북한 테러 피해자들이 7,100만 달러 디파이 자금을 노린다

7,100만 달러의 이더리움이 맨해튼 연방법원의 명령 한 줄에 묶여 있다. 그 돈을 두고 세 주체가 싸우고 있다. 북한 테러 피해자, 세계 최대 탈중앙화 대출 프로토콜 Aave, 그리고 법원 어딘가에 이름조차 없는 라자루스 그룹. 이 싸움의 결말은 디파이가 국제 제재와 테러 보상법의 사정권 안에 들어오는지를 결정할 수도 있다.

무슨 일이 있었나: 4월의 해킹, 5월의 법정

지난 4월 18일, 탈중앙화 대출 프로토콜 Aave에서 약 2억 3,000만 달러 규모의 자산이 빠져나갔다. 공격 방식은 정교했다. 공격자는 크로스체인 브리지 취약점을 이용해 실질적 가치가 없는 rsETH 토큰을 대량으로 발행한 뒤, 이를 담보로 Aave의 대출 시장에서 실제 이더리움을 빌렸다. 담보는 휴지 조각이었고, 빌린 돈은 진짜였다.

체이널리시스와 TRM 랩스 등 블록체인 포렌식 기업들은 이 공격을 북한의 라자루스 그룹 소행으로 지목했다. 아비트럼 블록체인 개발자들이 자금 이동을 추적해 7,100만 달러를 중간에서 차단했고, 이 금액이 현재 법원 명령으로 동결된 상태다.

여기까지는 사이버 범죄 사건이다. 그런데 5월 6일 맨해튼 연방법원 심리를 앞두고 제출된 30페이지짜리 준비서면이 이 사건의 성격을 완전히 바꿔놓았다.

'절도냐, 사기냐': 법리 싸움의 핵심

북한 테러 피해자 측 변호인단이 꺼낸 카드는 단순해 보이지만 파급력이 크다. 이번 사건은 절도가 아니라 사기라는 주장이다.

왜 이 구분이 중요한가. 미국 재산법에서 절도와 사기는 소유권 이전 여부에서 갈린다. 물건을 훔치면 도둑은 소유권을 얻지 못한다. 하지만 사기로 재산을 넘겨받으면 — 설령 그 취득이 나중에 취소 가능하더라도 — 법적으로 일단 소유권이 이전된다. 변호인단은 이를 '결함 있는 소유권(defeasible title)'이라고 표현하며, 준비서면에서 직접 폰지 사기를 예시로 들었다.

광고

광고주 모집

[email protected]

광고

변호인단의 논리는 이렇다. 북한은 Aave 사용자들로부터 자산을 빌렸고 갚지 않았다. Aave가 담보를 청산하려 했을 때 담보가 무가치하다는 사실이 드러났다. 이는 강탈이 아니라 기만적 대출 거래이며, 따라서 동결된 이더리움은 북한이 사기를 통해 '취득한' 자산으로 볼 수 있다는 것이다.

이 논리가 성립하면 다음 카드가 작동한다. 바로 테러리즘 위험 보험법(TRIA)이다. 9·11 이후 제정된 이 연방법은 국가 후원 테러에 대한 법원 판결을 받은 피해자가 해당 국가의 미국 내 자산을 압류할 수 있도록 허용한다. 변호인단은 동결된 7,100만 달러가 북한의 미국 내 재산에 해당한다고 주장한다. TRIA 논리가 받아들여지면 뉴욕주 재산법 논쟁은 부차적인 문제가 된다.

Aave의 반론: "우리는 자산을 통제하지 않는다"

Aave 측은 동결 명령 자체를 무효화하려 했다. 그런데 변호인단은 이에 맞서 Aave 자신의 이용약관을 역으로 활용했다.

Aave의 서비스 약관에는 프로토콜이 사용자 자산에 대한 "점유, 보관 또는 통제권"을 갖지 않는다고 명시되어 있다. 탈중앙화 금융의 핵심 철학을 담은 문구다. 변호인단은 이를 근거로 Aave가 동결 명령에 이의를 제기할 법적 당사자 자격(standing) 자체가 없다고 주장한다. 자산을 통제하지 않는다고 스스로 선언한 주체가 어떻게 그 자산의 동결에 반대할 수 있느냐는 논리다.

디파이 프로토콜들이 규제 회피를 위해 내세워온 "우리는 중개자가 아니다"라는 논리가 법정에서 부메랑으로 돌아온 셈이다.

한편 변호인단은 피해자들이 반드시 이 7,100만 달러가 필요한 것도 아니라고 언급했다. 업계 주도의 회복 기금인 DeFi United — Aave 자신도 참여하고 있는 — 가 이미 3억 2,795만 달러를 조성했다. 분쟁 대상 금액의 네 배가 넘는다.

더 큰 그림: 디파이와 국가 제재의 충돌

이 사건이 단순한 해킹 피해 보상 분쟁으로 끝나지 않는 이유는 판례 효과 때문이다. 법원이 TRIA를 디파이 자산에 적용 가능하다고 판단하면, 이는 탈중앙화 프로토콜이 국제 제재와 테러 자금 추적의 직접적인 대상이 될 수 있음을 의미한다. 지금까지 디파이는 "코드는 법이 아니다"와 "코드가 곧 법이다" 사이 어딘가에 존재해왔다. 이번 판결은 그 경계를 명확히 긋는 계기가 될 수 있다.

라자루스 그룹은 2022년 Ronin 브리지6억 2,500만 달러, 2023년 Atomic Wallet1억 달러 등 지속적으로 디파이 생태계를 공격해왔다. 탈중앙화 구조가 자금 추적과 회수를 어렵게 만든다는 점을 정확히 겨냥한 전략이다. 이번 사건에서 처음으로 피해 자금의 일부가 법원 명령으로 묶였다는 사실 자체가 이미 전례다.