가짜 토큰 마이그레이션 및 스왑 사기
토큰 마이그레이션 사기의 작동 방식, 가짜 V2 스왑과 업그레이드 포털의 경고 신호, 진짜 마이그레이션을 확인하는 방법, 그리고 속았을 때 해야 할 일을 알아봅니다.
토큰 마이그레이션 사기는 범죄자가 여러분이 보유한 토큰을 새 버전으로 '업그레이드', '마이그레이션' 또는 '스왑'해야 한다고 말한 뒤, 악성 승인이나 서명, 복구 문구 요청을 통해 지갑을 비우는 가짜 포털로 유도하는 사기입니다. 진짜 마이그레이션도 실제로 일어나기 때문에 이야기가 그럴듯하게 들린다는 점이 이 사기가 통하는 이유입니다.
프로젝트는 업그레이드, 리브랜딩, 체인 이전 등을 위해 정당하게 컨트랙트를 변경합니다. Polygon이 MATIC에서 POL로 전환한 것은 진짜 전환의 잘 알려진 사례입니다. 진짜 마이그레이션이 있을 때마다 보유자들이 안내를 기다리는 기간이 생기고, 사기범들은 그 기간을 가짜 안내로 채우려고 앞다투어 나섭니다.
진짜 마이그레이션이 왜 빈틈을 만드는가
프로젝트가 보유자에게 토큰 교환을 요청할 정당한 이유는 여러 가지가 있습니다.
- 컨트랙트 업그레이드. 버그나 새 기능 때문에 새로운 토큰 컨트랙트가 필요합니다.
- 리브랜딩과 토큰 변경. 프로젝트가 기존 토큰을 후속 토큰으로 대체합니다.
- 체인 이전. 토큰이 한 블록체인에서 다른 블록체인으로 옮겨 갑니다. 예를 들어 ERC-20에서 프로젝트 자체 메인넷으로 이동하는 경우입니다.
- 리디노미네이션. 공급량이 분할되거나 병합됩니다. 예를 들어 기존 토큰 1개가 새 토큰 100개가 됩니다.
이런 상황은 모두 혼란을 낳고, 혼란은 사기범에게 돈이 됩니다. 많은 보유자가 프로젝트 소식을 꼼꼼히 챙기지 않기 때문에 '기존 토큰이 폐기된다'는 그럴듯한 메시지가 급하고 유용한 정보처럼 느껴질 수 있습니다. 관련 글: 검색 광고를 통한 피싱.
사기의 작동 방식, 단계별 정리
- 1목표 선정. 사기범은 발표된 마이그레이션을 지켜보거나, 인기 토큰에 대한 마이그레이션을 아예 지어냅니다.
- 2포털 제작. 프로젝트 웹사이트 디자인을 '마이그레이션' 또는 'V2 받기' 버튼이 있는 유사 도메인에 그대로 복제합니다.
- 3링크 유포. 공식 계정의 게시물에 답글로 올리고, 검색 광고를 집행하고, Telegram과 Discord에서 DM을 보내고, 이름이 URL인 쓸모없는 토큰을 에어드롭하거나 지원팀 직원을 사칭합니다.
- 4압박 조성. 메시지는 기존 토큰이 몇 시간 안에 '작동을 멈추거나' '모든 가치를 잃는다'고 주장합니다.
- 5자금 탈취. 포털은 지갑 연결을 요청한 뒤 무제한 지출 승인, permit 또는 Permit2 메시지 서명, '마이그레이션 컨트랙트'로의 토큰 전송, 또는 복구 문구를 입력해 지갑을 '검증'하라고 요구합니다.
- 6유출과 세탁. 서명하는 순간 자동화된 드레이너가 토큰을 빼내는데, 몇 초 만에 끝나는 경우가 많으며 이를 여러 주소로 쪼개어 보냅니다.
