지갑 승인과 피싱 방지: 악성 승인 취소 방법과 자산 탈취 후 첫 대응

결론부터 말하자면: 대부분의 온체인 코인 탈취는 당신이 직접 서명한 것입니다

"지갑이 해커에게 뚫렸다"는 말은 현실에서 거의 일어나지 않습니다. 대다수의 손실은 두 가지 행동에서 비롯됩니다: 악성 컨트랙트에 승인을 해준 경우(당신의 코인은 합법적인 컨트랙트를 통해 빠져나갑니다), 그리고 피싱 사이트에서 서명을 누르거나 시드 문구를 입력한 경우(당신이 직접 통제권을 넘겨준 것입니다). 온체인 거래는 되돌릴 수 없으며, 한 번 서명하면 주소 하나가 텅 빌 수 있습니다.

이 글에서는 두 가지를 명확히 다룹니다: 위험한 승인을 확인하고 철회하는 방법, 그리고 이체·상호작용 전의 예방 조치와 탈취당한 후의 긴급 대응 절차입니다. 후자는 영원히 쓸 일이 없기를 바라지만, 반드시 미리 알아두어야 합니다.

위험 1: 토큰 승인(Approve)이란 정확히 무엇인가

온체인에서 DApp(DEX, 스테이킹, 대출 등)을 사용할 때는 먼저 그 DApp이 당신의 특정 토큰을 사용하도록 "승인"해야 합니다. 이것이 바로 Approve입니다. 문제는 승인 한도에 있습니다:

• 정확한 금액 승인: 이번 거래 금액만큼만 사용하도록 허용하고, 쓰면 끝나므로 상대적으로 안전합니다;
• 무한 승인: 해당 토큰의 전체 잔액을, 그것도 장기간 사용하도록 허용합니다. 만약 승인한 대상이 악성 컨트랙트라면, 몇 달 뒤 어느 시점이든 이 토큰을 전부 빼갈 수 있으며, 그때 당신은 아무런 알림도 받지 못합니다.

위험은 여기에 있습니다: 적지 않은 DApp이 "이후 작업을 줄이기 위해" 기본적으로 무한 승인을 선택하도록 유도하며, 피싱 사이트는 정상적인 DApp으로 위장해서 오직 그 승인 버튼을 누르게 만드는 것만을 목적으로 합니다.

위험한 승인을 확인하고 철회하는 방법

1. 승인 조회 도구를 엽니다(대표적으로 revoke.cash, 그리고 블록 탐색기에 내장된 승인 조회, 예를 들어 이더리움 탐색기의 Token Approval Checker);
2. 지갑을 연결합니다. 이 단계는 온체인 공개 데이터를 읽는 것뿐이며, 시드 문구도 필요 없고 이체도 필요 없습니다;
3. 승인 목록을 확인합니다: "한도가 무한"이면서 "승인 대상이 이미 사용하지 않는" 항목을 중점적으로 봅니다;
4. 철회(Revoke)를 클릭하고 지갑에서 이 거래를 확인합니다. 철회 자체도 온체인 작업이므로 gas 수수료를 지불해야 합니다;
5. 습관을 들입니다: 한두 달에 한 번 점검하고, 특히 새 프로젝트에 참여한 후에는 반드시 확인합니다.

두 가지 당부: 첫째, 철회할 때 어느 사이트에 연결했는지 확인하세요. 사기꾼들도 가짜 "철회 도구"를 만들어 둡니다. 둘째, gas를 아끼려고 낯선 사이트에 무한 승인을 해주지 마세요. 그 수수료 아낀 돈이 당신의 전체 잔액 위험과 맞먹을 수 있습니다.

위험 2: 피싱의 여섯 가지 흔한 형태

1. 가짜 웹사이트

도메인이 공식과 한두 글자만 다르고, 페이지는 완전히 그대로 베꼈습니다. 흔한 진입 경로는 검색 엔진 광고, 커뮤니티의 단축 링크, 그리고 누군가 개인 메시지로 보낸 "새 공식 홈페이지"입니다. 방어법은 원시적이지만 효과적입니다: 자주 쓰는 사이트를 북마크에 넣고, 항상 북마크로만 들어가며, 검색 광고는 클릭하지 않습니다.

2. 가짜 앱과 가짜 플러그인

앱 스토어에서 검색되는 "같은 이름의 지갑", 그리고 브라우저에 뜨는 "플러그인 업데이트가 필요하니 다시 설치하세요" 알림은 모두 가짜일 수 있습니다. 방어: 공식 홈페이지가 안내하는 공식 스토어 링크로만 설치하고, 플러그인 업데이트는 브라우저 자체 업데이트 기능을 이용하며, 제3자 페이지의 "업데이트" 버튼은 누르지 않습니다.

