KYC

안나는 처음으로 비트코인을 사려고 합니다. 거래소를 고르고 계정을 만들었더니 구매 버튼 대신 신원 확인 요청이 나타납니다. 신분증, 얼굴 확인, 계정을 어떻게 사용할지에 관한 질문 등이 포함될 수 있습니다. 이것이 KYC입니다. 서비스는 누구와 거래 관계를 맺는지 알아보고 자신의 의무를 이행하려는 것입니다. KYC는 AML/CFT, 즉 자금세탁과 테러자금 조달을 방지하는 조치에 속합니다. 신분증 확인은 일부에 불과하며, 더 넓은 체계에는 위험 평가, 기록 보관, 의심스러운 거래의 보고도 포함됩니다. 비트코인 네트워크가 요구하는 절차도, 안나가 잘못했다는 증거도 아닙니다. [1]

안나가 자신의 지갑으로 비트코인을 직접 받는다면 네트워크 노드는 신분증을 확인하지 않습니다. Full Node는 네트워크 규칙에 따라 비트코인 거래와 블록을 독립적으로 검증하는 소프트웨어를 실행하는 컴퓨터입니다. 반면 거래소나 고객 자금을 보관하는 회사는 자체적인 법적 의무를 지닌 별도의 서비스 제공자입니다. 국제 문서는 특정 가상자산 서비스 제공자를 VASP라고 부릅니다. 자기 키를 보유한다는 이유만으로 안나가 그런 제공자가 되지는 않습니다. 개인키는 지갑이 결제를 승인하는 디지털 서명을 만들 때 사용하는 비밀 데이터입니다. 하지만 Self-custody, 즉 키를 직접 관리한다고 해서 해당 지갑으로 출금할 때 거래소의 의무가 사라지지는 않습니다. 그래서 지갑을 안나가 직접 통제하더라도 거래소는 목적지 주소가 누구의 것인지 물을 수 있습니다. [2] [10]

서비스는 신뢰할 수 있는 독립적인 출처와 고객 정보를 대조합니다. 회사라면 회사 이름만으로는 부족합니다. 궁극적으로 회사를 소유하거나 통제하는 자연인인 실제 소유자도 중요합니다. 제공자는 거래 관계의 목적도 파악합니다. 그러나 신분증 확인에 성공했다고 해서 모든 돈의 출처나 특정 비트코인 주소의 개인키를 지금 누가 가지고 있는지까지 증명되는 것은 아닙니다. 안나는 다른 사람의 주소를 입력했을 수도 있습니다. 고객의 신원, 주소에 대한 통제권, 자금의 출처는 서로 관련되지만 별개의 질문입니다. [1] [5]

안나는 한 서비스에서는 짧은 확인으로 절차를 마치고, 다른 곳에서는 추가 질문을 받을 수 있습니다. 적용 법률, 상품, 국가, 금액, 평가된 위험이 다르기 때문일 수 있습니다. 위험이 높으면 더 면밀한 확인이 필요하고, 낮으면 조건에 따라 간소화된 절차가 가능할 수 있습니다. 전 세계에 통용되는 단일 서류 목록은 없습니다. 자금세탁 방지 국제 기준을 만드는 FATF는 각국이 자국 규칙으로 이행할 틀을 제시합니다. FATF 권고 자체가 모든 Bitcoin 사용자에게 동일한 양식을 요구하는 법률은 아닙니다. 서비스는 어떤 정보를 왜 요구하는지 이해하기 쉽게 설명할 수 있어야 합니다. [1]

나중에 안나는 자동차를 팔고 그 돈 일부로 비트코인을 사려고 합니다. 거래소는 평소보다 큰 입금에 대한 설명을 요구할 수 있습니다. Source of funds는 이번 자동차 판매처럼 특정 거래에 쓰인 돈이 어디서 왔는지를 뜻합니다. 반면 Source of wealth는 사람이 전반적으로 어떻게 재산을 형성했는지에 관한 것입니다. 같은 질문이 아닙니다. 제공자는 이전 정보를 갱신하고 거래가 예상한 계정 사용 방식에 맞는지도 살필 수 있습니다. 구체적인 요청은 상황과 법적 체계에 맞아야 하며, 모든 고객이 매번 구매할 때마다 인생 전체를 입증해야 한다는 뜻은 아닙니다. [1]

