가상 자산 이용자 보호법

가상자산 사업자(VASP)는 이 법의 핵심 규제 대상이다. 법에 따라 가상자산 거래, 매매 중개, 보관·관리, 발행 등 일정한 영업 행위를 하는 사업자는 반드시 금융위원회에 등록해야 한다. 등록 요건으로는 최저 자본금 기준 충족, 정보보호 관리체계(ISMS) 인증 획득, 실질 소유자 및 임원의 적격성 심사 통과, 사업 계획서 제출 등이 포함된다. 등록하지 않고 영업을 하는 행위는 원칙적으로 금지된다.

등록된 사업자는 법이 정한 다양한 의무를 이행해야 한다. 주요 의무로는 이용자 자산의 분리 보관이 있으며, 사업자의 운영 자금과 이용자의 가상자산 및 예치금을 엄격히 구분하여 관리해야 한다. 또한 자금세탁방지(AML) 및 테러자금조달방지(CFT) 의무를 준수해야 하며, 의심 거래 보고 및 고객 확인(CDD) 절차를 마련해야 한다.

사업자는 이용자 보호를 위한 내부 통제 기준을 마련하고 준수해야 한다. 이에는 사고 대비책 마련, 분쟁 조정 절차 구축, 광고 및 판매 권유 시 투자 위험에 대한 충분한 설명 의무 등이 포함된다. 또한 정기적으로 재무상태와 영업 현황을 금융당국에 보고해야 하며, 중요한 사항이 변경될 경우 변경 등록을 해야 한다.

이용자 자산의 분리 보관은 가상 자산 이용자 보호법의 핵심 조항 중 하나로, 가상자산 사업자(VASP)가 고객의 자산과 자신의 운영 자산을 엄격히 분리하여 보관하도록 의무화한다. 사업자는 고객으로부터 예탁받은 가상자산과 법정화폐를 별도의 계정이나 지갑에서 관리해야 하며, 이는 사업자의 재정적 어려움이나 파산 시에도 이용자 자산이 안전하게 보호받도록 하기 위한 목적이다. 특히 고객의 법정화폐는 신탁회사나 은행 등 제3자 금융기관에 위탁하거나 예치금보험에 가입하는 방식으로 추가적인 안전장치를 마련해야 한다.

안전성 확보 조치로는 냉장보관(콜드 스토리지) 의무화, 개인키 관리 기준 강화, 그리고 정기적인 외부 감사 및 재무제표 공시가 포함된다. 사업자는 고객 자산의 상당 부분을 오프라인 저장장치에 보관해야 하며, 이를 통한 해킹 위험을 최소화해야 한다. 또한, 사이버 보안 체계를 구축하고 정보보호 관리체계(ISMS) 인증을 받는 등 기술적·관리적 보호 조치를 이행해야 한다.

이러한 규정은 과거 FTX 사태[3]와 같은 대규모 고객 자산 유실 사고를 방지하고, 시장에 대한 신뢰를 제고하는 데 기여한다. 법 위반 시에는 과징금 부과, 등록 취소 등의 행정 제재를 받게 된다.

이 법은 가상자산 시장에서의 투명성과 공정성을 확보하기 위해 주요 불공정 거래 행위를 명시적으로 금지하고 규제한다. 핵심 금지 행위로는 시세조종, 내부자거래, 부정거래 등이 포함된다. 시세조종은 허위 주문, 가격 조작, 거짓 정보 유포 등을 통해 인위적으로 시장 가격을 변동시키는 행위를 말한다. 내부자거래는 일반 투자자가 알지 못하는 중대한 비공개 정보를 이용해 거래하여 이익을 얻거나 손실을 회피하는 행위를 지칭한다.

구체적인 규제 대상 행위는 다음과 같은 표로 정리할 수 있다.

