피싱과 지갑 드레이너: 암호화폐 사기를 미리 알아보는 방법

가짜 웹사이트와 가짜 에어드롭

피싱은 내가 믿는 대상을 사칭해 접근 권한을 넘겨주도록 속이는 수법입니다. 암호화폐에서 전형적인 형태는 실제 거래소나 지갑 웹사이트를 그대로 베낀 사이트로, 주소가 살짝 다릅니다. 글자가 하나 더 있거나, 문자가 바뀌어 있거나, 도메인 끝부분이 다른 식입니다. 이런 가짜 사이트는 검색 결과의 스폰서 광고나 소셜 미디어 답글 속 링크로 자주 등장합니다.

가짜 에어드롭도 비슷한 수법입니다. 에어드롭은 일부 프로젝트가 토큰을 무료로 나눠 주는 행사입니다. 사기꾼은 가짜 에어드롭을 공지하거나, 토큰 이름에 웹사이트 주소를 적은 가치 없는 토큰을 지갑으로 보내 보상을 받으러 사이트에 접속하게 유도합니다. 바로 그 '받기' 버튼이 함정입니다.

지갑 드레이너의 작동 방식

지갑 드레이너는 사용자가 무언가를 승인하는 순간 지갑을 비우도록 만들어진 악성 웹사이트나 스크립트입니다. 시드 문구가 필요한 경우는 드뭅니다. 대신 토큰 통제권을 넘겨주는 거래나 메시지에 서명하라고 요청합니다.

• 토큰 승인: 이더리움과 비슷한 네트워크에서는 앱이 나를 대신해 토큰을 쓸 수 있는 권한을 요청합니다. 악성 사이트는 무제한 권한을 요청한 뒤, 그 토큰을 지갑에서 전부 빼 갑니다.
• 서명 요청: 퍼밋(permit) 서명 같은 일부 서명 메시지는 별도의 승인 거래 없이도 지출 권한을 넘겨줄 수 있습니다. 겉보기에는 무해한 로그인 요청처럼 보일 수 있습니다.
• 직접 전송: 민팅, 보상 받기, 인증 절차로 위장했지만 실제로는 자산을 그냥 보내 버리는 요청입니다.

승인이나 서명이 이뤄지면 공격자는 몇 분 안에 자금을 옮길 수 있고, 블록체인 거래는 되돌릴 수 없습니다.

주소 오염과 가짜 고객 지원

주소 오염(address poisoning)은 거래 내역에서 주소를 복사하는 습관을 노립니다. 공격자는 내가 자주 쓰는 주소와 앞뒤 몇 글자가 같은 주소를 만든 뒤, 그 주소에서 아주 적은 금액이나 0원짜리 전송을 보내 내 거래 내역에 나타나게 합니다. 나중에 진짜 주소 대신 이 닮은 주소를 복사하면 자금이 사기꾼에게 갑니다. 주소 전체를 확인하거나 저장된 주소록을 사용하세요.

가짜 고객 지원도 흔한 경로입니다. 사기꾼은 공개 포럼과 소셜 미디어에서 도움을 요청하는 사람을 지켜보다가, 직원을 사칭해 답글을 달거나 개인 메시지를 보냅니다. 진짜 지원팀은 다이렉트 메시지로 먼저 연락하지 않으며, 시드 문구나 비밀번호, 화면 공유를 절대 요구하지 않습니다.

URL과 거래 요청 확인하기

• 자주 쓰는 공식 사이트는 즐겨찾기에 저장하고, 광고나 검색 결과, 메시지가 아닌 즐겨찾기에서만 여세요.
• 지갑을 연결하기 전에 도메인 이름 전체를 읽고, 철자를 한 글자씩 확인하세요.
• 지갑의 모든 요청을 읽으세요. 무엇을 승인하는지, 어떤 토큰을 얼마나, 어느 주소나 계약에 승인하는지 따져 보세요.
• 무제한 승인은 경계하세요. 많은 지갑에서 승인 금액을 필요한 만큼으로 줄여 수정할 수 있습니다.
• 급하게 만드는 것 자체를 경고 신호로 여기세요. 카운트다운, 마지막 기회라는 보상, 계정을 정지하겠다는 위협은 압박 전술입니다.
• 새로운 앱을 써 볼 때는 소액만 담은 별도의 지갑을 쓰고, 저축 자금은 다른 지갑, 가능하면 하드웨어 지갑에 보관하세요.

승인 취소, 그리고 피해를 입었을 때 할 일

토큰 승인은 직접 취소하기 전까지 계속 유효합니다. 주요 네트워크의 블록 탐색기와 일부 지갑은 승인 확인 도구를 제공하므로, 어떤 계약이 내 토큰을 쓸 수 있는지 보고 더 이상 쓰지 않는 승인을 취소(revoke)할 수 있습니다. 취소 자체도 거래이므로 소액의 네트워크 수수료가 듭니다.

악성 요청에 서명한 것 같다면 빠르게 움직이세요. 남은 자금을 깨끗한 기기에서 새 시드 문구로 만든 새 지갑으로 옮기세요. 피해를 입은 지갑의 승인은 취소하되, 그 지갑에 돈을 더 보내지는 마세요. 시드 문구를 어딘가에 입력했다면 그 지갑 전체가 영구적으로 노출된 것으로 간주하세요. 사기 사이트는 지갑 제공업체와 그 사이트를 발견한 플랫폼에 신고하고, 도난 피해는 현지 경찰이나 사기 신고 기관에 신고하세요.

그 뒤에도 경계를 늦추지 마세요. 선불 수수료를 받고 도난당한 암호화폐를 되찾아 주겠다는 복구 서비스는 같은 피해자를 노린 2차 사기인 경우가 매우 많습니다.