용자는 직접 반환을 청구할 수 있는 권리를 가진다. 플랫폼은 또한 고객에게 예치금에서 발생한 이자 또는 상응하는 비용을 지급해야 한다.

제7조는 VASP가 이용자 명단을 작성하여 고객 신원, 자산 종류, 수량 및 주소를 기록하고, 이용자 가상자산을 자기 자산과 분리할 것을 요구한다. 플랫폼이 실제로 보유한 자산 종류와 수량은 고객 권리와 일치해야 한다. 시행 규칙은 네트워크 공격으로 인한 집중 손실을 줄이기 위해 최소 80%의 이용자 가상자산을 오프라인 콜드월렛에 보관할 것을 요구한다.

제8조는 VASP가 해킹 공격 및 네트워크 장애로 인한 책임을 충당하기 위해 보험 가입, 상호부조 가입 또는 준비금 설정을 할 것을 요구한다. 규제 규칙은 핫월렛 자산을 계산 기반으로 삼아 최저 보장 수준을 형성하도록 요구한다. 콜드월렛 비율, 핫월렛 규모 및 보험 준비금은 고객 자산 변화에 따라 지속적으로 조정되어야 한다.

제9조는 거래 기록의 생성, 보존 및 파기를 관리한다. 온체인 데이터는 장기간 존재할 수 있지만, 플랫폼은 여전히 고객 지시, 계좌 변동, 승인 및 이상 처리 기록을 보존해야 한다. 이용자 자산 보호는 궁극적으로 온체인 잔액, 내부 장부 및 은행 예치금의 세 가지 기록이 상호 대조될 수 있는지에 달려 있다.

6. 시장 조작 및 이상 거래에 대한 지속적 모니터링

《가상자산 이용자 보호법》 제10조는 중대한 미공개 정보 이용, 가격 조작, 허위 거래 등 불공정 행위를 금지하고, VASP가 자신 또는 관련자가 발행한 가상자산을 거래하는 것도 제한한다. 위반자는 형사 책임, 벌금, 과징금 및 민사 배상을 질 수 있다. 불법 이익 규모가 클 경우 처벌은 현저히 높아진다.

제11조는 VASP가 정당한 이유 없이 고객의 가상자산 입출금을 차단하는 것을 제한한다. 플랫폼이 제한 조치를 취할 때는 이유를 설명하고 FSC에 보고해야 한다. 시스템 유지보수, 네트워크 혼잡 및 위험 통제는 모두 검증 가능한 운영 근거를 형성하여 고객 자산이 장기간 출금 불가 상태에 머무르지 않도록 해야 한다.

제12조는 가상자산 시장을 운영하는 VASP가 가격 및 거래량 이상을 지속적으로 모니터링하고 이용자 보호 및 거래 질서 유지 조치를 취할 것을 요구한다. 위법 혐의 거래를 발견한 후 플랫폼은 FSS에 보고해야 한다. 모니터링 모델, 수동 검토, 토큰 프로젝트 자료 및 계좌 연관 분석은 따라서 거래소의 일상적 컴플라이언스 역량이 된다.

FSS는 검사와 조사를 통해 업무, 재