이 블로그는 현재 공개된 당사의 ‘2025년 가상자산 범죄 보고서’에서 발췌한 내용입니다!
지난 몇 년간 이어진 일련의 법 집행 기관의 단속 작전은 2024년 마약 및 사기 생태계의 양상을 형성했습니다. 2024년은 전체적으로 볼 때 사이버 범죄( 가상자산 ) 수익 측면에서 사상 최대를 기록한 해였을가능성이 높지만, 다크넷 마켓(DNM)과 사기 사이트로의 자금 유입은 감소했습니다. 다크넷 마켓은 온체인 기준으로 20억 달러가 조금 넘는 비트코인(BTC)을, 사기 사이트는 2억 2,500만 달러를 수령한 데 그쳤습니다.
역사적으로 DNM은 불법 마약 거래로 알려져 왔으나, 최근 몇 년간 독창적인 서비스 제공을 통해 차별화를 꾀해 왔습니다. 그러나 이러한 추세가 모든 DNM에 공통적으로 나타나는 것은 아닙니다. 예를 들어, 러시아 기반 DNM의 경우 여전히 불법 마약 거래가 주를 이루고 있습니다. 작년 ‘ 가상자산 ’ 범죄 보고서 발표 이후, 실적이 가장 우수한 러시아 기반 DNM들의 순위는 큰 변동이 없었으나, 2024년에는 Kraken DNM이 연간 매출 기준 1위 자리를 Mega로부터 빼앗았습니다.
메가(Mega)의 자금 유입이 전년 동기 대비(YoY) 50% 이상 감소한 반면, 크라켄 DNM(Kraken DNM)의 자금 유입은 전년 동기 대비 약 68% 증가했다. 하이드라 마켓(Hydra’s Market)의 후속 플랫폼으로 자처한 크라켄 DNM은 2024년에 온체인으로 7억 3,700만 달러를 유치했다. 2022년 하이드라(Hydra)가 제재 대상에 지정되고, 법 집행 기관에 의해 자산이 압수된 후 결국 붕괴되면서 메가(Mega)와 함께 두각을 나타냈던 블랙스프루트(Blacksprut)는 전년 대비 매출이 13.6% 감소하며 3위를 기록했다.
작년에 보도된 바와 같이, 일부 마약 판매처들은 웹사이트 호스팅 및 결제 처리와 같은 서비스를 외부에 위탁해 왔습니다. 위 차트에 표시된 iKlad.biz와 Klad.cc는 이러한 인프라 제공업체의 예시입니다. 비록 이들 업체가 전통적인 DNM은 아니지만, 그들의 성공은 마약 판매업자들이 러시아어권 국가 전역으로 사업 규모를 확장하고 있음을 잘 보여줍니다. 2022년 하이드라 마켓(Hydra Market)이 폐쇄되었음에도 불구하고, 과거 하이드라 제휴사들은 오늘날의 디지털 마켓플레이스(DNM)에서 운영되는 데 여전히 이러한 인프라 제공업체들에 크게 의존하고 있는 것으로 나타났다. 지난 12월, 러시아 법원은 하이드라 마켓의 설립자이자 운영자로 의심받는 스타니슬라프 모이세예프에게 종신형을 선고했으나, 모스크바 검찰청은 이 유죄 판결을 하이드라와 공개적으로 연결 짓지는 않았다. 또한 법원은 공범 15명에게 최고 보안 등급의 교도소에서 8년에서 23년 사이의 징역형을 선고했다.
2024년에는 하이드라(Hydra) 운영자 외에도 다른 DNM 관리자들이 형사 기소를 당했다. 3월에는 인코그니토 마켓(Incognito Market)의 관리자들이 엑시트 사기를 저질렀다. FBI는 가상자산 에서 발생한 송금 내역을 린 루이샹( Rui-Siang Lin) 명의의 거래소 계좌로 추적함으로써, 인코그니토의 운영자인 대만 국적의 린 루이샹을 해당 DNM 웹사이트와 연관 지었다. 린 루이샹은 다수의 범죄 혐의로 기소되었으며, 5월이 되자 뉴욕 연방 당국이 그를 체포했다.
