월렛 드레이너란? 작동 방식과 내 자산을 지키는 방법

Scam Sniffer의 2025년 연례 보고서에 따르면, 월렛 드레이닝 피싱으로 106,000명의 피해자가 8,385만 달러를 잃었어요. 2025년 상반기에만 암호화폐 이용자들이 피싱 공격으로 4억 1,075만 달러를 잃었고, 그 패턴은 비슷해요. 사용자가 그럴듯해 보이는 링크를 클릭하고, 월렛을 연결한 뒤, 승인 버튼을 누르면 자산이 빠져나가요. NFT 수집가, DeFi 사용자, 그리고 디스코드나 X(구 트위터)에서 잘못된 링크를 클릭한 일반 투자자 모두가 표적이에요.

월렛 드레이너는 블록체인을 해킹하지 않아요. 그럴 필요도 없어요. 사용자가 한 번의 클릭으로 전체 월렛 잔고를 쓸 수 있는 권한을 넘기도록 속이는 거예요. 이 가이드에서 월렛 드레이너의 작동 방식과 방어법을 자세히 설명해드릴게요.
 

월렛 드레이너의 작동 원리

월렛 드레이너란 사용자가 월렛을 연결하고 트랜잭션을 승인하거나, 무제한 승인 권한을 부여하도록 유도하는 악성 dApp 또는 피싱 흐름이에요. 이렇게 하면 자산이 빠져나가요.

핵심 메커니즘은 이렇습니다. 사이트가 정상처럼 보여서 월렛을 연결하면, 프라이빗 키, 시드 구문, 또는 월렛 승인을 요청하는 메시지가 떠요. 드레이닝 트랜잭션이나 무제한 토큰 접근을 승인하면 공격자가 자산을 옮길 수 있어요. 한 번의 승인만으로 충분할 수 있습니다. 이 공격은 시드 구문이나 프라이빗 키를 요구하지 않아요. 오직 사용자의 승인만 필요해요.

중요한 점은, 위험한 승인이라고 해서 항상 명확하게 보이지 않는다는 거예요. Scam Sniffer의 2025년 월렛 드레이너 데이터에 따르면, 100만 달러 이상 피해가 발생한 사건 중 38%가 퍼밋 기반 서명 공격이었어요.

서명 기반 드레이너는 한 단계 더 교묘해요. 일반적인 온체인 승인 트랜잭션 대신, 피싱 사이트가 "월렛 인증"이나 "에어드롭 받기" 같은 이름으로 오프체인 서명을 요구할 수 있어요. 토큰 전송처럼 보이지 않아서 위험해 보이지 않을 수 있고, 표준 ERC-20 승인처럼 명확한 기록이 남지 않을 수도 있어요.

이게 바로 함정이에요. 서명만으로도 퍼밋 방식 승인 흐름을 통해 토큰 사용 권한을 줄 수 있어요. Permit2 스타일 공격에서는 서명 하나로 기존 권한 경로의 토큰 전체에 대한 접근 권한을 부여할 수 있다는 점이 위험해요. "100 USDC 전송"처럼 명확한 메시지가 항상 뜨지 않아요. 관리용 메시지처럼 보여도, 결과적으로 공격자가 자산을 빠르게 옮길 수 있는 길을 열어줄 수 있어요.

더 단순한 승인 공격에서도 같은 패턴이 반복돼요. 악성 dApp은 사용자가 잘못된 지출자(spender)를 승인하도록 설득만 하면 암호를 뚫을 필요가 없어요. 블록체인은 월렛이 서명한 승인을 정상으로 처리해요. 그래서 가장 안전한 질문은 "이 사이트가 전문적으로 보이나?"가 아니라, "내가 누구에게, 어떤 권한을, 얼마 동안 주는가?"예요.
 

월렛 드레이너 유입 경로: 공격 벡터

위의 메커니즘은 사용자가 악성 사이트와 상호작용할 때만 작동해요. 즉, 사용자를 그 사이트로 유도하는 것이 공격의 나머지 절반이에요.

가짜 토큰이나 NFT 에어드롭은 월렛으로 직접 전송될 수 있고, 기존 컬렉션과 비슷한 이름을 쓰거나, 자산을 클릭하면 피싱 사이트로 연결돼요. 그래서 월렛에 갑자기 들어온 낯선 자산은 호기심이 아니라 의심해야 해요.
 

사칭 메시지와 가짜 프로필도 특히 위험해요. 사기꾼들은 유명 인사나 프로젝트를 사칭해 가짜 에어드롭을 홍보하고, 봇이나 가짜 계정으로 접근해요. Celestia TIA 런칭 때도 calestiatoken이라는 가짜 계정이 CelestiaOrg를 사칭해 이더리움 주소 제출을 유도했는데, Celestia는 이더리움 기반 프로젝트가 아니에요.

런칭 시기에는 유사 사이트가 쏟아져 나와요. 실제로 Celestia 에어드롭 기간 동안 비슷한 이름과 디자인을 가진 사이트가 수십 개 생겼어요. 사용자는 시간에 쫓겨 공식처럼 보이는 첫 결과를 클릭하는 경우가 많아서, 드레이너는 한 번의 조급한 방문만 노려요.

