[암호화폐변호사] 암호화폐범죄
암호화폐 침해범죄는 시스템을 대상으로 한다는 점에서 정보통신망침해범죄와 유사하고, 암호화폐 이용범죄는 수단으로 이용한다는 측면에서 정보통신망이용범죄와 맥락을 같이 합니다.
암호화폐 범죄 역시 시스템과 네트워크를 근간으로 하는 사이버공간에서 발생하기 때문에 사이버범죄의 범주에 포함시키는 데에 논란은 없어 보입니다.
따라서 시스템을 대상으로 삼는 암호화폐 침해범죄는 대체로 해킹이나 악성코드 범죄로 분류할 수 있습니다. 거래소나 개인지갑을 해킹하거나 취약점을 공격하여 암호화폐를 탈취하는 등 암호화폐 및 관련 시스템을 대상으로 하는 범죄가 여기에 해당합니다.
암호화폐 이용범죄는 암호화폐를 범죄의 수단으로 활용하는 경우로 마약·총기 등 금제품 거래, 랜섬웨어, 불법콘텐츠의 이용, 유사수신 및 사기, 자금세탁 등으로 분류할 수 있습니다. 여기에 시세조종범죄 등은 우리나라에서는 아직 범죄로 규정하고 있지 않으나 추후 ‘자본시장법’등의 개정으로 범죄로 규정될 가능성이 있습니다.
Ⅰ. 암호화폐 침해범죄
1. 해킹범죄
가. 거래소 해킹
거래소에 상장되는 암호화폐가 증가하고, 암호화폐 이용자들이 거래소 지갑을 일반적으로 이용하기 시작하면서 거래소가 보유하는 암호화폐가 해킹범죄의 주요한 타겟이 되고 있습니다. 사토시는 본래 비트코인을 분산시스템으로 설계하였으나 거래소라는 시스템이 등장하면서 다시 중앙집중적 관리체계로 진화(또는 변질)되었고, 결국 거래소에 존재하는 수많은 지갑들이 취약점이 되어 범죄자들의 공격대상이 되고 있습니다.
거래소의 해킹피해 사례는, 국제적으로는 2014년 일본 소재 마운트곡스(Mt.Gox)를 시작으로 비트스탬프(Bitstamp), 비트피넥스(Bitfinex), 크립티시(Cryptsy), 쉐이프시프트(Shapeshift), 게이트코인(Gatecoin) 등의 경우가 알려져 있으며, 국내에서도 2017년에 야피존, 코인이즈, 빗썸에 이어 유빗이 해커들에게 공격당한 바 있습니다.
나. 개인 지갑계정 해킹
지갑계정 해킹은 범죄자가 지갑이 설치된 개인의 컴퓨터·스마트폰 등을 해킹하거나 사회공학적(Social Engineering) 방법 등으로 침입하여 개인지갑이나 거래소의 접속계정(ID)과 비밀번호 등을 알아내어 암호화폐를 탈취하는 수법을 말한다. 사이버범죄에서 말하는 계정도용(ID Theft)과 유사한 범죄입니다.
최근에는 정보보안 정책이 강화되어 계정과 비밀번호 탈취 외에 이체비밀번호, SMS, OTP 등 다양한 인증수단까지 우회해야 범행이 가능합니다.
일반적으로 개인지갑은 거래소 지갑과는 달리 각각의 개발자들이 개별적·독립적으로 어플리케이션을 제공하기 때문에 구매나 환전 서비스 기능이 없으며, 이용자가 스스로 비밀키 관리에 대한 책임을 져야 한다. 반면 거래소 지갑은 개인이 접속계정(ID)과 비밀번호를 관리하고, 거래소가 비밀키를 관리하기 때문에 모두에게 관리 책임이 있습니다.
2014년 비트코어 거래소의 고객 스마트폰에서 비트코인이 인출되는 사건이 발생했습니다. 당시 비트코인 거래를 위해서는 별도로 휴대폰 인증과정을 거쳐야 했는데, 피해자 휴대폰에 인증번호가 전송되지 않았음에도 피해가 발생하였습니다.
