2026년 주소 중독 공격이란? 예방법과 Tangem의 보호 방식

2024년, 한 번의 주소 중독 공격으로 한 지갑에서 약 7,100만 달러 상당의 WBTC가 탈취됐어요. 악성 링크도, 시드 구문 유출도 없었어요. 대부분이 하듯 거래 내역에서 주소를 복사해 송금했을 뿐인데, 그 주소가 해커의 것이었습니다. 이 공격이 특별한 이유는 피해자의 기술적 실수 없이, 습관을 노린다는 점이에요.

Address poisoning crypto 공격은 공개 거래 내역, 유사한 주소, 그리고 거래 내역 복사 습관을 악용해요. 이 글에서는 공격의 실제 작동 원리, 주요 타깃, 그리고 오늘부터 실천할 수 있는 예방법을 안내합니다. 주소 중독을 피하려면 거래 내역에서 주소를 복사하지 말고, 주소록을 활용하고, 전체 주소를 꼼꼼히 확인하며, 큰 금액을 보낼 땐 먼저 소액 테스트 송금을 해보세요.

주소 중독 공격의 원리

이 공격은 세 단계로 이루어져요. 각 단계를 이해하면 스스로 방어할 수 있게 됩니다.

1단계: Vanity 주소 생성

vanity address란, 특정 접두사로 시작하도록 반복 생성한 일반 블록체인 주소예요. 원하는 패턴이 나올 때까지 키 생성과 주소 확인을 반복하죠. 이렇게 만들어진 주소는 얼핏 보면 진짜와 거의 구분이 안 됩니다.

공격자는 fake crypto address를 만들어, 사용자가 이전에 송금한 주소의 앞뒤 몇 글자와 똑같이 보이게 만듭니다. 예를 들어 진짜 주소가 0xA3f9...7c82라면, 공격자의 주소는 0xA3f1...7c82처럼 보일 수 있어요. 차이점이 보이나요? 대부분은 지갑 UI가 중간을 생략해서 잘못 복사하기 쉽습니다.

2단계: Poison 거래

이제 공격자는 해당 유사 주소에서 zero-value transfer(혹은 아주 적은 금액)를 사용자의 지갑으로 보냅니다. 이것이 바로 step for the zero-value transfer attack입니다. 대부분의 체인에서 수수료는 거의 들지 않아요. 사용자는 아무런 행동을 하지 않아도 됩니다.

이제 거래 내역에 진짜 송금 내역 바로 옆에 중독된(가짜) 주소가 남게 돼요.

3단계: 함정 발동

다음에 같은 수신자에게 송금할 때, 거래 내역에서 주소를 복사합니다. 그런데 그 주소가 가짜였던 거죠. 자금은 해커에게 넘어갑니다.

이것이 transaction history attack crypto의 핵심이에요. 사용자의 습관, 즉 거래 내역을 신뢰하고 복사하는 행동만으로도 공격이 성립합니다.

Real-world scale: 거래 내역 복사로 10만 달러 이상의 피해를 본 사례가 여러 건 있어요. 2024년 한 번의 주소 중독 공격으로 7,100만 달러가 탈취된 사례도 있습니다.

이런 경우 위험이 더 높아요

모든 사용자가 똑같이 노출되는 건 아니에요. 공격자들은 온체인 행동을 분석해 고액 송금자를 노립니다.

특정 주소로 반복 송금한다면 위험이 높아요. 예측 가능한 패턴이 공격자에게 노출됩니다. 공격자는 자주 사용하는 수신 주소를 파악해, 정상 송금 직후에 중독 거래를 끼워 넣어요.

copy-paste from transaction history를 자주 쓴다면 특히 취약합니다. 피해자 대부분이 이 방법으로 공격에 당해요. 거래 내역 탭은 신뢰할 만해 보이지만, 실제로는 검증된 주소가 아닙니다.

송금 전 전체 주소를 꼼꼼히 확인하지 않는다면 위험합니다. 공격자는 앞뒤 몇 글자만 같은 주소를 만들어 속입니다. 앞뒤 6자리만 보고 넘어가면 바뀐 부분을 놓칠 수 있어요.

