테더, 프랑스 흉기강도 도난자금 중 USDT 1억2900만원 동결…전체의 14%에 그쳐

프랑스에서 벌어진 두 차례의 흉기 강도 사건에서 도난당한 가상자산 자금 일부가 스테이블코인(달러 등 자산에 가치를 고정한 코인) 발행사 테더(Tether)에 의해 동결됐다. 온체인 조사관 ZachXBT가 4월 17일과 20일(현지시각) 발생한 두 건의 주택 침입 강도 사건에서 도난당한 약 66만 7000달러(약 9억 2300만원, 1달러 1384원 기준) 규모의 가상자산 흐름을 추적한 결과다. 그는 M1llionz, RichMilly666이라는 이름을 쓰는 인물을 범행 자금 세탁의 핵심 인물로 지목했다. 이 조사를 계기로 테더는 4월 24일(현지시각) 특정 이더리움 주소에 있던 9만 3507.51 USDT(약 1억 2900만원)를 블랙리스트에 올려 사용을 막았다. 다만 두 사건 모두 아직 체포나 기소, 유죄 판결이 발표되지 않았고 지목된 인물에게는 무죄 추정 원칙이 적용된다.

흉기 든 강도 두 차례, 병원행까지

4월 17일(현지시각) 프랑스에서 공격자 5명이 가담한 주택 침입 강도가 발생했다. ZachXBT에 따르면 이 사건으로 약 7.2 BTC, 당시 시세로 약 55만 7000달러가 도난당했고 여러 피해자가 병원에 실려갔다. 도난 자산이 빠져나간 주소는 bc1qrdq5acl9nw4gt3cjte2629lw9qcg9xxkf3x02k로 특정됐다.

사흘 뒤인 4월 20일(현지시각)에는 두 번째 사건이 벌어졌다. 여러 명의 공격자가 피해자를 묶어놓고 위협해 약 11만 달러 상당의 가상자산에 접근할 수 있는 권한을 넘기도록 강요했다. 이때 자금이 빠져나간 주소는 0x3000d2a2ef9bd8b614b368408768a6e25bf4de0f였다. 두 사건을 합치면 피해 규모는 약 66만 7000달러에 이른다.

체인플립·쿠코인 거쳐 모네로까지, 정교한 세탁 경로

ZachXBT의 추적에 따르면 4월 17일 사건에서 나온 자금은 크로스체인 브리지(서로 다른 블록체인 간 자산 이동을 돕는 프로토콜) 체인플립(Chainflip)을 통해 비트코인에서 이더리움으로 옮겨졌다. 이 가운데 31만 7000달러는 거래소 쿠코인(KuCoin)의 입금 주소 세 곳을 거쳤다. ZachXBT는 입출금 시점을 대조하는 타이밍 분석을 통해 이 자금이 결국 0xe744d8890792eb4b51ac6565e3d409076b62b302 주소로 모였다고 밝혔다. 일부는 즉시교환 서비스 두 곳과 와규(Wagyu)를 거쳐 모네로(Monero)로 바뀌었다.

4월 20일 사건의 자금도 비슷한 경로를 탔다. 약 46 ETH, 당시 가치로 약 10만 7000달러가 쿠코인 입금 주소를 거쳐 0x5fb7194cc893cdc8339fa1bd7e8b52cdb3d3d075 주소로 인출됐고 역시 0xe744 주소로 합쳐졌다. 이후 약 10만 8000달러가 0xe744에서 0x3c4f6ca9bea79432eaf8d98c3be4570064f1fde8로 옮겨져 이더리움이 USDT로 교환됐다. ZachXBT는 이 교환용 주소가 4월 20일 피해자의 주소(0x7e73으로 시작)로부터 가스비를 지원받은 사실을 확인해 이 흐름을 도난 자금과 연결지었다.

