암호화폐 지갑 사기: 작동 방식과 피하는 방법
암호화폐 지갑 손실의 대부분은 지갑이 뚫려서가 아니라 속임수 때문에 발생합니다. 시드 문구를 노리는 피싱, 토큰을 빼가는 악성 서명, 가짜 앱, 비슷하게 생긴 주소, 가짜 고객지원이 그것입니다. 서두르지 말고 모든 출처를 직접 확인하며 시드 문구는 절대 공유하지 마십시오.
문제의 규모는 얼마나 됩니까?
EVM 체인의 지갑 드레이너 피싱은 2024년 약 332,000개 주소에서 약 4억 9,400만 달러를 빼갔습니다(ScamSniffer, 2025년 1월). 2025년 ScamSniffer는 106,106명의 피해자에게서 8,385만 달러가 도난당한 것으로 집계했는데, 이는 83% 감소한 수치이지만 단일 최대 피해는 여전히 2025년 9월 한 번의 Permit 서명으로 발생한 650만 달러였습니다(ScamSniffer, 2026년 1월). 이 수치는 서명 피싱만 포함하며, 가짜 앱, 투자 사기, 시드 문구 탈취는 별도입니다.
가장 흔한 지갑 사기 10가지
| 사기 유형 | 작동 방식 | 방어법 |
|---|---|---|
| 지갑 드레이너 | 가짜 에어드롭이나 민팅 사이트가 토큰을 넘겨주는 승인이나 퍼밋에 서명하도록 요구 | 모든 서명을 읽고, 예상하지 못한 Permit/approve 요청은 거부하십시오. 가이드 |
| 가짜 지갑 앱 | 모방 앱이나 확장 프로그램이 "복원" 시 문구를 탈취 | 공식 도메인을 통해서만 설치하십시오. 가이드 |
| 주소 포이즈닝 | 비슷하게 생긴 주소를 거래 내역에 심어 둠 | 거래 내역에서 주소를 절대 복사하지 마십시오. 가이드 |
| 가짜 고객지원 | "상담원"이 불만 글에 답하며 문구나 화면 공유를 요구 | 진짜 고객지원은 먼저 DM을 보내지 않으며 문구를 절대 묻지 않습니다 |
| 피싱 우편과 이메일 | QR 코드가 담긴 "필수 인증" 메시지 | 무시하고 공식 앱에서 공지를 확인하십시오 |
| 열어 둔 악성 승인 | 오래된 무제한 승인이 나중에 악용됨 | 검토하고 취소하십시오. 가이드 |
| 에어드롭된 사기 토큰과 NFT | 요청하지 않은 토큰이 드레이너 사이트로 연결됨 | 숨기고, 링크에 들어가거나 팔려고 하지 마십시오 |
| 투자 사기와 "돼지 도살" | 새로 사귄 온라인 친구가 가짜 플랫폼에 입금하도록 코치 | 낯선 사람이 소개한 플랫폼에는 절대 송금하지 마십시오 |
| 가짜 또는 변조된 하드웨어 | 리셀러의 저가 기기, 또는 미리 채워진 복구 카드 | 직접 구매하고, 항상 새 문구를 생성하십시오 |
| 클립보드 및 브라우저 악성코드 | 붙여 넣는 주소를 바꾸거나 지갑 페이지에 코드를 주입 | 기기 화면에서 주소를 확인하고 소프트웨어를 최신으로 유지하십시오 |
날짜별 실제 사례
- 2025년 12월 20일: 한 트레이더가 소액 테스트 송금 후 포이즈닝된 유사 주소로 49,999,950 USDT(약 5천만 달러)를 보냈습니다(The Block, 2025년 12월).
- 2025년 12월 24일: 악성 Trust Wallet Chrome 확장 프로그램 버전 2.68이 약 700만 달러를 빼갔고, Trust Wallet은 2.69를 배포하고 보상 청구 절차를 열었습니다(BleepingComputer, 2025년 12월).
