이 블로그는 체이널리시스 2021년 ‘ 가상자산 ’ 범죄 보고서에서 발췌한 내용입니다. 전체 보고서를 다운로드하려면 전체 보고서를 다운로드하세요!
자금 세탁은 가상자산 을 기반으로 한 범죄의 핵심입니다. 가상자산 을 훔치거나 불법 상품의 대금으로 이를 받는 사이버 범죄자들의 주된 목적은 자금의 출처를 숨기고, 가상자산 을 현금으로 전환하여 지출하거나 은행에 예치할 수 있도록 하는 것입니다. 물론 전 세계 법 집행 기관과 컴플라이언스 전문가들의 노력 덕분에, 사이버 범죄자들은 불법적으로 얻은 가상자산 를 단순히 거래소로 보내 일반 사용자처럼 현금화할 수는 없습니다. 대신, 그들은 놀랍게도 소수의 서비스 제공업체에 의존하여 가상자산 자산을 현금화합니다. 이러한 제공업체 중 일부는 자금 세탁 서비스를 전문으로 하는 반면, 다른 일부는 단순히 가상자산 대규모 서비스나 자금 서비스 사업자(MSB)로서 컴플라이언스 프로그램이 허술한 곳들입니다. 수사 당국이 이러한 자금 세탁 서비스 제공업체들을 단속함으로써, 사이버 범죄자들이 가상자산 를 현금으로 전환하는 능력을 크게 약화시킬 수 있으며, 결과적으로 사이버 범죄자들이 애초에 가상자산 를 이용할 유인을 줄일 수 있습니다.
이 자금세탁 서비스 제공업체들은 과연 누구일까요? 먼저, 지난 몇 년간 범죄 출처로부터 자금을 받은 서비스들을 살펴보겠습니다.
역사적으로 볼 때, 주류 거래소는 불법 자금 가상자산 의 주요 유입처였으며, 2020년에도 이러한 추세는 변하지 않았습니다. 사실, 거래소를 통해 유입된 전체 불법 자금 가상자산 의 비중은 2020년에 소폭 증가했습니다.
또한 불법 주소에서 고위험 거래소, 도박 플랫폼, 믹서, 고위험 관할 구역에 본사를 둔 서비스 등 우리가 “위험한” 서비스로 분류하는 곳으로 상당한 규모의 자금이 이동하는 것을 확인할 수 있습니다. 다양한 유형의 ‘ 가상자산 ’ 기반 범죄로부터 자금을 받는 구체적인 위험 서비스들을 살펴보면 흥미로운 추세가 드러납니다.
자금 세탁과 관련해 가장 많이 이용되는 고위험 서비스 범주는 각 범죄 유형별로 유사하지만, 사기 범죄는 가장 큰 예외를 이룬다. 사기범들은 다른 사이버 범죄자들에 비해 자금을 도박 플랫폼으로 이동시킬 가능성이 훨씬 더 높으며 — 이러한 추세는 2020년에 시작되었으며, 본 보고서 다른 부분에서 다루고 있는 ‘미러 트레이딩 인터내셔널(Mirror Trading International)’ 사기 사건이 가장 대표적인 사례이다 — 또한 고위험 관할 구역에 본사를 둔 서비스로 자금을 이동시킬 가능성이 높다.
지리적 관점에서 자금 세탁을 살펴보면 흥미로운 경향도 확인할 수 있습니다.
해당 자금을 수령한 서비스 이용자들의 위치별 분석에 따르면, 다음 국가들이 불법 주소로부터 가장 많은 양의 가상자산 를 수령하고 있습니다:
- 미국
- 러시아
- 중국
- 남아프리카 공화국
- 영국
- 우크라이나
- 대한민국
- 베트남
- 터키
- 프랑스
그러나 범죄 유형별로 자금의 유입 지역을 살펴보면 일정한 패턴이 드러납니다:
가장 먼저 눈에 띄는 추세는 러시아가 다크넷 시장 자금의 비정상적으로 큰 비중을 차지하고 있다는 점이며, 이는 주로 ‘하이드라(Hydra)’ 때문인 것으로 보인다. 하이드라는 매출 기준 세계 최대 규모의 다크넷 시장으로, 러시아와 동유럽의 기타 러시아어권 국가들만을 대상으로 운영된다. 또한 중국은 도난 자금 및 랜섬웨어와 관련된 주소에서 송금된 자금의 비정상적으로 큰 비중을 차지하고 있다는 점에서 두드러진다. 이 중 일부는 북한 정부와 연계된 사이버 범죄 조직인 라자루스 그룹(Lazarus Group)과 관련된 비트코인( 가상자산 ) 도난 및 랜섬웨어 활동에서 비롯된 것일 수 있습니다. 최근 미국 법무부의 고소장에 따르면, 라자루스 그룹 요원들과 협력하여 해당 그룹이 거래소에서 탈취한 비트코인( 가상자산 )을 세탁한 중국 국적자 2명이 확인되었습니다. 중국에 기반을 둔 다른 ‘하이드라( 가상자산 )’ 사용자들도 유사한 활동에 가담하고 있을 가능성이 있습니다. 마지막으로, 사기 및 도난 자금과 관련된 주소로부터 유입된 자금에서 미국의 비중이 다소 높게 나타났습니다.
