피싱(Phishing)
다른 이름: 피싱 사이트 · 피싱 사기 · phishing
정의
피싱은 가짜 웹사이트, 메일, 메시지, 광고로 공식 서비스인 척 접근해 비밀번호, 시드 문구, 지갑 서명을 빼내는 사기 수법입니다.
피싱의 작동 방식
암호화폐 피싱은 크게 세 가지 형태로 나타납니다. 거래소 로그인 화면을 베낀 가짜 사이트로 비밀번호와 OTP를 받아 가는 방식, 지갑 복구나 에어드랍을 핑계로 시드 문구를 입력하게 하는 방식, 그리고 디앱 연결 화면에서 토큰 무제한 승인이나 위험한 서명을 하게 만드는 방식입니다.
피싱 사이트는 검색 광고 상단, 유명 프로젝트의 가짜 X 계정 댓글, 디스코드와 텔레그램 공지 사칭으로 퍼지는 경우가 많습니다. 주소는 철자 하나만 다르거나 다른 도메인 확장자를 씁니다.
기본 방어는 공식 주소를 즐겨찾기로 저장해 그 경로로만 접속하는 것입니다. 지갑 서명 창이 뜨면 무엇을 승인하는지 읽고, 이해되지 않으면 거절하는 습관이 중요합니다.
예시
새 토큰 에어드랍을 받으라는 X 댓글 링크를 눌러 지갑을 연결했다고 가정합니다. 사이트가 클레임 버튼과 함께 USDT 사용 승인을 요청하고, 사용자가 무심코 승인합니다. 이 승인은 사이트 계약에 USDT 무제한 사용 권한을 주는 것이어서, 지갑에 있던 4,200 USDT가 몇 분 뒤 전부 빠져나갑니다. 사용자는 송금 버튼을 누른 적이 없지만 승인 서명 한 번으로 충분했습니다.
자주 하는 실수
- 검색 결과 맨 위 광고 링크를 공식 사이트라고 믿고 로그인합니다.
- 지갑 서명 창의 내용을 읽지 않고 확인 버튼을 누릅니다.
- 관리자라며 먼저 DM을 보낸 사람의 안내를 따릅니다.
배우고 실습하기
자주 묻는 질문
피싱 사이트에 지갑만 연결해도 돈이 빠져나가나요?
단순 연결만으로는 보통 자산이 이동하지 않습니다. 문제는 연결 후 요청되는 토큰 승인이나 서명을 수락할 때 생기므로 서명 내용을 반드시 확인해야 합니다.
피싱 사이트에 이미 서명했다면 무엇을 해야 하나요?
토큰 승인 관리 도구에서 해당 승인을 즉시 취소하고, 남은 자산은 새 지갑으로 옮기는 것이 일반적입니다. 시드 문구를 입력했다면 그 지갑은 더 이상 쓰지 않아야 합니다.