325만유로 제재 합의, 코인베이스 아일랜드 자금보호 위반 인정

아일랜드 중앙은행이 코인베이스($COIN) 아일랜드(Coinbase Ireland Limited)에 고객 자금 보호 의무 위반으로 325만2618유로(약 48억3000만원)의 금전 제재와 견책을 부과하기로 했다. 중앙은행은 22일(현지시간) 이를 발표했다. 위반 기간은 2020년 11월 1일부터 2025년 8월 19일까지다.

제재 전 금액은 464만6597유로였고, 합의 제재 절차에 따른 30% 할인이 적용돼 최종 금액이 정해졌다. 코인베이스 아일랜드는 위반 사실과 합의된 사실관계를 인정했다. 다만 제재는 아일랜드 고등법원의 확인을 받아야 효력이 발생한다. 원화 환산액은 유럽중앙은행(ECB)의 22일 기준환율(1유로=1484.25원)을 적용한 참고치로, 실제 환전액과는 다를 수 있다.

◇ 중앙은행이 지적한 세 가지

코인베이스 아일랜드는 법정화폐와 교환해 전자화폐를 발행·환급하는 전자화폐 기관이다. 고객은 이 전자화폐로 코인베이스 그룹 거래 플랫폼에서 가상자산을 산다. 중앙은행은 전자화폐 규정(Electronic Money Regulations 2011)상 고객 자금 보호(safeguarding)와 외주 관리 의무를 어겼다고 판단했다.

문제는 세 갈래다.

△규제 준수용 자금 보호 절차를 미국 소재 코인베이스 그룹에 과도하게 의존했고, 아일랜드 법인에는 이를 감독할 현지 전문성이 충분하지 않았다. △시스템 설계와 통제 시험이 미흡해 지정 보호 계좌가 장기간 부족한 상태였다. △보호 절차의 중요한 변경을 식별해 보고할 내부 통제와 상향 보고 절차가 부족했다.

고객 자금 보호 계좌는 전자화폐 기관이 고객 자금을 회사 자금이나 다른 법인 고객 자금과 분리해 보관하고, 보호 의무액을 채우도록 관리하는 장치다. 이번 처분은 가상자산 거래의 적법성이나 고객의 가상자산 보유액을 다룬 것이 아니라, 전자화폐와 법정화폐 관련 보호·외주 관리 체계를 겨냥했다.

◇ 규제당국과 회사 설명

캐런 오리어리(Karen O'Leary) 아일랜드 중앙은행 집행국장은 지급·전자화폐 사업자에게 고객 자금을 전액 보호할 의무가 있으며 보호 체계의 취약성을 용인하지 않는다는 입장을 밝혔다. 외주 관리가 부실하면 사업자의 운영 회복력이 위협받을 수 있다고도 했다.

코인베이스는 자체 설명에서 과거 문제 다섯 가지를 공개했다. 2023년 미국 은행권 혼란 때 대체 계좌로 받은 고객 입금의 혼합, 브렉시트 이후 이전된 고객의 기존 영국 계좌 입금, 다른 코인베이스 법인 고객의 유로 인출을 아일랜드 보호 계좌에서 처리한 사례, 일일 보호액 계산 대시보드의 코딩 오류, 중앙은행에 보호 절차 변경을 모두 알리지 못한 점이다. 회사는 대시보드 오류로 2023년과 2024년 상반기 보호 계좌가 보호 의무액보다 평균 약 0.54% 부족했다고 밝혔다.

회사는 여러 문제를 2024년 1월 중앙은행에 자체 보고했고 이후 해결했다고 설명했다. 고객이 금전적 손실을 입거나 자금에 접근하지 못한 사례는 없었다고도 했다. 2025년 1월 이후 제3자 검증 두 차례에서 미해결 사항이 나오지 않았고 2500만유로 규모 보증채권을 도입했다고 덧붙였다. 일부 사안은 금융시장 혼란기에 고객을 보호하려는 조치에서 비롯됐다는 것도 회사 측 설명이다. 이 내용은 모두 회사 주장이며, 중앙은행은 발표문에서 자금 보호 의무 위반과 계좌 부족 상태를 적시했을 뿐 고객 손실 여부를 따로 판정하지는 않았다.

◇ 2025년 제재와는 별개

아일랜드 중앙은행이 코인베이스의 유럽 사업에 제재를 내린 것은 이번이 두 번째다. 다만 대상 법인과 위반 유형이 다르다. 2025년 11월에는 코인베이스 유럽(Coinbase Europe Limited)이 거래 모니터링 의무 위반으로 2146만4734유로를 부과받았다.

중앙은행은 코인베이스 유럽이 2021년 4월 23일부터 2025년 3월 19일까지 거래 모니터링 의무를 위반했고, 12개월 동안 3044만2437건을 제대로 감시하지 못했다고 밝혔다. 해당 거래 금액은 1760억유로를 넘는다. 그 제재는 2026년 1월 고등법원 확인을 받았다.

이번 건은 법인(코인베이스 아일랜드), 적용 규정(전자화폐 규정), 위반 내용(자금 보호와 외주 관리)이 모두 다르다. 같은 위반이 되풀이된 사례로 보기는 어렵다.