[2025년 3월 21일, 미국 재무부는 토네이도 캐시(Tornado Cash)에 대한 제재를 해제했다고 발표했습니다. 따라서 아래에 상세히 설명된 제재 위험은 해당 날짜 이후에는 적용되지 않습니다.]
8월 8일, 인기 있는 이더리움 스마트 계약 믹서인 ‘토네이도 캐시(Tornado Cash)’가 북한과 연계된 해킹 조직 ‘라자루스 그룹(Lazarus Group)’이 탈취한 4억 5,500만 달러 상당의 이더리움( 가상자산 )을 세탁하는 데 관여한 혐의로 미국 재무부 산하 대외자산통제국(OFAC)으로부터 제재를 받았다.
토네이도 캐시는 2019년 8월 출시 이후 총 76억 달러 상당의 이더를 처리해 왔다. 이 플랫폼을 통해 전송된 자금의 거의 30%가 불법 활동 세력과 연관된 것으로 나타났다.
그러나 토네이도 캐시(Tornado Cash)의 독특한 특성, 즉 비수탁형 구조, 스마트 계약으로 구현된 설계, 그리고 분산된 개발 팀 등을 고려할 때, 이번 사례에서 컴플라이언스 에 대한 제재 조치는 과거의 사례들보다 더 복잡한 양상을 띠고 있습니다. 바로 이러한 이유로 저희는 이 가이드를 작성했습니다. 가능한 한 명확한 정보를 제공하고, 여전히 불분명한 부분에 대해서는 의문을 제기하기 위함입니다.
다음 내용을 다룹니다:
토네이도 캐시의 작동 원리
가상자산 토네이도 캐시(Tornado Cash)와 같은 믹서는 사용자가 입금하고 인출하는 암호화폐 간의 연결 고리를 끊도록 설계되었습니다. 대략적으로 설명하자면, 이 서비스들은 다수의 사용자가 입금한 자금을 한데 모아 겉보기에는 무작위적인 방식으로 섞은 다음, 소액의 서비스 수수료를 공제한 후 남은 자금을 각 입금자에게 반환하는 방식으로 작동합니다. 토네이도 캐시도 예외는 아니지만, 구체적인 작동 방식은 다릅니다.
토네이도 캐시: 탈중앙화형, 비수탁형 스마트 계약
기술적으로 말하자면, 토네이도 캐시(Tornado Cash)는 탈중앙화되고 비수탁형인 스마트 계약으로, 다른 유형의 비트코인 캐시( 가상자산 ) 믹서와 구별됩니다. 토네이도 캐시의 맥락에서 이러한 용어들을 각각 정의해 보겠습니다:
- 분산화: 토네이도 캐시(Tornado Cash)의 코드베이스는 오픈 소스이며, 운영은 적어도 부분적으로는 분산형 자율 조직(DAO)에 의해 관리됩니다. 이 소스 코드는 OFAC의 제재 발표 이후 플랫폼 측이 메인 저장소를 삭제하기 전까지 GitHub에 공개되어 있었습니다. 이후 존스 홉킨스 대학의 한 암호학 교수가 표현의 자유를 이유로 이를 다시 업로드했습니다.
- 비수탁 방식: 토네이도 캐시는 자금 혼합 과정의 어느 단계에서도 사용자의 자금을 수탁하지 않습니다.
- 스마트 계약: 본질적으로 토네이도 캐시는 이더리움과 같은 다양한 공개 블록체인에서 실행되는 코드에 불과합니다. 무엇보다 중요한 점은, 토네이도 캐시 DAO를 포함해 그 누구도 토네이도 캐시의 스마트 계약 대부분을 변경하거나 삭제할 수 없도록 설계되어 있다는 것입니다.
규제 당국과 가상자산 컴플라이언스 팀이 토네이도 캐시(Tornado Cash)의 탈중앙화 특성으로 인해 유의해야 할 점은, 해당 프로토콜이 계속 운영되고 있으며, 그 프론트엔드에 여전히 인터플래네터리 파일 시스템(IPFS)과 더 어니언 라우터(The Onion Router, 일명 Tor)를 통해 접근할 수 있다는 사실입니다. IPFS는 데이터를 저장하고 공유하기 위한 분산형 P2P(Peer-to-Peer) 프로토콜인 반면, Tor는 익명 통신을 가능하게 하는 오픈소스 소프트웨어 패키지로, 통칭 ‘다크 웹’으로 알려져 있습니다.
