암호화폐 지갑을 확인하다 보면 자신이 구매하거나 전송받은 기억이 없는 토큰이 표시되는 경우가 있습니다.
토큰 이름이 유명 암호화폐와 비슷하거나, 상당한 가치가 있는 것처럼 표시되는 경우도 있습니다.
이때 가장 중요한 것은 모르는 토큰이 보인다는 이유만으로 바로 거래하거나 관련 링크에 접속하지 않는 것입니다.
일부 의심스러운 토큰은 사용자의 관심을 끈 뒤 특정 웹사이트 방문이나 스마트 컨트랙트 상호작용을 유도하는 수단으로 이용될 수 있습니다. 실제로 지갑 보안 서비스에서는 사칭 토큰, 비정상적인 컨트랙트 동작, 스팸성 배포 등을 위험 신호로 활용하기도 합니다.
이번 글에서는 스캠 토큰이 무엇인지, 모르는 토큰이 지갑에 들어왔을 때 무엇을 확인해야 하는지 알아보겠습니다.
1. 스캠 토큰이란?
일반적으로 스캠 토큰은 사용자를 속이거나 자산 탈취 등의 목적으로 악용되는 토큰을 의미합니다.
예를 들어 유명 암호화폐와 비슷한 이름이나 심볼을 사용해 실제 토큰처럼 보이게 만들 수도 있습니다.
하지만 이름이나 심볼이 같다고 해서 동일한 토큰인 것은 아닙니다.
블록체인에서 토큰을 확인할 때는 이름뿐 아니라 네트워크와 컨트랙트 주소 등도 함께 확인해야 합니다.
따라서 지갑에 익숙한 이름의 토큰이 나타났다는 이유만으로 공식 토큰이라고 판단해서는 안 됩니다.
2. 왜 모르는 토큰이 내 지갑에 들어올까?
퍼블릭 블록체인에서는 지갑 주소가 공개되어 있기 때문에 제3자가 특정 주소로 토큰을 전송할 수 있습니다.
따라서 사용자가 요청하지 않은 토큰이 지갑에 나타날 수 있습니다.
이런 토큰이 보인다는 사실만으로 개인키나 시드 문구가 유출됐다고 단정할 수는 없습니다.
문제는 그다음 행동입니다.
일부 악성 토큰은 사용자가 토큰의 정체나 가치를 알아보려고 검색하거나 거래를 시도하도록 유도합니다.
그 과정에서 가짜 사이트 방문, 위험한 토큰 승인 또는 서명 요청 등으로 이어질 수 있습니다. MetaMask도 알 수 없는 토큰을 전송한 뒤 사용자의 상호작용을 유도하는 사기 방식을 안내하고 있습니다.
3. 유명 코인과 이름이 같아도 같은 토큰이 아니다
토큰의 이름과 심볼은 사용자가 자산을 쉽게 구분하도록 도와주는 정보지만, 그것만으로 토큰의 진위를 확인하기에는 부족합니다.
공격자가 유명한 토큰과 비슷한 이름이나 심볼을 사용하는 경우도 있기 때문입니다. 실제로 유명 토큰을 모방해 사용자가 가치 있는 자산을 받은 것처럼 오인하게 만드는 사례도 보고되고 있습니다.
예를 들어 지갑에 익숙한 이름의 토큰이 나타나더라도 다음을 함께 확인해야 합니다.
- 어떤 블록체인 네트워크의 토큰인지
- 컨트랙트 주소가 무엇인지
- 프로젝트가 공식적으로 안내하는 토큰인지
- 신뢰할 수 있는 공식 자료와 주소가 일치하는지
특히 토큰 이름보다 컨트랙트 주소 확인이 중요합니다.
4. 지갑에 표시된 금액만 믿지 않는다
일부 지갑이나 서비스에서는 토큰의 가격 정보를 함께 표시할 수 있습니다.
하지만 화면에 금액이 표시된다는 사실만으로 해당 토큰이 실제로 그 가격에 거래되거나 현금화할 수 있다고 단정해서는 안 됩니다.
가짜 토큰이 유명 자산을 모방해 실제 가치가 있는 것처럼 사용자를 오인시키는 방식도 존재합니다.
따라서 갑자기 큰 금액의 토큰이 지갑에 나타났다면 바로 판매를 시도하기보다 토큰의 출처와 컨트랙트 주소부터 확인하는 것이 좋습니다.
5. 토큰을 팔거나 교환하려다 피싱 사이트로 이동할 수 있다
의심스러운 토큰의 목적은 단순히 지갑 화면에 토큰을 표시하는 것에서 끝나지 않을 수 있습니다.
사용자가 해당 토큰을 판매하거나 교환하려고 할 때 특정 웹사이트로 이동하도록 유도할 수 있습니다.
실제 사례 중에는 알 수 없는 토큰을 전송한 뒤 거래를 시도하면 실패하도록 만들고, 이후 사용자가 확인하게 되는 메시지를 통해 악성 사이트로 유도하는 방식도 있습니다.
따라서 토큰과 관련해 표시되는 주소나 메시지를 보고 처음 보는 웹사이트에 바로 접속하지 않는 것이 중요합니다.
