은행 건물이었던 3층짜리 건물이 서류상으로는 금융 특구 → "서류상 금융 특구" 된 3층 은행 건물…지금은 마사지 클리닉, FINTRAC 역대 최대 과징금 1억7,696만 달러 사건의 발단

은행 건물이었던 3층짜리 건물이 서류상으로는 금융 특구

캐나다 금융정보분석원(FINTRAC) 역사상 최대 집행 조치의 핵심에 자리한 건물은, 해외 디지털 결제 허브라고 하면 일반인이 떠올릴 법한 모습과는 거리가 멀다. Cryptomus 브랜드를 운영하는 Xeltox Enterprises Ltd.가 등록한 밴쿠버의 3층짜리 옛 은행 지점은 현재 한 층에는 마사지 클리닉이, 다른 층에는 공유 오피스가 들어서 있다. 건물 외관에는 같은 도로명 주소를 캐나다 본사로 신고한 90개의 별도 등록 금융 기업이 있다는 흔적은 전혀 없다. FINTRAC 조사관이 검토한 문서와 독립 보도를 통해 확인한 바에 따르면, 이 주소는 공식적으로 76개의 외환 딜러, 8개의 자금이동업(MSB), 6개의 암호화폐 거래소를 거느리고 있다. 그러나 이들 중 어느 것도 해당 장소에서 실제 물리적 운영을 하지 않는다. 이런 구조는 2025년 10월 이전까지, 자금이동업 등록부가 관문 역할이라기보다 서류 보관소로 기능하는 관할권에서 흔히 나타나는 규제 당국의 무관심을 그대로 보여주었다.

2025년 10월 16일, 캐나다 금융거래 및 보고분석센터(FINTRAC)가 Xeltox Enterprises에 176,960,190달러의 행정적 금전 제재를 부과하면서 상황이 달라졌다. 이 금액은 불과 한 달 전인 2025년 9월 Peken Global에 부과된 2,000만 달러(이전 기록)를 거의 9배 초과한다. 이로써 MSB 등록이 실질적인 감독적 무게를 지니는지에 대한 캐나다의 오랜 논쟁이 새로운 국면을 맞았다.

FINTRAC이 발견한 것

2025년 10월 22일 웹사이트에 게시된 규제기관의 공식 통지는 6가지 행정 위반을 명시하고 있다. 그중 가장 중대한 것은 "2024년 7월 1일부터 2024년 7월 31일까지 기간 동안 1,068건의 별도 사례에서, 거래가 자금세탁 또는 테러 자금 조달 범죄와 관련이 있다고 합리적으로 의심할 근거가 있음에도 불구하고 의심 거래 보고를 제출하지 않은 것"이다. 이 문구는 보도 자료에서 그대로 인용되었다. FINTRAC은 추가로 Cryptomus가 1만 달러 이상의 가상화폐 거래 1,518건을 보고하지 않은 사실을 문서화했으며, 준수 정책 수립 실패, 자금세탁 위험 평가 실패, 장관 지시 준수 실패, 규정된 신고 변경 사항 보고 실패도 함께 기록했다.

FINTRAC 조사 결과에 명시되고 Krebs on Security의 10월 21일 보도에서 반복된 용의자 범죄(predicate offence) 카테고리는 다음 네 가지로 분류된다.

• 아동 성학대 자료 유통
• 사기
• 랜섬웨어 지급
• 제재 회피

보고 기간이 좁혀져 있다(단일한 2024년 7월, Krebs의 보도에 따르면 8월로 확장). 이는 조사관이 수년간의 전면적 재구성이 아닌 대표적인 표본을 선택했음을 시사한다. FINTRAC 국장은 기관 자체의 표현에서 "전례 없는 집행 조치를 취할 수밖에 없었다"고 언급했다. 캐나다 금융 규제기관의 신중한 관용에 익숙한 사람이라면, 이 문구가 이례적으로 강조된 기관의 목소리 정리(institutional throat-clearing)로 들릴 것이다.

