GENIUS Act AML 규칙 제정: 스테이블코인은 이제 은행이다

2026년 4월 8일, FinCEN과 OFAC은 결제 스테이블코인을 발행하거나, 통합하거나, 그 위에서 개발하는 모든 이들이 반드시 읽어야 할 공동 규칙 제정 예고(NPRM)를 발표했다. 핵심 내용은 명확하다: 허가된 결제 스테이블코인 발행사(PPSI)는 완전한 은행비밀보호법(BSA) 준수 프로그램을 구축하고, 의심거래보고서(SAR)를 제출하며, 처음으로 법적 의무로서 OFAC 권한 하의 문서화된 제재 준수 프로그램을 유지해야 한다.

이는 단순한 조정이 아니다. 이번 규칙 제정안은 미국에서 스테이블코인 발행사가 되기 위한 비용을 재정의한다. 컴퓨팅 비용이나 유동성 깊이의 문제가 아니라, 대부분의 팀이 감당할 준비가 되지 않은 법적·운영적 부담의 문제다.

나는 지난 4년간 규제 환경의 크립토 인프라 분야에서 일해왔다. "컴플라이언스 담당자가 있다"는 것과 "방어 가능한 SAR 워크플로우를 갖춘 은행급 AML/CFT 프로그램이 있다"는 것 사이의 격차는 엄청나다. 대부분의 스테이블코인 프로젝트는 전자에 해당한다. 이 규칙은 후자를 요구한다.

4월 8일 NPRM이 실제로 요구하는 것

이번 규칙 제정안은 GENIUS Act 하에서 PPSI로 분류되는 모든 기관, 즉 연방 보험 예금 기관이 아닌 달러 표시 결제 스테이블코인 발행사에게 적용된다. NPRM 본문의 주요 요건은 다음과 같다:

• AML/CFT 프로그램: 내부 통제, 지정 컴플라이언스 책임자, 지속적인 직원 교육, 독립적 감사를 포함하는 이사회 승인 서면 프로그램. 은행과 동일한 네 가지 핵심 요소.
• SAR 제출: 기준 금액을 충족하는 거래를 탐지한 후 30일 이내에 의심거래보고서 제출. 이는 거래 모니터링 인프라가 선택 사항이 아님을 의미한다.
• 고객 확인 프로그램(CIP): 계좌 개설 시 KYC, 실소유자 확인, 규제 심사에 대비한 기록 보관.
• OFAC 제재 준수 프로그램: 스테이블코인 발행사에게 모범 관행이나 서비스 약관 문구가 아닌 법정 의무로서 처음 부과되는 요건. 문서화되고, 감사 가능하며, 위험 기반의 제재 심사 프로그램.

OFAC 부분은 대부분의 사람들이 과소평가하는 영역이다. OFAC 준수 프로그램에는 구체적인 문서화 기준이 있다. 선임 책임자, 서면 정책, SDN 및 차단 대상자 목록에 대한 거래 심사, 그리고 적발 건 처리 절차가 필요하다. 은행들은 이를 위해 전담 팀을 두고 있다. 대부분의 스테이블코인 발행사에게 있는 것은 체크박스 하나뿐이다.

이것이 PPSI 경쟁 지형을 어떻게 바꾸는가

컴플라이언스 인프라는 구축하는 데 비용이 많이 들고, 심사 과정에서 허위로 포장하기는 거의 불가능하다. NPRM이 원안대로 최종 확정된다면, 기존 은행급 프로그램을 보유한 업체들에게 유리한 구조적 해자가 형성되고, 회색 지대에서 운영해온 업체들에게는 실질적인 압박이 가해질 것이다.