네메시스 마켓(Nemesis Market) 역시 3월에 독일 당국이 해당 플랫폼의 인프라와 102,000달러 상당의 네메시스 코인( 가상자산)을 압수하면서 문을 닫게 되었다.
지난 몇 년간 국제 당국이 규모에 상관없이 다양한 DNM을 단속함에 따라, 사이버 범죄자들과 마약 판매업자들은 비트코인(BTC)이 지닌 본질적인 투명성 때문에 BTC 결제를 허용하는 DNM을 운영할 경우 어떤 결과를 초래하는지 직접 체감하게 되었다. 그 이후 많은 운영자들이 익명성을 강화하고 추적 가능성을 낮추도록 설계된 프라이버시 코인인 모네로 (XMR)만 결제 수단으로 허용하는 쪽으로 전환했다. XMR 관련 활동은 본 보고서의 범위에서 제외된다.
다크넷 마켓 판매자들의 온체인 행동 양상이 변화하고 있다
역사적으로 DNM들은 대개 중앙화 거래소(CEX)를 통해 자금을 인출해 왔습니다. CEX가 여전히 DNM 생태계에서 안정적인 거점으로 남아 있기는 하지만, 아래 차트에서 볼 수 있듯이 2024년에 CEX로 자금을 보내는 양상은 변화했습니다. 지난해 DNM 공급업체들은 과거에 비해 훨씬 더 많은 비율의 자금을 디파이(DeFi)로 보냈습니다. DNM들이 주로 BTC나 프라이버시 코인으로 운영된다는 점을 고려할 때, 이러한 추세는 주목할 만합니다. 2024년 한 해 동안 DNM 판매자들은 개인 지갑으로 훨씬 더 많은 자금을 송금하고 온체인에 자금을 보관하기도 했습니다. 소매 판매자들은 도매 판매자들에 비해 수익의 더 큰 비중을 온체인에 보유하고 있는 것으로 보이며, 반면 도매 판매자들(대량으로 마약을 유통하는 이들)은 DeFi를 더 많이 활용하고 있습니다.
약물 구매 행태에 따른 다크넷 마켓 및 온라인 약국 유입 현황
2024년 DNM으로 유입된 가상자산 의 매출을 살펴보면, 데이터에 따르면 도매 의약품 구매가 주를 이루었으며, 올해 전체 시장 점유율의 평균 71~81%를 차지한 것으로 나타났습니다. 온라인 약국의 경우, 2024년에는 도매 구매가 가장 큰 비중을 차지했고, 그 다음으로 대형 소매점이 뒤를 이었습니다.
다음은 구매 규모에 따른 DNM 구매 범주의 정의로, 이를 바탕으로 구매 의도를 파악합니다:
- 소규모 소매. 100달러 미만이며, 개인 소비용으로 제작된 것으로 보인다.
- 대형 소매점. 100달러에서 500달러 사이이며 , 개인 소비용으로 제작된 것으로 보입니다.
- 사회적 공급. 500달러에서 1,000달러 사이로, 고객들이 사교 모임에서 제3자와 마약을 공유하고 있을 가능성을 시사합니다.
- 도매 거래 가능성이 있음. 1,000달러 이상인 경우, 마약 판매자나 유통업자가 거래했을 가능성이 높음.
2020년부터 2024년까지의 DNM을 통해 나타난 약물 구매 습관을 분석해 보면, 특히 도매 활동, 즉 재판매를 목적으로 하는 조직이 구매했을 가능성이 높은 거래와 관련하여 몇 가지 패턴이 드러납니다. 첫째, 2022년 DNM 도매 매출의 급격한 감소는 하이드라 마켓(Hydra Market)의 폐쇄 때문으로 볼 수 있습니다. 둘째, 그 이후 도매 의약품 구매 매출은 꾸준히 증가해 왔으나, 아직 이전 최고치를 회복하지는 못했다. 이는 다음과 같은 사실을 시사할 수 있다:
- 하이드라가 의약품 도매 구매를 위한 최고의 거점으로 자리매김한 이후로는 DNM이 더 이상 존재하지 않습니다.
