[2020 서울신문 탐사기획-암호화폐 범죄를 쫓다] 본지·S2W랩, 자금 흐름 분석

전달책이 수십 차례 걸쳐 2억원 송금
‘고액 알바’ 제3자 통해 비트코인 환전
마약커뮤니티·랜섬웨어 해커 등 전달 인터넷 중고거래 사이트 ‘중고나라’에서 사기당한 피해자들의 돈이 암호화폐로 세탁된 후 일부가 국내 최대 다크웹 마약 커뮤니티인 ‘하이코리아’와 랜섬웨어 공격을 하는 해커에게 흘러간 것으로 28일 확인됐다. 다크웹은 특정 브라우저로만 접속 가능한 비밀 웹사이트로 인터넷주소(IP) 추적이 어려워 각종 범죄에 이용된다.

박준혁(31·가명)씨는 지난해 12월 한 온라인 카페에 올려진 광고를 보고 암호화폐 ‘펌핑’(인위적 가격 올리기) 아르바이트를 시작했다. 박씨의 일은 자신의 거래소 전자지갑과 연계된 은행계좌로 받은 현금을 다시 비트코인(BTC)으로 환전해 지정된 지갑 주소로 송금하는 것이었다. 박씨는 비트코인 전송 규모에 따라 1~1.5%의 수수료를 받았다.

지난해 말부터 올해 1월까지 박씨가 ‘민 대표’라는 신원불명의 인물로부터 수십 차례에 걸쳐 송금받은 현금 총액은 1억 9000여만원에 달했다. 박씨는 입금된 돈으로 비트코인을 사 민 대표가 지정한 지갑 주소로 보냈다. 박씨가 전송한 비트코인 총액은 21.9BTC나 됐다. 하지만 박씨와 민 대표는 단 한 차례도 서로 만난 적이 없고, 모든 지시는 카카오톡으로 이뤄졌다.

민 대표라는 사람이 송금했던 1억 9000여만원은 서울 강남경찰서 수사를 통해 중고나라에서 수십~수백 차례 발생했던 사기와 보이스피싱 피해금으로 드러났다. 피해자들도 서울, 울산, 광주 등 전국에 퍼져 있었다. 박씨는 최근 금융실명거래 및 비밀보장에 관한 법률 위반 방조 혐의로 서울중앙지검에 넘겨졌다. 그는 탐사기획부와의 인터뷰에서 “내가 중고나라 사기꾼들의 범죄 수익을 비트코인으로 세탁하는 환전상 역할을 한 것을 경찰 조사를 받고 알게 됐다”고 말했다. 서울신문은 블록체인 보안업체 S2W랩과 함께 민 대표가 박씨에게 알려 준 전자지갑 주소(bc1*****)의 자금 흐름을 추적했다. 박씨가 환전한 비트코인은 이 지갑으로 전송된 후 한 달여간에 걸쳐 115개 지갑으로 쪼개졌다가 각각 수천 개의 지갑으로 다시 합쳐져 나뉘는 전형적인 ‘믹싱 앤드 텀블러’ 기법으로 세탁됐다.

이 가운데 뭉칫돈인 2.2BTC(약 2000만원)가 전송된 지갑을 추적한 결과 0.4BTC(약 400만원)가 랜섬웨어 공격으로 블랙리스트에 오른 해커의 지갑으로 송금됐다. 0.04BTC(약 40만원)는 지난 2월 하이코리아 운영자가 후원 계좌로 공개했던 지갑으로 전송된 것으로 나타났다. 하이코리아는 현재 폐쇄된 상태다. 이지원 S2W랩 상무는 “박씨와 유사한 패턴의 비트코인 송금자들이 10여명 가까이 돼 범죄 피해 규모가 더 클 것으로 판단된다”고 말했다.

송수연 기자 songsy@seoul.co.kr