드레이너 피싱 및 악성 승인으로부터 Web3 지갑을 보호하는 방법

Web3 지갑은 공격자가 시드 구문을 전혀 알지 못해도 잔고를 모두 빼앗길 수 있습니다. 이것이 바로 현대 피싱의 위험한 점입니다. 가짜 웹사이트는 사용자가 이미 지갑에 저장된 자산을 공격자가 이동시킬 수 있도록 승인하도록 유도할 수 있습니다. 승인이나 서명은 특히 해당 페이지가 친숙한 프로토콜, 에어드롭, 발행, 지원 포털 또는 토큰 청구 페이지를 모방할 경우, 일상적인 절차처럼 보일 수 있습니다.

이 가이드는 2026년 9월 16일에 공식 지갑, 프로토콜 및 이더리움 표준 문서를 기준으로 검토되었습니다. 정확한 경고 화면과 보안 기능은 지갑, 네트워크 및 앱에 따라 다르므로 특정 인터페이스를 암기하는 것이 목표가 아닙니다. 요청을 승인하기 전에 해당 요청이 어떤 권한을 부여할 수 있는지 이해하는 것이 중요합니다.

우선, 지갑을 텅 비게 만드는 사람이 실제로 무엇을 필요로 하는지 이해해야 합니다.

"드레이너(drainer)"는 특정 스마트 계약 기능 하나만을 지칭하는 것이 아닙니다. 실제로 피싱 공격은 ERC-20 토큰 할당량, NFT 운영자 승인, 서명된 허가증, 직접 이체 거래, 또는 가장 심각한 경우 사용자의 비밀 복구 문구(SCRP)나 개인 키 등 여러 종류의 권한을 획득하려고 시도할 수 있습니다.

위험도는 승인된 내용에 따라 달라집니다. ERC-20 승인은 일반적으로 특정 토큰 계약과 스펜더에게 적용되는 반면, ERC-721 setApprovalForAll승인은 운영자가 소유자가 보유한 해당 컬렉션의 모든 NFT를 관리할 수 있도록 허용합니다. 이더리움 ERC-721 사양은 setApprovalForAll호출자가 해당 NFT 계약에 보유한 모든 자산에 대해 운영자를 활성화 또는 비활성화하는 것을 명시적으로 정의합니다. ERC-721 사양을 참조하십시오 .

조치: 지갑에서 지출, 운영자 또는 서명 승인을 요청할 경우, 이를 단순한 "로그인" 단계로 여기지 말고 승인 결정으로 간주하십시오.

오해 1: "내 지갑을 연결하면 사이트에서 내 자금을 가져갈 수 있다"

확인 완료: 단순히 지갑을 연결하고 앱에 공개 주소 접근 권한을 부여하는 것은 토큰 허용량을 부여하는 것과는 다릅니다. MetaMask 공식 문서에서는 이러한 차이점을 명확히 설명하고 있습니다. dApp 연결을 해제하면 연결이 끊어지는 반면, 허용량을 취소하면 해당 승인에 포함된 토큰에 대한 스마트 계약의 접근 및 이동 권한이 제거됩니다. MetaMask의 승인-취소 지침을 참조하세요 .

맥락이 중요합니다. 연결 후에도 사이트에서 거래 또는 서명 요청을 표시할 수 있습니다. 위험한 단계는 종종 초기 연결 이후에 발생하므로, "연결만 했습니다"라는 말은 실제로 다른 어떤 것도 서명하거나 승인하지 않았을 때만 안전합니다.

조치: 의심스러운 사이트에 연결했지만 모든 거래와 서명을 거부했다면 연결을 끊으세요. 그런 다음 연결 자체로 자금이 이동했다고 가정하지 말고 지갑의 최근 활동 및 승인 내역을 검토하세요.

오해 2: “탈중앙화 애플리케이션(dApp) 연결을 끊으면 토큰 승인이 취소된다.”

