메타마스크나 팬텀 같은 개인 지갑에서 자산이 사라지는 사고는, 대개 누가 암호를 뚫어서가 아니라 주인이 직접 단어를 입력해서 일어납니다. 상대는 화면 하나만 그럴듯하게 만들면 되고, 그 화면은 진짜와 구분이 거의 안 됩니다. 이 글은 보관 방법을 처음부터 다시 설명하는 글이 아니라, 그 화면을 어떻게 알아보고 어디서 멈추느냐를 정리한 자료입니다.
코인 지갑 피싱 수법 — 결론부터
결론부터 말하면, 지갑을 노리는 유도는 형태가 아무리 달라도 결국 '단어를 입력하게 만드는 것'과 '내용을 안 보고 서명하게 만드는 것' 둘 중 하나입니다. 검색해서 들어오신 분이 바로 써먹을 기준만 추리면 이렇습니다. 첫째, 정상적인 지갑·거래소·고객센터는 어떤 경우에도 복구 단어를 묻지 않습니다. 물어보는 순간 그 상대는 예외 없이 사기입니다. 둘째, 지갑을 사이트에 '연결'하는 것과 단어를 '입력'하는 것은 전혀 다른 동작이며, 정상 서비스에는 애초에 입력창이 없습니다. 셋째, 단어를 안 넘겨도 악성 서명 한 번으로 자산이 빠져나갈 수 있어, 서명 창에 뜬 내용을 읽는 습관이 마지막 방어선입니다. 이 글은 판별 기준을 다룰 뿐, 특정 지갑 사용을 권유하지 않습니다.
먼저 왜 이 각도가 중요한지 한 줄로 짚겠습니다. 보관을 아무리 잘해도 한 번 입력하면 그 순간 끝입니다. 종이에 적어 금고에 넣어 둔 사람도, 가짜 복구 화면에 같은 단어를 쳐 넣으면 결과는 똑같습니다. 그래서 보관 규칙과 별개로 '입력 요구를 알아보는 눈'이 따로 필요합니다.
지갑을 노리는 유도 수법 5가지
시드 유출은 해킹보다 '스스로 입력해 버리는' 피싱으로 더 많이 일어나는 것으로 거론됩니다. 접근 경로는 다르지만 목적지는 같습니다.
| 수법 | 접근 방식 | 노리는 것 |
|---|---|---|
| 가짜 복구·동기화 화면 | 진짜와 같은 모양의 사이트·앱이 '지갑 동기화가 필요하다'며 입력창을 띄움 | 복구 단어 전체 |
| 사칭 고객센터 | 커뮤니티에 문의를 올리면 '지원팀'을 자처한 계정이 먼저 연락해 옴 | 복구 단어·화면 공유 |
| 이벤트·에어드랍 인증 | '수령 자격 확인'을 명목으로 단어나 서명을 요구 | 단어 또는 악성 서명 |
| 검색·광고 상위의 가짜 주소 | 철자를 한 글자 바꾼 도메인을 광고로 띄워 공식 사이트인 척함 | 접속 자체를 가로챔 |
| 급한 사정 만들기 | '계정이 곧 동결된다', '지금만 복구 가능하다'며 시간을 압박 | 확인할 틈을 없앰 |
표를 한 줄로 요약하면, 수법의 차이는 껍데기일 뿐이고 마지막 요구는 늘 같다는 것입니다. 특히 두 번째가 자주 걸립니다. 공개된 곳에 "지갑이 안 열려요"라고 쓰면 몇 분 안에 여러 계정이 도움을 주겠다며 접근하는데, 정상 지원팀이 먼저 개인 메시지를 보내 단어를 묻는 일은 없습니다. 네 번째는 주소창을 안 보는 습관을 노리므로, 자주 쓰는 지갑·거래소는 검색 대신 북마크로만 들어가는 편이 안전합니다.
정상 요청과 사기 요청을 가르는 기준
헷갈릴 때 하나만 기억하면 됩니다. 정상 서비스는 내 지갑을 '읽을' 권한만 요구하고, 사기는 '가질' 권한을 요구합니다.
- 지갑 연결: 사이트가 내 지갑 주소와 잔액을 읽어 가는 동작입니다. 팝업에 뜨는 것은 어느 계정을 연결할지 고르는 화면이고, 여기에 단어를 넣는 칸은 없습니다.
- 복구 단어 입력: 지갑을 새로 만들거나 되살릴 때 내 기기의 지갑 앱에서만 하는 동작입니다. 웹사이트나 대화창에서 할 일이 아닙니다.
- 서명: 거래를 승인하는 동작입니다. 단어를 넘기지 않아도 서명 하나로 보유 토큰의 사용 권한을 통째로 넘길 수 있어, 무엇에 서명하는지 읽지 않으면 위험합니다.
