피싱 (Phishing)
한눈에 보기 피싱은 가짜 사이트, 메시지, 사칭 고객센터 등을 통해 시드 구문을 탈취하거나 악성 트랜잭션 서명을 유도해 자산을 가로채는 스캠 수법입니다.
피싱(Phishing)은 신분을 위장해 자산을 훔치는 사기 수법입니다. 공격자는 지갑, 거래소, 프로젝트 팀 또는 고객센터 상담원을 사칭하여 시드 구문 등 비밀 정보를 넘기게 하거나 정상적인 상황이라면 절대 승인하지 않을 트랜잭션을 승인하도록 유도합니다. 크립토 생태계에서는 단 한 번의 피싱으로도 몇 초 만에 지갑이 털릴 수 있으며, 블록체인 전송은 취소나 환불이 불가능합니다.
대표적인 수법으로는 유사 도메인을 사용한 가짜 사이트, 복제된 dApp으로 연결되는 검색 엔진 스폰서 광고, 가짜 지원팀의 DM, 해킹된 프로젝트 공식 계정이 올린 에어드롭 '클레임(Claim)' 링크, 스캠 사이트로 연결되는 에어드롭 토큰 등이 있습니다. 이들의 목표는 시드 구문이나 프라이빗 키를 탈취하거나, 토큰 어프로벌(Token Approval), Permit, 혹은 자산을 월렛 드레이너로 전송하게 만드는 서명을 받아내는 것입니다.
알트코인이나 소형 토큰 트레이더는 수많은 신규 사이트에 지갑을 연결하고 에어드롭과 프리세일에 참여하며 사기꾼이 잠복한 커뮤니티 채팅방을 자주 이용하기 때문에 피싱의 주요 타깃이 됩니다. 런칭 직후의 급박한 분위기나 한정된 클레임 기회는 피싱범들이 가장 악용하기 쉬운 요소입니다. 자산이 지갑을 떠나면 구제를 요청할 곳도 거의 없습니다.
어떤 웹사이트, 설문 양식, 채팅창에도 시드 구문을 절대 입력해서는 안 되며, 정상적인 서비스는 결코 시드 구문을 요구하지 않습니다. 자주 사용하는 공식 사이트는 북마크해 두고 DM, 댓글, 광고의 링크는 클릭하지 마세요. 지갑에서 서명을 요청할 때는 내용을 꼼꼼히 확인하고, 무제한 승인이나 이해되지 않는 서명은 의심해야 합니다. 낯선 사이트용 버너 월렛(테스트용 지갑)을 따로 두고, 장기 보유 자산은 하드웨어 월렛에 보관하며, 기존 토큰 승인은 정기적으로 검토하고 리보크(Revoke)해야 합니다.