48% 다크넷 마켓, 결제 수단 '모네로 전용'…상장폐지에도 온체인 수요는 견조했다

모네로(XMR)가 주요 글로벌 거래소에서 잇따라 상장 폐지되거나 거래가 축소됐음에도, 온체인 활동 수준은 여전히 견조하게 유지되고 있다는 분석 결과가 나왔다. 규제 압박과 ‘프라이버시 코인’에 대한 시선이 갈수록 거세지는 가운데, 실사용 수요와 네트워크 활용성은 오히려 공고해졌다는 평가가 나온다.

블록체인 분석 기업 TRM 랩스(TRM Labs)는 최근 발표한 보고서에서 2024~2025년 모네로 온체인 트랜잭션 사용량이 2022년 이전보다 높은 수준을 유지했다고 밝혔다. 바이낸스, 크라켄 등 대형 거래소가 2024년 모네로 상장 폐지 또는 단계적 지원 중단을 결정한 뒤에도 트랜잭션 수가 뚜렷하게 감소하지 않았다는 설명이다. 특히 2025년 들어서는 아랍에미리트(UAE) 두바이 금융감독당국이 두바이 국제금융센터(DIFC)에서 인가받은 플랫폼을 대상으로 모네로와 지캐시(ZEC) 등 프라이버시 코인 취급을 전면 금지하면서 규제 환경은 한층 더 강화됐다.

TRM 랩스는 “추적 가능성과 컴플라이언스 이슈로 인해 대형 거래소의 모네로 지원이 축소됐지만, 온체인 데이터를 보면 이용자 수요가 흔들렸다고 보기는 어렵다”고 진단했다. 규제 리스크와 거래 편의성 악화에도 불구하고, 프라이버시 보호를 중시하는 특정 사용자층이 꾸준히 네트워크를 사용하고 있다는 의미다.

몸은 빠진 거래소, 돈은 남은 비트코인…다크넷은 모네로로 이동

보고서는 또 실제 범죄·랜섬웨어 환경에서 어떤 암호화폐가 사용되고 있는지에 대한 데이터도 제시했다. 결론부터 말하면, 몸값 지급 등 현실 세계의 랜섬웨어 대금 결제에서는 여전히 비트코인(BTC)이 ‘1순위 통화’ 역할을 하고 있다는 분석이다. 많은 랜섬웨어 조직이 모네로 결제를 요구하고, 모네로로 지불할 경우 할인 조건을 제시하기도 하지만, 피해자들은 여전히 접근성과 유동성이 높은 비트코인으로 지불하는 경향이 강하다는 것이다.

반면, 다크넷 마켓의 흐름은 이와 정반대 양상을 보이고 있다. TRM 랩스에 따르면 2025년에 새로 등장한 다크넷 마켓의 48%가 결제 수단으로 모네로만 지원하는 것으로 나타났다. 이는 이전 연도와 비교했을 때 의미 있는 증가 폭이라는 설명이다. 법 집행당국의 비트코인 추적 역량이 크게 높아진 상황에서, 익명성이 강한 프라이버시 코인의 비중을 높이는 쪽으로 다크넷 생태계가 재편되고 있음을 시사한다.

이 같은 데이터는 ‘모네로 상장 폐지 → 범죄 이용 감소’라는 단선적인 가설이 현실에서 그대로 작동하지 않을 수 있음을 보여준다. 규제 환경에서는 비트코인과 이더리움(ETH) 같은 메이저 자산이 제도권 편입을 넓혀가고 있지만, 익명성을 중시하는 영역에서는 프라이버시 코인이 오히려 기능적 역할을 강화하는 이중 구조가 고착되는 모습이다.

온체인 암호화는 견고…네트워크 행태가 익명성 변수

TRM 랩스는 모네로의 ‘네트워크 레벨 프라이버시’에도 초점을 맞췄다. 모네로는 링 서명, 스텔스 주소 등 암호 기술을 통해 송·수신자와 전송 금액을 모두 숨기도록 설계된 대표적인 프라이버시 코인이다. 이번 연구는 그보다 한 단계 바깥, 즉 인터넷 상에서 트랜잭션이 전파되는 방식과 노드 간 통신 패턴을 분석했다.

연구진이 전 세계 모네로 노드를 관찰한 결과, 약 14~15%의 노드가 다른 노드들과 뚜렷이 구분되는 ‘이상 행동’을 보인 것으로 나타났다. 특정 서버에 연결이 과도하게 집중되거나, 트랜잭션 전파 시점과 응답 간격에서 비정상적인 패턴이 관측된 것이다. TRM 랩스는 “이 같은 행위가 곧바로 네트워크 해킹이나 악의적 침해를 의미하는 것은 아니지만, 일부 운영자가 다수의 노드를 동시에 돌리며 트랜잭션 전파 경로를 추적하려는 시도를 하고 있을 가능성을 시사한다”고 분석했다.

