지갑에 모르는 코인이 들어왔을 때 — 한 줄 요약
결론부터 말하면, 요청하지 않은 낯선 토큰이 지갑에 들어와 있다면 대부분 공격 시도이며, 가장 안전한 대처는 건드리지 않고 무시하는 것입니다. 검색해서 들어오신 분이 가장 먼저 궁금해하는 지점만 짚으면 이렇습니다. 첫째, 지갑 주소는 공개돼 있어 누구나 내 지갑으로 아무 토큰이나 보낼 수 있습니다. 그러니 모르는 코인이 들어온 것 자체는 내 지갑이 뚫렸다는 뜻이 아닙니다. 둘째, 위험은 그 토큰을 클릭하거나, 사이트에 연결하거나, 스왑·승인하려는 순간 시작됩니다. 대개 '토큰을 받으려면 여기로'라는 미끼로 지갑 권한을 노립니다. 셋째, 그러니 원칙은 하나입니다. 받은 토큰과 그에 딸린 링크·메시지를 절대 누르지 말고 그대로 두는 것입니다. 이 글은 대처법을 정리한 자료이며 특정 코인의 매매를 권유하지 않습니다.
지갑을 열었다가 사 본 적 없는 토큰이 잔고에 찍혀 있으면 누구나 덜컥합니다. 그러나 앞서 말했듯 주소는 공개 정보라 남이 무엇이든 보낼 수 있고, 받은 것만으로는 아무 일도 일어나지 않습니다. 문제는 그다음, 내가 반응하는 순간입니다.
왜 모르는 코인이 지갑에 들어오나 — 세 가지 유형
낯선 토큰이 들어오는 경로는 대체로 세 가지입니다. 유형을 알면 왜 무시가 정답인지 이해가 됩니다.
| 유형 | 노리는 것 | 안전한 대응 |
|---|---|---|
| 더스팅(먼지 뿌리기) | 지갑 추적·후속 피싱 | 무시 |
| 스캠 에어드랍 토큰 | 클레임 유도 후 권한 탈취 | 상호작용 금지 |
| 주소 오염 | 복붙 재사용으로 오송금 | 이력 복붙 금지 |
표를 한 줄로 요약하면, 셋 다 '내가 먼저 행동하지 않으면' 피해로 이어지지 않는다는 것입니다. 받은 토큰은 그저 잔고에 표시될 뿐, 스스로 내 자산을 빼가지 못합니다. 아래에서 하나씩 봅니다.
유형 1 — 더스팅 공격(먼지 뿌리기)
더스팅은 아주 적은 금액의 코인·토큰(먼지, dust)을 수많은 지갑에 뿌리는 수법입니다. 목적은 그 먼지가 이후 어디로 움직이는지 추적해 지갑 주인의 정체나 다른 지갑과의 연결을 알아내는 것입니다. 때로는 뒤이어 피싱 메시지를 붙이기도 합니다.
대처는 간단합니다. 그냥 두면 됩니다. 먼지를 옮기거나 팔려고 건드릴수록 추적에 좋은 단서를 줄 뿐입니다. 특히 먼지에 딸려 온 메모(메시지), 링크, '에어드랍 안내' 같은 문구는 절대 클릭하지 마세요. 반응 자체가 공격자에게 '살아 있는 지갑'임을 알려 주는 신호가 됩니다.
유형 2 — 스캠 에어드랍 토큰(클레임 유도)
지갑에 그럴듯한 이름의 토큰이 들어오고, 검색해 보면 '이 토큰을 받으려면 특정 사이트에서 클레임하라'는 안내가 나오는 경우입니다. 그 사이트에 지갑을 연결하고 서명·승인을 누르는 순간, 지갑의 자산 사용 권한을 통째로 내주게 되는 것이 함정입니다.
- 미끼: 값이 커 보이는 토큰이 들어와 '지금 안 팔면 손해'라는 조급함을 자극합니다.
- 함정: 클레임·스왑을 하려면 사이트 연결과 승인(approve)이 필요한데, 이 승인이 사실은 내 진짜 자산을 빼갈 권한입니다.
- 원칙: 내가 참여한 적 없는 에어드랍 토큰은 연결도, 승인도, 스왑도 하지 않습니다. 정상 프로젝트는 이런 식으로 지갑 권한부터 요구하지 않습니다.
간혹 '팔 수는 있게 해 놓은' 허니팟 토큰도 있는데, 막상 매도하려면 또 다른 승인을 요구하며 자산을 노립니다. 러그풀·스캠의 다른 신호까지 함께 알아 두려면 스캠코인·러그풀 온체인으로 거르는 법을 참고하세요.