토네이도 캐시가 자금을 혼합하는 방식
설계상 토네이도 캐시(Tornado Cash)를 사용하는 방법은 다양합니다. OFAC의 제재 지정 이전에는 토네이도 캐시의 웹 앱에 접속하여 라이트니트( 가상자산 ) 지갑을 연결하는 것이 가장 간단한 방법이었습니다. 조금 더 복잡한 방법은 컴퓨터에서 사용할 수 있는 앱 버전을 다운로드하는 것입니다. 그리고 가장 정교한 방법은 명령줄 인터페이스를 사용하여 프로토콜과 상호작용하는 것입니다.
토네이도 캐시의 혼합 과정
토네이도 캐시를 어떤 방식으로 사용하든, 믹싱 과정에는 세 가지 핵심 단계가 있습니다.
- 사용자는 자신의 로컬 기기에서 “예치 증서”를 생성한 뒤, 이를 암호화된 해시 값으로 변환하여 선택한 토네이도 캐시(Tornado Cash) 풀 계약과 거래 시 공유합니다. 이 증서는 마치 식당에서 맡긴 코트가 자신의 것임을 증명하기 위해 받는 보관권과 비슷합니다. 다만 이 경우, 증서는 사용자가 저장하거나 암호화해야 하는 긴 데이터 문자열입니다.
- 사용자의 자금은 계약으로 전송되며, 계약은 이 예치금을.1, 1, 10, 100 ETH와 같이 계약에서 지정한 단위로 다른 사용자들의 예치금과 함께 풀에 통합합니다. 이 자금은 사용자가 원하는 기간 동안 해당 풀에 남아 있을 수 있습니다. (USDC, USDT, DAI, cDAI, wBTC 토큰 및 이더리움 이외의 블록체인에 있는 자산용 풀도 존재합니다.)
- 사용자는 자신의 비밀 예치 증서와 정교한 제로 지식 암호화를 활용하여, 예치된 금액을 인출할 권한이 있음을 증명하는 거래를 생성합니다. 그런 다음 사용자는 직접 자금을 인출하거나, 0.05%에서 0.2%의 수수료를 지불하고 “중개자”가 자신을 대신해 인출 절차를 처리하도록 할 수 있습니다. 이러한 중개 거래를 통해 사용자의 예치와 인출 사이의 직접적인 연결 고리가 끊어집니다.
토네이도 캐시(Tornado Cash)의 작동 방식에 대해 더 자세히 알고 싶으시다면, ‘체이널리시스 아카데미’의 동영상을 시청해 주세요.
OFAC의 토네이도 캐시 지정
토네이도 캐시는 금융 정보의 프라이버시를 원하는 합법적인 사용자에게 실용적인 해결책이 될 수 있습니다. 예를 들어, 세부 정보를 공개하지 않고 정치적 목적에 기부하고자 하는 사람이나 자신의 재산에 대한 정보를 비공개로 유지하고자 하는 사람들이 이에 해당합니다. 하지만 이는 자금 세탁을 노리는 사이버 범죄자들에게도 매력적인 수단입니다. 토네이도 캐시 제재를 발표한 미 재무부의 보도자료는 특히, 북한과 연계된 해킹 조직인 라자루스 그룹(Lazarus Group)이 액시 인피니티(Axie Infinity)의 로닌 브리지(Ronin Bridge) 프로토콜에서 탈취한 4억 5,500만 달러 상당의 액시 코인( 가상자산 )을 세탁하는 데 토네이도 캐시가 수행한 역할과, 올해 6월 및 8월에 하모니 브리지(Harmony Bridge)와 노마드 브리지(Nomad Bridge)에서 탈취된 자금을 수령한 사실을 구체적으로 지적했습니다. 2019년 이후 이 플랫폼을 통해 송금된 자금의 거의 30%가 불법 행위자들과 연관되어 있었으며, 조선민주주의인민공화국은 이 플랫폼의 주요 수혜자 중 하나였다.
OFAC이 지정 대상에 포함시킨 토네이도 캐시(Tornado Cash) 주소에는 입금 주소, 라우팅 주소, 프록시 주소 등이 포함됩니다.