Circle은 수년간 이를 위해 준비해왔다. 2024년 연간 투명성 보고서에서 지속적인 BSA 컴플라이언스 투자와 기존 SAR 제출 역량을 언급했다. 그들은 제로에서 시작하지 않는다. Tether의 상황은 더 복잡하다: 엘살바도르에 법인을 두고 있으며, 미국 시장 접근은 2차 유통에 의존하고 있어, 공식적인 PPSI 지정을 받으려면 국내 규제 범위 내로 인프라를 들여와야 한다. 이를 추구할지 아니면 다른 구조로 전환할지는 중요한 전략적 질문이지만, 그들의 선택에 대해 추측하지는 않겠다.

특히 크로스체인이나 제3자 수탁자를 통해 운영하는 소규모 발행사들은 더 어려운 셈법에 직면한다. GENIUS Act 권한 하에서 합법적으로 발행하려면 컴플라이언스 스택을 먼저 구축하거나 구매해야 한다. 이는 60일 만에 완료할 수 있는 일이 아니다. 정책 작성, 시스템 통합, 감사 주기, 규제 당국 검토를 고려하면 처음부터 방어 가능한 AML 프로그램을 구축하는 데는 12개월에서 18개월이 걸린다.

SAR 제출은 단순한 통합 작업이 아니다

SAR 제출에 대해 구체적으로 짚고 싶다. 종종 소프트웨어 문제로 취급되기 때문이다. 이것은 주로 소프트웨어 문제가 아니다.

SAR을 제출하려면 다음이 필요하다:

1. 관련 패턴(구조화, 스머핑, 제재 회피, 레이어링)을 탐지하도록 조율된 거래 모니터링 시스템.
2. 인적 검토 프로세스 - 알림에는 사례 관리, 분석가 메모, 감독자 승인이 필요하다.
3. 보안 FinCEN 제출 채널(BSA E-Filing 또는 후속 시스템).
4. 90일 소급 규정, 연속 SAR, 그리고 피조사자에 대한 정보 유출을 엄격히 금지하는 기밀 유지 요건.

스테이블코인의 온체인 거래 모니터링은 실제로 어떤 면에서는 전통 금융보다 더 실현 가능하다. 원장이 공개되어 있고, 추적이 결정론적이며, 클러스터링 휴리스틱이 UTXO 및 계좌 모델에서 잘 작동한다. 그러나 모니터링을 둘러싼 워크플로우는 대부분의 팀이 준비가 부족한 영역이다. Chainalysis API 키만으로는 부족하다. 훈련된 분석가가 필요하다.

브리징 인프라가 온체인 AML 추적과 어떻게 상호작용하는지에 관심이 있다면, 스테이블코인 브릿지가 실제로 실패하는 방식에 관한 이전 포스트에서 모니터링을 예상보다 어렵게 만드는 기술적 표면을 다루고 있다.

OFAC 의무화가 책임 계산을 어떻게 바꾸는가

이번 NPRM 이전에는 스테이블코인 발행사에 대한 OFAC 제재 준수가 사실상 자발적이었다. OFAC의 2021년 가상화폐 산업을 위한 제재 준수 지침에서 권고되었지만, 발행사에 특정한 법정 요건으로 명문화되지는 않았다. 이번 규칙 제정안이 이를 바꾼다.

문서화되고 위험 기반의 제재 준수 프로그램은 다음을 의미한다:

• 제품의 지리적 노출 및 고객 기반과 연계된 연간 위험 평가.
• 온보딩 시 및 지속적으로 SDN 심사 실시(제재 목록은 매일 업데이트됨).
• 지정 당사자와 관련된 거래를 차단하고 거부하는 프로세스.
• 검사관에게 프로그램을 증명하기에 충분한 기록 보관.

여기서 책임의 전환은 상당하다. 현재 체계에서 스테이블코인 발행사에 대한 OFAC 집행은 주로 재량적이었다. 명문화된 프로그램 요건이 생기면, 위반은 더 명확한 집행 경로를 가진 당연 위반이 된다. 2023년 Tornado Cash 지정은 OFAC이 스마트 컨트랙트 주소에도 기꺼이 행동할 의사가 있음을 보여줬다. 이번 규칙은 발행사 측에서 이러한 조치를 더 체계적으로 만들 인프라를 구축한다.

