암호화폐를 이용할 때 보안 사고는 복잡한 해킹 기술 때문에만 발생하는 것은 아닙니다.
가짜 사이트에 접속하거나, 지갑에서 나타난 요청을 제대로 확인하지 않고 승인하거나, 잘못된 주소와 네트워크로 자산을 전송하는 등 사용 과정의 실수가 자산 손실로 이어질 수도 있습니다.
블록체인에서는 한 번 처리된 트랜잭션을 임의로 되돌리기 어려운 경우가 많기 때문에 문제가 발생한 뒤 대응하는 것만큼 전송과 승인 전에 확인하는 습관이 중요합니다.
이번 글에서는 암호화폐 지갑, 거래소, DApp, 토큰 승인, 코인 전송 등을 이용할 때 확인해야 할 기본적인 보안 사항을 하나의 체크리스트로 정리해 보겠습니다.
1. 개인키와 시드 문구를 안전하게 관리한다
암호화폐 지갑 보안에서 가장 중요하게 보호해야 하는 정보 중 하나가 개인키와 시드 문구 또는 복구 정보입니다.
개인키는 일반적으로 특정 블록체인 주소의 자산을 제어하기 위한 서명에 사용됩니다.
시드 문구는 지갑 구조에 따라 여러 개인키와 주소를 복구하는 데 사용될 수 있습니다.
따라서 이러한 정보가 다른 사람에게 노출되면 지갑의 자산에 접근당할 위험이 있습니다.
기억해야 할 기본 원칙은 다음과 같습니다.
- 개인키를 다른 사람에게 알려주지 않습니다.
- 시드 문구나 복구 정보를 웹사이트에 입력하지 않습니다.
- 메신저나 이메일로 전달하지 않습니다.
- 화면 캡처나 사진 형태의 보관은 노출 위험을 고려해야 합니다.
- 사용하는 지갑의 공식 백업 및 복구 방법을 확인합니다.
특히 지갑 인증, 동기화, 복구 지원, 에어드롭 수령 등의 이유로 시드 문구를 요구하는 상황은 매우 주의해야 합니다.
2. 거래소 계정은 2단계 인증으로 보호한다
암호화폐 거래소 계정은 이메일 주소와 비밀번호만으로 보호하기보다 서비스에서 제공하는 추가 보안 기능을 확인하는 것이 좋습니다.
대표적으로 2단계 인증(2FA)을 사용할 수 있습니다.
서비스에 따라 인증 앱, 보안 키 등 여러 인증 방식이 제공될 수 있습니다.
또한 다음 기능이 제공되는지도 확인해 볼 수 있습니다.
- 출금 주소 화이트리스트
- 출금 관련 추가 인증
- 로그인 알림
- 새로운 기기 로그인 확인
- 피싱 방지 기능
거래소마다 제공하는 보안 기능은 다르므로 사용하는 거래소의 공식 보안 설정을 확인하는 것이 중요합니다.
3. 비밀번호를 여러 서비스에서 재사용하지 않는다
같은 비밀번호를 여러 거래소, 이메일, 암호화폐 서비스에서 반복해서 사용하면 한 서비스의 로그인 정보가 노출됐을 때 다른 계정까지 위험해질 수 있습니다.
따라서 중요한 계정에는 서로 다른 비밀번호를 사용하는 것이 좋습니다.
특히 암호화폐 거래소 계정과 연결된 이메일 계정도 중요합니다.
이메일이 탈취되면 비밀번호 재설정이나 보안 알림 확인 등에 영향을 줄 수 있기 때문입니다.
비밀번호 관리가 어렵다면 신뢰할 수 있는 비밀번호 관리 도구의 사용을 검토할 수 있습니다.
4. 공식 사이트인지 확인한 뒤 접속한다
암호화폐 서비스는 피싱 사이트의 사칭 대상이 될 수 있습니다.
검색 결과의 광고, SNS 게시물, 이메일, 메신저 등을 통해 실제 서비스와 매우 비슷한 가짜 사이트로 이동할 수 있습니다.
사이트에 접속했다면 다음을 확인합니다.
- 도메인 철자가 정확한가?
- 공식 프로젝트가 안내하는 주소인가?
- 예상하지 못한 다른 도메인으로 이동하지 않았는가?
- 지갑 연결 직후 이상한 요청이 나타나지 않는가?
브라우저에 자주 사용하는 공식 사이트를 직접 북마크해 두는 방법도 실수를 줄이는 데 도움이 될 수 있습니다.
5. 지갑 연결과 자산 전송은 같은 작업이 아니다
DApp에서 지갑을 연결한다고 해서 일반적으로 그 동작만으로 자산이 자동 전송되는 것은 아닙니다.
하지만 지갑 연결 후 별도의 메시지 서명, 토큰 승인, 스마트 컨트랙트 실행 또는 자산 전송 요청이 나타날 수 있습니다.
