암호화폐 업계의 공격 표면은 전통 금융보다 훨씬 넓습니다. 프로토콜 계층부터 애플리케이션 계층까지, 온라인 지갑부터 하드웨어 지갑까지, 거래소 계정부터 DeFi 컨트랙트까지 모든 단계가 공격 진입점이 될 수 있습니다. 본문은 10가지 주요 공격 수법을 체계적으로 정리합니다. 결론부터 말하면 피싱 사이트 / 니모닉 유출 / 가짜 고객센터 세 가지가 일반 사용자의 손실 중 가장 큰 비중을 차지하는 공격 수법이며(70% 이상), 공급망 공격이나 사이드채널 공격 같은 고급 위협은 주로 기관을 대상으로 합니다. 일상 계정은 바이낸스 공식 사이트 입구에서 메인 계정을 가입하고, 안드로이드는 바이낸스 공식 앱을 설치하며, iOS 사용자는 해외 Apple ID 전환 방법을 iOS 설치 가이드에서 참고하시기 바랍니다.

1. 암호화폐 공격 수법 분류

공격 계층별로 나누면 다음과 같습니다:

공격 계층 주요 위협 비중(손실 금액 기준)
사용자 단 공격 피싱, 사회공학, 니모닉 유출 약 35%
플랫폼 단 공격 거래소 해킹, API 취약점 약 25%
프로토콜 단 공격 스마트 컨트랙트 취약점, 크로스체인 브리지 해킹 약 30%
인프라 DNS 하이재킹, BGP 라우팅 공격 약 5%
하드웨어 단 하드웨어 지갑 공급망 + 사이드채널 약 5%

2025년 암호화폐 업계 전체 도난 금액은 약 28억 달러였으며, 그중 Bybit 단일 사건만 14억 6000만 달러(전체의 52%)를 차지했습니다. Bybit을 제외하면 일반 사용자 단계의 손실은 주로 피싱과 니모닉 유출에 집중됩니다.

Q: 일반 사용자가 가장 흔하게 겪는 공격은 무엇인가요?

일반 사용자의 손실 확률 순위는 다음과 같습니다:

  1. 피싱 사이트(30~40%): 거래소/지갑 도메인 위조
  2. 니모닉 유출(20~25%): 사진 촬영, 클라우드 업로드, 평문 기록
  3. 가짜 고객센터 사기(15~20%): 전화/텔레그램으로 플랫폼 고객센터 사칭
  4. 토큰 승인(Approve) 피싱(10~15%): 온체인 서명 함정
  5. 에어드롭 사기(5~10%): 에어드롭 수령 시 악성 컨트랙트에 서명
  6. 클립보드 하이재킹(3~5%): 트로이 목마가 복사한 지갑 주소를 바꿔치기

일반 사용자가 앞의 4가지 방어법만 익혀도 손실의 90% 이상을 피할 수 있습니다.

2. 공격 수법 1: 피싱 사이트

피싱 사이트는 실제 거래소/지갑을 위조한 가짜 사이트로, 사용자가 계정 비밀번호나 개인키를 입력하도록 유도합니다.

전형적인 피싱 도메인 특징:

실제 사례:

2024년 11월 한 사용자가 검색엔진에서 "바이낸스 공식 사이트"를 검색했는데, 첫 번째 광고 결과가 binance-vip.com(피싱 사이트)이었습니다. 로그인 후 계정에 있던 12만 달러가 모두 인출되었습니다.

방어 요점:

Q: 어떤 사이트가 피싱인지 어떻게 검증하나요?

5단계 검증:

  1. 도메인이 완전히 일치하는지 확인(앞부분만 보지 말 것)
  2. SSL 인증서 확인(자물쇠 아이콘 클릭 → 인증서 발급 조직)
  3. 도메인 WHOIS 조회(등록 시기, 등록지)
  4. 홈페이지 내용이 일치하는지(피싱 사이트는 보통 UI가 약간 다름)
  5. 공식 공지 채널과 교차 검증(Twitter / Telegram)

의심스러운 사이트를 발견하면 즉시 브라우저를 닫고 어떤 정보도 입력하지 마세요.

