🔍 비트코인 추적 가능한가요, 백서가 말한 익명성과 거래소에 남는 기록

비트코인은 추적할 수 있어요. 모든 거래가 공개 장부에 영구히 남아서 어느 주소의 잔액과 거래든 누구나 볼 수 있고, 코인이 어느 주소에서 어느 주소로 갔는지 따라갈 수 있어요. 체인에 적히지 않는 것은 주소와 사람 사이의 연결이에요. 비트코인 백서 10장은 그 연결을 끊어 두는 것을 프라이버시로 설명하면서도, 여러 입력을 묶은 거래에서는 그 입력들이 한 주인 것임이 드러나고 키 하나의 주인이 밝혀지면 같은 주인의 다른 거래까지 이어질 수 있다고 적었어요. 국내에서 법이 주소에 이름을 붙여 기록하게 한 자리는 거래소 같은 가상자산사업자예요. 특정금융정보법에 따라 거래소는 계좌를 열 때 고객의 신원과 실제 소유자를 확인하고, 2026년 10월 23일 현재 100만원 이상에 상당하는 코인을 다른 가상자산사업자로 보낼 때는 보내는 고객과 받는 고객의 이름과 가상자산주소를 함께 넘겨요. 가상자산이용자보호법은 거래소가 거래 내용을 추적하고 검색할 수 있는 기록을 거래관계가 끝난 때부터 15년간 보존하라고 정해요.

먼저 요약하면 이래요.

• 체인에 공개되는 것: 모든 거래와 주소별 잔액·거래 내역이에요. bitcoin.org 안내 페이지는 모든 비트코인 거래가 공개되고 추적이 가능하며 영구히 기록된다고 적었어요.
• 체인에 없는 것: 주소와 사람 사이의 연결이에요. 백서는 공개키를 익명으로 두는 방식으로 프라이버시를 지킨다고 했고, 여러 입력을 묶은 거래와 키 주인이 드러나는 경우를 연결이 생기는 자리로 들었어요.
• 법이 이름을 붙이게 한 자리: 거래소 같은 가상자산사업자예요. 계좌를 열 때 신원과 실제 소유자를 확인하고, 확인을 할 수 없으면 거래를 거절하거나 끝내야 해요.
• 다른 사업자로 보낼 때: 2026년 10월 23일 현재 100만원 이상이면 보내는 고객과 받는 고객의 성명과 가상자산주소가 함께 넘어가요. 2027년 2월 19일부터는 금액과 상관없이 모든 이전에 적용돼요.
• 보존 기간: 고객확인자료와 송금인·수취인 정보는 채권채무관계를 정산한 날부터 5년, 가상자산거래기록은 거래관계가 종료한 때부터 15년이에요.
• 기록을 보는 사람: 거래소 기록은 누구나 볼 수 있는 장부가 아니에요. 특정금융정보법 제10조는 금융정보분석원이 보고받은 정보 일부를 불법재산·자금세탁 등과 관련된 형사사건 수사나 조세탈루 조사 같은 법이 정한 업무에 필요할 때 법에 적힌 기관에 제공하도록 했어요. 수사기관이 거래소에 직접 자료를 요청하는 절차는 이 글이 다루지 않았어요.

이 글은 2026년 10월 23일 오전 11시 9분부터 11시 45분 사이(한국 시각)에 bitcoin.org의 백서 PDF와 한국어·영어 프라이버시 안내 페이지, 법제처 국가법령정보의 특정금융정보법과 시행령(현재 판본과 2027년 2월 19일 시행 판본), 금융정보분석원 감독규정, 가상자산이용자보호법과 시행령, 전기통신금융사기 피해자산 환급 특별법, 행정기본법, 금융위원회 보도자료 게시판의 2026년 8월 11일 보도자료를 열어 정리했어요. 법령은 시행일을 지정해 불러 읽었어요. 특정 주소의 실제 거래 흐름이나 추적 도구는 다루지 않았고, 추적을 피하는 방법도 적지 않았어요. 코인을 사거나 팔라고 권하는 글이 아니에요.

