작성 
- 베를린 보안연구자, 가짜 신원으로 퀴라소 게이밍 당국 포털에 9개월 접근… 문서 4만여 건 공개
- 면허 업체 646곳·실소유주 767명 신원 확인, 스테이크·1xBet은 소유 의문 남긴 채 면허
- 산테다 서류에 업게이밍 이메일·파일명·1,559만유로 대출 기록… 업게이밍은 운영 부인
- 퀴라소 당국은 법상 중대 침해로 규정해 당국 보고 방침, 영국 UKGC는 논평 거부
세계 최대급 역외 온라인 카지노들의 면허 서류가 대량으로 공개됐다. 베를린에 거주하는 해커이자 보안연구자 릴리트 비트만(Lilith Wittmann)이 카리브해의 네덜란드 왕국 자치령 퀴라소의 규제기관인 퀴라소 게이밍 당국(Curaçao Gaming Authority·CGA) 면허 포털에 9개월간 접근해 빼낸 문서가 2026년 9월 22일부터 ‘카지노 시크릿(Casino Secrets)’이라는 이름으로 공개되고 있다. 문서에는 에버턴 FC의 유니폼 소매 스폰서인 암호화폐 카지노 스테이크(Stake.com), 영국 이용자를 겨냥해 온 산테다(Santeda) 네트워크 등 수백 개 업체의 소유주 이름과 자금 출처, 규제당국의 심사 기록이 담겼다.
트러스트 관리자 이름 변형해 등록… 9개월 뒤 발각
침입은 2025년 12월 시작됐다. 퀴라소 게이밍 당국의 9월 22일 성명에 따르면 침입자는 실존 인물의 이름을 변형하고 퀴라소 상공회의소 등기부에 실재하는 회사를 내세워 고객용 면허 포털에 계정을 만들었다. 탐사보도 매체 팔로 더 머니(Follow the Money·FTM)에 따르면 그 이름은 규제당국에 알려진 트러스트 사무소 관리자의 것이었고, 이메일 주소는 비트만 자신의 지메일이었다. 비트만은 ‘드림캐처 프라이빗 재단’이라는 가공의 법인으로 면허를 신청하는 것처럼 꾸몄고, 며칠 만에 포털 접근 권한을 받았다. 로그인한 뒤에는 포털을 통제하는 소프트웨어를 올려 저장된 문서 전체에 접근했다.
퀴라소 게이밍 당국은 9월 17일 첫 성명에서 포털에 대한 무단 접근을 확인해 차단했고 출처도 특정했다고 밝혔다. 핵심 기술 기반이 침해된 흔적은 없다고 했다. 9월 22일 후속 성명에서는 가짜 신원으로 만든 계정이 2025년 12월부터 2026년 9월까지 활동했다고 인정하고, 이를 퀴라소 법상 중대한 침해로 보고 관계 당국에 보고하겠다고 밝혔다. 유출 규모에 대해서는 검증하지 못한 숫자를 되풀이하지 않겠다고 했다.
공개는 FTM이 노르웨이 NRK, 독일 NDR, 오스트리아 예츠트(Jetzt), 스웨덴 SVT와 함께 9월 22일 첫 보도를 내면서 시작됐다. 비트만이 연 검색용 아카이브에는 4만 건이 넘는 문서가 올라 있다. 9월 25일 도메인 등록기관이 casinosecrets.lol 도메인을 ‘서버 홀드’ 상태로 묶어 사이트가 내려갔지만, 비트만은 몇 시간 뒤 curacaofiles.com으로 옮겨 다시 열었다. 그는 취득 방법보다 공익이 크다고 판단해 공개했다고 밝혔다.
비트만은 2026년 3월 몰타 게이밍 당국(MGA) 시스템에도 무단 접근했고, MGA는 독일 법원에서 비트만에 대한 가처분을 받아 냈다. 비트만은 9월 25일 베를린 지방법원이 MGA 문서 사용을 허용하고 재접근만 금지하는 판결을 내렸다고 밝혔다.
면허 업체 646곳, 소유주 767명… 의문 남긴 채 발급된 면허
퀴라소는 인구 15만여 명의 섬이다. 유출된 면허 데이터베이스에 등록된 카지노 도메인은 8,000개가 넘어 주민 20명당 하나꼴이다. 1990년대부터 정부는 소수의 민간 업체에 마스터 면허를 주고 그 업체들이 온라인 사업자에게 하위 면허를 팔게 했으며, 국가의 감독은 사실상 없었다. 네덜란드의 압박으로 2024년 새 법(LOK)이 통과되면서 처음으로 정부 규제기관이 사업자를 직접 감독하게 됐다.
FTM이 유출 문서를 분석한 결과, 2025년 12월 기준 면허를 보유한 조직은 646곳이었고 767명에 이르는 실소유주 기록 897건이 확인됐다. FTM이 검토한 수십 건의 신청에서 심사관들은 자금 출처가 불분명하거나 소유주로 보기에는 자산이 너무 적은 신청인을 지적했지만, 경영진에 올린 최종 권고는 번번이 ‘면허를 발급해도 된다’였다. 추가 자료 제출을 조건으로 달았지만 실제로 제출된 경우는 드물었다.
