웹3.0 피싱 사기: 추측에 의존하지 않고 암호화폐 지갑을 보호하는 방법

웹3 피싱은 사기꾼이 항상 비밀번호를 필요로 하지 않기 때문에 위험합니다. 자체 보관 지갑의 경우, 공격자는 비밀번호 대신 비밀 복구 문구를 획득하거나, 가짜 탈중앙화 애플리케이션(dApp)에 연결하도록 유도하거나, 악성 계약이 자산에 접근할 수 있도록 하는 거래 또는 토큰 허용을 승인하도록 설득할 수 있습니다.

따라서 효과적인 지갑 보안의 목표는 모든 사기 수법을 암기하는 것이 아닙니다. 메시지, 웹사이트 또는 거래가 그럴듯해 보이더라도 더 나은 결과를 도출하는 프로세스를 구축하는 것입니다. 실질적인 기준은 다음과 같습니다. 무엇이든 서명하기 전에, 상대방이 누구인지, 지갑 요청이 어떤 권한을 부여하는지, 노출되는 금액은 얼마인지, 그리고 문제가 발생했을 때 어떻게 대처해야 하는지 알아야 합니다.

웹3 피싱이 당신에게 하려는 행동

피싱은 사회공학적 공격의 일종입니다. 사기꾼은 공격자에게 이익이 되는 행동을 하도록 유도하는 그럴듯한 이유를 만들어냅니다. 웹3 환경에서는 이러한 행동이 악성 링크를 클릭하는 것보다 훨씬 더 심각한 결과를 초래할 수 있습니다. 가짜 사이트는 복구 문구를 입력하거나, 메시지에 서명하거나, 토큰 할당을 승인하거나, 자산 이동 거래를 승인하도록 요구할 수 있습니다.

Coinbase는 피싱 사이트가 합법적인 서비스를 모방하여 이메일, 문자 메시지, 소셜 미디어 및 검색 엔진 광고를 통해 유포될 수 있다고 경고합니다. 또한 Coinbase 지갑 사용 안내에서는 정확한 dApp URL을 확인하고 복구 문구를 절대 공유하지 말 것을 강조합니다. 암호화폐 사기를 방지하는 방법에 대한 Coinbase 지갑 안내를 참조하십시오 .

MetaMask는 가짜 지원 계정이 공식 직원을 사칭하여 사용자에게 비밀 복구 문구를 요구하는 스푸핑 공격에 대해서도 설명합니다. 복구 문구를 사용하면 지갑을 복원할 수 있지만, 연결된 개인 키가 노출될 수 있으므로 이를 다른 사람이나 웹사이트에 제공하면 지갑 제어권을 넘겨줄 수 있습니다. 스푸핑 사기에 대한 MetaMask의 안내를 참조하십시오 .

보안 프로세스가 달성해야 할 네 가지 결과

1. 복구 문구는 항상 사용자의 통제 하에 있습니다.

복구 문구(시드 문구 또는 비밀 복구 문구라고도 함)는 자체 관리 지갑을 복원할 수 있는 백업 비밀 키입니다. 가장 중요한 확인 사항은 간단합니다. 어떤 지원 담당자, 웹사이트, 양식, 챗봇, 에어드롭 페이지 또는 "지갑 인증" 프로세스도 복구 문구를 입력해서는 안 됩니다.

누군가 복구 암호를 요구한다면, "로고를 확인해 보니 진짜 같았어요."라고 대답하는 것이 올바른 대응입니다. 복구 암호를 제공하지 않고 해당 업체의 공식 지원 사이트로 직접 이동하는 것이 올바른 대응입니다. MetaMask는 지원 담당자가 복구 암호를 절대 요구하지 않는다고 명시하고 있으며, Coinbase 또한 마찬가지로 시드 구문을 요구하지 않는다고 밝히고 있습니다. MetaMask의 공식 지원 지침 과 Coinbase의 피싱 관련 지침을 참조하십시오 .

2. 서명하기 전에 목적지와 목적을 확인하십시오.

하드웨어 지갑은 개인 키가 컴퓨터에 직접 노출되는 것을 막아주지만, 거래가 경제적으로 안전한지 여부를 판단할 수는 없습니다. 악의적인 거래를 승인할 경우, 기기는 사용자가 서명하라고 지시한 내용 그대로 서명할 수 있습니다.