따라서 Connect Wallet을 눌렀다는 이유로 이후 나타나는 모든 요청을 계속 승인해서는 안 됩니다.
각 요청이 무엇을 의미하는지 확인해야 합니다.
특히 이해하지 못한 요청이라면 바로 승인하지 않는 것이 좋습니다.
6. 서명 요청도 내용을 확인한다
지갑의 서명 요청이 항상 자산 전송을 의미하는 것은 아닙니다.
서비스 로그인이나 주소 소유 확인 등에 서명이 사용될 수도 있습니다.
하지만 그렇다고 해서 모든 서명이 안전한 것은 아닙니다.
서명 내용과 방식에 따라 중요한 권한이나 동작과 연결될 수 있으므로 무엇에 서명하는지 이해하지 못했다면 승인하지 않는 것이 중요합니다.
가스비가 발생하지 않는다는 이유만으로 안전한 서명이라고 판단해서도 안 됩니다.
7. 토큰 승인(Approve)의 대상과 범위를 확인한다
일부 DApp에서는 스마트 컨트랙트가 사용자의 토큰을 사용할 수 있도록 토큰 승인(Approve)을 요구할 수 있습니다.
이때 확인해야 할 것은 단순히 승인 버튼의 존재가 아닙니다.
다음을 확인해야 합니다.
- 어떤 토큰에 대한 승인인가?
- 어떤 주소나 스마트 컨트랙트에 권한을 주는가?
- 어느 정도의 사용량을 허용하는가?
- 내가 의도한 서비스의 요청이 맞는가?
필요 이상의 권한을 부여하지 않는 것이 좋으며, 사용하지 않는 온체인 권한이 있다면 사용하는 네트워크와 지갑이 지원하는 방법을 통해 확인하고 관리할 수 있습니다.
사이트 연결 해제와 이미 부여된 온체인 토큰 권한의 취소는 같은 작업이 아닐 수 있다는 점도 알아둘 필요가 있습니다.
8. 코인을 보내기 전에 주소를 다시 확인한다
암호화폐 주소는 길고 복잡하기 때문에 복사해서 사용하는 경우가 많습니다.
하지만 복사했다는 이유만으로 주소가 정확하다고 가정해서는 안 됩니다.
주소 오염이나 클립보드 변조 등으로 잘못된 주소를 선택하거나 붙여넣을 가능성을 고려해야 합니다.
따라서 전송 전에는 신뢰할 수 있는 원본에서 받은 주소와 실제 입력된 주소를 다시 확인하는 습관이 중요합니다.
과거 거래 내역에 표시된 주소를 무조건 다시 사용하는 것도 피하는 것이 좋습니다.
9. 자산과 네트워크를 함께 확인한다
같은 이름의 토큰이 여러 네트워크에 존재할 수 있습니다.
따라서 암호화폐를 전송할 때는 주소만 확인해서는 부족할 수 있습니다.
최소한 다음 항목을 함께 확인해야 합니다.
보낼 자산 → 출금 네트워크 → 받는 주소 → 입금 네트워크
거래소 입금의 경우 Memo 또는 Tag 같은 추가 정보가 필요한 자산인지도 확인해야 합니다.
잘못된 네트워크나 누락된 Memo/Tag로 전송했을 때 복구 가능 여부는 서비스와 네트워크에 따라 달라질 수 있습니다.
10. 처음 이용하는 주소라면 소액 테스트를 검토한다
큰 금액을 처음 이용하는 주소로 보내야 한다면 네트워크 수수료와 서비스 조건을 고려해 소액 테스트 전송을 먼저 하는 방법을 검토할 수 있습니다.
테스트 전송이 정상적으로 도착했는지 확인한 뒤 본 전송을 진행하면 일부 실수를 발견하는 데 도움이 될 수 있습니다.
하지만 소액 테스트가 모든 위험을 제거하는 것은 아닙니다.
본 전송을 할 때 주소를 거래 기록에서 다시 잘못 복사하거나 네트워크를 다르게 선택한다면 테스트의 의미가 없어질 수 있습니다.
따라서 본 전송에서도 주소와 네트워크를 다시 확인해야 합니다.
11. 모르는 토큰과 NFT를 무작정 건드리지 않는다
지갑에 자신이 구매하거나 요청하지 않은 토큰이나 NFT가 나타날 수 있습니다.
퍼블릭 블록체인에서는 다른 사람이 공개된 지갑 주소로 자산을 전송할 수 있기 때문에 모르는 토큰이 나타났다는 사실만으로 개인키가 유출됐다고 단정할 수는 없습니다.
하지만 해당 자산이 특정 웹사이트 방문이나 스마트 컨트랙트 상호작용을 유도한다면 주의해야 합니다.
