코드는 제재에서 풀렸지만 개발자는 유죄다: 토네이도 캐시와 로만 스톰의 엇갈린 판결

재무부가 소프트웨어를 제재한 날

2022년 8월 8일 미국 재무부 해외자산통제국(OFAC)은 Blender.io 제재에 이어 행정명령 13694호에 따라 이더리움 기반 믹서 토네이도 캐시를 제재 명단에 올렸다. 제재 대상에는 퍼블릭 블록체인의 오픈소스 스마트 계약 주소들이 포함되었다.^[1][2]

재무부는 2019년 이후 70억 달러 이상이 세탁되었다고 주장했다. 여기에는 라자루스 그룹의 4억 5,500만 달러 초과, 하모니 브리지 해킹의 9,600만 달러 초과, 노마드 해킹의 최소 780만 달러가 포함된다는 정부 주장이 담겼으며, 이는 법원 판결이 아닌 행정부 주장이다.^[1]

대외적인 공언에도 불구하고, 토네이도 캐시는 악의적 사이버 행위자들을 위한 지속적인 자금 세탁을 차단하도록 고안된 효과적인 통제 장치를 도입하는 데 반복적으로 실패했으며 위험에 대처하기 위한 기본적인 조치조차 취하지 않았다.^[1]

— 브라이언 E. 넬슨(Brian E. Nelson) 당시 미국 재무부 테러·금융정보 담당 차관

토네이도 캐시는 비밀 예치 메모를 생성해 0.1, 1, 10, 100 ETH 풀에 해시를 전송하고, 출금 시 영지식 증명으로 소유권만 입증하며 0.05%~0.2% 수수료의 릴레이어로 입출금을 분리했다. 체이널리시스는 이 프로토콜이 자금을 수탁하지 않는 비수탁형이며 계약 대부분이 누구도 변경할 수 없는 불변의 구조라고 설명했다.^[2]

불변의 코드와 1977년 비상경제권한법의 충돌

조지프 반 룬 등 이용자 6인은 제재가 OFAC의 권한을 넘었다며 소송을 냈다. 1심은 정부 승소 판결을 내렸으나, 2024년 11월 26일 제5순회항소법원 재판부(존스, 윌렛, 엥겔하트 판사)는 업계가 기다려온 판결을 내렸다.^[3]

돈 R. 윌렛 판사는 토네이도 캐시의 익명성과 '창작자조차 소유하거나 통제하거나 변경할 수 없는' 불변성을 짚으며, 이 코드가 1977년 국제비상경제권한법(IEEPA)상 누구의 '재산'이 될 수 있는지를 핵심 쟁점으로 다뤘다.^[3]

아마도 의회는 카터 행정부 시절 제정된 IEEPA를 개정하여 암호화폐 믹싱 소프트웨어와 같은 현대 기술을 표적으로 삼을 수 있을 것이다. 그러나 그때까지 우리는 토네이도 캐시의 불변 스마트 계약(프라이버시를 구현하는 소프트웨어 코드 라인들)이 외국인이나 외국 단체의 '재산'이 아니며, 따라서 (1) IEEPA에 따라 동결될 수 없고 (2) OFAC이 의회가 정의한 권한 범위를 넘어섰다고 판단한다.^[3]

— 돈 R. 윌렛(Don R. Willett) 미국 제5연방순회항소법원 판사

법원은 원심을 파기하고 원고 측 부분 약식판결을 인용하라고 환송했다. 이 판결은 제재 권한에 관한 민사 판결로, 뉴욕 연방법원에서 별도로 진행된 개발자 로만 스톰의 형사 기소와는 분리된 절차였다.^[3][6]

2025년 3월 제재 해제의 날

2025년 3월 21일 재무부는 반 룬 소송 서면에 반영된 바와 같이 재량권을 행사해 토네이도 캐시 제재를 해제한다고 발표했다. 기술 및 법률 환경 변화에 따른 검토 결과였으며, 북한 연계 자금 세탁에 대한 경고는 유지되었다.^[4]