2016년 5월 12일에는 이더리움 지갑의 취약점을 공격한 해커에 의하여 한국인의 이더리움 지갑에서 7,218개의 이더리움(당시 기준 약 1억원)이 해킹되는 사건이 발생하였고, 이더리움 개발진은 소프트포크를 통해 취약점에 대한 긴급 패치를 실시하였습니다. 이 외에도 이더리움 재단이 2016년 분산자율조직(The DAO) 프로젝트를 수행하기 위해 전 세계를 대상으로 펀딩을 받았던 지갑 역시 관리 시스템의 취약점으로 인하여 금원이 인출되는 피해를 입은 바 있습니다. 클라우드 펀딩용 이더리움 지갑의 환불 시스템에 오류가 있어 약 243만 이더(당시 약 750억 원)가 해커의 계정으로 반복적으로 환불되는 방식으로 인출되는 사건이 발생하였습니다.
이 사건은 결국 이더리움에서 이더리움 클래식이 하드포크되는 원인이 되었습니다.
2. 악성코드 유포범죄
범죄자들은 암호화폐 시스템이나 이용자의 컴퓨터를 대상으로 악성코드를 유포하여 지갑 관련 정보를 탈취하거나 타인의 컴퓨터를 이용하여 채굴하고 전기료를 전가 시키기도 합니다. 이러한 범죄는 주로 스피어피싱(Spear-Phishing)의 방식으로 이루어지는데, 암호화폐 이용자들이 관심을 가질 수밖에 없는 내용인 ICO, 채굴기 판매, 시세홍보 등의 제목의 이메일에 악성코드를 첨부하여 이를 클릭하도록 유도하는 것입니다.
2011 ∼ 2013년 간 제로액세스(ZeroAccess Botnet) 봇넷을 이용하여 약 200만대 이상의 컴퓨터를 감염시켜 타인의 컴퓨터를 채굴에 이용한 사건이 발생했습니다. 악성코드를 유포하여 타인의 컴퓨터를 자신의 채굴을 위해 활용한 것입니다. 2016년에도 모네로 코인(Monero Coin)을 채굴할 수 있는 악성코드 “photo.scr”가 유포되었습니다.
이러한 악성코드는 감염이 되면 채굴을 실행함과 동시에 다시 악성코드를 유포하여 자동으로 제2, 제3의 좀비컴퓨터를 만들어 내는 수법을 사용하고 있으며, 악성코드에 감염된 이른바 좀비컴퓨터는 이용자가 모르게 채굴작업에 동원되고, 채굴된 암호화폐는 해커의 지갑으로 자동적으로 전송됩니다.
이와 달리 웹사이트에 방문만 해도 방문자의 컴퓨터가 채굴에 동원되는 경우도 있으며, 이러한 방법으로 특정 사이트 접속자 5억 명의 컴퓨터가 채굴에 동원되기도 하였습니다. 스크립트 로딩 방식으로 웹사이트 방문자가 그들의 웹 브라우저로 특정 페이지를 로딩만 하더라도 해커의 채굴을 돕게 됩니다.
2016년경 부터는 북한에 의해서 비트코인을 탈취하기 위한 악성코드가 본격적으로 유포되기 시작하였습니다. 이른바 김정은 악성코드가 유포되어 메모리 해킹을 통해 비트코인을 탈취하는 사건이 발생하였습니다. 해당 악성코드는 드라이브 바이 다운로드(Drive-by-Download)109) 방식으로 감염되어 비트코인 지갑에 담긴 파일을 탈취하였으며, 또한 이용자가 암호화폐를 전송하려 할 때 해커가 미리 준비한 정보를 사용자의 클립보드에 강제로 입력하여 해커의 주소나 제3의 주소로 전송되게 하기도 하였습니다.
해당 악성코드를 분석하여 제작자의 비트코인 지갑의 거래내역을 추적한 결과 약 1억 원 상당의 비트코인이 탈취된 것으로 확인되었습니다.
2017년 7월 5일부터 8월 8일까지에는 거래소를 대상으로 암호화폐 탈취를 목적으로 하는 북한의 스피어피싱 공격이 있었습니다. 거래소 직원 등 25명에게 금융·국가기관 등을 사칭한 악성코드가 첨부된 이메일이 10여회 발송되었는데, 경유서버나 명령 제어서버(C&C Server)에서 발견된 악성코드를 분석한 결과 과거 북한이 한국수력원자력 해킹사건(2014년)과 청와대 사칭 전자우편 발송사건(2016년)에서 사용하였던 IP와 동일한 대역이 사용되고 있는 것으로 확인되었습니다.
