토큰 승인 익스플로잇: 스캐머가 Web3 지갑을 탈취하는 방법
토큰 승인 익스플로잇은 공격자들이 사용자를 조작하여 스마트 계약 거래에 디지털 서명하도록 유도하는 정교한 Web3 사기입니다. 이는 지갑에서 특정 토큰의 무제한 전송 권한을 부여합니다. 전통적인 해킹과 달리 이 공격은 명시적인 사용자 동의를 요구하지만, 피해자는 자신이 무엇을 승인하는지 이해하지 못합니다. 승인이 완료되면 스캐머는 토큰을 공격자 통제 주소로 빨아내는 탈취 거래를 실행하며, 종종 몇 시간 내에 완료됩니다. 탈중앙화 금융(DeFi)의 성장에 따라 이 공격이 점점 더 흔해지고 있습니다. 블록체인 분석 회사 Chainalysis는 2022년부터 2023년 사이에 승인 기반 도난이 400% 증가했으며, 피해자들이 연간 2억 8천만 달러 이상을 집단으로 잃고 있다고 보도했습니다. 이 메커니즘은 기본적인 Web3 설계 원칙을 악용합니다. 스마트 계약은 사용자 토큰과 상호작용하기 위해 승인 권한이 필요합니다. 스캐머는 승인 요청을 합법적인 거래(NFT 민팅, 토큰 스왑, 또는 거버넌스 투표라고 주장)로 위장하지만 실제로는 무제한 전송 권리를 부여합니다. 특히 위험한 이유는 시간 지연 때문입니다. 피해자는 며칠 또는 몇 주 후에야 자신의 지갑이 손상되었다는 사실을 깨닫을 수 있으며, 그때쯤이면 토큰은 이미 믹싱 서비스와 거래소로 전송되어 회복이 거의 불가능합니다.
주요 수법
- •기만적인 dApp 인터페이스를 이용한 피싱: 스캐머는 합법적인 플랫폼(OpenSea, Uniswap, Aave)을 모방하는 가짜 탈중앙화 애플리케이션을 만들지만, 사용자를 악의적인 스마트 계약으로 리디렉션하여 주장한 기능을 실행하는 대신 토큰 승인을 요청합니다.
- •Discord/Telegram을 통한 소셜 엔지니어링: 공격자는 Web3 커뮤니티 서버에 위조된 링크를 게시하여 독점 NFT 드롭, 거버넌스 에어드롭 또는 토큰 승인이 필요한 수익 농사 기회를 주장합니다.
- •손상된 지갑 브라우저 확장 프로그램: 악의적인 Chrome 또는 Firefox 확장 프로그램은 MetaMask 또는 지갑 관리 도구로 위장하여 사용자 모르게 합법적인 dApp 상호작용에 가짜 승인 요청을 주입합니다.
- •승인 메커니즘에 대한 사용자 혼동 이용: 스캐머는 대부분의 사용자가 거래 승인(단일 작업 서명)과 토큰 승인(무제한 향후 접근 권한 부여)의 차이를 이해하지 못한다는 사실을 이용하여, 요청에 실제 같은 기술 언어를 포함시킵니다.
- •NFT 희귀성 낚시 캠페인: 공격자는 희귀 컬렉션을 제공하는 가짜 NFT 거래 플랫폼 또는 런치패드를 만들어 사용자가 청구 또는 입찰을 위해 토큰을 승인하도록 요구한 후, 승인이 부여되면 즉시 지갑을 탈취합니다.
- •오도하는 UI/UX 조작: 사기 dApp은 모호한 거래 설명('스왑 확인', '거래 활성화')을 표시하면서 실제 승인 금액을 숨기며, 종종 코드에서 무제한 허용치(type(uint256).max)를 설정합니다.
식별 방법
- 특정 토큰 승인을 요청받았지만 dApp이 관련 없는 서비스를 제공한다고 주장합니다(예: 소유하지 않은 거버넌스 토큰 승인을 요청하는 NFT 민트).
- 승인 요청이 비정상적으로 높거나 '무제한' 허용치를 표시합니다(거래 세부사항에서 매우 큰 숫자 또는 MAX로 표시됨).
- 거래 URL 또는 dApp 도메인이 합법적인 버전과 약간 다르게 철자가 잘못되었습니다(예: 'uniswap.org' 대신 'uniswapp.org').
- 거래 확인 화면이 무엇을 승인하는지 명확하게 명시하지 않거나 의도한 작업과 일치하지 않습니다.
- 지갑 잔액이 명시적으로 전송하지 않은 토큰에 대해 갑자기 감소하며, 종종 지갑 기록을 확인할 때 시작하지 않은 거래를 볼 때 발견됩니다.
