코인을 보내지 않았는데 서명만으로 피해가 발생할 수 있는 이유

서명만으로 자산이 사라지는 암호화폐의 함정

암호화폐를 거래하거나 탈중앙화 금융(DeFi) 서비스를 이용할 때 우리는 흔히 ‘지갑 연결’과 ‘서명’이라는 과정을 거칩니다. 많은 사용자가 “코인을 직접 보내지 않았으니 내 지갑은 안전하다”고 생각하지만, 이는 매우 위험한 오해입니다. 실제로 코인을 전송하지 않아도, 단순히 잘못된 서명 버튼을 누르는 것만으로 지갑에 있는 모든 자산이 순식간에 탈취당할 수 있습니다. 이번 가이드에서는 서명이 왜 위험한지, 어떤 원리로 자산이 탈취되는지, 그리고 어떻게 예방해야 하는지 상세히 알아보겠습니다.

서명이란 무엇이며 왜 위험한가요

블록체인에서 서명이란 사용자가 자신의 개인 키(Private Key)를 사용해 특정 트랜잭션이나 메시지에 동의한다는 것을 증명하는 행위입니다. 서명은 단순히 ‘로그인’을 하는 과정이 아니라, 블록체인 네트워크에 “이 지갑 주소의 권한을 해당 스마트 컨트랙트에게 위임하겠다” 혹은 “특정 자산을 특정 주소로 이동하는 것을 승인한다”는 명령을 내리는 것과 같습니다.

문제는 사용자가 서명하는 내용의 실체를 정확히 파악하기 어렵다는 점입니다. 메타마스크와 같은 지갑은 서명 요청이 들어오면 팝업을 띄우지만, 일반적인 사용자들은 영어로 된 복잡한 코드나 ‘Approve’, ‘Permit’, ‘SetApprovalForAll’과 같은 문구를 보고 내용을 상세히 읽지 않은 채 ‘확인’ 버튼을 누르곤 합니다. 공격자들은 바로 이 심리를 이용해 사용자가 자신의 지갑에 대한 통제권을 스스로 넘겨주도록 유도합니다.

서명만으로 피해가 발생하는 핵심 원리

서명만으로 피해가 발생하는 가장 대표적인 이유는 ‘권한 위임’ 때문입니다. 블록체인 생태계에는 특정 스마트 컨트랙트가 사용자의 지갑 대신 토큰을 옮길 수 있도록 허용하는 기능이 있습니다. 이를 ‘승인(Approval)’이라고 부릅니다. 공격자는 가짜 사이트를 만들어 “무료 에어드랍을 받으려면 서명하세요” 혹은 “지갑 연동 오류를 해결하려면 서명하세요”라는 문구로 사용자를 속입니다. 사용자가 이 서명을 완료하면, 공격자의 스마트 컨트랙트가 해당 지갑의 모든 토큰을 자유롭게 인출할 수 있는 권한을 얻게 됩니다.

위험한 서명 요청의 유형과 특징

범죄자들은 다양한 방식으로 사용자의 서명을 유도합니다. 대표적인 유형을 알고 있어야 피해를 예방할 수 있습니다.

• 무제한 토큰 승인 요청: 가장 흔한 수법입니다. 특정 토큰을 거래할 때 해당 토큰 전체에 대한 접근 권한을 요구합니다. 한 번 승인하면 지갑에 있는 해당 코인은 언제든 공격자가 가져갈 수 있습니다.
• NFT 전체 승인: NFT 마켓플레이스에서 흔히 쓰이는 ‘SetApprovalForAll’ 기능입니다. 특정 NFT 하나가 아니라, 지갑에 있는 모든 NFT에 대한 제어권을 공격자에게 넘겨주는 위험한 서명입니다.
• EIP 712 메시지 서명: 최근 유행하는 고도화된 수법입니다. 단순히 코인을 옮기는 것이 아니라, ‘오프체인’에서 서명을 받아 이를 이용해 나중에 공격자가 트랜잭션을 실행하는 방식입니다. 화면에 보이는 내용이 실제로는 다른 의미를 담고 있을 수 있어 매우 위험합니다.
• 피싱 사이트 연동: 유명 프로젝트의 사이트와 똑같이 만든 가짜 웹사이트입니다. 지갑을 연결하고 서명하는 순간, 사용자의 개인 키를 탈취하거나 자산 인출 권한을 가로챕니다.

흔한 오해와 진실

오해: “지갑 비밀번호(시드 구문)를 알려주지 않았으니 안전하다.”

진실: 시드 구문을 알려주지 않아도, 스마트 컨트랙트 권한을 넘겨주는 서명을 하면 지갑 내 자산은 공격자의 손에 들어갑니다. 시드 구문은 지갑의 ‘열쇠’라면, 서명은 지갑의 ‘사용 권한을 위임하는 위임장’입니다. 위임장을 잘못 작성하면 열쇠를 뺏기지 않아도 자산이 나갑니다.

오해: “유명한 사이트니까 서명해도 괜찮겠지.”

