바이낸스, 러시아 시장 철수 후 고객 데이터를 러시아 측에 제공했다

바이낸스 자료, 테러 사건 입증에 활용

로이터가 입수한 기록에 따르면, 러시아 수사위원회는 바이낸스가 제공한 계정 데이터를 활용해 49세의 정보기술(IT) 전문가 유리 벨렌키(Yuri Belenkiy)를 상대로 테러 혐의를 입증했다. 이 사건은 벨렌키가 우크라이나 모금 캠페인에 보낸 것으로 추정되는 700달러 이상의 암호화폐와 관련이 있다.

수사관들은 벨렌키가 망명 중인 러시아 언론인 아르카디 바브첸코의 온라인 호소에 응한 뒤 2023년 1월부터 2024년 3월까지 해당 자금을 송금했다고 주장했다. 당국은 이 기부금이 러시아가 테러 조직으로 지정한 아조프 여단을 포함한 우크라이나 군대를 지원한 것이라고 밝혔다.

러시아 법 집행 당국은 벨렌키의 전화번호, 주소, 여권 스캔본, 불가리아 거주 허가증이 포함된 고객 신원 확인 파일을 입수했다. 사건 기록에는 바이낸스(Binance) 이메일 주소에서 수사관들에게 발송된 두 통의 이메일도 포함되어 있었다. 벨렌키는 2025년 9월 체포되어 현재 재판을 기다리며 수감 중이다.

바이낸스 대변인은 해당 거래소가 적용 가능한 법률, 개인정보 보호 및 규제 요건에 따라 법 집행 기관의 공식 요청을 처리한다고 밝혔다. 대변인은 “바이낸스는 어떠한 관할권의 법률도 제정하거나 집행하지 않으며, 기소 내용을 결정하거나 정부가 법적 절차에서 정보를 어떻게 사용할지 결정하지 않는다”고 말하며 다음과 같이 덧붙였다.

“다른 글로벌 금융 기관과 마찬가지로, 당사는 해당 법률, 개인정보 보호 및 규제 요건에 따라 전 세계 법 집행 기관의 합법적인 정보 요청에 협력합니다. 이러한 결정은 전적으로 관련 당국에 달려 있습니다.”

러시아 철수, 법적 의무에 대한 의문 제기

바이낸스의 이러한 답변은 회사가 2023년 9월 러시아 시장 철수를 발표한 이후, 러시아 내 지속적인 의무에 대한 의문을 다시 불러일으켰다. 암호화폐 전문 변호사 마이크 비스트로프(Mike Bystrov)는 거래소가 시장을 떠난 후에는 러시아 당국의 요청을 따를 의무가 없다고 말했다.

바이낸스의 리처드 텡 CEO는 8월 17일 X(구 트위터)에 올린 게시물에서 이 논란에 대해 언급하며, 바이낸스는 전 세계적으로 합법적이고 체계적인 절차를 따르며, 상업적 운영이 없는 국가의 당국과도 협력하고 있다고 밝혔다. 그는 이러한 협력이 특정 정부에 대한 편파성으로 해석되어서는 안 된다고 말하며, 바이낸스는 해당 제재 및 법적, 개인정보 보호, 규제 요건을 준수하기 위해 요청 사항을 검토한다고 덧붙였다. 텡 CEO는 다음과 같이 밝혔다.

"글로벌로 운영한다는 것은 상업적 활동을 하지 않는 지역을 포함해 모든 관할권의 당국과 소통하는 것을 의미합니다. 예를 들어, 우리는 미국에서 사업을 영위하지는 않지만 미국 법 집행 기관의 요청에는 응답합니다."

이 거래소는 이전에 다른 관할권에서의 규정 준수 관리 체계와 관련해 광범위한 조사를 받은 바 있다. 바이낸스는 2023년 연방 혐의에 대해 유죄를 인정했으며, 자금 세탁 방지, 제재, 자금 이체 규정 위반과 관련해 미국 법무부와 43억 달러 규모의 합의에 동의했다.

