피싱 사이트는 암호화폐 업계에서 사용자 손실이 가장 큰 공격 수법입니다. 이 글에서는 4가지 대표적인 피싱 사이트 유형을 정리합니다. 먼저 결론부터 말하면 위장 도메인 + 위장 UI가 가장 흔한 피싱 형태이고, 검색엔진 광고 + 소셜미디어 배포가 피싱 사이트의 주요 유통 경로이며, 공식 도메인을 직접 즐겨찾기에 저장하고 검색 결과를 클릭하지 않는 것이 가장 효과적인 방어입니다. 평소 계정은 바이낸스 공식 사이트에서 메인 계정을 가입하고, 안드로이드 사용자는 바이낸스 공식 앱을 설치하며, 아이폰 사용자는 해외 Apple ID로 전환하는 iOS 설치 가이드를 참고하세요.

일, 4가지 대표적인 피싱 사이트

유형 목표 유통 경로 손실 정도
거래소 로그인 위장 계정 비밀번호 + 2FA 탈취 검색엔진 광고 / 트윗 계정당 1~100만 달러
지갑 확장 프로그램 위장 지갑 니모닉 탈취 Chrome 웹스토어 / 피싱 링크 지갑 내 자산 전체
가짜 에어드롭 페이지 악성 컨트랙트 Approve 유도 Twitter / Telegram 지갑 내 토큰 일부
가짜 DApp 사이트 악성 트랜잭션 서명 유도 Twitter / Discord 지갑 내 토큰 일부

이, 유형 1: 거래소 로그인 위장

대표적인 위장 도메인:

실제 도메인 피싱 도메인 예시 문자 차이
binance.com binnance.com n 하나 추가
binance.com b1nance.com 1이 i를 대체
binance.com binance-vip.com 접미사 추가
binance.com mybinance.com 접두사 추가
binance.com binance.cm TLD를 .cm으로 변경
okx.com okxx.com x 하나 추가
okx.com okx-login.cn 접미사 + .cn 추가

피싱 사이트의 UI 재현도는 매우 높습니다. 대부분 공식 사이트의 프런트엔드 코드를 그대로 긁어와 백엔드 API만 악성 서버로 바꿔치기합니다. 시각적으로는 99% 동일해 구별이 어렵습니다.

피싱 흐름:

  1. 사용자가 구글/네이버 등에서 "바이낸스 공식 사이트"를 검색합니다
  2. 검색 결과 광고 영역(실제로는 피싱 사이트)을 클릭합니다
  3. 계정 비밀번호를 입력합니다(피싱 사이트에 기록됨)
  4. 2FA 인증 코드를 입력합니다(피싱 사이트가 실시간으로 기록)
  5. 피싱 사이트 운영자가 즉시 계정 비밀번호로 실제 바이낸스에 로그인하고 가로챈 2FA를 입력해 출금합니다

방어 포인트:

Q: 바이낸스/OKX의 실제 공식 도메인은 어떻게 확인하나요?

공식 도메인 확인 방법:

  1. 바이낸스 공식 도메인: binance.com(글로벌)
  2. OKX 공식 도메인: okx.com(구 okex.com은 사용 중단)
  3. 공식 트위터 계정: @binance / @okx(파란색 인증 마크 포함)
  4. SSL 인증서 확인: 주소창의 자물쇠 아이콘 클릭 → Binance Holdings Limited 또는 Aux Cayes FinTech Co. Ltd.(OKX)에 발급된 인증서인지 확인

공식 도메인을 브라우저 즐겨찾기에 저장한 뒤에는 매번 즐겨찾기를 직접 클릭해서 접속하고, 검색에 의존하지 않도록 합니다.

삼, 유형 2: 지갑 확장 프로그램 위장

지갑 확장 프로그램(MetaMask, Phantom)을 노린 피싱은 다음과 같습니다.

1. 위장 확장 프로그램을 Chrome 웹스토어에 등록

피싱 운영자가 이름이 비슷한 확장 프로그램("MetaMask Wallet" vs 공식 "MetaMask")을 업로드하며, UI도 거의 동일합니다. 사용자가 설치 후 니모닉을 입력하면 피싱 운영자가 즉시 가져갑니다.

대표 사례: 2024년 3분기 Chrome 웹스토어에 "MetaMask Premium"이라는 확장 프로그램이 등록됐고 설치 수 5000건 이상, 약 200만 달러 상당의 자산이 도난당했습니다. Chrome은 14일이 지나서야 이를 내렸습니다.

방어:

2. "니모닉을 다시 입력하라"고 요구하는 피싱 사이트

악성 사이트가 "지갑을 재활성화해야 하니 니모닉을 입력하세요"라는 팝업을 띄웁니다. MetaMask 등 정품 지갑은 니모닉 입력을 요구하는 팝업을 절대 먼저 띄우지 않습니다.

방어:

3. MetaMask 모바일 앱 위장

App Store / Google Play에 이름이 비슷한 앱("MetaMask Mobile"이지만 개발자는 MetaMask 팀이 아님)이 등록됩니다.

방어:

Q: MetaMask 니모닉 입력 화면은 정말 안전한가요?

