암호화폐 보안: 흔한 사기, 피싱, 러그풀, 거래소 실제 해킹 사례

Unicorn Private Research. 2026년 10월 27일 게시.

암호화폐 사기와 해킹으로부터 어떻게 자신을 보호하나요? 대부분의 손실은 암호 기술이 뚫려서가 아니라 속아서 생깁니다. 가짜 웹사이트, 가짜 상담원, 가짜 투자 플랫폼, 악성 승인 등입니다. 기본 방어는 간단합니다. 시드 문구나 로그인 코드를 절대 공유하지 않고, 직접 입력하거나 저장해 둔 주소로만 회사에 연락하고, 인증 앱이나 하드웨어 키를 쓰고, 서명하기 전에 모든 주소와 승인을 확인하고, 고정 수익이나 매우 높은 수익을 약속하는 말은 경고 신호로 여기는 것입니다.

문제의 규모

FBI 인터넷범죄신고센터(IC3)는 2025년 암호화폐 관련 신고 181,565건을 접수했고, 신고 피해액은 약 114억 달러로 2024년보다 22% 늘었습니다. 암호화폐 투자 사기만으로 약 72억 달러, 암호화폐 ATM을 통한 피해는 3억 8,900만 달러에 달했습니다(2026년 4월 공개된 IC3 2025년 보고서, The Block 요약). 여기에 플랫폼 도난이 더해집니다. Chainalysis는 2025년 상반기에만 암호화폐 서비스에서 약 21억 7천만 달러가 도난당했다고 집계했습니다(Chainalysis 연중 보고서, 2025년 7월).

가장 흔한 사기

• 투자 사기: SNS, 데이트 앱, 메신저 단체방에서 알게 된 사람이 그럴듯한 플랫폼에서 수익을 보여 주며 입금액을 늘리게 한 뒤, 출금을 막거나 풀어 주는 대가로 수수료와 세금을 요구한다. IC3 자료에서 가장 큰 유형이다.
• 피싱: 거래소나 지갑 페이지를 흉내 낸 이메일, 문자, 검색 광고로 로그인 정보, 코드, 시드 문구를 훔친다.
• 가짜 고객 지원: 피해자가 공개적으로 질문한 뒤 나타나는 경우가 많은 SNS 계정이나 전화가 상담원을 사칭해 원격 접속, 코드, 이른바 안전한 지갑으로의 송금을 요구한다.
• 악성 승인과 지갑 드레이너: 사이트가 거래나 권한에 서명하게 해서 컨트랙트가 내 토큰을 옮길 수 있게 만든다.
• 주소 오염: 사기꾼이 내가 쓰는 주소와 비슷한 주소에서 아주 적은 금액을 보내, 거래 내역에서 그 주소를 복사하도록 유도한다.
• 러그풀: 토큰이나 프로젝트의 개발자가 돈을 모은 뒤 유동성을 빼거나 보유 물량을 팔아 버려, 구매자에게는 의미 있는 가격으로 팔 수 없는 토큰만 남는다.
• 가짜 경품과 에어드롭: 보낸 금액을 두 배로 돌려준다는 약속이나, 받으려면 지갑을 연결해야 하는 토큰.
• 회수 사기: 피해를 본 뒤 선불 수수료를 받고 자금을 되찾아 주겠다고 접근한다.

계정 보호

• 거래소마다, 그리고 연결된 이메일마다 길고 고유한 비밀번호를 쓰고 비밀번호 관리자에 저장한다.
• 유심 교체 공격에 취약한 문자 코드보다 인증 앱이나 실물 보안 키를 쓴다. 통신사에 번호 이동 잠금을 요청한다.
• 거래소가 제공하면 출금 주소 허용 목록과 피싱 방지 코드를 켠다.
• 거래소에는 주소를 직접 입력하거나 저장한 즐겨찾기로만 접속하고, 광고나 받은 링크는 쓰지 않는다.
• 기기를 최신 상태로 유지하고, 지갑과 확장 프로그램은 공식 스토어와 공식 링크에서만 설치하며, 쓰지 않는 확장 프로그램은 삭제한다.

시드 문구와 자기 보관형 지갑 보호

• 시드 문구는 오프라인으로 종이나 금속에 적고, 사진을 찍거나 클라우드에 저장하지 않는다.
• 웹사이트나 양식에 절대 입력하지 않는다. 지갑은 내 기기에서 복원할 때만 그것을 묻는다.
• 확정하기 전에 기기 화면에서 받는 주소 전체, 네트워크, 금액을 확인한다.
• 서명하는 내용을 읽는다. 더 이상 필요 없는 오래된 토큰 승인은 취소한다.
• 큰 자산은 콜드 스토리지나 멀티시그로 보관하고, 일상용으로는 별도의 핫 지갑을 쓴다.

