OFAC 제재 40개월 논쟁 끝에…미 재무부, 토네이도 캐시 제재 번복

코드가 제재 명단에 오른 날

2022년 8월 8일, 미국 재무부 외국자산통제국(OFAC)은 전례 없는 조치를 단행했다. 이더리움 스마트 컨트랙트 주소 묶음을 특별지정국민(SDN) 명단에 올린 것이다. 개인도, 회사도, 재단도, 알려진 운영자가 통제하는 지갑도 아닌, 단지 Tornado Cash라는 이름의 배포된 불변 소프트웨어를 대상으로 한 것이었다. 그날 아침부터 해당 컨트랙트와 상호작용하는 모든 미국인은 이론상 무기 거래상이나 테러 지원 국가에 적용되는 것과 똑같은 2차 제재 체제에 노출되었다. 재무부 자체 집계에 따르면 Tornado Cash는 2019년 이후 70억 달러 이상을 세탁했고, 그중 북한 라자루스 그룹이 훔친 약 4억 5,500만 달러가 포함되어 있다는 이유였다. 해법은 코드 자체를 제재 대상으로 삼는 것이었다.

이후 40개월간 논쟁이 이어졌다. 두 개의 연방법원과 한 개의 네덜란드 형사법원, 그리고 암호화폐 정책 블로그의 댓글창에서 동시에 벌어졌다. 그간 답할 필요가 없던 질문이었다. 정부가 사람을 제재하듯 소프트웨어를 제재할 수 있는가.

OFAC이 실제로 한 일

원래 지정에는 수십 개의 컨트랙트 주소와 세 개의 연결된 도메인이 포함되었다. 수 시간 내에 주요 미국 규정 준수 시스템이 움직였다. Circle은 같은 날 제재된 주소에 묶여 있던 약 75,000 USDC를 동결했다. GitHub는 Tornado Cash 유지보수자의 저장소를 비활성화했으며, Roman Semenov의 개인 계정도 포함되었다. Infura와 Alchemy는 해당 컨트랙트 주소에 대한 RPC 접근을 차단했다. Coinbase는 이후 이 조치에 이의를 제기할 Coin Center 소송 일부를 조용히 자금 지원하며 더 신중한 태도를 보였다. 그리고 여러 사용자가 최종적으로 Van Loon v. Treasury가 된 소송의 원고가 되었다.

일반 사용자에게 미친 실질적 영향은 이상하면서도 컸다. Tornado Cash에 예금한 적이 있는 사람은 누구나, 북한 해킹 이전 수년 전에 그랬더라도, 8월 9일에 일어나 자신의 지갑이 잠재적으로 노출되었음을 알게 되었다. 소수의 장난꾸러기들이 제재가 원치 않는 송금을 통해 스스로 무기화될 수 있는지 실험 삼아 유명인 주소로 소량의 혼합 ETH를 보냈다. 기소 가능한 의미에서는 불가능했지만, 냉각 효과는 즉각적이었다. 이더리움상의 프라이버시는, 비범죄적 이유로 해당 프로토콜을 쓴 평범한 사람에게, 변호사를 고용해 빠져나가야 하는 문제가 되었다.

Pertsev 사건

SDN 지정 이틀 뒤인 2022년 8월 10일, 네덜란드 재무정보수사국이 암스테르담 외곽에서 Alexey Pertsev를 체포했다. 그는 프로토콜의 공식 개발자 중 한 명으로, 2019년 배포 이후 참여해 왔다. 이후 20개월 대부분을 구속 상태에서 보냈다.

2024년 4월 27일, 헤르토헨보스의 동브라반트 지방법원이 그를 자금 세탁 혐의로 유죄 판결하고 5년 4개월형을 선고했다. 네덜란드 법원의 논리는 중요하며, 미국 제재법에 전혀 의존하지 않는다는 점에서 주의 깊게 읽을 가치가 있다. 법원은 Pertsev가 처리량의 상당 부분이 도난당한 자금임이 명확해진 뒤에도 프로토콜을 계속 유지·업데이트·홍보했으며, 이러한 적극적 유지보수가 네덜란드 형법상 자금 세탁 운영에 해당한다고 판단했다. 판결은 프로토콜을 작성한 것 자체를 불법이라고 보지 않았다. 알고도 운영한 것을 불법이라고 본 것이다.

