2026년 주소 독살 공격이란? 예방법과 Tangem의 보호 방식

2024년, 한 번의 주소 독살 공격으로 한 지갑에서 약 7,100만 달러 상당의 WBTC가 탈취됐어요. 악성 링크도, 시드 구문 유출도 없었어요. 대부분이 하는 대로 거래 내역에서 주소를 복사해 송금했을 뿐인데, 그 주소가 해커의 것이었죠. 이 공격이 무서운 이유는 피해자의 기술적 실수 없이도 습관만 노린다는 점이에요.

Address poisoning crypto 공격은 공개 거래 내역, 유사한 가짜 주소, 그리고 거래 내역에서 주소를 복사하는 습관을 노려요. 이 글에서는 공격의 작동 원리, 주요 타깃, 그리고 오늘부터 실천할 수 있는 예방법을 단계별로 설명합니다. 주소 독살 피해를 막으려면 거래 내역에서 주소를 복사하지 말고, 주소록을 활용해 저장한 주소만 사용하세요. 전체 주소를 직접 확인하고, 큰 금액을 옮기기 전에는 소액 테스트 송금을 먼저 해보는 것이 중요해요.

주소 독살 공격의 원리

이 공격은 크게 세 단계로 이뤄져요. 각 단계를 이해하면 스스로를 지키는 데 큰 도움이 됩니다.

1단계: Vanity 주소 생성

Vanity address란, 특정 접두사로 시작하는 블록체인 주소가 나올 때까지 반복적으로 생성한 표준 주소예요. 생성 과정은 단순히 원하는 접두사가 나올 때까지 키를 계속 만들어보는 방식이에요. 이렇게 하면 얼핏 보면 진짜와 거의 구분이 안 되는 주소가 만들어집니다.

공격자는 fake crypto address를 만들어 사용자가 이전에 송금한 주소의 앞뒤 몇 글자와 똑같이 보이게 해요. 예를 들어 진짜 주소가 0xA3f9...7c82라면, 공격자의 가짜 주소는 0xA3f1...7c82처럼 아주 비슷하게 보일 수 있어요. 대부분의 사용자는, 특히 지갑 UI가 주소 중간을 생략해서 보여줄 때, 이런 차이를 쉽게 놓칩니다.

2단계: 독살 거래(Zero-value Transfer)

공격자는 이렇게 만든 유사 주소에서 zero-value transfer 또는 아주 적은 금액을 피해자의 지갑으로 전송합니다. 이것이 step for the zero-value transfer attack이에요. 대부분의 블록체인에서 수수료는 거의 들지 않고, 피해자는 아무런 행동을 하지 않아도 됩니다.

이제 거래 내역에 가짜 주소가 진짜 송금 기록 바로 옆에 남게 돼요.

3단계: 함정 발동

다음에 같은 수신자에게 송금할 때, 사용자는 거래 내역을 열고 주소를 복사합니다. 그런데 이번에는 가짜 주소를 복사하게 되고, 자산은 해커에게 넘어가요.

이것이 transaction history attack crypto의 핵심이에요. 사용자가 거래 내역을 신뢰하는 습관만 노리기 때문에, 특별한 기술 지식이 없어도 누구나 피해자가 될 수 있습니다.

Real-world scale: 거래 내역 복사로 10만 달러 이상을 잃은 사례가 여러 건 있어요. 2024년에는 한 번의 주소 독살 공격으로 약 7,100만 달러 상당의 WBTC가 탈취됐습니다.

이런 경우 위험이 더 높아요

모든 사용자가 똑같이 위험한 건 아니에요. 공격자는 온체인 활동을 분석해 고액 자산가나 반복 송금자를 집중적으로 노립니다.

동일한 주소로 자주 송금한다면 위험이 커져요. 예측 가능한 송금 패턴은 공격자가 가장 선호하는 타깃이에요. 이들은 온체인 데이터를 모니터링하며, '자주 쓰는 주소'를 파악해 정상 송금 직후에 독살 거래를 보냅니다.

copy-paste from transaction history를 자주 쓰는 경우에도 위험이 높아요. 피해자 대부분이 이 습관 때문에 공격에 당합니다. 거래 내역 탭은 신뢰할 만해 보이지만, 실제로는 그렇지 않아요.