- 이러한 구매자들을 대상으로 하는 시장을 무력화하는 데 있어 전 세계적인 법 집행 활동의 효과가 점점 더 커지고 있다.
- 판매자와 공급자들은 불법 마약 거래를 위해 인스턴트 메시징 플랫폼이나 결제 수단 등 다른 경로를 이용하고 있다.
온라인 약국의 경우, 지난 몇 년간 주로 도매업체와 대형 소매업체를 대상으로 사업을 전개해 왔으며, 2024년에는 작년 말 무렵 도매 구매가 증가하는 추세를 보였습니다. DNM과 마찬가지로, 온라인 약국 역시 매출의 대부분을 대형 의약품 재판매업체로부터 얻고 있습니다.
아바쿠스 마켓: 불법 마약 거래 조장
2024년, Abacus Market은 서구권 고객을 대상으로 하는 DNM 중 가장 높은 수익을 올린 업체였습니다. 지난해 Abacus Market은 온체인에서 4,330만 달러를 수령했습니다.
2021년 이후 Abacus Market의 매출은 크게 증가했으며, 2024년에는 전년 대비 183.2% 성장하여 두 배 이상으로 늘어났습니다. 이러한 증가는 부분적으로 주요 DNM의 폐쇄, 다른 활성 시장들이 XMR만을 독점적으로 수용하도록 전환한 점, 그리고 인기 있는 중앙화 거래소들의 XMR 상장 폐지 때문일 수 있습니다. 아래 그래프는 2023년 7월 ASAP 마켓이 폐쇄된 후 아바쿠스의 매출(BTC 기준)이 증가했으며, 일부 중앙화 거래소(CEX)가 XMR을 상장 폐지한 이후에도 매출이 더욱 증가한 것을 보여줍니다.
아바쿠스 마켓은 전 세계적으로 사업을 전개하고 있으며 폭넓은 제품군을 보유하고 있습니다. 아래는 아바쿠스 마켓 웹사이트의 스크린샷으로, 판매 중인 다양한 품목을 보여주고 있으며, 의약품과 화학 제품이 전체 제품의 압도적 다수를 차지하고 있습니다.
아바쿠스 마켓에서는 미국, 캐나다, 독일, 호주, 영국에 등록된 상품 수가 가장 많습니다. 미국에서는 위조 약을 포함해 판매되는 제품의 종류가 매우 다양합니다. 예를 들어, 아래 스크린샷에서 볼 수 있듯이, 한 미국 판매자는 프로토니타젠 분말을 등록하고, 이를 “M30”(즉, 30mg)이라고도 불리는 옥시코돈의 위조품으로 사용할 수 있다고 광고하고 있습니다.
미국 시장은 다양한 제품 라인업이 가장 큰 특징인 반면, 다른 국가들은 지역별 특산품을 선보입니다. 예를 들어 콜롬비아의 경우, 아래 스크린샷에서 볼 수 있듯이 판매자 목록 중 상당수가 코카인이나 IaaS(Infrastructure-as-a-Service) 관련 상품입니다.
일부 국가에는 충성도 높은 고객층을 확보하고 더 다양한 상품을 취급하는 판매자가 한 곳이나 소수만 있는 경우도 있습니다. 예를 들어, 인도에서는 가장 자주 등록되는 상품 중 하나가 제네릭 의약품인데, 이 상품들은 대부분 아래에 첫 번째로 표시된 판매자에서 공급됩니다.
중국에 기반을 둔 아바쿠스 판매업체들은 연구용 화학물질에 대한 수많은 상품 목록을 보유하고 있습니다. 또한 이들은 각각 MDMA와 메스암페타민의 전구체인 PMK와 BMK도 판매하고 있습니다.
