돈의 흐름을 쫓다: 도난당한 암호화폐가 온체인에서 사라지는 방식

새벽 4시에 걸려온 전화 속 수화기 너머의 인물은 마치 9시간 동안 숨을 참아온 사람처럼 가쁜 숨을 몰아쉬고 있다. 6시간 전, 한 중형 거래소의 멀티시그 지갑에서 약 400만 달러 상당의 USDT가 인출되었고, 부정 트랜잭션에 서명한 인물(그를 M이라 부르자)은 현재 창문을 닫아건 임대 아파트에서 블록체인 익스플로러를 통해 자신의 범죄가 실시간으로 재생되는 것을 지켜보고 있다. 브라우저만 있으면 누구나 모든 트랜잭션, 모든 전송 내역, 그리고 모든 소수점 자리까지 확인할 수 있다. 그의 여자친구도 그를 감사할 수 있고, 그의 이발사도 마찬가지이며, 더 끔찍하게는 그보다 훨씬 전문적인 조직들을 무너뜨려 온 가명의 인터넷 탐정도 그를 들여다볼 수 있다.

알다시피 M은 바보가 아니다. 그는 자신이 악용한 스마트 컨트랙트를 완전히 이해하고 있었고, 어떤 핫월렛에 과도한 권한이 부여되어 있는지 알고 있었으며, 거래소의 모니터링 팀이 최소 인력으로 운영될 가능성이 높은 시간대를 노려 인출을 감행했다. 그가 예상하지 못했던 점—거의 모든 초보 범죄자들이 깨닫지 못하는 사실—은 실제로 돈을 훔치는 행위는 가장 쉬운 부분에 불과했다는 것이다. 그가 사용한 7개의 주소와 평범한 일상 사이에는 그와 같은 자들이 결코 빠져나가지 못하도록 설계된 거대한 시스템이 버티고 서 있다.

사건에 대한 최초의 언급은 90분 만에 소셜 미디어에 등장한다. 사과문을 준비하느라 바쁜 거래소가 아니라, 수많은 팔로워를 거느리고 잠도 자지 않는 듯한 한 온체인 조사관의 포스팅을 통해서다. 이 조사관은 주소 라벨을 부여하고, 타이밍 분석을 수행하며, 공격에 대한 그럴듯한 설명을 제시한다. M은 이를 두 번 정독하며 자신의 미래가 어떻게 흘러갈지 가늠해 본다. 그는 금융계에 연줄도 없고, 핫월렛이 든 휴대폰을 들고 두바이로 도피할 수도 없다. 그에게 필요한 것은 오직 전문가뿐이며, 동틀 무렵 그는 마침내 한 전문가에게 연락을 취한다.

해당 스레드에서 M을 분석 내용보다 더 불안하게 만든 점은, 조사관이 거래소를 태그했을 뿐만 아니라 덧붙이는 말처럼 주소들까지 그대로 박제해 두었다는 사실이다. 과거에는 은행 강도 사건이 발생하면 용의자의 몽타주가 나오는 데 몇 주가 걸렸다. 하지만 이번 사건의 경우, 금고 문이 채 닫히기도 전에 몽타주가 배포된 셈이다. 패닉에 빠진 거래소는 대외 이미지를 의식해 현상금—동결된 자금으로 이어지는 정보를 제공하는 누구에게나 회수된 금액의 일부를 지급하는 보상금—을 내걸 가능성이 매우 높다. 10억 달러 규모의 해킹을 겪은 후 바이비트(Bybit)가 정확히 그렇게 했으며, 10%의 보상금을 내걸자 인터넷 전체가 지명수배자를 쫓는 자경단 잠복처로 변모했다. 이제 노트북을 든 모든 현상금 사냥꾼들은 M이 돈을 쓰기 전에 그의 자금을 식별해 낼 강력한 금전적 동기를 갖게 되었다. 훔친 수백만 달러는 그를 도망자로 만들었을 뿐만 아니라, 지명수배 포스터가 실시간으로 업데이트되는 기한 없는 자체 조달형 인간 사냥의 표적으로 전락시켰다.

