지갑 승인 피싱 방어법: 승인 취소 전 볼 5가지 신호

지갑 승인 피싱은 암호화폐 보안에서 가장 오해가 많은 공격 중 하나입니다. 많은 투자자는 피싱을 시드문구 입력, 거래소 로그인 탈취, 가짜 고객센터 연락 정도로만 떠올립니다. 하지만 스마트컨트랙트 기반 지갑에서는 다른 길이 있습니다. 공격자는 사용자가 직접 코인을 보내지 않아도, 특정 토큰을 대신 움직일 수 있는 권한을 받으면 이후 별도의 시점에 자산을 가져갈 수 있습니다. 이 권한이 바로 토큰 승인, allowance, approval로 불리는 온체인 권한입니다.

이 글은 특정 코인 가격을 예측하거나 매수, 매도 판단을 제시하기 위한 글이 아닙니다. 목적은 개인 투자자가 디파이, NFT, 에어드랍, 브리지, 지갑 연동 서비스를 사용할 때 지갑 승인 피싱을 어떻게 구분하고, 어떤 기준으로 승인 취소를 판단해야 하는지 정리하는 것입니다. 특히 한국 투자자는 업비트나 빗썸 같은 중앙화 거래소 사용에는 익숙하지만, 개인 지갑에서 서명하는 행위의 의미에는 상대적으로 덜 익숙한 경우가 많습니다. 그래서 “연결만 했는데 왜 위험한가”, “하드웨어 지갑이면 안전한가”, “승인 취소를 하면 돈이 돌아오는가” 같은 질문이 반복됩니다.

지갑 승인 피싱이 왜 중요한가

사실: 토큰 승인은 정상 기능이다

먼저 사실부터 구분해야 합니다. 토큰 승인은 그 자체로 악성 기능이 아닙니다. 탈중앙화 거래소에서 USDT를 다른 토큰으로 바꾸거나, NFT 마켓에서 거래를 하거나, 브리지로 자산을 옮길 때 스마트컨트랙트가 사용자의 토큰을 움직일 수 있어야 합니다. 이때 사용자는 거래 전에 “이 컨트랙트가 내 특정 토큰을 얼마까지 사용할 수 있다”는 승인을 서명합니다. 정상 서비스라면 사용자가 의도한 거래 안에서만 권한이 쓰이고, 거래가 끝난 뒤에도 큰 문제가 생기지 않습니다.

문제는 공격자가 정상 기능의 형태를 빌려온다는 점입니다. 지갑 승인 피싱은 “보상 확인”, “토큰 클레임”, “NFT 민팅”, “보안 점검”, “거래소 보상”, “긴급 마이그레이션”처럼 보이는 페이지에서 시작됩니다. 사용자가 지갑을 연결하고 서명 버튼을 누르면 실제로는 토큰 전송이 아니라 승인 거래가 만들어질 수 있습니다. 화면에는 단순 확인처럼 보이지만, 승인 대상 주소와 권한 범위가 공격자에게 유리하게 설정되어 있으면 나중에 자산이 빠져나갈 수 있습니다.

해석: 피해는 가격 방향과 무관하다

일반적인 투자 리스크는 가격 변동, 유동성, 레버리지, 세금, 거래소 리스크로 설명됩니다. 그러나 지갑 승인 피싱은 가격이 오르는 시장에서도, 하락하는 시장에서도 발생합니다. 오히려 상승장에서는 에어드랍, 민팅, 신규 디파이, 토큰 보상 소식이 늘어나기 때문에 서명 피로도가 커집니다. 하락장에서는 손실 회복 심리가 강해져 “무료 보상”, “손실 보전”, “긴급 출금” 같은 문구에 반응하기 쉽습니다. 따라서 이 리스크는 시장 방향보다 행동 패턴과 더 관련이 깊습니다.