여러 지갑을 사용하며 자주 자금을 이동한다면, 거래 내역이 많아져서 중독된 주소가 섞이기 쉽고, 송금 시 실수할 확률도 높아집니다. crypto address spoofing이 통하는 이유는 사용자가 확인했다고 착각하는 틈을 노리기 때문이에요.

실천할 수 있는 5가지 예방법

아래 다섯 가지 원칙을 꾸준히 지키면, 공격을 효과적으로 차단할 수 있어요.

Rule 1: Never copy from transaction history.

지갑의 주소록이나 연락처 기능을 사용하세요. 거래 내역 탭은 과거에 등장한 주소를 보여줄 뿐, 검증된 주소가 아닙니다. 공격자는 사용자의 동의 없이 가짜 주소를 거래 내역에 심을 수 있어요. 주소록에는 직접 저장한 주소만 남아 있습니다.

Rule 2: Verify the FULL address.

앞뒤 6자리만 보지 말고, 전체 주소를 한 글자씩 확인하세요. 블록 익스플로러에서 주소를 붙여넣고, 거래 내역이 기대하는 수신자와 일치하는지 확인하세요. 블록체인 익스플로러는 주소별 거래 내역을 영구적으로 기록해, 송금 전 수신자를 검증할 수 있게 해줍니다. 체인마다 익스플로러가 다르니, 거래하는 네트워크에 맞는 익스플로러를 사용하세요.

Rule 3: Send a test transaction first.

큰 금액을 보낼 때는 먼저 1달러 정도 소액을 보내고, 수신 확인 후 전체 금액을 전송하세요. 이 과정이 몇 분 더 걸리지만, 그만큼 안전합니다. 블록체인 거래는 한 번 확정되면 취소할 수 없어요. 일부 체인에서는 미확정 거래에 한해 교체가 가능하지만, 송금 전 수신 주소를 반드시 확인하는 게 안전합니다.

Rule 4: Use an address book in your wallet.

확인된 주소를 라벨과 함께 저장하세요. 한 번 저장된 주소는 라벨로 선택하면 되기 때문에, 거래 내역에서 복사할 필요가 없습니다. 이미 저장한 수신자라면, 주소를 다시 입력하거나 복사하지 마세요.

Rule 5: Check the source of any dust.

예상치 못한 소액 입금(마이크로 트랜잭션)을 받았다면, 해당 주소로 아무것도 하지 마세요. 절대 다시 송금하지 마세요. 이 소액이 바로 미끼입니다. 여기에 반응하면 함정이 완성돼요.

Tangem은 주소 중독 공격을 어떻게 막을까요?

Tangem을 포함한 어떤 지갑도, 퍼블릭 블록체인에서 dust 트랜잭션 자체를 막을 수는 없어요. 누구나 어떤 주소로든 zero-value transfer를 보낼 수 있습니다. 이건 프로토콜 차원의 한계지, 제품의 한계가 아니에요. 하지만 Tangem은 사용자가 공격에 당하지 않도록 구조적으로 방어 장치를 제공합니다.

Tangem 하드웨어 지갑의 다층 보호 구조

Address Verification on Every Transaction

모든 송금 전, Tangem 앱은 전체 수신 주소를 화면에 표시해 사용자가 직접 확인하도록 해요. 실물 카드 태깅(터치) 과정은 소프트웨어 지갑에서는 없는, 한 번 더 확인할 수 있는 '멈춤'을 제공합니다. Tangem의 거래 서명 과정은 앱에서 거래를 생성하고, 사용자가 카드를 태그하면 보안 칩이 내부적으로 서명해, 앱이 서명된 거래를 전송합니다. 이 과정에서 개인 키는 인터넷에 연결된 기기와 절대 접촉하지 않아요. 여기서 중요한 건 키의 격리뿐 아니라, 태깅 전 반드시 사람이 주소를 확인하는 절차가 있다는 점입니다.

Address Book Integration

Tangem의 주소록 기능을 통해 자주 쓰는 주소를 저장하고, 라벨로 빠르게 선택할 수 있어요. 한 번 검증된 주소를 저장하면, 거래 내역 복사 대신 라벨로 선택합니다. 거래 내역에 무엇이 표시되든, 저장된 검증 주소만 사용돼요. Tangem은 수동 입력이나 QR 코드 스캔도 지원해, 거래 내역 복사에 의존하지 않아도 됩니다.