송금 전 전체 주소를 꼼꼼히 확인하지 않는다면 위험합니다. 공격자는 앞뒤 몇 글자만 맞추고 중간을 바꾼 주소를 만듭니다. 앞뒤 6글자만 확인하면, 교묘한 대체를 놓치기 쉽죠.

여러 개의 지갑을 사용하며 자주 자금을 이동한다면, 거래 내역이 많아져 독살 주소가 섞일 가능성도 커집니다. 전송 과정에서 실수할 위험도 높아지죠. crypto address spoofing은 사용자의 확인 습관과 실제로 확인한 범위의 차이를 노려요.

실천 가능한 5가지 예방법

이 다섯 가지 원칙을 지키면, 각 단계에서 공격을 차단할 수 있습니다.

Rule 1: Never copy from transaction history.

지갑의 주소록이나 연락처 기능만 사용하세요. 거래 내역 탭은 단순히 기록된 주소를 보여줄 뿐, 검증된 주소임을 보장하지 않아요. 공격자는 사용자의 동의 없이 가짜 주소를 거래 내역에 추가할 수 있습니다. 주소록에는 직접 저장한 주소만 들어가니 더 안전해요.

Rule 2: Verify the FULL address.

앞뒤 6글자만이 아니라 전체 주소를 모두 확인하세요. 블록 익스플로러에 수신 주소를 붙여넣고, 거래 내역이 기대하는 상대와 일치하는지 확인하세요. 각 블록체인마다 전용 익스플로러가 있으니, 올바른 네트워크의 익스플로러를 사용해야 합니다.

Rule 3: Send a test transaction first.

큰 금액을 옮길 때는 먼저 1달러 정도 소액을 보내고, 상대가 정상 수신했는지 확인한 뒤 전체 금액을 송금하세요. 블록체인 거래는 한 번 확정되면 취소가 불가능하니, 첫 송금 전 반드시 주소를 확인하는 습관이 중요합니다.

Rule 4: Use an address book in your wallet.

검증된 주소를 라벨과 함께 저장하세요. 한 번 저장한 주소는 라벨로 선택하면 되니, 거래 내역에서 복사할 필요가 없습니다. 이미 저장한 상대라면 주소를 다시 복사하거나 직접 입력하지 마세요.

Rule 5: Check the source of any dust.

의도치 않은 소액(마이크로 트랜잭션)이 들어오면, 해당 발신 주소는 절대 사용하지 마세요. 그대로 두고, 다시 송금하지 않는 것이 원칙입니다. 이런 소액이 바로 미끼이기 때문이에요.

Tangem은 주소 독살 공격을 어떻게 막아줄까요?

Tangem을 포함한 어떤 지갑도 퍼블릭 블록체인에서 dust 트랜잭션(소액 전송)을 완전히 막을 수는 없어요. 누구나 누구에게나 zero-value transfer를 보낼 수 있기 때문입니다. 하지만 Tangem은 사용자가 이런 공격에 당하지 않도록 구조적으로 보호해줍니다.

Tangem 하드웨어 지갑의 다중 보호 구조

Address Verification on Every Transaction

모든 거래를 서명하기 전에 Tangem 앱이 전체 수신 주소를 화면에 표시해요. 실물 카드 태그 과정이 반드시 필요해, 소프트웨어 지갑과 달리 사용자가 직접 확인할 시간을 줍니다. 앱에서 거래를 시작하면, 미서명 거래 데이터가 생성되고, 사용자가 카드를 태그하면 보안 칩이 내부적으로 서명해 전송합니다. 개인 키는 인터넷과 완전히 분리돼 있어요. 여기서 중요한 보호 포인트는 키 격리뿐 아니라, 태그 전 반드시 사람이 직접 주소를 확인해야 한다는 점이에요.

Address Book Integration

Tangem의 주소록 기능을 통해 자주 쓰는 수신자 주소를 저장하고, 라벨로 빠르게 선택할 수 있어요. 검증된 주소만 저장해두면, 거래 내역에서 복사하지 않아도 항상 안전하게 선택할 수 있습니다. Tangem은 수동 입력, QR 코드 스캔 등 다양한 방식도 지원해 거래 내역 복사를 원천적으로 줄여줍니다.