3. 공식 사칭 개인 메시지

커뮤니티나 소셜 플랫폼 DM에 있는 "관리자""고객센터""기술 지원"이 문제 해결, 보상 수령, 이벤트 참여를 도와주겠다고 합니다. 진짜 공식은 먼저 개인 메시지로 무언가를 요구하지 않습니다. 먼저 개인 메시지로 자산 조작을 요구하는 경우는 전부 신고하고 차단하세요.

4. 주소 오염(Address Poisoning)

많은 사람이 들어본 적 없는 사기입니다: 사기꾼이 당신의 주소로 0 금액 또는 아주 적은 금액을 이체하는데, 보내는 주소가 당신이 자주 쓰는 수취 주소와 앞뒤 글자가 완전히 같습니다. 목적은 당신의 이체 기록을 오염시키는 것입니다. 다음에 "기록"에서 주소를 복사할 때 사기꾼의 주소를 베낄 가능성이 큽니다. 방어: 이체할 때 절대 기록에서 아무렇게나 복사하지 말고 주소록이나 화이트리스트를 사용하며, 확인할 때 최소한 앞뒤 각 4-6 글자를 대조합니다.

5. 가짜 에어드랍과 가짜 수령 페이지

"당신은 XXX 에어드랍을 받을 자격이 있습니다"라는 페이지에서 "수령"을 클릭하면 실제로는 승인에 서명하게 하거나 바로 이체하게 만듭니다. 판단 기준: 진짜 에어드랍은 먼저 돈을 내라거나, 전체 자산을 승인하라거나, 시드 문구를 입력하라고 요구하지 않습니다.

6. 가짜 지갑 업그레이드 / 자산 이전 페이지

"지갑 버전 업그레이드""구버전 자산을 이전해야 함"을 이유로 시드 문구를 웹페이지에 입력하게 하거나, 위조된 앱에서 지갑을 복구하게 만듭니다. 기억하세요: 시드 문구는 자신이 직접 연 정규 지갑 앱에만 입력해야 하며, 그 외의 어떤 페이지도 피싱입니다.

이체 전 세 가지 행동

1. 주소 대조: 앞뒤 각 4-6 자리가 하나하나 맞아야 합니다. 금액이 클 때는 전체 글자를 대조합니다. 장기 이체 대상은 주소록이나 화이트리스트에 추가합니다;
2. 먼저 소액 테스트: 어떤 주소로 처음 이체할 때는 먼저 소액을 보내고, 도착을 확인한 뒤 나머지 금액을 보냅니다;
3. 하드웨어 지갑 화면에서 확인: 하드웨어 지갑을 쓴다면 지갑 소프트웨어에 표시되는 수취 주소가 악성코드로 변조되었을 수 있습니다. 기기 화면에 나오는 주소만이 신뢰할 수 있습니다. 이것이 하드웨어 지갑의 가장 중요한 가치이니 반드시 활용하세요.

이미 탈취당했다면: 가장 먼저 할 일

순서가 중요합니다. 앞의 두 단계가 빠를수록 되찾을 수 있는 부분이 많아집니다:

1. 즉시 남은 자산을 옮깁니다: 완전히 새로 생성한 지갑(새 시드 문구, 가능하면 깨끗한 기기 환경에서 생성)으로 아직 빠져나가지 않은 자산을 받습니다. 원래 지갑을 쓰지 말고, 앱을 다시 설치하는 것만으로도 안 됩니다;
2. 옛 지갑의 모든 승인을 철회합니다: 유출 원인이 시드 문구가 아니라면(예를 들어 승인이나 피싱 서명뿐이라면), 최대한 빨리 승인을 철회해서 같은 주소의 다른 토큰이 계속 빠져나가는 것을 막습니다;
3. 증거를 보관합니다: 탈취 거래 해시, 사기꾼 주소, 시점, 관련 금액, 그리고 당시 방문했던 의심스러운 웹사이트나 플러그인 스크린샷;
4. 자산이 중앙화 거래소로 흘러들어갔다면: 즉시 해당 거래소의 고객센터와 컴플라이언스 채널에 연락해 증거를 제출하고 차단을 신청합니다. 온체인 이체는 되돌릴 수 없지만, 장물이 플랫폼 계정에 들어간 후에는 플랫폼의 동결 메커니즘으로 시간을 벌 기회가 있습니다. 이 단계는 제출이 빠를수록 가능성이 높아집니다;
5. 경찰에 신고하고 기록을 남깁니다: 현지 경찰에 신고하고 접수증을 보관하며, 동시에 온체인 분석 도구로 자금 경로를 계속 추적할 수 있습니다;
6. 유출 경로를 되짚어봅니다: 승인을 했는지, 피싱을 클릭했는지, 아니면 시드 문구가 유출됐는지? 원인을 찾지 못하면 새 지갑도 같은 방식으로 텅 빌 수 있습니다.