확인됨: 이는 사실이 아닙니다. 토큰 승인은 온체인 인증입니다. 웹사이트 세션 연결을 끊더라도 블록체인 상태가 자동으로 삭제되지는 않습니다. MetaMask에 따르면, 토큰 취소 자체도 온체인 트랜잭션이므로 일반적으로 네트워크 가스가 필요합니다. MetaMask는 이 차이점을 여기에서 설명합니다 .

피싱 공격 후 피해자가 브라우저를 닫고 탈중앙화 애플리케이션(dApp) 연결을 끊으면 위험이 사라졌다고 생각할 수 있지만, 이전에 승인된 지출자는 여전히 권한을 보유하고 있을 수 있기 때문에 이 점이 중요합니다.

조치: 더 이상 신뢰하지 않는 지출자를 승인한 경우, 지갑의 승인 관리 기능이나 해당 네트워크 탐색기에서 제공하는 공식 승인 확인 도구를 사용하여 온체인에서 승인 취소를 제출하세요.

ERC-20 승인의 영향 범위를 줄이세요

ERC-20 토큰 전송 허용은 탈중앙화 거래소나 다른 스마트 계약이 사용자를 대신하여 토큰을 전송해야 할 때 유용합니다. 이러한 허용 자체가 악의적인 것은 아닙니다. 문제는 허용 범위의 문제입니다. 만약 매우 큰 금액이나 무제한의 허용량을 부여했는데, 사용자가 악의적이거나 신뢰받던 스마트 계약이 나중에 악용될 가능성이 있다면, 위험에 처할 수 있는 금액이 사용자가 의도했던 거래 금액보다 훨씬 커질 수 있습니다.

MetaMask는 현재 사용자가 지원되는 승인 흐름에 대해 사용자 지정 지출 한도를 설정할 수 있도록 지원합니다. 보안 문서에서는 탈중앙화 애플리케이션(dApp)이 요청하는 내용을 확인하고 필요에 따라 접근을 제한할 것을 권장합니다. MetaMask의 지출 한도 설정 가이드라인을 참조하세요 .

조치: 지갑에서 사용자 지정 한도를 제공하는 경우, 즉각적인 조치에 합리적으로 필요한 금액만 승인하십시오. 사이트에서 일회성 스왑 또는 청구에 대해 무제한 액세스를 요구하는 경우, 중단하고 그 이유를 확인하십시오.

가스 요금이 표시되지 않았다고 해서 서명된 허가증을 무시하지 마십시오.

확인됨: 모든 승인이 일반적인 온체인 승인 거래로 시작되는 것은 아닙니다. ERC-2612는 permit서명된 메시지를 통해 ERC-20 허용량을 설정할 수 있도록 하는 기능을 도입했습니다. 이 표준에 따르면 유효한 서명을 통해 소유자가 특정 스펜더에 대해 지정된 값과 기한까지 허용량을 설정할 수 있습니다. ERC-2612를 참조하십시오 .

즉, "이 서명은 가스 비용이 들지 않습니다"라는 문구가 서명이 무해하다는 증거는 아닙니다. 서명은 다른 당사자가 나중에 온체인에 제출하는 권한 정보를 포함할 수 있습니다. 특정 서명이 자산을 이동시킬 수 있는지 여부는 정확한 표준, 계약, 필드 및 하위 실행에 따라 달라집니다.

조치: 지갑에 표시된 구조화된 데이터를 읽으십시오. 특히 지출자, 토큰, 가치, 마감일, 체인 및 계약 도메인을 주의 깊게 살펴보십시오. 일반적인 언어로 설명할 수 없는 요청은 거부하십시오.

오해 3: “하드웨어 지갑은 나를 자금 유출로부터 자동으로 보호해준다”

부분적으로는 맞지만, 완전하지는 않습니다. 하드웨어 지갑은 개인 키가 브라우저나 일반 악성 소프트웨어에 직접 노출되는 것을 막아주므로 매우 유용합니다. 하지만 피싱 공격은 주로 사용자의 승인 결정을 노립니다. 기기에 악성 거래 또는 승인 요청이 표시되고 사용자가 이를 확인하는 경우, 하드웨어 경계가 마법처럼 승인을 무효화하는 것은 아닙니다.

