인터넷 중고거래 사이트 ‘중고나라’에서 사기당한 피해자들의 돈이 암호화폐로 세탁된 후 일부가 국내 최대 다크웹 마약 커뮤니티인 ‘하이코리아’와 랜섬웨어 공격을 하는 해커에게 흘러간 것으로 6월 28일 확인되었습니다.
다크웹은 특정 브라우저로만 접속 가능한 비밀 웹사이트로 인터넷주소(IP) 추적이 어려워 각종 범죄에 이용됩니다.

박준혁(31·가명)씨는 지난해 12월 한 온라인 카페에 올려진 광고를 보고 암호화폐 ‘펌핑’(인위적 가격 올리기) 아르바이트를 시작했습니다.
박씨의 일은 자신의 거래소 전자지갑과 연계된 은행계좌로 받은 현금을 다시 비트코인(BTC)으로 환전해 지정된 지갑 주소로 송금하는 것이었습니다.
박씨는 비트코인 전송 규모에 따라 1~1.5%의 수수료를 받았습니다.

지난해 말부터 올해 1월까지 박씨가 ‘민 대표’라는 신원불명의 인물로부터 수십 차례에 걸쳐 송금받은 현금 총액은 1억 9000여만원에 달했습니다.
박씨는 입금된 돈으로 비트코인을 사서 민 대표가 지정한 지갑 주소로 보냈습니다. 박씨가 전송한 비트코인 총액은 21.9BTC나 됐습니다. 하지만 박씨와 민 대표는 단 한 차례도 서로 만난 적이 없고, 모든 지시는 카카오톡으로 이뤄졌습니다.

민 대표라는 사람이 송금했던 1억 9000여만원은 서울 강남경찰서 수사를 통해 중고나라에서 수십~수백 차례 발생했던 사기와 보이스피싱 피해금으로 드러났습니다. 피해자들도 서울, 울산, 광주 등 전국에 퍼져 있었습니다.
박씨는 최근 금융실명거래 및 비밀보장에 관한 법률 위반 방조 혐의로 서울 중앙지검에 넘겨졌습니다.
그는 탐사기획부와의 인터뷰에서 “내가 중고나라 사기꾼들의 범죄 수익을 비트코인으로 세탁하는 환전상 역할을 한 것을 경찰 조사를 받고 알게 됐다”고 말했습니다.
블록체인 보안업체 S2W랩과 함께 민 대표가 박씨에게 알려 준 전자지갑 주소(bc1*****)의 자금 흐름을 추적했습니다.
박씨가 환전한 비트코인은 이 지갑으로 전송된 후 한 달여간에 걸쳐 115개 지갑으로 쪼개졌다가 각각 수천 개의 지갑으로 다시 합쳐져 나뉘는 전형적인 ‘믹싱 앤드 텀블러’ 기법으로 세탁되었습니다.

이 가운데 뭉칫돈인 2.2BTC(약 2000만원)가 전송된 지갑을 추적한 결과 0.4BTC(약 400만원)가 랜섬웨어 공격으로 블랙리스트에 오른 해커의 지갑으로 송금되었습니다.
0.04BTC(약 40만원)는 지난 2월 다크웹 마약 사이트인 하이코리아 운영자가 후원 계좌로 공개했던 지갑으로 전송된 것으로 나타났습니다. 하이코리아는 현재 폐쇄된 상태 입니다.
이지원 S2W랩 상무는 “박씨와 유사한 패턴의 비트코인 송금자들이 10여명 가까이 돼 범죄 피해 규모가 더 클 것으로 판단된다”고 말했습니다.