악성 스마트계약 4224개, 지갑 미리보기 역이용했다

악성 스마트계약이 지갑의 거래 미리보기 기능을 역이용한 사례가 대규모로 확인됐다. 연구진은 2024년 8월부터 2025년 6월까지 4개 블록체인에서 피싱 계약 4224개와 피해 주소 5742개를 찾아냈다.

샤오찬 왕(Xiaocan Wang) 등 연구진 6명은 7월 30일 공개한 arXiv 논문 ‘Blockchain Transaction Simulation Phishing’에서 바이트코드 기반 탐지 시스템 ‘심가드(SIMGUARD)’를 적용한 결과라고 밝혔다. 분석 대상은 이더리움(ETH), BNB스마트체인(BSC), 아발란체(AVAX), 폴리곤(POL)이다.

피해 거래는 6223건, 추정 손실액은 348만 달러(약 51억원)로 집계됐다. 연구진은 일부 공격자의 테스트 활동이 피해 거래로 분류됐을 가능성이 있다며 손실액을 상한 추정치로 제시했다.

거래 시뮬레이션은 사용자가 서명하기 전에 지갑이 예상 잔액 변화를 보여주는 기능이다. 메타마스크(MetaMask), 코인베이스 지갑(Coinbase Wallet), 트러스트월렛(Trust Wallet) 등 주요 지갑이 이 기능을 제공한다.

공격자는 스마트계약 내부 조건을 조정해 시뮬레이션 단계에서는 소액 이익이 생기는 것처럼 보이게 한다. 거래가 실제 블록에 포함될 때는 계약 상태나 가스 조건이 달라져 예치금이 공격자 주소로 이동하도록 설계한다.

대표적인 수법은 저장값을 조작하는 방식이다. 피해자가 거래를 미리 확인할 때는 원금과 소액 보상을 돌려주는 것처럼 표시되지만, 공격자가 피해자 주소를 블랙리스트에 넣는 별도 거래를 먼저 처리하면 실제 실행 단계에서 다른 분기가 작동한다.

연구진은 공격 유형을 △스토리지 제어 △외부 계약 제어 △가스 한도 제어 △가스 가격 제어 △블록 번호 제어 △타임스탬프 제어 등 6개로 분류했다. 가스 한도나 블록 시간처럼 시뮬레이터와 실제 실행 환경이 달라질 수 있는 요소만으로도 결과 차이가 발생할 수 있다고 설명했다.

손실은 이더리움에 집중됐다. 전체 손실의 91.5%가 이더리움에서 발생했으며, 가장 큰 공격자 클러스터 한 곳이 전체 손실의 약 83%를 차지했다.

스토리지 제어형 계약에서 발생한 손실은 297만 달러 이상(약 43억원)으로 전체의 85.34%를 차지했다. 시뮬레이션 이후 계약 상태를 바꿔 실제 실행 결과를 뒤집는 방식이 피해 규모에서도 가장 큰 비중을 차지한 셈이다.

다만 체인별 계약 수와 전체 집계는 일치하지 않는다. 논문 본문에 제시된 이더리움 480개, BNB스마트체인 293개, 아발란체 3316개, 폴리곤 315개를 합하면 4404개로 총계인 4224개보다 180개 많다.

메타마스크 공식 도움말도 거래 시뮬레이션이 확정된 결과가 아닌 예측이라고 안내한다. 메타마스크는 “새 거래가 계속 블록체인에 들어오기 때문에 시뮬레이션은 예측이며 최종 결과는 보장되지 않는다”고 설명했다.

스마트계약을 겨냥한 보안 사고는 앞서 국내 프로젝트에서도 발생했다. 위믹스는 온체인에 공개된 스마트계약 취약점으로 계약 소유권이 제3자에게 넘어갔다고 밝힌 바 있다. 다만 이번 연구는 계약의 관리자 권한 탈취가 아니라 미리보기와 실제 실행 결과의 차이를 피싱에 이용한 사례를 다룬다.

연구진은 지갑 사업자가 관련 계약 상태나 가스 필드가 바뀌면 시뮬레이션을 다시 실행하고, 순잔액 변화뿐 아니라 지갑에서 빠져나가는 총액도 명확히 표시해야 한다고 제안했다. 이번 연구는 2024년 8월부터 2025년 6월까지의 온체인 활동을 분석한 arXiv 공개 논문이며 동료심사 완료 여부는 확인되지 않았다.