한 암호화폐 투자자가 거래내역에서 지갑 주소를 그대로 복사해 자금을 보냈다가, 글자 하나하나를 대조하지 않은 탓에 약 10만 달러를 잃었다고 온체인 추적업체 룩온체인이 전했다. 이 피해자가 당한 수법은 이른바 '주소 포이즈닝(address poisoning)'으로, 악성 링크를 클릭하게 하거나 잘못된 트랜잭션에 서명하도록 속일 필요조차 없다는 점에서 암호화폐 업계에서 유독 끈질기게 살아남은 사기 수법으로 꼽힌다. 누구나 무심코 하는 복사·붙여넣기 습관을 그대로 파고들기 때문이다.
수법 자체는 단순하지만 효과는 확실하다. 공격자는 활발히 움직이는 지갑을 감시하며 그 거래내역을 분석한 뒤, 피해자가 실제로 거래한 적 있는 주소와 앞뒤 몇 글자가 똑같은 '닮은꼴' 주소를 만들어낸다. 그런 다음 이 가짜 주소로 사실상 가치가 없는 소액 거래를 보내 피해자의 최근 거래내역에 자연스럽게 끼워 넣는다. 이후 피해자가 자금을 보낼 때 전체 문자열을 직접 입력하거나 확인하는 대신 거래내역에서 주소를 그대로 복사해 쓰면, 진짜 주소 대신 공격자가 심어둔 가짜 주소를 복사할 가능성이 실제로 생긴다.
빠르게 몸집을 불리는 사기
체이널리시스(Chainalysis)의 조사는 이 수법이 얼마나 빠르게 확산됐는지를 보여준다. 포이즈닝 시도 건수는 2025년 11월 약 62만 8,000건에서 2026년 1월 340만 건으로, 단 두 달 만에 다섯 배 넘게 뛰었다. 같은 자료에 인용된 카네기멜런 대학의 별도 연구에서는 1,700만 개 지갑을 겨냥한 온체인 포이즈닝 시도가 2억 7,000만 건을 넘어섰고, 확인된 피해액만 이미 8,300만 달러를 돌파한 것으로 나타났다.
같이 보면 좋은 기사: LAB 토큰, 내부자 매도 의혹 속 고점 대비 99% 폭락
다음 피해자가 되지 않으려면
보안 연구자들은 몇 가지 습관만 들여도 대부분의 포이즈닝 시도를 무력화할 수 있다고 말한다. 받는 사람 주소는 앞뒤 몇 글자가 아니라 전체를 확인할 것, 요청하지도 않았는데 들어온 소액 거래는 공짜가 아니라 경고 신호로 받아들일 것, 거래내역을 그대로 쓰기보다 직접 검증한 주소록을 따로 관리할 것, 새 주소나 자주 쓰지 않는 주소로 큰 금액을 보내기 전에는 소액으로 테스트 송금을 먼저 해볼 것 등이다.
이 가운데 기술적으로 어려운 것은 하나도 없다. 다만 사기 건수가 계속 느는 걸 보면, 이용자들의 습관이 아직 위협 속도를 따라가지 못하고 있다는 뜻이기도 하다. 지갑 인터페이스가 과거 거래내역에서 주소를 복사하는 걸 가장 손쉬운 방법으로 남겨두는 한, 낯익은 내역이라는 이유만으로 안전하다고 믿는 이용자들이 계속 피해를 입을 가능성이 크다.