다크넷 마켓과 중국 알약 압착기 제조업체 간의 연계
중국에 기반을 둔 공급업체들은 위험한 합성 마약의 전구체 공급원으로 자주 언급되지만, 이들이 기계 판매에 관여하는 점도 마약 공급망의 중요한 측면입니다. 클리어넷(clearnet) B2B(기업 간 거래) 웹사이트에 광고를 게재하고 있는 한 중국계 알약 압착기 제조업체는 아바쿠스 마켓(Abacus Market)의 마약 판매업체들과 온체인 상의 연결고리를 가지고 있습니다. 이 공급업체는 대형 정제 압착기 목록과 함께, 위조 약을 압착하는 데 사용되는 옥시콘틴(Oxycontin) 및 자낙스(Xanax) TDP 다이 키트의 판매 사실도 숨기지 않고 있다. 이 공급업체는 BTC와 XMR을 결제 수단으로 받아들이며, 지역 중앙화 거래소(CEX) 및 비중앙화 시장(DNM)에 대한 온체인 노출을 분석해 보면 미국, 캐나다, 스웨덴, 러시아를 포함한 전 세계 고객에게 서비스를 제공하고 있음을 알 수 있다. 아래의 Reactor 그래프는 이 공급업체와 아바쿠스 마켓(Abacus Market)의 마약 판매업체들 간의 연결 관계를 보여준다.
위 사진에 모두 담겨 있지는 않지만, 총 16개의 업체가 아바쿠스(Abacus)로부터 마약 원료를 판매하거나 조달하고, 이 중국 기반 공급업체로부터 생산 자재를 구매하고 있는 것으로 확인되었습니다.
중국 소재 공급업체와 신종 합성 오피오이드
중국에 기반을 둔 전구체 제조업체들은 합성 마약 공급망의 시작점입니다. 과거에는 이러한 업체들이 주류 B2B 웹사이트에 공개적으로 광고를 게재하는 등 해당 제품을 더 노골적으로 노출하곤 했습니다. 화학 물질의 위험성에 따라 일부 제조업체는 여전히 이러한 관행을 따르고 있습니다.
그러나 2024년에 들어 많은 시약 및 전구체 판매업체들이 자사 제품을 홍보하기 위해 범죄 관련 포럼으로 눈을 돌리거나, 펜타닐 합성과 관련된 화학 물질을 (적어도 공개적으로는) 판매 목록에서 제외했다. 이는 미국과 중국의 압박이 거세지고, 해당 제품을 판매하는 웹사이트에 대한 단속이 강화된 데 따른 대응일 수 있다. 멕시코 카르텔과 중국 펜타닐 전구체 제조업체 간의 연계에 대해 다루는 본 보고서의 조직범죄 관련 부분에서는, 해당 제조업체로 유입되는 물량의 전체적인 규모는 감소세를 보였음에도 불구하고 이러한 유통 경로는 여전히 존재하고 있음을 시사하고 있다.
펜타닐 외에도, 전 세계적으로 유통되는 위험한 합성 오피오이드에서 니타젠 계열 물질의 비중이 증가했으며, 중국에 기반을 둔 판매업자들이 이 물질의 초기 공급원으로 자리 잡았습니다. 니타젠 계열 물질은 펜타닐과 유사한 효능을 지닌 합성 오피오이드의 일종입니다. 최근 몇 년간 미국과 유럽에서는 니타진 관련 과다복용 사망 사례가 증가하고 있는데, 이는 탈레반의 단속으로 인한 헤로인 공급 중단 때문일 가능성이 있다. 이러한 물질들이 비교적 새로운 유형이며(게다가 상당수가 유사체라는 점을 감안할 때) 법의학적 약물 검사가 위기의 진행 속도를 따라가지 못할 수 있으므로, 유럽의 실제 과다복용 사례 수는 더 많을 수 있다.
