VASP(Virtual Asset Service Provider)

잘난 척을 위한 한 줄 요약

VASP는 코인을 만드는 회사가 아니라, 가상자산을 사고팔고·옮기고·보관하게 해주는 사업자를 규제하기 위해 만든 국제 표준 용어다.

 

VASP란 무엇일까? 가상자산 거래소는 왜 ‘사업자 등록’ 대상이 됐을까?

먼저, VASP가 뭔지부터

VASP(Virtual Asset Service Provider)는 한국어로 보통 가상자산사업자라고 한다.

 

말 그대로 가상자산과 관련된 서비스를 영업으로 제공하는 개인이나 법인을 뜻한다. 대표적으로는 가상자산 거래소, 보관 서비스, 지갑 서비스, 이전·송금 관련 사업자가 여기에 들어갈 수 있다.

 

국제자금세탁방지기구인 FATF는 VASP를 고객을 대신해 가상자산의 교환, 이전, 보관·관리, 발행·판매 관련 금융서비스를 제공하는 사업자로 정의한다.

 

쉽게 말하면 이렇다.

비트코인이나 이더리움을 만든 사람이 VASP인 것은 아니다.
이용자가 가상자산을 거래하고, 보관하고, 다른 사람에게 보내도록 연결해주는 사업자가 VASP다.

 

어떤 사업자가 VASP에 해당할까

FATF 기준에서 VASP에 해당할 수 있는 활동은 크게 네 가지다.

구분	설명	예시
가상자산-법정화폐 교환	코인과 원화·달러 등을 바꿔주는 서비스	원화 거래소
가상자산 간 교환	비트코인과 이더리움 등을 바꿔주는 서비스	코인 간 스왑·교환 서비스
가상자산 이전	고객 대신 가상자산을 보내주는 서비스	송금·이전 플랫폼
보관·관리	고객의 가상자산 또는 개인키를 관리	커스터디, 수탁형 지갑
발행·판매 관련 금융서비스	토큰 발행·판매 과정의 금융서비스 지원	일부 토큰 판매·중개 서비스

FATF는 2019년 권고안 15를 개정해 가상자산과 VASP에도 자금세탁방지·테러자금조달방지 규칙을 적용하기 시작했다.

그래서 VASP는 단순한 업계 표현이 아니라, “가상자산 서비스도 금융범죄 방지 규제 안으로 넣겠다”는 국제 기준의 핵심 용어가 됐다.

 

거래소만 VASP인 것은 아니다

많은 사람이 VASP라고 하면 업비트나 빗썸 같은 거래소만 떠올린다. 거래소는 대표적인 VASP가 맞다. 하지만 범위는 더 넓다.

예를 들어 고객 자산을 대신 보관하는 커스터디 사업자도 VASP가 될 수 있다. 고객의 개인키를 관리하거나, 기관투자자의 가상자산을 안전하게 보관해주는 서비스가 여기에 해당할 수 있다.

 

가상자산을 다른 주소로 이전해주는 서비스도 VASP가 될 수 있다. 다만 모든 지갑 서비스가 자동으로 VASP가 되는 것은 아니다.

국내 금융위원회는 단순히 P2P 거래 플랫폼이나 하드웨어 지갑을 제공하는 경우는 가상자산사업자에 해당하지 않을 수 있다고 설명해 왔다. 반대로 거래·교환·보관·관리 등을 영업으로 수행하면 신고 대상이 될 수 있다.

 

핵심은 기술 이름이 아니라 사업자가 고객의 가상자산 거래와 관리에 어느 정도 관여하는가다.

 

왜 VASP라는 규제 용어가 필요해졌을까

가상자산은 국경을 쉽게 넘는다. 은행 계좌처럼 전통 금융기관을 거치지 않고도 이전될 수 있다. 이 장점은 빠른 거래와 글로벌 접근성을 제공하지만, 자금세탁·사기·불법자금 이전 위험도 키울 수 있다.

 

예를 들어 누군가 불법 자금을 가상자산으로 바꾸고 여러 지갑을 거쳐 해외로 옮긴다면, 기존 금융권보다 추적이 어려울 수 있다.

 

그래서 국제 규제기관은 이렇게 본다.