이 글이 읽은 자료

체인에 공개되는 것

백서 2장은 전자 화폐를 디지털 서명이 이어진 사슬로 정의해요. 주인이 바뀔 때마다 이전 거래와 다음 주인의 공개키에 서명해 덧붙이고, 받는 사람은 그 서명들을 확인해 소유권이 넘어온 경로를 검증할 수 있다고 적었어요. 같은 장은 이중 지급이 없었다는 것을 확인하는 유일한 방법이 모든 거래를 아는 것이라서, 신뢰받는 제삼자 없이 이 일을 하려면 거래를 공개적으로 알려야 한다고 설명해요. 비트코인 거래가 공개되는 이유가 처음부터 설계에 들어 있는 셈이에요.

bitcoin.org 한국어 안내 페이지는 그 결과를 더 직접 적었어요. 「모든 비트코인 거래는 공개되며 추적이 가능하고 영구히 비트코인 네트워크에 기록됩니다」라는 문장 다음에, 주소는 지갑에서 사적으로 만들어지지만 한 번 쓰이면 그 주소가 관련된 모든 거래 역사와 엮이고, 누구나 어느 주소든 잔액과 거래를 열어 볼 수 있다고 이어져요. 같은 페이지 첫머리는 비트코인이 흔히 익명 지불 네트워크로 이해되지만 실제로는 아마 세계에서 가장 투명한 지불 네트워크일 것이라고 적었어요.

그러니 「비트코인을 추적할 수 있나요」에 대한 첫 대답은 「주소 단위로는 누구나 따라갈 수 있다」예요. 남는 질문은 그 주소가 누구 것인지 알 수 있느냐예요.

백서가 가린다고 한 것과 그 한계

백서 10장(6쪽)은 전통적인 은행이 정보를 거래 당사자와 신뢰받는 제삼자에게만 열어 프라이버시를 지킨다고 설명한 뒤, 모든 거래를 공개해야 하는 비트코인에서는 그 방법을 쓸 수 없다고 적어요. 대신 정보의 흐름을 다른 곳에서 끊는데, 그 자리가 공개키를 익명으로 두는 것이에요. 원문은 「The public can see that someone is sending an amount to someone else, but without information linking the transaction to anyone」이라고 썼어요. 누군가 누군가에게 얼마를 보낸다는 것은 모두가 보지만, 그 거래를 특정인과 잇는 정보는 없다는 뜻이에요. 백서는 이것을 개별 체결의 시각과 규모는 공개하되 당사자는 밝히지 않는 증권거래소의 체결 기록(tape)에 비유했어요.

같은 쪽 그림은 이 구조를 두 줄로 보여 줘요. 위 줄(Traditional Privacy Model)은 신원, 거래, 신뢰받는 제삼자, 상대방이 한쪽에 이어져 있고 대중(Public)과의 사이에 선이 그어져 있어요. 아래 줄(New Privacy Model)은 신원과 거래 사이에 선이 그어져 있고, 거래는 대중 쪽으로 이어져요. 선이 신원과 거래 사이로 옮겨 갔고, 거래 자체는 공개된다는 그림이에요.

백서는 이 방식의 한계도 같은 장에 적었어요. 추가 방화벽으로 거래마다 새 키 쌍을 써서 거래들이 한 주인에게 묶이지 않게 해야 한다고 한 뒤, 여러 입력을 묶어 쓰는 거래에서는 그 입력들이 같은 주인 것이라는 점이 필연적으로 드러나서 어느 정도의 연결은 피할 수 없다고 했어요. 그리고 키 하나의 주인이 밝혀지면 그 연결을 따라 같은 주인의 다른 거래까지 드러날 수 있다는 위험을 적었어요. 백서가 말한 익명은 공개키의 익명이고, 연결이 생기면 한 사람의 여러 거래를 가려 주지 못한다는 내용이에요.

덧붙이면 백서 PDF에서 뽑은 텍스트에는 추적(trace)이라는 낱말이 나오지 않아요. 10장이 쓰는 말은 연결(linking, linked)이고, 두 형태를 합쳐 장 안에서 네 번 나와요.

bitcoin.org가 적은 연결 경로와 경고

bitcoin.org 안내 페이지는 주소가 완전히 익명일 수 없는 이유로, 제품이나 서비스를 받으려면 신원을 밝혀야 한다는 점을 들었어요. 그리고 연결이 생기는 경로를 문단마다 나눠 적었어요.