스테이크가 그런 사례 가운데 하나다. 스테이크를 운영하는 퀴라소 법인 미디엄 레어 NV(Medium Rare NV)는 2024년 신고에서 세르비아 국적의 믈라덴 부치코비치(Mladen Vučković)를 소유주로 기재했고, 그는 10억달러가 넘는 자산을 신고했다. CGA 심사관들은 미디엄 레어가 스테이크 창업자 에드 크레이븐(Ed Craven)·비잔 테라니(Bijan Tehrani)와 연결된 회사와 개인에게 수천만~수억달러 규모의 대출과 지급을 했다는 사실을 확인하고, 부치코비치가 단독 소유주인지 의심했다. 두 창업자는 면허 신청서에 등장하지 않았다.
그럼에도 CGA는 면허를 내줬다. 유출된 CGA 내부 심사 보고서에 따르면 CGA는 2025년 6월 9일 미디엄 레어에 조건부 면허를 발급하면서, 5주 안에 크레이븐·테라니 및 이지고(Easygo) 등 스테이크 관련 법인과의 소유·계약 관계와 스테이크 브랜드·도메인 사용 계약을 소명하라고 요구했다. 미디엄 레어가 기한 안에 소명했는지는 확인되지 않는다.
러시아에서 설립된 베팅업체 1xBet의 면허도 같은 방식으로 나왔다. 1xBet의 퀴라소 법인 카이쿠스 NV(Caecus NV)는 우크라이나 국적의 이호르 흐니에다시(Ihor Hniedash)를 최고경영자 겸 소유주로 올렸다. 심사관들은 소유주가 여럿일 것으로 의심하며 창업자로 알려진 러시아인 3명과의 관계를 소명하라고 요구했지만, CGA는 답을 받지 못한 채 2024년 면허를 발급했다. FTM 의뢰로 CGA 심사 기록을 검토한 네덜란드 나이엔로더 경영대학의 마르셀 페이퍼르(Marcel Pheijffer) 포렌식 회계학 교수는 소유 구조가 불확실한 스테이크에 면허를 준 것을 “이해할 수 없다”고 평가했다.
CGA는 FTM의 질의에 소유 구조 의문이 남은 상태에서 면허를 발급한 사실을 부인하지 않았다. 대신 업계가 새 법으로 옮겨 가는 과도기여서 재무장관의 책임 아래 요건을 단계적으로 적용하기로 했고, 의문이 있다고 곧바로 면허를 거부하거나 영업을 중단시키지 않는 것이 원칙이었다고 설명했다. 9월 22일 성명에서는 개별 문서만 떼어 보고 심사 과정을 판단하는 것은 신중하지 못하다고 덧붙였다.
산테다 서류에 등장하는 업게이밍
산테다 인터내셔널(Santeda International)은 퀴라소 면허로 마이스테이크(Mystake)·벨로벳(Velobet)·골든벳(Goldenbet) 등 최소 8개 브랜드로 이뤄진 카지노 네트워크의 사이트 대부분을 운영해 온 회사다. 영국에서는 규제기관 UKGC(Gambling Commission)의 면허 없이 소비자에게 베팅 서비스를 제공하는 행위가 2005년 제정 법률(Gambling Act 2005)상 범죄다. 탐사보도 매체 인베스티게이트 유럽(Investigate Europe)이 2026년 4월 1일 공개한 조사에 따르면, 이 네트워크의 사이트들은 UKGC 면허 없이 2025년 11월부터 2026년 1월까지 시밀러웹(Similarweb) 트래픽 집계로 월평균 230만 명의 영국 방문자를 모았다.
인베스티게이트 유럽은 이 네트워크가 영국의 자기배제 제도 갬스톱(GamStop) 등록자를 겨냥한 것으로 판단했다. 갬스톱은 이용자가 스스로 영국 면허 사이트 전체의 접속을 6개월에서 5년까지 막는 제도이며, 등록자는 50만 명이 넘는다. 조지아 사업가들이 소유·운영하는 소프트웨어 회사 업게이밍(Upgaming)이 등록한 ‘nongamstopbookies.org’ 같은 사이트가 골든벳과 마이스테이크를 홍보했고, 벨로벳 등 여러 카지노 도메인은 등록 기록상 업게이밍이나 최고경영자 토르니케 트바우리(Tornike Tvauri) 명의로 만들어진 것으로 나타났다. 산테다의 원래 이름 오닉시온(Onyxion)은 트바우리가 소유한 오닉시온 몰타와 같은 이름이었다. 업게이밍은 변호인을 통해 산테다는 소프트웨어 고객일 뿐이라며 네트워크 운영을 부인했고, 2026년 3월 30일 산테다와의 계약을 종료했다고 알렸다.