여기에 쓰이는 서명 수법에 대해 더 알고 싶다면 아이스 피싱과 permit 서명 가이드를 참고하세요.
가상의 사례
다음은 이해를 돕기 위해 재구성한 가상의 사례이며, 실제 사건이 아닙니다.
중간 규모의 DeFi 토큰을 보유한 Sam이라는 사람을 상상해 보세요. 어느 날 아침, Sam은 프로젝트의 공식 게시물 아래에서 이런 답글을 봅니다. "알림: V1 토큰은 UTC 자정에 지원이 종료됩니다. 여기서 마이그레이션하세요." 링크는 프로젝트 사이트와 똑같아 보이지만 도메인의 글자 하나가 다른 사이트로 연결됩니다. 이에 대해서는 가짜 WalletConnect와 지갑 팝업 피싱에서 더 자세히 다룹니다.
Sam은 지갑을 연결하고 '마이그레이션'을 클릭합니다. 지갑에는 해당 토큰에 대한 무제한 금액의 승인 요청이 표시됩니다. Sam은 스왑에서는 흔한 일이라고 생각하고 승인합니다. 1분도 안 되어 토큰 잔액 전부가 지갑에서 빠져나갑니다. 이어서 두 번째 요청이 'V2 토큰을 받기' 위해 메시지에 서명하라고 하는데, 사실 이는 지갑에 있는 다른 토큰에 대한 permit입니다. V2 토큰은 끝내 도착하지 않습니다. 진짜 프로젝트는 마이그레이션을 발표한 적이 전혀 없었습니다. 함께 보기: 가짜 브리지 웹사이트.
경고 신호 체크리스트
| 경고 신호 | 왜 중요한가 |
|---|---|
| DM, 답글, 광고 또는 에어드롭된 토큰을 통해 마이그레이션 소식을 접했다 | 공식 프로젝트는 자체 채널을 통해 발표한다 |
| 마감 시한이 몇 시간 단위다 | 진짜 마이그레이션은 보통 몇 주에서 몇 달 동안 진행된다 |
| 사이트가 복구 문구나 개인 키를 요구한다 | 정당한 마이그레이션에는 절대 필요하지 않다 |
| '마이그레이션'하는 토큰에 대한 무제한 승인 | 컨트랙트에 모든 것을 가져갈 권한을 준다 |
| 도메인이 공식 도메인과 약간 다르다 | 유사 도메인이 이 사기의 핵심이다 |
| '지원 상담원'이 마이그레이션을 도와주겠다고 제안한다 | 프로젝트는 개인 채팅으로 마이그레이션을 진행하지 않는다 |
| 새 토큰의 컨트랙트 주소가 공식 문서에 없다 | 무엇을 받는지 검증할 수 없다 |
진짜 마이그레이션을 확인하는 방법
- 1직접 출처를 찾아가세요. 프로젝트의 공식 도메인을 직접 입력하거나 북마크를 사용하세요. 공식 문서와 블로그에서 마이그레이션 페이지를 확인하세요. 방법은 웹사이트가 프로젝트 공식 사이트인지 확인하는 방법 가이드에서 설명합니다.
- 2공지를 교차 확인하세요. 공지가 프로젝트의 인증된 소셜 계정에 올라와 있는지, 가능하면 해당 토큰을 상장한 거래소들도 알리고 있는지 확인하세요.
- 3이용 중인 거래소를 확인하세요. 토큰이 거래소에 있다면 해당 거래소의 공식 공지를 찾아보세요. 거래소는 보통 고객을 대신해 교환을 처리합니다.
- 4새 컨트랙트를 검증하세요. 토큰의 공식 컨트랙트 주소를 확인하는 방법 가이드에서 설명한 대로, 공식 문서와 블록 익스플로러에서 새 토큰의 주소를 비교하세요.
- 5서명하기 전에 트랜잭션을 읽으세요. 승인하려는 컨트랙트가 문서화된 마이그레이션 컨트랙트와 일치하는지 확인하고, 가능하면 승인 금액을 제한하세요.