실질적인 이점은 사용자가 신뢰할 수 있는 화면에서 중요한 거래 세부 정보를 확인할 수 있을 때 가장 강력합니다. 요청이 불투명하거나 사용자가 이해하지 못하는 내용을 확인하는 경우에는 보안이 약해집니다.

조치 사항: 고가 자산을 보관할 때는 하드웨어 지갑을 사용하되, 서명 장치에서 목적지, 계약, 금액, 네트워크 및 권한을 반드시 확인하십시오. 하드웨어 지갑이 있다고 해서 무조건 서명해도 된다는 의미로 받아들이지 마십시오.

NFT 전반에 걸친 사업자 승인을 주시하십시오.

NFT의 경우, 이 문구에 setApprovalForAll특별한 주의를 기울여야 합니다. ERC-721 표준에 따르면, 운영자를 승인(approved) 상태로 설정하면 해당 운영자가 사용자가 소유한 해당 계약의 모든 NFT를 관리할 수 있게 됩니다. 이는 단순히 하나의 NFT ID를 승인하는 것보다 훨씬 광범위한 권한입니다. 이더리움 표준 자체에서도 단일 토큰 승인과 운영자 전체 승인을 구분하고 있습니다. ERC-721 승인 기능에 대한 자세한 내용은 해당 문서를 참조하십시오 .

그렇다고 모든 요청이 악의적인 것은 아닙니다 setApprovalForAll. NFT 마켓플레이스는 운영자의 권한이 필요한 경우가 있을 수 있습니다. 중요한 것은 해당 운영자와 사용 사례가 의도한 바와 일치하는지 여부입니다.

조치: 에어드롭을 받거나 웹사이트에 로그인하려는 경우, 예상치 못한 NFT 전체에 대한 운영자 제어 요청은 심각한 경고 신호로 간주해야 합니다.

거래를 확인하기 전에 사이트를 먼저 확인하세요.

드레이너 피싱은 가짜 웹사이트가 실제 웹사이트와 매우 흡사하게 보이기 때문에 성공하는 경우가 많습니다. 스폰서 검색 결과, 소셜 미디어 댓글, 다이렉트 메시지, 가짜 고객 지원 계정 또는 복제된 프런트엔드를 통해 사용자는 실제 지갑으로 연결되는 듯한 메시지를 보여주는 다른 도메인으로 유도될 수 있습니다.

지갑 보안 시스템은 도움이 될 수 있지만 완벽하지는 않습니다. 예를 들어 WalletConnect의 Verify API는 참여 지갑에 도메인이 검증되었는지, 일치하지 않는지, 알 수 없는지, 악성으로 표시되었는지 여부를 알려줍니다. WalletConnect는 이러한 감지 기능이 "완벽하지 않다"고 명시적으로 경고합니다. WalletConnect의 Verify API 문서를 참조하십시오 .

MetaMask 역시 보안 경고를 보장이 아닌 정보 제공용 신호로 설명하며, 합법적인 사이트에도 항상 검증 표시가 있는 것은 아니라고 명시하고 있습니다. MetaMask 보안 경고를 참조하세요 .

조치: 독립적으로 검증된 공식 출처에서 생성한 북마크를 통해 중요한 탈중앙화 애플리케이션(dApp)에 접속하세요. 첫 번째 검색 결과, 단축 링크 또는 원치 않는 DM으로 받은 URL에 의존하지 마세요.

"금고"와 "dApp 지갑"을 분리하세요.

이는 프로토콜 규칙이라기보다는 위험 관리 기법입니다. 새로운 토큰 발행, 토큰 청구, 게임 및 익숙하지 않은 탈중앙화 애플리케이션(dApp)을 시험해 보기 위해 사용되는 지갑은 장기 자산을 보관하는 데만 사용되는 주소보다 상호 작용 범위가 더 넓습니다.

