4100 BTC를 훔친 2억4500만 달러 사건 지갑보다 사람이 먼저 뚫렸다

싱가포르 출신의 말론 램(Malone Lam)이 약 2억4,500만 달러 규모의 비트코인 탈취 사건과 관련해 미국 연방법원에서 유죄를 인정했다. 피해 규모만 보면 거대한 해킹 사건처럼 보이지만, 범행의 출발점은 비트코인 네트워크의 취약점이 아니었다. 범인들은 기업 지원팀을 사칭하고 피해자의 클라우드 계정과 보안 정보를 장악하는 사회공학 수법을 사용했다.

제공된 영문 자료를 그대로 번역하지 않고, 최근 법원 보도와 수사기관의 보안 안내를 기준으로 사건을 다시 구성했다. 핵심 교훈은 단순하다. 하드웨어 지갑을 사용해도 신원 확인 절차와 복구 정보가 무너지면 자산을 지키기 어렵다.

사건 핵심 내용

구분	확인된 내용
피고인	말론 램, 싱가포르 출신 22세
유죄 인정 혐의	연방 공갈조직법상 음모 혐의
대표 피해	워싱턴 D.C. 거주자 1명에게서 4,100 BTC 이상 탈취
당시 평가액	약 2억4,500만 달러 이상으로 보도
주요 수법	개인정보 수집, 기업 지원팀 사칭, 계정·보안 코드 탈취
사건 관계자	총 18명 기소, 램은 11번째 유죄 인정자
가능한 최고 형량	최대 징역 20년
선고	보도 시점에는 선고일 미정

‘유죄 인정’과 ‘형 확정’은 다르다. 램이 혐의를 인정했지만 실제 형량은 법원이 별도의 선고 절차에서 결정한다. 공동피고인에 관한 내용도 유죄가 확정되지 않은 부분은 검찰의 주장 또는 공소 사실로 구분해야 한다.

4,100 BTC는 한 번의 대형 피해에서 빠져나갔다

AP통신이 법원 절차와 검찰 설명을 토대로 보도한 내용에 따르면, 램과 공범들은 2024년 8월 워싱턴 D.C.의 한 투자자로부터 4,100 BTC 이상을 빼돌렸다. 일부는 Google과 Gemini 관계자를 사칭해 피해자가 계정 접근 권한과 보안 코드를 넘기도록 유도한 것으로 전해졌다.

원문에는 비트코인 가치가 2억3,000만 달러 이상이었다는 설명과 전체 피해액 2억4,500만 달러가 함께 등장한다. 두 숫자가 다른 이유는 평가 시점의 비트코인 가격, 반올림 방식, 비트코인 외 자산이나 다른 피해의 포함 범위가 다를 수 있기 때문이다. 4,100 BTC가 2억4,500만 달러라면 역산 가격은 1BTC당 약 5만9,756달러다.

계산 항목	값
탈취된 비트코인	4,100 BTC 이상
보도된 피해액	약 2억4,500만 달러 이상
단순 역산 가격	약 5만9,756달러/BTC

이 계산은 실제 매도 가격이나 회수 금액을 뜻하지 않는다. 비트코인은 가격이 계속 변하기 때문에 사건 발생일, 압수일, 재판일 가운데 언제 평가하느냐에 따라 달러 환산액이 크게 달라진다.

범인들은 블록체인을 해킹하지 않았다

이 사건을 ‘비트코인 해킹’으로만 부르면 공격 경로를 오해할 수 있다. 공개된 설명상 범인들은 비트코인 합의 알고리즘이나 암호 체계를 깨뜨리지 않았다. 대신 표적의 개인정보를 모으고, 신뢰할 만한 기업 직원처럼 전화한 뒤, 계정과 보안 절차를 우회했다.

공격은 대체로 다음과 같은 구조로 이해할 수 있다.

1. 유출된 데이터베이스 등에서 고액 보유자로 추정되는 표적을 찾는다.
2. 거래소나 기술기업의 보안 담당자인 것처럼 연락한다.
3. ‘계정이 위험하다’는 공포를 만들어 피해자의 판단 시간을 줄인다.
4. 클라우드 접근 권한, 인증 코드 또는 지갑 접근에 필요한 정보를 얻는다.
5. 확보한 권한으로 비트코인을 외부 주소로 옮긴다.
6. 여러 플랫폼과 자산을 거치며 추적을 어렵게 만든다.

이 수법이 무서운 이유는 피해자가 스스로 정상적인 보안 절차라고 믿게 만든다는 점이다. 공격자는 암호를 수학적으로 풀 필요가 없다. 피해자가 인증 정보를 말하거나 승인 버튼을 누르도록 유도하면 된다.

하드웨어 지갑도 만능 방패가 아닌 이유

하드웨어 지갑은 개인키를 인터넷과 분리해 보관하는 데 유용하다. 하지만 다음 조건에서는 보호 효과가 약해질 수 있다.