거래소와 지갑에 대한 실제 공격

• Bybit, 2025년 2월 21일: 정기 이체 중 콜드 지갑에서 약 15억 달러어치 이더가 도난당했다. 2025년 2월 26일 FBI는 TraderTraitor로 알려진 북한 조직의 소행으로 지목했다(FBI IC3). Chainalysis는 이것이 2025년 상반기 서비스 도난액의 약 69%라고 추정했다.
• Coinbase, 2025년 5월: 범죄자들이 미국 밖 고객 지원 외주 인력을 매수해 고객 데이터를 얻은 뒤 Coinbase를 사칭해 고객이 자금을 보내도록 속였다. 회사는 2,000만 달러의 몸값 요구를 거절하고 비용을 1억 8천만~4억 달러로 추정했다(SEC에 제출한 8-K, 2025년 5월). 비밀번호와 개인 키는 노출되지 않았다.
• Trust Wallet, 2025년 12월: 유출된 스토어 인증 정보로 배포된 악성 브라우저 확장 프로그램 2.68 버전이 지갑에서 약 700만 달러를 빼냈다. 회사는 보상을 발표했다(The Block, 2025년 12월).
• Ledger, 2020년 6월: 전자상거래 데이터베이스 침해로 이메일 주소 약 100만 개와 고객 9,500명의 정보가 노출되었고, 이후 피싱 우편과 이메일에 쓰였다. 기기와 자금은 영향을 받지 않았다(Ledger, 2020년 7월).
• FTX, 2022년 11월: 해킹이 아니라 거래소의 붕괴였으며, 2022년 12월 13일 SEC 소장에 따르면 고객 자금이 유용되었다. 수탁 위험에는 공격뿐 아니라 부정행위도 포함된다는 점을 일깨운다.

문제가 생겼다면

빨리 움직이세요. 남은 자금을 새 시드 문구를 쓰는 새 지갑으로 옮기고, 비밀번호를 바꾸고, 승인을 취소하고, 공식 채널로 거래소에 연락하고, 경찰에 신고하세요. 미국에서는 ic3.gov에도 신고할 수 있습니다. 거래 해시와 화면 캡처를 보관하세요. 나중에 연락해 와서 돈을 내면 자금을 되찾아 주겠다고 하는 사람을 경계하세요.

보안과 Unicorn Club

거래 상대방에게 암호화폐로 결제할 때도 같은 규칙이 적용됩니다. 검증된 경로로 주소를 확인하고, 의심스러우면 먼저 소액으로 시험 송금을 하세요. Unicorn Private LLC가 운영하는 공인 투자자 클럽 Unicorn Club은 상장 전 기업 클럽 딜에 BTC, ETH, USDT, USDC(ERC-20)를 받습니다. 암호화폐로 상장 전 기업에 투자하는 방법 가이드가 결제가 확인되는 방식을 설명합니다.

자주 묻는 질문

도난당한 암호화폐를 되찾을 수 있나요?

자금이 수사 기관의 요청에 따라 동결하는 거래소로 들어간 경우처럼 가끔은 가능하지만, 대부분은 확정된 송금을 되돌릴 수 없습니다. 회수보다 예방이 중요합니다.

가짜 투자 플랫폼은 어떻게 알아보나요?

보장된 것처럼 보이는 수익, 추가 입금 압박, 한 번도 직접 만난 적 없는 상대, 추가 수수료를 요구하는 출금, 어떤 감독기관 등록부에도 없는 회사가 경고 신호입니다.

하드웨어 지갑만 있으면 충분한가요?

개인 키를 악성 코드로부터 지켜 주지만, 시드 문구를 알려 주거나 악성 거래를 승인하는 일까지 막지는 못합니다. 좋은 습관과 함께해야 효과가 있습니다.

관련 가이드

• Unicorn Club을 통해 암호화폐로 프리 IPO 기업에 투자하는 방법
• 비트코인과 이더 ETF, 그리고 암호화폐에 간접 투자하는 다른 방법
• 암호화폐 지갑 설명: 수탁형과 자기 보관형, 핫과 콜드, 시드 문구
• 첫 암호화폐 사는 방법, 단계별 안내
• 클럽 딜이란? 프리 IPO 클럽 딜의 구조

출처

• FBI Internet Crime Complaint Center, 2025 IC3 Report, April 2026
• The Block, FBI says crypto-related fraud losses hit record 11.4 billion dollars in 2025, April 2026
• Chainalysis, 2025 crypto crime mid-year update, July 2025
• The Record, Chainalysis: 2.17 billion dollars stolen in the first half of 2025, July 2025
• FBI IC3, public service announcement on the Bybit theft, 26 February 2025
• Coinbase Global, Form 8-K filed with the SEC, May 2025
• The Block, Trust Wallet extension incident, December 2025
• Ledger, addressing the July 2020 e-commerce and marketing data breach, July 2020
• SEC, charges against the founder of FTX, 13 December 2022