TRM Labs의 2026년 암호화폐 범죄 보고서는 2025년에 불법 암호화폐 흐름이 크게 늘었고, 해킹과 도난 자금도 중요한 범주로 남아 있다고 설명합니다. Chainalysis는 승인 피싱이 사용자를 직접 송금하게 만드는 방식과 다르게, 사용자가 악성 블록체인 거래에 서명해 공격자 주소가 토큰을 쓸 수 있게 만드는 방식이라고 정리했습니다. 이 두 자료가 말하는 공통점은 명확합니다. 암호화폐 범죄는 더 이상 단순한 가짜 투자방 하나로 끝나지 않고, 온체인 권한과 사용자 행동을 동시에 노립니다.

추정: 한국 투자자가 더 헷갈리는 지점

한국 투자자는 원화 거래소 앱에서 매수, 매도, 입출금 버튼을 누르는 경험에 익숙합니다. 반면 메타마스크, 하드웨어 지갑, 브리지, 레이어2, NFT 마켓, 디파이 예치에서는 “서명”이라는 행위가 더 넓은 의미를 갖습니다. 어떤 서명은 단순 로그인 확인이고, 어떤 서명은 거래 실행이며, 어떤 서명은 토큰 사용 권한 부여입니다. 이 차이를 이해하지 못하면 지갑 승인 피싱을 단순한 사이트 접속 위험으로 오해하게 됩니다.

이미 암호화폐 해킹 방지와 지갑 보안을 점검한 투자자라도 승인 권한 관리는 별도로 봐야 합니다. 또한 AI 피싱과 거래소 사칭 방어가 계정 보안에 가깝다면, 지갑 승인 피싱은 온체인 권한 보안에 가깝습니다. 같은 보안 주제라도 점검해야 하는 화면과 기록해야 하는 항목이 다릅니다.

승인과 연결 해제의 차이

연결 해제는 웹사이트 접근 차단이다

가장 흔한 오해는 “지갑 연결을 끊었으니 안전하다”는 생각입니다. 지갑 앱에서 특정 사이트 연결을 해제하면 그 사이트가 내 지갑 주소와 잔액을 쉽게 조회하거나, 새 서명을 요청하는 흐름은 막을 수 있습니다. 하지만 과거에 이미 블록체인에 기록된 토큰 승인 권한이 자동으로 사라지지는 않습니다. 이는 은행 앱 로그아웃과 자동이체 해지의 차이에 가깝습니다. 로그아웃을 했다고 이미 설정한 자동이체 권한이 사라지지 않는 것처럼, 연결 해제만으로는 allowance가 회수되지 않습니다.

승인 취소는 온체인 권한 회수다

승인 취소는 다른 행동입니다. 이더리움, BNB Chain, Polygon 같은 네트워크에서 승인 취소는 블록체인 거래입니다. 사용자는 승인받은 spender 주소의 권한을 0으로 줄이거나, 더 작은 한도로 덮어쓰는 거래에 서명합니다. 그래서 승인 취소에는 가스비가 들 수 있습니다. MetaMask 지원 문서도 토큰 allowance와 approval은 dApp이 지갑의 토큰을 대신 움직이게 하는 권한이며, 이를 취소하려면 승인 체커나 Revoke.cash 같은 도구를 사용할 수 있다고 설명합니다.

지갑 승인 피싱을 이해할 때 중요한 기준은 “내가 지금 사이트에 연결되어 있는가”가 아니라 “어떤 주소가 어떤 토큰을 얼마까지 사용할 수 있는가”입니다. Etherscan의 Token Approval Checker는 ERC-20, ERC-721, ERC-1155 승인 정보를 보여주고, 승인된 contract나 주소가 무엇인지 확인하는 도구입니다. Revoke.cash 역시 여러 네트워크에서 승인 내역을 확인하고 필요 없는 권한을 취소하는 흐름을 제공합니다. 단, 어떤 도구도 이미 빠져나간 자산을 되돌려 주지는 않습니다. 승인 취소는 예방과 추가 피해 차단에 가깝습니다.

무제한 승인이 특히 위험한 이유

많은 디파이 서비스는 사용 편의를 위해 무제한 승인을 요청합니다. 매번 토큰을 바꿀 때마다 새 승인 거래를 만들면 가스비와 클릭 수가 늘어나기 때문입니다. 정상 서비스에서도 무제한 승인이 쓰일 수 있지만, 공격자나 취약한 컨트랙트가 관련되면 위험이 커집니다. 사용자가 가진 토큰이 오늘 10만 원어치뿐이라도, 나중에 같은 토큰을 더 입금하면 기존 무제한 승인 권한으로 추가 자산까지 위험해질 수 있습니다.