가짜 에어드롭 페이지는 공식 사이트와 거의 똑같은 이름, 레이아웃, 로고를 복제할 수 있어요. 에어드롭 정보를 확인할 땐 반드시 공식 웹사이트, 블로그, 공식 채널을 확인해야 해요.

스폰서 검색 결과, SNS 광고, 이메일, 텔레그램, 디스코드, X, 가짜 에어드롭 토큰, WalletConnect 피싱, 이메일 피싱 등 다양한 경로로 사칭 사이트와 피싱 메시지가 나타나요.

경고 신호는 비슷해요. 계정명에 미묘한 철자 차이, 오타, 팔로워 수가 적거나, 공식 채널에 없는 공지 등이에요.

위험한 승인 내역 점검 및 취소 방법

생각보다 더 많은 활성 승인이 남아 있을 수 있어요. 지금까지 했던 DeFi 활동마다 온체인에 승인 기록이 남아 있고, 일부는 무제한 권한일 수 있어요.

1단계: 승인 내역 점검

신뢰할 수 있는 승인 점검 도구를 사용하고, 월렛 연결 전 반드시 URL을 확인하세요. 자주 확인한다면 북마크를 이용하세요. 가짜 승인 점검 사이트도 타이밍만 다를 뿐 또 다른 피싱 페이지일 수 있어요.

사용하는 각 체인별로 활성 승인 내역을 확인하세요. 어떤 컨트랙트가 어떤 토큰을, 얼마까지 사용할 수 있는지, 실제 사용하는 서비스와 일치하는지 점검하는 게 목표예요.

먼저 무제한 승인부터 확인하세요. 이는 고정 금액이 아닌, 컨트랙트에 광범위한 지출 권한을 주는 승인입니다. 그다음 더 이상 사용하지 않는 프로토콜, 알 수 없는 컨트랙트, 의미 없는 대규모 승인도 점검하세요.

Permit2나 서명 기반 권한이 따로 표시된다면 그것도 확인하세요. 모르는 지출자, 광범위한 토큰 접근, 오래된 dApp 세션에서 남은 권한을 우선적으로 점검하세요. 실용적인 월간 점검을 위해 승인 내역을 세 그룹으로 나누세요. 현재 사용하는 프로토콜은 유지, 더 이상 필요 없는 대규모 권한은 축소 또는 취소, 알 수 없는 컨트랙트나 옛 캠페인과 관련된 것은 삭제하세요. DeFi 이용 자체를 어렵게 하라는 게 아니라, 오래된 권한이 위험이 되지 않도록 관리하는 거예요.

2단계: 의심스러운 승인 취소

신뢰할 수 없는 앱과 사용하지 않는 승인은 취소하세요. 취소하려면 온체인 트랜잭션이 필요해서 가스비가 발생해요. 무제한 승인부터, 그다음은 대규모 승인, 마지막으로 오래된 DeFi 세션에서 남은 승인 순으로 우선순위를 두세요.

이 비용이 바로 트레이드오프예요. 오래된 승인 하나를 닫기 위해 소액의 가스비를 내는 것이, 해당 컨트랙트에 영구적으로 권한을 남기는 것보다 훨씬 나아요. 가스비가 높을 땐 취소를 미루고, 가장 위험한 승인(무제한, 알 수 없는 컨트랙트, 몇 달간 사용하지 않은 프로토콜)부터 처리하세요.

앞으로 새로운 프로토콜을 이용할 때는, 트랜잭션에 필요한 최소한의 승인만 부여하고 무제한 승인은 피하세요. 이 과정을 매달 습관처럼 반복하세요. 실용적인 기준은 간단해요. 임의의 토큰이 "클레임" 또는 "언락"을 위해 사이트 방문을 요구하면, 무조건 사기로 간주하세요. 정상적인 프로토콜은 승인 처리에 시드 구문이나 프라이빗 키를 요구하지 않아요.

월렛 드레이너 방어 체크리스트

이 내용은 단순한 원론이 아니라, 위에서 설명한 각 공격 벡터에 대응하는 실질적인 수칙이에요.

• 사용하는 DeFi dApp은 반드시 북마크해두세요. 검색, 디스코드, X, 텔레그램 링크로 찾지 마세요.
   
• 월렛 연결 전 URL을 한 글자씩 정확히 확인하세요. 도메인 전체를 체크하세요.
   
• 월렛 승인 내역을 정기적으로 점검하고, 신뢰할 수 없는 앱과 무제한 승인 권한은 취소하세요.
   
• 북마크한 사이트가 아니라면 "월렛 인증"이나 "에어드롭 받기" 메시지에 서명하지 마세요.
   
• 에어드롭이나 민트 정보는 반드시 프로젝트 공식 채널에서 확인하고, 인플루언서 게시글만 믿지 마세요.
   
• 중요 자산은 하드웨어 지갑에 보관하세요. 실물 터치나 버튼 누름이 마지막 보안 체크포인트예요.
   
• 새로운 프로토콜이나 검증되지 않은 서비스는 전용 "버너 월렛"을 사용하세요. 메인 월렛은 알 수 없는 dApp에 연결하지 마세요.
   
• 월렛 앱, 운영체제, 브라우저를 항상 최신 상태로 유지하세요. 보안 취약점이 자주 패치돼요.
   
• 자산을 분리하세요: 소액, 자주 쓰는 금액은 핫월렛, 대규모 장기 보유분은 콜드 스토리지에 보관하세요.