3. 공격 수법 2: 니모닉 도난

니모닉(Seed Phrase / Mnemonic)은 지갑 개인키의 사람이 읽을 수 있는 형태로, 12~24개의 영단어로 구성됩니다. 니모닉 = 지갑 안 모든 자산의 열쇠입니다.

니모닉 유출의 흔한 경로:

  1. 휴대폰 사진첩에 캡처 저장(클라우드 사진 동기화 → iCloud / Google 포토가 해킹당함)
  2. 클라우드에 업로드(OneDrive, Google Drive, 네트워크 드라이브)
  3. 캡처해서 메신저로 전송(카카오톡, 텔레그램)
  4. 메모장/엑셀에 평문 기록(원격 트로이 목마에 읽힘)
  5. 검색엔진에 붙여넣기(구글 검색창에 실수로 입력)
  6. 음성 비서 인식(Siri / Google Assistant가 니모닉을 잘못 녹음)
  7. OCR 문자 인식 도구(이미지 속 니모닉 인식)

실제 사례:

2025년 3월 한 사용자가 MetaMask 니모닉을 캡처해 iCloud에 저장했고, 3개월 후 iCloud 계정이 피싱당해 니모닉이 도난당했습니다. 지갑 안의 22만 달러 상당 ETH가 전부 이체되었습니다.

방어 요점:

Q: 니모닉을 비밀번호 관리자(1Password 등)에 저장해도 안전한가요?

부분적으로 안전합니다. 1Password / Bitwarden 같은 암호화된 비밀번호 관리자는 평문 저장보다는 낫지만 여전히 위험이 있습니다:

권장: 니모닉 주 백업은 종이나 금속으로, 비밀번호 관리자는 "응급용 사본"만 저장 + 마스터 비밀번호는 별도 관리

4. 공격 수법 3: 가짜 고객센터 사기

가짜 고객센터는 일반 사용자가 가장 쉽게 걸려드는 사기 중 하나입니다.

전형적인 시나리오:

  1. 카카오톡/텔레그램으로 먼저 친구 추가: "바이낸스 고객센터 XXX"라고 자칭
  2. 텔레그램 그룹에서 공식 계정 사칭: @binance_support_official 같은 사용자명 사용
  3. 전화로 고객센터 사칭: "계정에 이상 로그인이 있어 확인이 필요하다"고 주장
  4. 원격 제어 유도: 사용자에게 TeamViewer / AnyDesk 설치 요청

전형적인 화법:

실제 사례:

2024년 한 사용자가 "바이낸스 고객센터"를 자칭하는 전화를 받았는데, 상대방은 사용자의 이름, 전화번호, 가입 시기를 정확히 알고 있었습니다(2025년 바이낸스 데이터 유출 이후 이런 정보가 암시장에서 유통되고 있습니다). 사기범은 사용자에게 AnyDesk를 설치해 PC를 원격 제어하게 했고, 30분 만에 바이낸스 계정 내 8만 달러를 이체해갔습니다.

방어 요점:

Q: 실제 공식 고객센터에는 어떻게 연락하나요?

유일하게 올바른 방법:

공식 고객센터는 절대 먼저 연락하지 않습니다(이전에 문의한 티켓에 대한 답변 메일은 예외). 먼저 연락해오는 경우는 모두 사기입니다.

5. 공격 수법 4: 토큰 승인(Approve) 피싱

DeFi에서 새 프로토콜과 상호작용할 때마다 먼저 "Approve"(승인)로 컨트랙트가 지갑 내 토큰에 접근하도록 허용해야 합니다. 악성 컨트랙트의 Approve 피싱은 2024~2026년 가장 흔한 온체인 공격입니다.