가상자산 사업자는 이러한 불공정 거래를 방지하고 감지하기 위한 내부 통제 체계와 모니터링 시스템을 구축·운영해야 한다. 또한 의심 거래가 발견될 경우 금융당국에 신고할 의무가 부여된다. 법 위반 시에는 과징금 부과, 등록 취소 등의 행정 제재와 함께, 경우에 따라 형사 처벌의 대상이 될 수 있다[4]. 이 규정들은 기존 자본시장법에서 증권 시장을 보호하기 위해 마련된 규제 프레임워크를 가상자산 시장에 적용한 것으로 볼 수 있다.

가상자산 사업자(VASP)는 이용자에게 투자 판단에 필요한 핵심 정보를 투명하게 제공해야 한다. 이는 사업자의 명칭, 등록번호, 주요 임원 정보, 제공하는 서비스의 내용과 위험성, 수수료 체계, 분쟁 해결 절차 등을 포함한다. 특히 신규로 상장하는 가상자산에 대해서는 해당 자산의 성격, 개발 배경, 유통량, 관련 위험 요인 등에 대한 상세한 설명을 제공해야 한다.

이용자 보호를 위한 구체적 조치로는 계약서 교부 의무, 설명의무 강화, 광고·선전 규제 등이 있다. VASP는 이용자와 서비스 이용계약을 체결할 때 계약 조건을 명시한 서면(전자문서 포함)을 교부해야 한다. 금융상품 판매에서와 유사하게, 이용자의 투자 경험과 자산 규모를 고려하여 해당 거래의 위험을 이해할 수 있도록 설명해야 하며, 과장되거나 오해의 소지가 있는 광고를 금지한다.

이러한 조치는 정보의 비대칭성을 해소하고, 이용자가 충분한 정보를 바탕으로 합리적인 판단을 내릴 수 있도록 지원하는 데 목적이 있다. 또한, VASP는 이용자로부터 제기되는 불만이나 분쟁을 신속하고 공정하게 처리할 수 있는 내부 절차를 마련하고, 그 결과를 정기적으로 관리 기관에 보고해야 한다.

가상 자산 이용자 보호법을 위반한 가상자산 사업자(VASP)에게는 금융위원회가 다양한 행정 제재를 부과할 수 있다. 제재의 종류와 수준은 위반 행위의 유형과 중대성에 따라 차등 적용된다.

주요 행정 제재는 다음과 같다.

제재 절차는 금융위원회가 위반 사실을 조사한 후 사업자에게 의견 진술 기회를 부여하고, 위원회의 의결을 거쳐 행정 처분을 결정하는 방식으로 진행된다. 과태료는 법에서 정한 상한액 범위 내에서 위반 행위의 횟수, 기간, 금액 등을 고려하여 산정된다. 등록 취소 처분을 받은 사업자는 취소일로부터 5년간 동일한 사업으로 다시 등록할 수 없다.

가상 자산 이용자 보호법을 위반한 경우, 행정 제재 외에도 민사상 배상 책임과 형사상 처벌을 받을 수 있다. 이는 단순한 규제 위반을 넘어서 이용자에게 실질적인 손해를 끼쳤거나 금융 범죄에 해당하는 행위에 대해 더 강력한 법적 책임을 묻기 위한 장치이다.

민사상 책임은 주로 가상자산 사업자(VASP)의 불법 또는 과실로 인해 이용자가 입은 재산적 손해를 배상하는 것을 의미한다. 예를 들어, 법이 정한 이용자 자산을 분리 보관하지 않아 사업자의 파산 시 이용자 자산이 환수되지 못하거나, 허위 또는 과장된 정보를 제공하여 이용자가 투자 손실을 보는 경우, 해당 VASP는 불법행위에 기초한 손해배상 책임을 진다. 이용자는 이러한 위반 사실을 입증하여 법원에 손해배상 소송을 제기할 수 있다.

형사상 책임은 보다 중대한 위반 행위에 적용된다. 주요 처벌 대상은 다음과 같다.

이러한 민·형사상 책임 규정은 단순한 규제 준수 차원을 넘어, 불법 행위로 인한 이용자 피해에 대한 구제 수단을 마련하고 금융 시장의 공정성을 해치는 중대 범죄에 대해 엄중히 대처하려는 입법 의도를 반영한다. 특히 벌금액을 위반으로 인한 수익 또는 거래 규모에 연동시키는 방식은 위반 억제 효과를 강화하기 위한 것이다.