따라서 투자자는 사용 편의성과 보안 비용을 분리해서 봐야 합니다. 매일 쓰는 검증된 프로토콜이라도 큰 금액을 넣는 주소와 실험용 주소를 분리하는 편이 낫습니다. 한 달에 한 번 승인 내역을 점검하고, 더 이상 사용하지 않는 dApp 권한은 정리하는 루틴을 만들어야 합니다. 이것은 수익률을 높이는 기법이 아니라 손실 가능성을 줄이는 위생 관리입니다.

오늘의 보안 진단: 무엇을 먼저 볼까

1단계: 최근 승인 내역부터 확인

가장 먼저 볼 것은 최근 승인 내역입니다. 새로운 사이트에 연결했거나, 에어드랍을 확인했거나, NFT 민팅 페이지를 눌렀다면 해당 네트워크의 승인 체커에서 최근 승인 거래를 확인합니다. 이때 토큰 전송 내역만 보면 안 됩니다. 공격자는 사용자가 승인만 해도 당장 자산을 옮기지 않을 수 있습니다. 며칠 뒤 가격이 오르거나 지갑에 토큰이 더 들어온 뒤 움직일 수도 있습니다. 따라서 “자산이 아직 그대로 있다”는 사실은 안전의 증거가 아닙니다.

2단계: 큰 금액 토큰과 자주 쓰는 토큰을 분리

모든 승인 권한이 같은 위험을 갖지는 않습니다. 잔액이 거의 없는 테스트 토큰 승인과, USDT, USDC, ETH 파생 토큰, 스테이킹 토큰, NFT 컬렉션 전체 승인 권한은 위험도가 다릅니다. 특히 스테이블코인과 주요 NFT는 공격자에게 바로 현금화 경로가 될 수 있습니다. 개인 투자자는 “현재 잔액”, “미래에 입금할 가능성”, “해당 토큰의 유동성”을 함께 봐야 합니다. 잔액이 작아도 앞으로 계속 입금할 지갑이라면 승인 취소 우선순위가 올라갑니다.

3단계: 보관 지갑과 활동 지갑을 나누기

승인 취소만으로 모든 보안 문제가 해결되는 것은 아닙니다. 이미 시드문구가 노출되었거나, 기기 자체가 감염되었거나, 사칭 앱을 설치했다면 승인 취소보다 새 지갑 이동이 먼저일 수 있습니다. 그래서 장기 보관 지갑은 되도록 dApp 연결을 하지 않고, 활동 지갑에는 필요한 만큼만 넣는 방식이 좋습니다. 이 원칙은 암호화폐 포트폴리오 위험 분산과도 연결됩니다. 자산을 코인별로만 나누는 것이 아니라 지갑 역할별로도 나누어야 손실 범위를 제한할 수 있습니다.

4단계: 하드웨어 지갑을 과신하지 않기

하드웨어 지갑은 개인키를 안전하게 보관하는 데 강점이 있습니다. 그러나 사용자가 하드웨어 지갑 화면에서 악성 승인 거래에 직접 서명하면 그 서명은 유효합니다. Revoke.cash는 하드웨어 지갑이 approval exploit 자체를 자동으로 막아 주지는 않는다고 설명합니다. 즉 하드웨어 지갑은 키 탈취 리스크를 줄여 주지만, 사용자가 어떤 권한에 서명하는지 이해하지 못하면 지갑 승인 피싱을 막기 어렵습니다. 화면의 토큰, 주소, 권한 범위를 읽는 습관이 필요합니다.

상승, 중립, 하락 시나리오

위험 상승 시나리오: 에어드랍과 신규 민팅이 몰릴 때

위험 상승 시나리오는 시장이 활발하고, 새 프로젝트와 보상 이벤트가 늘어나는 시기입니다. “초기 참여자 보상”, “토큰 클레임”, “지갑 검증”, “화이트리스트 확인” 같은 문구가 많아지면 사용자는 여러 사이트에 빠르게 연결하고 서명합니다. 이때 확인할 포인트는 첫째 공식 도메인과 소셜 계정의 일치 여부, 둘째 승인 거래인지 단순 메시지 서명인지, 셋째 권한 범위가 실제 이벤트 목적과 맞는지입니다. 보상 확인만 한다면서 ERC-20 무제한 승인을 요구하면 중단하는 편이 낫습니다.