전형적인 시나리오:

  1. 에어드롭 피싱 사이트: 에어드롭을 받을 수 있다고 주장하지만 실제로는 악성 컨트랙트에 Approve하게 함
  2. NFT 민팅 피싱: 무료 NFT 민팅이지만 컨트랙트가 토큰을 몰래 이체함
  3. 가짜 DApp 사이트: Uniswap / OpenSea를 위조해 Approve 후 자산을 이체함
  4. 악성 에어드롭 토큰: 지갑에 전송된 불명 토큰, 상호작용 시 도난 트리거

Approve 피싱 식별 방법:

실제 사례:

2025년 3분기 한 사용자가 Twitter에서 "AI 프로젝트 에어드롭" 링크를 보고 지갑을 연결한 뒤 Approve 거래에 서명했고, 악성 컨트랙트에 USDC 무제한 인출 권한을 부여했습니다. 10분 후 지갑 내 1만 2000달러 상당 USDC가 이체되었습니다.

방어 요점:

Q: 이미 승인한 토큰을 어떻게 철회하나요?

승인 철회 방법:

  1. revoke.cash 접속
  2. 지갑 연결(MetaMask / WalletConnect)
  3. 모든 승인 확인: 어떤 토큰, 어떤 컨트랙트, 승인 금액
  4. 의심스러운 승인 철회: "Revoke" 버튼 클릭(가스비 지불 필요)

매월 한 번씩 승인 감사를 하고, 더 이상 사용하지 않는 프로토콜 승인을 모두 철회하는 것이 좋습니다.

6. 공격 수법 5: 클립보드 하이재킹

클립보드 하이재킹 트로이 목마(Clipboard Hijacker)는 "조용하지만 치명적인" 공격입니다.

작동 원리:

  1. 사용자가 지갑 주소 0x1234...abcd를 복사해 출금 화면에 붙여넣으려 함
  2. 트로이 목마가 클립보드 내용이 지갑 주소임을 감지
  3. 트로이 목마가 해커 주소 0x9876...zzzz로 바꿔치기(문자가 비슷해 보이지만 실제로는 해커 주소)
  4. 사용자가 붙여넣을 때 앞뒤 몇 자리를 확인하지 않아 자산이 해커에게 이체됨

전형적인 트로이 목마 유입 경로:

실제 사례:

2024년 한 사용자가 크랙 소프트웨어 다운로드 사이트에서 "Adobe Premiere 크랙 버전"을 설치했고, 트로이 목마가 3주간 잠복했습니다. 어느 날 사용자가 자신의 MetaMask로 ETH 5개를 출금하려고 복사·붙여넣기를 했는데 해커 주소로 바뀌어 있었고, ETH 5개(약 2만 달러)를 잃었습니다. 사용자는 나중에서야 주소 첫 글자가 바뀐 것을 발견했습니다.

방어 요점:

Q: 내 컴퓨터에 클립보드 트로이 목마가 있는지 어떻게 판단하나요?

간단한 테스트:

  1. 지갑 주소를 하나 복사(예: 0x1234567890abcdef)
  2. 메모장을 열어 붙여넣기
  3. 붙여넣은 내용이 원래 주소와 완전히 일치하는지 확인

일치하지 않는다면 컴퓨터에 클립보드 트로이 목마가 있을 가능성이 큽니다. 즉시:

7. 공격 수법 6: 거래소 계정 도난

거래소 계정 도난의 흔한 경로:

  1. 약한 비밀번호: 123456, 생일 + 이름 등 약한 비밀번호 사용
  2. 비밀번호 재사용: 여러 플랫폼에서 같은 비밀번호 사용(한 곳이 유출되면 전부 뚫림)
  3. 2FA 우회: SIM 카드 교환 공격 / SMS 가로채기
  4. API 키 유출: API 키가 GitHub에 공개됨 / 제3자 플랫폼에서 유출됨
  5. 기기 원격 제어당함: 로그인 세션 탈취

SIM 카드 교환 공격(SIM Swap):

사기범이 사용자를 사칭해 통신사에 SIM 카드 재발급을 신청 → 재발급받은 SIM으로 사용자 문자 수신 → 거래소 로그인 비밀번호와 2FA 재설정 → 출금.