미국 측 사건

미국 사건은 다른 양상을 띠었다. Coin Center와 Blockchain Association이 조직하고 일부 자금을 지원한 여섯 명의 Tornado Cash 사용자가 텍사스에서 재무부를 상대로 소송을 냈다. 지방법원에서 패소했고, 제5순회항소법원에 항소했다. 2024년 8월 26일, 3인 판사부가 뒤집었다.

Don Willett 판사가 작성한 판결문은 EFF, a16z, Coin Center, Blockchain Association의 법정 친구 의견서가 수년간 주장해 온 제1수정안 문제에는 이르지 않았다. 대신 더 좁고 더 치명적인 법적 근거, 즉 국제비상경제권한법(IEEPA)이 OFAC의 조치를 단순히 승인하지 않는다는 점에서 판결을 내렸다. 이유는 정의적 문제였다. IEEPA는 대통령이 외국인의 이해관계가 있는 "재산"을 차단할 수 있게 한다. 판사부는 Tornado Cash의 불변 스마트 컨트랙트가 재산이 아니라고 판단했다. 원래 배포자를 포함한 누구도 소유·양도·통제할 수 없기 때문이다. 판사부가 표현한 대로, OFAC은 법안의 문언을 넘어 "이를 남용하는 불량자와 단체가 아닌" 소프트웨어 자체를 직접 제재하려 했다.

법원이 명시적으로 결정하지 않은 것이 결정한 것만큼 중요하다. 코드가 제1수정안 하에서 표현인지는 밝히지 않았다. 재무부가 업그레이드 가능한 스마트 컨트랙트, 멀티시그 통제 프로토콜, 또는 작동하는 거버넌스 토큰이 있는 DAO를 제재할 수 있는지도 밝히지 않았다. 당시 SDNY에서 공모 혐의로 재판을 기다리던 Roman Storm이 동일한 코드를 작성한 것에 대해 형사상 책임이 있는지도 밝히지 않았다. 판결은 좁은 질문에 대한 깔끔한 법적 승리였고, 이는 전원합의체 심사와 대법원 관심에서 살아남는 바로 그런 판결이다.

명단 제외와 2025년 11월 지침

OFAC은 판결에 따라 조치하는 데 7개월이 걸렸다. 2025년 3월 21일, 재무부는 Tornado Cash를 SDN 명단에서 제거하고 악성 사이버 행위자에게 이익이 될 수 있는 거래를 계속 모니터링할 것이라고 조용히 밝혔다. 명단 제외는 오류 인정이 아니었다. 행정 정리였다.

진정한 번복은 8개월 뒤에 찾아왔다. 2025년 11월 18일, 재무부는 불변 스마트 컨트랙트, 즉 어떤 당사자도 코드를 변경할 수 없는 스마트 컨트랙트가 IEEPA의 의미에서 "재산"이 아니므로 이처럼 제재할 수 없다는 공식 해석 지침을 발표했다. 이 지침은 Van Loon의 논리를 Tornado Cash 파일뿐 아니라 모든 OFAC 프로그램에 전향적으로 적용한다. 업그레이드 가능한 컨트랙트, 서명 키, 프론트엔드, 배포자 주소, 프로토콜과 관련된 모든 인간 행위자에 대한 기관의 권한은 그대로 유지한다.

프라이버시 소프트웨어를 작성하는 코드 작성자에게 이 변화는 의미가 있다. 특정 믹서의 사용자에게는 훨씬 작다. 네덜란드의 Pertsev 유죄 판결은 여전히 유효하다. 2025년 8월 7일 배심원단 평결 불능으로 무효심판이 선고된 Roman Storm 기소는 재시도될 수 있으며, 법무부는 그 의지를 밝혔다. 오늘날 Tornado Cash를 사용하는 사람은 여전히 은행 비밀 보고, 모든 주요 거래소의 의심 거래 플래그, 그리고 혼합 ETH가 더러운 ETH라는 잔존하는 사회적 추정에 따른다.

