암호화폐 피싱 사이트: 가짜 거래소·지갑 페이지를 알아보는 방법
암호화폐 피싱 사이트는 실제 거래소와 지갑을 복제해 로그인 정보와 복구 문구를 훔칩니다. 경고 신호와 피싱 사이트가 접근하는 경로, 안전하게 지키는 방법을 알아보세요.
암호화폐 피싱 사이트는 실제 거래소, 지갑 또는 DeFi 앱을 흉내 내어 로그인 정보, 2단계 인증 코드, 복구 문구 또는 지갑 서명을 훔치는 가짜 웹페이지입니다. 대개 실제 도메인과 살짝 다른 주소, 접속하게 된 경로(광고, 이메일, 다이렉트 메시지), 그리고 웹 양식에 복구 문구를 입력하라는 것처럼 정상적인 서비스라면 절대 하지 않는 요청으로 알아볼 수 있습니다.
피싱은 사람들이 암호화폐를 잃는 가장 흔한 방법 중 하나이며, 숙련된 사용자에게도 통합니다. 은행과 달리 블록체인은 일단 확정된 송금을 되돌릴 수 없으므로 예방만이 확실한 방어 수단입니다.
암호화폐 피싱 사이트의 작동 방식
피싱 사이트는 두 종류의 비밀 정보를 노립니다.
- 1중앙화 거래소의 계정 인증 정보: 이메일, 비밀번호, 2단계 인증 코드. 공격자는 이를 실시간으로 실제 거래소에 전달해 로그인한 뒤 자금을 인출합니다.
- 2셀프 커스터디 지갑 접근 권한: 복구 문구 자체이거나, 공격자에게 토큰을 옮길 권한을 주는 서명입니다. 이런 사이트는 흔히 DEX, NFT 민팅, 에어드롭 클레임, ‘지갑 검증’ 페이지 등으로 위장하고 월렛 드레이너 스크립트를 실행합니다.
페이지 자체는 대개 실제 사이트의 코드를 복사한 것이어서 디자인, 로고, 문구가 똑같아 보입니다. 함께 보기: 모바일 지갑 보안 모범 사례.
피해자가 가짜 사이트에 접속하게 되는 경로
- 검색 광고. 사기꾼은 인기 검색어에 광고를 구매합니다. 광고는 실제 검색 결과보다 위에 표시되며 비슷하게 생긴 도메인으로 연결됩니다.
- 이메일. 가짜 보안 경고(“비정상적인 로그인이 감지되었습니다”, “계정을 인증하세요”)에 가짜 로그인 페이지 링크가 포함되어 있습니다.
- 소셜 미디어 답글. 봇이 공식 게시물에 가짜 에어드롭이나 고객지원 페이지 링크를 답글로 남깁니다.
- 다이렉트 메시지. Discord, Telegram, X의 가짜 고객지원 담당자나 “관리자”가 링크를 보냅니다.
- 해킹된 계정. 실제 프로젝트의 소셜 계정이나 Discord가 해킹되어 피싱 링크를 게시합니다.
- SEO와 타이포스쿼팅. 한 글자만 다르거나, 다른 도메인 확장자를 쓰거나, “app”, “claim”, “support” 같은 단어를 덧붙인 도메인입니다.
가짜 거래소·지갑 페이지의 경고 신호
| 경고 신호 | 나타나는 모습 |
|---|---|
| 비슷하게 생긴 도메인 | 순서가 바뀐 글자, 추가된 하이픈, 낯선 확장자, 똑같아 보이는 다른 문자 체계의 글자 |
| 복구 문구 요구 | “인증”, “동기화”, “복구”를 위해 12개 또는 24개 단어를 요구하는 양식 |
| 긴급함 조성 | 카운트다운 타이머, “계정이 정지됩니다”, “만료되기 전에 받으세요” |
| 예상치 못한 서명 | 내가 시작하지 않은 토큰 승인이나 메시지 서명을 요청하는 지갑 창 |
| 메시지나 광고를 통한 접속 | 내가 찾아간 것이 아니라 링크가 나에게 찾아옴 |
| 사소한 시각적 오류 | 오래된 로고, 하단의 깨진 링크, 어색한 문법 |
| 지나치게 좋은 제안 | 무료 토큰, 입금액 두 배 프로모션, 독점 프리세일 |
자물쇠 아이콘이나 “https”가 있다고 해서 사이트가 안전하다는 뜻은 아닙니다. 피싱 사이트도 유효한 인증서를 일상적으로 사용합니다. 이에 대해서는 클립보드 악성코드에서 더 자세히 다룹니다.
로그인하거나 연결하기 전에 사이트를 확인하는 방법
- 1도메인을 직접 입력하거나 북마크를 사용하세요. 사용하는 모든 거래소, 지갑, DeFi 앱을 북마크하고 그것만 사용하세요.