이 전문가—즉 '해결사(fixer)'—는 해킹을 전혀 하지 않으며, 바로 이 점이 그를 매우 가치 있는 존재로 만든다. 그가 만들어내는 것은 절도가 아니라 '망각'이다. 그는 블록체인의 가시적 경제에서 자금을 빼내 아무도 감시하지 않는 사법 관할권의 법정화폐나, 컨설팅 인보이스, 혹은 합법적인 수익을 내는 것처럼 보이는 사업체 등 겉보기에 평범한 형태로 자금을 다시 등장시키겠다고 약속한다. 그의 수수료는 10%에서 시작하여 상황이 복잡해질수록 치솟는다. M은 처음에 10%가 터무니없는 갈취라고 생각했지만, 곧 그것이 앞으로 자신에게 닥칠 일들의 최저 요율에 불과하다는 것을 깨닫게 될 것이다.

유리 블록체인

M의 밤을 그토록 길게 만드는 역설은 바로 이것이다. 암호화폐는 프라이버시 기술의 일종으로 세상에 소개되었지만, 실은 인류가 발명한 돈 중 가장 프라이버시가 없는 형태라는 점이다. 현금은 흔적을 거의 남기지 않는다. 지폐가 주인을 바꿀 때, 그것은 스쳐 지나간 모든 사람을 잊어버린다. 반면 블록체인은 모든 것을 기억하고, 거쳐간 모든 사람을 타임스탬프와 함께 영원히 기록한다. 가명성(Pseudonymity)은 익명성(Anonymity)과 같지 않다. 그것은 단 한 번의 부주의로 정체가 탄로나기를 기다리는, 시한장치가 달린 익명성에 불과하다.

조사관들은 소수의 내재적인 구조적 결함을 활용하며, 자금 세탁이 왜 그토록 복잡해야 하는지 이해하려면 이 결함들을 알아야 한다. 만약 두 개의 주소가 동일한 트랜잭션의 일부로 자금을 조달받았다면, 이들은 동일한 관리자의 소유일 가능성이 높다. 이는 '공동 지출 휴리스틱(co-spend heuristic)'으로 알려져 있으며 온체인 포렌식에서 단연코 가장 효과적인 규칙이다. 잔돈 주소에서 나타나는 패턴은 습관을 드러낸다. 지속적으로 동일한 비정상적 비율로 출력을 반복 분할하는 지갑은 사실상 자신의 행동에 서명하고 있는 것과 같다. 현지 시간 기준 오전 3시에 거래소로 입금된다는 사실은 발자국이 신발의 종류를 보여주듯 해당 인물의 시간대를 보여준다. 원장이 모든 트랜잭션을 기록하고 있기 때문에 영장 없이도 인내심만 있다면 이 모든 것을 파악할 수 있다.

해결사가 단순히 새 지갑으로 돈을 이체한 뒤 만족할 수 없는 이유가 바로 여기에 있다. 새 주소는 새로운 신원이 아니라 일종의 변장용 의상에 불과하다. 자금은 추론의 사슬—절도와 첫 번째 홉(hop)을 연결하는 사슬, 홉과 홉을 연결하는 사슬, 그리고 홉과 실제 인물을 연결하는 사슬—을 모두 끊어내야 한다. 이러한 단절에는 각각 돈이나 시간, 혹은 둘 다 소요되며, 해결사의 역량은 어떤 단절이 핵심적인 하중을 견디는 지점인지 아는 것에 달려 있다.

