월렛 드레이너: 악성 승인이 암호화폐를 훔치는 방식

월렛 드레이너는 공격자에게 토큰과 NFT를 옮길 권한을 주는 거래나 메시지에 서명하도록 속인 다음, 그 권한을 이용해 지갑을 비우는 악성 웹사이트나 스크립트입니다. 공격자에게 복구 문구는 전혀 필요하지 않습니다. 여러분 자신의 서명이 모든 일을 해 주기 때문입니다.

가짜 에어드롭, 가짜 민팅, 해킹된 프로젝트 소셜 계정 이후 보고되는 피해의 상당수가 드레이너에서 비롯됩니다. 드레이너는 “drainer-as-a-service”라고도 불리는 기성 키트로 판매되어 왔기 때문에 기술이 없는 사기범도 쉽게 사용할 수 있습니다. 무엇에 서명하는지 이해하는 것이 최선의 방어입니다.

토큰 승인의 작동 방식(그리고 드레이너가 이를 좋아하는 이유)

이더리움과 기타 EVM 체인에서 탈중앙화 앱은 스스로 여러분의 토큰을 옮길 수 없습니다. 먼저 승인을 해 줘야 합니다. 승인이란 특정 컨트랙트가 정해진 한도까지 여러분을 대신해 특정 토큰을 사용할 수 있도록 허락하는 것입니다. DEX와 대출 프로토콜이 작동하려면 이것이 필요합니다.

문제는 많은 앱이 편의를 위해 무제한 승인을 요청하고, 승인은 취소할 때까지 계속 유효하다는 점입니다. 드레이너는 정상적인 컨트랙트 대신 자신의 컨트랙트를 승인해 달라고 요청하기만 하면 됩니다. 서명하는 순간 공격자는 원할 때 언제든 전송을 실행할 수 있습니다.

NFT의 경우 이에 해당하는 것이 setApprovalForAll로, 운영자가 한 컬렉션에서 여러분이 보유한 모든 NFT를 옮길 수 있게 합니다. 마켓플레이스는 이를 정당하게 사용하지만, 드레이너는 이를 이용해 컬렉션 전체를 한 번에 가져갑니다. 더 자세한 내용은 인스타그램과 틱톡의 암호화폐 사기를 참고하세요.

드레이너가 사용하는 서명

가스비가 없는 서명은 특히 속기 쉽습니다. 수수료가 들지 않기 때문에 사람들은 무해한 “로그인”이라고 생각합니다. 실제로 그런 것도 있습니다. 하지만 지출을 승인하는 permit인 경우도 있습니다. 아이스 피싱과 permit 서명에 관한 글에서 자세히 설명합니다.

드레이너 공격이 보통 진행되는 방식

1. 1미끼. 가짜 에어드롭 공지, 공식 게시물에 달린 답글, 해킹된 디스코드 서버, 스폰서 검색 광고, “지원”을 제안하는 DM 등을 통해 링크가 도착합니다.
2. 2그럴듯한 사이트. 페이지가 실제 프로젝트의 디자인을 그대로 베끼고 지갑 연결을 요청합니다.
3. 3자산 스캔. 드레이너 스크립트가 잔액을 확인하고 가장 가치 있는 자산부터 승인을 요청합니다.
4. 4서명. 요청은 “받기”, “인증”, “민팅”, “동기화” 등으로 포장되며, 카운트다운 타이머 같은 장치로 조급하게 만듭니다.
5. 5싹쓸이. 자산은 대개 몇 초 만에 빠져나가며, 추적을 어렵게 하기 위해 신속하게 스왑되거나 브리지로 옮겨집니다.

숙련된 사용자도 드레이너에 당하는 이유

드레이너는 눈에 띄게 가짜인 웹사이트에 의존하지 않습니다. 많은 공격이 탈취된 실제 프로젝트 계정에서 시작되기 때문에, 진짜 계정에서 올라온 공지는 진짜처럼 보입니다. 또 다른 공격은 실제 에어드롭이나 민팅이 화제가 될 때, 즉 사람들이 거래 서명을 예상하고 먼저 참여하려고 서두를 때 정확히 나타납니다. 관련 글: SIM 스와프 공격. 더 알아보고 싶다면 가짜 토큰 마이그레이션 및 스왑 사기를 읽어 보세요.