2024~2025년 SIM 카드 교환 공격 사례가 늘고 있으며, 주로 암호화폐 인플루언서와 유명인 계정을 노립니다.

방어 요점:

Q: SMS 문자 인증 2FA는 정말 안전하지 않나요?

SMS 2FA는 2FA 없는 것보다는 낫지만 TOTP에는 훨씬 못 미칩니다:

Google Authenticator나 YubiKey 사용을 강력히 권장하며, SMS 2FA는 끄거나 백업 복구 수단으로만 사용하세요.

8. 공격 수법 7: 스마트 컨트랙트 취약점

스마트 컨트랙트 취약점은 DeFi 프로토콜의 가장 큰 위험입니다.

흔한 취약점 유형:

취약점 유형 설명 대표 사례
재진입 공격 컨트랙트 재귀 호출로 상태 불일치 발생 2016년 The DAO 사건
플래시론 공격 플래시론으로 가격/투표 조작 2022년 Cream Finance(1억 3000만 달러)
정수 오버플로 큰 수 오버플로로 잔액 오류 발생 2018년 Beauty Chain(BEC)
접근 제어 미비 핵심 함수에 권한 제한 없음 2022년 Wormhole(3억 2000만 달러)
오라클 조작 가격 피드가 조작당함 2022년 Mango Markets(1억 1600만 달러)
거버넌스 공격 거버넌스 토큰으로 악성 제안 통과 2023년 Tornado Cash 거버넌스 탈취

사용자 단계 방어:

Q: 감사받은 프로토콜은 무조건 안전한가요?

그렇지 않습니다. 감사는 알려진 취약점 위험을 낮출 수 있지만:

가장 안전한 프로토콜: 유명 감사 2곳 이상 + 운영 2년 이상 + TVL 1억 달러 이상 + 과거 중대 사건 없음

9. 공격 수법 8: 크로스체인 브리지 해킹

크로스체인 브리지(Bridge)는 서로 다른 블록체인을 연결하며, 2022~2023년 해킹이 가장 많이 발생한 영역입니다.

크로스체인 브리지 해킹의 공격 경로:

  1. 다중서명 개인키 피싱(Ronin Network, 6억 2500만 달러)
  2. 서명 검증 취약점(Wormhole, 3억 2000만 달러)
  3. 크로스체인 메시지 위조(BNB Chain Bridge, 5억 7000만 달러)
  4. 운영사 키 유출(Harmony Horizon, 1억 달러)

사용자 방어:

10. 공격 수법 9-10: 고급 위협

공격 수법 9: DNS 하이재킹

DNS 하이재킹은 공격자가 도메인 서버를 장악해 공식 도메인을 피싱 사이트로 연결하는 것입니다.

대표 사례:

방어:

공격 수법 10: 하드웨어 지갑 공급망 공격

하드웨어 지갑(Ledger, Trezor)은 보통 매우 안전하지만 구매와 사용 과정에는 위험이 있습니다:

  1. 중고/제3자 구매: 변조 후 재포장되었을 가능성
  2. 물류 과정에서 교체: 배송 중 트로이 목마가 심어진 기기로 바뀔 가능성
  3. 공식 공급망 취약점: Ledger 2020년 사용자 데이터 유출

방어:

11. 종합 방어 체크리스트

일반 사용자를 위한 보안 방어 체크리스트:

기본 보안(모두 해야 함):

중급 보안(5만 달러 이상 자산):

고급 보안(50만 달러 이상 자산):

Q: 일반 사용자는 얼마의 비율을 하드웨어 지갑 콜드 스토리지에 보관해야 하나요?