Hardware-Enforced Confirmation

만약 중독된 주소가 실수로 워크플로우에 들어왔더라도, 실물 카드 태깅이 마지막 확인 단계가 됩니다. 앱에서 주소를 직접 보고, 확인하고, 태깅해야만 거래가 실행돼요. 이 물리적 확인 없이는 송금이 이뤄지지 않습니다. Tangem Mobile Wallet은 실수 방지를 위해 거래 서명 시 롱프레스(길게 누르기) 확인도 지원해요(v5.35부터).

One honest limitation: 앱의 UI가 검증 레이어 역할을 합니다. 태깅 전 앱에서 전체 주소를 읽고 확인하는 과정이 필수예요. 이 단계가 바로 보호 장치입니다.

Using Tangem to Avoid Address Poisoning

• 모든 정기 수신자에게 Tangem 주소록을 사용하세요.
• 카드를 태그하기 전, 앱에 표시된 전체 주소(모든 글자)를 직접 확인하세요.
• 거래 내역에 뜬 주소가 저장된 연락처와 다르다면, 즉시 중단하고 원인을 확인하세요.

중독된 주소로 송금했다면?

속도가 중요하지만, 먼저 받아들여야 할 진실이 있습니다.

확정된 암호화폐 거래는 취소할 수 없어요

한 번 확정된 블록체인 거래는 취소가 불가능해요. 비트코인은 보통 3~6회 컨펌이 나면 최종 확정으로 간주하며, 10분 블록 기준 약 1시간이 걸립니다. 이더리움은 12초 블록 기준 몇 분이면 확정돼요. 이미 컨펌된 거래라면, 기술적으로 자금 회수는 불가합니다.

그래도 시도해볼 수 있는 조치가 있습니다.

Document the transaction hash immediately. TXID(트랜잭션 해시)는 공개·영구적이며, 특정 체인에서 단일 거래를 고유하게 식별합니다. 송금액, 발신자, 수신자, 수수료, 상태를 기록하지만, 지갑 접근 권한은 노출하지 않아요. 지갑이나 블록 익스플로러에서 복사해 안전하게 보관하세요. TXID는 공개 데이터라 공유해도 안전합니다. 보호해야 할 것은 개인 키와 시드 구문이에요.

Report to your exchange if the destination was an exchange address. 대부분의 공격자는 비수탁형 주소를 쓰지만, 만약 수신 주소가 거래소와 연관돼 있다면, 즉시 거래소의 컴플라이언스 또는 신고팀에 트랜잭션 해시와 타임스탬프, 계정 정보를 전달하세요.

File a report with your local cybercrime authority. 미국은 FBI 산하 IC3, 영국은 Action Fraud가 해당 기관입니다. 직접 자금 회수로 이어지는 경우는 드물지만, 이런 신고가 대규모 범죄 추적에 도움이 됩니다.

The honest answer: 실제로 자금 회수는 거의 불가능합니다. 예방이 전부예요.

더 안전한 습관: 태깅 전 반드시 확인하세요

Address poisoning crypto 공격은 고도의 해커나 부주의한 피해자가 아니라, 단 한 번의 습관(거래 내역 복사)만으로도 발생해요. 2024년 7,100만 달러 WBTC 손실도 그랬습니다. 거래 내역 복사로 10만 달러 이상을 잃은 사례도 여럿 있어요. 해결책은 습관과 구조의 변화입니다. 주소록을 사용하고, 매 거래마다 전체 주소를 확인하세요. 원치 않는 소액 입금은 호기심이 아니라 경고로 받아들이세요. 큰 금액을 보낼 땐 반드시 테스트 송금을 하세요.

Tangem 하드웨어 지갑은 이런 보호를 기본 설계에 담고 있어요. 주소록으로 거래 내역 복사를 차단하고, 태깅 전 전체 주소를 표시하며, 실물 확인 단계로 한 번 더 멈추게 합니다. 프로토콜 차원에서 공격을 완전히 막을 순 없지만, 공격이 기대는 습관 자체를 없애줍니다. 검증을 습관이 아닌 구조로 만드는 지갑을 원한다면, Tangem이 바로 그 해답이에요. tangem.com에서 주문할 수 있습니다.