이 외에도 북한의 해커그룹으로 지목되고 있는 이른바 ‘템프허밋(TEMP.Hermit)’은 금융감독원을 사칭하거나 5월 종합소득세 신고 마감시기 및 거래소 직원의 흥미를 유발하는 ‘세무조사준비서류’,‘법인(개인)혐의거래보고내역’, ‘납세담보변경요구서’, ‘국내가상화폐의유형별현황 및 향후전망’ 등의 제목을 이용한 문서에 악성코드를 심어 유포한 바 있습니다. 이처럼 북한에 의한 것으로 추정되는 스피어피싱 공격은 더욱 지능화되면서 점차 확산되고 있습니다. 아직 북한이 보유 중인 암호화폐의 종류와 자산, 북한 내 암호화폐 시장의 규모, 채굴 현황 등에 대하여는 구체적인 자료가 없지만 북한 방문 관광객이 자신의 레딧(reddit)에 비트코인을 사용했다는 글을 게시한 것이 확인되었으며, 이를 통해 암호 화폐가 이미 북한에서 사용되고 있다는 사실을 짐작할 수 있습니다.
북한 평양에도 비트코인 결제가 가능한 업소가 2017년 10월 24일 기준으로 5곳에 이르는 것으로 알려져 있습니다.
Ⅱ. 암호화폐 이용범죄
1. 마약․총기거래 범죄
암호화폐의 익명성과 초국가성으로 인하여, 암호화폐는 마약, 총기, 폭발물, 야생동물, 아동음란물을, 악성코드, 해킹청부 등에 대한 불법적인 거래에 있어서 결제 수단으로 적극적으로 활용되고 있습니다. 이른바 다크웹에서 금제품을 거래할 때 과거에 신용카드를 사용하였지만 이제는 암호화폐를 병행하여 사용합니다.
우리나라도 최근 마약거래에서 비트코인이 본격적으로 사용되기 시작하였고, 2016년에는 처음으로 다크웹인 ‘하이코리아’에서 마약을 거래하는 용의자를 검거하기도 하였습니다.
과거 적발된 바 있는 초국가적 다크웹인 실크로드에서는 암호화폐 중에서 비트코인만 거래 수단으로 활용되었지만, 2017년 미국 연방수사국(FBI) 등이 검거한 세계 최대의 다크웹 알파베이(Alpha Bay) 검거사건에서는 이더리움과 모네로까지 활용된 것이 확인되면서 암호화폐의 거래량뿐만 아니라 종류까지 확대되고 있습니다.
우리나라의 최근 사례를 살펴보면 2017년 2월 딥웹에서 대량의 대마초를 국내에 반입하여 비트코인을 받고 유통한 판매자 4명이 구속·입건되고 이를 구매한 66명이 경찰에 검거되었습니다. 판매자는 딥웹에서 구매한 대마를 구글이나 유튜브 등에 판매글을 게시하여 이를 보고 접근한 구매자에게 자신의 비트코인 주소를 알려주는 방식으로 거래를 하였습니다. 판매자들은 대마구매, 판매광고, 배달 등으로 역할을 구분하고, 결제수단으로 비트코인을 이용하고, 해외 서버를 이용하는 스마트폰 채팅어플리케이션, 그리고 대포폰을 이용하여 경찰의 추적을 피해왔습니다.
이 외에도 2017년에는 하이코리아(High Korea) 마켓에서 비트코인을 이용하여 마약을 거래한 일당이 검거되기도 하였습니다. 미국 LA 한인 갱단 조직원이 국내로 입국하여 마약판매 국내총책을 포섭한 다음 2016년 7월에서 2017년 2월까지 필로폰 등을 국제우편 등으로 밀반입하여 매수자 55명에게 판매하였습니다. 범죄자들은 국제우편 등을 이용하여 대마 10kg, 필로폰 350g, 엑스터시 80g을 국내로 반입하였고, 하이코리아(High Korea) 등에 광고 글을 게시하고, 암호 알고리즘(GPG)을 이용하여 구매자와 댓글로 통신하면서 비트코인으로 대금을 받아 속칭 “던지기”수법으로 마약을 전달하였습니다. 경찰은 범죄조직이 사용하는 비트코인 주소 4개를 확보한 뒤 암호화폐 분석
프로그램을 이용하여 거래내역을 분석하였고, 국내 거래소를 통해서 마약 구매자인 송금자의 신원을 확인하여 검거하였습니다. 이후 경찰은 범죄조직이 보유하고 있는 비트코인 38BTC(당시 약 6천만원 상당)에 대해서 마약류 불법거래 방지에 관한 특례법(제34조 제1항)상 몰수대상재산에 해당된다고 판단하여 기소 전 몰수보존조치를 신청하여 결정을 받아내기도 했습니다.