유출된 산테다의 CGA 제출 서류에는 업게이밍이 여러 곳에 등장한다. 산테다는 조지아인 오니세 치마키제(Onise Chimakhidze)를 소유주로 기재하면서 연락처로는 업게이밍 이메일 주소를 적었다. CGA에 낸 파일 뭉치의 파일명에도 업게이밍이 들어 있다. 2025년 제출 문서는 토르니키 카파나제(Torniki Kapanadze)를 산테다의 재무 책임자로 기재했는데, 링크드인에는 토르니케 카파나제(Tornike Kapanadze)가 업게이밍에서 일한다고 나온다. 산테다는 룩셈부르크 회사 부다 캐피털(Buda Capital)에 여섯 차례에 걸쳐 총 1,559만유로(약 1,342만파운드)를 빌려줬는데, 부다 캐피털의 소유주는 업게이밍의 지분을 갖거나 이사를 맡은 조지아인들이다.
업게이밍 변호인은 문서를 보지 못한 상태에서 제3자가 왜 자사 연락처를 적었는지 추측할 수 없다면서, 과거 산테다와 사업 관계가 있었다가 끊긴 탓일 수 있다고 답했다. 카파나제에 대해서는 조지아에서 흔한 이름이고 철자도 다르다고 했다. 대출에 대한 설명은 내놓지 않았다. 변호인은 업게이밍이 “자신들의 상업적 이해관계를 가진 이들을 포함한 여러 당사자의 표적 캠페인” 대상이 됐다고 주장했지만, 구체적 설명은 덧붙이지 않았다.
영국인 소유주의 VIP 베팅업체, 그리고 BC.Game과 스테이크
유출 서류에는 영국인이 소유하거나 운영한 것으로 보이는 업체도 있다. ‘VIP’ 이용자를 겨냥한 베팅업체 오즈벳(Oddsbet)은 유출 데이터상 2025년까지 잉글랜드 이스트라이딩오브요크셔 굴(Goole) 출신 로버트 보스톡(Robert Bostock)의 소유였던 것으로 나타난다. 보스톡의 회사가 CGA에 낸 문서는 자금 출처를 “장기 암호화폐 투자”와 영국 거주자에게서 받은 10만파운드 대출로 설명했다. 그는 2025년 이 사업을 24만달러에 매각한 것으로 문서에 나타난다. 보스톡의 변호인은 10만파운드 대출은 실행된 적이 없고, 사업은 영국 밖 고객만 상대했다고 밝혔다.
레스터 시티 FC의 스폰서 BC.Game도 유출 서류에 등장한다. 퀴라소의 법원이 2024년 11월 12일 BC.Game 운영 법인에 파산을 선고하고 규제당국이 면허 취소 절차에 들어가자, BC.Game은 11월 14일부터 TGP 유럽(TGP Europe)의 화이트라벨 면허로 운영하던 영국용 사이트의 신규 가입을 막고 사이트를 닫았다. 이후 BC.Game은 코모로의 앙주앙(Anjouan) 면허로 옮겼다. 그러나 2025년 5월 영국의 사행산업 광고 반대 단체 CEGA의 윌 프로차스카(Will Prochaska) 대표는 영국에서 별다른 확인 절차 없이 BC.Game에 가입해 베팅할 수 있었다고 밝혔다. 레스터 시티는 2026년 7월 3일 BC.Game과의 유니폼 앞면 스폰서 계약을 2026/27 시즌까지 연장했다.
스테이크는 2025년 영국에서 철수했다. UKGC는 2025년 2월 12일 스테이크 로고가 노출된 성인물 배우 출연 영상에 대한 조사에 착수했다고 밝히면서, 스테이크의 영국 사이트를 화이트라벨로 운영해 온 TGP 유럽이 3월 11일까지 사이트를 폐쇄한다고 발표했다. UKGC는 에버턴을 포함해 무면허 업체를 스폰서로 둔 구단 3곳에 임원이 기소될 수 있다고 경고했다. 프리미어리그가 2026/27 시즌부터 유니폼 앞면의 베팅업체 광고를 금지하자, 스테이크는 에버턴의 소매 스폰서로 전환해 관계를 유지했다.
규제당국의 답변
UKGC는 유출에 대해서는 논평할 수 없다고 했다. 다만 사행 행위와 연결된 불법 활동을 심각한 위협으로 받아들이고 있으며, “규제 틀 밖에서 영업하려는 이들을 찾아내 차단하기 위해 협력 기관들과 긴밀히 일하고 있다”고 밝혔다. CGA는 “진행 중인 복잡한 포렌식 사안”이라 질문에 답할 수 없다면서도 투명성을 지키겠다고 했고, 조사 진행에 따라 추가 정보를 내겠다고 했다. BC.Game과 스테이크가 유출 내용에 관해 답한 사실은 확인되지 않는다.
CGA의 9월 22일 성명 이후 관계 당국 보고나 유출 규모에 관한 추가 발표는 확인되지 않는다. 비트만의 아카이브는 curacaofiles.com에서 계속 공개돼 있다.
< 저작권자 © ‘카지노친구’ casino79.in, 무단전재 및 재배포 금지 >