MetaMask의 공식 니모닉 입력 화면은 안전합니다(데이터는 로컬에 암호화 저장). 다만 다음을 확인해야 합니다.

사, 유형 3: 가짜 에어드롭 피싱 페이지

에어드롭 피싱은 사용자의 "무료 코인 받기" 심리를 노립니다.

대표적인 시나리오:

  1. 트위터 트윗: "$XXX 프로젝트 에어드롭 오픈, 지갑 연결해서 받으세요!"
  2. 텔레그램 그룹: "공식 에어드롭 이벤트, 24시간 한정"
  3. 이메일: "받지 않은 $XXX 에어드롭이 있습니다. 가치는 5000달러"

피싱 사이트 UI:

사용자가 서명한 뒤:

실제 사례:

2025년 5월 한 사용자가 트위터에서 "WLFI 에어드롭 오픈"이라는 링크(World Liberty Financial은 실제 프로젝트)를 보고 클릭한 뒤 Approve 트랜잭션에 서명했고, 악성 컨트랙트가 지갑 내 8500 USDC를 인출해갔습니다.

구별 포인트:

방어 포인트:

Q: 공식 에어드롭의 진짜 수령 페이지는 어떻게 찾나요?

공식 에어드롭 확인 방법:

  1. 공식 트위터 계정(파란색 마크 + 알려진 계정)
  2. 공식 Discord 공지 채널
  3. DefiLlama Airdrops(에어드롭 정보 집계)
  4. CoinGecko / CoinMarketCap 프로젝트 페이지의 공식 링크

믿지 말아야 할 것:

오, 유형 4: 가짜 DApp 사이트

주요 DApp(Uniswap, OpenSea, Aave)을 위장한 사이트입니다.

대표적인 위장 DApp 도메인:

실제 도메인 피싱 도메인
app.uniswap.org uniswap-app.com
opensea.io opensea-eth.com
app.aave.com aave-defi.com
curve.fi curve-finance.io

가짜 DApp의 위험:

  1. 서명 함정: 겉으로는 "토큰 교환 승인"이지만 실제로는 "토큰 무제한 인출"
  2. NFT 피싱: 겉으로는 "NFT 민팅"이지만 실제로는 "NFT 소유권 이전"
  3. 가격 조작: 극단적으로 불리한 환율로 교환(사용자가 1 ETH를 100 USDC로 바꾸는데 정상은 3000 USDC)

실제 사례:

2024년 12월 한 사용자가 검색엔진에서 "OpenSea"를 검색하고 광고 영역의 피싱 사이트를 클릭했습니다. NFT를 구매하려고 트랜잭션에 서명했는데, 겉으로는 "NFT 구매"였지만 실제로는 "NFT를 공격자 주소로 이전"하는 것이어서 BAYC NFT(약 12만 달러)를 잃었습니다.

방어 포인트:

Q: Rabby Wallet이 MetaMask보다 안전한가요?

Rabby Wallet(DeBank 팀 제작)은 서명 해석 면에서 더 상세합니다.

Rabby는 DeFi 헤비 유저에게 더 적합하지만 사용자 수는 MetaMask에 미치지 못합니다. 평소에는 MetaMask, DeFi 이용 시에는 Rabby를 함께 쓰는 조합이 흔합니다.

육, 피싱 사이트의 유통 경로

피싱 사이트의 주요 유통 경로는 다음과 같습니다.

1. 검색엔진 유료 광고

검색 결과 상위 3개는 대부분 유료 광고입니다. 피싱 운영자는 구글 광고를 통해 위장 사이트를 노출시키며, "바이낸스 공식 사이트", "USDT 구매" 같은 키워드를 사용합니다.

구글의 암호화폐 광고 정책:

2. 소셜미디어 배포

3. SEO 순위 최적화

피싱 운영자는 위장 사이트를 대량으로 만들어 SEO 최적화로 검색 결과 2~3페이지에 진입시킵니다. "바이낸스 공식 사이트 다운로드", "OKX 가입" 같은 키워드에서 SEO 상위 5위 안의 일부 사이트가 위장 사이트인 경우가 있습니다.

4. 이메일 피싱

Q: 피싱 이메일은 어떻게 구별하나요?

5단계 구별법:

  1. 발신자 전체 이메일 주소를 확인한다(표시 이름만 보지 않는다)
  2. 이메일 도메인을 확인한다: 공식 도메인인지(@binance.com이지 @bnannce.com이 아님)
  3. 이메일 속 링크를 클릭하지 않는다: 공식 웹사이트에 직접 로그인해서 확인한다
  4. 이메일 내 안티피싱 코드를 확인한다: 바이낸스/OKX는 안티피싱 코드 설정을 지원하며 정품 이메일에는 표시됨
  5. 의심스러운 이메일은 바로 삭제한다

칠, 안티피싱 코드 설정

주요 거래소는 안티피싱 코드(Anti-Phishing Code) 설정을 지원합니다.