유형 3 — 주소 오염(복붙 함정), 가장 위험
셋 중 실제 금전 피해가 가장 큰 것이 주소 오염(address poisoning)입니다. 공격자는 내가 자주 쓰는 상대 주소와 앞뒤 몇 글자가 똑같고 가운데만 다른 가짜 주소를 만들어, 내 거래 이력에 먼지 거래를 하나 남깁니다. 그러면 다음에 송금할 때 이력에서 주소를 복사·붙여넣기 하다가 그 가짜 주소를 골라 공격자에게 그대로 보내 버리는 것입니다. 실제로 한 투자자가 이 수법으로 약 1,240만 달러 규모의 이더리움을 잃은 사례가 보고됐습니다.
- 작동 원리: 이력에 심어 둔 유사 주소 → 복붙 재사용 → 오송금.
- 위험한 이유: 블록체인 송금은 되돌릴 수 없어, 한 번 잘못 보내면 회수가 사실상 불가능합니다.
- 핵심 방어: 주소는 거래 이력에서 복사하지 말고, 상대에게 받은 원본이나 저장해 둔 주소록(화이트리스트)에서 가져오고, 보내기 전 앞뒤뿐 아니라 가운데 글자까지 전부 대조하세요.
절대 하지 말아야 할 것과 안전한 정리법
낯선 토큰을 마주했을 때의 행동 원칙을 정리하면 이렇습니다.
- 누르지 않기: 토큰과 그에 딸린 메모·링크·안내 문구를 클릭하지 않습니다.
- 연결하지 않기: 출처 모를 사이트에 지갑을 연결하거나 서명·승인하지 않습니다.
- 옮기지 않기: 먼지 토큰을 굳이 팔거나 다른 지갑으로 보내지 않습니다.
- 숨기기: 대부분의 지갑은 특정 토큰을 목록에서 숨기는(hide) 기능이 있어, 눈에 거슬리면 표시만 감추면 됩니다.
- 주소는 화이트리스트에서: 송금은 저장된 주소록이나 원본에서 가져오고, 큰 금액은 소액 테스트 전송으로 먼저 확인합니다.
이미 상호작용했다면 — 피해 최소화 순서
만약 실수로 사이트에 연결하고 승인까지 눌렀다면, 늦기 전에 권한을 회수해야 합니다.
- 승인 취소(revoke): 지갑이 특정 사이트·컨트랙트에 준 자산 사용 권한을 취소합니다. 방법은 토큰 승인(approve) 취소하는 법에 정리돼 있습니다.
- 자산 이전: 이미 시드 문구를 입력했거나 지갑이 통째로 노출됐다고 판단되면, 새 지갑을 만들어 남은 자산을 안전하게 옮깁니다.
- 거래 확인: 어떤 트랜잭션이 오갔는지는 블록 익스플로러로 확인할 수 있습니다. 블록 익스플로러 사용법을 참고하세요.
핵심은 순서입니다. 먼저 권한을 끊고(revoke), 그다음 자산을 옮기며, 확인은 익스플로러로 합니다. 시드 문구 자체를 남에게 입력한 경우라면 그 지갑은 더 이상 안전하지 않다고 보고 자산을 통째로 이전하는 편이 안전합니다.
자가진단 체크리스트
아래 항목 중 '예'가 많을수록 위험한 대응입니다. 스스로 점검해 보세요.
- 들어온 낯선 토큰의 이름을 검색해 사이트에 접속해 본 적이 있다
- '토큰을 받으려면 연결하라'는 안내에 지갑을 연결한 적이 있다
- 송금할 때 거래 이력에서 주소를 복사해 붙여 넣는다
- 주소를 확인할 때 앞뒤 몇 글자만 보고 가운데는 안 본다
- 먼지 토큰이 거슬려서 팔거나 옮기려고 한 적이 있다
- 지갑이 어떤 사이트에 승인을 줬는지 점검해 본 적이 없다
세 번째와 네 번째가 특히 위험합니다. 주소 오염은 바로 이 복붙 습관을 노립니다. 이력이 아니라 저장된 주소록에서 가져오고, 보내기 직전 주소 전체를 대조하는 습관만으로도 가장 큰 피해를 막을 수 있습니다.
정리 — 받은 것은 죄가 없다, 반응이 문제다
정리하면 ①지갑 주소는 공개돼 있어 누구나 토큰을 보낼 수 있고 ②받은 것만으로는 피해가 없으며 ③위험은 클릭·연결·승인·복붙에서 시작됩니다. 더스팅은 무시, 스캠 에어드랍은 상호작용 금지, 주소 오염은 이력 복붙 금지가 답입니다. 오늘 할 수 있는 한 가지는, 지갑을 열어 낯선 토큰을 발견하면 아무것도 누르지 말고 그대로 숨긴 뒤, 앞으로 송금은 저장된 주소록에서만 하도록 습관을 바꾸는 것입니다.