M은 또한 이 문제의 인간적인 측면을 간과하고 있다. 블록체인은 경찰뿐만 아니라 다양한 윤리적 기준을 가진 아마추어 마니아, 기자, 피해자 단체, 그리고 현상금 사냥꾼들에 의해 상시 감시된다. 실제로 이들 중 가장 유명한 인물들은 M이 현재 사려고 애쓰는 것과 정확히 일치하는 자금 세탁 구조를 밝혀냄으로써 커리어를 쌓고 수백만 달러 가치의 평판을 구축했다. 해결사도 이를 잘 알고 있다. 그의 수수료 중 일부는 자신 역시 감시받고 있으며, 자신의 보안(OPSEC)이 솔직히 의뢰인보다 훨씬 더 뛰어난 실력을 가진 추적자들의 정밀 조사를 견뎌내야 한다는 사실에서 기인한다.

첫 72시간

이 게임에서는 타이밍이 필수적이다. 시계 바늘은 결코 자비를 베풀지 않기 때문이다. 대규모 절도가 발생한 다음 날은 자금에게 가장 위험한 시간대다. 언젠가는 현실 세계와 접촉해야 하기 때문이다. 거래소는 가장 취약한 지점이다. 도난당한 코인이 커스터디 플랫폼에 입금되는 순간, 그 코인은 컴플라이언스 책임자, 소환장 발부의 위협, 그리고 강력한 협조 동기가 공존하는 빌딩 안으로 들어가게 된다. 범죄와 연루되는 것보다 피해자를 돕는 것이 비용이 덜 들기 때문이다. 스테이블코인 발행사는 훨씬 더 직접적인 옵션을 쥐고 있다. 바로 토큰 컨트랙트에 직접 내장된 동결 기능이다. 테더(Tether)는 수년간 의심스러운 수억 달러 상당의 USDT를 동결해 왔으며, 때로는 해킹이 보고된 지 불과 몇 시간 만에 자금을 동결하기도 했다.

처음부터 자금 세탁범의 목표는 동결 명령이 내려지기 전에 통제 구역을 벗어나는 것이다. 첫 번째 단계는 토큰화된 달러가 들어 있는 모든 주소에 집중하는 것이어야 한다. 발행사에는 이를 원격으로 사라지게 할 수 있는 기능이 있기 때문이다. 법원 명령이나 협상은 필요 없으며, 자금이 어디에 있든 잔액을 비활성화하는 트랜잭션 하나면 충분하다. 다음 우선순위는 분석가들의 집중 감시를 받는 체인을 벗어나 거래량이 많은 체인으로 이동한 뒤, 현지 거래 상대방들이 서류 작업을 남의 일로 여기는 관할권으로 빠져나가는 것이다. 지체될수록 탈출 경로는 줄어든다.

이러한 배경 속에서 이 분야의 조직적인 접근 방식이 드러나며, 가장 최근의 사례 연구는 기록상 최대 규모의 암호화폐 도난 사건이다. 2025년 2월, 북한 라자루스 그룹(Lazarus Group)과 연계된 공격자들이 바이비트 거래소에서 약 15억 달러를 인출했다. 이 막대한 액수는 탈취된 즉시 단순한 절도를 넘어 하나의 거대한 물류 작전이 되었다. 자금은 몇 시간 만에 수천 개의 새 주소로 쪼개졌고, 크로스체인 서비스를 통해 이더리움에서 비트코인으로 전환되었으며, 나중에 소액만 처리했을 뿐이라고 발뺌한 노-KYC(no-KYC) 즉석 거래소들을 거쳐, 아무것도 묻지 않는 것을 비즈니스 모델로 삼는 장외거래(OTC) 브로커들에게 전달되었다. 가명의 전문가들을 포함한 조사관들은 트윗을 실시간으로 올리며 돈의 흐름을 쫓았지만, 이 세탁 작전은 대부분 성공을 거두었다. 테더의 동결 메커니즘이 상당한 양의 자금을 차단했고, 여러 거래소가 여기저기서 소액을 압류했으며, 중간 거래소 중 하나는 평판 손상으로 인해 붕괴되어 문을 닫았지만, 자금의 본체는 일반적인 글로벌 통화 공급망 속으로 증발해 버렸다. 이는 냉혹한 진실을 확인시켜 주었다. 조직의 자금력이 탄탄하고, 인내심이 있으며, 수수료에 연연하지 않는다면 속도가 감시망보다 더 중요하다는 사실이다. 특히 이 작전은 서류 작업을 처리하느라 지체되지 않았다. 피하고자 했던 국가 기관들은 업무 시간에만 일하는 반면, 그들은 주말과 공휴일에도 쉬지 않고 작전을 이어갔기 때문이다.