중립 시나리오: 정상 서비스지만 권한이 오래 남을 때

중립 시나리오는 공격이 확인된 것은 아니지만 승인 권한이 오래 쌓이는 경우입니다. 탈중앙화 거래소, NFT 마켓, 브리지, 예치 서비스는 정상적으로 승인을 요구할 수 있습니다. 그러나 사용하지 않는 권한이 6개월, 1년씩 남아 있으면 취약점이나 도메인 탈취, 운영 주체 변경, 스마트컨트랙트 위험에 노출될 수 있습니다. 확인 포인트는 마지막 사용일, 남은 잔액, 승인 금액, 컨트랙트 검증 여부입니다. 자주 쓰지 않는 권한은 승인 취소 후보에 올립니다.

위험 완화 시나리오: 주소 분리와 정기 점검이 작동할 때

위험 완화 시나리오는 사용자가 장기 보관 주소, 거래 주소, 실험 주소를 분리하고 정기적으로 승인 내역을 점검하는 경우입니다. 이때 한 사이트에서 실수로 승인하더라도 피해가 활동 지갑 안에 제한될 가능성이 커집니다. 확인 포인트는 각 지갑의 목적이 명확한지, 보관 지갑에 불필요한 approval이 없는지, 승인 취소 기록을 남겼는지, 새 프로젝트 참여 전 임시 지갑을 쓰는지입니다. 이것은 불편하지만 큰 손실을 피하는 데 실질적인 효과가 있습니다.

실전 체크리스트와 기록 기준

승인 전 체크리스트

• 공식 사이트 주소를 검색 광고가 아니라 프로젝트 공식 문서, 공식 X 계정, CoinGecko나 거래소 공지 등 여러 경로로 교차 확인합니다.
• 서명 화면에서 “approve”, “setApprovalForAll”, “permit”, “increaseAllowance” 같은 표현이 보이면 권한 부여 거래인지 확인합니다.
• 권한 금액이 실제 사용 금액보다 지나치게 크면 수동 한도 설정이 가능한지 확인합니다.
• 장기 보관 지갑에서는 신규 dApp 연결을 피하고, 필요하면 소액 활동 지갑을 사용합니다.
• 피싱 의심 링크는 지갑 연결 전에 브라우저 탭을 닫고, 같은 주소를 다른 검색 결과로 다시 열지 않습니다.

승인 후 체크리스트

• Etherscan, BscScan, Polygonscan 같은 네트워크별 승인 체커 또는 Revoke.cash에서 승인 내역을 확인합니다.
• 더 이상 쓰지 않는 dApp 권한, 무제한 승인, 낯선 spender 주소는 승인 취소 후보로 분류합니다.
• 승인 취소에도 가스비가 든다는 점을 기록하고, 네트워크 수수료가 너무 높을 때는 우선순위를 정합니다.
• 이미 자산이 빠져나갔다면 같은 지갑에 추가 자산을 넣지 말고, 시드문구 노출 가능성까지 따져 새 지갑 이전을 검토합니다.
• 승인 취소 후에도 거래소, 지갑 앱, 기기 보안, 브라우저 확장 프로그램을 함께 점검합니다.

투자자가 기록해야 할 항목

승인 관리는 기억에 의존하면 실패하기 쉽습니다. 최소한 지갑 주소, 네트워크, dApp 이름, 승인 날짜, 승인 토큰, 승인 금액, spender 주소, 승인 취소 여부, 참고 링크를 기록합니다. 큰 금액을 운용한다면 월 1회 점검일을 정하고, 점검 결과를 “유지”, “취소”, “새 지갑 이전”, “추가 확인”으로 나눕니다. 세금 기록이나 포트폴리오 기록처럼 보안 기록도 투자 운영의 일부로 봐야 합니다. 거래소 선택에서 수수료보다 유동성과 출금 안정성을 보듯, 개인 지갑에서는 수익률보다 권한 관리가 먼저입니다.