진실: 유명 프로젝트의 사이트도 해킹당할 수 있습니다. 공식 트위터나 디스코드가 해킹되어 피싱 링크를 올리는 경우가 비일비재합니다. 사이트의 이름보다는 현재 연결된 도메인 주소가 정확한지 반드시 확인해야 합니다.

안전을 지키는 실용적인 예방 수칙

자산을 보호하기 위해서는 습관을 바꾸는 것이 무엇보다 중요합니다. 다음 가이드라인을 반드시 실천하세요.

1. 서명 내용을 반드시 읽으세요

서명 창이 떴을 때, 단순히 ‘확인’ 버튼만 보지 마세요. 메타마스크 등 지갑 설정에서 ‘고급 데이터 보기’를 활성화하면 서명에 포함된 16진수 데이터를 볼 수 있습니다. 물론 일반인이 이를 완벽히 해석하기는 어렵지만, 평소보다 과도한 권한을 요구하는지 의심하는 습관이 중요합니다.

2. 지갑을 분리해서 사용하세요

가장 권장하는 방법입니다. 자산을 보관하는 ‘콜드 월렛(하드웨어 지갑)’과 각종 디파이, 에어드랍 작업에 사용하는 ‘핫 월렛(일반 지갑)’을 철저히 분리하세요. 만약 핫 월렛이 해킹당하더라도 콜드 월렛의 자산은 안전하게 보호할 수 있습니다.

3. 주기적으로 권한을 취소하세요

내가 과거에 어떤 사이트에 어떤 권한을 주었는지 기억하기 어렵습니다. ‘Revoke.cash’와 같은 권한 관리 사이트를 정기적으로 방문하여, 더 이상 사용하지 않는 사이트에 부여된 토큰 승인 권한을 즉시 취소하세요. 이는 해킹 피해를 막는 가장 효과적인 사후 예방책입니다.

4. 의심스러운 링크는 절대 클릭하지 마세요

디스코드 DM, 텔레그램 메시지로 오는 “에어드랍 확인하세요”, “지갑을 연동하세요” 등의 메시지는 99% 사기입니다. 아무리 급박한 상황을 연출해도 링크를 클릭하거나 지갑을 연결하지 마세요.

전문가의 조언

보안 전문가들은 “블록체인 생태계에서 당신의 지갑은 당신의 은행입니다”라고 강조합니다. 은행에서 계좌 비밀번호를 함부로 알려주지 않듯, 블록체인에서도 서명은 곧 나의 자산을 움직일 수 있는 권리를 넘겨주는 행위임을 명심해야 합니다. 특히 최근에는 서명 요청이 매우 교묘해져서, 전문가들도 실수를 할 정도입니다. 따라서 무엇인가를 서명할 때는 ‘이것이 정말 필요한 작업인가?’를 스스로 세 번 이상 자문해보고, 거래소나 검증된 공식 사이트가 아니라면 절대 서명하지 않는 것이 가장 좋습니다.

자주 묻는 질문

Q: 지갑에 코인이 하나도 없는데 서명해도 되나요?

A: 지갑에 잔액이 없어도 서명하는 것은 위험합니다. 추후 해당 지갑으로 코인을 입금하는 순간, 공격자가 미리 받아둔 권한을 이용해 코인을 즉시 빼갈 수 있습니다. 사용하지 않는 지갑은 즉시 폐기하고 새로 만드는 것이 안전합니다.

Q: 승인 취소(Revoke)에는 비용이 드나요?

A: 네, 블록체인 네트워크 수수료(가스비)가 발생합니다. 하지만 자산을 통째로 잃는 비용에 비하면 매우 저렴한 보험료라고 생각해야 합니다. 여러 개의 권한을 한 번에 취소할 수 있는 서비스를 활용하면 가스비를 절약할 수 있습니다.

Q: 모바일 지갑은 더 안전한가요?

A: 모바일 지갑이라고 해서 서명 사기로부터 더 안전한 것은 아닙니다. 오히려 작은 화면 때문에 서명 내용을 확인하기가 더 어려울 수 있습니다. 디바이스의 종류보다 중요한 것은 사용자의 보안 의식입니다.

안전한 암호화폐 생활을 위한 체크리스트

아래 목록을 주기적으로 확인하여 지갑의 보안 상태를 점검하세요.

• 현재 사용 중인 사이트의 도메인이 공식 주소와 정확히 일치하는가?
• 지갑에 불필요한 토큰 승인 권한이 남아있지는 않은가? (Revoke.cash 확인)
• 지갑에 너무 많은 자산을 한꺼번에 보관하고 있지는 않은가?
• 낯선 사람의 DM이나 메신저 링크를 통해 지갑을 연결한 적이 있는가?
• 서명 요청이 올 때 내용(Data)을 확인하고 신중하게 버튼을 누르는가?

암호화폐 시장은 매우 혁신적이지만, 동시에 자신의 자산을 스스로 지켜야 하는 엄격한 환경입니다. 기술적인 지식이 부족하더라도 ‘서명은 곧 위임장’이라는 사실만 기억한다면, 대부분의 치명적인 피해는 예방할 수 있습니다. 경각심을 가지고 소중한 자산을 지키는 지혜로운 투자자가 되시길 바랍니다.