• 복구 문구를 사진으로 찍어 클라우드에 저장한 경우
• 공격자에게 복구 문구나 PIN을 알려준 경우
• 가짜 지원 직원의 안내에 따라 악성 프로그램을 설치한 경우
• 기기 화면의 받는 주소를 확인하지 않고 전송을 승인한 경우
• 실물 기기와 복구 문구를 같은 장소에 둔 경우
• 보유 자산과 생활 정보를 SNS에 과도하게 공개한 경우

특히 원문에는 공범이 주거지에 침입해 하드웨어 지갑을 훔친 사례도 수사 내용으로 소개된다. 이 부분은 온라인 계정만 보호해서는 충분하지 않다는 점을 보여준다. 다만 공동피고인 관련 세부 범행은 최종 판결 전까지 공소 사실과 확정 사실을 구분해서 읽어야 한다.

보관 방식	막을 수 있는 위험	남는 위험
거래소 보관	개인키 직접 관리 실수	계정 탈취, 거래소 사고, 출금 승인 공격
소프트웨어 지갑	거래소 파산·출금 중단	악성코드, 피싱, 복구 문구 유출
하드웨어 지갑	온라인 개인키 노출	사칭, 물리적 절도, 잘못된 서명
다중서명 지갑	단일 키 분실·탈취	서명자 공모, 복잡한 복구 절차

4,100 BTC의 가치는 가격에 따라 달라진다

탈취량을 4,100 BTC로 놓고 비트코인 가격만 바꾸면 총가치는 빠르게 커진다. 1BTC가 4만 달러일 때는 1억6,400만 달러지만, 10만 달러라면 4억1,000만 달러다. 그래서 가상자산 사건의 피해액을 비교할 때는 코인 수량과 평가 시점을 함께 적어야 한다.

훔친 자산은 사치품과 현금화 과정으로 이동했다

검찰과 수사기관 설명에 따르면 탈취된 자산은 여러 경로로 세탁된 뒤 고급 차량, 고가 시계, 임대 저택, 전용기와 유흥비 등에 사용됐다. 램은 한 번의 밤에 로스앤젤레스의 한 클럽에서 56만9,000달러를 사용한 것으로 보도됐으며, 200만 달러짜리 시계와 30대가 넘는 고급 차량도 사건 기록에 등장한다.

이처럼 눈에 띄는 소비는 범죄 수익의 종착점일 뿐이다. 수사 관점에서는 자산이 어느 주소에서 어느 거래소로 이동했는지, 현금화 담당자가 누구인지, 구매 자금과 실물 자산이 어떻게 연결됐는지가 더 중요하다. 블록체인 거래는 가명성을 갖지만 공개 장부에 흔적이 남기 때문에, 거래소의 고객확인 자료와 결합되면 수사의 단서가 될 수 있다.

개인 투자자가 바로 적용할 보안 원칙

1. 전화가 오면 그 통화에서 아무것도 해결하지 않는다

거래소나 이메일 업체를 사칭한 사람이 ‘지금 조치하지 않으면 자산을 잃는다’고 말해도 인증 코드나 복구 문구를 알려주면 안 된다. 통화를 끊고 앱이나 공식 홈페이지를 직접 열어 알림을 확인한다. 상대가 알려준 링크와 전화번호는 사용하지 않는다.

2. 이메일과 거래소 계정을 분리한다

가상자산 거래소에 사용하는 이메일은 쇼핑과 SNS 가입용 이메일과 분리하는 편이 좋다. 비밀번호도 각각 다르게 설정하고, 비밀번호 관리자를 사용하면 재사용 위험을 줄일 수 있다.

3. 문자 인증보다 보안키·패스키를 우선한다

문자 인증은 유심 교체 공격과 통신사 계정 탈취에 노출될 수 있다. 가능한 서비스에서는 물리적 보안키나 패스키처럼 피싱에 강한 방식을 사용한다. 중요한 계정에는 예비 보안키를 별도 장소에 보관한다.

4. 출금 주소를 사전에 등록한다

거래소가 출금 주소 등록과 변경 대기시간을 지원한다면 활성화한다. 새 주소를 추가하자마자 전액을 보낼 수 없게 만들면 계정이 탈취돼도 대응 시간을 확보할 수 있다.

5. 큰 금액은 한 지갑에 모으지 않는다

생활용, 거래용, 장기 보관용 지갑을 분리한다. 큰 금액에는 다중서명을 고려하고, 소액 시험 전송 후 실제 주소를 기기 화면에서 다시 확인한다.

6. 복구 문구를 사진이나 클라우드에 저장하지 않는다

복구 문구는 암호화된 디지털 파일이라도 온라인 계정 탈취의 영향을 받을 수 있다. 오프라인 매체에 기록하고 지갑 기기와 분리해 보관한다. 누구에게도 입력하거나 읽어주지 않는다.

보안 앱 하나로 해결할 수 없는 문제

제공된 원문의 마지막에는 특정 포트폴리오·뉴스 앱을 소개하는 문단이 붙어 있다. 그러나 해당 서비스와 말론 램 사건 사이의 직접적인 관련성은 제시되지 않았다. 가격 차트와 뉴스, 알림을 한 화면에 모으는 기능은 편의성을 높일 수 있지만, 복구 문구 유출이나 지원팀 사칭, 잘못된 송금 승인을 자동으로 막아주는 것은 아니다.

