MSTR Cat

가상자산법/레벨 VI · 시장 행위/6.2 내부자와 러그풀/수업 6

도둑질로 간주되는 해킹과 악용 행위

'코드가 허용했다'는 주장이 왜 미국 검찰의 스마트 컨트랙트 악용 행위에 대한 컴퓨터 사기, 전신 사기 및 자금 세탁 기소를 막지 못했는지, 그리고 법원이 이에 대해 어떻게 반박해 왔는지.

교육 목적이며 법률, 세무 또는 투자 자문이 아닙니다. 가상자산 관련 법은 국가와 주(州)마다 다르며 자주 바뀝니다. 행동하기 전에 거주지의 현행 규정을 자격을 갖춘 변호사나 세무사에게 확인하세요.

가장 가벼운 길

법이 허용하는 범위에서 가장 저렴하고, 세금이 가장 적고, 가장 간단하며, 가장 사적인 방법을 우선순위대로 정리했습니다. 각 단계마다 근거가 되는 규정과 합법성을 유지하는 조건을 밝힙니다.

  1. 개발자: 가장 비용이 낮은 법적 보호책은 출시 전에 작성하는 사고 대응 계획입니다. 이 계획에는 로그와 해시를 보존할 담당자, 공격자 주소를 기록할 담당자, 그리고 IC3·스테이블코인 발행사·가상자산 거래소에 연락할 담당자를 명시해야 합니다. 보고는 비용이 들지 않지만, 지연은 동결 기회를 잃게 만듭니다.
  2. 피해자 프로토콜을 통해 18 U.S.C. §1030(g)에 근거하여 손해배상과 금지명령을 구하는 민사 청구를 제기할 수 있으며, 이는 형사 사건과 병행 가능합니다. 단서: 해당 청구는 행위 발생일 또는 피해 발견일로부터 2년 이내에 제기되어야 합니다.
  3. 착취된 자금을 유지할 수 있는 저렴하고 합법적인 방법은 존재하지 않습니다. “코드상으로 허용되었다”는 이유로 아흐메드가 2024년에 3년의 징역형과 약 1,230만 달러의 자산 몰수 처분을 받는 것을 막지는 못했습니다. 합법적인 대안은 공개된 버그 바운티 프로그램을 통해 해당 결함을 신고하는 것입니다.
  4. 착취 또는 제재 대상 행위자(예: FBI가 2025년 2월 Bybit 도난 사건과 연관시킨 주체)와 연결되는 자금의 수령이나 이동을 절대 하지 마십시오. OFAC의 무료 제재 목록에 대한 스크리닝은 비용이 들지 않으며, 민사 제재 벌칙은 일반적으로 엄격책임(strict liability) 원칙이 적용됩니다.

준비물18 U.S.C. §1030, 컴퓨터 사기 및 남용 방지법 (law.cornell.edu 참조)2024년 4월 미국 검찰이 발표한 샤키브 아흐메드의 형량 관련 보도자료와 2025년 2월에 발표된 메제도비치에 대한 기소 관련 보도자료2025년 2월 26일 FBI가 비트빗 도난 사건에 관해 발표한 공익 광고6.1.4절(프론트-런닝과 MEV) 및 6.1.5절(망고 마켓스 사건)

호기심

  1. 스마트 컨트랙트가 자금 인출을 허용한다면, 그것을 가져가는 것이 어떻게 절도가 될 수 있나요?
  2. 검찰은 DeFi 악용자들을 처벌하기 위해 어떤 연방법을 사용하나요?
  3. 악용이 발생한 후 프로토콜이나 그 사용자들은 경찰에 신고하는 것 외에 무엇을 할 수 있을까요?

