美 법무부, 6,500만 달러 탈취한 디파이 해커 기소…최대 90년형 가능

미국 법무부(DOJ)가 캐나다 국적의 22세 해커 안데안 메제도비치(Andean Medjedovic)를 암호화폐 6,500만 달러(약 942억 원) 상당을 탈취한 혐의로 기소했다.

3일(현지시간) 미 검찰은 메제도비치가 2021년부터 2023년까지 디파이(DeFi) 프로토콜 인덱스드 파이낸스(Indexed Finance)와 카이버스왑(KyberSwap)에서 스마트컨트랙트 취약점을 악용해 부당하게 자금을 인출했다고 밝혔다. 그는 프로토콜의 핵심 금융 매개변수를 조작해 가짜 가격을 만들어 냄으로써 투자자들에게 막대한 손실을 끼친 것으로 전해졌다.

검찰에 따르면, 메제도비치는 자금 세탁을 위해 디지털 자산 스왑, 브릿징 트랜잭션, 크립토 믹서를 활용했고, 카이버스왑 해킹 이후에는 해당 프로토콜 개발자와 투자자들을 협박해 도난 자산 반환 조건으로 플랫폼과 DAO의 완전한 통제권을 요구하기도 했다.

그는 전신사기, 보호된 컴퓨터에 대한 무단손상, 홉스법(Hobbs Act)상 협박 시도, 자금세탁 등의 혐의로 5개 항목에서 기소됐다. 이 가운데 컴퓨터 관련 범죄는 최대 징역 10년, 나머지 4건은 각각 최대 20년형이 선고될 수 있는 중범죄다.

메제도비치는 2021년 인덱스드 파이낸스 해킹 이후 도피 생활을 이어왔다. 그는 온라인을 통해 자신이 '코드이즈로(Code-is-Law)' 논리를 따랐다고 주장하며, 스마트컨트랙트의 허점을 이용한 것이 합법이라고 항변했다. 2023년 DL뉴스와의 인터뷰에서는 유럽과 중남미를 떠돌다가 한 외딴 섬에 정착했다고 밝혔으나, 해킹 행위에 대해선 답변을 회피했다.

그가 관련된 해킹 사건은 이후에도 계속됐다. 지난해 카이버스왑에서 약 5,000만 달러(약 725억 원) 상당의 암호화폐가 유출된 사건에서도 그의 지갑 주소가 관련된 것으로 밝혀졌다. 이후 그는 이더리움(ETH)으로 도난 자금을 이체하려 했으나 개발자들에 의해 차단됐고, 이에 불만을 품고 직접 개발팀에 연락해 거래 처리 강행을 요구했던 것으로 전해진다.

이번 기소에 대해 인덱스드 파이낸스 공동 창립자인 로렌스 데이(Laurence Day)는 "수사당국의 조치가 투자자들의 피해를 보상하는 데는 크게 기여하지 못할 것"이라며 "이미 도난당한 자금의 일부가 또 다른 해킹 사건에서 추가로 탈취돼 회수 가능성이 낮다"고 지적했다.

메제도비치 사건은 디파이 업계에서 보안 취약점과 관련된 문제를 다시 한번 부각시키며, 향후 규제 당국이 이 같은 공격을 방지하기 위한 추가 조치를 검토하는 계기가 될 것으로 보인다.