제재 컴플라이언스 과제
OFAC의 가상화폐에 관한 최신 지침에 따르면, 본 절에서 다루는 각 사업 유형은 물론 가상화폐 ( 가상자산 ) 산업과 연관된 그 밖의 모든 사업 유형에 대해서도 “각 사업 유형에 맞춘 위험 기반의 제재 준수 프로그램( 컴플라이언스 )을 수립, 이행하고 정기적으로 갱신할 것을 권장한다. 이러한 제재 준수 프로그램( 컴플라이언스 )에는 일반적으로 제재 목록 및 지역별 심사, 그리고 해당 기업의 고유한 위험 프로필에 따라 결정된 기타 적절한 조치들이 포함되어야 한다.”
그러나 특정 범주의 ‘ 가상자산 ’ 산업 프로토콜이 이러한 제재를 어떻게, 그리고 어느 정도까지 준수할 수 있는지에 대해서는 아직 명확히 밝혀지지 않은 부분이 있습니다. 아래에서는 이러한 각 범주에 대해 살펴보겠습니다.
가상자산 의 중앙 집중식 사업 부문
OFAC은 44개의 주소를 토네이도 캐시(Tornado Cash)의 식별자로 지정했습니다. 미국 관할권에 속하는 중앙화된 암호화폐 서비스 제공업체( 가상자산 )는 해당 주소들과 거래하는 것이 금지됩니다.
DeFi 플랫폼
DeFi 프로토콜과 상호작용하는 프론트엔드 웹 애플리케이션은 토네이도 캐시(Tornado Cash)와 연관된 가상자산 주소를 차단할 수 있지만, 규제 당국은 이러한 차단 조치가 프로토콜 수준에서 필요한지, 혹은 그러한 차단이 실제로 가능한지에 대해서는 아직 명확히 규정하지 않고 있다.
여기서 발생하는 긴장감은 프로토콜 수준에서 거래를 검열하는 것이 극히 어렵거나, 프로토콜의 거버넌스 구조와 설계 방식에 따라서는 아예 불가능할 수도 있다는 사실에서 비롯됩니다.
예를 들어, 이더리움 블록체인의 설계상 OFAC의 제재 조치 직후 사람들이 유명인 및 업계 인사들에게 소액의 토네이도 캐시(Tornado Cash) 결제를 통해 약 52,000달러 상당을 보낼 수 있었으며, 이들 중 누구도 해당 거래의 수령을 거부할 수 없었습니다. 이제 이러한 ‘더스팅 공격(dusting attack)’의 표적이 된 이들은 토네이도 캐시와 연관된 자산을 보유하게 되었으며, 이는 하류로 이어지는 ‘더스트 공격( 컴플라이언스 )’에 영향을 미칠 수 있습니다.
채굴 및 스테이킹 풀
채굴자와 채굴 풀 운영자들에게 남아 있는 한 가지 의문은 다음과 같습니다. 토네이도 캐시(Tornado Cash) 거래가 포함된 블록을 채굴할 경우, 이는 OFAC 규정을 위반하는 것일까요? 또한 지분 증명(PoS) 블록체인의 경우, 검증자와 스테이킹 풀은 어떻게 될까요? 기존 지침이 없는 상황에서, 이더리움 최대 채굴 업체인 이더마인(Ethermine)은 OFAC의 지정 발표 다음 날인 8월 9일부터 자사 블록에 토네이도 라우터(Tornado router) 거래를 포함 하지 않기로 했습니다. 하지만 풀이 자사 블록 내에서 채굴되거나 검증된 거래에 대해 궁극적인 책임을 져야 하는지에 대한 의문은 여전히 남아 있습니다.
Web3 인프라 제공업체
이더리움 프로토콜( Web3 ) 기반의 대표적인 인프라 제공업체인 인퓨라(Infura)와 알케미(Alchemy)가 이제 토네이도 캐시(Tornado Cash)에 대한 이더리움 API 접근을 차단하고 있습니다. 이는 사용자들이 더 이상 알케미나 인퓨라 API를 통해 토네이도 캐시 프론트엔드에 접속할 수 없음을 의미합니다.
