지난주 북한 해커로 추정되는 공격자들이 암호화폐 거래소 Bitget을 공격해 3억 8,750만 달러를 탈취한 뒤, 수사관들은 수취 주소를 신속하게 식별하고 추적할 수 있었다. 

그 후 Bitget CEO 그레이시 첸은 탈중앙화 크로스체인 스왑 플랫폼 THORChain에 “이 주소들에 대한 서비스 제공을 거부하라”고 요구해 논란을 일으켰다.

THORChain은 다음과 같이 답했다:

“THORChain은 비트코인, 이더리움, BNB Chain처럼 탈중앙화되어 있으며 무허가형이다. 알려진 도난 자금을 처리할 때 비트코인, 이더리움, BNB Chain이 어떤 책임을 져야 하는가?”

이 조치는 논란을 불러일으켰다. 특히 지난 5월 THORChain 자체 자금 1,070만 달러가 탈취됐을 때는 프로토콜이 즉시 중단됐기 때문이다. 문제를 더욱 복잡하게 만드는 것은 THORChain이 관리자 키를 폐기했으며, 원한다 해도 주소를 검열할 쉬운 방법이 없다는 점이다.

출처: THORChain

이와 똑같은 논란은 이전에도 발생했다. 14억 6,000만 달러 규모의 Bybit 해킹으로 탈취된 자금 중 약 12억 달러를 THORChain을 통해 스왑한 사건이다. 공교롭게도 THORChain의 관리자 키는 불과 11일 전에 폐기된 상태였다.

NEAR Intents는 THORChain과 정반대의 접근 방식을 취했다. 자동화된 SHIELD 프로그램을 통해 해킹과 연관된 주소가 플랫폼에서 5,000만 달러를 스왑하지 못하도록 차단했으며, 그렇게 해주는 대가로 Bitget이 제시한 5% 보상금도 거절했다.

이제 NEAR Intents는 충분히 무허가형이 아니라는 이유로 탈중앙화 극대주의자들의 비판을 받고 있다.

이번 사건과 관련된 법적 쟁점을 논의하기 위해 Magazine은 D&A Partners의 유리 브리소프와 이야기를 나눴다. 다음은 대화를 편집한 내용이다.

Magazine: Bitget은 THORChain에 해킹과 연관된 자금을 차단해 달라고 요청했고, THORChain은 탈중앙화되어 있으며 무허가형이라고 답했습니다. 이것이 법적 방어 논리가 될 수 있나요? 해당 주소를 차단할 의무가 있나요?

브리소프: 탈중앙화 수준에 따라 다릅니다. 따라서 이들이 일부 주소를 차단하는 행동을 할 때, 노드가 진정으로 탈중앙화되어 있지 않다는 점을 보여주는 셈입니다. 악의적인 활동을 막기 위해 이러한 권한을 사용할 수 있다는 점은 커뮤니티에 유익합니다. 그러나 동시에 다른 어떤 법적 청구에도 노출됩니다. 이들이 가진 유일한 보호 수단은 “우리는 탈중앙화되어 있다”는 주장입니다.

Uniswap 사건에서 그들은 ‘우리는 진정으로 탈중앙화되어 있으며 할 수 있는 일이 없다’고 말했습니다. [투자자들은 러그풀 및 사기 토큰 38개를 구매한 뒤 Uniswap을 상대로 소송을 제기했지만, 판사는 3월에 사건을 기각했다 —편집자]

그리고 이는 모든 DeFi 프로토콜이 내세울 수 있는 가장 강력한 방어 논리입니다. 사기를 막기 위한 선의의 시도라 하더라도, 차단하거나 통제하거나 어떤 방식으로든 개입할 수 있다는 점을 보여주면 이러한 종류의 청구에 노출됩니다. 통제권이 있다면 그 통제가 명백한 사기 사건에만 제한되어서는 안 될 수도 있다는 것입니다. 통제가 실사 문제에도 적용된다고 봐야 합니다. KYC와 AML 보호 조치를 적용해야 합니다.

관련 기사: Uniswap, 암호화폐 ‘러그풀’을 지원했다는 집단소송에서 승소

Magazine: NEAR Intents는 해당 주소들을 차단했고, Bitget은 그렇게 해준 데 대해 감사를 표했습니다. 그렇다면 NEAR는 Intents가 탈중앙화되어 있지 않다는 점을 보여준 것이며, 앞으로 많은 다른 상황에서도 개입해야 한다는 의미인가요?

자산을 통제하고 있다는 점을 보여주면, 잠재적으로 펌프 앤드 덤프 수법, 변동성 또는 어떤 식으로든 피해를 입은 투자자들이 제기할 수 있는 기타 모든 청구에 노출될 수 있습니다. 이제 그들은 여러분이 통제권을 갖고 있다고 말할 수 있습니다. 왜 한 사례에서는 그것을 사용하고 다른 사례에서는 사용하지 않습니까? 플랫폼의 모든 토큰 발행자를 확인하지 않는 이유는 무엇입니까? 왜 그들은 모든 중앙화 거래소처럼 KYC 양식을 제공하지 않습니까? 

출처: 그레이시 첸

매거진: THORChain은 5월의 프로토콜 중단이 처음에는 자동화 시스템에 의해 촉발됐으며 특정 주소를 차단할 능력이 없다고 주장합니다. 이것이 사실이라면 항변 사유가 될 수 있습니까?

브리소프: 그럴 수도 있습니다. 아직 이 주장이 제기된 적이 없기 때문에 우리는 아직 알 수 없습니다. 하지만 어떤 형태로든 통제력이 있으면 모든 디파이 프로젝트는 어떤 청구인에 대해서든 상대적으로 취약해집니다.