바이낸스 안티피싱 코드 설정:

  1. 바이낸스 계정에 로그인
  2. 보안 설정 → 안티피싱 코드
  3. 4~20자의 문자열을 설정(예: "MyB1nance2026")
  4. 저장

설정 후:

OKX 안티피싱 코드: 비슷한 절차, "보안 센터 → 안티피싱 코드"

Bybit 안티피싱 코드: "보안 센터 → 안티피싱 코드"

안티피싱 코드 설정 원칙:

Q: 안티피싱 코드도 피싱 사이트에 탈취될 수 있나요?

안티피싱 코드는 비밀번호나 이메일 안에 저장되어 있지 않아 피싱 사이트가 획득하기 어렵습니다. 계정 비밀번호가 피싱을 당해도 안티피싱 코드는 함께 유출되지 않습니다(스스로 사기꾼에게 알려주지 않는 한).

이것이 안티피싱 코드의 핵심 방어 원리입니다. 피싱 운영자는 여러분의 안티피싱 코드를 위조할 수 없으므로, 안티피싱 코드가 없는 "바이낸스 이메일"은 반드시 피싱입니다.

팔, 보안 도구 목록

피싱 방지 추천 도구:

1. 브라우저 확장 프로그램:

2. 온체인 도구:

3. 브라우저 설정:

Q: Pocket Universe 같은 유료 피싱 방지 서비스는 쓸 만한가요?

유료 피싱 방지 서비스는 DeFi를 자주 이용하는 사용자에게 가치가 있습니다.

다만 평소 CEX만 이용하는 사용자에게는 효용이 크지 않습니다(CEX 내부 거래는 Approve 위험이 없음).

구, 피싱 피해 후 응급 대응

1. 지갑이 피싱으로 Approve 서명을 한 경우

2. 거래소 계정이 피싱으로 로그인당한 경우

Q: 피싱을 당한 뒤 돈을 되찾을 수 있나요?

자산 회수율:

예방이 회수보다 100배 중요합니다.

십, 자주 묻는 질문

Q: HTTPS 자물쇠 아이콘이 있으면 반드시 안전한가요?

아닙니다. HTTPS는 "통신이 암호화됐다"는 것만 증명할 뿐 "사이트가 정당하다"는 것을 증명하지 않습니다. 피싱 사이트도 SSL 인증서를 발급받을 수 있습니다.

추가로 확인해야 할 사항:

Q: 시크릿 모드로 브라우징하면 더 안전한가요?

시크릿 모드는 로컬 쿠키 기록만 막을 뿐 피싱은 막지 못합니다. 시크릿 모드에서 피싱 사이트에 접속해도 자산이 도난당할 수 있습니다.

Q: 스마트폰과 컴퓨터 중 어느 쪽이 피싱에 더 취약한가요?

스마트폰이 약간 더 안전합니다.

컴퓨터가 더 위험합니다.

다만 **"검색 결과를 클릭하지 않고 공식 도메인을 즐겨찾기에 저장한다"**는 핵심 방어는 양쪽 모두에 통용됩니다.

Q: 피싱 사이트는 저절로 사라지나요?

피싱 사이트는 평균 3~14일 생존한 뒤 다음과 같은 방식으로 내려갑니다.

하지만 매일 50~200개의 새 피싱 사이트가 등장하는 쫓고 쫓기는 게임입니다.

Q: 계정을 Google / Apple 로그인에 연동하면 더 안전한가요?

일부 상황에서는 더 안전합니다.

하지만 새로운 위험도 있습니다.

가장 안전한 전략: 독립된 이메일 + 독립된 비밀번호 + Google Authenticator 2FA + 안티피싱 코드를 함께 사용하는 것입니다.

Q: 피싱 사이트가 "개인키를 입력하라"고 요구하면 어떻게 해야 하나요?

개인키/니모닉 입력을 요구하는 사이트는 100% 피싱입니다.

즉시 페이지를 닫고 컴퓨터에 트로이 목마가 심어졌는지 확인하세요.

Q: 피싱 사이트의 SSL 인증서는 진위를 확인할 수 있나요?

가능하지만 완전히 신뢰할 수는 없습니다. 인증서 종류:

  1. EV 인증서(초록색 자물쇠, 주소창에 조직명 표시): 피싱 사이트가 얻기 어려움
  2. DV 인증서(일반 인증서): 피싱 사이트가 쉽게 얻을 수 있음(Let's Encrypt는 무료)

바이낸스, OKX 같은 대형 플랫폼은 EV 인증서를 사용하며, 인증서는 "Binance Holdings Limited" 같은 명확한 조직명으로 발급됩니다. 인증서에 개인 이름이나 이상한 조직명이 표시되면 → 피싱입니다.

Q: 비밀번호 관리자의 자동 입력 기능이 피싱을 막아주나요?

가능합니다. 비밀번호 관리자(1Password / Bitwarden)는 완전히 일치하는 도메인에서만 자동으로 입력합니다.

비밀번호 관리자의 자동 입력이 실패하는 것 자체가 피싱 신호입니다.

데이터 출처

위험 고지: 본 글은 독립 제3자가 정리한 내용이며 투자 및 법률 자문을 구성하지 않습니다. 피싱 위협은 계속 진화하고 있으며 모든 데이터는 2026년 4월 기준입니다.