MiCA와 TFR 2026: 프라이버시 스왑을 실제로 구속하는 규칙

경과 기간은 끝났고, EU 전체에서 끝났다. 2026년 7월 1일 MiCA의 가장 긴 전환 기간이 닫혔다. 2026년 11월 8일 기준, EU를 상대하는 암호자산 사업자는 “아직 그랜드파더링을 기다리는 중”이라고 말할 수 없다. 제143조(3)이 허용한 최종 기한이 지났기 때문이다. ESMA의 임시 등록부(2026년 11월 5일 최종 업데이트)는 397행, 394개 고유 사업자를 담고 있고, 같은 사이트의 ‘비준수 사업자’ 명단은 189건이며 그중 180건이 이탈리아, 89건의 결정일이 2026년이다. 두 숫자는 같은 시장의 양 끝—면허를 가진 사업자와 공개 경고—를 보여준다. 어느 쪽도 모네로나 Zcash를 언급하지 않는다. MiCA 본문에 두 코인이 없기 때문이다. 프라이버시 코인 문제는 세 개의 다른 법률 문서가 다루며, 이를 섞으면 답을 틀린다. (Zcash vs 모네로 2026 비교)

MiCA가 규제하는 것은 제공자이지 자산이 아니다. 제59조(1)은 제63조에 따라 CASP 허가를 받은 자, 또는 제60조 통보가 허용된 금융기관이 아니면 “EU 안에서” 암호자산 서비스를 제공하는 것을 금지한다. 해당 서비스는 제3조(1)(16)(d)에 정의된다. ‘암호자산을 다른 암호자산으로 교환’은 자기 자본으로 고객과 매매 계약을 체결하는 것이다. 이 정의가 전체 테스트다. 제3자 견적만 보여주고 결코 거래 상대방이 되지 않는 웹사이트는 정의 밖에 있을 수 있다. 같은 사이트라도 주문을 체결하는 데스크가 뒤에 있으면 안으로 들어온다. 제61조는 좁은 문을 남긴다. 제3국 기업이 EU 고객이 자기 주도로 관계를 시작한 경우에만 서비스할 수 있다. EU 안에서의 유치나 마케팅이 있으면 문은 닫힌다. 본문에 ‘KYC 없음’ 면제는 없다.

전환 기간은 일률적이지 않았고, 먼저 짧고 나중에 길었다. 제143조(3)은 2024년 12월 30일 전에 적법하게 운영한 CASP가 2026년 7월 1일까지, 또는 허가 승인·거절 중 더 이른 때까지 계속 운영하도록 허용했다. 회원국은 이를 줄일 수 있었다. ESMA 표가 결과를 보여준다. 라트비아, 헝가리, 네덜란드, 폴란드, 슬로베니아, 핀란드는 6개월, 스웨덴은 9개월, 독일, 아일랜드, 리투아니아, 오스트리아, 슬로바키아, 노르웨이는 12개월, 나머지 대부분은 18개월이었다. 그래서 네덜란드나 독일 사용자는 2026년이 아니라 2025년에 경과 보호를 잃었다. 2026년 7월 1일 EEA 전체에서 최종 기한이 소진됐다. ‘신청 중’은 면허가 아니다. 본문은 ‘승인 또는 거절’이라고 쓰며, 거절되는 순간 전환 조치는 끝난다.

등록부는 전화번호부이지 인증 도장이 아니다. 394개 사업자의 분포는 고르지 않다. 독일 122, 프랑스 36, 네덜란드 29, 키프로스 25, 몰타 24. 독일 숫자는 암호자산 붐이 아니다. 122건 중 114건이 제60조 통보 경로를 쓰는 금융 사업자다. 서비스 항목은 자유 텍스트라 암호자산 간 교환이 ‘d.’로도, 정식 명칭으로도 적히며, 수탁이나 이전 면허가 교환 면허는 아니다. ESMA 비준수 명단은 제110조(1)이 명시하듯 ‘포괄적이지 않다’. 189건 중 이탈리아 CONSOB 180건, 벨기에 FSMA 6건, 체코 국립은행·네덜란드 AFM·슬로바키아 NBS 각 1건이다. 89건이 2026년 날짜이고 최신은 2026년 11월 4일이다. 명단에 없다고 합법이 아니고, CASP 명단에 있다고 주문을 받는다는 뜻도 아니다.

트래블룰은 데이터 계층이며 체인에 올라가지 않는다. TFR 제14조는 송금 측 CASP가 발신자 이름, DLT 주소, 계좌번호, 국가, 공적 신분증 번호와 고객 식별 번호, 또는 생년월일·출생지, 가능하면 LEI를 전달하도록 요구한다. 수취자에 대해서도 이름, 주소, 계좌, LEI가 필요하다. 제14조(4)는 이 데이터를 송금 자체에 직접 붙일 필요가 없고 사전 또는 동시에 안전한 방식으로 별도 전송할 수 있다고 명시한다. 자체 보관 주소로 1,000유로 초과 송금 시 제14조(5)는 송금 측 CASP에 해당 주소가 고객 소유·통제인지 평가할 ‘적절한 조치’를 요구한다. 제16조(2)는 수취 측 CASP에 같은 의무를 지운다. 기록은 5년간 보존한다(제26조). 서명 챌린지, 주소 소유 증명, 소액 테스트 전송의 법적 근거가 여기에 있다.

