시바이누 배포자 사칭 토큰 137종 주장…거래 서명은 별개

시바이누(SHIB) 배포자 주소를 발신자로 표시한 토큰이 137종이라는 주장이 나왔다. 토큰 전송 내역의 주소와 거래에 서명한 주소가 다를 수 있다는 경고다.

유투데이(U.Today)는 10일 시바이누 커뮤니티 이용자 마즈라엘(Mazrael)의 X 게시물을 소개했다. 마즈라엘은 “배포자가 서명한 거래는 한 건도 없다”고 말했다. 전송 기록에 배포자 주소가 등장해도 배포자가 직접 거래를 실행했다는 뜻은 아니라는 주장이다.

마즈라엘은 가짜 전송 기록이 9,131건 이상이고, 그 기록에 등장한 지갑이 2,500개 이상이라고 주장했다. 137종은 토큰 수, 9,131건은 전송 기록 수, 2,500개는 기록에 나온 지갑 수를 각각 가리킨다. 2,500개를 피해자 수로 해석할 수는 없다.

유투데이가 소개한 사례에는 ‘SHIBA INU2.0’과 ‘Shibarium’ 등의 이름을 단 토큰이 포함됐다. 마즈라엘은 일부 토큰이 시바이누의 가명 창립자 료시(Ryoshi)의 지원을 받은 것처럼 홍보됐다고 주장했다. 이름이나 주소에 표시된 문구만으로 료시의 관여를 입증할 수는 없다.

이더스캔(Etherscan)의 주소 페이지는 해당 주소를 ‘Shiba Inu: Deployer’로 표시한다. 이는 주소에 붙은 식별 이름이다. 화면에 이 주소가 나온다는 사실만으로 표시된 모든 토큰 전송을 이 주소가 직접 실행했다고 볼 수는 없다.

토큰 배포자 주소와 토큰 계약 주소는 역할이 다르다. 배포자 주소는 계약을 블록체인에 올린 주소를 가리키고, 토큰 계약은 토큰의 동작과 전송 기록을 처리한다. 두 주소가 같은 대상을 뜻하는 것은 아니다.

이더리움 기술 문서는 ERC-20의 ‘Transfer’ 이벤트를 토큰 계약이 남기는 로그로 설명한다. 로그에는 보내는 주소와 받는 주소, 수량이 기록된다. 탐색기는 이 기록을 읽어 토큰 전송 내역을 보여준다.

이 이벤트의 ‘보내는 주소’는 토큰 전송 기록에 적힌 주소다. 이더리움 거래에 실제로 서명한 주소와는 다른 항목일 수 있다. 마즈라엘의 주장은 이 차이를 이용해 배포자가 토큰을 보낸 것처럼 보이는 기록을 만들었다는 내용이다.

이더스캔은 일반 거래와 ERC-20 토큰 전송을 별도 유형으로 구분한다. 전송 목록의 ‘From’ 표시만으로 거래를 시작한 사람을 판단하기 어려운 이유다. 거래 상세 화면에서 일반 거래의 실제 발신 주소도 함께 확인해야 한다.

토큰 이름이나 로고가 시바이누와 비슷해도 공식 토큰임을 뜻하지 않는다. 같은 이름을 단 토큰이 별도로 존재할 수 있기 때문이다. 이름 대신 사용 중인 네트워크와 계약 주소를 확인해야 한다.

시바이누 공식 개발자 페이지는 이더리움 네트워크에서 사용하는 시바이누 계약 주소를 0x95aD61b0a150d79219dcf64E1E6Cc01f0B64C4cE로 안내한다. 배포자 주소와 이 계약 주소는 서로 다른 역할을 한다. 거래하려는 토큰의 계약 주소가 공식 페이지의 정보와 일치하는지 대조할 수 있다.

본지는 앞서 지갑 연결을 유도하는 시바이누 가짜 에어드롭 링크 경고를 전했다. 당시 경고는 링크와 지갑 승인 요청을 다뤘고, 이번 주장은 토큰 전송 기록에 표시된 주소와 거래 발신 주소의 차이에 초점을 맞춘다.

마즈라엘이 제시한 지갑 수는 전송 기록에 등장한 지갑 수라는 주장이다. 실제 피해자 수나 자산 손실 규모를 보여주는 수치로 볼 근거는 제시되지 않았다.