아마추어들이 저지른 행동을 살펴보면 하나의 교훈이 분명해진다. 2016년 비트파이넥스(Bitfinex) 해킹으로 도난당한 자금을 세탁한 혐의를 받는 부부는 탈취한 비트코인의 상당 부분을 수년간 보유하면서 믹서와 다크넷 계정을 통해 이동시켰지만, 끝내 자금과의 연결 고리를 완전히 끊어내지 못했다. 반면 연방 수사관들이 마침내 2022년 그들의 거처를 급습했을 때, 당국은 몇 건의 법원 서류 제출만으로 수십억 달러 상당의 암호화폐를 압류할 수 있었다. 동일한 블록체인과 동일한 수준의 투명성이었지만, 그 결과는 정반대였다. 문제는 도구가 아니라 그들의 규율, 솔직히 말해 인내심에 있었다. 라자루스는 자금 세탁을 공급망으로 바라본 반면, 비트파이넥스 사건 연루자들은 이를 단순한 보관으로 여겼다. 보관은 체포로 이어지는 지름길이다.

해결사가 M을 위해 실행하는 플레이북은 동일한 프로세스를 축소한 버전이며, 각 단계가 특정 수사 기법을 무력화하기 위해 존재하므로 이를 명확히 정리해 둘 가치가 있다.

1. 훔친 돈을 수십 개의 주소로 쪼개고 자금 조달 측면에서 주소 간 연결 고리를 차단하여 공동 지출 및 클러스터링 휴리스틱을 회피한다. 2. 믹서나 코인조인(CoinJoin) 기반 서비스를 도입하거나, 추적을 숨기기 위해 정교하게 설계된 크로스체인 스왑을 활용하는 현대적인 대안을 사용한다. 3. 브릿지와 즉석 거래소를 사용하여 블록체인 자산을 전송함으로써, 조사관이 다른 분석 환경이 적용되는 새로운 생태계에서 처음부터 맥락을 재구성해야만 하도록 만든다. 4. 깊은 유동성을 위해 비트코인을, 속도를 위해 스테이블코인을 사용하고, 뉴스 사이클의 길이만큼 일정 기간 가치를 유지한다. 5. OTC 데스크, 사설 브로커, 그리고 현지 상대방이 감시 기관 클럽에 속해 있지 않은 국가에서의 현금화 방식 등 컴플라이언스 요구 수준이 낮은 출구를 활용한다.

모든 단계에는 비용과 지연이 수반되며 유출의 위험이 존재하는데, 이것이 바로 해결사가 높은 수수료를 청구하는 이유다. 수백 개의 연속된 주소로 자금을 보내며 매번 소액을 떼어내는 고전적인 방식인 필 체인(peel chains)은 비용이 거의 들지 않지만, 업계에서 가장 눈에 띄는 포렌식 다이어그램을 남긴다. 믹서는 실질적인 혼선 효과를 제공하지만 이제 법적인 관점에서 금지 구역이 되었다. 한 유명 비트코인 믹서의 개발자들은 2024년에 체포되었으며, 토네이도 캐시(Tornado Cash)는 법원이 2025년 부분적 번복을 강제하기 전까지 수년간 미국의 제재 대상에 머물렀다. 도구의 이름은 바뀔지 몰라도 경제적 원리는 그대로다. 익명성은 가격이 매겨진 상품이며, 정부가 누군가를 제재할 때마다 그 가격은 상승한다.