2. 랜섬웨어 범죄
랜섬웨어(Ransomware)란 Ransom(몸값)과 Ware(제품, 소프트웨어)의 합성어로 컴퓨터 시스템에 저장된 문서·사진·동영상 등을 암호화한 다음 이를 복호화 해주는 조건으로 대가를 요구하는 범죄를 말하며 최근 암호화폐가 대가 지급 수단으로 렌섬웨어와 결합하면서 그 피해가 급속히 확산되고 있습니다. 랜섬웨어는 1995년 AIDS.trojan 바이러스를 기원으로 하며 2000년대 후반에 유럽과 미국을 중심으로 등장하다가 암호화폐가 이용되기 시작한 2010년대 중반부터 우리나라를 비롯하여 전 세계적으로 심각한 피해를 야기하는 원인이 되기 시작했습니다.
우리나라에서는 2015년 클리앙(www.clien.net) 사이트에서 처음 발생했다. 당시 클리앙 사이트가 악성코드에 감염되어 이에 접속한 회원들의 컴퓨터에 랜섬웨어가 전파되었습니다. 당시 랜섬웨어는 크립토로커(Crypt0L0cker)라는 신종 악성코드로 과거 이메일에 문서파일을 첨부하는 방식이 아닌 드라이브 바이 다운로드(Drive by download) 즉, 웹브라우저가 가지고 있는 취약점을 활용하여 악성코드를 유포하는 방식을 활용하여 피해가 컸습니다. 악성코드에 감염되어 있는 웹사이트에 접속하기만 하면 이용자 자신의 컴퓨터가 랜섬웨어에 감염되기 때문입니다. 당시 비트코인을 지불하고 복호화키를 받은 피해자들의 경우에도 전체 파일의 3% 정도만 복구되었습니다.
최근에는 인터넷 서비스 제공자의 서버 컴퓨터가 랜섬웨어에 감염되기도 하였습니다. 2017년 웹호스팅 업체 나야나(www.nayana.com) 서버 153대가 에레버스(Erebus) 랜섬웨어에 감염되어 약 5천여 사이트의 고객자료가 암호화되었습니다. 범죄자들은 복구대가로 총 826.2BTC(당시 한화 26억원 상당)을 요구하였고, 피해업체는 관련부처와 수사기관에 신고했으나 복호화 할 수 없자, 5천여 고객사의 요청에 의해 결국 13억원 상당의 비트코인을 범죄자에게 지불하고 복호화키를 받았습니다. 이 사건을 계기로 페이스북 등 온라인에서는 범죄자의 협박에 비트코인을 지불하는 선례가 만들어지면 향후 우리나라 시스템만이 랜섬웨어 공격의 주요 타겟이 될 우려가 있다는 문제가 제기되기도 하였습니다.
3. 불법콘텐츠 범죄
도박, 음란 등 불법콘텐츠 관련 범죄도 암호화폐를 결제수단으로 이용하기 시작하였으며, 더 나아가 암호화폐가 범죄수익에 대한 자금세탁 수단이 되기도 합니다.
우선 도박사이트 검거 사례를 살펴보면 다음과 같습니다. 2017년에는 판돈으로 비트코인을 이용하여 스포츠토토, 슬롯머신, 룰렛 등의 도박을 상습적으로 한 범죄자 약 30명이 경찰에 단속되었습니다.