“가상자산 자체를 모두 막기보다, 사람들이 실제로 거래하고 보관하는 접점을 관리하자.”

그 접점이 바로 VASP다.

 

FATF는 각국이 VASP를 등록 또는 인가 체계 안에 두고, 감독기관의 관리·감독을 받게 해야 한다고 권고한다. VASP에는 일반 금융기관과 유사한 자금세탁방지 의무가 적용될 수 있다.

 

즉, VASP 규제의 핵심은 코인 가격을 관리하는 것이 아니라, 가상자산이 범죄자금의 통로가 되는 것을 줄이려는 것이다.

 

한국에서는 VASP를 어떻게 부를까

한국에서는 VASP를 주로 가상자산사업자라고 부른다.

 

가상자산사업자는 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」, 흔히 특금법에 따라 금융정보분석원(FIU)에 신고해야 한다.

 

법에는 가상자산사업자가 신고 대상이며, 신고하지 않고 가상자산 거래를 영업으로 하면 처벌 대상이 될 수 있다고 규정돼 있다.

 

금융위원회는 국내에서 가상자산사업자로 적법하게 영업하려면 원칙적으로 정보보호관리체계 인증, 즉 ISMS 인증 등을 갖추고 FIU에 신고해야 한다고 안내하고 있다. 해외 사업자라도 한국 이용자를 상대로 영업하면 국내 규제 적용 대상이 될 수 있다.

 

쉽게 말하면 한국에서 VASP는 “코인 관련 서비스를 하는 회사”라는 업계 명칭이 아니라, 신고와 자금세탁방지 의무가 붙는 규제상 사업자 지위다.

 

신고된 VASP라고 해서 안전한 투자처일까

여기서 가장 많이 헷갈리는 부분이 있다.

 

“신고된 VASP니까 그 거래소에서 거래하는 코인은 안전하겠네?”

 

그건 아니다.

 

VASP 신고는 해당 사업자가 일정한 신고 요건과 자금세탁방지 의무 체계 아래에 있다는 뜻에 가깝다. 특정 코인의 가격 상승 가능성이나 투자 손실 위험까지 보장하는 제도는 아니다.

 

신고된 사업자라고 해도 다음 위험은 여전히 존재한다.

• 가상자산 가격 급락
• 상장폐지
• 해킹과 기술적 사고
• 사업자 경영 악화
• 프로젝트 사기
• 유동성 부족
• 시장 조작 의심 거래
• 출금 지연 또는 서비스 중단

금융위원회도 이용자가 거래하는 사업자가 적법하게 신고된 사업자인지 확인할 필요가 있다고 안내하면서, 미신고 사업자 이용을 유도하는 고수익 보장·허위광고에 주의하라고 경고한다.

 

즉, VASP 신고 여부는 최소한의 제도적 확인 기준일 수는 있지만, 투자 안전성 보증서는 아니다.

 

VASP에게는 어떤 의무가 있을까

VASP의 핵심 의무는 자금세탁방지다.

대표적으로는 다음이 있다.

 

고객확인제도

사업자는 고객이 누구인지 확인해야 한다. 금융권에서 계좌를 만들 때 신분증 확인을 하는 것과 비슷하다.

이를 보통 KYC(Know Your Customer)라고 부른다.

 

의심거래보고

거래 패턴이 비정상적이거나 자금세탁이 의심되면 금융정보분석원에 보고해야 할 수 있다.

예를 들어 짧은 시간 동안 대규모 자산이 여러 지갑으로 쪼개져 이동하거나, 고위험 국가와 반복적으로 거래되는 경우 등이 검토 대상이 될 수 있다.

 

거래 기록 관리

가상자산 거래와 고객 정보를 일정 기준에 따라 관리해야 한다. 나중에 불법자금 흐름을 확인할 수 있어야 하기 때문이다.

 

트래블 룰

VASP 규제에서 자주 나오는 말이 트래블 룰(Travel Rule)이다.

 

트래블 룰은 일정 기준 이상의 가상자산 이전 거래에서 송신인과 수신인 관련 정보를 사업자끼리 주고받도록 하는 제도다. 돈이 이동할 때 필요한 정보도 함께 “여행한다”는 뜻에서 이런 이름이 붙었다.