자금세탁 서비스 제공자는 누구인가요?
앞서 논의한 바와 같이, 불법 주소에서 송금된 자금의 대부분은 주요 거래소나 당사가 “위험”으로 분류하는 서비스(예: 컴플라이언스 프로그램이 부실하거나 아예 없는 고위험 거래소, 믹서, 도박 플랫폼, 또는 고위험 관할 구역에 본사를 둔 서비스 등)의 입금 주소로 유입됩니다. 불법 자금을 수령하는 입금 주소 중 일부는 애초에 자금을 송금한 사이버 범죄자들이 직접 관리하고 있을 가능성이 높습니다. 그러나 법 집행 기관 파트너들과 당사의 자체 ‘ 조사 ’를 통해 알 수 있듯이, 이러한 입금 주소 중 상당수는 때로는 명시적으로, 때로는 암묵적으로 사이버 범죄자들에게 자금 세탁 서비스를 제공하는 제3자 서비스 업체에 속해 있습니다.
이러한 제3자 서비스는 대체로 “내장형 서비스(nested services)”라고 불리는 광범위한 범주에 속합니다. 내장형 서비스는 하나 이상의 대규모 거래소 내에서 운영되며, 해당 거래소의 유동성과 거래 쌍을 활용합니다. 블록체인 분석의 관점에서 볼 때, 이는 기본적으로 내장형 서비스의 거래가 해당 서비스를 호스팅하는 기반 플랫폼에서 이루어진 것으로 표시된다는 것을 의미합니다. 내장형 서비스의 일반적인 예로는 장외거래(OTC) 중개업체와 즉시 환전 서비스 등이 있습니다. 네스티드 서비스가 처리하는 불법 거래량의 규모는 천차만별입니다. 일부는 주류 거래소만큼 규정을 잘 준수하는 반면, 다른 일부는 사이버 범죄자들을 대상으로 특화되어 있는 것으로 보입니다. 많은 서비스가 대규모 기업으로 보이며, 이들에게 불법 활동은 전체 거래량에서 차지하는 비중이 미미한 것으로 나타납니다. 이는 해당 서비스들이 느슨한 자금 세탁 방지( 컴플라이언스 ) 정책으로 인해 의도치 않게 불법 자금을 이동시키고 있을 가능성이 높음을 시사하지만, 이러한 활동을 중단하더라도 운영을 계속할 수 있음을 의미합니다. 그러나 일부 입금 주소의 경우 자금 중 불법 주소에서 유입되는 비율이 매우 높아, 이러한 활동이 우발적일 가능성은 거의 없어 보이며, 사이버 범죄자들을 대상으로 하지 않고서는 해당 서비스가 운영을 지속할 수조차 없을 것으로 보입니다.
아래에서는 자금 세탁을 조장하는 입금 주소에 대해 우리가 파악한 내용을, 해당 주소를 호스팅하는 서비스부터 시작하여 소개해 드리겠습니다.
가상자산 불법 주소에서 송금된 자금은 소수의 서비스로 집중되는 경향이 있습니다. 아래에서는 2017년 이후 매년 불법 자금을 가장 많이 수령한 5개 서비스로 유입된 전체 불법 자금의 비중을, 전체적인 수치와 범죄 유형별 세부 수치로 나누어 보여줍니다. 불법 자금을 가장 많이 수취한 상위 2개 서비스는 우리가 조사한 3년 동안 변함없이 유지된 반면, 3위, 4위, 5위 순위는 다소 변동이 있었습니다. 매년 상위 2개 서비스가 수취하는 자금 규모는 나머지 3개 서비스를 합친 것보다 더 많습니다. 2020년 전체적으로, 이 상위 5개 서비스는 불법 주소에서 이동된 전체 자금의 55%를 수취했습니다.
