진실과 거짓 사이, 블록체인 관점에서 본 미얀마 북부 동맹군의 '랜섬웨어' 주소
글 작성: 만무(MistTrack), 비트레이스(Bitrace) 팀
배경
2024년 1월 16일, 한 블로거가 중국 소셜미디어 플랫폼을 통해 미얀마에 머물고 있던 전신사기 산업 종사자들에게 암호화폐를 강제로 거액 징수했다는 의혹을 제기하며, 수취용으로 사용된 것으로 추정되는 암호화폐 주소를 공개했으며, 현재 해당 폭로는 인터넷에서 광범위하게 확산되고 있다.
본문은 Bitrace와 MistTrack가 공동으로 공개된 주소에 대해 암호화 자금 분석을 수행한 내용으로, 주소의 자금 입출금 패턴, 자금 출처 리스크, 연관 주소 활동 등을 포함하여 관련 분석 내용을 공개하고자 한다.
주소 행동 분석
(https://mp.weixin.qq.com/s/WDWM22vw68-NsVr0_1jHfA)
위 이미지는 폭로 기사에 게재된 정보이며, 이를 바탕으로 연구진은 공개된 수취 주소 TKFsCN에 대해 USDT 환율 분석을 수행하여 특정 금액의 USDT 수취 내역을 역추적함으로써 그 이면의 정산 단위를 유추해보려 시도했다.
수취 주소의 과거 거래 기록을 보면, 해당 주소가 받은 USDT 거래 중에는 71417, 42857과 같이 십·백 단위로 딱 떨어지지 않는 금액이 다수 존재하는데, 이는 결제 통화가 달러가 아닌 다른 통화임을 나타내는 일반적인 특징이다. 각 주요 법정화폐와 USDT의 환율을 적용하여 계산해 본 결과, 연구진은 이러한 거래들이 1 USD : 7~7.2 CNY의 환율 기준으로 정산되었음을 발견했으며, 자금 이체 금액이 50만~60만 위안, 정확히 100만 위안, 정확히 150만 위안 등 특정 구간에 집중되어 있음을 확인했다.
100 USDT 이하의 거래를 필터링한 후 통계를 취한 결과, TKFsCN 주소로 총 307건의 USDT 입금이 있었으며, 이 중 193건은 위안화 기준 환율로 전환된 금액이었으며, 전체 거래 건수의 62.86%, 전체 거래 금액의 45.29%를 차지했다.
이는 해당 주소가 수령한 거래의 절반 이상이 위안화 단위로 정산되었음을 의미하며, 특히 50만 위안 상당의 송금이 주를 이루고 있음을 보여준다. 즉, USDT를 지불한 당사자는 중국인일 가능성이 높다.
자금 출처 분석
원문에서는 "옛 가두(老街)를 장악한 후에도 도처에서 (전신사기 산업 종사자인) 중국인들을 붙잡는데, 돈을 내고 자신을 보호할 것인지 여부를 선택하게 하며, 돈을 낸 사람은 보내주고, 안 낸 사람은 중국으로 송환한다"고 언급하고 있다. 만약 사실이라면 TKFsCN의 거래 내역에는 다수의 신규 거래 상대방이 등장해야 하며, 자금 일부는 회색·검은 산업, 돈세탁, 사기 등과 관련된 주소에서 유입되었을 것이다.
데이터에 따르면, 2023년 10월 22일부터 2024년 1월 2일까지 TKFsCN 주소는 182개의 직접 거래 상대방으로부터 USDT를 수령하였으며, 이 중 117개 주소는 소액 + 대액의 연속 두 번 이체 특성을 보였다. 이는 주소의 정확성을 확인하기 위한 전형적인 테스트 송금 행위로, 일시에 모든 자금을 이체하지 않고 먼저 소액을 보내 확인하는 방식이다. 이는 적어도 62.29%의 거래 상대방이 처음으로 송금한 것이며, TKFsCN과 고정된 거래 관계가 아님을 시사한다.
또한 TKFsCN에 대한 더 깊은 주소 리스크 및 자금 감사를 실시한 결과, 해당 주소로 송금한 거래 상대방들은 불법·회색 산업, 온라인 도박, 사기, 돈세탁, 리스크 있는 결제 활동 등과 밀접한 관련이 있었다. 182개의 직접 입금 주소 중 무려 42%가 리스크 활동과 관련된 주소였으며, 이들로부터 TKFsCN으로 유입된 USDT는 총 33,523,148달러에 달했다.
(이미지 출처: MistTrack 및 BitracePro)
주목할 점은, 이 리스크 활동 관련 주소 중 조사진이 7개의 명확히 알려진 형사 사건과 연결된 주소를 추가로 확인했다는 점이다. 여기에는 두 건의 돈세탁 사건, 한 건의 사기 사건, 한 건의 온라인 도박 사건, 한 건의 전화 사기 사건이 포함되며, 용의자의 위치는 모두 북미얀마 또는 캄보디아 지역에 있다.
이는 TKFsCN으로 지불을 실행한 거래 상대방 주소들이 단순히 리스크 있는 암호화 활동에 관여된 것뿐만 아니라 동남아시아 지역의 범죄 조직과도 밀접하게 연결되어 있음을 보여준다.
또 하나 주목할 점은, 조사진이 송금 주소 중 일부에서 전신사기 사건과 연결된 돈세탁 주소를 발견한 것이다. 이는 일부 송금 주소의 자금 흐름을 역추적 분석했을 때도 일정한 의문점이 존재함을 의미한다. 이 문제점은 아래의 「연관 주소 분석」 부분에서 민감 정보를 배제하여 간략히 설명하겠다.