솔직히 말해야 합니다: 온체인 자산은 한 번 빠져나가면 회수 확률이 매우 낮습니다. 그래서 앞의 모든 예방 조치에 시간을 들일 가치가 있습니다.

일상 보안 체크리스트

1. 자산계층화: 거래소에는 거래 자금, 핫 월렛에는 일상 상호작용용 소액, 하드웨어 지갑에는 장기 보유 대액;
2. 독립적인 브라우저 프로필(또는 예비 기기) 하나를 온체인 작업 전용으로 쓰고, 일상 브라우징과 섞지 않습니다;
3. 자주 쓰는 사이트는 전부 북마크하고, 검색 결과 광고와 개인 메시지 링크는 클릭하지 않습니다;
4. 서명 전에 팝업 내용을 제대로 읽습니다: 서명(Sign)과 승인(Approve)은 다른 것이고, 승인이 더 위험하므로 한도는 "정확한 금액"을 우선 선택합니다;
5. 매달 한 번 승인 기록을 점검하고 쓰지 않는 것은 철회합니다;
6. 시드 문구, 개인 키, 인증 코드를 요구하는 모든 상황은 일괄 거부합니다.

자주 묻는 질문

서명과 승인의 차이는 무엇인가요?

서명은 보통 '당신이 이 주소의 주인'이라는 것만 증명할 뿐, 자산을 직접 이전하지는 않습니다. 반면 승인(Approve)은 '특정 토큰을 사용할 권한'을 컨트랙트에 넘기는 것으로, 한도가 충분히 크면 상대방이 언제든 당신의 자산을 가져갈 수 있습니다. 승인 팝업이 뜨면 반드시 대상과 한도를 확인한 뒤 확인 버튼을 누르세요.

승인 취소에도 돈이 드나요?

네. 취소 자체가 온체인 거래이기 때문에 gas 비용을 지불해야 하며, 금액은 당시 네트워크 혼잡도에 따라 달라집니다. 그래서 더 나은 전략은 승인 목록이 가득 찰 때까지 기다렸다가 한꺼번에 정리하는 것이 아니라, 처음부터 무한 승인을 피하는 것입니다.

내 자산을 전부 한 지갑에 넣어두면 위험이 큰가요?

네. 지갑 하나는 시드 문구 한 세트에만 대응하므로, 한 번 유출되면 전부 사라집니다. 자주 상호작용하는 개인 키는 그 자체로 노출되기 더 쉽습니다. 합리적인 방법은 분층 관리입니다. 자주 상호작용해야 하는 온체인 자금은 핫 월렛에, 장기 보유 자산은 하드웨어 지갑에, 거래용 자금은 보안 기록이 좋고 PoR(준비금 증명)이 있는 대형 거래소 계정에 두는 것입니다. 예를 들어 Binance, OKX, Gate.io 같은 곳입니다. 이렇게 하면 어느 한 고리가 문제가 생겨도 손실을 통제할 수 있습니다.

도난당한 자산은 정말 되찾을 수 없나요?

확률은 매우 낮지만 절대 0은 아닙니다. 두 가지 경우에 약간의 기회가 있습니다. 자산이 CEX로 유입된 후의 짧은 시간 안에(제때 증거를 제출해 동결을 신청하는 경우), 그리고 법 집행 기관과 온체인 분석 팀이 개입한 사건입니다. 대부분의 경우 자산은 빠르게 쪼개지고 크로스체인으로 이전되며 믹싱 서비스로 들어가기 때문에 회수 가능성은 희박합니다. 그래서 예방의 가치가 복구보다 훨씬 큽니다.

위험 고지 및 홍보 공개: 온체인 거래는 취소할 수 없으며, 승인과 서명 작업에는 자산 손실 위험이 있습니다. 본문 내용은 투자 조언을 구성하지 않습니다. 본문에는 홍보 링크가 포함되어 있으며, 링크를 통해 회원가입하면 우리가 수수료를 받을 수 있지만, 당신이 지불하는 비용이 늘어나지 않고 본문의 판단에도 영향을 미치지 않습니다. 본문에 언급된 도구와 메커니즘은 2026년 10월 기준이며, 각 공식 채널의 설명을 기준으로 하시기 바랍니다.