피싱, 가짜 앱, 악의적인 승인

암호를 깰 수 없는 도둑에게는 두 가지 방법이 있습니다. 내 시드 문구를 손에 넣거나, 내 토큰을 넘겨주는 무언가에 서명하게 만드는 것입니다. 이 레슨은 두 경로를 모두 다룹니다.

첫 번째 경로: 시드 문구

피싱 사이트. 지갑이나 거래소 사이트의 복제본이 진짜와 한 글자 다른 웹 주소에 있습니다. 광고, 이메일, 다이렉트 메시지로 홍보됩니다. 시드 문구를 입력해 지갑을 "복구", "인증", "동기화"하라고 합니다.

가짜 앱. 인기 지갑을 흉내 낸 앱이 공식 앱 스토어에 들어옵니다. 2026년 카스퍼스키는 애플 앱 스토어에서 26개를 찾았습니다. 사용자가 복구 문구를 입력하는 순간 이를 가로채 공격자에게 보냈습니다.

가짜 고객 지원. 누군가 내 공개 질문에 개인 메시지와 "지원 양식" 링크로 답합니다.

세 가지 모두 결말은 같습니다. 단어를 입력하면 지갑이 털립니다. 레슨 23의 규칙이 이 모두를 막습니다. 문구는 공식 경로에서 설치한 소프트웨어에서, 내가 지갑 복구를 골랐을 때만 입력합니다.

두 번째 경로: 내 서명

이 경로는 시드 문구가 필요 없고, 하드웨어 지갑에도 통합니다.

이더리움에서 토큰을 앱과 함께 쓰려면 먼저 **승인(approval)**에 서명합니다. 그 앱의 스마트 계약에 내 지갑에서 그 토큰을 옮길 권한을 주는 것입니다. 앱은 한 번만 승인하면 되도록 무제한을 요청하는 경우가 많습니다.

악의적인 사이트는 이를 악용합니다. 새 프로젝트, 에어드롭, 수령 페이지인 척합니다. 지갑을 연결하고 평범한 단계처럼 보이는 것에 서명합니다. 실제로는 공격자의 계약을 승인한 것이고, 그 계약은 그 종류의 토큰을 모두 가져갑니다. 이를 위해 만든 도구를 드레이너라고 부릅니다. 체이널리시스는 이를 "웹3 프로젝트로 위장하는" 사이트라고 설명합니다.

한 예는 SEC 자체의 소셜 미디어 계정이 탈취된 뒤인 2024년 1월에 있었습니다. SEC를 사칭한 드레이너가 지갑을 연결해 무료 토큰을 받으라고 사람들을 유인했습니다.

승인이 실제로 뜻하는 것

• 내가 취소할 때까지 유지됩니다. 그 앱을 더 이상 쓰지 않아도 마찬가지입니다.
• 사이트에서 지갑 연결을 끊어도 취소되지 않습니다.
• 무제한은 그 종류의 토큰 전부를 뜻하며, 나중에 추가한 것도 포함합니다.
• 승인한 계약이 해킹되거나 악의적인 것으로 드러나면 그 권한이 쓰일 수 있습니다.

방어법

서명할 때 속도를 늦추세요. 지갑이 보여 주는 내용을 읽으세요. "approve", "permit", "set approval for all"이 보이는데 예상하지 못한 것이라면 거부하세요.

필요한 만큼만 승인하세요. 많은 지갑에서 무제한 요청을 이번 거래에 필요한 금액으로 줄일 수 있습니다.

실험용 지갑을 따로 쓰세요. 새 앱을 써 보거나 무언가를 받을 때는 잔액이 적은 지갑을 쓰세요. 자산은 웹사이트에 절대 연결하지 않는 지갑에 두세요.

오래된 승인을 취소하세요. 블록 익스플로러와 전용 도구에서 내 주소의 승인 목록을 보고 취소할 수 있습니다. 취소할 때마다 거래가 되고 수수료가 듭니다. 1년에 몇 번, 그리고 후회되는 것에 서명했다면 즉시 하세요.

안전하게 도착하세요. 즐겨찾기를 쓰세요. 광고나 메시지 속 링크를 누르지 마세요.

공짜 돈은 무시하세요. 깜짝 토큰, 신청하지 않은 에어드롭, 급한 "수령" 마감은 미끼입니다.

두 가지 규칙

무엇을 고치거나, 인증하거나, 받기 위해 시드 문구를 입력하지 마세요. 설명할 수 없는 거래에는 서명하지 마세요.