솔라나 지갑 449만개 표적…시험 송금 뒤 3만749.80USDT 전송

최윤서 기자 2026.10.12 20:09

토포AI로 이 기사 더 깊이 읽기

솔라나(SOL) 지갑 이용자가 가짜 주소로 10달러를 시험 송금한 뒤 1분여 만에 3만749.80USDT를 추가로 보냈다. 소액 송금이 정상 처리돼도 수신 주소가 의도한 상대방의 것인지는 확인되지 않는다.

블록체인 데이터 업체 비트쿼리(Bitquery)는 조사 보고서에서 2025년 11월 17일 발생한 이체를 분석했다. 이용자는 먼저 게이트아이오 입금 주소로 10달러 상당의 테더(USDT)를 보냈고, 12초 뒤 실제 주소와 비슷한 가짜 주소에서 소액 전송을 받았다. 약 2분 뒤 가짜 주소로 10달러 상당을 시험 송금했고, 전송이 도착하자 약 1분 15초 뒤 3만749.80USDT를 추가로 보냈다.

이 수법은 ‘주소 포이즈닝’이다. 공격자는 실제 송금 주소와 앞뒤 문자가 비슷한 주소를 만들어 소액을 보내고, 이를 지갑 거래 내역에 실제 수신처와 나란히 노출한다. 이용자가 다음 송금 때 거래 내역에서 주소를 복사하면 가짜 주소를 선택할 수 있다.

비트쿼리는 2025년 10월 30일부터 2026년 10월 7일까지 솔라나 지갑 4,497,798개가 이 패턴의 표적이 됐다고 집계했다. 이 수치는 정해진 조건에 맞는 소액 전송을 받은 지갑 수로, 모두가 자금을 잃었다는 뜻은 아니다.

손실 분석은 2026년 7월 9일까지 표적이 된 약 300만개 지갑으로 범위를 좁혔다. 이 가운데 1,104개 지갑이 가짜 주소로 1달러 이상을 보내 총 94만106달러를 전송했다.

손실액은 전체 피해 규모가 아니라 조사 기준에 포함된 사례의 합계다. 비트쿼리는 첫 소액 전송 뒤 90일 이내의 지급 등을 기준으로 삼았으며, 기존 거래 관계일 가능성이 있다고 본 일부 거래는 제외했다. 7월 9일 이후 표적이 된 지갑도 손실 분석에는 포함하지 않았다.

주소 포이즈닝은 지갑 자체를 탈취하는 수법이 아니다. 피해는 이용자가 가짜 주소로 송금을 승인할 때 발생한다. 소액을 받았다는 사실만으로 지갑 자금이 빠져나가지는 않지만, 거래 내역에 들어온 주소를 복사하면 후속 송금이 잘못된 곳으로 향할 수 있다.

지갑 업체 팬텀(Phantom)은 보안 안내에서 거래 내역의 주소를 복사하지 말고 송금 전에 주소를 확인하라고 권고했다. 비트쿼리는 매번 거래소 입금 화면이나 송금 상대방이 전달한 원래 출처에서 주소를 가져오고, 앞뒤뿐 아니라 중간 문자열도 대조하라고 안내했다. 자주 쓰는 주소는 지갑 주소록에 저장하는 방법도 제시했다.