매거진: 한편, 프로토콜은 특정 주소를 차단하고 싶다면 소프트웨어를 업그레이드할 수 있습니다. 프로젝트가 그런 조치를 취하지 않을 경우 무모하거나 과실이 있다는 이유로 법적 문제에 휘말릴 수 있습니까?

기술적 측면에서 어떻게 구현됐는지에 따라 다릅니다. 북한 IP를 감지해 자동으로 차단할 수 있는 오라클이 있고, 앉아서 버튼을 누르는 사람이 없다고 해봅시다. 즉, “북한 해커다. 차단하자”라고 말하며 버튼을 누르는 사람이 없는 경우입니다. 그렇다면 괜찮습니다.

상황을 감독하는 팀이 있어 “좋아요, 이것이 불법 활동임을 확인했으니 이 주소들을 차단하고 버튼을 수동으로 누르자”라고 말하는 경우라면 다릅니다. 법적 관점에서 이는 좋은 행위이고 커뮤니티에 이익이 되더라도, 프로젝트가 법적으로 완전히 탈중앙화된 상태가 아니게 만들며, MiCA[EU의 암호자산 시장법]와 같은 규정이나 SEC와 CFTC가 제시하는 일반적인 해석에 따른 보호를 박탈합니다. 즉, 완전히 탈중앙화되어 있다면 생태계 참여자들의 행위에 대해 책임을 질 수 없다는 보호를 잃게 됩니다.

출처: 알렉스 셰브첸코

매거진: NEAR의 기술은 SHIELD라고 불리며 공개 블록체인에서 알려진 해킹과 연관된 주소를 식별한 뒤 해당 주소가 Intents에 접근하지 못하도록 자동으로 차단하는 자동화 프로세스입니다. 그렇다면 탈중앙화된 것으로 간주될 가능성이 더 높다는 뜻입니까?

브리소프: 물론입니다. 이들은 프로토콜에 보호 조치를 [추가]하려는 선의의 행위자임을 보여줍니다. 운영을 수동으로 통제하는 컴플라이언스 팀이나 그런 역할을 하는 사람들이 없습니다. 이는 현명한 해결책이며, 이것이 우리가 모든 디파이 기업에 권고하는 방식입니다.

매거진: 2025년 2월, THORChain은 그런 종류의 일방적 변경을 가능하게 했던 관리자 키를 폐기했습니다. 관리자 키가 없고 검증자가 백 명이라는 점을 고려하면, 이것으로 충분히 탈중앙화됐다고 볼 수 있습니까?

브리소프: 그럴 가능성이 더 높지만, 확실하게 말할 수는 없습니다. 저는 그렇다고 말하겠습니다.

매거진: THORChain은 믹서가 아닙니다. 탈취한 Bitget 자금을 THORChain에서 스왑할 수 있지만, 반대편으로 빠져나올 때에도 여전히 Bitget 해커들과 투명하게 연결된 상태로 남습니다. 이것이 자금세탁의 정의에 어떻게 부합하나요? 아니면 장물 취득에 해당하나요?

브리소프: 자금세탁 혐의로 그들이 법적 책임을 질 수 있다는 점을 이해하기 어렵습니다. Tornado Cash조차 어느 정도는 자금세탁을 목적으로 만들어졌지만 [불변 스마트 계약은 자금세탁과 관련해 제재 대상 재산이 아니므로 미국의 제재를 피했다—편집자]. 미국 법은 어떤 것을 재산으로 보거나 재산으로 보지 않습니다. 그리고 자금세탁은 재산을 합법적인 경로를 통해 불법적으로 이동하는 것입니다. 불법 활동의 수익을 만들면 그것은 재산이 되고, 그런 다음 이를 어떤 경로를 통해 이동시켜 합법적인 것으로 보이게 하려는 것입니다. 그러나 스마트 계약은 애초에 재산이 아닙니다. 이를 통제하지도, 소유하지도 않습니다. 이것이 Tornado Cash가 OFAC 제재와 관련한 법정 소송에서 승소한 방식입니다. 그들은 스마트 계약에 대해 어떠한 통제권도 갖고 있지 않다는 점을 입증했을 뿐입니다.

미국 법은 어떤 것을 재산으로 보거나 재산이 아닌 것으로 봅니다. 그리고 자금세탁은 재산을 합법적인 경로를 통해 불법적으로 이동시키는 것입니다. 불법 활동의 수익을 만들면 그것은 재산이고, 그런 다음 이를 어떤 경로를 통해 이동시켜 합법적인 것으로 보이게 하려는 것입니다. 그러나 스마트 계약은 전혀 재산이 아닙니다. 여러분은 이를 통제하지 않습니다. 여러분은 이를 소유하지 않습니다. 이것이 Tornado Cash가 OFAC 제재와 관련된 법정 소송에서 승소한 방식입니다. 그들은 스마트 계약을 통제할 수 없다는 점을 입증했을 뿐입니다.

매거진: Bybit 해킹이 발생한 지 18개월이 지났습니다. 그렇다면 THORChain에 대해 법적 조치가 취해지지 않을 것이라는 의미인가요, 아니면 이런 사건은 단지 시간이 오래 걸리는 건가요?

브리소프: 앞으로 그런 일이 일어날 가능성은 분명히 있습니다. Bybit 사건 이후 그들은 잠재적인 청구에 스스로를 심각하게 노출시켰습니다. 

매거진: 큰 질문: 사토시는 실제로 110만 비트코인을 소유하고 있는가?