탐정들과 입증 책임

그와 동시에, 유리의 반대편에서는 한 산업 분야가 내는 기이한 웅성거림이 들려온다. 트레이싱 소프트웨어를 제공하는 기업들은 이러한 사슬을 자동으로 재구성하여 수백만 개의 주소를 명명된 엔티티로 그룹화할 수 있다. 이들 기업은 오염된 자금을 차단하고자 하는 거래소, 통계가 필요한 규제 당국, 피고인을 찾는 사법 기관 등 다양한 고객을 지원한다. 또한 독립적으로 활동하는 개인들도 존재한다. 예를 들어 ZachXBT는 수억 달러 규모의 절도 조직을 폭로해 왔으며, 대부분 무보수로 일하며 사실상 사립 탐정이자 대중의 양심 역할을 해왔다. 이들의 영향력은 법적 권한이 아니라 내러티브의 힘에서 나온다. 잘 문서화된 추적 기록은 검사가 조치를 취하기도 전에 자금 운반책(mule)의 거래소 계정을 동결시킬 수 있다.

이러한 불균형은 상황의 모든 부분에 영향을 미친다. 조사관들은 자금의 흐름을 거의 실시간으로 관찰할 수 있지만, 국가는 한참 뒤에 간접적인 방식으로만 이를 인지하게 된다. 법 집행 기관이 은행 계좌, 주택, 신체의 자유를 압류하는 등의 조치를 취하기 위해서는 추적 보고서 하나만으로는 충분하지 않다. 주소와 여권을 연결하는 KYC 기록, 여권과 노트북을 연결하는 서버 로그, 그리고 노트북을 특정 결정과 연결하는 증인 진술 등 추가 증거가 필요하다. 귀속(Attribution)은 법정에서 적용되는 기준을 충족해야 하며, 블록체인상의 관찰 기록에서 법정에 채택될 수 있는 증거로 나아가는 과정은 길고 관할권마다 다르며 느리다. 추적자는 일주일 만에 해결사의 전체 네트워크를 식별해 낼 수 있지만, 검사는 그 지도를 바탕으로 조치를 취하는 데 꼬박 1년이 걸릴 수 있으며, 그 사이에 자금 운반책들은 이미 휴대폰을 바꾸었을 것이다.

해결사는 변호사만큼이나 절차상의 일정에 정통하다. 형사사법공조조약(MLAT)의 처리 속도는 지질학적 변화 속도에 비견될 만큼 느리다. 압류 영장은 접근 가능한 대상에만 적용되며, 접근 가능한 항목이란 서류가 도착하는 순간 컴플라이언스를 준수하는 거래소 내부에 있는 항목에 불과하다. 따라서 그의 전략은 블록체인을 앞지르려는 것이 아니라(어느 누구도 그럴 수 없다), 시스템이 다른 곳으로 관심을 돌릴 때까지 사법 관할권 간의 틈새에 가치를 묶어둠으로써 관료주의를 따돌리는 것이다. 이러한 맥락에서 범죄는 주로 규칙을 위반하는 것이 아니라, 규칙의 가장 느린 취약점을 파고드는 행위다.

공식 보고서에는 거의 등장하지 않는 심리적 요소가 있다. 추적자들은 급여보다 더 강력한 무언가, 즉 사기꾼을 향한 트라우마성 분노에 뿌리를 둔 진정한 집착, 그리고 때로는 사기를 가장 먼저 감지해 내는 데서 오는 중독적인 쾌감에 의해 움직인다. 반면 자금 세탁범들은 탐욕보다 더 미약한 동기, 즉 통상적인 업무 루틴의 관성에 따라 움직일 뿐이다. 대부분의 해결사는 일반인들이 자신을 연금 관리자로 생각하지 않는 것처럼 스스로를 범죄자로 여기지 않는다. 그들은 단지 가치를 이동시킬 뿐이며, 그 가치와 관련된 도덕적 책임은 다른 사람의 몫이라고 여긴다. 스스로를 중립적이고, 기술적이며, 존경받을 만하다고 묘사하는 이러한 자기 인식은 자금 세탁 경제 전체의 핵심 기반이며, 검찰은 이제 개인키를 쥐고 있는 유령들 대신 믹서 개발자들과 거래소 운영자들을 기소함으로써 이 문제를 정면으로 다루고 있다.