프라이버시 코인은 실제로 어떻게 취급되는가. MiCA는 XMR이나 Zcash를 지목하지 않고 ‘익명 코인’ 범주도 없다. 규제 대상은 서비스이지 자산의 암호학이 아니다. TFR도 금지하지 않는다. 서문 17은 프라이버시 지갑, 믹서, 텀블러를 고위험 요인으로 들고 EBA에 취급을 명확히 하라고 요구하지만, 고위험은 강화 심사의 이유이지 금지가 아니다. 금지는 다른 문서에서 더 늦게 온다. AMLR 제79조는 2027년 7월 10일부터 적용되며 CASP가 익명 암호자산 계좌, 또는 익명화나 거래 난독화를 가능하게 하는 계좌를 보유하는 것을 금지한다. ‘익명성 강화 코인을 통한 경우를 포함한다’고 쓴다. 제2조(1)(25)는 전송 정보를 익명화하는 기능을 체계적으로 또는 선택적으로 갖춘 자산으로 정의한다. XMR과 실드형 ZEC는 이 문구에 해당한다. 서문 160은 지갑에 대한 접근이나 통제가 없는 자체 보관 지갑 제공자를 명시적으로 제외한다. 2027년의 선은 수탁 계좌의 문제이지 보유의 문제가 아니다. (Zcash vs 모네로 2026 비교)

인터페이스에서는 어떻게 느껴지는가. 허가된 EU CASP는 개설 시 신원 확인을 하고, 자체 보관 주소로의 출금에서 1,000유로를 넘으면 소유 증명을 요구할 수 있다. 목적지 주소에서 서명, 소액 테스트 전송, 제3자 증명 등이다. EU 거주자에게 마케팅하고 주문도 받으면서 허가가 없는 오프쇼어 사이트는 ‘규제되지 않지만 용인되는’ 존재가 아니다. 제59조를 위반한 서비스 제공이며, 제61조의 리버스 솔리시테이션(고객의 자발적 요청)만이 좁은 예외다. 집행은 네트워크 차단보다 공개 경고의 형태가 많다. 비준수 명단에는 2026년 결정일이 붙은 항목이 89건 있고 82건이 이탈리아였다. 자체 보관형 스왑에서 TFR 의무는 자금을 받거나 보내는 CASP에 있고 당신의 지갑에는 없다. 인터페이스의 역할은 상대가 누구인지 보여주는 것이다. 견적은 면허가 아니다. 2026년 11월 8일 14:03–14:06 UTC, 우리 견적 API는 100 USDT-TRC20에 0.14563138 XMR, 1,000에 1.636707 XMR(2개 경로, 148 bps), 1 XMR에 598.131 USDT(2개 경로, 202 bps)를 반환했다. 숫자는 시장을 말하지만 어느 당사자의 규제 지위는 말하지 않는다. 견적은 움직인다. 실시간 주문 페이지가 기준이다. (XMR→USDT 출구 루트)

흔한 여섯 가지 오해. (1) ‘KYC가 없으면 MiCA 밖’ — 테스트는 서비스와 고객이지 개설 양식이 아니다. (2) ‘MiCA가 프라이버시 코인을 금지했다’ — 아니다. 2027년에 바뀌는 것은 AMLR의 계좌 규칙이다. (3) ‘1,000유로는 우회로’ — 이하에서도 위험 기반 AML 심사가 적용될 수 있고, 기준 바로 아래로 맞추는 분할은 그 자체가 위험 신호다. (4) ‘ESMA 명단은 화이트리스트’ — 임시적이고 각국 NCA가 입력하며 포괄적이지 않다고 명시된다. 법인 실체와 서비스 코드를 확인해야 한다. (5) ‘리버스 솔리시테이션은 사업 모델’ — 유치되지 않은 고객을 대상으로 하며 캠페인은 포함하지 않는다. (6) ‘TFR은 내 지갑을 규제한다’ — 규제 대상은 CASP다. 양쪽 모두 자체 보관 지갑이고 CASP가 관여하지 않는 전송은 적용 밖이다. (모네로 확인 대기)

앞으로 볼 세 날짜. 2026년 7월 1일은 경과의 종점이었다. EU를 상대하는 제공자가 허가를 말할 수 없다면 법적 대답은 ‘아니오’다. 2027년 7월 10일은 AMLR 제79조 적용일이다. 그 전까지 AMLA 가이드라인과 각국 감독기관이 ‘익명화를 가능하게 하는 계좌’를 얼마나 넓게 읽을지 정한다. XMR을 상장폐지할지, 강화 실사만 적용할지의 차이다. 2027년 6월 30일은 TFR 적용 상황에 대한 유럽위원회 보고서(제37조(3)), 자체 보관 주소 평가 보고서는 2026년 7월 1일까지 제출하도록 본문이 요구한다(제37조(2)). 사용자에게 규칙은 간단하다. 실체를 확인하고, 누가 자금을 받는지 알고, 자기 기록을 남겨라. 제공자에게 ‘오프쇼어라서’라는 답은 예전보다 좁다. EU 고객을 전혀 유치하지 않을 때만 성립한다. (모네로 확인 대기)