암호화폐 피싱을 피하는 법
피싱은 가짜 페이지로 로그인 정보, 2FA 코드, 시드 문구, 지갑 서명을 빼앗습니다. 북마크 접속, 도메인 확인, 신중한 서명으로 대부분 막을 수 있습니다.
핵심 답변: 피싱은 공식처럼 보이기만 하는 페이지나 대화로 비밀번호, 2FA 코드, 시드 문구, 지갑 서명을 넘기게 만드는 모든 속임수입니다. 대부분은 몇 가지 고정된 습관으로 막을 수 있습니다. 거래소는 직접 저장한 북마크로만 열고, 도메인을 정확히 확인하며, 웹사이트에 시드 문구를 절대 입력하지 않고, 서명 전에 지갑 요청을 반드시 읽어 보세요.
피싱이란 무엇인가: 쉬운 말로
피싱은 마감 시간이 붙은 사칭입니다. 메시지나 페이지가 거래소, 지갑, 유명 프로젝트의 모습을 흉내 낸 뒤 "비정상 로그인 감지, 지금 확인하세요", "에어드롭 오늘 밤 마감", "출금이 보류되었습니다"처럼 서두르게 만듭니다. 목적은 공격자가 나인 척할 수 있게 해 주는 무언가를 얻는 것입니다.
피싱은 매우 흔합니다. 미국 연방수사국(FBI)의 인터넷 범죄 신고 센터(IC3)는 2024년 연례 보고서에서 피싱·스푸핑 신고 193,407건을 집계했으며(확인일 2026-11-01), 이는 보고서의 주요 범죄 유형 표에서 가장 많은 신고 건수입니다. 암호화폐 사용자가 특히 표적이 되는 이유는 도난당한 로그인 정보나 서명 한 번으로 몇 분 안에 자금이 이동할 수 있고, 온체인 전송은 대체로 되돌릴 수 없기 때문입니다.
공격자가 노리는 것을 눈에 잘 띄는 순서대로 정리하면 다음과 같습니다.
- 로그인 정보와 2FA 코드: 거래소 계정에 들어가기 위해서입니다(2FA란 무엇인가 참고).
- 시드 문구나 개인키: 개인 보관 지갑을 완전히 통제할 수 있습니다.
- 지갑 서명: 특히 나중에 계약이 내 토큰을 쓸 수 있게 해 주는 토큰 승인입니다.
피싱 공격의 작동 방식: 실제 흐름 예시
레오 씨가 이메일 한 통을 받습니다. "새 기기에서 로그인이 감지되었습니다. 본인이 아니라면 24시간 안에 계정을 보호하세요." 로고와 디자인은 레오 씨가 쓰는 거래소와 똑같습니다. 그러나 버튼이 연결하는 도메인은 진짜와 한 글자가 다릅니다. 페이지는 이메일과 비밀번호를 받은 뒤 2FA 코드를 요구합니다.
뒤에서는 가짜 페이지가 입력 내용을 실시간으로 진짜 거래소에 전달합니다. 레오 씨가 코드를 입력하는 순간 공격자는 그 코드로 로그인하고 출금 주소를 추가하려 합니다. 레오 씨에게는 알아챌 기회가 세 번 있었습니다. 첫째, 메일에 본인이 설정한 피싱 방지 코드가 없었습니다(예를 들어 바이낸스는 모든 공식 이메일과 SMS에 이 개인 코드를 넣는다고 도움말에서 안내합니다, 확인일 2026-11-01). 둘째, 도메인이 틀렸습니다. 셋째, 패스키를 썼다면 비슷하게 꾸민 도메인에서는 로그인이 거부되었을 것입니다.
온체인 피싱은 더 조용합니다. 가짜 "수령" 사이트가 지갑 연결과 서명을 요청합니다. 팝업의 정체는 이알씨-20(ERC-20) 승인 호출이며, EIP-20 표준에 따르면 지정된 주소가 승인 한도 안에서 내 잔액을 여러 번 인출할 수 있게 해 줍니다(확인일 2026-11-01). 당장은 아무것도 빠져나가지 않고, 몇 시간 뒤에야 지갑이 비워집니다. 토큰 승인과 취소 강의에서 승인을 읽고 취소하는 방법을 배울 수 있습니다.