특히, 랜섬웨어와 관련된 주소들의 경우, 상위 5개 서비스로 집중된 전송 활동 비중이 2020년 기준 78%로 가장 높았다.
하지만 서비스 수준에서 한 단계 더 깊이 들어가 개별 입금 주소를 살펴보면 어떻게 될까요? 아래 그래프에서는 2020년에 불법 자금을 수령한 모든 입금 주소를, 수령한 불법 자금의 규모별로 분류하여 살펴봅니다.
이 그래프를 읽는 방법: 이 그래프는 2020년에 각 주소가 개별적으로 수령한 총 불법 가상자산 금액에 따라 분류된 서비스 입금 주소들을 보여줍니다. 각 파란색 막대는 해당 구간 내 입금 주소의 수를 나타내며, 각 주황색 막대는 해당 구간의 모든 입금 주소가 수령한 불법 가상자산 자금의 총액을 나타냅니다. 첫 번째 구간을 예로 들면, 1,138,030개의 입금 주소가 0달러에서 100달러 상당의 불법 가상자산 자금을 수령했으며, 이 모든 입금 주소가 합쳐서 총 1,300만 달러 상당의 불법 가상자산 자금을 수령한 것을 확인할 수 있습니다.
자금 세탁 활동은 입금 주소 수준에서 더욱 집중되어 있습니다. 실제로 위의 데이터에 따르면, 2020년에 불법 주소에서 전송된 전체 가상자산 가치의 75%가 단 1,867개의 입금 주소 그룹에 집중된 것으로 나타났습니다 . 더 작은 규모의 270개 입금 주소 그룹은 55%를 수령했습니다. 백분율이 아닌 절대 금액으로 따져보면 , 이 270개 주소는 2020년에 총 13억 달러 상당의 불법 가상자산 를 수령했으며, 그중에서도 단 24개로 구성된 더 작은 그룹은 2020년에 5억 달러 이상의 불법 가상자산 를 수령했습니다.
이러한 집중도는 2019년보다 더 높은 수준입니다. 아래에서는 위에서 제시한 각 범주에 속하는 입금 주소가 수령한 모든 불법 가상자산 의 비중이 2019년부터 2020년까지 어떻게 변화했는지 살펴보겠습니다.
특히, 연간 100만 달러에서 1억 달러 상당의 가상자산 를 수령하는 주소들로 유입되는 불법 가상자산 의 비중이 훨씬 더 높은 것으로 나타났습니다.
우리는 불법 가상자산 를 수령하는 입금 주소의 집중도가 높아지고 있는 현상이, 사이버 범죄자들이 소수의 OTC 중개업체와 자금 세탁을 전문으로 하는 기타 중개 서비스에 점점 더 의존하고 있음을 반영한다고 생각합니다. 이를 더 자세히 조사하기 위해, 2020년에 불법 주소로부터 100만 달러 이상의 가상자산 를 수령한 270개의 입금 주소를 면밀히 분석하기로 했습니다. 아래 산점도에서는 해당 주소들이 불법 주소로부터 수령한 총 금액과, 해당 불법 자금이 주소의 총 수령액에서 차지하는 비중을 기준으로 주소들을 표시했습니다.
위에서 살펴본 바와 같이, 자금 세탁을 가장 많이 조장하는 입금 주소들을 살펴보면 흥미로운 추세가 드러납니다. 개별적으로나 전체적으로 볼 때 상당한 규모의 자금 세탁을 조장할 수는 있겠지만, 이러한 입금 주소 중 상당수, 특히 불법 주소로부터 가상자산 를 통해 2,500만 달러 미만을 수령한 주소들의 경우, 총 거래량에서 합법적인 활동이 상당한 비중을 차지하고 있습니다. 실제로, 이러한 주소 중 다수의 경우 불법 주소로부터 수령한 총 가상자산 금액 중 불법 주소의 비중은 10% 미만이며, 특히 1,000만 달러 미만인 경우 그 비중이 더욱 낮습니다. 이는 해당 주소들이 조장하는 자금 세탁이 단순히 의도치 않은 것이거나, 해당 주소를 관리하는 중개 서비스의 컴플라이언스 프로그램의 미비점 때문일 수 있음을 시사합니다.
