Bolster AI, 다크 웹 위조 시장 뒤의 허위 규모를 공개

Bolster AI는 2026년 9월 3일, 위조 화폐를 판매하는 Tor 기반 마켓플레이스가 규모, 보안 및 합법성의 모습을 꾸며 구매자를 끌어들였으며, 해당 사이트의 결제 시스템이 2,400건 미만의 주문만 생성한 반면 세 주요 판매자는 총 57,803건의 주문을 표시했다고 보고한 연구를 발표했습니다.

회사의 발표에 따르면, 캘리포니아주 산타클라라에 본사를 둔 Bolster AI의 위협 인텔리전스 연구소는 이 마켓플레이스를 “ShadowMarket”이라고 부르며 9일간 감시했습니다. 세 판매자는 미국 달러, 영국 파운드, 유로, 캐나다 달러, 호주 달러 등 다섯 통화에 걸쳐 주문을 받았다고 주장했습니다. 회사는 이 운영을 단순히 화폐 위조가 아니라 신뢰 자체를 위조하는 행위로 규정했습니다.

주문 수와 결제 기록이 불일치함

사이트를 123번 캡처한 결과, 연구진은 판매자 주문 수가 27번 변동했으며, 모든 변동이 구매가 이루어지는 하루 종일이 아니라 UTC 기준 00:00~06:00 사이에만 발생했다고 회사가 보고했습니다. 마켓플레이스가 광고한 주문 수는 동일한 6시간 야간 창에서만 변동했으며, 결제는 약 600개의 재사용된 비트코인 주소를 통해 라우팅되었습니다. 연구진에 따르면, 겉보기에 독립적인 판매자들 또한 결제 인프라를 공유하고 있었습니다.

Bolster AI는 또한 순차적으로 번호가 매겨진 결제 엔드포인트가 노출되어 마켓플레이스의 주문‑비트코인 주소 매핑을 드러냈다고 보고했습니다. 회사는 이를 이용하지 않고 적절한 채널을 통해 노출 사실을 보고했으며, 조사 기간 동안 마켓플레이스와 거래하지 않았다고 밝혔습니다.

광고된 보안 기능이 코드에 없음

연구진은 마켓플레이스의 보안 주장에 구현이 뒷받침되지 않는다고 설명했습니다. 사이트가 광고한 “멀티시그 에스크로 시스템”에는 연구진이 검토한 코드에 구매자 키 생성, PGP 또는 멀티시그 기능이 전혀 포함되어 있지 않았다고 회사는 밝혔습니다. 구매자와 판매자 간 통신은 보안 메시징으로 홍보되었음에도 불구하고 종단 간 암호화 없이 마켓플레이스 서버로 전송되었습니다. 비트코인 주소와 결제 금액도 공개 인터넷상의 제3자 서비스로 전송되어 QR 코드를 생성했으며, 이는 결제 데이터를 다크 웹 밖으로 확장시켰습니다.

Bolster AI 위협 인텔리전스 연구소의 Dinesh Arora는 판매 중인 지폐의 진위 여부는 플랫폼 외부에서는 확인할 수 없다고 말했습니다. “판매되는 위조 지폐는 종이일 수도 있고, 폴리머일 수도 있으며, 전혀 존재하지 않을 수도 있습니다. 플랫폼 외부에서는 이를 입증할 방법이 없습니다. 우리가 입증할 수 있는 것은 마켓플레이스가 판매하는 신뢰가 인위적으로 만들어졌다는 점입니다. 주문 수, 에스크로, 구매자 보호 배지 등 모든 요소가 첫 구매를 안전하게 느끼도록 설계되었습니다. 신뢰성 자체가 제품이며, 그 신뢰성은 위조된 것입니다,”라고 그는 말했습니다.

Bolster AI의 CEO인 Rod Schultz는 사기 인프라가 매우 정교하게 합법적으로 보이게 되었다고 말했습니다. “공격자는 신뢰가 방문자를 피해자로 전환시키는 핵심이라는 것을 이해하고, 따라서 이를 제조합니다,”라고 그는 말했으며, 회사가 위장 사이트, 사기 상점 및 정품 브랜드와 고객을 표적으로 하는 다른 공격에서도 동일한 수법을 보고 있다고 덧붙였습니다.

영국 은행 위조 통계

발표에 따르면 이번 조사는 주요 시장에서 위조 지폐 적발이 증가하고 있는 시점에 이루어졌다고 합니다. 영국 은행의 지폐 통계에 따르면 2025년에 약 200,000장의 위조 지폐가 유통에서 제외되었으며, 명목 액면가가 £3.97 million였습니다; 2024년에는 99,000장이 명목 액면가 £2.095 million였습니다. 발표는 2025년 총량이 전년 대비 두 배 이상이라고 설명했습니다. 영국 은행의 2025년 수치는 위조 £20 지폐 178,000장, £10 지폐 15,000장, £50 지폐 5,000장, £5 지폐 2,000장을 포함했으며, 대량 압수로 유통 전에 제거된 18,000장도 기록되었습니다. 중앙은행의 수치는 천 단위로 반올림되었으며 현재와 이전 시리즈 지폐 모두의 위조를 포함합니다.

영국 은행은 2019년 이후 위조가 크게 감소했다고 밝히며, 보다 견고한 폴리머 지폐 도입, 오래된 종이 디자인 철폐, 위조 원천 및 유통에 대한 경찰 단속, 전자 결제로의 전반적인 전환을 근거로 들었습니다. 위조 지폐는 은행과 경찰에 의해 유통에서 제거되어 중앙은행으로 분석을 위해 보내집니다. 영국 은행이 발행한 49억 8천만 장 이상의 지폐가 유통 중이며 가치는 약 £91.5 billion에 달하는데, 2025년 위조 지폐는 전체 지폐의 0.0041% 미만, 즉 24,390장당 1장 이하에 불과했다고 은행은 보고했습니다.

당국에 공유된 증거

Bolster AI는 발표 전에 관련 법 집행기관 및 금융 당국과 조사 결과를 공유했다고 밝혔습니다. 회사는 타임스탬프가 찍힌 캡처, 복구된 코드 및 관찰된 비트코인 주소를 포함한 전체 증거 세트를 보존했으며, 요청 시 검증된 법 집행기관에 제공할 것이라고 말했습니다.

또한 회사는 2026년 9월 10일에 라이브 브리핑을 진행할 예정이라고 발표했으며, 이 브리핑에서는 참석자들을 조사 현장으로 안내하고, 조사 결과를 상세히 풀어 설명하며, 온라인 사기가 어떻게 신뢰를 조작하는지를 논의할 것이라고 밝혔습니다.