MSTR Cat

가상자산법/레벨 IV · 보유자의 함정/4.2 법이 보는 사기/수업 3

지갑 도둑질 및 승인 사기

웹사이트에 제공하는 서명이 어떻게 다른 사람이 사용자의 지갑을 비울 수 있게 하는지, 토큰 표준이 실제로 허용하는 범위는 무엇인지, 그리고 기망을 통해 동의를 얻은 경우 법적으로는 어떻게 되는지.

교육 목적이며 법률, 세무 또는 투자 자문이 아닙니다. 가상자산 관련 법은 국가와 주(州)마다 다르며 자주 바뀝니다. 행동하기 전에 거주지의 현행 규정을 자격을 갖춘 변호사나 세무사에게 확인하세요.

가장 가벼운 길

법이 허용하는 범위에서 가장 저렴하고, 세금이 가장 적고, 가장 간단하며, 가장 사적인 방법을 우선순위대로 정리했습니다. 각 단계마다 근거가 되는 규정과 합법성을 유지하는 조건을 밝힙니다.

  1. 무료 최우선 조치: 모든 서명 요청을 읽고, 메시지·광고·에어드롭으로 접속한 사이트에서의 서명을 허용하지 않으며 무제한 승인(revoke)을 거부하세요. ERC-20 승인 및 ERC-2612 퍼밋(permit)은 사용, 취소 또는 만료될 때까지 유효합니다.
  2. FBI가 권장하는 대로 블록 익스플로러의 토큰 승인 확인기를 사용하여 방치된 승인을 취소하세요. 각 취소에는 네트워크 수수료만 발생하며 이전의 탈취를 되돌릴 수 없습니다.
  3. 대부분의 자산을 웹사이트에 절대 연결하지 않는 별도의 지갑에 보관하고, 앱 사용은 저잔액 지갑으로 하세요. 본인 명의 지갑 간 이체는 미국에서 과세 대상이 아니지만 각 이체에 대한 취득가액(cost basis) 기록을 유지하세요.
  4. 자금 인출(drain) 직후 해시를 기록하고 ic3.gov에 즉시 무료로 신고하세요. 거래소로 유입되거나 동결 가능한 스테이블코인인 경우 자금이 때때로 동결될 수 있습니다. 사이트에 문구를 입력하는 것은 모든 자산을 새 지갑으로 이동시키는 것을 의미합니다.

준비물ERC-20 토큰 표준 문서, approve 및 transferFrom 관련 섹션 (eips.ethereum.org)서명된 메시지를 통해 승인을 부여할 수 있게 해주는 ‘퍼밋’ 확장 기능인 ERC-2612유동성 채굴(liquidity mining) 사기에 관한 FBI 공공 서비스 광고 I-072122-PSA (2022년 7월 21일)자신의 주소에 대한 승인 내역을 확인하는 데 사용되는 블록 엑스플로러의 토큰 승인 체커입니다.

호기심

  1. 시드 문구를 아무에게도 말하지 않았는데, 어떻게 제 지갑을 비울 수 있나요?
  2. 웹사이트에서 연결하거나 로그인하라고 할 때, 도대체 무엇에 동의하는 걸까요?
  3. 제가 직접 ‘승인’을 눌렀다면, 법적으로도 여전히 절도에 해당하나요?

