룩셈부르크, 8일 암호화폐 거래소로 사기 경보망 확대

룩셈부르크가 금융정보분석원(CRF)의 사기 계좌 경보 대상을 암호화폐 서비스 제공업체까지 확대하는 법률을 마련했다. 해당 법률은 8월 8일 시행될 예정이다.

룩셈부르크 하원 자료에 따르면, 법안 8722호는 CRF가 ‘중대한 사기 위험’을 보이는 계좌 정보를 은행과 금융기관, 암호화폐 서비스 제공업체에 공유할 수 있는 법적 근거를 담았다. 엘리자베트 마르그(Elisabeth Margue) 룩셈부르크 법무장관 명의로 3월 20일 제출됐다.

법안은 7월 14일 하원 1차 헌법 표결에서 찬성 60표, 반대 0표, 기권 0표로 통과됐다.

법안과 하원 자료에는 경보 대상과 정보 이용 범위, 보관 기간 등이 명시됐다.

CRF는 확인된 고위험 사기 계좌 정보를 금융권 전반에 경보 형태로 전달할 수 있다. 법안은 적용 대상에 ‘암호자산 서비스 제공업체(prestataires de crypto-actifs)’를 포함했다.

정보 교환은 보안 채널을 통해 이뤄진다. 수신 기관은 해당 정보를 사기 예방 목적으로만 사용해야 하고 제3자에게 공개할 수 없으며, 보관 기간은 수령 후 6개월로 제한된다.

이번 조치는 2024년 발생한 카리타스(Caritas) 자금 유출 사건을 계기로 마련됐다. 룩셈부르크 사법부는 2024년 8월 6일 이 사건이 대표자 사칭형 사기와 관련됐을 가능성이 크다고 밝혔다.

하원은 카리타스의 피해 규모를 6100만 유로로 제시했다. 대표자 사칭형 사기는 임직원을 속여 긴급 송금이나 허위 결제를 유도하는 사회공학 기반 금융사기다.

막스 브라운(Max Braun) CRF 국장은 RTL과의 인터뷰에서 “처음 24시간 안에 아무 조치가 없으면 돈을 회수하기가 극도로 어려워진다”고 말했다. 그는 피싱과 가짜 투자 제안, 암호화폐를 활용한 공격이 증가하고 있다고 설명했다.

암호화폐 거래소가 경보 대상에 포함되면서 의심 자금이 은행 계좌를 거쳐 거래소 계정이나 지갑으로 이동하는 단계에서도 대응 정보를 공유할 수 있게 된다. 다만 경보 자체가 자금의 자동 동결이나 피해 회수를 보장하는 것은 아니다.

유럽연합(EU)의 암호자산시장규제(MiCA) 전환기간 종료도 제도적 배경으로 꼽힌다. 룩셈부르크 금융감독위원회(CSSF)는 7월 2일 MiCA 전환기간이 7월 1일 종료됐다고 공지했다.

이에 따라 EU 내 가상자산 서비스 제공업체는 암호자산 서비스 제공업체(CASP) 인가 없이 서비스를 제공할 수 없다. 룩셈부르크의 조치는 MiCA 인가 체계에 들어온 업체를 자금세탁방지와 사기 예방 정보망에 연결하는 흐름으로 풀이된다.

이는 암호화폐 사업자를 금융정보분석기구의 감독 체계에 편입한 짐바브웨의 가상자산서비스제공자 등록제와도 맞닿아 있다. 두 제도 모두 암호화폐 사업자에 자금세탁방지와 금융범죄 예방 의무를 적용하는 데 초점을 맞췄다.

CRF는 법안 통과 뒤 관련 전문가를 대상으로 8월 초 첫 설명회를 열 예정이라고 밝혔다. 거래소와 지갑 사업자는 경보 수신과 비공개, 6개월 보관 제한, 내부 모니터링 반영 절차를 마련해야 한다.