브루클린의 Ronald Spektor, 1,600만 달러 규모 비트코인(BTC) 피싱 사기로 징역 12년형

브루클린 검찰, 징역 12년 선고 발표

브루클린에 사는 23세 Ronald Spektor가 Coinbase 이용자 약 100명에게서 총 1,600만 달러에 육박하는 자산을 빼낸 피싱·소셜 엔지니어링 사건으로 최대 징역 12년을 선고받았다. 브루클린 지방검찰청은 수요일 성명을 내고 공식 보도자료를 통해, Spektor가 1년 넘게 고객지원 직원을 사칭하며 피해자들에게 계정이 해킹당했다고 믿게 했다고 밝혔다. 피해자가 당황하면 '안전한 지갑'으로 코인을 옮기라고 지시했는데, 이 지갑은 그가 몰래 통제하던 주소였다. 옮겨진 자산은 거의 즉시 인출됐다.

검찰청 가상화폐 전담팀은 디지털 흔적을 재구성해 Spektor의 가정용 IP 주소를 탈취 자금이 입금된 지갑과 연결했다. 검찰청은 블록체인 분석, 거래 기록, 디지털 포렌식, 압수수색 영장으로 모은 증거가 기소 시점에 '철벽' 수준이었다고 설명했다. Eric Gonzalez 지방검사는 이 사건을 '거의 100명의 피해자에 대한 디지털 강도 행위'로 규정하며, 수사팀이 자금세탁 사슬의 모든 단계에서 '돈을 쫓았다'고 덧붙였다.

형량은 징역 4년에서 12년이며, 법원은 약 1,600만 달러의 배상 명령과 함께 50만 달러가 넘는 현금·암호화폐·개인 재산 몰수도 명했다. Gonzalez 검사는 발표에서 모든 크립토 보유자가 기본 수칙으로 삼아야 할 경고를 반복했다. 정상 기업은 고객에게 전화해 새 지갑으로 이체를 요구하지 않는다는 점, 발신번호와 보낸이 이름은 위조될 수 있다는 점, 그리고 서둘러 자금을 옮기라고 압박하는 상대는 결국 당신의 돈을 노린다는 점이다.

1,600만 달러 세탁 과정

법원 기록에 따르면 Spektor는 9월 2일 1급 자금세탁, 1급 횡령죄(grand larceny), 1급 장물죄를 포함한 31개 혐의 전부에 유죄를 인정했다. 수법은 단순하지만 효과적이었다. Coinbase 고객지원 직원으로 접촉해 해킹이나 도난 임박을 빌미로 들었고, 피해자는 자산 보호라고 믿고 이체를 승인했다. 실제로는 최종 지갑이 그의 수중에 있었다.

탈취보다 은폐가 더 많은 공을 들였다. 검찰에 따르면 Spektor는 자금을 여러 거래소로 돌리고 지정된 현금화 지점에서 취합한 뒤 다른 암호화폐로 교환했고, 도박 플랫폼에 베팅한 후 잔여분을 현금·기프트카드·추가 디지털 자산으로 바꿨다. 개인별 피해 규모는 크게 갈렸다. 100만 달러 넘게 잃은 피해자도 있었고, 약 100명 전체의 평균 피해액은 1인당 약 15만 9,000달러에 달했다.

기록에서 눈에 띄는 대목이 두 가지다. 첫째, Spektor는 Telegram 핸들 @lolimfeelingevil로 수익을 자랑했고, 빼돌린 돈 중 약 600만 달러를 크립토 도박으로 잃었다고 지인들에게 말한 것으로 알려졌다. 둘째, 회수 금액은 확인된 자산 50만 달러 조금 넘는 수준, 즉 전체 피해의 약 3%에 불과해 피해액과 격차가 크며, 배상 명령 중 피해자가 실제로 받게 될 액수는 당국이 밝히지 않았다.

Coinbase는 피해자 식별, 증거 보전, 온체인 자금 추적에 검찰을 지원했으며, 사기꾼이 자사 시스템 침해를 통해 고객 데이터를 얻었다는 증거는 없다고 밝혔다. 공격 표면은 거래소의 인프라가 아니라 Coinbase라는 브랜드와 고객지원에 대한 신뢰였다. 최고 크립토 거래소의 보안 역량을 평가할 때 기억할 구분이다. 이 사건은 더 넓은 위협 확산 속에서 나왔다. FBI의 최근 인터넷 범죄 보고서는 크립토 관련 민원 181,565건과 110억 달러를 넘는 신고 피해액을 집계했고, 피싱과 사칭은 여전히 가장 흔한 공격 벡터 중 하나다. 시장을 실시간으로 추적하려는 독자는 MEXC에서 현물·선물 가격을 실시간으로 확인할 수 있다.

진짜 공격 표면은 소셜 엔지니어링

우리가 본 핵심은 단순하다. 검찰 기록 자체가 배상은 1,600만 달러에 가깝게 확정된 반면 몰수는 약 50만 달러에 그친다는 격차를 보여준다. 그만큼 시장의 진짜 방어선은 기소가 아니라 예방이다. 거래소 보안 데이터는 지난해 전체 크립토 보안 사고의 거의 41%가 기술적 취약점 공격이 아닌 피해자 기만에 기반했다고 보여준다. 이달 초에는 소셜 엔지니어링 중심의 2억 4,500만 달러 규모 사건에서 22세 싱가포르 국적자가 유죄를 인정했다. 범죄자들이 온체인 이체는 되돌릴 수 없다는 점 때문에 Bitcoin(BTC)과 알트코인 개인 보유자를 직접 겨냥하는 빈도가 커지고 있다. 실무적 교훈은 검찰의 안내와 같다. 정상 플랫폼은 '안전한 지갑' 이체를 요구하지 않으며, 자기관리(self-custody) 이용자라면 Ledger 복구 키를 그에 맞게 지켜야 한다.