피어 투 피어(P2P) 네트워크에서는 어떤 노드가 트랜잭션을 더 먼저 보게 되는지가 곧 발신지에 대한 단서가 될 수 있다. 이를테면, 동일 주체가 운영하는 다수의 ‘관측 노드’가 네트워크 전역에 분산 배치돼 있다면, 각 노드가 처음으로 본 트랜잭션의 시점과 순서를 비교해 어느 IP 대역에서 트랜잭션이 최초 발생했는지를 통계적으로 추정할 수 있다.

TRM 랩스는 보고서에서 “모네로의 온체인 암호 구조는 변함없이 유지되고 있지만, 네트워크 메시지의 전파 패턴이 외부 관찰자에게 노출될 경우 이론적인 익명성 보장 수준에 영향을 줄 수 있다”고 경고했다. 즉, 블록체인 상 정보는 철저히 가려져 있더라도, 그 이전 단계인 ‘네트워크 레이어’에서 흔적이 남을 수 있다는 점을 짚은 셈이다.

2025년 ‘플루오린 페르미’ 업그레이드…지목된 타깃은 ‘스파이 노드’

이 같은 우려 속에서 모네로 개발진은 2025년 10월 ‘플루오린 페르미(Fluorine Fermi, v0.18.4.3)’라는 이름의 소프트웨어 업데이트를 공개했다. 이번 버전의 핵심 목표는 이용자 프라이버시와 네트워크 보안을 동시에 강화하는 것이다. 특히 지목된 타깃은 모네로 커뮤니티에서 이른바 ‘스파이 노드(spy node)’로 불리는 관측용 노드들이다.

스파이 노드는 암호 자체를 깨지는 못하지만, 가능한 한 많은 트랜잭션을 최대한 이른 시점에 수집하는 데 초점을 맞춘 노드 또는 노드 군집을 말한다. 이 노드들은 직접 지갑을 해킹하거나 암호화를 우회하지 않고도, 트랜잭션이 어떤 경로를 통해 어떻게 퍼져 나가는지를 지켜보며 IP 주소나 지리적 발신지를 유추하려 한다.

플루오린 페르미 업그레이드는 이런 노드들에 대한 노출을 줄이기 위해 피어 선택 방식을 개선했다. 요약하면, 모네로 지갑이 네트워크에 접속할 때 신뢰도가 낮거나 수상한 행태를 보이는 노드와의 연결을 피하고, 상대적으로 안전성이 검증된 노드를 우선 선택하도록 알고리즘을 손질한 것이다. 이를 통해 지갑이 스파이 노드 클러스터에 과도하게 연결되는 상황을 막고, 네트워크 전체의 관측 가능성을 낮추겠다는 의도다.

모네로 네트워크의 프라이버시 취약성 논의는 어제오늘 일이 아니다. 그럼에도 이슈가 크게 부각된 계기는 2024년에 유출된 한 영상이었다. 당시 영상에는 수사기관 관계자로 추정되는 인물이 자사가 운영하는 노드를 통해 모네로 네트워크 활동을 모니터링할 수 있다고 언급하는 장면이 담겼다. 영상이 퍼지면서 커뮤니티에서는 “실제 추적 가능성이 어느 정도 수준인지”, “네트워크 레벨 프라이버시를 강화하기 위해 어떤 구조적 보완이 필요한지”를 둘러싼 격론이 이어졌다.

규제·수사 압박 vs. 기술 진화…프라이버시 코인의 ‘줄다리기’ 지속

이번 TRM 랩스 보고서는 프라이버시 코인을 둘러싼 현재의 역학 관계를 비교적 입체적으로 보여준다. 한쪽에서는 두바이를 비롯한 규제 당국이 모네로, 지캐시 같은 프라이버시 코인의 제도권 진입을 막으며 ‘화이트리스트 중심’ 시장을 만들려 하고 있다. 동시에 법 집행기관과 분석 기업들은 네트워크 레벨 관측 기법을 고도화하며 추적 가능성을 넓혀가고 있다.

다른 한쪽에서는 모네로 개발진과 커뮤니티가 프로토콜 업그레이드와 네트워크 설계 개선으로 대응에 나서고, 다크넷 마켓과 일부 유저층은 ‘완전한 프라이버시’에 가까운 결제 수단을 선호하며 이용 비중을 키워가고 있다. 제도권 거래소 상장 축소에도 모네로 온체인 활동이 꾸준히 유지되는 배경에는 이런 기술과 수요의 ‘줄다리기’가 깔려 있다는 해석이 가능하다.

단기적으로는 규제 기조가 더 강해질 가능성이 크고, 제도권 유동성 측면에서 프라이버시 코인의 입지는 제한될 수밖에 없다. 그럼에도 네트워크 레벨 연구와 소프트웨어 업데이트를 통해 프라이버시 기술이 계속 진화하고 있는 만큼, 모네로를 비롯한 프라이버시 코인 논쟁은 암호화폐 시장에서 가장 첨예한 논점 중 하나로 남을 전망이다.