美 법무부, 디파이 프로토콜 해킹 혐의 캐나다 해커 기소… 총 6,500만 달러 탈취

미 법무부가 캐나다 국적의 안디안 메드제도빅(Andean Medjedovic)을 분산 금융(DeFi) 프로토콜인 카이버스왑(KyberSwap)과 인덱스드 파이낸스(Indexed Finance)을 해킹하여 약 6,500만 달러(한화 약 945억 원)를 탈취한 혐의로 기소했다.

지난 3일(현지시간) 브루클린 연방법원에 제출된 공소장에 따르면, 메드제도빅은 스마트 컨트랙트가 잘못 계산된 변수를 바탕으로 유리한 거래 환경을 조성해 투자자의 자산을 부당하게 인출했다. 그는 2021년 10월 인덱스드 파이낸스를 대상으로 첫 공격을 감행해 약 1,650만 달러(한화 약 239억 원)를 탈취하고, 이후 2023년 11월 카이버스왑을 이용해 약 4,880만 달러(한화 약 709억 원)를 추가로 빼돌린 것으로 밝혀졌다.

검찰은 메드제도빅이 카이버스왑 공격 이후 피해자들에게 허위 합의 제안을 통해 협박을 시도했으며, 이를 거절당하자 온체인 메시지를 통해 협박 성격의 협상 연기를 경고하며 프로토콜 운영권까지 요구했다고 밝혔다. 그는 협상 조건으로 자신이 빼돌린 디지털 자산의 절반을 반환하겠다는 제안을 한 바 있다.

이 과정에서 메드제도빅은 탈취한 암호화폐를 세탁하기 위해 블록체인 브릿지와 믹서를 사용하는 등 복잡한 경로를 통해 익명성을 유지하려 했으며, 가짜 정보를 이용해 은행 계좌로 자금을 인출하려 시도했다. 또한, 암호화폐 중 일부가 특정 블록체인 브릿지에서 동결되자 잠복 수사 중인 법 집행 요원을 소프트웨어 개발자로 가장해 8만 5,000달러(한화 약 1억 2,300만 원)를 지불하며 자금을 해제하려는 시도를 한 정황도 드러났다.

메드제도빅은 현재 수배 중이며, 변호인의 정보는 공개되지 않았다. 법무부는 이번 사건을 통해 DeFi 프로토콜 취약점을 악용한 해킹이 기술적 사기와 돈세탁으로 이어질 수 있음을 경고하며 관련 범죄를 엄중히 다루겠다는 입장을 밝혔다.