 

FATF는 가상자산 이전에서도 송신인과 수신인 정보를 확보·전달하도록 하는 기준을 마련해 왔다.

 

트래블 룰은 왜 논란이 될까

트래블 룰은 범죄자금 추적에 도움이 될 수 있다. 하지만 가상자산 이용자 입장에서는 개인정보와 프라이버시 문제를 떠올릴 수 있다.

 

거래 정보가 많이 수집되면 감시가 지나치게 늘어날 수 있다는 우려도 있다. 반대로 정보가 너무 부족하면 범죄자금 추적이 어려워질 수 있다.

 

그래서 트래블 룰은 늘 균형의 문제다.

범죄 예방은 필요하다.
하지만 이용자의 개인정보도 보호해야 한다.
규제는 국제적으로 연결돼야 한다.
동시에 기술적으로 안전하게 정보가 전달돼야 한다.

VASP는 바로 이 균형을 실제 현장에서 구현해야 하는 사업자다.

 

VASP와 탈중앙화 서비스는 어떻게 다를까

VASP는 보통 “누가 서비스를 운영하는가”가 비교적 분명한 경우에 적용하기 쉽다.

 

예를 들어 거래소가 고객 자산을 보관하고, 주문을 체결하고, 출금을 처리한다면 운영 주체가 분명하다. 규제기관도 그 사업자에게 신고·감독·의무 이행을 요구할 수 있다.

 

하지만 탈중앙화 금융, 즉 DeFi는 구조가 다를 수 있다.

스마트계약이 자동으로 작동한다.
중앙 운영회사가 불분명할 수 있다.
이용자가 직접 지갑을 연결해 거래할 수 있다.
중개자가 없는 것처럼 보일 수 있다.

 

그래서 DeFi가 VASP에 해당하는지는 단순하지 않다. 겉으로 탈중앙화돼 보여도 누군가 서비스 운영, 수수료 수취, 사용자 통제, 핵심 기능 관리를 하고 있다면 규제 대상이 될 가능성이 논의될 수 있다.

 

FATF도 기술 명칭보다 실제로 누가 가상자산 서비스를 운영하거나 통제하는지를 기준으로 판단해야 한다는 방향의 가이드라인을 제시해 왔다.

 

즉, “블록체인 기반이니까 규제 밖이다”라고 단순하게 말하기는 어렵다.

 

VASP와 개인지갑은 어떻게 다를까

개인지갑, 특히 사용자가 직접 개인키를 보관하는 비수탁형 지갑(non-custodial wallet)은 일반적으로 VASP와 다르게 볼 가능성이 크다.

 

왜냐하면 사업자가 고객 자산을 대신 보관하거나 이전하는 것이 아니라, 사용자가 자기 자산과 키를 직접 통제하기 때문이다.

 

예를 들어 하드웨어 지갑을 사서 개인키를 직접 보관하는 경우를 생각해볼 수 있다. 이때 지갑 제조사가 이용자의 자산을 보관하거나 거래를 대신 처리하지 않는다면 VASP와는 성격이 다를 수 있다.

 

다만 지갑 서비스가 단순 도구 제공을 넘어 고객 자산을 보관·관리하거나, 거래를 중개·집행한다면 규제 판단이 달라질 수 있다.

결국 기준은 이 질문이다.

 

“이 사업자가 이용자의 가상자산을 실제로 통제하거나, 대신 이전·교환·보관하고 있는가?”

 

VASP와 가상자산 이용자 보호법은 어떤 관계일까

한국에서는 특금법이 주로 자금세탁방지와 사업자 신고에 초점을 둔다.

 

반면 「가상자산 이용자 보호 등에 관한 법률」은 이용자 자산 보호와 불공정거래 규제를 중심으로 한다.

이 법은 가상자산 이용자 자산 보호, 불공정거래행위 규제, 시장의 투명성 확보를 목적으로 한다.

 

둘을 간단히 비교하면 이렇다.

구분	특금법상 VASP 규제	가상자산 이용자 보호법
핵심 목적	자금세탁·불법자금 방지	이용자 자산 보호·불공정거래 규제
주요 대상	가상자산사업자	가상자산사업자와 시장 참여자
핵심 내용	신고, 고객확인, 의심거래보고	이용자 자산 보호, 시세조종 등 규제
이용자 관점	“적법하게 신고된 사업자인가?”	“내 자산과 거래는 보호되는가?”