정리하면 판별선은 이렇습니다. 화면이 단어 12개나 24개를 넣으라고 하면 그 자리에서 멈춥니다. 서명 창이 떴는데 무슨 내용인지 읽히지 않으면 그것도 멈춥니다. 이 두 지점만 지켜도 사고의 대부분이 막힙니다. 하드웨어 지갑을 쓰면 단어가 기기 밖으로 나오지 않아 입력 유도 자체에 강한데, 그 구조는 하드웨어 지갑 렛저·트레저 비교에서 다뤘습니다.
이미 입력했다면 — 대처 순서
가장 곤란한 상황입니다. 단어가 넘어간 지갑은 비밀번호를 바꿔도 소용없습니다. 비밀번호는 그 기기에서 앱을 여는 잠금장치일 뿐이고, 소유권은 단어가 쥐고 있기 때문입니다.
- 새 지갑을 먼저 만듭니다. 가능하면 감염 가능성이 없는 다른 기기에서 만듭니다.
- 값이 큰 자산부터 옮깁니다. 상대도 같은 지갑을 보고 있으므로 순서가 곧 결과입니다.
- 옛 지갑은 버립니다. 단어가 노출된 지갑은 되살릴 방법이 없습니다. 앞으로 그 주소로는 아무것도 받지 않습니다.
- 서명만 내준 경우라면 해당 사이트에 내준 토큰 사용 권한을 회수하고, 그래도 불안하면 역시 새 지갑으로 옮깁니다.
- 경로를 되짚습니다. 어떤 링크에서 들어갔는지 확인해 같은 경로로 다시 들어가지 않도록 합니다.
여기서 자주 하는 실수가 '일단 자산을 그대로 두고 지켜보는 것'입니다. 노출된 지갑은 시간이 지나 잊힐 때 비워지는 경우가 많습니다. 자산 규모가 커졌다면 아예 인터넷과 분리된 쪽으로 옮기는 것도 방법인데, 핫월렛과 콜드월렛의 차이는 코인 지갑 핫월렛 콜드월렛 차이에서 정리했습니다.
내가 이미 노출된 상태인가 — 자가진단 7가지
아래 중 '예'가 하나라도 있으면 지금 지갑을 옮기는 편이 안전합니다.
- 웹사이트나 대화창에 복구 단어를 입력한 적이 있는가
- 지갑 앱이 아닌 곳에서 단어를 불러 준 적이 있는가
- 검색 결과 상단 광고를 눌러 지갑·거래소에 접속한 적이 있는가
- 내용을 읽지 않고 서명 창을 확인만 누른 적이 있는가
- 단어를 스크린샷·클라우드·메신저에 남겨 둔 적이 있는가
- 먼저 연락해 온 '지원팀'과 화면을 공유한 적이 있는가
- 출처가 불분명한 지갑 앱이나 확장 프로그램을 설치한 적이 있는가
1번과 2번은 예 하나만으로 이미 노출로 봐야 합니다. 5번은 노출 가능성이며, 그 사본을 지운다고 이미 유출된 사실이 되돌아가지는 않습니다. 3·7번은 지금 당장 피해가 없더라도 경로가 열려 있다는 뜻이라, 확장 프로그램 목록부터 정리하는 편이 낫습니다.
보관 규칙은 표 하나로 — 유출 경로를 미리 없애기
입력 요구를 걸러 내는 것과 별개로, 애초에 단어가 온라인에 남아 있지 않아야 합니다. 지켜야 할 것과 피해야 할 것을 한 표로 압축하면 다음과 같습니다.
| 구분 | 하지 말 것 | 대신 이렇게 |
|---|---|---|
| 기록 | 스크린샷·사진 촬영 | 오프라인에서 종이·금속에 손으로 기록 |
| 저장 | 카톡·메모앱·이메일·클라우드 | 인터넷과 분리된 물리 보관 |
| 사본 | 한 장만 만들어 한곳에 | 두 곳 이상에 나눠 보관 |
| 공유 | 타인에게 알려 주기 | 누구에게도 공유 금지 |
| 확인 | 순서·철자 대충 넘기기 | 번호를 붙여 순서까지 재확인 |
시드 문구는 지갑을 만들 때 나오는 12개 또는 24개의 단어 묶음이고, BIP39 표준의 단어 목록에서 나옵니다. 단어가 맞아도 순서가 틀리면 복구되지 않으므로 순서까지가 열쇠입니다. 지갑을 만드는 단계부터 이 흐름을 안전하게 잡고 싶다면 코인 지갑 만드는 법과 안전 설정을 함께 보시면 됩니다.
