Ajay Shinjin, 20만 파운드 Bitcoin(BTC) SIM 스왑 절도로 징역 2년 6개월

20만 파운드 SIM 스왑 조직 가담, 실형 선고

런던에 사는 Ajay Shinjin은 BT 고객 4명의 암호화폐 약 20만 파운드(26만 4,200달러)를 빼낸 조직에 가담한 혐의로 목요일 내런던지방법원에서 징역 2년 6개월형을 선고받았다. 런던시경 공지가 그 내용을 기록하고 있다. AJ Marley Cruz로도 불리는 이 25세는 캐너리 워프 Marsh Wall에 거주하면서 9월 28일 기망 사기 공모와 범죄재산 이전 혐의를 인정했다. 수사 기록은 2021년 11월 초 시작됐다. BT가 자사 시스템에서 비인가 활동을 감지했고, 고객 전화번호가 범죄자가 통제하는 SIM 카드로 옮겨진 사실이 드러났다. SIM 스왑은 피해자의 번호를 도둑이 쥔 카드로 이전하는 수법으로, 이후 은행과 암호화폐 거래소가 문자로 발송하는 일회용 인증번호를 가로챈다. BT 엔지니어들은 탈취된 번호를 받는 기기를 추적했고, 각각 두 개의 IMEI 번호를 지닌 eSIM 단말임을 확인했으며, 수사진은 Shinjin을 그 가운데 4개 기기와 연결했다.

피해자는 4명으로 확인됐다. 첫 피해자는 2021년 11월 2일 약 4만 파운드를 잃었고, 그중 약 2만 7,000파운드가 Shinjin의 개인 암호화폐 계좌로 흘러들었다. 두 번째 피해자는 11월 5일과 7일 사이에 약 1만 7,000파운드 전액을 잃었고, 이 돈 역시 같은 지갑에 나타났다. 세 번째 피해자는 11월 3일 Coinbase 계좌에서 약 8,000파운드를 인출당했으며, Shinjin은 자금이 다른 곳으로 이동하기 전 단계에서 이 절도를 도왔다. 가장 큰 피해는 네 번째 피해자에게 발생했고, 이 피해자는 11월 6일과 7일 사이에 암호화폐 약 13만 파운드를 잃었다. Shinjin은 수익금 4만 4,000파운드(5만 8,124달러) 이상을 챙겨 두바이 휴가, 캐너리 워프의 고급 아파트, 금 도금 치아 그릴에 썼다. 경찰은 2021년 그의 아파트에서 체포한 데 이어 2023년 10월 두바이에서 돌아와 히스로 공항에 내리던 시점에 다시 붙잡았으나, 그는 조사에서 아무 질문에도 답하지 않았다. 비트코인 가격이 어디로 움직이든, 이 사건 기록은 블록체인 취약점이 전혀 필요 없었음을 보여준다.

영국 SIM 스왑 피해 402% 급증

이 수법은 이제 한 법정을 넘어 확산 중이다. 영국 사기 방지 기구 Cifas는 2026년 8월, 자사 전국사기데이터베이스에 접수된 비인가 SIM 스왑 사건이 올해 상반기에 2025년 같은 기간보다 402% 증가했다고 밝혔다. 이 증가세는 2021년식 전화 탈취가 영국에서 가장 빠르게 늘어나는 사기 유형 가운데 하나로 자리 잡았음을 뜻한다. 이 공격은 악성코드도 스마트컨트랙트 결함도 필요로 하지 않는다. 범죄자가 피해자의 번호를 자신이 쥔 SIM으로 이전한 뒤, 은행과 거래 플랫폼이 문자로 보내는 인증번호를 읽는다. 인증번호가 한번 넘어가면 강력한 비밀번호도 무의미해진다. 지갑의 프라이빗 키를 지키는 복구 경로가 보통 전화번호를 통과하기 때문이다. BT 피해자 2명은 번호가 이전된 지 며칠 안에 잔고를 잃었고, 창이 열리는 속도를 이 수치가 말해준다. Shinjin 유죄 판결은 탐지에서 선고까지 4년 넘게 이어진 기록을 닫은 셈이며, 통신 사기 수사가 얼마나 느리게 움직이는지를 상기시킨다. 그는 두 차례 조사에서 모두 침묵했고, 기기 기록과 지갑 흐름이 신원 확인을 대신했다. 방어책은 이미 알려져 있다. 문자 인증 대신 인증 앱, 물리 보안 키, 이동통신사 계좌에 별도 PIN 설정, 번호 이전 요청에 대한 추가 신원 확인이 그것이다. 단속도 넓어지고 있다. 6월 25일 폴란드에서 FBI와 국토안보수사국의 지원을 받아 용의자 4명이 체포됐고, 이들은 SIM 스왑 공격으로 암호화폐 거래소 계좌를 턴 혐의를 받는다. 5월에는 잉글랜드에서 10명이 경찰과 암호화폐 회사 직원으로 둔갑해 시드 문구를 탈취한 전화 사기 혐의로 기소됐으며, 피해자 가운데 최소 1명은 30만 파운드를 잃었다.

하드웨어 키가 SIM 코드 대신 정답

교훈은 체인이 아니라 배관에 있다. BT 사건의 4건 피해 모두에서 스마트컨트랙트 파손이나 콜드스토리지 키 유출은 없었다. 파운드는 전부, 두 번째 인증 수단이 문자 메시지였던 거래소나 플랫폼 계좌를 통해 빠져나갔다. 2년 6개월 형은 일정 수준의 억지 효과를 되찾아주지만, 접수 사건 402% 증가는 이 공격이 여전히 수지 타산이 맞는다는 뜻이다. 통신사 쪽 침해는 거래소 쪽 설정으로 고칠 수 없다. 수년간 장기 보관을 계획하는 투자자는 핵심 자산을 셀프커스터디로 옮겨 키가 전화번호에 의존하지 않게 해야 하고, 일상 거래는 하드웨어 키나 Tangem Pay 같은 결제 카드로 방어하는 것이 합리적이다. 최고 암호화폐 거래소를 고를 때는 수수료만큼 하드웨어 키 지원 여부에도 무게를 두어야 한다.