이것이 바로 읽기 쉬운 거래 정보가 중요한 이유입니다. Ledger는 "명확한 서명"을 승인 전에 행위, 수신자, 금액과 같은 거래 세부 정보를 사람이 읽기 쉬운 형태로 제공하는 것으로 정의합니다. 보안상의 이점은 이러한 세부 정보를 사용자가 의도한 행위와 비교하는 데서 비롯됩니다. Ledger의 명확한 서명에 대한 설명을 참조하십시오 .

서명하기 전에 유용한 합격/불합격 테스트는 다음과 같습니다. 요청 내용이 무엇을 하는지 쉬운 말로 설명할 수 있습니까? 지갑에 익숙하지 않은 계약, 무제한 지출 권한, 예상치 못한 수신자 또는 의미 있게 검증할 수 없는 불투명한 데이터가 표시되는 경우, 확인 화면을 형식적인 절차로 처리하기보다는 중단하는 것이 더 안전합니다.

3. 손상된 탈중앙화 애플리케이션(dApp)은 자동으로 모든 곳에 접근할 수 없습니다.

토큰 승인은 스마트 계약이 사용자를 대신하여 지정된 토큰을 사용할 수 있도록 허용하는 권한입니다. 이는 탈중앙화 거래소, 스테이킹 애플리케이션 및 기타 탈중앙화 애플리케이션(dApp)에 필요한 경우가 많지만, 지나치게 광범위한 승인은 계약이나 사이트가 악의적인 것으로 밝혀질 경우 노출될 수 있는 위험 부담을 증가시킵니다.

MetaMask는 지갑을 dApp에서 연결 해제하는 것이 토큰 승인을 취소하는 것과는 다르다고 설명합니다. 연결을 해제하면 해당 사이트의 지갑 정보 접근 권한은 제거되지만, 기존의 온체인 승인은 그대로 유지될 수 있습니다. MetaMask 문서에서는 승인 내역을 검토하고 원치 않는 승인을 취소할 것을 권장합니다. 토큰 승인 취소에 대한 자세한 내용은 MetaMask 가이드를 참조하세요 .

여기서 측정 가능한 결과는 피해 범위가 좁아진다는 것입니다. 자주 사용하지 않는 탈중앙화 앱(dApp)의 경우, 단순히 잊어버렸다는 이유로 무제한 승인 권한을 그대로 두어서는 안 됩니다. 정기적으로 승인 권한을 검토하고 더 이상 필요하지 않은 권한은 삭제하세요. 지갑이나 탈중앙화 앱에서 사용 금액 제한을 지원하는 경우, 무제한 접근 권한을 기본값으로 설정하는 대신 실제로 사용 가능한 최소 금액으로 설정하세요.

4. 피해를 신속하게 수습할 수 있습니다.

어떤 보안 루틴도 모든 위험을 완전히 제거할 수는 없습니다. 문제가 발생하기 전에 미리 사고 대응 계획을 세워야 합니다. 승인되지 않은 거래, 악의적인 승인, 또는 복구 문구가 노출된 정황을 발견하면 예방에서 차단으로 우선순위가 바뀝니다.

MetaMask의 지갑 해킹 관련 안내에 따르면, 승인되지 않은 거래는 지갑 해킹을 나타낼 수 있으며, 남은 자금을 안전한 지갑으로 옮기고, 해킹된 지갑 사용을 중단하고, 사기 행위를 신고할 것을 권장합니다. 또한, 자체 보관 지갑의 한계점, 즉 블록체인 거래는 일반적으로 지갑 제공업체에서 되돌릴 수 없다는 점을 지적합니다. 자세한 내용은 MetaMask의 지갑 해킹 관련 안내를 참조하십시오 .

접속 또는 가입 전에 확인해야 할 실용적인 피싱 검사

다음 체크리스트는 판단 기준점으로 활용하되, 절대적인 보증으로 간주해서는 안 됩니다. 모든 항목을 통과하면 명백한 위험은 줄어들지만, 합법적으로 보이는 웹사이트나 계약이라도 여전히 사기일 가능성이 있습니다.

"URL이 맞는 것 같다"는 것만으로는 충분하지 않은 이유

도메인을 확인하는 것은 필수적이지만, 이는 단지 한 단계일 뿐입니다. 공격자는 소셜 계정을 해킹하거나, 검색 광고를 구매하거나, 고객 지원 담당자를 사칭하거나, 전문적인 것처럼 보이는 페이지로 사용자를 유도할 수 있습니다. 또한, 정상적으로 보이는 페이지에도 악성 또는 손상된 스마트 계약 상호 작용이 포함될 수 있습니다.