기계가 결코 멈추지 않는 이유

한 걸음 물러나 M의 이야기 전체를 조망해 보면, 이는 범죄 시나리오라기보다는 대사 과정을 겪고 있는 하나의 생태계처럼 보인다. 보안의 향상은 절도를 더 어렵게 만들고, 이는 도둑들에게 요구되는 기술 수준을 높이며, 이는 다시 해결사들에게 요구되는 품질 기준을 끌어올리고, 더 나은 분석 능력을 필요로 하게 만들며, 이는 다시 더 정교한 자금 세탁을 유발하고, 이 순환은 계속된다. 북한은 이러한 패턴을 채택하여 국제 사회가 선호하는 바로 그 결제 수단을 활용해 정권의 자금을 조달함으로써 이를 공식적인 국가 정책으로 전환했다. 아마추어 집단들은 조급함, 탐욕, 소비 욕구 같은 인간적 요소가 여전히 가장 취약한 공격 표면으로 남아 있음을 끊임없이 보여준다. 게다가 한 시대의 프라이버시 도구는 다음 시대의 제재 대상이 된다.

TRON은 다른 어떤 네트워크보다 많은 USDT를 보유하고 있어, 전 세계에서 가장 활발한 합법적 거래와 가장 집중적인 자금 세탁 활동 모두에 사용된다는 점에서 이 시스템 내에서 다소 특이한 위치를 차지한다. 매번 TRX를 소각해야 한다면 네트워크에서 수천 건의 USDT 전송을 수행하는 데 막대한 비용이 들기 때문에, 거래소, 결제 대행사, 그리고 필 체인을 운영하는 자금 세탁범에 이르기까지 대규모 전송 운영자들은 모두 동일한 해결책을 찾아냈다. 바로 TRON Energy를 임대하는 것이다. TRON Energy를 구매하는 비용은 TRX를 소각할 때 지불해야 하는 비용의 극히 일부에 불과하며, 수백 건의 전송이 처리되는 1시간 동안 위임된 TRON Energy를 확보하는 것은 시장의 합법적인 영역에서는 훌륭한 엔지니어링이다. 그리고 이 저렴한 TRON Energy야말로 반대편 영역에서 100개 주소 규모의 자금 세탁 계획을 감당 가능한 수준으로 만들어주는 요인이기도 하다. 이것이 바로 진지한 Energy 서비스 제공업체들이 자신들이 누구에게 서비스를 제공하고 있는지 검증하는 이유다. Netts는 다른 렌탈 시장이 긋지 않는 선을 바로 여기에 긋는다. 자체 TRON 분석 인프라를 활용하여 제재 대상 엔티티, 피싱 인프라, 해킹 및 도난 자금과 연계된 지갑을 포함한 2,800만 개 이상의 차단 주소 목록으로 컴플라이언스 경계선을 구축했으며, 자체 모니터링 시스템 뒤에서 실행되는 독립적인 Elliptic 레이어를 통해 모든 Energy 위임 요청을 이 목록과 실시간으로 대조한다. 그 이유는 단순하다. 자금 세탁 경제로 흘러 들어가는 자원은 자금 세탁의 형태를 모른다고 주장하는 인프라로부터 나와서는 안 되기 때문이다.

그 선의 정직한 편에 서 있는 사람들—즉 트레이더, 거래소, 결제 서비스 제공업체—에게 실질적인 결론은 간단하다. TRX를 소모하지 않고 TRON에서 USDT를 전송하고자 한다면, Netts TRON Energy Market은 전체 렌탈 산업을 실시간으로 통합하여 항상 최적의 시장 요율을 제시하므로 현재 시장에서 제공하는 가장 저렴한 가격으로 Energy를 임대할 수 있다. 그리고 이 모든 것은 바쁜 트레이더와 바쁜 필 체인을 이미 구분할 수 있는 플랫폼을 통해 이루어진다.