영어 페이지와 한국어 페이지를 문장 단위로 맞대 보면, 영어 페이지에만 있는 문장이 하나 있어요. 2026년 10월 23일에 받은 영어 페이지의 같은 문단에는 「As the blockchain is permanent, it's important to note that something not traceable currently may become trivial to trace in the future」라는 문장이 있어요. 블록체인 기록은 영구적이라서 지금은 추적되지 않는 것도 나중에는 쉽게 추적될 수 있다는 뜻인데, 같은 날 받은 한국어 페이지 문단에는 이 문장이 없어요. 문장이 통째로 빠진 곳은 이 한 곳이지만, 두 페이지의 뜻이 달라지는 표현은 더 있어요. 영어 페이지는 제품이나 서비스를 받으려면 「대개(usually)」 신원을 밝혀야 한다고 적었는데 한국어 페이지에는 「대개」에 해당하는 말이 없어요. 믹싱 서비스 문단에서 영어 페이지는 운영자가 요청 기록을 남기지 않으리라고 믿어야 한다고 적었는데, 한국어 페이지는 이 대목을 이용자가 기록을 보관하지 않는다는 뜻으로 옮겼어요. 두 페이지 모두 작성일이 적혀 있지 않아서 한국어 번역이 어느 시점 영어 원문을 옮긴 것인지는 확인하지 못했어요.

법이 이름을 붙여 두게 한 자리는 거래소예요

체인 밖에서 주소와 이름을 잇는 기록을 법으로 남기게 한 곳이 국내에서는 거래소 같은 가상자산사업자예요. 특정금융정보법은 가상자산사업자를 「금융회사등」에 넣어(제2조제1호하목) 고객확인과 의심거래 보고 같은 의무를 지워요.

• 고객확인: 계좌를 새로 열 때 고객의 신원과 실제 소유자(고객을 최종적으로 지배하거나 통제하는 자연인)를 확인해야 해요(제5조의2제1항제1호). 고객이 정보 제공을 거부하는 등 확인을 할 수 없으면 신규 거래를 거절하고, 이미 거래 중이면 거래를 끝내야 해요(같은 조 제4항제1호). 시행령 제10조의20 제3호도 확인이 끝나지 않은 고객의 거래를 제한하라고 적었어요.
• 의심거래 보고: 거래와 관련해 주고받은 재산이 불법재산이라고 의심되는 합당한 근거가 있거나, 상대방이 자금세탁을 하고 있다고 의심되는 합당한 근거가 있는 경우 등에는 지체 없이 금융정보분석원장에게 보고해야 해요(제4조제1항). 보고하려 하거나 보고했다는 사실은 그 거래 상대방을 포함해 다른 사람에게 누설해서는 안 돼요(같은 조 제6항).

거래소에서 다른 사업자로 코인을 옮길 때 넘기는 정보도 법에 있어요. 2026년 10월 23일 현재 시행 중인 시행령 제10조의10은 거래소가 다른 가상자산사업자에게 100만원 이상에 상당하는 가상자산을 옮길 때(금액은 금융정보분석원장이 고시한 환산 기준) 정보를 함께 넘기도록 정해요. 넘기는 정보는 보내는 고객과 받는 고객의 성명, 그리고 두 사람의 가상자산주소예요. 금융정보분석원장이나 받는 사업자가 요청하면 보내는 고객의 주민등록번호(외국인은 여권번호나 외국인등록번호)도 요청받은 날부터 3영업일 안에 줘야 해요. 이 조문이 다루는 것은 사업자에서 사업자로 옮기는 경우예요. 개인지갑으로 보내는 경우는 이 조문에 들어 있지 않고, 거래소별 개인지갑 출금 절차는 이 글에서 확인하지 않았어요.

시행 날짜가 정해진 변경도 있어요. 2026년 8월 18일 공포된 대통령령 제36592호 부칙에 따라 2027년 2월 19일(법제처 국가법령정보에 적힌 시행일)부터 제10조의10 제1호가 「다른 가상자산사업자에게 가상자산을 이전하는 모든 경우」로 바뀌어 100만원 기준이 없어져요. 금융위원회 2026년 8월 11일 보도자료(담당 금융정보분석원)는 그 이유를 쪼개기 송금을 통한 규제 회피와 자금세탁 악용 가능성을 막기 위해서라고 설명하며, 약 3개월 동안 100만원 미만 단위로 216번에 걸쳐 출고한 일을 의심 사례로 들었어요. 제10조의10 개정규정과 같은 날 시행되는 제10조의20 개정규정 제8호는 거래소가 독점적인 관리 권한을 가지지 않은 주소를 쓰는 상대방과 코인을 주고받을 때 금융정보분석원 고시 기준을 따르게 해요. 보도자료는 이 부분을 해외 가상자산사업자·개인지갑과의 거래에 대한 의무로 묶어 설명했어요. 그 기준인 감독규정 제28조의2 제4항은 위험이 현저히 높으면 거래를 제한하고, 그렇지 않으면 고객과 상대방이 같은 사람일 때만 허용하도록 적었어요(법령상 의무 이행이나 국가기관의 적법한 권한 행사에 따른 이전은 예외). 이 조항은 감독규정 부칙(제2026-2호)에 따라 2026년 8월 20일 발령 후 6개월이 지난 날부터 시행돼요. 부칙은 날짜 대신 기간으로 적었는데, 행정기본법 제7조의 계산법(발령한 날은 첫날에 넣지 않음)으로 세면 2027년 2월 21일이에요. 시행령 개정규정(2027년 2월 19일)보다 이틀 늦은 날이에요. 조문별 변화는 특금법 시행령 제10조의20을 정리한 글에 있어요.