네트워크의 해부학

FINTRAC 사건의 경험적 근간은 Richard Sanders의 오픈소스 작업에 기반한 것으로 보이며(그리고 확실히 중첩된다). Sanders는 암호화폐 조사관으로, Krebs가 요약한 그의 연구를 통해 Cryptomus를 결제 수단으로 사용한 사이버범죄 인접 서비스 122개를 식별했다. Krebs의 보도에 따르면 Sanders의 목록에는 "사이버범죄 포럼에 광고하는 더 유명한 기업들 중 일부"가 포함되며, 학대 관용 호스팅 제공업체, 도난 계정 마켓플레이스, 세션에서 식별 메타데이터를 제거하는 익명성 서비스, 그리고 손상된 자격 증명 구매자를 위한 이중 인증을 무력화하는 익명 SMS 인증 플랫폼을 아우른다.

Sanders는 별도로, Krebs의 표현에 따르면 "최소 56개의 암호화폐 거래소가 Cryptomus를 사용하여 거래를 처리하고 있으며, casher[.]su, grumbot[.]com, flymoney[.]biz, obama[.]ru, swop[.]is 등의 이름을 가진 금융 법인이 포함된다"는 사실을 발견했다. 이 목록의 .ru 및 .su 접미사는 관할권 중심지를 암시한다. 이 중심지가 중요한 이유는, Bennett Jones 법무법인 노트와 DLA Piper 분석을 포함한 여러 법적 요약에 따르면 이 거래소들 중 다수가 서방 제재 대상 러시아 은행과 연계된 자금 흐름을 처리했기 때문이다. 이는 바로 캐나다 결제 처리업체의 과실을 제재 회피 벡터로 전환하는 전제 조건이 된다.

단일 밴쿠버 주소(물리적으로 마사지 클리닉을 수용하는) 위에 이 데이터 포인트들(122개 서비스, 56개 거래소, 러시아 은행 연계, 이중 관할권 셸 등록)을 쌓으면, 되돌아보면 최종 벌금의 규모가 과잉 집행이라기보다 뒤늦은 산술처럼 느껴지게 만드는 그림이 드러난다. 관리적 효율성으로 실행된 규제 차익 거래의 그림이다.

왜 밴쿠버인가, 그리고 등록부가 실제로 증명하는 것은 무엇인가

FINTRAC을 통해 관리되는 캐나다 MSB 등록은 본질적으로 신고 제도다. 신청자가 서류를 제출하고, 증언하고, 공개 목록에 추가될 뿐, 미국의 주별 자금전송업 라이선싱이나 유럽 연합의 지시 기반 인가와 동등한 것은 없다. MSB가 송금 키오스크와 환전소를 의미하던 시대에 설계된 이 신고적 구조는, 암호화폐 시대에 실제 운영이 종종 의도적으로 캐나다 관할권 밖에 위치한 법인을 위한 마찰 없는 온보딩 경로가 되었다. Cryptomus 사건은 90개의 별도 금융 법인이 단일 옛 은행 외관을 거주지로 선언해도 감독적 후속 조치가 촉발되지 않을 수 있음을 확립함으로써, 이 구조적 약점을 드러냈다. 이제 오타와는 이를 더는 무시할 수 없게 되었다.

벌금 직후 게시된 Bennett Jones 논평은 이 조치를 "준수 불이행의 비용"의 입증으로 규정하고, FINTRAC의 헤드라인급 벌금에 대한 의지가 구조적 전환을 표시한다고 주장한다. 이 해석은 DLA Piper 분석에 의해 뒷받침된다. 해당 분석은 Cryptomus 사건을 2025년에 출범한 새로운 캐나다 금융범죄청(Financial Crimes Agency of Canada)의 출범과 연결한다. 이 기관은 역사적으로 단편화된 주 증권위원회, 연방 정보 기관, 그리고 RCMP를 아우르는 집행 조정을 목표로 한다.

구체적 사항, 비교 대상, 그리고 항소

기록을 위해, 캐나다 금융범죄 벌금의 비교적 사다리는 내림차순으로 다음과 같다.