가상 자산 이용자 보호법의 시행은 국내 가상자산 산업의 구조와 운영 방식에 상당한 변화를 가져왔다. 가장 직접적인 영향은 시장의 공식화와 대형화 경향이다. 법이 정한 엄격한 등록 요건을 충족하기 위해서는 상당한 자본과 내부 통제 시스템이 필요하기 때문에, 소규모 사업자들은 시장에서 퇴출되거나 합병되는 경우가 발생했다. 반면, 주요 금융 그룹이나 대기업 계열사와 같은 기존의 대형 자본은 비교적 안정적인 규제 프레임워크가 마련됨에 따라 시장에 본격적으로 진출하는 계기가 되었다. 이로 인해 산업은 소수의 대형 가상자산 사업자(VASP) 중심으로 재편되는 양상을 보이기 시작했다.

산업 내부의 운영 관행에도 근본적인 변화가 일어났다. 이용자 자산 분리 보관 의무화는 고객 자금과 사업자 자금을 철저히 분리하도록 강제하여, 사업자의 부도 시 고객 자산의 안전성을 높이는 효과를 가져왔다. 또한, 불공정 거래 행위 규제 조항은 내부거래나 시세조종과 같은 행위에 대한 감시와 제재 근거를 마련함으로써, 과거에 비해 시장 조작 행위가 상대적으로 억제되는 환경을 조성했다. 사업자들은 법적 의무 이행을 위해 리스크 관리 시스템과 준법감시 부서를 강화하는 등 기업의 지배구조 개선 압력을 받게 되었다.

한편, 법 시행은 혁신과 신규 서비스 개발에 일정한 제약으로 작용했다는 지적도 있다. 엄격한 규제 준수 비용이 증가하면서, 특히 디파이(DeFi)나 NFT 등 새로운 영역에서의 실험적 사업 모델 추진이 어려워졌다. 규제 대상이 명확히 정의된 거래소 중심의 서비스에 집중되다 보니, 탈중앙화 금융 등 경계가 모호한 생태계의 성장이 상대적으로 더뎌질 수 있다는 우려가 제기된다. 결과적으로, 이 법은 이용자 보호와 시장 안정성을 크게 향상시켰지만, 동시에 산업의 진입 장벽을 높이고 기존의 중앙화된 사업자 중심 구조를 공고히 하는 이중적인 영향을 미치고 있다.

법 시행 이후, 가상 자산 이용자 보호법의 실효성과 규제의 적정성을 둘러싼 다양한 현안이 제기되며, 이에 대한 개정 논의가 지속적으로 이루어지고 있다.

핵심 쟁점 중 하나는 규제 대상의 범위 설정이다. 현재 법은 가상자산 사업자(VASP)를 중심으로 규제를 하지만, 탈중앙화 금융(DeFi) 프로토콜이나 자체 보관(Self-custody) 지갑 서비스 등 새로운 형태의 서비스들은 명확한 규제 대상에 포함되지 않는다. 이로 인해 규제 사각지대가 발생할 수 있다는 지적이 제기된다. 또한, 스테이블코인 발행자나 주요 거래소 상장 심사 기준에 대한 구체적인 규정이 부재하여, 시장의 투명성과 안정성을 저해할 수 있다는 우려도 존재한다.

이에 따라, 규제 체계를 보완하기 위한 개정 논의가 활발하다. 주요 방향은 다음과 같다.

또한, 법 시행 초기 과도한 규제 부담이 중소 규모 사업자의 시장 퇴출을 유발할 수 있다는 산업계의 목소리도 있어, 규제 비용과 실효성의 정합성을 높이는 방안도 함께 논의된다. 국제 규제 기준(예: 핀테크行动方案, 마카오 패키지)과의 정합성을 높이기 위한 조정 작업도 중요한 개정 과제로 떠오르고 있다.