분리한다고 해서 피싱을 완전히 막을 수는 없으며, 지갑 간 자산 이동은 그 자체로 운영상의 부담을 초래합니다. 하지만 상호 작용 지갑에 자산의 대부분을 보관하지 않음으로써 잘못된 승인으로 인해 발생할 수 있는 손실액을 줄일 수 있습니다.

조치: 장기 보유 자산이나 고가 자산은 탈중앙화 애플리케이션(dApp)에 거의 연결하지 않는 지갑에 보관하고, 위험도가 높은 웹3 활동에는 의도적으로 잔액을 제한한 별도의 지갑을 사용하는 것을 고려하십시오.

잘못된 통념 4: “인증되었거나 플래그가 지정되지 않은 사이트는 안전하다”

검증되지 않음: 경고가 없다고 해서 안전하다는 보장은 없습니다. 위협 데이터베이스는 새로 생성되는 피싱 도메인보다 업데이트가 늦어질 수 있으며, 겉보기에는 정상적인 애플리케이션이라도 프런트엔드가 손상되었거나 컨트랙트가 취약할 수 있습니다. WalletConnect는 검증할 수 없는 도메인에 대해 명시적으로 "알 수 없음(UNKNOWN)" 상태를 표시하며, 관련 문서에는 검증 계층이 완벽하도록 설계된 것이 아니라고 명시되어 있습니다.

조치: 보안 경고는 하나의 계층으로 취급하십시오. 도메인, 예상 계약, 요청된 권한, 그리고 해당 조치가 시도하려는 작업에 적합한지 여부를 독립적으로 확인하십시오.

나중에 문제가 되기 전에 기존 승인 사항을 검토하십시오.

승인은 탈중앙화 애플리케이션(dApp) 사용을 중단한 후에도 오랫동안 활성 상태로 유지될 수 있습니다. MetaMask는 토큰 승인 현황을 주기적으로 확인하고 더 이상 필요하지 않은 권한은 취소할 것을 권장합니다. 권한 취소는 온체인 상태를 변경하므로 일반적으로 가스 수수료가 발생합니다. 자세한 내용은 공식 권한 취소 가이드를 참조하세요 .

감사를 얼마나 자주 해야 하는지는 탈중앙화 애플리케이션(dApp)을 얼마나 자주 사용하는지, 그리고 지갑에 얼마나 많은 금액이 있는지에 따라 다릅니다. 모든 경우에 적용되는 정답은 없습니다.

조치: 예를 들어 활발한 DeFi 사용자라면 매월과 같이 정기적인 캘린더 알림을 설정하여 실제로 사용하는 체인 전반에 걸쳐 지출자, 허용량, NFT 운영자 및 기존 dApp 권한을 검토하세요.

의심스러운 서류에 서명했다면 어떤 종류의 정보 유출이 발생했는지 확인하세요.

모든 사건에 똑같은 해결책을 즉시 적용하지 마십시오. 대응은 발생한 상황에 따라 달라집니다.

MetaMask의 공식 사고 대응 지침에 따르면, 비밀 복구 문구가 유출된 경우 사용자는 새 복구 문구를 사용하여 새 지갑을 생성하고, 남은 자산을 다른 곳으로 옮기고, 유출된 문구를 기반으로 생성된 계정 사용을 중단해야 합니다. 또한 블록체인 거래는 일반적으로 되돌릴 수 없다는 점을 경고합니다. MetaMask의 해킹 또는 사기 피해 대응 지침을 참조하십시오 .

조치: 시드 구문 또는 개인 키가 노출된 경우, 승인 취소만으로는 충분하지 않습니다. 서명 기관 자체가 손상된 것으로 간주해야 합니다.

승인 문제를 해결하기 위해 복구 문구를 절대 입력하지 마십시오.