고액 거래의 경우, 두 가지 독립적인 확인 방법을 사용하십시오. 예를 들어, 저장된 북마크에서 프로젝트를 열고 공식 프로젝트 채널을 통해 계약 또는 공지 사항을 별도로 확인하십시오. 동일한 의심스러운 메시지에서 두 개의 링크를 클릭하고 이를 독립적인 확인이라고 주장하지 마십시오.

지갑 보안 알림은 도움이 될 수 있지만 안전을 보장하는 것은 아닙니다. MetaMask는 신뢰 신호와 보안 알림이 정보 제공용이며 안전을 보장하지 않는다고 명시적으로 밝히고 있습니다. 주소나 사이트가 악성으로 표시된 경우 연결하거나 서명하지 마십시오. 경고가 표시되지 않더라도 직접 상호 작용을 확인해야 합니다. MetaMask의 보안 알림 관련 문서를 참조하십시오 .

접근 방식을 바꿔야 할 시점

잠재적 손실이 커질수록 보안 프로세스는 더욱 엄격해져야 합니다. 탈중앙화 애플리케이션(dApp) 테스트를 위해 소액을 보관하는 지갑은 장기 저축을 보관하는 지갑과 동일한 운영 모델을 적용할 필요가 없습니다.

• 새로운 탈중앙화 애플리케이션(dApp)을 정기적으로 테스트하거나, NFT를 발행하거나, 에어드롭을 신청하거나, 익숙하지 않은 메시지에 서명할 때는 별도의 상호 작용 지갑을 사용하세요 . 해당 활동에 필요한 금액만 보유하십시오.
• 한 번의 승인 실수로 감당하기 힘든 큰 손실을 볼 수 있으므로, 장기 보유 자산은 빈번한 탈중앙화 애플리케이션(dApp) 활동에서 멀리 떨어뜨려 놓으세요 .
• 거래 금액이 추가적인 절차를 감수할 만한 가치가 있다면 하드웨어 서명기를 사용하고 화면을 확인하세요 . 이점은 단순히 기기를 소유하는 것이 아니라 화면에 표시된 세부 정보를 검토하는 데 있습니다.
• 탈중앙화 애플리케이션(dApp) 사용을 중단할 때는 기존 승인을 취소하세요 . 특히 허용량이 많거나 무제한인 경우에는 더욱 그렇습니다.
• 지갑의 복구 문구나 개인 키가 노출된 경우 해당 지갑을 버리고 다른 지갑으로 옮기세요 . 지갑 앱의 비밀번호를 변경한다고 해서 노출된 시드 구문이 다시 안전해지는 것은 아닙니다.

즉시 정지해야 할 필요성을 시사하는 위험 신호

일부 신호는 추가적인 상호 작용이 필요 없을 정도로 명확합니다. 상담원이 복구 문구, 비밀번호, 2단계 인증 코드, 원격 접속 소프트웨어 또는 "안전한" 지갑으로의 이체를 요구하는 경우 즉시 중단하십시오. 코인베이스는 고객 서비스 담당자가 이러한 사항을 절대 요구하지 않는다고 명시적으로 밝히고 있습니다.

또한 메시지가 인위적인 긴급성을 조성하거나, 비정상적으로 큰 보상을 약속하거나, 시작한 행동과 관련 없는 서류에 서명하도록 요구하는 경우 즉시 중단하십시오. 피싱 공격의 일반적인 이점은 속도입니다. 공격자는 사용자가 확인하기 전에 행동하도록 유도합니다.

이미 클릭했거나 서명한 경우 어떻게 해야 할까요?

링크를 클릭하는 것만으로 자금 손실이 발생하는 것은 아닙니다. 중요한 것은 그 이후에 발생한 일입니다. 만약 단순히 페이지를 열었을 뿐 복구 문구를 입력하거나, 소프트웨어를 설치하거나, ​​지갑을 연결하거나, 메시지에 서명하거나, 토큰 할당을 승인하거나, 거래를 승인하지 않았다면 손실 위험이 더 낮을 수 있습니다. 사이트를 닫고 브라우저와 기기의 보안을 점검한 후, 독립적으로 검증된 URL을 통해 서비스에 다시 접속하세요.