정리 — 묻는 순간 사기, 읽지 않으면 위험
정리하면 ①지갑을 노리는 유도는 가짜 복구 화면·사칭 고객센터·이벤트 인증·가짜 도메인·시간 압박의 다섯 갈래이고 ②목적은 늘 단어 입력 아니면 악성 서명이며 ③정상 서비스는 지갑을 '읽는' 연결만 요구할 뿐 단어 입력창이 없고 ④이미 입력했다면 새 지갑을 만들어 값이 큰 것부터 옮기는 게 유일한 대처이며 ⑤보관 규칙은 단어를 온라인에 남기지 않는 것 하나로 압축된다는 점입니다. 오늘 할 수 있는 한 가지는, 자주 쓰는 지갑·거래소 주소를 북마크로 등록하고 앞으로 검색 결과 대신 그 북마크로만 들어가는 것입니다.
본 글은 공개 자료를 정리한 정보이며, 지갑 종류와 보안 권고는 시점에 따라 바뀝니다. 특정 지갑·코인 이용을 권유하지 않으며, 시드 문구 관리 책임은 전적으로 본인에게 있습니다. 시드 문구는 어떤 상황에서도 타인에게 공유하거나 온라인에 입력하지 마세요.
자주 묻는 질문
Q: 지갑을 사이트에 연결하는 것도 위험한가요? A: 연결 자체는 시드를 넘기는 동작이 아닙니다. 사이트가 내 지갑 주소와 잔액을 읽어 가는 정도이고, 팝업에는 어느 계정을 연결할지 고르는 화면만 뜹니다. 위험은 그다음 단계인 서명에서 생깁니다. 연결한 사이트가 토큰 사용 권한을 요구하는 서명을 띄우면 내용을 읽어야 하며, 무엇에 서명하는지 모르겠으면 거기서 멈추는 편이 안전합니다.
Q: 시드 문구를 사진으로 찍어 두면 안 되나요? A: 권장하지 않습니다. 사진은 갤러리와 연결된 클라우드로 자동 동기화되는 경우가 많고, 기기나 계정이 해킹되면 그 사진으로 시드가 통째로 유출될 수 있습니다. 스크린샷·사진·메신저·클라우드처럼 온라인에 남는 방식은 모두 피하고, 종이나 금속에 손으로 기록해 물리적으로 보관하는 것이 안전하다고 언급됩니다.
Q: 가짜 사이트인지 어떻게 구별하나요? A: 겉모습으로 구별하려 하면 대부분 실패합니다. 진짜 화면을 그대로 복사해 두기 때문입니다. 그래서 판별은 모양이 아니라 요구 내용으로 합니다. 복구 단어를 넣으라는 칸이 있으면 그 자체가 가짜라는 증거입니다. 접속 경로도 함께 관리하는 편이 안전합니다. 검색 결과 상단 광고에는 철자를 한 글자 바꾼 주소가 섞이는 것으로 거론되므로, 자주 쓰는 곳은 북마크로만 들어가면 이 경로가 통째로 막힙니다.
Q: 거래소나 지갑 고객센터가 시드 문구를 물어보면요? A: 사기로 보는 것이 안전합니다. 정상적인 지갑·거래소·고객센터는 어떤 경우에도 시드 문구를 요구하지 않습니다. '지갑 동기화', '복구 인증', '에어드랍 참여' 등을 이유로 시드를 입력하라거나 알려 달라는 요청은 예외 없이 피싱으로 거론됩니다. 시드는 누구에게도, 어떤 사이트에도 입력하지 마세요.
Q: 이미 단어를 입력해 버렸는데 아직 자산이 남아 있습니다. A: 남아 있다고 안전한 상태가 아닙니다. 단어가 넘어간 지갑은 비밀번호를 바꿔도 소유권이 그대로 상대에게 있고, 시간이 지나 잊힐 무렵 비워지는 경우가 많은 것으로 거론됩니다. 새 지갑을 다른 기기에서 만들어 값이 큰 자산부터 옮기고, 옛 지갑은 앞으로 쓰지 않는 것이 유일한 대처입니다. 그 주소로는 새로 받지도 마세요.
Q: 하드웨어 지갑을 쓰면 시드 백업을 안 해도 되나요? A: 아닙니다. 하드웨어 지갑도 처음 설정할 때 시드 문구가 생성되며, 기기가 고장·분실되면 그 시드로 다른 기기에서 복구해야 합니다. 다만 하드웨어 지갑은 시드가 기기 밖으로 노출되지 않아 온라인 입력 유도에 강한 장점이 있는 것으로 거론됩니다. 그래도 시드 문구 자체의 오프라인 백업은 여전히 필수입니다.
본 콘텐츠는 정보 제공 목적이며 투자 권유가 아닙니다. 투자 결정과 손익은 본인 책임입니다. 필자는 등록 사업자가 아니며, 모든 개념은 작성 시점 기준 공개 출처를 참고했습니다. 지갑 보안 권고와 표준은 작성 이후 변동할 수 있으므로, 실제 이용 전 각 지갑 공식 안내에서 최신 내용을 확인하세요.