탐구

  1. 지갑 드레이너(wallet drainer)는 지갑 소유자를 속여 공격자가 해당 소유자의 자산을 이동시킬 수 있도록 하는 서명을 하게 만드는 악성 웹사이트, 앱 또는 스마트 컨트랙트입니다. 도난당한 시드 문구(4.1.5절)와 달리 소유자 자신의 서명이 사용되기 때문에 지갑은 이를 정상적인 거래로 간주합니다. 지갑을 특정 사이트에 연결하면 일반적으로 공개 주소만 공유됩니다; 위험은 그 후에 이루어지는 승인 또는 서명 요청에 있습니다. 드레이너는 가짜 에어드랍, 가짜 민트(mint) 페이지, 모방 사이트, 검색 광고, 그리고 가짜 ‘지원(support)’ 메시지를 통해 유입됩니다(4.2.4절). 결과적으로 일반적인 블록체인 전송이 이루어지기 때문에 어떤 운영자도 이를 되돌릴 수 없습니다(1.1.6절).
  2. 이 메커니즘은 토큰 표준에서 비롯됩니다. 이더리움 및 유사한 체인상의 대부분의 토큰들은 ERC-20을 따릅니다. ‘approve’ 함수를 사용하면 ‘지출자’가 설정한 금액까지 여러 번에 걸쳐 사용자의 계정에서 자금을 인출할 수 있으며, ‘transferFrom’을 통해 그 지출자가 토큰들을 이동시킵니다. 탈중앙화 거래소와 기타 앱들은 정당한 목적으로 이러한 승인 기능을 사용하며, 많은 인터페이스는 편의를 위해 매우 큰 금액이나 ‘무제한’ 금액을 요청합니다. 승인은 사용되거나 변경될 때까지 유효합니다. 따라서 악성 컨트랙트에 부여된 승인은 며칠 또는 몇 달 후에도 해당 유형의 모든 토큰을 가져가는 데 사용될 수 있으며, 이는 사용자가 승인을 한 이후에 받은 토큰들까지 포함합니다.
  3. 두 가지 새로운 기능이 위험을 더욱 키우고 있습니다. 최종 확정된 이더리움 표준인 ERC-2612는 온체인 거래 대신 서명된 메시지를 통해 승인을 설정하는 permit 기능을 추가합니다. 서명을 가진 사람이라면 만기일 전에 언제든지 그 서명을 제출할 수 있습니다. 따라서 ‘로그인하려면 서명하세요’ 또는 ‘수령하려면 서명하세요’와 같은 메시지가 나타나는 팝업도 permit일 수 있으며, 이 경우 비용도 거래도 발생하지 않아 사용자는 아무런 경고를 받지 못합니다. NFT의 경우 ERC-721 표준의 setApprovalForAll 기능을 통해 ‘운영자(operator)’가 소유자의 컬렉션에 있는 모든 토큰을 관리할 수 있습니다. 일부 드레이너는 승인 과정을 생략하고 가짜 양식을 통해 시드 문구를 요구하여 사용자의 지갑 전체를 장악합니다.
  4. FBI는 이러한 패턴들을 문서로 기록해 두었습니다. 2022년 7월에 발표된 ‘유동성 채굴(liquidity mining)’ 사기에 관한 경고에서는 피해자들이 하루에 1~3%의 확실한 수익을 약속받았으며, 자신의 지갑을 연동시키고 지갑 인터페이스와 유사하게 만들어진 팝업 창을 받아들임으로써 사기범들이 무제한으로 자금을 인출할 수 있도록 모르는 사이에 허용해 주었다고 설명했습니다. 2019년 1월 이후 발생한 손실액은 7천만 달러가 넘습니다. 2025년 6월의 경고에서는 Hedera 네트워크상에서 이루어지는 NFT ‘에어드롭’에 대해 언급했으며, 그 메모 링크들은 시드 문구를 요구하는 사이트로 연결되었습니다. 두 경고 모두 이러한 행위를 절도로 간주하고 있으며, FBI는 정기적으로 제3자 토큰 허용량 확인 도구를 사용할 것을 권장합니다.
  5. 미국 법률상 기망을 통해 얻은 동의는 진정한 동의로 간주되지 않습니다. 인터넷을 이용해 거짓 수단으로 재산을 취득하는 행위는 18 U.S.C. §1343에 따라 유선 사기(wire fraud)에 해당하며, 최대 20년의 징역형에 처해질 수 있습니다. 또한 주법상의 절도법도 일반적으로 기망을 통해 취득된 재산을 규제합니다. 소송을 제기하거나 기소할 수 있다는 것과 자산을 되찾는 것은 별개의 문제인데, 이는 드레이너 운영자들이 종종 익명으로 해외에 있기 때문입니다. 세금 관련으로는 IRS의 202511015호 법률 자문 메모에서 피싱이나 해킹된 계좌로 인한 손실, 그리고 투자 목적으로 보유된 계좌의 손실도 공제 가능한 절도 손실로 간주했습니다. 이는 은행 및 연금 계좌에 관한 것이므로, 드레이너 공격으로 비워진 지갑의 경우에도 구체적인 상황에 따라 적용 여부가 달라집니다.
  6. 실용적인 확인 방법: 서명 요청이 실제로 무엇을 허가하는지, 즉 지출자(spender)의 주소와 금액까지도 꼭 확인해야 합니다. 메시지, 광고, 에어드롭을 통해 접속한 사이트의 모든 요청은 의심스러운 것으로 간주해야 하며, 승인 확인 도구를 사용하여 이전에 내린 승인들을 검토하고 취소해야 합니다. 승인을 취소하는 것 자체도 네트워크 수수료가 발생하는 거래이며, 이미 일어난 도난 사건은 되돌릴 수 없습니다. 만약 시드 문구를 웹사이트에 입력한 적이 있다면, 단순히 승인을 취소하는 것만으로는 충분하지 않으며, 지갑 전체가 노출되기 때문입니다. 자금이 유출된 후에는 거래 해시와 주소를 기록하여 즉시 신고해야 합니다(4.2.7절 참조). 왜냐하면 거래소나 동결 가능한 스테이블코인으로 들어간 자금은 때때로 동결될 수 있기 때문입니다.

