사기의 중산층
암호화폐 사기 수사가 뉴스 헤드라인을 장식할 때면, 그 규모는 어마어마합니다. 1,000만 달러 규모의 멘토링 제국, 10억 달러 규모의 ‘러그 풀’, 국가가 후원하는 자금 세탁 네트워크 등이 그 예입니다. 하지만 이러한 헤드라인을 장식하는 사건들 이면에는 방대한 생태계가 자리 잡고 있는데, 중견 사기 조직들 이 모든 것들이 합쳐져 눈에 띄지 않는 채로 막대한 피해를 입히고 있다.
이들은 단독으로 활동하는 사람들이 아닙니다. 이들은 조직적으로 활동하며, 포럼을 통해 인원을 모집하고, Telegram 봇을 활용해 업무를 자동화하며, 마치 합법적인 영업팀이 잠재 고객을 추적하듯이 구글 스프레드시트를 통해 피해자를 추적합니다. 이들은 바로 사이버 범죄의 실무 중산층 — 확장할 수 있을 만큼 정교하면서도, 눈에 띄지 않을 만큼 작다.
이 조사에서는 PhishDestroy의 기록에 등장하는 이러한 세 팀을 살펴본다. ScamIntelLogs 저장소:
머큐리팀
상태: 활성. 두 개의 Telegram 봇을 통해 환전 사기 및 카지노 사기를 동시에 진행하는 이중 벡터 운영 방식. 러시아어를 사용하는 멘토 기반 조직 구조.
WasabiSquad
상태: 활성. 가짜 거래소, 도박 플랫폼, 투자 봇을 통해 피해자를 노리는 3중 위협 작전. MercuryTeam과 인프라를 공유하고 있다.
717팀
상태: 보관됨. 정보 수집과 협동 신고를 통해 125명으로 구성된 조직을 해체했다. 이는 작전 차질이 효과를 발휘한다는 증거다.
주요 결과
MercuryTeam과 WasabiSquad는 동일한 Google 스프레드시트 URL을 공유합니다. — 동일한 운영 주체이거나, 긴밀하게 협력하는 연합체라는 증거이다.
중위권 팀이 중요한 이유
10억 달러 규모의 뉴스가 하나 나올 때마다, 이와 같은 수백 개의 팀 매일 운영되고 있습니다. 이들은 적극적으로 인력을 모집하고, 신속하게 전략을 수정하며, 전 세계 피해자들로부터 수백만 단위를 모조리 빼앗아 갑니다. 이들을 대규모로 무력화하기 위해서는 그들의 구조를 파악하는 것이 필수적입니다.
MercuryTeam: 이중 벡터 연산
MercuryTeam은 이중 벡터 사기 모델 — 두 개의 전용 Telegram 봇을 통해 거래소 사기와 카지노 사기를 동시에 벌이고 있다. 이러한 방식은 피해자 범위를 극대화한다. 가짜 거래소에는 속지 않을 사용자도 카지노 제안에 유혹될 수 있고, 그 반대의 경우도 마찬가지다.
Telegram 봇 인프라
| 봇 | Telegram 아이디 | 봇 ID | 벡터 |
|---|
| 기본 봇 | @MercuryTeam_bot | 6631580796 | 거래소 사기 |
| 카지노 봇 | @MercuryCasi_bot | 6431207710 | 카지노 사기 |
듀얼 봇 아키텍처는 우연히 만들어진 것이 아닙니다. 거래소 운영과 카지노 운영을 서로 다른 봇으로 분리함으로써, MercuryTeam은 다음을 달성합니다. 운영적 분할 — 한 봇이 신고되거나 차단되더라도 다른 봇은 계속 작동합니다. 피해자들은 자신의 취약점 프로필에 맞는 봇과 상호작용하게 됩니다.
조직 구조
MercuryTeam은 분기 구조가 있는 멘토 모델. 베테랑 요원들이 신입 요원들을 훈련시키면, 신입 요원들은 반독립적인 지부를 설립합니다. 이러한 프랜차이즈와 유사한 구조를 통해 팀은 운영상의 보안을 유지하면서도 빠르게 규모를 확장할 수 있습니다. 신입 요원들은 단독으로 활동하기 전에 배정된 멘토로부터 피해자 접촉 기법, 대본 활용법, 철수 절차 등을 배웁니다.
포럼 활동 현황
MercuryTeam은 다음을 통해 인재를 모집하고 홍보합니다. lolz.live, 러시아어권 최대 규모의 사기 포럼 중 하나입니다. 해당 포럼의 회원 모집 게시글: lolz.live/threads/6129774/
피해자 추적
매출 및 피해자 관련 데이터는 다음을 통해 추적됩니다. 공유된 Google 스프레드시트 — 이는 와사비스쿼드의 운영 방식을 살펴볼 때 매우 중요한 세부 사항입니다.
정보 평가
MercuryTeam은 중간 규모 사기 수법의 진화: 듀얼 벡터 접근 방식은 공격 표면을 두 배로 늘리는 반면, 멘토 모델은 각 지점 전반에 걸쳐 일관된 품질을 보장합니다. 모든 조정은 Telegram을 통해 이루어지는 러시아어권 운영입니다. 모든 증거는 ScamIntelLogs에 보존되어 있습니다.