흔한 피싱 경로와 대응 방법
| 경로 | 어떻게 보이나 | 대응 |
|---|---|---|
| 이메일·SMS | 보안 경고, 출금 동결, 본인 인증 갱신과 함께 링크 제공 | 링크를 누르지 말고 북마크로 거래소를 열어 알림을 확인 |
| 검색 광고 | 거래소 이름을 단 최상단 결과, 도메인이 살짝 다름 | 광고는 건너뛰고 북마크나 이미 확인한 도메인 사용 |
| SNS·메신저 DM | "고객지원", "관리자", 프로젝트 계정이 먼저 연락 | DM으로 답하지 말고 공식 앱 안에서 고객지원 연결 |
| 에어드롭·민팅 사이트 | 무료 토큰, 카운트다운, "지갑 연결" | 출처 모를 토큰은 미끼로 보고 수령용 승인에 절대 서명하지 않기 |
| 가짜 앱·브라우저 확장 | 모방한 지갑이나 거래소 앱 | 공식 사이트의 링크로만 설치(가짜 앱·가짜 사이트 식별 참고) |
단계별 실천: 피싱에 강한 일상 습관
- 거래소와 지갑 사이트마다 도메인을 꼼꼼히 확인한 뒤 북마크를 한 번만 만들고, 이후에는 그 북마크로만 접속합니다.
- 패스키나 인증 앱 2FA를 켜고, 거래소의 피싱 방지 코드를 설정해 공식 메일에 나만의 단어가 표시되게 합니다.
- 누군가 공식이라고 주장하면 거래소가 제공하는 확인 도구로 먼저 조회합니다. 예를 들어 바이낸스 베리파이(Binance Verify)는 웹사이트, 이메일 주소, 텔레그램 계정을 확인할 수 있습니다(바이낸스 보안 블로그 기준, 확인일 2026-11-01).
- 지갑 요청에 서명하기 전에 도메인, 네트워크, 동작 종류(전송, 승인, 퍼밋), 금액을 읽습니다. 설명할 수 없다면 거절합니다.
- 장기 보관 자산은 새 사이트에 절대 연결하지 않는 별도 지갑, 가능하면 하드웨어 지갑에 두고, 거래소에는 출금 주소 화이트리스트를 설정합니다.
- 의심스러운 것을 눌렀거나 서명했다면 비밀번호를 바꾸고, 승인을 취소하고, 노출된 지갑의 자산을 옮긴 뒤 공식 고객지원 경로로 신고합니다.
흔한 실수와 위험
- 도메인 대신 로고를 믿기. 페이지는 쉽게 복제되지만 도메인은 그렇지 않습니다. 점 앞부분까지 모든 글자를 확인하세요.
- 웹사이트에 시드 문구 입력하기. 이더리움 공식 사이트는 어떤 이유로도 복구 문구나 개인키를 공유하지 말라고 분명히 밝힙니다(확인일 2026-11-01). 어떤 거래소나 지갑 고객지원도 이것이 필요하지 않습니다.
- "로그인용 서명일 뿐"이라고 생각하기. 서명 하나가 곧 승인일 수 있습니다. 반드시 읽으세요.
- 긴박감에 휘둘리기. 진짜 보안팀은 북마크로 확인하는 십 분 때문에 여러분의 자금을 잃게 만들지 않습니다.
- 핫 지갑 하나로 모든 것 처리하기. 장기 자산과 새 프로젝트 실험을 섞으면 잘못된 서명 한 번에 둘 다 비워질 수 있습니다.
자주 묻는 질문
거래소에서 온 이메일이 진짜인지 어떻게 아나요?
먼저 피싱 방지 코드가 있는지 보고, 메일 속 링크는 무시한 채 북마크로 거래소를 열어 같은 알림이 있는지 확인합니다.
피싱 링크를 누르기만 해도 자금을 잃나요?
대개는 정보를 입력하거나 거래를 승인하거나 무언가를 설치해야 피해가 생깁니다. 즉시 페이지를 닫고, 입력한 정보가 있다면 바로 변경하세요.
백신이나 브라우저가 모든 피싱을 막아 주나요?
알려진 사이트 일부는 차단하지만 새 도메인이 매일 생깁니다. 실제로 큰 역할을 하는 것은 북마크 습관과 신중한 서명입니다.
악성 승인에 서명한 뒤에는 무엇을 해야 하나요?
해당 승인을 즉시 취소하고, 어떤 계약이 토큰을 쓸 수 있는지 확신이 없다면 남은 자산을 새 지갑으로 옮기세요.
결론
피싱은 믿을 만한 브랜드를 흉내 내고 시간 압박을 더하는 방식으로 작동합니다. 북마크 접속, 도메인 확인, 패스키나 인증 앱 2FA, 피싱 방지 코드, 모든 서명 읽기라는 고정된 습관이 이를 이깁니다. 다음으로 가짜 고객지원·피싱 체크리스트와 전체 암호화폐 보안 체크리스트를 점검하세요.
교육용 자료이며 투자 조언이 아닙니다. 규칙 확인일 2026-11-01.