ZachXBT는 이 밖에도 이그저더스(Exodus) 지갑에서 약 8만 4000달러가 도난 자금과 연결된 흔적을 찾았다. 3월 12일 공개된 한 이그저더스 주소는 이후 4월 17일 사건과 연결된 1.44 ETH를 받았고, 6월 8일 게시된 영상에는 4월 20일 사건과 이어지는 22.37 ETH 송금이 담겼다. 6월 11일 공개된 스크린샷에서는 5월 9일 앞서의 통합 주소로부터 약 12.28 ETH를 받은 주소도 확인됐다. 이 지갑들은 텔레그램 채널 EMPIRE에서 공개된 것으로, 해당 채널(채널 ID 2401432371, 사용자 ID 8051285277)은 프랑스 시중은행 계정을 모집하고 스패머·사기꾼을 구인하는 은행 사기 서비스를 광고해온 것으로 나타났다.

테더의 동결 기능, 이번엔 피해액의 14%만 회수

ZachXBT는 추적한 자금 이동 내역을 테더와 수사당국에 신고했다고 밝혔다. 모니터링 봇 기록에 따르면 0x47967fe27f07fb54e9f4daa2541c0f75e27ddde7 주소는 4월 24일 UTC 기준 오후 1시 9분 11초(한국시간 같은 날 오후 10시 9분)에 블랙리스트에 올랐고 당시 이 주소에는 ERC-20 기반 9만 3507.51 USDT가 남아 있었다. 테더는 이 동결에 대해 공개 성명을 내지 않았다.

USDT는 비트코인이나 이더리움과 달리 발행사가 특정 주소를 블랙리스트에 올려 거래를 막을 수 있는 관리자 기능을 갖고 있다. 테더는 수년간 여러 범죄 수사와 관련해 수십억 달러 규모의 USDT를 동결해온 바 있다. 다만 이번 사건에서 동결된 금액은 전체 도난액 66만 7000달러 가운데 9만 3000달러 수준으로 약 14%에 그친다. 나머지 자금 대부분은 모네로로 전환되거나 다른 경로로 흩어져 추적이 더 어려워진 상태다.

ZachXBT는 관련 계정들이 최근 몇 주간 활동을 멈췄고 틱톡 프로필도 비공개로 전환됐다고 전했다. 그는 공개출처 정보를 분석해 마마네 칸테(Mamane Kante), 야달리 쿠야테(Yadali Kouyate) 등의 이명을 발견했고, 텔레그램·틱톡·인스타그램·스냅챗·드롭박스·페이팔·마이크로소프트 계정을 하나의 이메일 주소로 엮는 관계도도 공개했다. 이 관계도에는 다우다 단소(Daouda Danso), 제레미 르페브르(Jeremy Lefevre) 등의 이름도 등장했다. 다만 ZachXBT 스스로도 이를 신원이 확정된 것이 아닌 잠재적 연관성이라고 못박았다. 그는 같은 장외거래(OTC) 주소로부터 두 단계 이내에서 추가 공격 사례 두 건도 확인했다고 덧붙였다.

프랑스, 가상자산 보유자 대상 강력범죄 잇따라

프랑스에서는 올해 들어 가상자산 보유자를 노린 폭력 범죄가 이어졌다. 베르사유 검찰에 따르면 3월에는 파리 인근 르 슈네(Le Chesnay)에서 한 부부가 경찰을 사칭한 공격자들에게 약 90만 유로 상당의 비트코인을 넘기도록 강요당했다. 2월에는 바이낸스 프랑스 대표 다비드 프린세(David Princay)를 노린 주택 침입 시도가 있었고 이 사건과 관련해 용의자 3명이 체포됐다.

ZachXBT는 4월 22일 자신이 바이낸스 보안팀과 협력해 2023년 프랑스 스트리머 퇴퓌르스(TeufeurS)의 부친 납치 사건에서 지급된 몸값 200만 달러 가운데 약 80만 달러를 동결하는 데 도움을 줬다고 밝힌 바 있다. 이 사건과 관련해서는 이후 용의자 6명이 체포됐다. 이번 M1llionz 사건은 이런 흐름 속에서 온체인 추적과 스테이블코인 동결 기능이 실제 강력범죄 수사에 어떤 역할을 할 수 있는지 다시 보여준 사례로 꼽힌다.