6. 토큰 승인 요청도 확인한다
토큰을 교환하거나 DApp을 이용하는 과정에서는 토큰 승인(Approve)이 필요할 수 있습니다.
토큰 승인은 특정 주소나 스마트 컨트랙트가 사용자의 토큰을 사용할 수 있도록 허용하는 기능입니다.
따라서 출처를 알 수 없는 사이트에서 토큰 승인을 요구한다면 어떤 대상에게 어느 정도의 권한을 주는지 확인해야 합니다.
무제한에 가까운 사용 권한을 부여하면 악성 컨트랙트일 경우 위험이 커질 수 있습니다. Ethereum과 MetaMask의 보안 안내에서도 스마트 컨트랙트의 사용 한도를 확인하고 필요한 범위로 제한할 것을 권장합니다.
7. 모르는 토큰을 발견했을 때 확인 순서
지갑에 처음 보는 토큰이 나타났다면 다음 순서로 확인해 볼 수 있습니다.
첫째, 바로 상호작용하지 않습니다.
급하게 판매하거나 교환할 필요가 없습니다.
둘째, 토큰이 존재하는 네트워크를 확인합니다.
같은 이름이라도 서로 다른 네트워크의 자산일 수 있습니다.
셋째, 컨트랙트 주소를 확인합니다.
토큰 이름이나 로고만으로 판단하지 않습니다.
넷째, 프로젝트의 공식 자료와 비교합니다.
실제로 해당 프로젝트에서 발행한 토큰인지 확인합니다.
다섯째, 토큰에 표시된 낯선 링크를 바로 이용하지 않습니다.
별도의 웹사이트로 이동하도록 유도한다면 더욱 신중하게 확인합니다.
8. 모르는 토큰이 들어오면 지갑이 해킹된 것일까?
반드시 그런 것은 아닙니다.
공개된 지갑 주소로 누군가 토큰을 보내는 것 자체는 가능하기 때문에 알 수 없는 토큰이 들어왔다는 사실 하나만으로 지갑이 탈취됐다고 판단할 수는 없습니다.
다만 본인이 승인하지 않은 자산 출금이나 트랜잭션이 함께 발견된다면 상황이 다릅니다.
이 경우에는 블록 익스플로러 등을 이용해 실제 트랜잭션 내역을 확인하고, 사용하는 지갑의 공식 보안 안내에 따라 대응하는 것이 좋습니다. MetaMask 역시 승인하지 않은 트랜잭션이 발견된 경우 세부 거래 내역을 먼저 확인하도록 안내합니다.
9. 개인키와 시드 문구는 절대 제공하지 않는다
스캠 토큰을 판매하거나 잠금을 해제한다는 명목으로 개인키나 시드 문구를 요구하는 사이트도 주의해야 합니다.
개인키와 시드 문구는 지갑 자산을 통제하는 데 사용되는 핵심 정보입니다.
정상적인 토큰 확인을 위해 웹사이트나 다른 사람에게 이러한 정보를 제공할 필요는 없습니다.
Ethereum과 주요 지갑의 보안 지침에서도 복구 문구와 개인키를 타인에게 공유하지 말 것을 강조합니다.
10. 스캠 토큰 예방 체크리스트
지갑에서 처음 보는 토큰을 발견했다면 다음 항목을 확인해 보세요.
- 내가 구매하거나 전송받기로 한 토큰인가?
- 어떤 네트워크에서 발행된 토큰인가?
- 공식 컨트랙트 주소와 일치하는가?
- 유명 토큰과 이름이나 심볼만 비슷한 것은 아닌가?
- 출처가 불분명한 사이트로 이동하도록 유도하는가?
- 이해하지 못한 서명이나 토큰 승인을 요구하는가?
- 개인키나 시드 문구를 요구하는가?
확실하지 않다면 상호작용하지 않은 상태에서 먼저 확인하는 것이 안전합니다.
마무리
지갑에 모르는 토큰이 나타났다고 해서 곧바로 지갑이 해킹됐다고 볼 수는 없습니다.
하지만 무료 토큰이나 높은 표시 금액에 관심을 갖고 무작정 거래를 시도하면 피싱 사이트나 위험한 승인 요청으로 이어질 수 있습니다.
따라서 기억해야 할 핵심은 세 가지입니다.
토큰 이름이나 로고만 보고 진짜라고 판단하지 않습니다.
출처를 알 수 없는 토큰과 무작정 상호작용하지 않습니다.
개인키와 시드 문구는 외부에 제공하지 않습니다.
토큰의 겉모습이나 표시 가격보다 네트워크, 컨트랙트 주소, 공식 정보와의 일치 여부를 확인하는 습관이 중요합니다.
안내: 이 글은 암호화폐와 블록체인 보안에 대한 일반적인 정보를 제공하기 위한 내용입니다. 토큰과 지갑의 기능은 네트워크 및 서비스에 따라 다를 수 있으므로 실제 이용 시 해당 프로젝트와 지갑 서비스의 최신 공식 안내를 확인하시기 바랍니다.
댓글