지갑 화면 캡처, 선물받은 NFT에…김남국 거래 내역 ‘줄줄이’

‘온체인’에 잡힌 것과 숨은 것

김남국 의원의 가상자산(암호화폐) 보유 논란과 관련해 서울남부지검 형사6부(부장 이준동)가 지난 15일 가상자산 거래소 빗썸과 업비트를 압수수색했다. 사진은 이날 오후 서울 서초구 빗썸 고객센터의 모습. 연합뉴스

김남국 의원의 가상자산(암호화폐) 투기 의혹을 계기로 온체인 데이터(On-chain Data)에 대한 관심이 커지고 있다. 온체인데이터는 블록체인 상에서 일어나는 거래에 대한 기록으로 모두에게 공개된 정보다. 지갑 주소만 알면 그와 관련된 모든 거래 내역을 누구나 확인할 수 있다. 특정 주체에 의해 삭제되거나 수정될 수도 없다.

김 의원의 투기 의혹과 관련된 보도 대부분은 온체인데이터를 기반으로 제기됐다. 거래소에서 개인 지갑으로 옮기거나 디파이(탈중앙화 금융 서비스)에서 거래한 내역은 온전히 블록체인에 남아있기 때문이다.

가입일 선물받은 지갑 1310개로 압축

블록체인 서비스는 기본적으로 익명성을 기반으로 운영된다. 모든 거래내역을 누구나 볼 수 있지만 특정 지갑이 누구의 소유인지는 알기 어렵다.

그렇다면 김 의원의 개인 지갑 주소는 어떻게 발견됐을까. 김 의원이 지난 8일 공개한 입장문이 추적의 단서를 제공했다. 언론을 통해 수십억원의 가상자산을 이체했다는 의혹이 제기되자 김 의원은 자신의 가상자산 보유현황을 공개했다. 입장문에는 2개의 가상자산 거래소(업비트, 빗썸)의 자산 내역과 1개의 개인 지갑 화면을 갈무리한 사진이 포함됐다.

※ 이미지를 누르면 크게 볼 수 있습니다.

김 의원이 공개한 개인 지갑은 클레이튼 기반의 ‘클립’ 지갑이다. 김 의원은 지난해 1월 20일(협정세계시 기준) 클립 지갑에 가입했다. 그리고 3종류의 가상자산을 각각 1억3590만원, 5819원, 53원어치 보유하고 있었다. 보유 가상자산의 이름은 공개하지 않았다.

가상자산 커뮤니티는 이를 기반으로 역추적해 김 의원의 지갑 주소를 찾아냈다. 클립 지갑은 처음 회원가입을 하면 ‘클립(KLIP)’이라는 대체불가능토큰(NFT)을 선물로 준다. ‘클레이튼스코프'라는 블록체인 탐색기를 통해 조회하면 이날 클립을 받은 지갑수는 1310개다. 이 가운데 김 의원이 공개한 금액과 비슷한 가상자산을 보유한 지갑은 하나밖에 없었다.

‘0xf34~’로 시작하는 지갑주소는 2022년 1월 20일 오후 9시 26분(협정세계시)에 클립을 받았다. 그리고 45만여개의 클레이(KlAY), 6.45개의 클레이스왑(KSP), 1.1개의 클레이다이스(DICE) 등을 보유하고 있었다. 이들의 원화 환산액은 김 의원이 공개했던 보유잔고와 거의 일치했다.

빗썸 출금 막히자 업비트로 우회한 듯

김 의원의 클립 지갑이 특정되자 이와 관련된 업비트 입금 지갑, 빗썸 입금 지갑, 위믹스 지갑 등이 추가로 발견됐다. 클립 지갑을 중심으로 입금과 출금 내역을 추적한 결과다.

업비트나 빗썸 같은 거래소에 가상자산을 보내기 위해서는 입금 주소가 필요하다. 사용자가 가상자산 입금을 요청하면 거래소가 주소를 제공하는 방식이다. 온체인 상으로 김 의원의 클립 지갑에서 거래소 입금 주소로 위믹스가 이동한 내역이 발견됐다.

2022년 1월 21일 세 차례에 걸쳐 빗썸 핫월렛(온라인 연결 지갑)에서 클립 지갑으로 41만7481개의 위믹스가 옮겨졌다. 이들 위믹스는 2022년 1월 28일 클립에서 빗썸으로 이동했다. 이 과정을 통해 ‘0xa35~’로 시작하는 김 의원의 빗썸 입금 주소가 확인됐다.

빗썸 입금 주소를 살펴보면 위믹스를 입금한 주소가 하나 더 발견된다. ‘0xba35~’로 시작하는 위믹스 지갑 주소다. 위믹스 지갑은 클립 지갑과는 별개로 김 의원이 사용한 또 다른 개인 지갑이다. 김 의원이 입장문에서 공개한 지갑에 포함되지 않았지만 온체인 분석으로 발견됐다. 2021년 10월 15일 100개의 위믹스가 이 지갑에서 빗썸 입금 주소로 이동했다.