출처를 알 수 없는 토큰이나 NFT에 표시된 링크를 바로 방문하거나 이해하지 못한 요청을 승인하지 않는 것이 좋습니다.
12. 무료 코인과 에어드롭이라는 말만 믿지 않는다
실제 프로젝트에서 에어드롭을 진행하는 경우도 있습니다.
따라서 에어드롭 = 사기라고 볼 수는 없습니다.
문제는 에어드롭을 사칭한 피싱입니다.
무료 토큰, 당첨, 보상, 마감 임박 등의 문구로 사용자를 급하게 만든 뒤 가짜 사이트로 유도할 수 있습니다.
참여하기 전에는 공식 프로젝트에서 실제로 진행하는 이벤트인지 확인하고, 지갑에서 나타나는 서명과 트랜잭션 내용을 검토해야 합니다.
13. 하드웨어 지갑도 만능은 아니다
하드웨어 지갑은 개인키를 일반적인 온라인 환경과 분리해 보호하고 장치에서 서명하도록 설계된 보안 도구입니다.
하지만 사용자가 피싱 사이트에서 위험한 트랜잭션을 직접 승인하거나 시드 문구를 외부에 노출한다면 하드웨어 지갑만으로 모든 위험을 막을 수 있는 것은 아닙니다.
하드웨어 지갑을 사용할 때는 가능하다면 장치 화면에 표시되는 받는 주소, 수량 등의 정보를 직접 확인한 뒤 승인하는 것이 중요합니다.
또한 소프트웨어와 펌웨어는 사용하는 제품의 공식 안내를 확인해야 합니다.
14. 이상한 거래가 보인다고 바로 행동하지 않는다
지갑에서 예상하지 못한 거래를 발견하면 당황해서 검색 결과에 나온 아무 사이트나 이용하거나 SNS에서 먼저 연락해 온 사람에게 도움을 요청하는 것은 위험할 수 있습니다.
먼저 블록 익스플로러 등을 이용해 트랜잭션 상태와 주소를 확인합니다.
거래소나 지갑 서비스의 도움이 필요하다면 공식 고객지원 경로를 이용하는 것이 좋습니다.
특히 지원 담당자를 사칭해 개인키나 시드 문구를 요구하는 상황을 주의해야 합니다.
15. 암호화폐 보안 최종 체크리스트
암호화폐를 전송하거나 DApp에서 중요한 작업을 승인하기 전 다음 항목을 확인해 보세요.
- 공식 사이트에 접속했는가?
- 사용하는 네트워크가 정확한가?
- 받는 주소를 신뢰할 수 있는 원본과 비교했는가?
- 자산과 전송 수량을 확인했는가?
- 필요한 Memo 또는 Tag를 확인했는가?
- 지갑에서 요구하는 작업이 연결, 서명, 승인, 전송 중 무엇인지 이해했는가?
- 토큰 승인이라면 대상과 허용 범위를 확인했는가?
- 개인키나 시드 문구를 요구받고 있지는 않은가?
- 예상하지 못한 링크나 팝업을 따라가고 있지는 않은가?
- 큰 금액이라면 소액 테스트가 적절한지 검토했는가?
- 장치나 지갑 화면에 표시된 최종 내용을 확인했는가?
조금이라도 이해되지 않는 부분이 있다면 바로 승인하는 것보다 확인을 먼저 하는 것이 좋습니다.
마무리
암호화폐 보안에는 모든 위험을 한 번에 해결해 주는 하나의 기능이 존재하지 않습니다.
강력한 비밀번호와 2단계 인증을 사용하더라도 피싱 사이트에서 잘못된 요청을 직접 승인하면 문제가 발생할 수 있고, 하드웨어 지갑을 사용하더라도 시드 문구를 노출하면 위험할 수 있습니다.
결국 중요한 것은 여러 보안 수단을 함께 사용하면서 전송과 승인 직전에 실제 내용을 확인하는 습관입니다.
마지막으로 다섯 가지만 기억해도 좋습니다.
개인키와 시드 문구를 외부에 제공하지 않습니다.
공식 사이트와 도메인을 확인합니다.
서명·토큰 승인·트랜잭션의 내용을 확인합니다.
주소·자산·네트워크를 전송 직전에 다시 확인합니다.
이해하지 못한 요청은 바로 승인하지 않습니다.
몇 초의 확인 과정이 암호화폐를 안전하게 이용하는 데 중요한 차이를 만들 수 있습니다.
안내: 이 글은 암호화폐 지갑, 거래소 및 블록체인 이용과 관련된 일반적인 보안 정보를 제공하기 위한 내용입니다. 실제 보안 기능과 복구 절차는 지갑, 거래소 및 블록체인 네트워크에 따라 다를 수 있으므로 이용 중인 서비스의 최신 공식 안내를 함께 확인하시기 바랍니다.
댓글