핵심 사실

  • ERC-20 표준에 따라, approve를 통해 지출자(spender)는 승인된 금액 범위 내에서 계정에서 여러 번 자금을 인출할 수 있습니다.
  • ERC-20의 transferFrom 함수는 승인된 지출자(spender)가 소유자를 대신하여 토큰을 이동시킬 수 있게 해줍니다.
  • ERC-2612는 소유자가 온체인 트랜잭션을 보내는 대신 서명된 메시지를 사용하여 토큰 할당량을 변경하는 퍼밋 함수를 추가합니다.
  • ERC-721 함수인 setApprovalForAll은 운영자가 해당 계약 내에 있는 소유자의 모든 NFT를 관리할 수 있도록 허용합니다.
  • FBI 경고 I-072122-PSA에 따르면, 지갑 권한을 악용한 유동성 채굴(liquidity mining) 사기로 인해 2019년 1월 이후 7천만 달러가 넘는 피해가 발생했습니다.
  • 미국 연방법 제18편 §1343에 따른 유선 사기(wire fraud)는 최대 20년의 징역형에 처해질 수 있으며, 금융기관이 피해를 입은 경우에는 최대 30년의 형벌이 부과됩니다.

연습 아홉, 여섯, 셋, 하나

9모으기연결, 승인, permit, 전체 승인 설정(set approval for all), 메시지 서명, 시드 문구 입력, 에어드랍 청구 등 본 적이 있는 지갑 프롬프트나 요청을 최대 9가지까지 나열해 주세요.
6묶기주소 공유, 토큰 승인, 서명된 메시지, NFT 운영자 승인, 직접 전송, 비밀 키 또는 시드 문구 요청의 6가지 카테고리로 분류하세요.
3추리기6가지 카테고리를 3단계의 위험 수준으로 줄입니다: 단독으로는 해롭지 않음, 사이트가 악성인 경우 위험함, 어떤 웹사이트에게도 절대 안전하지 않음.
1결정화지갑에서 승인 요청에 서명하기 전에 알고 싶은 내용을 1문장으로 작성해 주세요.

팩트 체크

날짜, 수치 및 주장은 아래에 명시된 출처들을 통해 확인되었습니다.

인터랙티브 아카데미에서 열기 →

EN PT ES ZH JA RU DE FR MS