본 글은 공개된 보안 안내와 일반적인 지갑 사용 관행을 종합해 초보 이해를 돕기 위한 자료이며, 특정 코인의 매매나 수익을 권유하지 않습니다. 지갑·토큰의 표시 방식과 기능은 지갑 앱에 따라 다를 수 있으므로 실제 이용 전 사용하는 지갑의 안내를 확인하세요. 투자 판단과 책임은 본인에게 있습니다.
자주 묻는 질문
Q: 모르는 코인이 들어왔다는 건 지갑이 해킹당한 건가요? A: 아닙니다. 지갑 주소는 공개 정보라 누구나 내 지갑으로 아무 토큰이나 보낼 수 있습니다. 낯선 토큰이 들어온 것 자체는 지갑이 뚫렸다는 뜻이 아니며, 받은 것만으로는 자산이 빠져나가지 않습니다. 위험은 그 토큰을 클릭하거나, 딸려 온 사이트에 지갑을 연결하고 서명·승인하는 순간에 시작됩니다. 그러니 발견하면 건드리지 말고 그대로 두는 것이 가장 안전합니다.
Q: 그냥 팔거나 다른 지갑으로 옮기면 안 되나요? A: 권하지 않습니다. 먼지 토큰을 옮기거나 팔려고 건드리면 추적에 단서를 주고, 스캠 토큰은 매도·스왑 과정에서 또 다른 승인을 요구하며 자산을 노리는 경우가 많습니다. 거슬린다면 대부분의 지갑이 제공하는 '토큰 숨기기(hide)' 기능으로 목록에서 표시만 감추면 됩니다. 굳이 상호작용하지 않는 것이 원칙입니다.
Q: 주소 오염 공격은 어떻게 피하나요? A: 송금할 때 거래 이력에서 주소를 복사·붙여넣기 하지 않는 것이 핵심입니다. 공격자는 내가 쓰던 주소와 앞뒤가 똑같고 가운데만 다른 가짜 주소를 이력에 심어 두기 때문입니다. 주소는 상대에게 받은 원본이나 저장해 둔 주소록에서 가져오고, 보내기 전 앞뒤뿐 아니라 가운데 글자까지 전부 대조하세요. 큰 금액은 소액을 먼저 보내 확인하는 테스트 전송이 안전합니다.
Q: 실수로 사이트에 지갑을 연결하고 승인을 눌렀어요. 어떻게 하나요? A: 먼저 그 사이트·컨트랙트에 준 자산 사용 권한을 취소(revoke)하세요. 승인 취소 도구로 어떤 권한을 줬는지 확인하고 해지할 수 있습니다. 그다음 남은 자산이 걱정되면 새 지갑으로 옮깁니다. 만약 시드 문구(복구 문구) 자체를 어딘가에 입력했다면 그 지갑은 더 이상 안전하지 않으므로, 자산을 통째로 새 지갑으로 이전하는 편이 안전합니다.
Q: 먼지 토큰을 받으면 세금이나 수수료가 발생하나요? A: 받는 것 자체로 수수료가 나가지는 않습니다. 전송 수수료(가스비)는 보내는 쪽이 부담하기 때문입니다. 문제는 내가 그 토큰을 옮기거나 스왑하려 할 때인데, 그 순간 가스비가 나가고 스캠이라면 그 과정에서 자산이 노려집니다. 그러니 비용 측면에서도 건드리지 않고 두는 것이 가장 이득입니다.
Q: 지갑이 어떤 사이트에 권한을 줬는지 어떻게 확인하나요? A: 승인(approve) 관리·취소 도구나 지갑의 연결된 사이트 목록에서 확인할 수 있습니다. 과거에 여러 사이트를 연결해 왔다면, 쓰지 않는 오래된 승인은 주기적으로 취소해 두는 것이 좋습니다. 승인이 남아 있으면 그 컨트랙트가 내 특정 토큰을 옮길 권한을 계속 갖고 있는 셈이라, 정기적인 점검이 지갑 보안의 기본입니다.
본 콘텐츠는 정보 제공 목적이며 투자 권유가 아닙니다. 투자 결정과 손익은 본인 책임입니다. 필자는 등록된 투자자문업자가 아니며, 모든 설명은 작성 시점 기준 공개 출처와 일반적인 지갑 보안 관행을 종합했습니다. 지갑·토큰의 표시와 기능은 앱과 정책, 시점에 따라 달라질 수 있으므로 실제 이용 전 사용하는 지갑의 안내를 확인하세요.