지갑을 연결했다면 활성화된 권한을 확인하세요. 토큰 사용을 승인했다면 의심스러운 허용 사항을 검토하고 취소하세요. 거래에 서명했다면 해당 블록 탐색기에서 승인된 내용을 확인하세요. 복구 문구나 개인 키가 노출된 경우, 지갑이 손상된 것으로 간주하고 남은 자산을 가능한 한 빨리 새롭게 보안 설정된 지갑으로 옮기세요.

지갑 제공업체가 온체인 전송을 되돌릴 수 있을 거라고 기대하지 마세요. 자체 보관 방식은 사용자가 키를 직접 관리한다는 의미이지만, 제공업체는 일반적으로 유효한 블록체인 거래가 확인된 후에는 이를 취소할 수 없다는 것을 의미하기도 합니다.

지갑 보안이 개선되고 있는지 확인하는 방법

복잡한 점수 체계는 필요하지 않습니다. 몇 가지 관찰 가능한 결과만 추적하면 됩니다.

• 검색 광고나 스팸 링크에 의존하지 않고도 자주 사용하는 모든 탈중앙화 앱(dApp)의 공식 접속 경로를 확인할 수 있습니다.
• 복구 문구는 오프라인에 저장되며 웹사이트에 입력되거나 다른 사람에게 전송된 적이 없습니다.
• 서명하기 전에 각 거래 또는 승인 사항에 대해 설명할 수 있습니다.
• 고액 자산 지갑은 일반적으로 실험적인 탈중앙화 애플리케이션(dApp)에 연결되지 않습니다.
• 승인 목록에 불필요한 기존 권한이 포함되어 있지 않습니다.
• 시드 유출, 악의적인 승인 또는 무단 거래에 대비한 서면 대응 계획이 있습니다.

만약 이러한 결과 중 하나를 충족할 수 없다면, 무작위로 보안 도구를 추가하는 대신 해당 제어 기능을 개선하십시오.

제한 사항: 지갑 설정이 없으면 피싱을 완전히 방지할 수 없습니다.

보안 도구는 위험을 줄여주지만, 판단의 필요성을 없애지는 않습니다. 하드웨어 지갑은 개인 키를 보호할 수 있지만, 악의적인 거래에 의도적으로 서명하는 것을 막을 수는 없습니다. 브라우저 경고가 새로운 피싱 도메인을 놓칠 수도 있습니다. 합법적인 탈중앙화 애플리케이션(dApp)도 해킹당할 수 있습니다. 친숙한 소셜 계정이 도용될 수도 있습니다. 사이트에서 연결을 끊은 후에도 토큰 승인이 유효한 상태로 유지될 수 있습니다.

더 광범위한 위협은 여전히 ​​심각합니다. 2026년 4월, FBI는 2025년 인터넷 범죄 보고서에서 암호화폐 관련 피해액이 110억 달러를 넘어섰다고 발표했으며, 피싱과 스푸핑은 전체적으로 가장 빈번하게 보고된 범죄 유형 중 하나였습니다. 이 수치는 더 광범위한 범주를 포함하므로 피싱으로 인한 암호화폐 손실만을 나타내는 것은 아니지만, 검증 및 사고 대비의 중요성을 보여줍니다. 자세한 내용은 FBI의 2025년 인터넷 범죄 보고서(2026년 4월 6일 발표)를 참조하십시오 .

일상적인 Web3 사용을 위한 더 안전한 기본 설정

일상에서 가장 중요한 습관은 "절대 아무것도 클릭하지 마라"가 아닙니다. 발견과 승인을 분리하는 것입니다. 소셜 미디어, 검색 결과 또는 메시지를 통해 프로젝트를 발견할 수 있지만, 검증되지 않은 경로를 통해 지갑 작업을 승인해서는 안 됩니다. 공식 프로젝트 웹사이트로 직접 이동하여 도메인을 확인하고, 지갑 요청을 검토하고, 권한을 제한하고, 거래가 본인의 의도와 일치하는 경우에만 서명하십시오.

진행 과정이 너무 서두르거나 불분명하게 느껴진다면, 중단하는 것이 보안 측면에서 성공적인 결과입니다. 웹3에서는 하나의 거래를 거부하는 비용이 잘못된 거래를 승인하는 비용보다 훨씬 적습니다.