- 합법적인 dApp 또는 지갑이 같은 토큰의 승인을 반복적으로 요청하는데, 이는 허용치가 완전히 소비된 경우를 제외하고 한 번만 필요합니다.
자신을 보호하는 법
- 소셜 미디어, Discord 또는 이메일의 링크를 클릭하는 대신 dApp 도메인을 브라우저에 직접 입력하여 항상 확인하고, Revoke.cash와 같은 블록체인 도메인 검증 도구를 사용하여 URL을 이중 확인합니다.
- Revoke.cash 또는 Etherscan의 승인 탭과 같은 토큰 승인 모니터링 서비스를 사용하여 지갑의 모든 활성 토큰 승인을 정기적으로 감사하고 더 이상 사용하지 않는 서비스의 권한을 취소합니다.
- 무제한 허용치보다 단일 거래에 필요한 특정 금액만 승인합니다. 대부분의 합법적인 dApp은 사용자가 사용자 지정 승인 금액을 입력할 수 있도록 허용합니다.
- 거래 시뮬레이션 도구인 Tenderly 또는 Etherscan의 시뮬레이션 기능을 활성화하여 거래에 서명하기 전에 정확히 무엇이 일어날지(어떤 토큰이 이동하고 어디로 갈지) 확인합니다.
- 활발하게 거래하지 않는 토큰을 별도의 콜드 스토리지 지갑(Ledger 또는 Trezor와 같은 하드웨어 지갑)에 보관하여 dApp에 연결하지 않음으로써, 고가치 자산에 대한 노출을 격리합니다.
- '계층화된 지갑' 전략을 실행합니다: dApp 상호작용 및 테스트를 위해 소액이 있는 하나의 지갑을 사용하고, 장기 보유를 위해 별도의 안전한 지갑을 유지하여 손상된 주소로부터의 잠재적 손실을 줄입니다.
실제 사례
사용자가 보장된 보상이 있는 독점 Ethereum L2 에어드롭을 홍보하는 Twitter 게시물을 봅니다. 링크를 클릭하고 MetaMask 지갑을 연결한 후 '에어드롭 청구' 버튼을 봅니다. 처리하기 전에 dApp은 USDC 토큰 이동 권한을 요청합니다(청구에 필요하다고 믿게 됨). 사용자는 무제한 허용치를 승인합니다. 6시간 내에 전체 18,000달러 USDC 잔액이 공격자 주소로 전송됩니다. 에어드롭은 가짜였으며, 승인 요청이 실제 공격이었습니다.
인기 있는 NFT 커뮤니티의 Discord 중재자가 블루칩 컬렉션에 대한 조기 접근을 제공하는 '확인된' NFT 마켓플레이스 링크를 공유합니다. 지갑을 연결하는 사용자는 거래를 위해 ETH를 승인하도록 요청받습니다. UI는 단일 거래를 표시하지만, 계약 코드에 숨겨진 것은 다른 토큰(종종 회원이 보유한 귀중한 거버넌스 토큰)에 대한 무제한 승인입니다. 이틀 후, 피해자는 Uniswap 거버넌스 토큰이 영향을 받은 그룹 전체에서 총 25,000달러를 드레인당했다는 것을 발견합니다.
투자자가 '유동성 조정' 때문에 Aave 대출 포지션에 즉각적인 조치가 필요하다고 주장하는 피싱 이메일을 받습니다. 이메일은 실제 Aave 인터페이스처럼 보이는 것으로 연결됩니다(약간의 도메인 철자 오류). 로그인하고 조정을 '확인'하면 사용자가 일상적인 유지 보수라고 가정하는 토큰 승인 요청이 트리거됩니다. 공격자는 피해자가 해당 지갑 모니터링을 중단한 이후 주간에 걸쳐 조용히 승인된 토큰을 드레인하며, 분기별 포트폴리오 검토 중에만 34,000달러 손실을 발견합니다.
자주 묻는 질문
합법적인 토큰 승인과 사기 승인 요청을 어떻게 구별할 수 있나요?
의심스러운 토큰 승인을 이미 서명했다면 즉시 무엇을 해야 하나요?
사기꾼들은 어떻게 내 지갑을 찾아내고 승인 후에 토큰을 빼내나요?
승인 악용 위험 없이 지갑을 dApp에 연결하는 가장 안전한 방법은 무엇인가요?
토큰이 이미 공격자 지갑으로 전송되었다면 복구할 수 있나요?
신고 채널 — 대한민국
귀하의 지역에서 이 사기를 신고할 수 있는 공식 채널.
이 사기를 의심하시나요?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), 토큰 승인 익스플로잇: 스캐머가 web3 지갑을 탈취하는 방법 is described at https://scamlens.org/ko/encyclopedia/token-approval-exploit.