탐구

  1. 일부 악용자들은 스마트 컨트랙트가 전체 계약이므로 그 코드에서 허용하는 것은 무엇이든 허용된다고 주장합니다. 하지만 미국 검찰은 이러한 견해를 받아들이지 않습니다. 검찰은 사기 목적으로 허가 없이 보호받는 컴퓨터에 접속하거나 허용된 접근 범위를 초과하여 가치 있는 무언가를 취득하는 행위를 처벌하는 ‘컴퓨터 사기 및 남용 방지법’(18 U.S.C. §1030)에 따라, 가짜 가격이나 조작된 입력값과 같은 기만 수단을 이용하는 악용 행위를 처벌하는 ‘전자 사기법’(18 U.S.C. §1343)에 따라, 그리고 범죄 수익을 브리지로 이동하거나 섞거나 교환하여 은폐하는 경우에는 ‘자금세탁 방지법’에 따라 기소합니다. 법원들은 아직 이러한 경계선이 어디인지 판단하고 있습니다.
  2. 스마트 컨트랙트 해킹과 관련한 첫 유죄 판결은 뉴욕 남부지방법원에서 내려졌습니다. 이력서에 스마트 컨트랙트 리버스 엔지니어링 및 블록체인 감사 경험이 명시된 수석 보안 엔지니어인 샤키브 아흐메드는 2022년 7월 가짜 가격 데이터를 사용해 한 탈중앙화 거래소에서 약 900만 달러 상당의 과도한 수수료를 발생시켰습니다. 몇 주 후에는 니르바나 파이낸스를 공격하여 그곳의 자금 대부분인 약 360만 달러를 훔쳤으며, 니르바나 파이낸스는 곧 폐쇄되었습니다. 그는 브리지, 모네로, 믹서 서비스를 통해 범죄 수익을 세탁했습니다. 그는 2023년 12월 컴퓨터 사기 혐의 중 하나에 대해 유죄를 인정했습니다.
  3. 2024년 4월 12일, 빅터 마레로 판사는 아흐메드에게 징역 3년과 감독 하의 석방 3년을 선고했으며, 약 1,230만 달러와 상당량의 암호화폐를 몰수하도록 했습니다. 또한 두 피해자에게 500만 달러 이상을 반환하라고 명령했습니다. 2025년 2월, 뉴욕 동부지방검찰청은 캐나다인인 안데안 메제도비치에 대해 전자금융 사기, 컴퓨터 해킹, 강요 시도 및 자금 세탁 혐의로 기소장을 공개했습니다. 검찰은 그가 빌린 자금을 이용해 인위적인 가격을 조작하여 KyberSwap과 Indexed Finance 풀에서 약 6,500만 달러를 빼돌렸다고 주장합니다. 그는 기소 당시에도 도주 중이었습니다.
  4. 모든 기소가 성공한 것은 아닙니다. 2025년 5월, 재판관은 애브라함 아이젠버그의 망고 마켓스 관련 사기 및 조작 혐의 유죄 판결을 취소했습니다. 그 이유 중 하나는 증거상 거짓 진술이 있었다는 명확한 근거가 없었기 때문입니다. 정부의 항소에 대해서는 6.1.5절에서 다룹니다. 이더리움의 블록 생성 과정을 악용해 12초 만에 약 2,500만 달러를 가져간 혐의로 기소된 안톤과 제임스 페라이르-부에노의 사건은 2025년 11월에 무효 판결(mistrial)로 끝났습니다(6.1.4절). 개발자들에게 주는 메시지는 엇갈립니다. 악용 행위는 일상적으로 기소되고 있지만, 코드를 이용한 '조작적' 거래가 사기법의 적용 범위에 어느 정도까지 포함되는지는 아직 결정되지 않았습니다.
  5. 형법은 단지 한 가지 방법에 불과합니다. 컴퓨터 사기 및 남용 방지법에 따라, 적절한 피해나 손실을 입은 사람은 배상금 및 금지명령을 요구하는 민사소송을 제기할 수 있습니다(18 U.S.C. §1030(g)). 스테이블코인 발행사와 거래소는 자신들이 관리하는 자산을 동결시킬 수 있습니다. 국가 행위자(State actors)는 제재 문제를 제기합니다. 2025년 2월 26일, FBI는 2025년 2월 21일경 바이빗(Bybit) 거래소에서 발생한 약 15억 달러 규모의 도난 사건을 ‘TraderTraitor’라고 부르는 북한의 소행으로 지목하고, 관련 주소들을 차단할 것을 서비스 제공업체들에 촉구했습니다. 이러한 자금을 다루는 사람은 누구나 제재 대상이 될 수 있습니다(5.2.5절).
  6. 건설자들을 위한 실용적인 대응 계획은 서비스 출시 전에 반드시 작성해 두어야 합니다. 이 계획에는 로그와 트랜잭션 해시를 누가 보관하는지, 공격자의 주소는 누가 기록하는지, 그리고 FBI의 IC3나 해당 스테이블코인 발행사 및 주요 거래소에 누가 연락하는지가 명시되어야 합니다. 또한 누가 공격자와 대화할 수 있는지, 그리고 무엇을 제공할 수 있는지도 명시해야 합니다(6.2.7절). 누구에게도 기소 면제를 약속해서는 안 되며, 개인 프로토콜로는 그러한 혜택을 줄 수 없습니다. 사용자들은 공격자가 코드에 대해 어떻게 주장하든 간에, 도난당한 자금을 알면서 받거나 이동시키는 행위 자체도 자금 세탁으로 처벌받을 수 있다는 점을 알아야 합니다.