미국 재무부는 별도로 제재 대상 관할구역 및 개인과 관련된 금지된 거래를 방지하고 신고하는 데 있어 바이낸스의 미비점을 상세히 밝혔습니다. 이러한 집행 조치는 거래 모니터링 및 금지된 금융 활동과 관련된 것이었으며, 바이낸스의 러시아 법 집행 기관 요청 처리에 관한 것은 아니었습니다.

바이낸스는 2023년 9월 러시아에서 철수하고 현지 사업을 코멕스(Commex)에 매각한다고 발표했다. 이 거래소는 고객들이 새로운 플랫폼으로 이전되는 과정에서 완전한 철수까지 최대 1년이 소요될 수 있다고 밝혔다.

정보 공개로 인한 유럽의 개인정보 보호 우려

법률 전문가들은 유럽연합(EU) 거주 허가를 소지한 개인에 관한 정보를 러시아 당국에 이전하는 것이 일반 데이터 보호 규정(GDPR)에 따른 규정 준수 문제를 야기할 수 있다고 지적했다. 비스트로프는 벨렌키의 불가리아 거주 허가로 인해 그의 고객 정보가 해당 규정의 보호 대상에 포함될 수 있다고 말했다.

GDPR은 적정성 결정이 내려지지 않은 국가로의 정보 이전을 절대적으로 금지하지는 않지만, 조직은 유효한 이전 메커니즘을 구축하거나 적격한 예외 요건을 충족해야 한다. 어떠한 평가도 바이낸스가 기록을 처리하는 법적 근거와 정보 공개를 둘러싼 상황에 따라 달라질 것이다.

이 거래소는 러시아 당국과 관련된 유사한 의혹에 직면한 바 있다. 바이낸스의 데이터 공유 관행에 대한 이전 보도에 따르면, 정부가 정치적 반대 세력에 대한 정보를 요구하는 동안 회사의 지역 정보 부서가 러시아 금융정보기관과 유대를 유지했다고 한다. 바이낸스는 해당 보도의 일부 내용에 대해 반박했다.

인권 단체 퍼스트 디파트먼트(First Department)는 바이낸스가 러시아 시장 철수를 발표한 후에도 러시아 법 집행 기관과 소통 채널을 유지한 점을 비판했다. 바브첸코 역시 이 같은 정보 공개에 반대하며 다음과 같이 밝혔다.

"암호화폐 거래소가 러시아 고객들의 기부 내역을 러시아 법 집행 기관과 공유하는 것은 부적절합니다."

중앙화된 거래소는 상세한 고객 기록을 보관한다

중앙화된 암호화폐 거래소는 일반적으로 ‘고객 확인(KYC)’ 및 ‘자금 세탁 방지(AML)’ 요건을 충족하기 위해 신분 증명 서류와 거래 정보를 수집한다. 이러한 기록에는 정부 발급 신분증, 주소, 연락처, 계정 활동 내역, 자금의 출처나 목적지에 대한 정보 등이 포함될 수 있다.

수사위원회는 또한 바이낸스 측에 바브첸코의 캠페인과 연관된 지갑에 기부한 다른 고객들의 신원을 파악해 줄 것을 요청했다. 바이낸스는 앞서 유럽연합(EU)이 러시아를 대상으로 한 제재를 확대한 이후 특정 러시아 고객에 대한 서비스를 제한한 바 있다.

벨렌키 사건의 기록에 따르면, 바이낸스는 러시아 시장 철수를 발표한 후에도 고객 정보를 계속 보관한 것으로 나타났습니다. 현재 확보된 문서만으로는 해당 거래소가 러시아 고객 데이터를 얼마나 오래 보관할 계획인지 명확히 알 수 없습니다.

이 사건은 또한 중앙 집중식 계정과 자가 관리 지갑 간의 차이점을 부각시킨다. 자가 관리 방식에서는 사용자가 거래 승인에 필요한 개인 키를 관리하는 반면, 중앙 집중식 플랫폼은 계정 인프라를 관리하고 고객 기록을 보관한다. 인권 옹호자들은 우크라이나 친화적 단체에 암호화폐 기부를 한 수십 명의 러시아인이 기소되었다고 밝혔다.