모두
모두콘텐츠
얼마 전 거래소 계정이 곧 정지된다는 문자를 받았다. 남은 자산을 지키려면 바로 인증하라는 내용이었다. 이런 메시지를 보면 시세창보다 먼저 확인할 숫자가 있다. 누가 얼마를 요구하는지, 내 지갑에 어떤 권한을 달라는지다. 코인피싱은 불안한 사람에게 생각할 시간을 주지 않는다.
1. 송금 요구액이 0원인지 본다
거래소나 기관을 사칭하는 메시지는 계정 동결, 휴면 자산 소각, 피해금 환급처럼 급한 이유를 붙인다. 이후 인증비나 출금 수수료를 먼저 보내라고 한다. 한국인터넷진흥원은 2025년 4월, 기관 직원을 사칭해 가상자산 피해를 환급해 주겠다며 지갑 개설 수수료 100만원을 요구한 사례를 알렸다. 가짜 환급 계좌 화면과 보도자료까지 동원한 수법이다.
여기서 볼 숫자는 약속한 환급액이 아니라 선입금액이다. 화면에 1억원이 찍혀 있어도 실제로 인출할 수 없다면 그 숫자는 증거가 아니다. 반면 지금 보내라는 100만원은 내 계좌에서 바로 빠져나간다. 나는 환급이나 계정 보호를 이유로 먼저 돈을 요구받는 순간 대화를 멈추고, 평소 쓰던 거래소 앱을 직접 열어 공지와 계정 상태를 확인한다.
2. 인증 요청은 내가 시작한 건수와 맞춘다
비밀번호만 지키면 된다고 생각하기 쉽다. 그런데 피싱 화면에서 직접 로그인을 하거나, 상대가 보낸 QR코드를 스캔하고 추가 인증을 승인하면 이야기가 달라진다. 업비트도 본인이 요청하지 않은 QR 로그인과 2채널 인증 요청을 승인하지 말라고 안내한다. 이메일로 비밀번호, OTP, 개인 키, 복구 문구를 요구하지 않는다는 점도 명시했다.
판단 기준은 간단하다. 내가 시작한 로그인이나 출금이 0건인데 인증 알림이 1건 왔다면 그 1건을 승인할 이유도 0건이다. 발신자 이름이나 로고가 그럴듯한지는 다음 문제다. 특히 복구 문구 12개 또는 24개를 입력하라는 화면은 계정 확인 절차로 받아들이면 안 된다. 문구가 넘어가면 상대가 지갑을 복원할 수 있다.
3. 온체인에서는 보낸 금액보다 승인 한도를 본다
개인지갑 피싱은 거래소 계정 피싱과 흔적이 다르다. 가짜 이벤트 화면에서 지갑을 연결한 뒤 토큰 사용 승인을 누르게 한다. 이때 코인이 바로 이동하지 않아도 안전하다는 뜻은 아니다. 승인 거래는 특정 주소가 내 토큰을 사용할 수 있는 한도를 남긴다. 이더리움 안내도 지갑 연결을 끊는 것과 토큰 사용 권한을 취소하는 것은 별개라고 설명한다.
예를 들어 지갑에 1,000 USDT가 있는데 낯선 계약에 1,000,000 USDT 사용을 승인했다면, 당장 빠져나간 금액이 0이어도 노출된 한도는 잔고보다 훨씬 크다. 이 수치는 설명을 위한 가정이다. 실제 점검에서는 해당 체인의 블록 탐색기에서 거래 해시, 승인 대상 주소, 토큰 종류, 허용 한도를 함께 본다. 자금 이동 내역만 확인하면 아직 쓰이지 않은 권한을 놓칠 수 있다.
수상한 승인을 했다면 안전한 경로로 권한을 조회해 취소하고, 복구 문구까지 노출됐다면 남은 자산을 새 지갑으로 옮기는 쪽이 맞다. 권한 취소 거래에는 네트워크 수수료가 들고 체인마다 확인 절차가 다르다. 이미 확정된 전송을 취소하는 기능으로 오해해서도 안 된다.
4. 피해 뒤에는 시간과 거래 해시를 남긴다
피해가 의심되면 먼저 추가 승인과 송금을 멈춘다. 거래소 계정이라면 공식 앱에서 비밀번호와 인증 설정을 점검하고 고객센터에 금융사고를 알린다. 개인지갑이라면 의심 거래의 해시, 상대 지갑 주소, 체인, 토큰 수량, 발생 시각을 기록한다. 메시지와 입금 요구 화면도 보관한다. 경찰 사이버범죄 신고시스템은 신고 때 이체내역과 대화내역 같은 증빙을 첨부하도록 안내한다. 긴급한 범죄 신고는 112, 스미싱 상담은 한국인터넷진흥원 118을 이용할 수 있다.
온체인 거래는 해시로 이동 경로를 확인할 수 있지만, 그 사실만으로 환급이 보장되지는 않는다. 이미 잃은 코인을 되찾아 주겠다며 비용을 먼저 달라는 연락도 경계해야 한다. 거래할 때 손절 가격을 미리 정하듯, 인증과 출금에도 중단 기준을 정해 두는 편이 낫다. 급하다는 메시지 앞에서 한 번 멈추는 비용은 몇 초지만, 잘못 승인한 권한의 비용은 지갑 잔고 전체가 될 수 있다.