WasabiSquad: 트리플 스레트
MercuryTeam이 두 개의 벡터를 실행하는 반면, WasabiSquad는 이를 세 — 가짜 거래소, 도박 플랫폼, 투자 봇을 하나의 운영 체계로 통합한 것이다. 이러한 다각적 접근 방식은 암호화폐 트레이더, 도박꾼, 수동적 투자자 등 완전히 다른 심리적 특성을 가진 피해자들을 표적으로 삼는다.
봇 및 웹 인프라
| 자산 | 식별자 | 유형 |
|---|
| 기본 봇 | @WasabiSquad_Bot | Telegram 봇 (ID: 7380099926) |
| 웹사이트 | wasabihub.one | 웹 플랫폼 |
| 포럼 게시물 | lolz.live/threads/7933252/ | 채용 및 광고 |
세 가지 공격 경로
거래소 사기
예치금을 훔치기 위해 만들어진 가짜 암호화폐 거래소 플랫폼입니다. 피해자들은 합법적인 플랫폼에서 거래하고 있다고 믿고 자금을 입금하지만, 이 자금은 인출할 수 없게 됩니다.
도박 사기
당첨금을 약속하지만 출금 전에 “인증 입금”을 요구하는 조작된 도박 플랫폼들 — 이 입금액은 즉시 모두 빼앗겨 버립니다.
투자 봇 사기
확실한 수익을 보장한다고 약속하는 자동 투자 봇. 피해자들은 알고리즘 거래를 통해 수익을 얻을 수 있을 것이라 기대하며 암호화폐를 입금하지만, 결국 아무것도 돌려받지 못합니다.
스프레드시트 링크
WasabiSquad는 MercuryTeam과 똑같은 Google 스프레드시트를 사용합니다. 피해자와 수익을 추적하기 위한 것입니다. 이것이 이번 조사에서 도출된 가장 중요한 결론입니다.
"같은 스프레드시트. 같은 추적 열. 같은 매출 계산식. 이 사람들이 서로 다른 가면을 쓴 같은 사람들이거나, 아니면 서로를 충분히 신뢰해서 피해자 데이터베이스 전체를 공유하고 있는 것 중 하나일 것이다."
— PhishDestroy 정보 평가
핵심 인프라의 중복
MercuryTeam과 WasabiSquad가 공유하는 Google 스프레드시트는 사소한 기술적 세부 사항이 아닙니다. 그것은 바로 작전적 통합의 증거. 각기 다른 브랜드를 가지고 있으며, 서로 다른 Telegram 봇과 별도의 포럼 스레드를 운영하는 두 팀이 피해자와 수익을 추적하기 위해 동일한 백엔드 문서를 사용하고 있다. 이는 다음 중 하나를 시사한다. 두 브랜드를 모두 운영하는 동일한 사업자 혹은 a 공동 금융 인프라를 바탕으로 한 공식적 제휴.
717팀: 교란 전술이 효과적임을 입증하다
이번 조사에서 살펴본 세 팀 중, 717Team은 다음과 같은 독특한 특징을 가지고 있습니다: 아카이브로 이동되었습니다. ScamIntelLogs 용어에서 “보관됨(archived)”이란 해당 조직의 활동이 중단되었으며, 해당 팀이 더 이상 적극적으로 사기 행위를 저지르지 않고 있음을 의미합니다. 이는 단순한 이론적 성공이 아니라, 정보 수집, 증거 보존, 그리고 협동적인 신고를 통해 조직적인 사기 행위를 근절할 수 있다는 것을 입증하는 문서화된 증거입니다.
717팀의 주요 통계
관리 및 네트워크 링크
| 역할 | 식별자 | 상세 정보 |
|---|
| 관리자 | @imdebank | Telegram ID: 7149807602 |
| 네트워크 연결 | 루블레브카팀 | Admin @imdebank가 이 별도의 작업에 연결했습니다 |
| 봇 | @team717_bot | 주요 Telegram 봇 (현재 비활성화됨) |
| 포럼 | lolz.live | 채용 및 조정 Hub |
도메인 인프라 (12개 이상 도메인)
| 도메인 | 목적 |
|---|
| checkscore.cc | 주요 사기 플랫폼 |
| cryptomus-payment.com | 가짜 결제 게이트웨이 |
| check-score.ru | 러시아를 겨냥한 변종 |
| + ScamIntelLogs에 기록된 추가 도메인 9개 |
아카이브가 중요한 이유
717Team의 아카이브 상태는 가장 중요한 데이터 포인트 이번 수사 전반에 걸쳐. 이는 중견급 사기 조직들이 ~할 수 있다 체계적인 정보 수집을 통해 활동을 저지할 수 있었다. 효과가 있었던 절차는 다음과 같다: (1) 인프라 파악, (2) 지갑 및 구성원 추적, (3) 증거 확보, (4) 플랫폼 간 정보 공유 및 보고. 확인된 2,946.25달러의 자금 유출액은 기록된 손실액에 해당합니다. 실제 금액은 이보다 더 많았을 가능성이 높지만, 작전이 더 확대되기 전에 저지되었습니다.
