미국 법무부의 Uranium Finance 해킹 사건
미국 법무부는 두 건의 Uranium Finance 암호화폐 해킹 사건에서 해킹된 자금이 Tornado Cash를 통해 이동한 후 포켓몬 카드 및 기타 수집품 구매에 사용되었다고 주장하고 있다. Jonathan Spalletta에 대한 혐의는 법원의 유죄 판결이 아닌 주장에 불과하다.
해킹 사건의 경과
2026년 3월 30일 발표된 미국 법무부의 기소 공고는 주장된 해킹, 자금 세탁 경로 및 구매에 대해 상세히 설명하고 있다. Uranium Finance는 사용자가 유동성 풀을 통해 자산을 예치하고 교환할 수 있도록 해주는 분산형 암호화폐 거래소였다. 검찰은 Spalletta가 2021년 4월에 두 차례에 걸쳐 스마트 계약의 약점을 악용하여 거래소와 사용자에게 상당한 손실을 초래했다고 주장하고 있다.
첫 번째 공격은 4월 8일에 발생했으며, 기소장에 따르면 Spalletta는 허위 스마트 계약 거래를 통해 자신이 받을 자격이 있는 것보다 더 많은 보상 토큰을 인출하여 약 140만 달러 상당의 암호화폐를 추출했다.
그는 유동성 풀에 있는 거의 모든 보상 토큰을 고갈시킬 때까지 거래를 반복했다고 한다. 4월 28일, 검찰은 그가 26개의 Uranium 유동성 풀에서 인출에 영향을 미치는 별도의 오류를 악용하여 약 5,330만 달러의 암호화폐를 훔쳤다고 주장하고 있다. 두 번째 해킹 이후 거래소는 자금 부족으로 폐쇄되었다.
자수 및 압수
이 사건은 원래의 해킹 사건을 넘어 상당히 진행되었다. DOJ는 Spalletta가 2026년 3월 30일 기소장이 공개된 후 자수했으며, 미국 마그리트 판사 Ona T. Wang 앞에 출두할 예정이라고 밝혔다. 별도로, 법 집행 기관은 2025년 2월 24일에 사법적으로 승인된 압수 영장에 따라 약 3,100만 달러 상당의 암호화폐를 압수했다.
암호화폐의 사용 경로
2021년의 주장된 공격과 이후 압수 사이의 긴 간격은 암호화폐 집행에서 익숙한 일이다. 주소 뒤에 있는 신원이 즉시 확인되지 않더라도 거래는 여전히 가시적일 수 있다. 주장된 암호화폐 해킹에서 포켓몬 카드 구매로의 경로는 기소장이 계약 악용에서 지출로의 경로를 설명하며, 단순히 지갑의 큰 잔액에 그치지 않는다.
검찰은 Spalletta가 암호화폐를 확보한 후 Tornado Cash를 포함한 지갑과 블록체인 간의 복잡한 거래를 통해 이를 이동시켰다고 주장하고 있다.
이 발표는 거래별 추적 계좌를 제공하지 않는다. 주장된 구매는 사건을 비정상적으로 구체적으로 만든다. DOJ는 그 수익이 약 50만 달러에 달하는 Black Lotus Magic: The Gathering 카드와 약 151만 달러에 달하는 18개의 밀봉된 Alpha 부스터 팩을 구매하는 데 사용되었다고 밝혔다.
구매 목록 및 증거
또한 약 257,500달러에 달하는 밀봉된 첫 번째 에디션 포켓몬 부스터 박스와 약 750,000달러에 달하는 완전한 첫 번째 에디션 포켓몬 기본 세트를 나열하고 있다. 주장된 암호화폐 지출은 포켓몬 카드에 그치지 않았다. 기소장은 약 137,500달러에 구매된 라이트 형제의 원래 비행기에서 나온 천 조각과 약 601,545달러에 구매된 줄리어스 시저의 암살을 기념하는 Eid Mar Denarius를 식별하고 있다.
이 발표는 Black Lotus 카드, 천 조각 및 특정 동전의 사진이 Spalletta의 거주지에서 사법적으로 승인된 수색 영장에 따라 압수된 물품과 관련이 있다고 밝혔다. 이러한 세부 사항은 정부의 주장에 대한 설명이지, 모든 항목의 비용을 지불한 사람이나 각 구매를 자금 지원한 지갑에 대한 입증된 계좌가 아니다.
결론
DOJ 발표는 약 2,600만 달러가 Tornado Cash를 통과했다고 명시하지 않으며, 이는 보충 보도에서 나타나는 수치이다. 이 숫자는 기소 발표 자체에 의해 확립된 것으로 간주되어서는 안 된다. 이 경로는 조사자에게 중요하다. 왜냐하면 수집품으로의 전환이 블록체인 외부에서 기록과 상대방을 생성할 수 있기 때문이다.
온체인 전송은 이동 패턴을 식별할 수 있지만, 구매 기록, 압수된 재산 및 기타 증거는 그 패턴을 개인과 연결하는 데 잠재적으로 도움이 될 수 있다. 증거의 힘은 단일 전송이나 고가의 물체가 아닌 결합된 체인에 있다. 이는 사건이 Uranium Finance를 넘어 관련이 있음을 의미한다. 암호화폐 자산은 주소 간에 빠르게 이동할 수 있으며, DeFi 해킹의 결과는 거래소 실패, 집행 조치 및 수년 후의 회복 노력 속에서도 지속된다. 다른 거래소의 위반 후 도난 자산을 추적하는 것은 동일한 문제를 제기한다: 이동을 추적하는 것이 소유권이나 의도를 입증하는 것과 동일하지 않다.
