Web3 피싱의 ‘클론 전쟁’…가짜 사이트 알아채는 5가지 방법

암호화폐 시장이 활기를 띨수록 거래소와 지갑, 디파이(DeFi) 서비스를 그대로 복제한 피싱 사이트를 이용한 공격도 늘어날 수 있다. 주소창과 도메인, 고객지원 채널, 이메일 발신자와 앱 설치 경로를 확인하는 기본적인 습관이 비밀번호와 지갑 자산 탈취를 막는 첫 번째 방어선으로 꼽힌다.

2025년 미국 연방수사국(FBI) 인터넷범죄신고센터(IC3) 보고서에 따르면 피싱과 스푸핑 관련 신고는 19만1천561건으로 집계돼 가장 빈번한 사이버 범죄 유형 가운데 하나로 나타났다. 암호화폐와 관련된 신고 피해액은 110억달러를 넘어 사상 최대 규모를 기록했다.

블록체인 보안업체 스캠 스니퍼(Scam Sniffer)에 따르면 2025년 이더리움가상머신(EVM) 네트워크에서 지갑 드레이너(wallet drainer)로 발생한 피해액은 8천385만달러로 감소했지만, 피해가 집중된 시기는 이더리움 가격이 상승세를 보인 3분기였다.

시장 상승기에 이용자의 거래와 자산 이동이 늘어나고 빠른 판단을 요구받는 상황이 많아지면서, 링크와 서명 내용을 충분히 확인하지 않은 채 거래를 승인할 가능성도 높아진다는 설명이다.

피싱 공격 대상은 가상자산 거래소나 지갑에만 한정되지 않는다. 로그인 정보나 결제 정보를 입력하는 온라인 서비스라면 유사한 방식의 공격 대상이 될 수 있다.

국제 스포츠 베팅 플랫폼 다파벳(Dafabet)은 공식 한국어 웹사이트를 통해 정식 사이트와 위조 사이트를 구별하는 방법과 피싱 이메일, 사기성 애플리케이션을 식별하는 방법 등을 안내하고 있다. 서비스 유형은 다르지만 도메인 복제와 가짜 로그인 페이지, 위조 고객지원 채널 등을 활용한다는 점에서 관련 보안 원칙은 가상자산 서비스에도 적용할 수 있다.

가짜 사이트를 확인할 때 가장 먼저 살펴볼 부분은 주소창이다.

HTTPS 연결과 SSL 인증서 여부를 확인하고, 공식 도메인의 철자가 정확한지도 살펴봐야 한다. 추가 하이픈이나 원래 문자와 비슷하게 생긴 문자, 익숙하지 않은 도메인 확장자가 포함돼 있다면 피싱 사이트일 가능성을 의심할 필요가 있다.

언어 지원과 고객지원 정보도 확인 대상이다. 글로벌 서비스를 표방하지만 한 가지 언어만 제공하거나, 정상 서비스에서 사용하는 국가별 고객지원 채널 대신 특정 해외 전화번호와 무료 이메일 주소만 제시한다면 주의해야 한다.

흐릿한 로고나 이미지, 반복되는 문법 오류와 오탈자도 복제 사이트에서 나타날 수 있는 특징이다.

다만 HTTPS만으로 사이트의 안전성을 판단해서는 안 된다. 무료 SSL 인증서를 손쉽게 발급받을 수 있는 만큼 피싱 사이트 역시 HTTPS를 사용할 수 있기 때문이다. 공식 사이트 주소를 확인했다면 검색 결과나 메신저 링크를 반복해서 이용하기보다 브라우저 북마크에 저장해 직접 접속하는 방식이 상대적으로 안전하다.

이메일과 애플리케이션을 통한 피싱은 사용자가 사이트를 직접 찾아가는 방식과 달리 공격자가 먼저 접근한다는 점에서 더욱 주의가 필요하다.

사용자의 이름을 밝히지 않은 채 ‘Dear member’와 같은 일반적인 표현으로 시작하거나, 비밀번호 및 계정 정보 변경을 재촉하고 예상하지 못한 첨부파일을 보내는 이메일은 대표적인 위험 신호다.