OFAC은 tornado.cash 웹사이트와 이더리움 주소들을 SDN 명단에서 삭제했다. 반면 로만 세메노프의 개인 제재 항목은 삭제되지 않고 갱신되었다. 이 조치는 프로토콜 항목과 세메노프 개인 항목이 다르게 처리됐다는 사실만 보여준다.^[5]

디지털 자산은 미국 국민을 위한 혁신과 가치 창출에 엄청난 기회를 제공한다. 북한 및 기타 불법 행위자들의 악용으로부터 디지털 자산 산업을 보호하는 것은 미국의 리더십을 확립하고 국민들이 금융 혁신과 포용의 혜택을 누릴 수 있도록 보장하는 데 필수적이다.^[4]

— 스콧 베센트(Scott Bessent) 미국 재무장관

체이널리시스는 2025년 3월 21일 이후 자사 글에 설명된 토네이도 캐시 관련 제재 위험이 더 이상 적용되지 않는다는 수정 메모를 추가했다. 이는 프로토콜의 제재 지위가 바뀌었다는 뜻이지, 기업이 더 넓은 자금세탁방지나 심사 통제를 폐기해야 한다는 뜻은 아니다.^[2][4]

1개 혐의 유죄, 2개 혐의 평결 불성립

2025년 8월 6일 뉴욕 남부연방지방법원 배심원단은 로만 스톰에 대해 제2호 혐의인 무허가 송금업 운영 공모만 유죄로 평결하고, 제1호 자금세탁 공모와 제3호 제재 위반 공모는 평결에 이르지 못했다. 이는 8월 11일 공동 서한에 기록된 사실이다.^[6][7]

유죄 평결이 내려진 제2호 혐의는 18 U.S.C. § 1960에 따른 것으로, 검찰은 범죄 수익 송금을 알면서 사업을 운영 공모했다고 주장했다. 검찰은 4주 재판 동안 400점 이상의 증거물과 21명의 증인을 내세웠다고 서면에 적었다.^[7]

8월 11일 공동 서한은 스톰의 신청이 제1호·제3호 혐의 재심 범위에 영향을 줄 수 있고 제2호 혐의의 재심도 구할 수 있다고 밝혔다. 양측은 9월 30일 신청서, 10월 31일 답변서, 11월 19일 반박서 일정에 합의하고 신속재판법상 70일 기한의 제외를 법원에 요청했다.^[6]

2025년 11월 검찰은 스톰의 무죄평결 신청(Rule 29)에 반대하며 증거가 압도적이었고 불변 프로토콜이라는 주장도 반박되었다고 주장했다. 그러나 이는 검찰의 일방적 주장이며 법원의 Rule 29 결정은 계류 중이다.^[7]

여전히 풀리지 않은 쟁점들

2026년 6월 15일 검찰은 Rule 29 판단을 조건으로 정부 전문가 자료 8월 7일, 변호인 자료 9월 4일, 반박 자료 9월 17일, Daubert 신청·증거배제 신청·배심 지침과 배심원 선정 질문 수정안 9월 29일, 반대서면 10월 9일, 최종 공판 전 기일 10월 20일의 일정을 제안했다.^[8]

현재 열람 가능한 문서에 확정된 재심 날짜는 없다. 2026년 8월 23일 기준 제1호와 제3호 혐의는 미결 상태이며 Rule 29 결정도 대기 중이다. 이는 재심 준비가 진행 중인 상태일 뿐 확정된 재판 날짜가 아니다.^[8][6]

민사에서는 제5순회항소법원이 토네이도 캐시의 불변 계약은 IEEPA상 외국인이나 외국 단체의 동결 가능한 재산이 아니라고 판시했고, 재무부는 이후 프로토콜을 제재 명단에서 제외했다. 형사에서는 스톰이 제2호 혐의에만 유죄이며 제1호와 제3호는 미결이다. 의회를 향한 법원의 언급은 이 법률 경계가 입법 논의에 열려 있음을 보여준다.^[3][4][8]