그러나 디파이(DeFi) 프로토콜과 마찬가지로, 인프라 제공업체는 프로토콜 수준에서 사용자의 접근을 차단할 수 없을 수도 있으며, 그러한 의무가 존재하는지 여부는 불분명하다.
가상자산 지갑 제공업체
중앙화된 수탁형 가상자산 지갑을 운영하는 업체들은 OFAC의 제재 대상 목록에 포함된 주소로의 송금을 심사하고 차단할 수 있지만, 비수탁형 가상자산 지갑 제공업체의 의무는 그다지 명확하지 않습니다. 극단적인 해석을 적용할 경우, 비수탁형 지갑 제공업체 역시 제재 대상 주소로의 송금을 차단해야 할 수도 있지만, 이는 전례가 없는 일입니다.
수탁 여부와 관계없이 들어오는 거래를 차단하는 것은 불가능하기 때문에, 사용자들은 여전히 더스팅 공격에 취약한 상태입니다.
스테이블코인 발행사
USDC 발행사인 서클(Circle)은 OFAC가 지정한 토네이도 캐시(Tornado Cash) 주소에 보관된 모든 USDC를 동결했으나, 테더(Tether)와 같은 다른 스테이블코인 발행사들은 제재 대상 주소가 보유한 자산을 스테이블코인 발행사가 동결할 의무가 있는지 여부는 아직 확실하지 않다고 주장해 왔다.
어떻게 체이널리시스 조직이 제재 위험을 관리하는 데 어떻게 도움이 되는가
체이널리시스 가상자산 서비스(DeFi 관련 서비스 포함)를 위한 완벽한 ‘컴플라이언스 ’ 제품군을 제공하며, 여기에는 무료의 간단한 도구부터 강력한 데이터 기반 거래 모니터링 기능까지 다양한 솔루션이 포함됩니다. 고객은 각자의 위험 감수 수준에 맞춰 컴플라이언스 프로세스를 설계할 수 있도록 최대한의 유연성을 확보해야 합니다.
당사의 가장 기본적인 솔루션은 DEX, DeFi 플랫폼, DAO, DApp과 같은 탈중앙화 금융( Web3 ) 프로토콜을 염두에 두고 설계되었으므로, 제재 대상 기관과 관련된 제재 대상 주소( 가상자산 )와 상호작용하고 있지 않음을 쉽게 확인할 수 있습니다. 이러한 도구에는 다음이 포함됩니다:
- 웹/모바일 UI 및 웹 서버용으로 설계된 API: 사용자는 API 키를 발급받아 관심 있는 주소가 제재 목록에 포함되어 있는지 여부를 확인할 수 있습니다. 이 API에 대한 관심을 표명하려면 여기를 클릭하세요.
- 스마트 계약을 위해 설계된 온체인 오라클: 사용자는 체이널리시스 오라클을 호출하여 특정 주소가 제재 목록에 포함되어 있는지 확인할 수 있습니다. 이 체이널리시스 오라클은 이더리움, 아발란체, BSC, 폴리곤, 옵티미즘, 아비트럼, 셀로 등 대부분의 EVM 체인에 배포되어 있습니다. 당사의 온체인 오라클에 대해 자세히 알아보세요.
컴플라이언스 의 성숙도 여정에서 다음 단계는 address screeningWeb3 클러스터화된 주소와 같은 강력한 추가 맥락 정보와, 도난 자금, 사기 상점, 다크넷 마켓 등 더 많은 범주를 포함하는 단계입니다. Address screening 는 체이널리시스 데이터의 힘을 활용하여 고위험 사용자가 플랫폼에 접속하는 것을 자동으로 차단하고자 하는 분산형( 컴플라이언스 ) 조직을 위한 것입니다. 이는 완전한 프로그래매틱 솔루션을 통해 더 발전된 선제적 위험 및 접근 방식을 보여줍니다.
이러한 성숙도 향상의 여정에서 마지막 단계는 사용하기 쉬운 인터페이스와 실시간 API를 통한 정교한 실시간 거래 모니터링 기능으로 뒷받침됩니다. 이 기능은 수작업 워크플로우를 줄이고 은행 및 규제 당국과의 정보 공유 과정을 간소화해야 하는 ‘ 컴플라이언스 ’ 조직에 이상적입니다.
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