이 복잡성에서 누가 이득을 보는가

NPRM에서 가장 이득을 보는 발행사는 이미 컴플라이언스 투자를 마친 업체들이다. 규제 당국이 그들을 선호해서가 아니라, 고정된 컴플라이언스 비용이 대규모 대차대조표에 걸쳐 분산될 때 매몰 비용이 경쟁 우위로 전환되기 때문이다.

맥락을 위해: 총 스테이블코인 시가총액은 2026년 초 2,300억 달러를 돌파했으며, USDT와 USDC가 그 중 약 85%를 차지하고 있다. 그 규모의 발행사에게 은행급 AML 프로그램의 한계 비용은 발행 잔액 5억 달러의 발행사와 비교해 운영 비율로 보면 훨씬 낮다. 컴플라이언스는 소규모 경쟁자를 도태시키는 고정 비용이다.

이러한 역학은 전통 은행업에서도 나타난다. 2010년 이후 미국 커뮤니티 은행 통합의 주요 원인은 Basel III 준수 비용이었다. 향후 24개월에서 36개월 내에 PPSI 시장에서도 비슷한 현상이 벌어질 것으로 예상된다.

내가 이전에 다룬 RWA 토큰화 구축 동향은 여기서 직접 연결된다. 기관들이 토큰화된 국채와 신용 상품을 배포하려면 그 아래를 받치는 스테이블코인 레일이 해당 상품만큼 깨끗해야 한다. PPSI 준수는 대규모 기관의 RWA 도입을 위한 전제 조건이지, 별개의 정책 논의가 아니다.

의견 제출 기간

NPRM은 최종 확정 전에 공개 의견 제출 기간이 필요하며, 보통 발표 후 60일에서 90일이다. 이는 형식적인 절차가 아니다. 최종 규칙은 충분히 근거 있는 기술적 의견을 바탕으로 실제로 변경될 수 있다. 발행사, 지갑 제공업체, 또는 PPSI를 통해 라우팅하는 DeFi 프로토콜이라면, SAR 기준 금액, 자기 수탁 지갑에 대한 CIP 기준, 스마트 컨트랙트 중개자 처우 등 구체적인 구현 세부 사항에 대해 의견을 제출할 자격이 있다.

제안된 규칙에서 탈중앙화 또는 비수탁 중개자 처우는 현재 초안 문구가 불충분하게 명시된 영역 중 하나다. 그 모호함은 최종 규칙에서 해소될 것이며, 업계는 코드를 본 적 없는 정책 입안자가 합리적으로 보인다고 생각하는 것 대비 실제로 실행 가능한 것에 대한 구체적인 기술적 의견을 제공할 기회가 있다.

FinCEN의 공식 도켓을 통해 의견을 제출하라. 일반적인 규제 반대가 아닌 구체적인 기술적 논거를 담아서.

GENIUS Act는 2년간 이 순간을 향해 나아가고 있었다. 4월 8일 NPRM은 해당 법을 프레임워크에서 집행 가능한 기준으로 전환하는 컴플라이언스 근간이다. 이를 서류 작업으로 취급하는 발행사들은 은행 심사관들이 이미 알고 있는 사실을 깨닫게 될 것이다: 프로그램은 진짜이거나, 처음 면밀한 심사를 받는 순간 무너진다.

출처

• Federal Register: PPSI AML/CFT and Sanctions Compliance Program Requirements
• Treasury Proposes Rule to Implement GENIUS Act's Requirements to Counter Illicit Finance
• FinCEN and OFAC Propose AML/Sanctions Rules for Stablecoin Issuers, Holland & Knight
• Stable Rules for Stablecoins: Treasury Proposes AML and Sanctions Framework, Mayer Brown
• OFAC Sanctions Compliance Guidance for the Virtual Currency Industry (2021)