경찰은 도박사이트와 연계하고 있는 해외 결제대행업체를 찾아내어 2013년부터 약 4년간 결제한 800여명을 확인하여 37명을 형사처벌하고, 결제된 도박금액이 약 160억에 이른다는 사실을 확인했습니다. 범죄자들은 신용카드로 비트코인을 구매한 다음 도박사이트에 판돈으로 충전하거나 포인트로 환전하여 도박을 하였습니다. 도박사이트에서 입출금을 수차례 반복하거나 암호화폐 간 교환을 통해 자금세탁을 하기도 하였습니다.
즉, 비트코인 구매 후 도박사이트에서 활용이 가능한 넷텔러머니 등의 유명하지 않은 알트코인으로 교환하여 사실상 믹싱(mixing) 효과를 보는 것입니다.
2017년에는 음란·성매매 사이트에 성매매 광고료를 비트코인으로 받은 사건이 발생했습니다. 음란·성매매 사이트인 꿀밤은 홈페이지에 성매매 광고를 하려는 업자 458명으로부터 2015년부터 약 15개월 동안 광고를 게시해주는 대가로 비트코인 약 15억원 상당을 받았습니다. 해당 사이트의 회원 수만 42만명에 달했고 하루 평균 접속자가 중복을 포함하여 약 50만 명에 달했다고 한다.139) 범죄자들은 더 많은 광고료를 받을 목적으로 음란사이트를 더욱 활성화시키기 위하여 음란사진 콘테스트를 개최하여 많은 추천을 받은 회원에게 상금으로 500만원 상당의 비트코인을 지급하기도 하였습니다.
최근 n번방 사건에서도 n번방 운영진들이 음란물 영상 제공 대가로 암호화폐를 받기도 하였습니다.
4. 유사수신 및 사기범죄
암호화폐가 제4차 산업혁명의 대표주자 중의 하나로 등장하고, 거래가격이 급증하자 신규 암호화폐 발행을 미끼로 투자자를 유인하는 유사수신과 사기범죄가 증가하고 있습니다. 범죄자들은 새롭게 개발된 암호화폐를 구매하면 엄청난 수익이 발생하고 원금까지 보장해 준다고 현혹하거나 실제 개발하지 않았거나 작동조차 되지 않은 암호화폐에 대해 사업설명회를 개최하여 금원을 편취하고 있습니다.
사례를 살펴보면 다음과 같습니다. 먼저 2017년에 “헷지비트코인” 조직이 검거되었습니다. 범죄자들은 필리핀 마닐라 등 국내외에 거점을 마련하고 전국에 투자센터를 두어 유통이 불가능한 “헷지비트코인”을 만들어 사기행각을 벌였습니다. 6∼7개월 만에 2배이상 수익을 보장해주고 외국은행 명의의 지급 보증서를 발행해 주겠다고 속여 총 35,974명으로부터 약 1,552억 원을 편취하였습니다.
또한 K코인이라는 암호화폐를 만들어 총 1,500명을 상대로 약 178억 원을 편취한 일당이 경찰에 붙잡혔습니다. 이들은 “지금 K코인에 투자하면 현재의 액면가 10원이 연말에는 100원까지 오르는 10배 수익을 올릴 수 있다”, “현금으로 100% 환전이 가능하다”, “K코인은 대형마트나 편의점에서 결제가 가능하다”라고 피해자들을 속였고, 기존의 투자자가 신규 투자자를 유치할 경우 각종 수당을 지급하는 다단계 방식을 활용하여 규모를 확장해 나갔다. 실제 암호화폐는 정상적으로 작동하지 않았고, 고객들이 환전을 신청했을 때 자체적으로 유보금도 갖고 있지 않은 것으로 밝혀졌습니다.
“코알코인”이라는 허위의 암호화폐를 소개 하고 투자자를 모집하여 총 5,704명으로부터 약 191억 원을 편취한 범죄조직도 검거되었습니다. 범죄자들은 코알집(coalzip.com)이라는 웹사이트를 운영하고, “코알(coal)”의 가치가 수개월 내에 100배 이상으로 상승할 것이라고 속였습니다. 하지만 코인은 블록체인과는 아무 관계가 없었고, 단지 전산상으로 설정할 수 있는 값에 불과하였으며 따라서 시중에서 거래나 사용 자체가 불가능한 것으로 알려졌습니다.