Hardware-Enforced Confirmation

만약 독살 주소가 실수로 워크플로우에 들어왔다 해도, 실물 카드 태그가 마지막 확인 단계예요. 앱에서 주소를 확인하고, 직접 눈으로 검증한 뒤 태그해야 거래가 실행됩니다. Tangem Mobile Wallet은 실수 방지를 위해 길게 누르기(롱프레스) 확인 기능(v5.35부터 도입)도 추가했어요.

One honest limitation: 앱 UI가 검증의 마지막 단계입니다. 태그 전 전체 주소를 꼼꼼히 읽는 습관이 곧 보호 장치예요.

Using Tangem to Avoid Address Poisoning

• 모든 정기 수신자에게는 Tangem 주소록을 활용하세요.
• 카드를 태그하기 전, 앱에 표시된 전체 주소를 한 글자씩 확인하세요.
• 거래 내역의 주소가 저장된 연락처와 다르다면, 진행 전 반드시 확인하세요.

만약 독살 주소로 송금했다면?

신속한 대응이 중요하지만, 먼저 받아들여야 할 사실이 있어요.

확정된 암호화폐 거래는 취소할 수 없습니다

블록체인에서 한 번 확정된 거래는 취소가 불가능해요. 비트코인은 보통 3~6회 컨펌을 최종 확정으로 보며, 약 1시간(10분 블록 기준)이 걸립니다. 이더리움은 약 12초 블록 타임으로 몇 분이면 컨펌이 완료돼요. 이미 컨펌된 거래라면, 기술적으로 자산을 되돌릴 방법이 없습니다.

그래도 할 수 있는 조치가 있습니다.

Document the transaction hash immediately. TXID는 공개되고 영구적이며, 한 번의 거래를 고유하게 식별합니다. 금액, 송신자, 수신자, 수수료, 상태를 기록하지만 지갑 접근 권한은 노출하지 않아요. TXID는 지갑이나 블록 익스플로러에서 복사해 안전한 곳에 보관하세요. TXID 공유는 안전하며, 보호해야 할 것은 개인 키와 시드 구문입니다.

Report to your exchange if the destination was an exchange address. 대부분의 공격자는 비수탁 지갑을 쓰지만, 만약 수신 주소가 거래소와 연관돼 있다면, 즉시 거래소의 컴플라이언스나 신고팀에 TXID, 시간, 관련 계정 정보를 전달하세요.

File a report with your local cybercrime authority. 미국은 FBI IC3, 영국은 Action Fraud 등 국가별 사이버 범죄 신고 기관에 신고하세요. 직접적인 자산 회수는 드물지만, 이런 신고가 대규모 범죄 추적에 도움이 됩니다.

The honest answer: 실제로 자산 회수는 거의 불가능해요. 예방이 최선입니다.

더 안전한 습관: 태그 전 반드시 확인하세요

Address poisoning crypto 공격은 고도의 해커나 부주의한 피해자가 아니라, 단 한 번의 습관(거래 내역 복사)만으로도 발생할 수 있어요. 2024년 7,100만 달러 WBTC 피해도 이런 식으로 일어났습니다. 거래 내역 복사로 10만 달러 이상을 잃은 사례도 많아요. 해결책은 행동과 구조의 변화입니다. 주소록을 사용하고, 매 거래마다 전체 주소를 확인하세요. 의심스러운 소액 입금은 경고 신호로 간주하세요. 큰 금액을 옮기기 전에는 꼭 테스트 송금을 해보세요.

Tangem 하드웨어 지갑은 이런 보호를 기본 설계에 반영했어요. 거래 내역 복사를 차단하는 주소록, 매번 전체 주소를 보여주는 확인 단계, 그리고 물리적 태그를 통한 마지막 체크포인트가 있습니다. 프로토콜 차원에서 공격을 완전히 막을 수는 없지만, 공격이 노리는 습관을 바꿔줍니다. 검증 중심의 사용 패턴을 원한다면 Tangem이 그 해답이에요. tangem.com에서 주문할 수 있습니다.