연관 주소 분석
상기 TKFsCN 주소를 중심으로 클러스터링 분석을 수행한 결과, 이 주소는 약 백 개 정도의 주소와 동일 주체일 가능성이 있는 클러스터 관계를 형성하고 있으며, 일부 주소는 TKFsCN과 유사한 자금 입출금 활동 외에도 수취자에 대한 추가 정보를 제공한다. 예를 들어 수취 주소 TKKj8G의 경우:
-
TKKj8G는 TKFsCN으로부터 총 6번에 걸쳐 460만 달러 이상의 USDT를 직접 수령하였으며, 이후 자금 흐름상의 집계 주소 중 하나임;
-
TKKj8G는 핵심 수취 주소 중 하나로서, 100 USDT 이상의 60건 입금 중 무려 50건에서 TKFsCN과 동일한 소액 테스트 행위가 관찰됨;
-
TKKj8G는 2023년 8월 18일부터 활동을 시작했는데, 이는 다른 주소보다 훨씬 이른 시점이며, 이 기간 동안 화이완(Huiwang) 담보 서비스와 거래 기록이 존재한다. 즉, 화이완 담보 주소로부터 16만 USDT를 수령한 기록이 있는데, 이는 화이완 담보 업체의 상인이 담보금을 회수한 것으로 분석된다.
이는 원문에서 언급한所谓「재정부 주소」라는 것은 실제로 존재하지 않을 가능성을 시사하며, TKFsCN 및 TKKj8G를 포함한 일련의 주소들은 북미얀마 또는 캄보디아 지역에 위치한 디지털 통화 양도업체(承兑商)에 속하며, 어떤 이유로 인해 대신 이러한 자금을 수취한 것으로 보인다.
이상 거래
종합하면, 조사진은 전형적인 지불자 프로필을 그리기에 어렵지 않다. 즉, 동남아시아 지역에서 불법 활동을 하다가 어떤 이유로 인해 특정 대리 수취 주소에 50만 위안 상당의 USDT를 지불해야 하는 상황이다. 처음 거래이므로 주소 오류를 방지하기 위해 대량 송금 전 소액 테스트를 실시하며, 지불에 사용된 암호화폐는 기존의 불법 수익이거나 혹은 다른 불법 실체로부터 구매한 것이다.
그러나 모든 지불자가 위와 같은 특성을 갖는 것은 아니다. 조사진은 일부 특성에 부합하지 않거나 완전히 부합하지 않는 주소들도 발견하였다. 예를 들어 TYU5acSGRwsYJfBhdpQc3broSpfsjs8QFF 주소는 앞서 언급한 7개의 직접 연루 주소 중 하나인데, 나머지 6개 주소는 각각 TKFsCN에 50만, 50만, 100만, 100만, 270만(150+120), 55만 위안 상당의 암호화폐를 이체했다. 그러나 TYU5ac의 송금 금액은 동일한 환율로 환산 시 136만 위안으로, 정수이긴 하지만 다른 주소들과 비교했을 때 특이한 금액이다.
조사진은 그 이유를 알 수 없지만, 이 주소도 소액 테스트 행위를 수행했다는 점을 고려할 때, 가능한 추측은 이 거래가 50만 위안씩 3건의 송금을 통합한 것이며, 10%의 할인을 받았을 가능성이다.
결론
본문은 공개된 주소에 대해 자금 입출금 패턴, 자금 출처 리스크, 연관 주소 활동 등을 심층적으로 분석하고 그 내용을 공개하였다. 주요 결론은 다음과 같다:
-
분석 대상 주소로 유입된 거래의 절반 이상이 위안화 기준으로 정산되었으며, 특히 50만, 100만, 150만 위안 상당의 송금이 주를 이루었다.
-
해당 분석 대상 주소로 송금한 거래 상대방 주소들은 불법·회색 산업, 온라인 도박, 사기, 돈세탁, 리스크 있는 결제 활동 등과 밀접한 관련이 있다.
-
목표 주소 및 연관 주소들은 이러한 자금을 집중적으로 수령하기 이전부터 이미 리스크 있는 사업 활동 흔적이 있었으며, 클러스터링 분석 결과 해당 클러스터는 화이완 담보 서비스의 특정 상인일 가능성이 있다.
-
해당 분석 대상 주소로 지불을 실행한 거래 상대방 주소들은 북미얀마 또는 캄보디아 지역의 불법 조직과 밀접하게 연결되어 있다.
종합하면, 『동맹군 가상화폐 계좌 노출, 북국인으로부터 수억 달러 규모의 가상화폐 강탈』라는 제목의 기사에서 폭로한 일부 내용은 체인상의 사실과 일치하며, 실제로 북미얀마 또는 캄보디아에 위치한 중국계 전신사기 산업 종사자들이 특정 주소 그룹에 위안화 정수 금액의 USDT 자산을 집단적으로 이체한 정황이 존재한다. 다만, 해당 주소 그룹은所谓「재정부 주소」라기보다는 현지의 디지털 통화 양도업체 주소일 가능성이 높으며, 원문의 서술과는 다르다.
TechFlow 공식 커뮤니티에 오신 것을 환영합니다
Telegram 구독 그룹:https://t.me/TechFlowDaily
트위터 공식 계정:https://x.com/TechFlowPost
트위터 영어 계정:https://x.com/BlockFlow_News
@SlowMist_Team