그러나 불법 주소로부터 2,500만 달러 상당의 가상자산 를 수령한 입금 주소가 있다는 증거는 어디에서도 발견되지 않습니다. 이 입금 주소들은 모두 총 자금의 최소 34%를 불법 출처에서 받고 있으며, 대부분은 그 비율이 50%를 상회합니다. 이러한 서비스들이 우연히 불법 주소로부터 이토록 높은 비율의 자금을 받고 있다고 믿기는 어려울 것입니다. 특히 중첩된 서비스의 경우, 해당 자금이 없다면 사업으로 생존하기 어려울 가능성이 높기 때문에, 우리는 해당 주소들이 주로 사이버 범죄자들을 위해 운영되고 있다고 판단합니다.
아래에서는 2020년에 불법 주소로부터 자금을 수령한 모든 입금 주소 집합을 확대하여, 해당 지갑이 수령한 전체 자금 중 불법 주소에서 유입된 자금의 비율별로 분류했습니다. 전체적으로 불법 자금을 가장 많이 수령한 지갑은, 수령한 전체 자금 중 불법 자금이 차지하는 비율이 가장 높은 지갑들인 것으로 나타났습니다. 즉, 가장 많은 자금을 세탁하는 소수의 행위자들은 이를 전문으로 하는 것으로 보입니다.
서비스로 유입되는 모든 불법 자금의 55%는, 전체 자금의 50% 이상을 불법 주소에서 공급받는 입금 주소로 최종 유입됩니다. 전체 수령 자금의 30% 이상이 불법 주소에서 유입되는 입금 주소의 경우, 이 수치는 71%까지 상승합니다. 즉, 가상자산 에서 발생하는 자금 세탁의 상당 부분은 거래를 면밀히 검토하여 이를 적발할 수 없는 대형 서비스에서 감지되지 않고 은밀하게 이루어지는 것이 아니라, 자금 세탁을 비즈니스 모델의 핵심 요소로 삼고 있는 중첩형 서비스들에 의해 적극적으로 조장되고 있습니다. 법 집행 기관은 이러한 입금 주소의 소유자를 파악하고 기소함으로써 사이버 범죄자들이 가상자산 를 현금으로 전환하는 능력을 크게 저해할 수 있습니다. 또한, 이는 대부분 중첩형 서비스에 속하는 이러한 입금 주소를 호스팅하는 서비스들이 거래 모니터링에 더 철저해야 함을 보여줍니다. 이들 역시 최악의 위반자들을 단속함으로써 가상자산 생태계를 더 안전하게 만들 수 있습니다.
또한, 이러한 주소 중 일부로 유입된 자금 중 불법적이지 않은 부분조차도 의심스럽게 바라봐야 한다는 점을 유의해야 합니다. 이는 오프라인 범죄 활동과 관련된 자금 세탁의 일일 수 있기 때문입니다. 다시 말해, 범죄자들이 불법적으로 취득한 자금을 은닉하기 위해 법정화폐를 가상자산 로 환전하는 행위일 수 있습니다. 이 섹션의 마지막에 실린 사례 연구에서 가상자산 를 통한 자금 세탁의 이러한 측면을 자세히 살펴보겠습니다.
전반적으로 이 데이터가 분명히 보여주는 점은, 대부분의 불법 자금이 자금 세탁이 활동의 상당 부분을 차지하는 서비스 입금 주소로 유입된다는 사실이며, 심지어 이들 중 상당수는 다른 목적이 전혀 없는 것처럼 보일 정도라는 점입니다. 비록 규모는 작지만 여전히 상당한 비중을 차지하는 자금은 합법적인 거래량이 많은 입금 주소로도 유입되는데, 이로 인해 불법 활동이 감지되지 않고 넘어갈 수 있으므로, 금융 범죄 수사국( 컴플라이언스 )의 전문가와 수사관들이 모든 입금 주소, 특히 중첩된 서비스의 입금 주소를 엄격하게 평가할 필요가 더욱 강조된다.
이 블로그는 체이널리시스 2021년 ‘ 가상자산 ’ 범죄 보고서에서 발췌한 내용입니다. 전체 보고서를 다운로드하려면 전체 보고서를 다운로드하세요!
