믹싱 서비스 (Mixing Service)

믹싱 서비스(Mixing Service, 믹서·텀블러)는 여러 사용자의 암호화폐를 한데 모아 섞은 뒤 다른 주소로 돌려보내, 입금한 자금과 출금된 자금의 연결을 끊는 서비스입니다. 영어권에서는 이런 서비스를 은어로 Laundry(세탁 서비스)라고 부르기도 하는데, 빨래를 뜻하는 ‘세탁’과는 다른 말입니다. 블록체인 분석으로 자금 흐름을 추적하기 어렵게 만드는 것이 목적이며, 이 때문에 자금세탁 수단으로 각국 규제 당국의 집중 감시를 받고 있습니다.

블록체인은 모든 거래가 공개되어 있어, 주소 사이의 자금 흐름을 따라가면 누가 누구에게 보냈는지 추정할 수 있습니다. 믹싱은 이 연결 고리를 끊으려는 기법입니다. 믹싱 자체는 개인정보 보호 수단으로도 쓰이지만, 해킹 자금이나 랜섬웨어 수익을 세탁하는 데 대량으로 쓰여 왔습니다.

작동 방식

• 중앙화 믹서: 운영자가 사용자의 코인을 받아 풀에 섞은 뒤 수수료를 떼고, 무작위 시차와 금액으로 다른 주소에 다른 코인을 돌려줍니다. 운영자가 자금을 보관하고 입출금 기록을 모두 알 수 있으므로 운영자를 믿어야 하고, 운영자가 수사 대상이 되면 이용 기록이 함께 드러날 수 있습니다. Blender.io, Sinbad가 이 유형입니다.
• 스마트 컨트랙트 믹서: 이더리움의 Tornado Cash처럼 사용자가 컨트랙트에 고정 금액을 예치하고, 나중에 영지식 증명으로 ‘예치한 사람 중 하나’라는 사실만 증명해 다른 주소에서 인출합니다. 운영자가 자금을 보관하지 않습니다.
• 코인조인(CoinJoin): 여러 사용자가 하나의 비트코인 트랜잭션에 입력을 함께 넣고 같은 금액의 출력들을 만들어, 어떤 입력이 어떤 출력으로 갔는지 구분하기 어렵게 만드는 방식입니다. Samourai Wallet의 Whirlpool이 대표적이었습니다.

믹서는 추적을 어렵게 만들 뿐 불가능하게 만들지는 않습니다. 입출금 금액과 시점, 수수료 지불 주소와 패턴, 재사용된 주소, 이후의 자금 이동을 분석해 연결 관계를 밝혀낸 사례가 수사와 재판에서 여러 차례 나왔습니다.

왜 위험한가

믹서는 해킹 자금과 범죄 수익의 세탁에 반복적으로 쓰였습니다. 미국 재무부는 북한이 사이버 탈취 자금을 세탁하는 데 믹싱을 활용해 왔다는 점을 규제 근거로 들었고, 북한 해킹 조직 라자루스가 주로 쓴 믹서로 Sinbad를 지목했습니다. 국내에서도 오르빗 브릿지 해킹(약 8,100만 달러) 자금에 믹서가 쓰였을 것이라는 분석이 나왔습니다.