다양한 벤조디아제핀, 각성제, 환각제 외에도, 중국에 기반을 둔 한 유서 깊은 연구용 화학물질 제조업체는 니타젠 계열 물질도 판매하고 있습니다. 이 업체가 게시한 프로토니타젠 유사체 상품 설명에는 아래에서 볼 수 있듯이, 해당 화합물의 효능이 펜타닐보다 20배 더 강력하다고 대담하게 명시되어 있습니다. 이 상품 설명에서 해당 판매업체는 미국으로의 무료 배송을 제공하고 있습니다. 구매자가 이 화합물을 수령하면, M30과 같은 위조 알약으로 압축하여 최종 소비자에게 유통할 수 있습니다.
중국에 본사를 둔 연구용 화학물질 제조업체 웹사이트의 스크린샷
이 공급업체는 화학 물질을 대량으로 공급하는 것으로 알려져 있습니다. 예치금은 수백 달러에서 수만 달러에 이르며, 2024년 평균 예치금 액수는 2,000달러를 넘었습니다. 온체인 데이터에 따르면, 이 공급업체는 북미, 유럽, 호주, 남미 전역에 걸쳐 광범위한 글로벌 고객 기반을 유지하면서, 다른 체이널리시스확인된 온라인 약국 및 DNM 공급업체에 이 약물을 공급하는 것으로 나타났으며, 동시에 북미, 유럽, 호주, 남미 전역에 걸쳐 광범위한 글로벌 고객 기반을 유지하고 있습니다.
흥미롭게도, 이 업체는 OFAC이 지정한 펜타닐 밀매업자인 알렉스 아드리아누스 마르티누스 페이넨부르크와 매튜 사이먼 그림에게도 신뢰받는 공급업체로 활동해 왔으며, 이들로부터 150만 달러에 가까운 금액을 매출로 올렸습니다.
2024년 사기 상점 매출 감소
사기 상점은 주로 다크웹에서 찾아볼 수 있는 서비스로, 도난당한 데이터와 개인 식별 정보(PII)를 판매하며, 사이버 범죄자들은 이를 사기, 신원 도용 및 랜섬웨어 공격에 이용합니다. 2024년에는 사기 상점으로 유입되는 데이터가 전년 대비 50% 감소했으며, 이는 지난 3년 동안의 추세에 비해 급격한 하락세를 보인 것입니다.
사기성 업체들 사이에서 BTC 매출이 감소한 데에는 다음과 같은 몇 가지 요인이 영향을 미쳤을 것으로 보입니다:
- 많은 사기 업체들이 의존하던 결제 처리 업체인 UAPS가 사라졌다.
- 미국 정부 기관 및 기타 국제 당국은 사기 관련 서비스의 차단에 우선순위를 두고 있다.
- DNM에서 관찰된 바와 같이, BTC 결제를 XMR 결제로 전환하는 현상이 나타나고 있다.
UAPS: 사기성 상점의 결제 처리업체 적발과 생태계에 미치는 영향
지난 9월, OFAC은 수많은 사기 사이트에서 사용되는 결제 처리 업체인 ‘유니버설 익명 결제 시스템(UAPS)’의 창시자이자 운영자로 지목된 세르게이 세르게예비치 이바노프와, 이바노프와 연관된 러시아 가상화폐 거래소 ‘PM2BTC’, 그리고 러시아에서 운영되며 세인트빈센트 그레나딘에 등록된 ‘ 가상자산 ’ 거래소인 ‘Cryptex’를 제재 대상으로 지정했다.
이러한 조치는 러시아의 불법 자금 활동을 근절하기 위해 미국 정부 기관들과 해외 협력 기관들이 공동으로 펼친 노력의 일환이었다. 2024년 9월, 미국 비밀경호국(Secret Service)의 사이버 수사과, 네덜란드 경찰, 그리고 네덜란드 재정정보수사국(FIOD)은 UAPS, PM2BTC, Cryptex와 연계된 웹 도메인과 인프라를 압수했다.