• 2025-10-16 : Xeltox Enterprises (Cryptomus): 176,960,190 CAD
• 2025-09: Peken Global: 20,000,000 CAD (이전 기록)

Xeltox는 항소를 제기했으며, 이 단계는 The Globe and Mail의 보도와 The Block의 보도를 통해 확인되었다. 항소적 자세는 FINTRAC 보도 자료가 결코 답하지 않을 질문을 던진다. 캐나다가 물리적 운영, 은행 관계, 실익 소유권이 모두 캐나다 법원 명령이 제대로 전달되지 않는 관할권에 위치한 법인으로부터 1억 7,690만 달러의 채무를 실질적으로 징수할 능력을 보유하고 있는가 하는 것이다. DLA Piper 노트는 신중하게 중립적인 언어로 이 징수 문제를 인정하고, Globe 보도는 법적 관찰자들이 벌금의 상징적 가치(선례, 억제, 새로운 금융범죄청을 위한 틀)가 궁극적으로 회수 가능한 가치를 능가할 수 있다고 제안하는 인용을 담고 있다.

이것이 Directory에 미치는 변화

NoKYC Directory는 Cryptomus를 목록에 유지할 것이며, 의심의 여지를 피하기 위해 우리의 평결은 2025년 10월 조치 때문에 이 디렉토리에 속한다는 것이다. 규제기관이 오픈소스 연구자들이 수년간 문서화해 온 사실을 확인한 순간 조용히 목록에서 제외하는 것은, 우리 자신의 카탈로그를 세탁하는 행위가 될 것이기 때문이다. 편집적 정직성으로 프라이버시 인접 결제 환경을 매핑하는 것이 목적인 디렉토리는 그럴 수 없다.

우리의 목록은 표준 방법론에 따라 공개 등록 데이터, 보관된 서비스 약관 페이지, 그리고 Krebs가 재현한 Sanders 목록에서 출처를 얻었다. 우리는 해당 항목을 FINTRAC 조사 결과, 계류 중인 항소, 1,068건 STR 수치, 그리고 아동 성학대 자료 수익과의 범주적 연계(이 연계는 FINTRAC 보도 자료에서 명시적으로 명명되며 책임 있는 디렉토리가 누락을 통해 완화해서는 안 된다)를 반영하도록 업데이트했다. Cryptomus 목록을 통해 이 기사에 도달한 독자들은 교차 참조를 편집적 요점으로 여겨야 한다. 디렉토리 항목은 추천이 아니며, KYC 요건의 부재는 운영자의 적법성을 보장하지 않으며, 밴쿠버 등록 신고와 밴쿠버 실제 주소 사이의 간극이 바로 FINTRAC 집행 기록이 이제 9자리 통화로 입증한 이 이야기의 전체 관할권이다.

출처

• Canada Fines Cybercrime-Friendly Cryptomus $176M (Krebs on Security)
• FINTRAC imposes $176,960,190 penalty against Xeltox Enterprises Ltd. (FINTRAC press release)
• $176.9 Million Fine Against Cryptocurrency Exchange from FINTRAC Demonstrates Costs of Non-Compliance (Bennett Jones)
• Cryptocurrency firm appeals $176 million fine by FINTRAC (The Globe and Mail)
• Canada hits Cryptomus exchange with record fine over money-laundering, KYC failures (The Block)
• FINTRAC imposes largest penalty in Canadian history and the new Financial Crimes Agency (DLA Piper)

편집 기록

• 2026-04-22 : 2025년 10월 22일 원본 FINTRAC 보도 자료를 추출하여 Bennett Jones 및 DLA Piper 요약과 1,068건 STR 수치를 교차 확인하고 2024년 7월 보고 기간을 확인함.
• 2026-05-04 : 밴쿠버 등록 주소를 위성 사진과 BC 기업 등록부에서 조회하여 옛 은행 건물의 마사지 클리닉 및 공유 오피스 임차 구성을 확인함.
• 2026-05-13 : Richard Sanders의 122개 사이버범죄 서비스 및 56개 거래소 목록 식별 방법론을 검토하고 casher.su / grumbot.com / obama.ru 항목을 보관된 스크린샷과 대조 검증함.
• 2026-05-21 : 해부학 섹션을 초안하고, 그 후 2025년 9월 Peken Global 선례가 도입부가 아닌 비교 사다리 안에 위치하도록 연대기를 재구성함.
• 2026-05-27 : 최종 검토: 복사된 출처 인용에서 상속된 모든 em 대시 제거, CAD 통화 형식 표준화, 항소 상태를 Globe and Mail 신고와 대조하여 이중 확인함.