메일에 포함된 링크 역시 표시되는 문구와 실제 이동 주소가 다를 수 있다. 링크 위에 마우스 커서를 올려 실제 연결되는 도메인을 확인하고, 공식 주소와 일치하지 않는다면 접속하지 않는 것이 좋다.

앱 설치에서도 출처 확인이 중요하다. 안드로이드에서는 일부 서비스가 공식 웹사이트에서 APK 파일을 직접 제공하기도 하지만, 메신저나 이메일을 통해 전달받은 APK 설치를 위해 ‘출처를 알 수 없는 앱’ 권한을 허용하는 것은 피하는 편이 안전하다.

가상자산 지갑에서도 비슷한 공격이 발견되고 있다. 스캠 스니퍼는 2025년 1월 이용자에게 시드 문구를 입력하도록 유도하는 가짜 팬텀(Phantom) 팝업 사례를 공개했다.

최근에는 단순히 로그인 정보를 탈취하는 것을 넘어 사용자가 정상적인 지갑 거래라고 착각하도록 만든 뒤 악성 서명을 받아내는 방식도 확산되고 있다.

스캠 스니퍼에 따르면 2025년에는 악성 Permit 서명을 이용한 자산 탈취가 주요 공격 방식으로 나타났으며, 이더리움 펙트라(Pectra) 업그레이드 이후에는 EIP-7702를 악용한 공격도 등장했다. 같은 해 발생한 가장 큰 규모의 관련 피해 가운데 하나는 Permit 서명을 통해 약 650만달러 상당의 자산이 탈취된 사례였다.

따라서 접속한 웹사이트가 익숙해 보이더라도 지갑이 어떤 권한을 요청하고 있는지, 승인 대상 자산과 금액은 무엇인지 별도로 확인할 필요가 있다.

기술적인 피싱 외에 메신저 등을 이용한 사회공학 공격도 이어지고 있다.

다파벳의 안내에는 Skype와 이메일, 카카오톡 등을 통해 이용자에게 직접 접근한 뒤 기존 서비스를 비방하고 다른 플랫폼으로 이동하도록 유도하는 이른바 ‘고객 가로채기’ 사례가 소개돼 있다.

가상자산 분야에서는 이미 피해를 입은 사용자를 다시 겨냥하는 ‘복구 사기(recovery scam)’도 문제가 되고 있다.

2025년 IC3에는 탈취된 자산을 되찾아주겠다며 접근하는 복구 사기 관련 신고가 1만500건 이상 접수됐고 피해액은 약 14억달러로 집계됐다. 일부 공격자는 IC3 직원이나 정부 관계자를 사칭한 것으로 나타났다.

인공지능(AI) 기술 역시 사회공학 공격을 더욱 정교하게 만드는 요인으로 지목된다. 2025년 FBI IC3 보고서에는 처음으로 AI 관련 범죄 항목이 별도로 포함됐으며 2만2천건 이상의 신고와 약 8억9천300만달러의 피해가 집계됐다.

전문가들은 갑작스럽게 로그인이나 지갑 연결, 자금 이체를 요구하는 메시지를 받았다면 메시지를 보낸 계정과 직접 대화를 이어가기보다 해당 서비스의 공식 웹사이트나 공식 고객지원 채널을 통해 요청의 진위를 다시 확인해야 한다고 조언한다.

피싱 공격자는 사이트의 화면과 로고, 이메일 형식까지 상당 부분 복제할 수 있지만 공식 도메인과 앱 배포 경로, 검증된 고객지원 채널까지 모두 동일하게 만들기는 어렵다.

결국 주소와 발신자, 앱 출처, 지갑 서명 내용을 몇 초 동안 확인하는 습관이 이미 탈취된 가상자산을 되찾기 위해 시간과 비용을 들이는 것보다 효과적인 보안 수단이 될 수 있다. Web3 보안은 스마트컨트랙트와 보안 솔루션뿐 아니라 사용자가 거래를 서두르지 않고 확인하는 과정에서부터 시작된다.