또한 신뢰할 수 있는 DEX를 승인하든 드레이너 컨트랙트를 승인하든 지갑 요청은 비슷해 보입니다. 차이는 사용자 주소, 토큰, 금액 같은 세부 사항에 있습니다. 숙련된 사용자도 습관에 이끌려 이전에 수백 번 했던 것처럼 “확인”을 누를 때 당합니다. 이에 대해서는 암호화폐를 훔치는 악성 브라우저 확장 프로그램에서 더 자세히 다룹니다. 관련 글: 암호화폐 사용자를 위한 이메일 계정 보안.

서명 전 경고 신호

• 직접 찾아본 것이 아니라 DM, 답글, 광고, 링크를 통해 사이트에 들어왔습니다.
• 거래할 생각이 없던 토큰에 대한 승인을 요청합니다.
• 승인 금액이 무제한이거나 사용자 주소가 낯섭니다.
• 읽을 수 없는 메시지에 서명하라고 하거나, 지갑이 블라인드 서명을 경고합니다.
• “10분 후 수령 만료”, “지갑이 정지됩니다”처럼 압박합니다.
• 도메인이 미묘하게 다르거나, 최근에 등록되었거나, 흔치 않은 확장자를 사용합니다. 암호화폐 피싱 사이트를 참고하세요.

스스로를 보호하는 방법

1. 1새 민팅, 에어드롭, 낯선 앱에는 버너 지갑을 사용하고 필요한 만큼만 넣어 두세요. 장기 보유 자산은 어디에도 거의 연결하지 않는 별도의 지갑에 보관하세요. 설정 방법은 버너 지갑 가이드에서 설명합니다.
2. 2모든 요청을 읽으세요. 서명하기 전에 작업, 토큰, 금액, 사용자를 확인하세요. 이해할 수 없다면 거부하세요.
3. 3지갑에서 금액을 직접 설정할 수 있다면 제한된 승인을 선택하세요.
4. 4지갑에 거래 미리보기나 시뮬레이션 기능이 있다면 켜 두세요. 지갑에서 무엇이 빠져나갈지 보여 줍니다.
5. 5정기적으로 취소하세요. 오래된 승인을 점검하고 제거하세요. 토큰 승인을 취소하는 방법에 관한 단계별 가이드에서 방법을 알려 드립니다.
6. 6직접 접속하세요. 링크를 클릭하지 말고 알고 있는 URL을 입력하거나 저장해 둔 북마크를 사용하세요.

지갑이 털렸다고 생각된다면

공격자는 남은 자산을 노리고 다시 오는 경우가 많으므로 빠르게 행동하세요.

• 알아보지 못하는 승인은 모두 취소하세요.
• 남은 자금을 새 복구 문구를 가진 완전히 새로운 지갑으로 옮기세요. 어딘가에 복구 문구를 입력한 적이 있다면 특히 중요합니다.
• 거래 해시, 공격자 주소, 사이트 URL을 기록해 두세요.
• 사이트와 주소를 예를 들어 저희 사기 신고 양식과 링크를 발견한 플랫폼에 신고하세요.
• 수수료를 받고 자금을 되찾아 주겠다는 사람은 무시하세요. 자금 회수 사기는 최근 피해자를 노립니다.

지갑이 해킹당했을 때 즉시 해야 할 일 체크리스트도 참고하세요.

결론

월렛 드레이너는 지갑의 암호 기술을 깨뜨리지 않습니다. 대신 여러분이 직접 도난을 승인하게 만듭니다. 모든 서명을 통제권을 넘겨줄 수 있는 행위로 여기고, 가치 있는 자산은 낯선 사이트에 절대 연결하지 않는 지갑에 보관하며, 승인을 정기적으로 정리하세요. 서명하기 전에 30초만 멈추는 것이 여러분이 가진 가장 효과적인 보안 도구입니다.