핵심 사실

  • 18 U.S.C. §1030(a)(4)는 사기를 목적으로 허가 없이 보호받는 컴퓨터에 고의로 접속하거나, 허용된 접근 범위를 초과하여 가치 있는 무언가를 취득하는 행위를 처벌합니다.
  • 샤키브 아흐메드는 2023년 12월, 컴퓨터 사기 혐의 하나에 대해 유죄를 인정했으며, 이는 검찰 측이 스마트 컨트랙트 해킹과 관련해 내린 첫 번째 유죄 판결이라고 밝혔습니다.
  • 2024년 4월 12일, 아흐메드는 징역 3년형을 선고받았으며 약 1,230만 달러를 몰수하고 500만 달러 이상을 배상하라는 명령을 받았습니다.
  • 2025년 2월, 뉴욕 동부 지방검찰청은 안데안 메제도비치를 키버스왑(KyberSwap)과 인덱스드 파이낸스(Indexed Finance)로부터 약 6,500만 달러를 빼돌린 혐의로 전자금융 사기, 컴퓨터 해킹, 강요 시도, 자금 세탁 등의 죄명으로 기소했습니다.
  • 18 U.S.C. §1030(g)에 따라, 위반 행위로 인해 적격한 손해나 손실을 입은 사람은 배상금 및 금지명령을 청구할 수 있습니다.
  • 2025년 2월 26일, FBI는 바이빗(Bybit) 거래소에서 발생한 약 15억 달러 규모의 도난 사건을 ‘TraderTraitor’라고 부르는 북한 세력의 소행으로 지목했습니다.

연습 아홉, 여섯, 셋, 하나

9모으기스마트 컨트랙트의 버그를 이용해 자금을 가져가는 것을 정당화하기 위해 사람들이 할 수 있는 말 9가지를 나열하십시오(일부 목록은 더 짧을 수 있음). 예: '코드가 허용했다', '그건 арбитра지였다' 또는 '돌려줄 생각이었다' 등.
6묶기그것들을 승인에 관한 논거, 기만에 관한 논거, 반환 의도에 관한 논거, 시장 공정성에 관한 논거, 피해자가 누구인지에 관한 논거, 그리고 단순히 변명에 불과한 논거의 6개 카테고리로 분류하십시오.
3추리기6가지 범주를 3개 그룹으로 줄이세요: 법원이 진지하게 받아들인 주장, 검찰이 기각한 주장, 그리고 아직 검토 중인 주장.
1결정화스마트 컨트랙트가 거래를 허용한다고 해서 해당 거래가 합법적인지 여부가 결정되지 않는 이유를 나만의 말로 한 문장으로 설명하세요.

팩트 체크

날짜, 수치 및 주장은 아래에 명시된 출처들을 통해 확인되었습니다.

인터랙티브 아카데미에서 열기 →

EN PT ES ZH JA RU DE FR MS