1,500만 달러 규모의 비트코인 갈취 사건으로 랜섬웨어 해커 유죄 인정

랜섬웨어 공격으로 미국 기업들이 복호화 키를 얻기 위해 비트코인을 지불해야 했다

연방 검찰은 카렌 세로보비치 바르다니안(Karen Serobovich Vardanyan)과 연계된 류크(Ryuk) 랜섬웨어 공격 기간 동안 미국 피해자들로부터 1,500만 달러 이상의 비트코인이 유출되었다고 주장했다. 우크라이나에서 송환된 34세의 아르메니아 국적자는 2019년 11월부터 2020년 4월까지 자행된 사이버 공격에 가담한 사실을 인정한 뒤, 지난 7월 8일 공모 및 컴퓨터 사기 혐의에 대해 유죄를 인정했다.

침입자들이 피해 기업의 네트워크에 침투한 후, 피해자들은 파일이 암호화되고 업무용 컴퓨터가 작동하지 않으며 기업 데이터에 접근할 수 없는 상황을 겪었다. 이 조직은 수백 대의 서버와 컴퓨터에 류크 랜섬웨어를 유포한 뒤, 이로 인한 혼란을 이용해 기업들에게 암호화폐로 복호화 도구를 구매하도록 압박했다. 연방 검찰은 7월 9일 보도자료를 통해 다음과 같이 설명했다:

“이 사기 계획의 일환으로, 피해 기업들로부터 데이터 접근 권한을 되찾기 위한 복호화 키를 대가로 몸값을 갈취했습니다. 컴퓨터 시스템에는 암호화폐인 비트코인으로 몸값을 지불하라는 요구가 담긴 몸값 요구서가 게시되었으며, 피해자들이 사이버 범죄자들과 소통할 수 있는 이메일 주소도 제공되었습니다.”

지불 지침은 피해를 입은 조직들이 비트코인을 사용하도록 유도했으며, 공격자들과의 이메일 연락 창구를 마련해 주었습니다. 이를 통해 공모자들은 접근 권한을 상실한 피해자들과 협상하고, 송금 사실을 확인한 뒤, 자금이 해당 조직이 통제하는 주소로 입금되면 접근 권한을 복구할 수 있는 키를 제공할 수 있었습니다.

공격 대상 기업 중에는 네트워크 통제권을 되찾기 위해 200비트코인을 지불한 미시간주 기업이 포함되었다. 이 지불액은 완료 시 110만 달러를 초과했다. 그 밖의 사건으로는 오리건주 윌슨빌의 한 기술 기업과 2020년 2월에 공격을 받은 텍사스주 학교가 있었다.

9월 선고에 앞서 연방 유죄 인정 합의로 배상 조건 확정

검찰은 이번 작전을 통해 얻은 암호화폐 수익이 총 약 1,610 비트코인에 달한다고 주장했다. 수집된 BTC는 거래 당시 1,500만 달러 이상의 가치를 지녔으나, 보도 자료에는 완전한 피해자 목록, 지갑 내역, 또는 개별 공격과 관련된 지불 내역이 포함되지 않았다.

포틀랜드 대배심원단은 2024년 2월 22일, 바르다니안을 공모, 컴퓨터 사기, 공갈 혐의로 기소했다. 그의 유죄 인정 합의로 공모 및 컴퓨터 사기 혐의가 해결되었으며, 합의 조건에 따라 그는 110만 달러 이상의 배상금을 지급해야 한다. 연방 검찰은 다음과 같이 밝혔다:

“바르다니안은 공모 혐의로 최대 5년의 징역형, 25만 달러의 벌금, 3년의 보호관찰을 선고받을 수 있습니다. 컴퓨터 사기 혐의에 대해서는 최대 10년의 징역형, 25만 달러의 벌금, 3년의 보호관찰을 선고받을 수 있습니다. 바르다니안은 2026년 9월 22일 미국 연방 지방법원 판사로부터 선고를 받게 될 것입니다.”

잠재적인 처벌에는 각 범죄에 대한 별도의 징역형, 벌금, 보호관찰 기간이 포함됩니다. 미국 연방 지방법원 판사는 2026년 9월 22일, 유죄 인정 합의서, 배상 의무, 적용 가능한 연방 양형 지침 및 심리 전에 제출된 기타 자료를 검토한 후 형량을 결정할 예정입니다.