Wenhui Huang, Apple 보증 사기 1,623만 9,254달러로 징역 78개월 — Bitcoin(BTC) 지갑 보안이 주는 교훈

징역 78개월과 배상금 1,623만 달러

미 연방법원이 Apple(AAPL) 상대로 8년간 벌어진 보증 사기의 배후 조종자 Wenhui Huang에게 징역 78개월을 선고했다. COINOTAG가 이 사건을 주목하는 이유는 단순하다. 신원을 속이는 범죄, 즉 검증 가능한 문자열로 신원을 대신하는 구조적 약점은 암호화폐 지갑 사용자가 Bitcoin(BTC) 등 여러 네트워크에서 드레이너 공격에 노출되는 원리와 정확히 같기 때문이다. 2026년 8월 28일, 캘리포니아 중부지구 연방검찰청은 Huang에게 78개월 형과 함께 배상금 1,623만 9,254달러 지급을 명령했다고 발표했다. 공범 Yang Song은 징역 57개월에 배상 명령 1,699만 7,415달러를 받았다. 두 사람 모두 2025년 유죄를 인정했다. Huang은 5월에 전자자금·우편 사기 공모, 가짜 상품 거래, 범죄수익 관련 금융거래 혐의를, Song은 6월에 자금세탁 공모 혐의가 추가된 21개 혐의를 각각 인정했다. 상세 내용은 캘리포니아 중부지구 연방검찰청 보도자료 에 담겨 있다. 범행은 2015년 12월부터 2024년 3월까지 이어졌으며, Apple에 입힌 피해는 최소 1,620만 달러로 집계됐다. 검찰에 따르면 Huang과 Song, 중국 내 공범들은 가짜 iPhone과 iPad를 미국으로 반입한 뒤 실제 북미 소비자가 보유한 정품의 식별번호와 시리얼 넘버를 새겨 넣었고, 이를 Apple의 보증 교환 절차에 통과시켰다. 총 27,645대 이상의 가짜 제품이 투입됐다. 매장 직원들은 '전원이 켜지지 않는다'거나 '외관이 손상됐다'는 설명을 듣고 현장에서 교환해 주거나, 접수 후 정품 교체품을 발송해 줬다.

도난 시리얼이 보증 정책을 생산라인으로 만들었다

범행의 작동 방식은 기회주의적 절도가 아니라, 하나의 설계 결함을 중심으로 세운 산업화된 파이프라인에 가깝다. Apple의 보증 시스템은 기기를 제시한 '사람'이 아니라 시리얼 넘버를 검증한다. AppleCare+와 제조사 보증이 식별자에 귀속되기 때문에, 보유품 인증 대상 정품의 시리얼을 단 가짜는 카운터에서 진품과 구별하기가 거의 불가능하다. 법원 기록에 따르면 피고인들은 베벌리힐스, 셔먼오크스, 패서디나, 어바인, 맨해튼비치 등 남부 캘리포니아의 Apple Store를 돌았고, 하루에 최대 10곳을 방문한 사례도 있었다. 물류는 지역 전역의 수십 개 UPS Store 우편함을 통해 이뤄졌다. 이 우편함은 중국에서 보내온 가짜 기기를 받는 창구이자 Apple이 발송한 정품 교체품을 수거하는 통로였다. 회수된 정품은 미국 내외의 공범들에게 전달됐고 대부분은 중국에서 프리미엄을 붙여 재판매됐다. 즉, 매번 교환이 일어날 때마다 가짜 하나가 범죄수익으로 현금화됐다. 일반 소비자도 부수적 피해자였다. 시리얼이 도난당한 정품 사용자는 자신의 식별자가 탈취됐다는 사실조차 모른 채 정당한 수리·교환 절차에서 장애를 겪을 수 있었다. 유죄가 확정된 피고인은 총 여섯 명이다. 두 주범 외에 Yushan Lin은 18개월 가정구금, Shuyi Xing은 38개월, Zhengxuan Hu와 Junwei Jiang은 각각 24개월과 36개월을 선고받았다. 수사는 Homeland Security Investigations와 IRS Criminal Investigation이 주도했고, 미 우편검사국과 로스앤젤레스 경찰이 지원했다. 시장을 실시간으로 추적하려는 독자는 MEXC에서 현물·선물 가격을 실시간으로 확인할 수 있다.

시리얼 스푸핑, 그리고 암호화폐의 같은 약점

DOJ 보도자료, 즉 이 사건의 1차 자료를 검토한 우리의 판단은 이렇다. 핵심 교훈은 디지털 자산 보안에 그대로 이어진다. 검증 가능한 문자열을 신원 증명으로 신뢰하는 모든 시스템은, 공격자가 그 문자열을 빌리는 순간 무너진다. 암호화폐 사용자도 동일한 실패 모드를 겪는다. 정식 사이트를 흉내 내는 가짜 암호화폐 faucet 페이지, 기존 dApp을 스푸핑하는 드레이너 킷, 그리고 남의 수익률 기록이 남의 시리얼 역할을 하는 카피 트레이딩 사기가 그 예다. 가짜 하드웨어도 같은 논리다. 이번 사건의 복제 기기부터 소매 구매자에게 팔린 가짜 암호화폐 채굴 장비까지 구조가 동일하다. 두 세계 모두에서 버틴 방어선은 공개 식별자가 아니라 사용자 본인만 통제하는 자격 증명에 기반한 검증이었다. Apple 과 같은 대기업의 제조사 보증조차 이 한계를 드러냈다는 점에서, 공개 주소만으로 신뢰를 두는 웹3 인터페이스의 취약성도 같은 맥락에서 읽어야 한다.