매니해탄 배심단, Uranium Finance 해커 Spalletta에게 유죄 판결...812 이더리움(ETH) 세탁 경로 적발

매니해탄 배심단, Uranium Finance 해커 유죄 판결

매니해탄 연방 배심단이 수요일 사이버 보안 컨설턴트 Jonathan Spalletta에게 2021년 두 차례 공격으로 분산형 거래소 Uranium Finance에서 약 5,500만 달러를 탈취한 혐의, 즉 컴퓨터 사기와 자금세탁 혐의 전부에 대해 유죄를 선고했다. 뉴욕 남부연방검찰청은 유죄 발표를 공식 공지로 공개했고, 재판은 연방지방법원 Jed Rakoff 판사 앞에서 6일간 진행됐다. 배심원들의 심의는 약 2시간 만에 만장일치로 끝났다. 메릴랜드 록빌에 사는 36세의 Spalletta는 지난 3월 30일 출두했으며, 기소장에는 ‘Cthulhon’과 ‘Jspalletta’라는 온라인 별명으로 적시됐다. 사건은 검찰청의 복합사이버범죄 전담팀이 맡았다. 법정형은 혐의별로 격차가 크다: 컴퓨터 사기에 10년, 자금세탁에 20년이며, 검찰청은 이 상한이 의회가 정한 것이라고 밝히고 실제 형량은 판사가 결정한다고 덧붙였다. 이번 재판은 이더리움(ETH) 가격이 아니라 거래 기록으로 판가름을 봤다. 유죄를 이끈 것은 정부가 탈취 자금과 연결한 온체인 추적이었다.

2021년 4월, 두 차례의 해킹

검찰은 재판에서 두 차례의 공격 과정을 하나씩 풀어냈다. Uranium Finance는 유동성 풀을 통해 이용자가 암호화폐를 예치하고 교환하게 하는 자동화 마켓 메이커 방식 거래소였다. 코인은 스마트 컨트랙트라 불리는 소프트웨어가 보관하고 정해진 규칙에 따라 지급하며, 회사의 개입 없이 운영되는 구조였다. 2021년 4월 8일 Spalletta는 청구자에게 토큰을 뿌리는 보상 컨트랙트, 이른바 크립토 파우셋과 유사한 장치를 노렸다. 일련의 트랜잭션을 반복 실행해 자신이 받을 몫보다 훨씬 많은 보상을 인출했고 풀 전체를 거의 비워 약 140만 달러를 가져갔다. 약 2주 뒤 그는 다른 사람에게 보낸 메시지에서 이 사건을 이렇게 표현했다. “2주 전에 150만 달러짜리 크립토 강도를 했다... 스마트 컨트랙트에 버그가 있었고 그걸 악용했다... 어차피 크립토는 가짜 인터넷 돈이다.” 이 무시하는 발언은 오늘 보면 전형적인 크립토 FUD 사례이며, 배심단은 그것이 절도에 대한 표현이라고 받아들였다. 검찰에 따르면 그는 이후 Uranium을 압박해 약 38만 6,000달러를 ‘버그 바운티’로 갖게 했고, 정부는 이 돈을 가짜 보상으로 규정했다. 2021년 4월 28일에는 출금 로직의 두 번째 취약점을 악용해 26개 풀에서 약 5,330만 달러를 인출했고 거래소는 문을 닫았다. 방어 측은 플랫폼이 공개적으로 열어둔 함수만 사용했을 뿐 위조 증명서나 악성코드가 없었다고 주장했다. 해킹의 핵심은 코드의 지급 로직에 있었으며, 트레이더가 주문 유형으로 통제할 수 있는 영역이 아니었다.

포켓몬 카드, Tornado Cash, 압수

세탁 경로는 코인의 출처를 가리는 믹싱 서비스 Tornado Cash를 거친 뒤 수집품으로 전환됐다. 검찰이 밝힌 내역은 이렇다. 약 50만 달러의 매직: 더 개더링 Black Lotus 카드, 약 151만 2,500달러의 Alpha 부스터 팩 18개, 1세대 포켓몬 베이스 세트 약 75만 달러, 밀봉된 부스터 박스 25만 7,500달러이다. 그는 율리우스 카이사르 암살을 기념해 주조된 고대 로마 은화 에이드 마르 데나리우스에 약 60만 1,545달러를, 닐 암스트롱이 달에 들고 간 라이트 형제 비행기 천 조각에 13만 7,500달러를 지불하기도 했다. 온체인 분석은 이미 2024년 1월 흔적 일부를 추적했다. Uranium 공격자로 표시된 주소에서 약 250만 BUSD가 이동해 Li.fi를 거쳐 BNB 체인에서 이더리움으로 넘어갔고, 수신 주소는 812 Ethereum (ETH)와 약 50만 5,500달러의 스테이블코인을 취합했다. 조사관들은 법원 승인 영장으로 Spalletta의 메릴랜드 자택에서 Black Lotus 카드, 항공기 천 조각, 고대 코인을 압수했다. 경찰은 2025년 2월 24일 별도로 해당 절도와 연관된 암호화폐를 압수했으며, 당시 가치는 약 3,100만 달러였다. 검찰청 공지는 피해자로 보이는 사람은 국토안보수사국에 연락하라고 안내한다.

2월 16일 양형 기일

이번 판결은 단독 해커 피해에서 자산 회복이 어디까지 갈 수 있는지를 보여준다. Tornado Cash를 통한 믹싱과 카드·골동품 전환도 자금을 회수 불가능하게 만들지는 못했다. 요원들은 약 3,100만 달러의 암호화폐와 수집품을 함께 압수했고, 배상 규모 산정은 2월 16일 양형 기일에서 마무리된다. 자금세탁 혐의 법정형 20년이 판사에게 충분한 재량을 준다. 실패한 ‘버그 바운티’ 카드도 교훈으로 남는다. 검찰은 Spalletta가 남긴 38만 6,000달러를 감경 요소가 아니라 범의 정황으로 다뤘다. 한편 DefiLlama 집계 기준 2026년 최대 해킹은 9월의 Bitget 침해 사건, 규모 3억 5,000만 달러다. 분산형 거래소와 최고 암호화폐 거래소를 저울질하는 이들에게 뉴욕 남부연방검찰청 기록은 명쾌한 답을 준다. 감사된 컨트랙트와 책임지는 운영자가 누가 손실을 떠안는지를 결정한다.