즉, VASP는 가상자산 규제 전체를 뜻하는 말이 아니다.
그중에서도 사업자 등록과 자금세탁방지 규제의 핵심 축에 가깝다.

 

왜 해외 VASP도 중요할까

가상자산 서비스는 국경을 넘기 쉽다.

 

국내 거래소만 이용하는 것처럼 보여도, 실제로는 해외 거래소, 해외 지갑 서비스, 해외 스테이블코인 발행사, 글로벌 블록체인 프로젝트와 연결될 수 있다.

 

그래서 한 나라만 규제를 강화해도 충분하지 않을 수 있다. 한 국가에서 규제가 약하면 불법 자금이 그쪽으로 이동할 가능성이 있기 때문이다.

 

FATF가 VASP 기준을 국제적으로 통일하려는 이유도 여기에 있다. 어느 나라에서는 고객확인을 하고, 다른 나라에서는 아무 확인 없이 거래가 가능하다면 규제 공백이 생긴다.

 

FATF는 2025년 업데이트에서도 각국의 VASP 규제 이행 수준이 고르지 않고, 국제 협력과 감독 강화가 계속 필요하다고 지적했다.

 

사업자 입장에서 VASP 등록은 무엇을 의미할까

사업자 입장에서 VASP 지위는 단순한 명칭이 아니다.

 

신고를 준비하려면 보안, 내부통제, 고객확인, 의심거래 탐지, 거래기록 관리, 개인정보 보호, 자산 분리관리 같은 체계를 갖춰야 한다.

 

특히 한국에서는 신고 수리 요건과 갱신 체계가 중요하다. 현행 시행령상 가상자산사업자 신고는 일정 기간의 유효기간을 두고 갱신신고 구조를 운영한다.

 

그래서 VASP 등록은 “코인 관련 사업을 해도 된다”는 단순 허가라기보다, 금융규제 수준의 내부통제와 책임을 감당할 수 있는지 확인받는 과정에 가깝다.

 

자주 헷갈리는 포인트

1. 모든 코인 회사가 VASP인가?

아니다. 코인을 발행하거나 블록체인 기술을 개발한다고 자동으로 VASP가 되는 것은 아니다. 고객을 대신해 가상자산을 교환·이전·보관·관리하는 사업을 영업으로 하는지가 중요하다.

 

2. 거래소만 VASP인가?

아니다. 거래소가 대표적이지만, 커스터디 사업자나 일부 지갑·이전 서비스도 VASP가 될 수 있다.

 

3. 신고된 VASP는 투자 안전을 보장하나?

아니다. 신고는 자금세탁방지와 사업자 관리 체계에 관한 것이다. 가상자산 가격 변동, 상장폐지, 프로젝트 실패, 해킹 위험까지 보장하지는 않는다.

 

4. 개인이 자기 지갑으로 코인을 보관하면 VASP인가?

보통 개인이 자기 자산과 개인키를 직접 관리하는 것 자체는 VASP 사업에 해당하지 않는다. 다만 사업자가 고객 자산을 대신 관리하면 판단이 달라질 수 있다.

 

5. DeFi는 VASP 규제와 무관한가?

단정하기 어렵다. 완전히 자동화되고 운영 주체가 없는 구조라면 규제 적용이 복잡할 수 있지만, 실제 운영·통제·수수료 수취 주체가 있다면 VASP 여부가 논의될 수 있다.

 

결국 핵심은 이것이다

VASP는 가상자산 생태계의 “문지기”에 가까운 개념이다.

이용자가 코인을 사고팔고,
다른 지갑으로 보내고,
사업자에게 보관을 맡기고,
법정화폐와 바꾸는 과정에서
실제로 접하게 되는 사업자를 규제 체계 안에 넣는 것이다.

 

한마디로 정리하면 이렇다.

 

VASP는 가상자산을 규제하기 위한 말이 아니라, 가상자산이 실제 금융서비스처럼 작동하는 접점을 관리하기 위한 말이다.