주요 일자

• 2022년 8월 8일: OFAC, Tornado Cash 컨트랙트 주소를 SDN 명단에 추가
• 2022년 8월 10일: Alexey Pertsev, 네덜란드에서 체포
• 2024년 4월 27일: 동브라반트 지방법원, Pertsev 자금 세탁 유죄 판결
• 2024년 8월 26일: 제5순회항소법원, Van Loon v. Treasury 판결
• 2025년 3월 21일: OFAC, Tornado Cash를 SDN 명단에서 제거
• 2025년 8월 7일: Roman Storm 재판, SDNY에서 무효심판 종결
• 2025년 11월 18일: 재무부, 불변 스마트 컨트랙트는 제재 가능한 재산이 아니라는 공식 지침 발표

Directory에 미치는 변화

Tornado Cash 자체는 우리 Directory에 없으며, 2025년 11월 지침도 이를 바꾸지 않는다. 우리는 검토하고, 연락하고, 문서화된 운영 기준을 적용할 수 있는 서비스를 나열한다. 운영자도, 서비스 데스크도 없는 프로토콜은 법적 지위와 관계없이 우리가 검증할 수 있는 것이 아니다. 변화하는 것은 편집적 틀이다.

4년간 프라이버시 도구의 지배적 가정은 이러했다. 규제기관이 충분히 싫어하는 프로젝트는 OFAC 펜의 한 획으로 인터넷에서 제거할 수 있고, 이러한 제거는 설계 시 고려해야 하는 영구적인 구조적 사실이다. Van Loon과 11월 지침은 이 가정을 덜 종말론적으로 만든다. 코드에 대한 제재는 제1수정안 논쟁에서 승리할 필요 없이, 대략 3년의 일정으로 일반적인 법정 소송을 통해 이의를 제기하고, 축소하고, 번복할 수 있다. 이는 다른 위협 모델이다. 30년간 일반 소프트웨어 수출업자가 겪어 온 무역 규정 준수 자세에 더 가깝고, 2022년 이후 프라이버시 커뮤니티가 써 온 존재론적 틀과는 더 멀다. 우리는 그에 따라 작성할 것이다. 한편 Pertsev 사건은 운영적 경고로 남는다. 제재된 행위자에 의해 실질적으로 점령된 프로토콜을 유지보수하는 것은 재산 논쟁에서 승리할 필요 없이, 유지보수 논쟁에서 승리할 수 있는 관할권에서의 개인적 형사적 위험이다.

출처

• US Treasury press release JY0916, Tornado Cash sanctions (Aug 8, 2022)
• Van Loon v. Department of the Treasury, Fifth Circuit (Aug 26, 2024)
• Coin Center, Tornado Cash litigation and policy
• Electronic Frontier Foundation, code-is-speech coverage
• Chainalysis, Tornado Cash sanctions analysis

편집 기록

• 2025-11-25 : 재무부 11월 18일 지침 유포 후 첫 초안. Willett 판결문 언어는 2차 보도가 아닌 판결문 원문에서 직접 인용하여 일반적인 의역 편차를 피함. Samourai Wallet에 관한 계획된 섹션은 별도 기사가 필요하다고 판단하여 삭제.
• 2025-12-02 : 독자가 2022년 8월 온체인 규정 준수 대응을 누락했다고 지적한 후 Circle USDC 동결 세부사항 추가. Pertsev 섹션을 미국 독자들이 가장 흔히 오해하는 부분인 작성이 아닌 유지보수라는 네덜란드 이론이 명확하도록 수정.
• 2025-12-09 : 법적 검토에서 법원이 명시적으로 피한 제1수정안 영역으로 흘러갔다고 지적한 후 Van Loon 섹션에서 약 180단어 삭제. "rogue persons and entities who abuse it" 직접 인용으로 대체.
• 2025-12-14 : 법무부 12월 11일 현황 회의 제출 후 DOJ의 재시도 신호 추가. 기록이 여전히 진행 중이므로 검사 이름은 언급 보류.
• 2025-12-18 : Directory 섹션 최종 검토. 새로운 자세를 "제재 위험"이 아닌 "무역 규정 준수"라고 할지에 대한 내부 이견 후 위협 모델 단락을 다듬음. "무역 규정 준수"를 유지, 더 정확하고 덜 경악스러우며, 향후 유지하고자 하는 편집적 입장이기 때문.