지난주 쿠라카오 게이밍 당국(CGA)이 공개한 사이버 공격은 이전에 몰타 게이밍 당국(MGA) 시스템을 해킹한 자칭 '화이트햇' 해커에 의해 실행됐다.
독일의 해커이자 사이버보안 연구원인 릴리스 비트만이 자신과 협력자들이 쿠라카오 게이밍 당국의 시스템에 9개월간 접근했다고 말했다. (이미지: Lilith Wittmann/X)
Berlin-based Lilith Wittmann, 30, said on social media Tuesday (September 22) that she and her collaborators gained access to internal CGA systems for nine months and “watched [the regulator] live at work.”
"직원들이 알지 못한 채 불법 온라인 카지노의 소유자가 누구인지, 누가 자금을 조달하는지, 그리고 당국이 그들의 운영에 대해 무엇을 알고 있었는지 볼 수 있었습니다"라고 그녀는 X에 썼다.
비트만의 CGA 해킹은 이미 1xBet과 Stake의 소유 구조에 대한 의문을 제기했으며, 이는 네덜란드 조사 웹사이트 Follow the Money (FTM)의 화요일 보도에서 상세히 다뤄졌다—그리고 비트만은 추가 폭로를 암시하고 있다.
이들은 비트만이 "독일 최대 불법 카지노"라고 표현하는 Platin Casino와 관련된 소위 €250 million 세금 허점, 그리고 유출된 문서들이 소프트웨어 제공업체 SoftSwiss가 수백 개의 불법 카지노를 운영하는 회사들과 밀접하게 연결되어 있다는 주장을 포함한다.
쿠라카오의 '관대한 규제' 유산
카리브해의 작은 섬인 쿠라카오는 산업의 태동부터 온라인 카지노를 인가해왔으며, 악명 높은 '관대한 규제' 접근 방식을 운영해왔다. 이 모델은 지역적으로 인가되지 않은 시장에 서비스를 제공하는 수많은 운영자들을 끌어들였으며, 소유권은 종종 쿠라카오 회사와 신탁사무소 뒤에 가려져 있었다.
네덜란드의 압박 속에서 쿠라카오는 명목상 구 체계를 폐지했다—소수의 민간 회사들이 자신들의 마스터 라이센스를 많은 수의 운영자들에게 확대할 수 있게 해주는 비정상적인 서브라이센싱 모델이었다.
하지만 유출된 문서들은 그 변화의 엄격성에 대한 의문을 제기하고 있으며, CGA 관리들이 자신들의 평가에서 소유권에 대한 미해결 의문과 기타 잠재적 위험 신호를 지적한 후에도 라이센스를 승인했음을 보여주고 있다. FTM에 따르면.
파일에는 라이센스 신청서, 규제 평가, 여권, 세금 신고서 및 재무 정보가 포함되어 있다. FTM은 유출이 거의 650개의 인가된 도박 회사의 약 800명의 소유자를 식별하는 데 도움이 되었으며 이는 수천 개의 도박 웹사이트를 운영하고 있다고 밝혔다.
비트만은 규제기관에 이미 알려진 신탁사무소 관리자의 이름으로 등록하면서 자신의 Gmail 주소를 사용하여 CGA 포털에 접근했다.
그녀는 시도된 라이센스 신청을 위해 생성한 가상 회사인 "DreamCatcher Private Foundation"을 대표한다고 주장했다. 며칠 내에 그녀는 규제기관 포털에 대한 접근 권한을 부여받았다.
비트만은 그 후 라이센싱 시스템을 제어할 수 있게 하고 그곳에 저장된 정보에 접근할 수 있는 소프트웨어를 업로드했다. FTM이 보도했다.
Stake 소유권 의문
초기 유출은 Stake와 1xBet의 소유권에 초점을 맞추고 있다.
Stake의 설립자 Ed Craven과 Bijan Tehrani는 암호화폐 도박 분야에서 가장 유명한 인물들 중 일부다. 하지만 FTM은 Stake의 쿠라카오 소재 회사인 Medium Rare NV가 공식적으로 세르비아 국적의 Mladen Vuckovic의 소유이며, 그는 공개적으로 회사의 CEO로 알려져 있다고 보도했다.
Vuckovic은 2024년 규제기관에 제출한 정보에서 $1 billion을 초과하는 자산을 신고했다.
그러나 FTM에 따르면 CGA 관리들 자신도 Vuckovic이 정말 유일한 소유자인지 의문을 제기했다.
그들은 Craven과 Tehrani와 연결된 회사 및 개인들에게 Medium Rare에서 나간 수천만 달러에서 수억 달러 규모의 대출과 지불을 식별했으며, 둘 다 라이센스 신청서에 명시되지 않았다.
1xBet 소유권 질문
문서는 1xBet을 둘러싼 유사한 불확실성을 드러낸다.
해외 도박 거대 기업은 공개적으로 2023년에 사망한 러시아 설립자 Roman Semiokhin, Dmitry Kazorin, Sergey Karshkov과 연관되어 있다. 하지만 우크라이나 국적의 Ihor Hniedash는 1xBet 뒤의 Curaçao 회사인 Caecus NV의 소유자 겸 CEO로 등재되어 있다.
CGA 평가자들은 1xBet이 "여러 소유자"를 가지고 있다고 의심했고 FTM.에 따르면 Hniedash와 회사와 연관된 러시아인들과의 관계에 대한 정보를 요청했다.
그럼에도 불구하고 규제당국은 FTM의 보도에 따르면 그러한 답변을 받지 않은 채 2024년에 Caecus에 라이선스를 부여했다.
CGA는 매체에 Curaçao의 도박 산업이 새로운 규제 체계로 전환되고 있었기 때문에 질문이나 불확실성이 발생할 때마다 회사를 즉시 거부하지 않았다고 말했다.
Wittmann은 Curaçao의 도박 회사를 통제하는 사람이 누구인지 공개하는 것에 공공의 이익이 있다고 생각하기 때문에 문서를 공개했다고 말했다.
CGA는 9월 17일 무단 접근을 인정했으며, 침해를 포함하고 그 출처를 파악했다고 말했다. 규제당국은 포렌식 조사가 진행 중이며 아직 사건의 전체 범위를 파악하지 못했다고 말했다.
Malta 규제당국 해킹
Wittmann은 현재 Malta Gaming Authority와의 소송에 휘말려 있으며, 올해 초 그 중 하나의 시스템에 무단으로 접근한 후 독일에서 그녀에 대해 가처분 명령을 얻었다.
분쟁은 또한 Wittmann이 규제당국과 조직 범죄 사이의 의심되는 연관성에 대해 한 발언에 관한 것이며, MGA는 이러한 주장을 근거 없는 것으로 거부했다.
Massive Curaçao Leak 뒤의 해커가 수백 개의 해외 온라인 카지노의 실제 소유자를 드러낼 수 있다는 포스트가 Casino.org에 처음 게재되었다.