미국 법무부, 6,500만 달러 탈취 혐의 22세 해커 기소…DeFi 보안 위협 부각

미국 법무부(DOJ)가 18세부터 6,500만 달러(약 943억 원)의 암호화폐를 탈취한 혐의로 한 남성을 기소했다. 이 사건의 피의자는 현재 22세인 안디안 메드제도비치로 밝혀졌으며, DeFi(탈중앙화 금융) 프로토콜인 ‘카이버스왑’과 ‘인덱스드 파이낸스’에서의 해킹 공격과 관련된 다섯 건의 혐의로 기소됐다.

DOJ에 따르면, 메드제도비치는 주로 ‘플래시 대출’이라 불리는 단기 대출 기술을 사용해 두 프로토콜에서 각각 1,500만 달러와 5,000만 달러를 탈취한 것으로 보인다. 플래시 대출은 코드를 이용해 단 한 번의 거래로 암호화폐를 빌리고 갚는 방식이며, 그는 이를 악용해 토큰의 가치를 인위적으로 부풀린 후, 다른 토큰으로 교환해 차익을 실현하는 ‘민팅’ 과정을 활용했다.

특히, 2021년에 발생한 인덱스드 파이낸스 해킹은 이의 대표적인 사례로 꼽히며, 메드제도비치가 해당 프로토콜의 취약점을 절묘하게 이용해 약 1,190만 달러(약 173억 원)를 개인 계좌로 유입한 것으로 파악됐다. 그는 이후 피해 기업의 자금을 반환하는 조건으로 10%의 암호화폐를 제안받았으나 이를 거절하고, 오히려 피해 기업 측 인사들과 디스코드 채팅을 통해 조롱한 것으로 확인됐다. 디스코드상의 닉네임과 이더리움 지갑 주소, 그리고 기타 온라인 계정을 추적한 결과, 관련 정보는 2021년에 참여한 해킹 콘테스트의 사용자명과 일치했고, 이는 메드제도비치를 특정하는 주요 단서가 됐다.

2023년, 그는 또 다른 해킹 공격을 감행하여 카이버스왑에서 복잡한 거래 네트워크를 통해 약 5,000만 달러(약 725억 원)을 추가로 탈취한 혐의를 받고 있다. 이 과정에서 그는 여러 블록체인 사이의 자산 스왑과 암호화폐 은닉 작업을 시도한 것으로 DOJ는 밝혔다.

메드제도비치는 Bloomberg와의 이메일 인터뷰에서 "스마트 계약이 제공한 공개 규칙을 따랐을 뿐"이라 주장하며 자신은 해커가 아닌 정당한 거래자로 행동했다고 항변했다. 그는 또 "개인 키를 훔치지 않았으며, 단순히 시장의 미스프라이싱(mispricing) 기회를 활용했을 뿐"이라며 혐의를 부인했다.

현재 메드제도비치는 수배 중이며, 법무부는 그가 아직도 법의 심판을 피해 도주 중이라고 밝혔다. 이번 사건은 암호화폐와 DeFi의 보안 취약성을 극명히 보여주는 사례로, 향후 블록체인 생태계에 강력한 규제와 투자 유치 방향에 영향을 미칠 가능성이 크다.