비밀 복구 문구는 이를 기반으로 생성된 모든 계정의 마스터 자격 증명입니다. MetaMask의 공식 문서에 따르면, 이 문구를 얻은 사람은 누구나 지갑을 제어할 수 있습니다. 합법적인 승인 관리에는 임의의 웹사이트에 복구 문구를 입력할 필요가 없습니다. MetaMask의 복구 문구 보안 지침을 참조하십시오 .

조치: 해당 문구를 오프라인에서 비공개로 보관하십시오. 웹사이트, 지원 담당자, 양식, 봇 또는 "복구 서비스"에서 해당 문구를 요구하는 경우 즉시 중단하십시오.

계약서 서명 전 실용적인 체크리스트

• 도메인: 이 도메인이 바로 방문하고자 했던 공식 도메인인가요?
• 이유: 요청하신 권한이 시작하신 작업에 적합한가요?
• 네트워크: 요청이 예상 체인에서 처리되고 있습니까?
• 계약자 또는 지출자: 수령인 또는 승인된 주소가 예상 주소와 일치합니까?
• 범위: 고정 금액, 무제한 허용량, NFT 1개, 또는 전체 컬렉션에 대한 운영자 승인 등 어떤 유형인가요?
• 서명 필드: 입력된 데이터인 경우 토큰, 지출자, 금액, 마감일 및 도메인을 식별할 수 있습니까?
• 지갑 노출 정도: 이 지갑에 있는 금액이 이번 거래에서 공개하기에 적절하지 않은 수준인가요?
• 경고 신호: 지갑에서 악성, 불일치, 알 수 없음 또는 기타 의심스러운 도메인이나 거래를 보고하고 있습니까?

이러한 검사 중 하나라도 실패하면, 나중에 자산을 회수하려고 시도하는 것보다 요청을 거부하는 것이 일반적으로 비용이 적게 듭니다.

내 방어 체계가 제대로 작동하는지 스스로 확인하는 방법

공격이 발생할 때까지 기다릴 필요 없이 설정을 테스트할 수 있습니다. 브라우저 북마크가 올바른 dApp 도메인을 가리키는지 확인하세요. 지갑의 승인 관리 도구를 열고 활성 지출자를 인식하는지 확인하세요. 고액 자산 지갑이 일반적인 dApp 실험에서 격리되어 있는지 확인하세요. 복구 문구가 이메일, 클라우드 메모, 스크린샷, 채팅 기록 또는 웹사이트 암호 관리자 필드에 저장되어 있지 않은지 확인하세요. 지갑에서 보안 경고를 제공하는 경우 해당 경고가 활성화되어 있는지 확인하세요.

다음으로 여러분의 의사결정 과정을 테스트해 보세요. 실제 Web3 요청에 서명하기 전에, 해당 요청이 어떤 권한을 부여하는지 소리 내어 설명해 보세요. 만약 그 효과를 한 문장으로 설명할 수 없다면, 요청을 거부하고 먼저 조사해 보세요.

결론적으로

대부분의 피싱 공격은 합법적인 Web3 기능(승인, 운영자 권한, 서명 또는 거래)을 사회공학적 무기로 악용하여 성공합니다. 최선의 방어책은 하나의 확장 프로그램, 하나의 하드웨어 장치 또는 하나의 위협 목록이 아닙니다. 이는 다층적인 프로세스입니다. 사이트를 검증하고, 권한 부여 방식을 이해하고, 공격 범위를 최소화하고, 중요한 정보와 위험한 상호 작용을 분리하고, 이전 권한을 검토하고, 악의적인 승인과 완전히 손상된 복구 문구의 차이를 알아야 합니다.

보안 도구는 위험을 줄일 수 있지만, 서명된 악의적인 요청이 무해할 것이라고 보장할 수는 없습니다. 자체 보관 환경에서 최종 확인은 종종 보안의 경계가 됩니다. 따라서 해당 확인 절차를 신중하고 구체적으로 수행해야 합니다.