자산 규모별로:

총자산 하드웨어 지갑 콜드 스토리지 비율
1만 달러 미만 0%(불필요)
1만~10만 달러 20~30%
10만~100만 달러 40~60%
100만 달러 초과 60~80%

자산이 클수록 콜드 스토리지 비율도 높아야 합니다. 진짜 대액(1000만 달러 이상)은 다중서명 + 콜드 스토리지 + 지리적 분산까지 고려해야 합니다.

12. 응급 대응: 공격당한 후의 처리

1. 니모닉 유출 → 즉시 자산 이전

2. 거래소 계정 도난 → 긴급 절차

3. 온체인 DeFi 자산 도난

4. 지갑이 피싱 서명당함

13. 자주 묻는 질문 FAQ

Q: 보험에 가입하면 배상받을 수 있나요?

DeFi 보험(Nexus Mutual, Sherlock 등)은 프로토콜 해킹만 배상하며 사용자 조작 실수(피싱당함, 개인키 유출 등)는 배상하지 않습니다. 보험은 기관 고객을 위한 보조 수단일 뿐, 일반 사용자에게는 실질적 도움이 크지 않습니다.

Q: 사기당하면 신고할 수 있나요?

가능합니다. 대부분의 국가에서 경찰은 일반적으로 접수를 받아주지만(가상자산 사기는 "사기죄" 등으로 처리), 회수율은 매우 낮습니다(5% 미만). 예방이 회수보다 100배 중요합니다.

Q: 지갑이 감시당한다는 게 사실인가요?

이론적으로 가능하지만 실제로는 드뭅니다. Tornado Cash 같은 믹서 거래는 온체인 분석 회사에 표시될 수 있지만 일반 지갑 활동은 특별히 감시 대상이 되지 않습니다. 일반 사용자는 프라이버시를 과도하게 걱정할 필요 없이 기본 보안만 잘 하면 됩니다.

Q: 휴대폰과 컴퓨터 중 어느 쪽이 암호화폐 거래에 더 안전한가요?

휴대폰이 다소 더 안전합니다:

컴퓨터의 위험이 더 큽니다:

최선의 방법: 일상 앱 조작은 휴대폰으로, 대액 조작은 전용 보안 컴퓨터로.

Q: VPN으로 거래하면 위험한가요?

VPN 자체는 암호화폐 거래 위험을 높이지 않지만:

독립 IP를 제공하는 유료 VPN을 우선 선택하고 무료/공유 VPN은 피하세요.

Q: 모든 자산을 하드웨어 지갑에 넣으면 무조건 안전한가요?

아닙니다. 하드웨어 지갑은 개인키 도난 위험을 줄여주지만:

가장 안전한 전략: 니모닉을 분산 보관 + 다중서명 지갑(Safe Wallet) + 물리적 지리 분산.

Q: MetaMask는 안전한가요?

MetaMask 자체는 전반적으로 안전하지만 사용자 조작 위험이 큽니다:

MetaMask 사용 시 최선의 방법:

Q: 프로젝트 팀이 Rug Pull인지 어떻게 판단하나요?

Rug Pull(먹튀)의 징후:

  1. 유동성이 잠기지 않음(프로젝트 팀이 언제든 풀을 뺄 수 있음)
  2. 토큰 컨트랙트 권한이 포기되지 않음(프로젝트 팀이 무제한 증발 가능)
  3. 익명 팀(KYC된 팀 정보 없음)
  4. 토큰 이코노미가 비정상적(프로젝트 팀 보유량이 80% 이상)
  5. 감사 부재(제3자 감사 없음)

2개 이상 해당되면 즉시 피하세요.

데이터 출처

위험 고지: 본문은 독립적인 제3자가 정리한 자료이며 투자 및 법률 조언을 구성하지 않습니다. 암호화폐 보안은 계속 변화하는 영역이며 위협도 지속적으로 진화합니다. 모든 데이터는 2026년 4월 기준입니다.