또한 2016년 9월부터 2017년 10월까지 이더리움을 생성할 수 있는 채굴기에 투자하면 많은 수익금을 주겠다고 속여 투자자 1만8천여 명으로부터 2천 700억원을 받아 가로챈 혐의로 마이닝맥스 계열사 임직원 및 최상위 투자자가 구속되기도 하였습니다.
하지만 인가ㆍ허가를 받지 아니하거나 등록ㆍ신고 등을 하지 아니하고 불특정 다수인으로부터 암호화폐를 받는 행위가 유사수신행위법에 저촉되는지에 대해서는 논란의 여지가 있습니다.
5. 자금세탁범죄
범죄자들은 범죄수익을 암호화폐로 전환하거나 수많은 허위거래를 통해 자금세탁을 합니다. 자금세탁은 현금을 암호화폐로 전환하여 거래소를 통해 출금하는 단순한 방법과 믹싱(mixing)이라 다소 복잡한 기술을 이용하는 방법이 있습니다. 암호화폐는 블록체인에서 거래내역이 투명하게 관리되지만 주소 그 자체로는 익명성이 보장되기 때문에 일단 현실의 통화가 암호화폐로 환전되기만 하여도 추적이 다소 어려워지는 측면이 발생합니다.
암호화폐를 이용한 자금세탁과 관련하여 환치기 사례도 확인할 수 있습니다. 2017년 10월 경찰관이 비트코인을 이용한 환치기에 가담하여 120억원 상당을 환전한 사건이 발생하였습니다. 중국 환전상이 고객으로부터 위안화를 받아 비트코인을 구입하여 국내 환전상(경찰관)에게 전송하면 국내 환전상이 이를 판매하고 그 대금을 고객이 지정한 제3자에게 교부하는 방법으로 이루어졌습니다. 사전에 기획재정부 장관에게 등록하지 않고 암호화폐를 이용하여 환전 등 외국환 업무를 업으로 하였기 때문에 처벌된 것입니다(외국환거래법 제27조의2 제1항 제1호).
6. 시세조종 범죄
우리나라는 아직까지 암호화폐 시세조종에 대한 처벌규정이 없으며, 이에 대한 따라서 수사사례도 없습니다.
다만, 최근에 국내에서 발생한 어느 고등학생의 허위 하드포크 공지사례를 통해 시세조종 범죄가 미치는 파급효과에 대해 언급하고자 합니다.
2017년 11월 비트코인 플래티넘 트위터 계정에서 비트코인에서 비트코인 플래티넘을하드포크한다는 계획이 발표된다. 뉴스와 기사에서 보도를 하고, 빗썸 거래소는 이를 공지사항에 게시하였습니다. 그런데 갑자기 트위터 계정에서 하드포크를 11월 28일에서 12월 10일로 연기한다는 계획을 발표하였습니다. 이어 트위터 계정에서 치명적 오류로 인해 또 연기되었다는 발표를 하였습니다. 이에 많은 투자자들이 질문과 해명을 요구하자 그간 영어를 사용하였던 트위터계정이 한글로 비속어를 사용해 답변을 하여 투자자들 사이에서 사기 코인이라는 의혹이 제기되었습니다. 당시 피해자들은 하드포크로 인한 이익을 보기 위해 대폭락장이었음에도 비트코인을 매도하지 않고 보유하다가 많은 손실을 봤습니다.
이 사건으로 인하여 비트코인 가격이 7% 정도 하락하면서 시가총액이 50조 원 가량 사라졌습니다. 피해자들은 트위터와 홈페이지를 분석하여 가짜 하드포크 계획을 발표한 운영자가 서울 강남 소재 고등학생이라는 사실을 밝혀내었습니다. 결국 고등학생은 트위터에 사과의 글을 올렸고, 500만원을 벌기 위해 허위의 하드포크 계획을 발표 하였다고 밝혔습니다.
https://brunch.co.kr/@jdglaw1/71
암호화폐에 대해 더 궁금하신 점이 있으시거나 관련 소송을 진행하고자 하신다면 정동근 변호사에게 문의해 주시기 바랍니다.
법무법인 조율 정동근 변호사
(06606)서울시 서초구 서초대로 301, 19층(서초동, 동익성봉빌딩)
직통전화 : 02-533-5558, 팩스 : 02-3476-7796
E-Mail : jdglaw1@hanmail.net
