정부가 푼 게임 강도 사건: FBI는 어떻게 엑시의 6억 2,000만 달러 피해를 북한과 연결했나

대부분의 게임 범죄는 계정 정지로 끝난다. 이 사건은 외국 정부를 지목한 FBI 성명으로 끝났다.

2022년 3월 23일 공격자들이 베트남 스튜디오 스카이 마비스가 *엑시 인피니티*를 위해 만든 블록체인 로닌 네트워크를 털었다. 피해 규모는 이더와 USDC로 약 6억 2,000만 달러였다. 몇 주 뒤 FBI는 수사 결과 범인을 확인했다고 밝혔다. 미국 당국이 북한과 연계된 것으로 보는 해킹 조직 라자루스 그룹과 APT38이었다. 미국 재무부는 관련 암호화폐 주소를 제재했다. 게임의 보안 실패가 국가 안보 사건이 된 것이다.

무엇을 빼앗겼나

도난은 두 차례 거래로 이뤄졌다. 이더 17만 3,600개와 USDC 2,550만 개다. 스카이 마비스가 이를 알아차리는 데 6일이 걸렸다. 금액 기준으로 2023년 5월까지 사상 최대 규모의 암호화폐 해킹이었다.

시점도 엑시에 가혹했다. 이 게임은 팬데믹 기간 필리핀의 많은 이용자에게 생계 수단이 됐고, 게임 경제는 이미 압박을 받고 있었다. 해킹 이후 이용자가 크게 줄었다.

FBI가 나선 이유

게임사 해킹은 보통 민사 문제이거나 지역 경찰 사건이다. 로닌은 규모와 용의자가 달랐다. FBI는 북한 연계 행위자 두 곳의 소행임을 확인했으며, 재무부 등과 협력해 사이버 범죄와 암호화폐 탈취를 포함한 북한의 불법 수익 활동을 계속 드러내고 막겠다고 밝혔다.

이 틀은 중요하다. 미국 당국은 북한 조직의 암호화폐 탈취를 국가의 자금원으로 보기 때문에 제재법이 개입한다. 재무부가 로닌 공격자의 주소를 제재 명단에 올리자, 그 주소에서 나온 자금을 다루는 미국인은 미국 법을 어길 위험을 지게 됐다. 훔친 코인을 규제받는 거래소에서 현금화하기가 그만큼 어려워진다.

스카이 마비스의 대응

스카이 마비스는 추가로 벤처 투자를 유치해 피해 이용자 전원에게 보상했다. 해킹당한 암호화폐 프로젝트 가운데 이렇게 한 곳은 많지 않다. 회사는 *엑시 인피니티*와 로닌 네트워크 운영을 이어 갔다. 하지만 이 사건은 업계가 브리지, 즉 블록체인 사이에서 토큰을 옮기는 시스템을 보는 시각을 바꿔 놓았다. 큰 자산을 모아 두는 구조 탓에 브리지는 공격의 1순위 표적이 돼 있었다.

이용자와 스튜디오를 위한 교훈

법적 후속 조치는 자금이 네트워크를 빠져나간 뒤 게임사가 할 수 있는 일이 얼마나 적은지도 보여 줬다. 회수는 스카이 마비스가 게임 안에서 할 수 있는 일이 아니라 다른 나라의 수사 기관, 거래소, 제재 명단에 달려 있었다.

이용자에게 로닌은 블록체인에서 게임 자산을 '소유'한다고 해도 주변 인프라가 무너지면 지킬 수 없다는 사실을 일깨운다. 스튜디오에게는 자체 체인을 운영한다는 것이 은행급 보안 조직을 운영한다는 뜻임을 보여 줬다. 규제 당국에게 블록체인 게임은 소비자 문제를 넘어 제재와 자금세탁 방지의 문제가 됐다.

왜 중요한가

한국 게임 규제 당국은 사행성을 걱정한다. 이 사건에서 미국 정부는 돈이 어디로 갔는지를 걱정했다. 두 걱정 모두 블록체인 게임의 설계를 바꾼다. 게임 브리지의 열쇠를 누가 쥘지부터 어떤 거래소가 토큰을 받아 줄지까지.

WGC의 시각: 로닌 해킹은 흔히 한 회사의 실수 이야기로 전해진다. 하지만 블록체인 게임이 적대 국가가 노릴 만큼 많은 돈을 담을 수 있다는 사실을 각국 정부가 깨달은 순간이기도 하다. 그 뒤로 정부들은 이 분야를 다르게 대하고 있다(미국 규제 당국과 게임 NFT).