UAPS 인프라가 중단된 후, UAPS 거래 상대방들의 온체인 활동이 급격히 감소하는 현상이 관찰되었는데, 이는 많은 사기 조직들이 고객 결제 처리를 위해 이 인프라에 의존하고 있었음을 시사합니다. 아래 차트는 이러한 거래 상대방의 감소 추세와 함께, 사기 조직 생태계 전반에 걸친 가상자산 자금 흐름의 감소세를 보여줍니다.
반면, 일부 사기 업체들은 온체인 활동량과 매출이 증가했습니다. 아래 차트는 UAPS가 폐쇄된 후 좋은 실적을 거둔 사기 업체들을 보여주고 있으며, 이는 고객 이동이 신속하게 이루어졌으며 Vclub이나 Bankomat과 같이 오랫동안 신뢰를 쌓아온 사기 업체들이 유리했음을 시사합니다.
차트 오른쪽에 있는 사기 업체들의 매출이 감소했는데, 이는 이들 업체가 결제 인프라 측면에서 UAPS에 의존하고 있음을 시사한다.
사기 행각과 ‘유령 총기’의 연관성: 사례 연구
사전 제작된 부품으로 조립되고 필수 시리얼 번호가 없는 ‘고스트 건’은 거의 항상 반자동 화기로 설계되며, 그 출처를 추적하는 것이 사실상 불가능하다. 미국 내 총기 폭력 예방을 위해 활동하는 단체인 ‘에브리타운(Everytown)’은 고스트 건을 “폭력 범죄자들과 극단주의자들이 가장 선호하는 무기”라고 규정하고 있다.
2023년, 주로 대테러 사건을 담당하는 뉴욕경찰국(NYPD) 정보국은 뉴욕시에서 ‘고스트 건’을 제조 및 판매하는 두 명에 대한 제보를 받았다. NYPD는 일련의 수색 영장과 소환장을 통해 용의자들의 온라인 원자재 구매 내역을 파악했으며, 지금까지 공개되지 않았던 ‘ 가상자산 ’와 관련된 사건의 새로운 측면을 밝혀냈다. 용의자들은 현금을 주류 암호화폐 거래소(CEX) 계좌로 이체해 비트코인( 가상자산 )을 구매하는 방식으로 막대한 양의 법정화폐를 비트코인으로 교환했으며, 이를 이용해 다크웹의 사기 상점에서 도난당한 신용카드와 신원 정보를 구입했습니다. 아래의 Reactor 그래프는 사기 상점에 대한 5건의 구매 내역을 보여주며, 그중 4건은 중개 주소를 통해 이루어졌습니다.
용의자들은 이렇게 훔친 인증 정보를 이용해 여러 합법적인 웹사이트에서 ‘고스트 건’ 부품과 도구를 구매한 뒤, 이를 3D 프린터로 ‘고스트 건’을 제작해 현금으로 판매했다. 맨해튼 지방검사는 이 증거를 바탕으로 용의자 중 한 명을 기소하는 데 성공했다.
불법
시장 근절의 핵심
수년간의 국제 법 집행 기관들의 공동 노력에 힘입어 2024년 DNM 및 사기 쇼핑몰의 매출이 감소했음에도 불구하고, 이러한 플랫폼들은 새로운 전술을 도입함으로써 운영을 지속해 왔다. 다크웹 생태계에 차질이 발생했음에도 불구하고, 특히 DNM은 중국을 기반으로 한 합성 마약 생산 공급망을 뒷받침하는 데 여전히 중요한 역할을 하고 있으며, 이는 전 세계 불법 마약 네트워크를 무력화하고 해체하기 위해 지속적인 국제적 협력이 필요함을 여실히 보여준다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 본 자료의 사용과 관련하여 내려진 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임이나 의무도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 적시성, 적합성 또는 유효성을 보장하거나 보증하지 않으며본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보증하거나 보장하지 않으며,
해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