‘0x077~’로 시작하는 업비트 입금 주소도 발견됐다. 김 의원은 2022년 1월 31일과 2월 14일 양일에 걸쳐 85만5362개의 위믹스를 빗썸 핫월렛에서 업비트로 옮겼다. 이 과정에서 ’이상거래’가 적발됐다. 김 의원이 60억원어치의 위믹스를 옮겼다는 최초 의혹도 이 거래에서 비롯됐다.

2022년 1월 31일 김 의원은 빗썸에서 업비트로 보낸 위믹스를 12시간만에 클립 지갑으로 옮겼다. 이 과정에서 업비트를 단지 ’이동 채널’로만 활용했다. 이는 당시 빗썸이 개인지갑에 대한 출금을 전면 금지했기 때문이다. 다만 빗썸에서 다른 거래소(업비트)로 가상자산을 보내는 것은 가능했다. 빗썸에서 클립지갑으로 위믹스를 빼내기 위해 김 의원이 우회하는 과정을 거쳤다는 의혹이 나온다.

블록체인 탐색기로 드러난 업무 중 거래

김 의원이 지난해 국회 인사청문회와 상임위원회 도중 가상자산 거래를 했다는 의혹도 온체인 데이터로 남았다. 김 의원은 이와 관련해 지난 15일 “두말할 여지 없이 반성하고 깊이 성찰하고 있다"며 공개적으로 사과했다.

퍼블릭 블록체인은 모두에게 공개된 ‘분산원장’이다. 각각의 블록체인마다 탐색기가 존재한다. 비트코인 탐색기를 들어가면 비트코인이 공개된 이후 첫번째 블록에 담긴 거래내역부터 지금까지 발생한 거래까지 누구나 확인할 수 있다. 이더리움이나 다른 퍼블릭 블록체인도 마찬가지다.

김 의원은 클레이튼 기반의 블록체인 서비스를 주로 이용했다. 클레이튼은 카카오의 자회사인 그라운드엑스가 지난 2019년 출시한 퍼블릭 블록체인이다. ‘클레이튼스코프'라는 누리집에서 김 의원의 주소를 입력하면 관련된 모든 거래 내역이 조회된다. 지금까지 김 의원을 둘러싼 대부분의 의혹은 여기서 단서를 얻었다. 김 의원이 언제 어떤 토큰을 사고 팔았는지가 공개된 데이터로 남아 있기 때문이다.

탈중앙화 거래소 통해 잡코인 거래

김 의원이 거래한 것으로 알려진 가상자산은 40여종이 넘는다. 온체인 데이터를 보면 김 의원은 디파이 서비스를 적극적으로 사용한 것으로 파악된다. 디파이는 중개자 없이 블록체인 상에서 이뤄지는 금융 서비스를 말한다. 탈중앙화거래소(DEX)는 블록체인 상에서 스마트 계약으로 거래를 한다는 점에서 업비트나 빗썸 같은 중앙화거래소와 차이가 있다.

김 의원이 투자한 것으로 알려진 마브렉스와 메콩코인 등은 모두 탈중앙화거래소에서 거래가 이뤄졌다. 클레이튼 기반으로 운영되는 거래소에서 거래됐기 때문에 클레이튼 블록체인 상에 거래 내역이 그대로 기록됐다.

김 의원이 30억원 넘게 투자한 것으로 알려진 유동성 공급(LP)도 디파이에서 주로 사용된다. 유동성 공급은 탈중앙화거래소에서 특정 가상자산끼리 교환할 수 있도록 도와주는 역할을 하고 수수료 수익을 얻는 투자 방식이다. 이 과정은 모두 스마트 계약을 기반으로 블록체인 상에서 자동으로 이뤄진다. 이 때문에 김 의원이 유동성 공급을 한 내역도 온체인 데이터로 모두 남아있는 상태다.

위믹스 취득 경로 규명이 관건

거래소에서 가상자산을 입금하거나 출금할 때는 블록체인이 활용된다. 개인 지갑이나 다른 거래소로 가상자산을 출금한 기록도 온체인 데이터로 남는다.

하지만 김 의원과 관련한 의혹이 해소되기 위해선 온체인 분석만으로는 한계가 있다. 업비트나 빗썸 같은 중앙화거래소에서 원화를 입금하거나 출금하는 내역은 블록체인에 기록되지 않기 때문이다. 거래소에서 어떤 가상자산을 사고 팔았는지도 거래소 내부 기록으로만 남아있다. 김 의원이 어떤 경로를 통해 위믹스를 취득했는지 밝혀지지 않은 이유다.

김기만 코인데스크 코리아 기자 [e-mail]