미국의 규제 경과

• 2022년 5월: 미국 해외자산통제국(OFAC)이 믹서 Blender.io를 제재했습니다.
• 2022년 8월 8일: OFAC가 Tornado Cash를 제재 대상(SDN)에 올렸습니다. 미국 재무부는 Tornado Cash가 2019년 이후 70억 달러가 넘는 암호화폐의 세탁에 쓰였고, 그중 4억 5,500만 달러 이상이 북한 라자루스와 관련됐다고 밝혔습니다. 제재 대상에는 스마트 컨트랙트 주소까지 포함됐습니다. 이후 USDC 발행사 Circle은 관련 주소의 USDC를 동결했습니다.
• 2023년 10월: 미국 재무부 금융범죄단속네트워크(FinCEN)가 해외 암호화폐 믹싱 거래 전체를 「애국자법」 311조에 따른 ‘주요 자금세탁 우려’ 거래 유형으로 지정하고, 금융회사에 기록·보고 의무를 부과하는 규정안을 입법 예고했습니다. 거래 유형 전체를 이렇게 지정한 것은 처음이었습니다.
• 2023년 11월: OFAC가 Sinbad를 제재했습니다.
• 2024년 11월: 미국 제5순회항소법원은 Van Loon 대 재무부 사건에서, 누구도 통제하지 않는 변경 불가능한 스마트 컨트랙트는 제재법상 ‘재산’이 아니므로 OFAC가 권한을 넘어섰다고 판결했습니다.
• 2025년 3월 21일: OFAC는 Tornado Cash를 제재 명단에서 삭제했습니다. 다만 공동 개발자 로만 세메노프(Roman Semenov)는 개인 자격으로 제재 명단에 남아 있는 것으로 보도됐습니다.
• 2025년 8월 6일: Tornado Cash 공동 개발자 로만 스톰(Roman Storm)은 배심원 재판에서 무허가 송금업 운영 공모 혐의로 유죄 평결을 받았습니다. 자금세탁 공모와 제재 위반 공모 혐의는 배심원 의견이 갈려 평결이 나오지 않았습니다.
• 2025년 11월: Samourai Wallet 공동 창업자 두 명은 무허가 송금업 운영 공모 혐의를 인정했고, 각각 징역 5년과 4년을 선고받았습니다. 검찰은 이 서비스를 거친 범죄 수익이 2억 3,700만 달러가 넘는다고 밝혔습니다.

정리하면, 미국에서 스마트 컨트랙트 자체에 대한 제재는 법원 판단 이후 풀렸지만, 믹서를 운영하거나 개발한 사람에 대한 형사 처벌은 오히려 확정되고 있습니다. 제재가 해제됐다고 해서 믹서 이용의 위험이 사라진 것은 아닙니다.

한국에서는

• 국내에는 믹서만을 대상으로 한 별도의 금지 조항이 아직 없습니다. 금융정보분석원(FIU)은 2024년 1월 “믹서를 통한 자금 세탁 위험이 크다는 문제의식에 공감하고 있다”며 믹서 규제 도입을 검토하고 있다고 밝혔고, 가상자산사업자가 믹서를 거친 거래를 제한하는 방안이 주로 논의됐습니다.
• 가상자산사업자는 특정금융정보법에 따라 의심 거래를 금융정보분석원에 보고해야 하므로, 믹서를 거친 자금은 국내 거래소 입금 단계에서 문제가 되기 쉽습니다.
• 2020년 11월 입법 예고된 특정금융정보법 시행령 개정안에는 전송 기록을 식별할 수 없게 하는 기술이 내재된 가상자산(이른바 다크코인)의 취급을 금지하는 방안이 담겼습니다.
• 2026년 8월 11일 국무회의를 통과한 특정금융정보법 시행령 개정안은 등록된 가상자산사업자 사이의 트래블룰을 금액과 관계없이 모든 이전 거래로 넓히고, 국내 가상자산사업자가 해외 사업자·개인지갑과 거래할 때 위험도에 따라 차등적으로만 허용하도록 했습니다. 1,000만 원 이상 거래에는 의심 거래를 관리하는 자체 체계가 요구됩니다. 이 부분은 공포 후 6개월이 지난 날부터 시행됩니다.

이용자가 알아야 할 위험

• 입금 거부·동결: 믹서를 거친 자산은 거래소의 자금세탁방지 점검에서 고위험으로 분류될 수 있어, 입금이 보류되거나 자금 출처 소명을 요구받을 수 있습니다. USDT·USDC 같은 스테이블코인은 발행사가 주소 단위로 동결할 수 있어, 믹서를 거쳤더라도 자금이 묶일 수 있습니다. USDT 발행사 테더도 범죄 연루 주소를 동결해 왔습니다.
• 제재 위반 위험: 제재 대상 서비스나 주소와 거래하면 해당 국가의 제재 위반 문제가 생길 수 있습니다.
• 운영자 위험: 중앙화 믹서는 운영자가 자금을 가지고 사라지거나 수사로 서비스가 중단되면 자금을 돌려받지 못할 수 있습니다.
• 추적 가능성: 믹서를 썼다는 사실 자체가 블록체인에 남고, 분석 기술로 연결 관계가 밝혀질 수 있습니다.

쉽게 말하면

믹싱 서비스는 여러 사람의 지폐를 한 상자에 넣고 흔든 뒤 같은 금액을 꺼내 주는 것과 비슷합니다. 누구의 돈이었는지 알아보기 어렵게 만들지만, 그 상자를 쓴 사람은 오히려 더 많은 의심을 받게 됩니다.