- 2026년 2월: 가짜 Ledger 및 Trezor 레터헤드를 쓴 사기 우편이 QR 코드로 "인증 확인(Authentication Check)"을 유도했습니다(BleepingComputer, 2026년 2월).
- 2026년 4월 7–13일: Mac App Store에 가짜 Ledger 앱이 등장해 약 950만 달러가 도난당했습니다(iThinkDiff, 2026년 4월).
- 2026년 7월: 사용자 세 명이 가짜 "Sparrow Wallet" iOS 앱 때문에 2025년 약 180만 달러 상당의 비트코인을 도난당했다며 Apple을 고소했습니다. 진짜 Sparrow에는 iOS 앱이 없습니다(BleepingComputer, 2026년 7월).
- 2026년 9월: 이메일 제공업체 Brevo가 침해된 후 Trezor의 실제 지원 주소에서 피싱 이메일이 발송되었습니다(BleepingComputer, 2026년 9월).
- 2026년 10월: Ledger는 회색 시장 리셀러가 판매한 기기에 시드를 훔치는 숨겨진 장치가 심어져 있었음을 확인했습니다(Crypto Briefing, 2026년 10월).
전체 목록은 보안 사고 트래커에 있습니다.
경고 신호
- 긴박감: "지갑이 정지됩니다", "24시간 안에 받으세요".
- 시드 문구, 개인 키 또는 화면 공유를 요구하는 모든 사람.
- DM, 답글, 검색 결과 위 광고로 전달되는 링크.
- 하려던 작업과 맞지 않는 서명 요청.
- 보장된 수익, 또는 출금 전에 "세금"을 요구하는 플랫폼.
사기를 당했다면
- 피해 확산을 막으십시오. 시드 문구가 노출되었다면 깨끗한 기기에서 새 지갑을 만들고 남은 자금을 옮기십시오. 승인에 서명했다면 취소하십시오(토큰 승인 참고).
- 모든 것을 기록하십시오: 트랜잭션 해시, 주소, 웹사이트, 메시지, 날짜.
- 신고하십시오. 경찰 또는 사이버범죄 수사기관, 그리고 자금이 입금된 거래소에 신고하십시오. 거래소는 때때로 입금을 동결할 수 있습니다.
- 복구 사기를 조심하십시오. 선불 수수료를 받고 도난당한 암호화폐를 "복구"해 주겠다는 사람들은 거의 항상 사기꾼입니다.
자주 묻는 질문
가장 흔한 암호화폐 지갑 사기는 무엇입니까?
다양한 형태의 피싱입니다. 악성 서명을 요구하는 가짜 사이트, 가짜 앱, 시드 문구를 묻는 가짜 고객지원 상담원 등이 있습니다.
도난당한 암호화폐를 되찾을 수 있습니까?
드뭅니다. 블록체인 트랜잭션은 되돌릴 수 없습니다. 2024년 6,800만 달러 규모의 WBTC 주소 포이즈닝 사건처럼 거래소가 도난 자금을 동결하거나 공격자가 돌려주는 경우도 있지만, 기대하지 마십시오.
사기를 당하면 지갑 회사가 환불해 줍니까?
직접 트랜잭션을 승인했다면 보통 그렇지 않습니다. 2023년 Connect Kit 공격 이후의 Ledger처럼 자사 소프트웨어에 잘못이 있을 때 사용자에게 보상한 회사도 있습니다.
암호화폐 복구 서비스는 믿을 만합니까?
극도로 의심하십시오. 상당수는 피해자를 노리는 2차 사기입니다. 대신 경찰과 자금을 받은 거래소에 도난을 신고하십시오.
지갑 웹사이트가 진짜인지 어떻게 확인합니까?
링크나 광고를 클릭하지 말고 도메인을 직접 입력하거나 북마크를 사용하십시오. 저희 리뷰는 각 공식 도메인을 일반 텍스트로 표기합니다.