지금 시행 중인 감독규정 가운데 추적과 직접 닿는 조항도 있어요. 감독규정 제28조 제2호는 주소에서 주소로 옮겨질 때 전송기록이 식별될 수 없도록 하는 기술이 들어 있어 거래소가 전송기록을 확인할 수 없는 가상자산인지 확인하고, 그런 가상자산임을 알게 되면 취급하지 않도록 관리하라고 정해요.

거래소에 남는 기록과 보존 기간

가상자산이용자보호법 제9조는 거래소가 「매매 등 가상자산거래의 내용을 추적ㆍ검색하거나 그 내용에 오류가 발생할 경우 이를 확인하거나 정정할 수 있는 기록」을 거래관계가 종료한 때부터 15년간 보존하라고 정해요. 조문 자체가 이 기록의 쓰임을 추적과 검색으로 적어 둔 셈이에요. 어떤 기록인지는 시행령 제13조가 아홉 가지로 나눠요.

체인 쪽에서 bitcoin.org가 IP 주소는 기록될 수 있다고 적었다면, 거래소 쪽에는 주소와 함께 거래에 쓴 장치와 접속기록까지 남기도록 시행령이 정해 둔 거예요.

특정금융정보법 제5조의4는 따로 고객확인자료, 다른 사업자로 옮길 때 주고받은 송금인·수취인 정보, 의심거래 등의 보고 관련 자료를 5년간 보존하라고 정해요. 가상자산거래에서 이 5년을 세기 시작하는 날은 거래소와 고객 사이에 가상자산거래로 인한 채권채무관계를 정산한 날이에요(같은 조 제2항제4호). 두 보존 기간의 기산점 차이는 가상자산 거래기록 보존 기산일을 다룬 글에서 따로 정리했어요.

그 기록은 누가 볼 수 있나요

체인 기록과 달리 거래소 기록은 누구나 열어 보는 장부가 아니에요. 특정금융정보법 제10조는 금융정보분석원장이 불법재산·자금세탁행위·공중협박자금조달행위와 관련된 형사사건의 수사, 조세탈루 혐의 확인을 위한 조사 등(법은 이를 「특정형사사건의 수사등」이라고 불러요)에 필요하다고 인정하면, 거래소 같은 금융회사등이 보고한 정보 가운데 대통령령으로 정한 정보와 그것을 정리하거나 분석한 정보 등을 검찰총장, 국세청장 등 법에 적힌 기관에 제공하도록 정해요. 불법재산·자금세탁행위·공중협박자금조달행위와 관련된 형사사건 수사에 필요하면 대통령령으로 정한 정보를 경찰청장과 해양경찰청장에게도 제공해요. 이 조문이 다루는 것은 금융정보분석원이 보고받거나 외국 금융정보분석기구에서 받은 정보와 그 분석 결과이고, 거래소가 보존하는 거래기록 전체를 넘기는 조문은 아니에요. 이 기관들이 금융정보분석원장에게 정보를 요구할 때는 대상자 인적사항, 사용 목적, 요구하는 정보, 필요성을 적은 문서로 해야 해요(같은 조 제5항). 수사기관이 거래소에서 직접 자료를 받는 절차는 이번에 읽지 않아서 이 글에서 다루지 않았어요.