안나가 제공자 사이에서 비트코인을 보낼 때, 거래 자체와 별도로 규정된 송금인과 수취인 정보가 전달될 수 있습니다. 이것이 Travel Rule이 다루는 영역입니다. 이름이나 신분증 사본을 공개 블록체인에 기록해야 하는 것은 아닙니다. 서비스가 정보를 따로 교환하거나 보관합니다. EU에서는 규정 2023/1113 등이 이 분야를 다룹니다. 이 규정은 제공자가 관여하는 송금과 제공자 없이 개인끼리 직접 하는 송금을 구분합니다. 후자가 이 규정에서 제외된다고 해서 모든 법률의 적용을 면제받는 것은 아닙니다. 개인 지갑과 거래소 사이의 송금에는 여전히 확인 의무를 질 수 있는 서비스가 관여합니다. [3] [4] [9]

제공자는 고객 정보와 함께 블록체인 분석을 사용할 수 있습니다. 이 분석은 주소와 거래 사이의 연결을 추적합니다. 거래의 각 출력에는 금액과 그 돈을 사용하기 위한 조건이 담깁니다. 아직 사용되지 않은 출력을 UTXO라고 하며, 이후 거래는 입력을 통해 이 출력을 참조할 수 있습니다. 분석가는 이런 흔적의 일부를 알려진 서비스와 연결할 수 있습니다. 그러나 일부 결론은 추정에 의존합니다. 예를 들어 CoinJoin에서는 여러 사람이 하나의 거래에 참여하므로 함께 소비된 입력이 한 소유자의 것이라는 보장은 없습니다. 따라서 위험 점수만으로 신원이나 자금의 범죄 관련성을 입증할 수는 없습니다. 기술적 흔적을 특정 사람에 대한 확실한 이야기로 바꾸어 해석하지 않는 것이 중요합니다. 오류가 있다면 맥락을 설명하고 재검토를 요청할 수 있어야 합니다. [8] [10]

안나가 제공한 민감한 정보는 계정과 출금 주소에 연결될 수 있습니다. 유출되면 단순한 이메일 목록 노출에 그치지 않습니다. 누군가 특정인의 금융 활동에 관한 단서를 얻을 수도 있습니다. 그러므로 누가 정보를 처리하고, 누구에게 전달하며, 어떻게 보호하고, 얼마나 오래 보관하는지 알아볼 만합니다. EU에서는 목적 제한과 필요한 정보만 수집하는 원칙 등 일반 개인정보 보호법(GDPR)의 원칙도 적용됩니다. 일부 기록을 보관할 법적 의무는 계정 폐쇄 후에도 이어질 수 있습니다. 따라서 계정을 닫는다고 모든 서류가 즉시 자동 삭제되는 것은 아니며, 구체적인 권리와 기간은 적용 법률이 정합니다. [6] [1]

서비스가 필요한 확인을 수행할 수 없다면 계정 개설이나 송금을 미루거나 거절하거나 거래 관계를 끝낼 수 있습니다. 상황에 따라 비공개 보고를 하거나 자금 처분을 제한해야 할 수도 있습니다. 이것만으로 고객의 유죄가 인정되는 것은 아닙니다. 그렇다고 모든 출금 요청을 즉시 처리해야 한다거나 고객지원팀이 언제나 확인의 모든 세부 사항을 설명할 수 있다고 약속할 수도 없습니다. 안나는 서비스 조건, 민원 절차, 관련 감독기관을 알아둘 필요가 있습니다. 규칙, 기한, 구제 방법은 국가와 서비스마다 다릅니다. [1]

서류를 보내기 전에 안나는 익숙한 앱이나 공식 웹사이트를 열어 누가 정보를 요청하는지 확인합니다. 거래소 로고가 붙은 긴급 메시지라는 이유만으로 믿을 수는 없습니다. KYC는 Seed Phrase, 즉 지갑을 복원하는 단어들이나 개인키를 공개할 이유가 절대 되지 않습니다. 주소 통제권은 다른 방법으로 확인할 수 있습니다. 서명 전에는 장치가 무엇을 승인하는지 이해해야 합니다. 서류에서는 필수 정보와 선택 정보를 구분하고 거절의 결과를 아는 것이 도움이 됩니다. KYC 완료나 인허가만으로 지급 능력, 예금 보험, 안전한 보관, 좋은 가격이 보장되지는 않습니다. KYC는 고객 확인에 관한 것이지 서비스에 위험이 없다는 증명이 아닙니다. [7]