- 6확신이 없으면 기다리세요. 진짜 마이그레이션은 확인에 하루를 쓴 보유자에게 불이익을 주는 경우가 거의 없습니다.
속았을 때 해야 할 일
다음 순서대로 빠르게 행동하세요.
- 1승인을 취소하세요. 신뢰할 수 있는 승인 도구로 사기 컨트랙트에 준 모든 승인이나 permit을 취소하세요. 토큰 승인 취소하기를 참고하세요.
- 2지갑을 보호하세요. 복구 문구를 입력했다면 지갑이 탈취된 것으로 간주하고, 새 복구 문구를 가진 완전히 새로운 지갑으로 남은 자산을 옮기세요. 지갑이 해킹당했을 때 즉시 해야 할 일 체크리스트를 따르세요.
- 3증거를 기록하세요. URL, 스크린샷, 트랜잭션 해시, 사기범 주소를 저장하세요.
- 4신고하세요. 진짜 프로젝트, 지갑 제공업체, 링크를 본 플랫폼에 알리세요. 저희 사기 신고 양식을 통해 사이트와 주소를 신고할 수도 있습니다.
- 5자금 회수 사기를 조심하세요. 수수료를 받고 자금을 되찾아 주겠다고 약속하는 사람은 거의 항상 두 번째 사기를 벌이고 있습니다.
결론
토큰 마이그레이션 사기는 프로젝트가 실제로 토큰을 교환하거나 업그레이드하기도 한다는 현실의 절차를 악용합니다. 방어 방법은 간단하지만 엄격해야 합니다. 공식 채널에서 직접 찾은 마이그레이션 안내만 따르고, 새 컨트랙트 주소를 검증하며, 복구 문구는 절대 공유하지 말고, 서두르게 만드는 압박과 개인 메시지는 위험 신호로 받아들이세요. 진짜 마이그레이션이라면 확인을 마친 뒤에도 여전히 그대로 있을 것입니다.
자주 묻는 질문
토큰 마이그레이션 사기란 무엇인가요?
토큰 마이그레이션 사기는 보유자에게 토큰을 새 버전으로 업그레이드, 스왑 또는 마이그레이션해야 한다고 믿게 만드는 사기입니다. 피해자는 가짜 포털로 유도되어 지출 승인, permit 서명, 특정 주소로의 토큰 전송 또는 복구 문구 입력을 요구받습니다. 그런 다음 사기범이 토큰을 가져가거나 지갑을 비웁니다.
토큰 마이그레이션이 진짜인지 어떻게 알 수 있나요?
진짜 마이그레이션은 프로젝트의 공식 웹사이트, 문서, 인증된 소셜 계정에서 발표되며, 보통 새 토큰의 컨트랙트 주소와 넉넉한 일정이 함께 공개됩니다. 거래소가 고객을 위해 자동으로 처리하는 경우도 많습니다. DM, 답글, 광고로만 소식을 접했다면 사실로 확인되기 전까지는 가짜라고 간주하세요.
토큰을 즉시 마이그레이션해야 하나요?
그런 경우는 드뭅니다. 진짜 마이그레이션은 보통 몇 달 동안 열려 있고 문서화가 잘 되어 있습니다. 몇 시간 안에 토큰이 휴지 조각이 된다는 주장처럼 극단적으로 서두르게 만드는 것은 사기의 가장 강력한 신호 중 하나입니다.
가짜 마이그레이션 컨트랙트를 승인했다면 어떻게 해야 하나요?
신뢰할 수 있는 승인 확인 도구로 즉시 승인을 취소하세요. 다른 무언가에도 서명했거나 복구 문구를 입력했다면 남은 자산을 새 지갑으로 옮기고, 그다음 사이트와 주소를 프로젝트, 지갑 제공업체, 링크를 발견한 플랫폼에 신고하세요.