 

그래서 VASP 규제의 핵심은 가상자산 자체를 금지하는 데 있지 않다.

 

누가 고객 자산을 다루는지,
그 거래가 불법자금과 연결될 위험은 없는지,
이용자 정보와 자산을 어떻게 보호하는지,
사업자가 책임 있는 체계를 갖췄는지를 확인하는 데 있다.

 

참고 자료

1. FATF / Updated Guidance for a Risk-Based Approach to Virtual Assets and VASPs
   https://www.fatf-gafi.org/content/dam/fatf-gafi/guidance/Updated-Guidance-VA-VASP.pdf.coredownload.inline.pdf
   VASP의 국제 정의, 가상자산 교환·이전·보관·발행 관련 서비스 범위, 자금세탁방지 의무를 정리한 핵심 가이드다.
2. FATF / Virtual Assets
   https://www.fatf-gafi.org/en/topics/virtual-assets.html
   FATF 권고안 15가 가상자산과 VASP에 자금세탁방지·테러자금조달방지 기준을 적용하게 된 배경을 설명한 자료다.
3. FATF / Updated Guidance for a Risk-Based Approach to Virtual Assets and VASPs
   https://www.fatf-gafi.org/en/publications/Fatfrecommendations/Guidance-rba-virtual-assets-2021.html
   각국이 VASP를 등록 또는 인가하고 감독해야 한다는 FATF 기준을 설명한 공식 페이지다.
4. 국가법령정보센터 / 특정 금융거래정보의 보고 및 이용 등에 관한 법률
   https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=252787
   한국 특금법의 가상자산사업자 신고, 자금세탁방지 의무 관련 법적 근거를 확인할 수 있는 자료다.
5. 국가법령정보센터 / 특금법 제7조 가상자산사업자 신고
   https://www.law.go.kr/LSW//lsLinkCommonInfo.do?ancYnChk=&chrClsCd=010202&lsJoLnkSeq=1013169527
   가상자산사업자가 금융정보분석원장에게 신고해야 한다는 규정을 확인할 수 있는 조문 자료다.
6. 금융위원회 / 가상자산 거래를 하는 고객은 가상자산사업자의 신고 상황을 반드시 확인하세요
   https://www.fsc.go.kr/no010101/75560
   거래업자·보관관리업자·지갑서비스업자의 신고 대상 여부와 이용자 유의사항을 설명한 금융위원회 안내다.
7. 금융위원회 / 가상자산사업자 신고 매뉴얼 배포
   https://www.fsc.go.kr/no010101/75409
   VASP 신고 절차와 ISMS 인증, 실명확인 입출금계정 등 신고 요건을 설명한 공식 자료다.
8. 국가법령정보센터 / 가상자산 이용자 보호 등에 관한 법률
   https://www.law.go.kr/LSW/lsInfoP.do?lsiSeq=261099
   가상자산 이용자 자산 보호와 불공정거래 규제의 기본 틀을 확인할 수 있는 법률 자료다.

 

참고 영상

1. FATF VASP Travel Rule Explained
   https://www.youtube.com/results?search_query=FATF+VASP+Travel+Rule+explained
   VASP와 트래블 룰의 기본 구조를 설명하는 영상을 찾을 수 있는 검색 링크다.
2. What Is a VASP?
   https://www.youtube.com/results?search_query=what+is+a+VASP+virtual+asset+service+provider
   VASP의 정의와 거래소·커스터디·지갑 서비스의 차이를 설명하는 영상을 찾을 수 있다.
3. Crypto Travel Rule Explained
   https://www.youtube.com/results?search_query=crypto+travel+rule+explained
   가상자산 이전 시 송신인·수신인 정보가 왜 필요한지 설명하는 영상을 찾을 수 있다.
4. Crypto Custody Explained
   https://www.youtube.com/results?search_query=crypto+custody+explained
   수탁형 지갑, 개인키 관리, 커스터디 사업자의 역할을 설명하는 영상을 찾을 수 있다.
5. DeFi Regulation Explained
   https://www.youtube.com/results?search_query=DeFi+regulation+VASP+explained
   탈중앙화 금융과 VASP 규제의 접점, 규제상 쟁점을 설명하는 영상을 찾을 수 있다.