- 2주소창의 전체 도메인을 읽으세요. 확장자 바로 앞 부분을 보세요. 그것이 진짜 사이트 이름입니다.
exchange.com.secure-login.io는exchange.com이 아니라secure-login.io의 것입니다. - 3공식 URL을 교차 확인하세요. 신뢰할 수 있는 데이터 사이트에 있는 프로젝트의 인증된 프로필과 비교하세요. 웹사이트가 프로젝트 공식 사이트인지 확인하는 방법 가이드에서 그 과정을 자세히 안내합니다.
- 4지갑 요청 창을 모두 읽으세요. 서명하기 전에 어떤 컨트랙트와 상호작용하는지, 어떤 권한을 부여하는지 확인하세요.
- 5컴퓨터든 휴대폰이든 웹사이트에 복구 문구를 절대 입력하지 마세요. 어떤 사이트든 이를 요구하면 탭을 닫으세요.
피싱을 막는 습관
- 비밀번호 관리자를 사용하세요. 저장된 정확한 도메인에서만 인증 정보를 채워 넣기 때문에 비슷하게 생긴 사이트에서는 자동 입력이 되지 않으며, 이것이 유용한 경보 역할을 합니다.
- 2단계 인증에는 SMS 대신 하드웨어 보안 키나 인증 앱을 사용하세요. 암호화폐 계정을 위한 2단계 인증을 참고하세요.
- 지원되는 거래소에서는 출금 주소 화이트리스트를 활성화하세요.
- 실험용 지갑을 따로 두고, 장기 보유 자금은 새로운 사이트에 절대 연결하지 않는 지갑에 보관하세요.
- 계정과 관련해 요청하지 않은 메시지는 공식처럼 보이더라도 모두 의심하세요.
- 토큰 승인을 정기적으로 검토하고 취소하세요.
피싱을 당했다고 생각된다면
속도가 중요합니다.
- 1거래소 로그인 정보를 입력한 경우: 실제 사이트에서 비밀번호와 2단계 인증 설정을 변경하고, 새로운 출금 주소나 API 키가 추가되지 않았는지 확인한 뒤, 공식 웹사이트를 통해 고객지원에 연락하세요.
- 2복구 문구를 입력한 경우: 지갑을 잃었다고 간주하세요. 깨끗한 기기에서 새 복구 문구로 만든 새 지갑으로 남은 자금을 옮기세요.
- 3악성 서명이나 승인을 한 경우: 즉시 승인을 취소하고 남은 자산을 옮기세요.
- 4신고하세요: 사칭된 회사, 브라우저의 피싱 신고 서비스, 그리고 저희 사기 신고 양식을 통해 해당 도메인을 신고하세요.
이후에 연락해 오는 “자금 복구 서비스”를 조심하세요. 거의 항상 2차 사기입니다. 이 점은 지갑 펌웨어 업데이트 글에서 더 자세히 다룹니다.
결론
피싱 사이트가 성공하는 이유는 진짜처럼 보이고, 서두르는 순간에 나타나기 때문입니다. 북마크를 유일한 진입 경로로 삼고, 도메인을 꼼꼼히 읽고, 웹사이트에 복구 문구를 절대 입력하지 말고, 예상치 못한 서명 요청은 모두 위협으로 간주하세요. 이런 습관만으로도 대부분의 피싱 시도를 시작 전에 차단할 수 있습니다. 더 많은 보안 팁은 보안 관련 글에서 확인하세요.
자주 묻는 질문
암호화폐 피싱 사이트란 무엇인가요?
암호화폐 피싱 사이트는 실제 거래소, 지갑 또는 DeFi 앱을 흉내 내어 로그인 정보, 2단계 인증 코드, 복구 문구 또는 지갑 서명을 훔치는 가짜 웹사이트입니다. 실제 사이트와 거의 똑같아 보이는 경우가 많고, 한두 글자만 다른 도메인 이름을 사용합니다.
암호화폐 웹사이트가 가짜인지 어떻게 알 수 있나요?
주소창의 도메인을 한 글자씩 정확히 확인하세요. 광고, 이메일, 다이렉트 메시지를 통해 사이트에 들어왔거나, 복구 문구를 요구하거나, 급하게 서두르도록 압박하거나, 예상하지 못한 트랜잭션에 서명하라고 한다면 의심해야 합니다. 공식 사이트를 북마크해 두고 그 북마크만 사용하세요.
진짜 지갑이 웹사이트에서 복구 문구를 요구하는 경우가 있나요?
없습니다. 정상적인 지갑 제공업체와 거래소는 웹사이트, 양식, 고객지원 채팅에서 복구 문구를 입력하라고 절대 요구하지 않습니다. 복구 문구를 입력하는 유일한 경우는 지갑 앱이나 하드웨어 기기 자체에서 지갑을 복구할 때뿐입니다.
피싱 사이트에 정보를 입력했다면 어떻게 해야 하나요?
즉시 조치하세요. 거래소 로그인 정보를 입력했다면 비밀번호를 변경하고 2단계 인증을 재설정한 뒤 공식 사이트를 통해 거래소에 연락하세요. 복구 문구를 입력했거나 악성 트랜잭션에 서명했다면 남은 자금을 모두 완전히 새로운 지갑으로 옮기고 승인을 취소하세요.