흔한 오해와 해석의 한계

오해 1: 연결 해제만 하면 승인도 사라진다

아닙니다. 연결 해제와 승인 취소는 다릅니다. 연결 해제는 웹사이트와 지갑 앱의 연결 상태를 끊는 행동이고, 승인 취소는 블록체인에 기록된 토큰 사용 권한을 바꾸는 거래입니다. 둘 다 필요할 수 있지만 같은 작업은 아닙니다.

오해 2: 하드웨어 지갑이면 승인 피싱을 막는다

하드웨어 지갑은 개인키 보호에 강하지만, 사용자가 직접 악성 승인 거래에 서명하는 문제까지 자동으로 해결하지는 않습니다. 장치 화면에서 어떤 토큰과 어떤 주소에 권한을 주는지 확인하지 않으면 지갑 승인 피싱에 노출될 수 있습니다.

오해 3: 승인 취소를 하면 도난 자산이 돌아온다

승인 취소는 이미 빠져나간 자산을 회수하는 도구가 아닙니다. 추가 인출을 막거나, 앞으로 입금될 자산이 같은 권한에 노출되는 것을 줄이는 조치입니다. 이미 피해가 발생했다면 거래 해시, 공격 주소, 시간, 관련 사이트를 기록하고 거래소나 신고 채널에 제출할 자료를 정리해야 합니다.

오해 4: 작은 금액 지갑은 점검할 필요가 없다

작은 금액 지갑이라도 앞으로 입금할 가능성이 있다면 점검 대상입니다. 무제한 승인은 현재 잔액만이 아니라 미래 잔액까지 위험하게 만들 수 있습니다. 특히 활동 지갑을 같은 주소로 오래 쓰는 투자자는 사용하지 않는 승인을 정리하는 편이 낫습니다.

지표를 잘못 해석할 때의 한계

승인 체커가 보여주는 데이터는 강력하지만 완전한 보안 진단은 아닙니다. 첫째, 어떤 승인이 위험한지는 컨트랙트와 사용 맥락을 함께 봐야 합니다. 유명 dApp 승인이라고 무조건 안전한 것도 아니고, 낯선 주소라고 무조건 악성이라고 단정할 수도 없습니다. 둘째, 승인 취소 거래 자체도 피싱 사이트에서 진행하면 위험합니다. 반드시 공식 도구와 정확한 도메인을 사용해야 합니다. 셋째, 승인 내역이 깨끗해도 시드문구, 기기, 브라우저 확장 프로그램, 거래소 계정이 안전하다는 뜻은 아닙니다. 넷째, 블록 익스플로러 라벨은 지연되거나 누락될 수 있습니다. 따라서 승인 데이터는 출발점이지 최종 결론이 아닙니다.

보안 글을 읽을 때도 공포로 해석하면 안 됩니다. 모든 dApp 사용이 위험하다는 뜻도 아니고, 디파이를 쓰지 말라는 뜻도 아닙니다. 핵심은 권한을 이해하고, 큰 금액을 보관하는 주소와 실험하는 주소를 나누며, 승인 내역을 정기적으로 관리하는 것입니다. 이 기준은 스테이블코인 이자 수익률을 점검할 때도 중요합니다. 예치 수익률만 보고 승인 구조와 컨트랙트 위험을 무시하면 수익률보다 큰 손실을 볼 수 있습니다.

FAQ

참고 자료

• TRM Labs 2026 Crypto Crime Report
• Chainalysis – Targeted Approval Phishing Scams
• MetaMask – How to revoke smart contract allowances/token approvals
• Revoke.cash – Revoke Your Token Approvals
• Etherscan Token Approval Checker

면책: 이 글은 암호화폐 지갑 보안과 온체인 권한 관리를 이해하기 위한 교육 자료이며, 특정 코인이나 금융상품의 매수 또는 매도를 권유하지 않습니다. 모든 암호화폐 활동에는 원금 손실과 보안 사고 가능성이 있으며, 최종 판단은 본인의 기준과 책임으로 해야 합니다.