루블레브카팀의 연결고리
관리자 @imdebank (ID: 7149807602)는 다음과 연결되었습니다. 루블레브카팀, 우리 측에서 기록한 또 다른 사기 사건으로 러시아 TON 사기 조사. 이러한 팀 간 연계는 핵심적인 조사 결과를 뒷받침합니다. 즉, 이러한 작전들은 서로 고립되어 있지 않다는 것입니다. 요원들은 팀 간을 오가며 인프라를 공유하고, 개별 팀이 무력화되더라도 유지될 수 있는 네트워크를 구축하고 있습니다.
공유 인프라
이 세 팀을 나란히 살펴보면 개별 작전보다 훨씬 더 중요한 무언가가 드러나는데, 바로 네트워크. 공유 도구, 공유 플랫폼, 공유 문서, 그리고 적어도 한 가지 사례에서는 팀 간에 직접적인 인적 연계가 있었습니다.
비교 분석
| 속성 | 머큐리팀 | WasabiSquad | 717팀 |
|---|
| 공격 경로 | 거래소 + 카지노 | 거래 + 도박 + 투자 | 환전 + 허위 결제 |
| 포럼 | lolz.live | lolz.live | lolz.live |
| Telegram 봇 | 봇 2개 | 봇 1개 + 웹사이트 | 봇 1개 |
| 추적 | Google 스프레드시트 | SAME 스프레드시트 | 내부 추적 |
| 언어 | 러시아어 | 러시아어 | 러시아어 |
| 상태 | 활성 | 활성 | 보관됨 |
공통 인프라 사항
- 공유된 Google 스프레드시트 — MercuryTeam과 WasabiSquad는 피해자 및 수익 추적을 위해 동일한 문서를 사용합니다.
- lolz.live를 중앙 Hub로 — 세 팀 모두 동일한 러시아어 포럼을 통해 인재를 모집하고, 홍보하며, 협업을 진행하고 있다
- 운영 계층으로서의 Telegram — 모든 팀은 피해자 유치 및 운영자 간 소통을 위해 Telegram 봇을 활용하고 있다
- 팀 간 인력 — 717Team 관리자 @imdebank가 RublevkaTeam에 링크를 공유하며, 팀 간 운영자 이동성을 보여주었다
- 러시아어 운영 — 모든 팀이 러시아어로 운영되고 있으며, 이는 이들이 공통된 지리적·문화적 기원을 가지고 있음을 시사한다
"그들은 스프레드시트를 공유하고, 포럼을 공유하며, 기법도 공유합니다. 유일하게 공유하지 않는 것은 브랜드 이름뿐인데, 심지어 그 차이조차 인위적인 것일지도 모릅니다."
— PhishDestroy 분석 요약
고립된 행위자들이 아니다
증거는 분명합니다. MercuryTeam, WasabiSquad, 717Team은 우연히 비슷한 수법을 사용하는 독립적인 조직들이 아닙니다. 이 공유된 Google 스프레드시트 머큐리와 와사비 사이, 그 공유 포럼 이 세 가지 모두에 걸쳐, 그리고 인력 중복 717Team과 RublevkaTeam 간의 모든 연결 고리는 상호 연결된 생태계를 시사합니다. 네트워크 구조를 제대로 이해하지 못한 채 한 팀을 무력화시키면, 운영자들이 단순히 다른 브랜드로 이동하게 될 위험이 있습니다.
증거 및 문서
이번 조사에서 언급된 모든 정보는 PhishDestroy의 ScamIntelLogs 저장소에 보관되어 있습니다. 각 팀에는 봇 ID, 지갑 주소, 포럼 스크린샷, 도메인 목록 및 구조 분석 결과가 포함된 전용 증거 디렉터리가 마련되어 있습니다.
머큐리팀 증거
중복 봇 ID, 포럼 게시글, 멘토 체계 문서, 스프레드시트 참조 자료
WasabiSquad 증거
트리플 스레트 분석, wasabihub.one 문서, 공유 스프레드시트 증빙 자료
717팀 증거 (보관됨)
회원 125명, 지갑 85개, 2,946.25달러 유출, 도메인 12개 이상, RublevkaTeam과 연계된 관리자 @imdebank
ScamIntelLogs 전체 저장소
완벽한 위협 인텔리전스 아카이브 — 모든 팀, 모든 증거, 버전 관리 적용
717팀은 저지당했다. 다른 팀들도 마찬가지일 수 있다.
정보 수집은 효과가 있습니다. 증거 보전은 효과가 있습니다. 협력적인 보고 체계도 효과가 있습니다. 717팀의 아카이브 상태야말로 그 생생한 증거입니다.
MercuryTeam, WasabiSquad, 그리고 여전히 활동 중인 모든 중견 사기 조직에 대해서도 같은 압박을 가할 수 있도록 여러분의 도움을 부탁드립니다.
#ScamTeams#MercuryTeam#WasabiSquad#717Team#Investigation