보안 제품을 평가할 때는 ‘회원가입이 필요 없다’는 홍보 문구보다 다음을 확인해야 한다.

확인 항목	살펴볼 내용
권한	지갑 연결·서명·주소록·알림 권한을 요구하는가
데이터	기기 밖으로 전송되는 정보가 무엇인가
개발 주체	회사와 책임자의 신원이 공개됐는가
보안 검증	독립 감사와 취약점 신고 제도가 있는가
수익 구조	광고·제휴 링크가 정보 노출 순서에 영향을 주는가

사건 기사 뒤에 붙은 제품 홍보를 수사기관의 권고처럼 받아들여서는 안 된다.

피해가 의심될 때 해야 할 일

이미 정보나 코인을 보냈다면 부끄러워하거나 혼자 해결하려고 시간을 보내지 않는 것이 중요하다.

1. 거래소와 지갑 사업자에 즉시 연락해 계정을 잠근다.
2. 남아 있는 자산을 안전한 새 지갑으로 옮기되, 감염이 의심되는 기기는 사용하지 않는다.
3. 거래 해시, 상대 주소, 전화번호, 이메일, 채팅과 화면을 보존한다.
4. 국내 경찰과 이용 중인 금융회사에 신고한다.
5. 해외 관련 사건이라면 해당 거래소의 수사 협조 창구도 확인한다.
6. ‘피해금을 대신 찾아준다’며 추가 송금을 요구하는 2차 사기를 경계한다.

FBI도 사이버 사기가 의심되면 금융회사에 먼저 연락해 계정을 보호하고, 신고를 서두르라고 안내한다. 블록체인 전송은 취소가 어렵기 때문에 초기 대응 속도가 중요하다.

자주 묻는 질문

말론 램은 유죄 판결을 받은 것인가?

램은 연방 공갈조직법상 음모 혐의에 대해 유죄를 인정했다. 하지만 형량은 별도의 선고 절차에서 정해지며, 보도 시점에는 선고일이 확정되지 않았다.

4,100 BTC 전체가 회수됐나?

공개 보도만으로는 전액 회수됐다고 볼 수 없다. 압수·동결된 자산과 실제 피해자에게 반환된 자산을 구분해야 한다.

하드웨어 지갑이 해킹된 사건인가?

대표적인 4,100 BTC 탈취는 사회공학을 통해 계정과 보안 정보를 빼낸 사건으로 설명된다. 하드웨어 지갑 자체의 암호 기술이 깨졌다는 의미는 아니다.

고객센터 직원이 인증 코드를 요구하면 어떻게 해야 하나?

코드를 제공하지 말고 통화를 종료해야 한다. 공식 앱이나 직접 입력한 홈페이지 주소를 통해 고객센터에 다시 문의한다.

자산 조회 앱을 사용하면 이런 범죄를 막을 수 있나?

가격 확인과 알림에는 도움이 될 수 있지만 사회공학 공격을 막는 핵심 수단은 아니다. 계정 분리, 피싱 방지 인증, 출금 제한, 오프라인 복구 문구 보관이 더 중요하다.

헬퓨경제의 의견

이 사건에서 가장 인상적인 부분은 범인들이 비트코인 기술을 깨지 않고도 거액을 빼냈다는 점이다. 보안은 지갑 제품 하나를 사는 것으로 끝나지 않는다. 이메일, 전화번호, 클라우드, 복구 문구, 물리적 보관 장소가 하나의 방어 체계로 연결돼야 한다.

개인적으로는 큰 금액을 보유한 투자자일수록 ‘편리함’을 조금 포기해야 한다고 본다. 거래용 자산과 장기 보관 자산을 나누고, 큰 출금에는 시간 지연과 별도 기기 확인을 두는 방식이 번거롭더라도 피해 규모를 제한할 수 있다. 반대로 고객센터를 사칭한 상대와 한 번의 통화로 계정 복구부터 자산 이동까지 모두 처리하는 구조는 너무 위험하다.

또한 범죄 기사 끝에 특정 앱의 장점을 붙이는 방식도 경계할 필요가 있다. 사건의 공포가 커질수록 독자는 해결책을 빨리 찾고 싶어지지만, 광고 제품이 사건의 공격 경로를 실제로 차단하는지는 별개의 질문이다. 이번 사건의 진짜 교훈은 더 많은 차트를 보는 것이 아니라, 누구도 인증 정보와 복구 문구를 요구할 수 없다는 원칙을 지키는 것이다.

이 글은 정보 제공을 위한 자료이며 법률·투자·보안 자문이 아닙니다. 가상자산은 전송 후 회수가 어렵고 서비스별 보안 기능과 책임 범위가 다르므로 공식 안내를 직접 확인해야 합니다.

출처

• AP통신: 말론 램 유죄 인정과 4,100 BTC 탈취 사건
• AP통신: 범행 조직과 자금 세탁·사치성 지출 분석
• FBI: 사회공학 사기 특징과 피해 대응 안내
• 미국 인터넷범죄신고센터 IC3
• 미국 법무부 워싱턴 D.C. 연방검찰청