아일랜드 중앙은행, Coinbase Ireland에 325만 유로 제재금 부과

325만 유로 합의금, 법원 승인 대기 중

Coinbase Ireland가 아일랜드 고객자금 보호 의무 위반에 대해 325만 유로(약 360만 달러)의 제재금을 내기로 합의했다. 아일랜드 중앙은행은 이 회사가 고객자금 보호 의무와 외주 통제 관리 의무를 위반했다고 판단했다. 목요일(10월 22일) 발표된 이 합의는 2020년 11월 1일부터 2025년 8월 19일까지 전자화폐 규정 2011 위반을 다룬다. 규제당국의 시행 조치 공지에 따르면 이 거래소의 아일랜드 법인은 질책을 수락하고 위반 사실을 인정했다. 10월 21일에 이뤄진 합의에서 초기 464만 6,597유로로 책정된 벌금이 30% 감경돼 325만 2,618유로가 됐으며, 제재는 고등법원이 확정한 뒤에야 효력을 발휘한다.

이번 판정은 시장 행위가 아니라 거버넌스 문제다. 중앙은행은 Coinbase Ireland가 고객자금 보호 절차와 통제를 미국 본사 그룹인 Coinbase Group에 외주 서비스 제공자로 위탁하면서 이를 감독할 현지 전문성이 부족했다고 결론 내렸다. 시스템 설계 미비와 통제 검증 부족으로 고객자금 보호 계좌가 오랜 기간 부족 상태에 놓였다. 일일 보호 요건을 계산하는 시스템의 오류는 2022년 7월부터 시작됐고, 해당 계좌는 최소 18개월간 매일 자금 공백을 겪었다. 공백 규모는 2023년 340만 유로, 2024년 520만 유로로 정점을 찍었으며, 같은 기간 평균 보호 의무액은 각각 3억 2,300만 유로와 4억 7,000만 유로였다. 규제당국은 중대 변경사항 보고 누란도 함께 지적했다. 중앙은행 집행국장 Karen O'Leary는 "결제·전자화폐 회사에는 고객자금을 완전히 보호할 근본적 의무가 있다"고 말했다. 반면 Coinbase Global은 그 어느 시점에도 고객이 자금이나 접근권을 잃지 않았으며, 문제의 상당수는 혼란기에 고객을 보호하려는 조치를 진행하는 과정에서 발생했다고 밝혔다.

Silvergate, 자금 혼합과 코딩 오류

거래소가 10월 22일 공개한 합의 진술서는 아일랜드 고객 자금이 그룹 내 법인 사이를 어떻게 오갔는지 설명한다. 2023년 암호화폐 우호 은행인 Silvergate가 파산으로 향하던 시기, Coinbase는 30명의 고객에게 예치금을 미국 내 다른 은행에 둔 Coinbase Inc. 계좌로 보내라고 지시했다. 이 과정에서 아일랜드 고객 자금이 Coinbase의 다른 법인 고객 자금과 섞였고, 이는 보호 요건의 직접 위반이었다. 아일랜드 보호 계좌로의 매일 이체가 이뤄졌어도 초기 혼합은 해소되지 않았다. 브렉시트 이후 일부 유럽 고객은 새 아일랜드 예치 정보를 받고도 기존 영국 계좌로 계속 입금했고, 회사는 이 흐름을 나중에 차단했다. 미국과 영국 고객을 위한 일부 유로 출금이 아일랜드 보호 계좌에서 지급되기도 했으며, 회사는 이 방식이 규제 요건에 미치지 못했음을 인정한다.

회사의 공식 입장문은 코딩 오류 때문에 계좌가 2023년 연중과 2024년 상반기에 걸쳐 평균 0.54% 부족했음을 확인한다. Coinbase는 2024년 1월 규제당국에 여러 문제를 보고했고, 그해 대부분의 근본 통제를 개선했으며 과거 문제는 현재 완전히 해결됐다고 말한다. 회사 측은 그 어떤 고객도 자금에 접근하지 못한 적이 없고 Coinbase 출금 표준 절차도 영향받지 않았다고 덧붙인다.

법인 구조도 이번 사건의 배경이다. 전자화폐 서비스는 아일랜드 법에 따라 Coinbase Ireland에 유지되지만, 암호자산 서비스는 Coinbase Luxembourg로 넘어간다. 룩셈부르크 법인은 2025년 6월 MiCA 라이선스를 받았고 2026년 6월 유럽 허브 사무소를 열었다. 아일랜드 고객에게는 개정 약관이 10월 23일부로 적용된다. 변경을 거부하는 고객은 30일 안에 자산을 인출하고 계좌를 닫아야 하며, 새 약관은 EU 외 거래소, 그중 Coinbase Exchange를 포함해 거래 집행에 대한 동의를 요구한다. 이 합의는 12개월 만에 이뤄진 아일랜드 규제당국과의 두 번째 합의이기도 하다. 2025년 11월 Coinbase Europe은 자금세탁방지 실패로 2,150만 유로 제재금을 받았고, 이는 같은 30% 감경이 적용돼 약 3,060만 유로에서 줄어든 금액이다. 당시 1,760억 유로 이상 규모의 3,000만 건이 넘는 거래가 12개월간 선별 검사 없이 통과했다. 늦어진 소급 검사는 거의 3년이 걸렸고 아일랜드 금융정보분석원에 2,708건의 의심거래 보고서를 내놓았으며, 회사는 약 18만 5,000건 거래에 대한 추가 모니터링 누락도 인정했다. 이는 KYC 준수의 핵심 의무다.

12개월 만의 두 번째 아일랜드 합의

두 건의 문서를 함께 읽으면 그림이 나온다. 중앙은행이 감시하는 대상은 Coinbase의 거래 사업이 아니라 유럽 운영 구조며, 두 사건 모두 그룹 차원의 통제 설계를 근본 원인으로 본다. 고객자금 보호 위반은 미국 모회사에 대한 과도한 의존과 연결되는데, 이는 자금세탁방지 합의 뒤에 있던 것과 같은 거버넌스 패턴이다. 나스닥 상장사인 모회사 COIN 입장에서 재정 부담은 크지 않고 협조 할인율도 일관되다. 그러나 1년 안에 두 번째 위반 인정이 쌓인 만큼, 10월 23일부터 아일랜드 고객에게 효력이 발생하는 룩셈부르크 이전에서 새로운 감리 공백이 생기면 기록된 시행 전력이 근거로 작동할 수 있다.