코인을 보낸 뒤 추적을 묻는 경우

사기 등으로 코인을 이미 보냈다면, 문서로 확인되는 범위는 이래요. 체인에서는 보낸 코인이 어느 주소로 갔는지 누구나 볼 수 있어요. 그 주소가 누구 것인지는 체인에 적혀 있지 않아요. 코인이 국내 거래소 계정으로 들어갔다면 그 거래소는 계정 주인의 고객확인 기록을 갖고 있어요. 다만 추적할 수 있다는 것과 돌려받을 수 있다는 것은 다른 문제예요. 백서 1장은 계산상 되돌리기 어려운 거래가 판매자를 사기에서 보호할 것이라고 적었고, 구매자 보호는 에스크로 같은 장치로 할 수 있다고 덧붙였어요.

2026년 10월 1일부터 시행된 개정 「전기통신금융사기 피해 방지 및 피해자산 환급에 관한 특별법」은 가상자산거래소를 금융회사등에 넣고, 피해자의 가상자산이 이전된 거래소 계정을 사기이용계좌등에 포함해 피해구제 신청, 지급정지, 피해자산 환급 절차를 두었어요(제2조·제3조·제4조·제10조). 다만 이 법은 전기통신을 이용해 속이거나 협박해서 돈을 보내게 하거나 가상자산을 옮기게 하는 등의 전기통신금융사기에 적용되고, 물건이나 서비스 거래를 가장한 사기는 대출을 가장한 경우가 아니면 빠져요. 환급액도 지급정지된 계정에 남아 있던 자산을 기준으로 정해져서 보낸 만큼 돌려받는다는 보장은 없어요(제2조제2호, 제9조, 제10조).

거래소 쪽에서는 가상자산이용자보호법이 정당한 사유 없이 입출금을 막지 못하게 하고(제11조제1항), 시행령 제17조가 그 정당한 사유를 적어요. 그중에는 다음 세 가지가 있어요.

• 전기통신금융사기를 막고 피해자산을 환급하려고 입금 때부터 72시간 범위에서 출금을 막도록 정한 약관에 따른 출금 차단(제5호)
• 불법재산이나 자금세탁과 관련이 있다고 의심할 합리적 사유가 있을 때 약관에 따른 입출금 차단(제6호). 기간은 2개월 범위에서 필요한 최소한으로 하고, 부득이한 사유가 있으면 두 차례까지 연장할 수 있어요
• 관계 법령에 따른 행정기관의 요청이나 명령에 따른 차단(제3호)

거래소가 입출금을 막을 때는 사유를 미리 이용자에게 알리고 금융위원회에 즉시 보고해야 해요(법 제11조제2항). 피해구제 신청 방법과 시행령에 맡긴 세부 절차는 이 글에서 다루지 않았어요.

정리

이어서 볼 글

백서 12개 장 전체를 한국어판과 원문으로 함께 읽은 내용은 비트코인 백서 한글 pdf를 원문과 맞대 본 글에 있어요. 보존 기간 5년과 15년을 세기 시작하는 날의 차이는 거래기록 보존 기산일 글에서, 시행령 개정으로 거래소가 지켜야 할 조치가 어떻게 늘어나는지는 시행령 제10조의20 글에서 볼 수 있어요.

이 글이 다루지 않은 것

• 특정 주소의 실제 거래 흐름이나 블록체인 분석 도구의 추적 능력은 다루지 않았어요. 온체인 데이터를 측정하지 않았어요.
• 추적을 피하는 방법은 다루지 않았어요. bitcoin.org 페이지의 IP 주소와 믹싱 서비스 문단은 그 문단이 붙인 경고만 옮겼어요.
• 거래소별 개인지갑 주소 등록과 출금 절차는 확인하지 않았어요.
• 수사기관이 거래소에서 직접 자료를 받는 절차는 읽지 않았어요. 통신사기피해환급법은 정의와 피해구제 신청, 지급정지, 채권 소멸, 환급 조문만 읽었고 신청 방법과 시행령의 세부 절차는 다루지 않았어요.
• 감독규정 부칙은 제28조의2 시행일을 날짜 대신 「발령 후 6개월이 경과한 날」로 적었어요. 본문의 2027년 2월 21일은 이 글이 행정기본법 제7조로 계산한 값이에요.

모든 내용은 2026년 10월 23일 오전 11시 9분부터 11시 45분 사이(한국 시각)에 연 bitcoin.org 문서, 법제처 국가법령정보의 법령과 고시, 금융위원회 보도자료 기준이에요. 법령과 고시는 개정될 수 있어요.

이 글은 정보 제공 글이며 매매 권유나 투자 자문이 아니에요. 가상자산은 변동성이 크고 원금 손실 위험이 있어요. 투자 판단과 그 결과에 대한 책임은 본인에게 있어요.