5000만 달러 규모 가상자산 해킹, 범인은 포켓몬 카드 수집광?

미국 검찰은 탈취한 가상자산을 토네이도 캐시(Tornado Cash)로 세탁한 뒤, 이를 포켓몬 카드와 기타 수집품을 구매하는 데 사용한 Uranium Finance 해킹 사건의 용의자 두 명을 기소했다. 현재 조나단 스팔레타(Jonathan Spalletta)에게 제기된 혐의는 공소 사실일 뿐이며, 아직 법원의 유죄 판결이 내려진 것은 아니다.

2026년 3월 30일 발표된 미국 법무부(DOJ)의 기소장에 따르면, 이번 사건은 해킹 수법부터 자금 세탁 경로, 그리고 최종적인 물품 구매 과정까지 상세히 담고 있다.

Uranium은 사용자가 유동성 풀을 통해 자산을 예치하고 교환할 수 있도록 지원하는 탈중앙화 가상자산 거래소(DEX)였다. 검찰은 스팔레타가 2021년 4월 두 차례에 걸쳐 이 거래소의 스마트 컨트랙트를 악용했다고 주장한다. 출금 및 보상 로직의 취약점을 공략해 거래소와 사용자들에게 막대한 손실을 입혔다는 것이다.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

기소장에 따르면 첫 번째 공격은 4월 8일에 발생했다. 스팔레타는 기만적인 스마트 컨트랙트 거래를 연속으로 실행해 본인이 받을 권리가 있는 것보다 더 많은 보상 토큰을 인출했으며, 이를 통해 약 140만 달러 상당의 가상자산을 가로챘다. 또한 그는 풀 내의 거의 모든 보상 토큰이 고갈될 때까지 이 거래를 반복한 것으로 알려졌다.

이어 4월 28일, 검찰은 그가 26개의 Uranium 유동성 풀 전체에 영향을 미치는 별도의 출금 오류를 악용해 약 5,330만 달러 상당의 가상자산을 훔쳤다고 밝혔다. Uranium 거래소는 이 두 번째 해킹 이후 운영 자금이 부족해져 서비스를 중단했다. 법무부는 이번 사건이 총 5,000만 달러 이상의 피해를 입힌 두 건의 개별적인 공격으로 구성된다고 설명했다.

사건은 최초 해킹 시점으로부터 상당한 시간이 흐른 뒤 진전되었다. 법무부는 2026년 3월 30일 기소장이 공개된 후 스팔레타가 자수했으며, 오나 T. 왕(Ona T. Wang) 미국 치안 판사 앞에 출석할 예정이라고 전했다. 이와 별도로 수사 당국은 2025년 2월 24일, 법원의 압수수색 영장을 통해 약 3,100만 달러 상당의 가상자산을 압수한 바 있다.

2021년 발생한 공격과 이후 압수 사이에 발생한 긴 시간 차이는 가상자산 범죄 수사에서 흔히 볼 수 있는 현상이다. 지갑 주소 뒤에 숨은 신원을 즉각적으로 확인하기 어렵더라도, 블록체인상의 거래 기록은 영구적으로 남아 추적이 가능하기 때문이다.

가상자산 해킹 자금이 포켓몬 카드로 변하기까지

기소장은 단순히 지갑에 거액의 잔액이 남아 있는 것을 넘어, 컨트랙트 악용부터 실제 소비에 이르는 상세한 경로를 묘사하고 있다. 검찰은 스팔레타가 가상자산을 획득한 후 토네이도 캐시를 포함해 여러 지갑과 블록체인을 가로지르는 복잡한 거래를 통해 자금을 이동시켰다고 주장했다. 다만 법무부 발표 자료에 모든 거래의 추적 내역이 포함되지는 않았다.

이번 사건은 탈취 자금이 사용된 구체적인 구매 품목들로 인해 특히 주목받고 있다. 법무부에 따르면, 해당 자금은 약 50만 달러 상당의 ‘매직 더 개더링(Magic: The Gathering)’ 블랙 로터스(Black Lotus) 카드와 약 151만 달러 상당의 미개봉 알파 부스터 팩 18개를 구매하는 데 사용되었다. 또한 약 25만 7,500달러의 미개봉 포켓몬 1세대 부스터 박스와 약 75만 달러 상당의 포켓몬 1세대 베이스 세트 완성본도 목록에 포함되었다.

가상자산은 포켓몬 카드 외에도 다양한 희귀 수집품 구매에 쓰였다. 기소장에는 라이트 형제의 초기 비행기에서 떼어낸 천 조각(이후 우주비행사 닐 암스트롱이 달에 가져갔던 것)을 약 13만 7,500달러에 구매한 내역과, 율리우스 카이사르 암살을 기념하는 ‘에이드 마르(Eid Mar)’ 데나리우스 동전을 약 60만 1,545달러에 구매한 사실이 명시되어 있다.

법무부는 압수수색 영장을 집행하는 과정에서 스팔레타의 거주지에서 압수한 물품들 중 블랙 로터스 카드, 항공기 천 조각, 특정 동전들의 사진이 확인되었다고 밝혔다.

이러한 세부 사항은 정부의 주장을 뒷받침하는 정황일 뿐, 각 물품의 결제 주체나 자금 출처 지갑이 완전히 입증된 것은 아니다. 법무부의 공식 발표에는 약 2,600만 달러가 토네이도 캐시를 통과했다는 내용이 포함되지 않았으나, 이는 보충 보고서에 등장하는 수치이므로 기소장 자체의 확정된 사실로 간주해서는 안 된다.

수사 기관이 이러한 경로에 주목하는 이유는 가상자산이 수집품으로 전환될 때 블록체인 외부의 기록과 거래 상대방이 발생하기 때문이다. 온체인 송금은 이동 패턴을 파악하게 해주며, 구매 기록과 압수된 실물 자산 등의 증거는 그 패턴을 특정 개인과 연결하는 결정적 고리가 된다. 즉, 단일 송금 기록이나 고가의 물건 하나보다는 전체적인 증거의 사슬이 강력한 증명력을 갖게 된다.

이 사건은 Uranium Finance 사례를 넘어 업계 전반에 시사하는 바가 크다. 가상자산은 주소 간에 빠르게 이동할 수 있지만, 디파이(DeFi) 해킹의 여파는 거래소 파산, 법적 조치, 그리고 수년 뒤의 자금 회수 노력에 이르기까지 끈질기게 이어진다. 다른 거래소 해킹 자산을 추적하는 과정에서도 자금의 이동을 쫓는 것과 소유권 및 범죄 의도를 입증하는 것은 별개의 문제라는 점이 여전히 과제로 남아 있다.