유독한 ‘먼지’: 부주의로 인해 수백만 달러가 어떻게 도둑맞는지

MetaMask, Rabby 또는 Etherscan을 열면 평소와 다른 활동이 눈에 띕니다. 지갑으로 극소량의 USDT, USDC 또는 ETH가 입금되고 있는 것입니다. 때로는 $0.01, 때로는 $0.0001, 또 때로는 아예 0 USDT인 경우도 있습니다. 게다가 발신자 주소는 여러분이 이미 거래를 진행한 적이 있는 주소들과 의심스러울 정도로 비슷합니다.

어떤 경우에는 여러분이 절대 승인한 적이 없는 발신 거래 내역이 나타나기도 합니다.

가장 먼저 드는 생각은 지갑이 해킹당했다는 것입니다. 하지만 종종 원인은 완전히 다른 데 있습니다. 바로 ‘Address Poisoning’, 즉 ‘주소 중독’입니다.

이는 악의적인 공격자가 거래 내역에 가짜 주소를 심어두어, 사용자가 언젠가 잘못된 주소를 복사해 스스로 돈을 보내게 될 것을 노리는 사기 수법입니다.

2026년에 이르러 이러한 공격은 대규모로 확산되고 자동화되었습니다. 주소 복사 시 단 한 번의 실수로 인해 수천만 달러가 손실된 사례도 보고되었습니다.

Address Poisoning이란 무엇인가?

어드레스 포이즌링(Address Poisoning)은 사용자가 암호화폐 지갑의 거래 내역을 신뢰하는 점을 악용하는 공격입니다.

여러분이 두 개의 개인 지갑 간에, 혹은 거래소의 입금 주소로 정기적으로 USDT를 이체한다고 가정해 봅시다.

여러분은 이미 필요한 주소가 0x6d90 로 시작하고 2e48로 끝난다는 사실을 이미 기억하고 계실 것입니다. 송금을 다시 해야 할 때, 거래 내역을 열어 익숙한 주소를 찾아 복사하게 됩니다.

사기꾼은 바로 이 점을 노립니다.

사기꾼은 실제 수취인의 주소와 첫 번째 및 마지막 문자가 일치하는 자신만의 암호화폐 주소를 생성합니다. 그런 다음, 미미한 양의 암호화폐를 보내거나, 금액이 0인 거래 또는 가짜 토큰 이체를 생성합니다.

이제 사기성 주소가 여러분의 거래 내역에 나타납니다.

가장 큰 위험은, 소액 거래 수령 시점에 돈이 사라지지 않는다는 점입니다. 도난은 사용자가 스스로 가짜 주소로 자금을 송금할 때 비로소 발생합니다.

악성 주소의 모습: 2026년의 실제 사례

2026년 1월 30일, 이더리움에서 공격이 발생하여 한 사용자가 공격자에게 4,556 ETH를 송금했습니다. 분석 기업 Bitquery는 사건 발생 당시 ETH 시세를 기준으로 이 송금액을 약 1,240만 달러로 추산했습니다.

연구진은 다음과 같은 주소를 확인했습니다:

수취인의 실제 주소:
0x6d90cc8ce83b6d0acf634ed45d4bcc37eddd2e48

공격자의 주소:
0x6d9052b2df589de00324127fe2707eb34e592e48

두 주소 모두 0x6d90 로 시작하고 2e48.

주소 중간 부분을 생략하는 지갑 인터페이스에서 어떻게 표시되는지 살펴보겠습니다:

이렇게 축약된 형식으로 보면 주소들은 시각적으로 동일해 보입니다. 주소의 중간 부분은 완전히 다르지만, 사용자는 이를 알아차리지 못할 수 있습니다.

도난이 발생하기 전, 공격자는 피해자의 지갑으로 여러 차례 극소량의 ETH를 송금했습니다. 첫 번째 송금은 2025년 10월 3일에 기록되었습니다. 몇 달 후, 피해자는 4,556 ETH를 위조된 주소로 송금했습니다.

왜 사기꾼들은 특히 마지막 4~5개의 문자와 숫자를 골라내는 것일까요?

이 메커니즘을 이해하려면 이더리움 및 기타 EVM 네트워크의 주소가 어떻게 구성되어 있는지 아는 것이 중요합니다.

이더리움 주소는 0x. 0부터 9까지의 숫자와 a부터 f까지의 문자가 사용됩니다.

각 문자는 총 16가지의 가능한 값을 가집니다.

악의적인 사용자는 해당 개인 키를 유지한 채 주소의 여러 문자를 마음대로 변경할 수 없습니다. 대신, 적합한 조합을 찾을 때까지 새로운 개인 키와 주소를 대량으로 생성합니다.

이러한 주소를 ‘바니티 주소(vanity addresses)’라고 부르며, 이는 미리 정해진 기호 조합으로 구성된 주소를 의미합니다.

일치시키는 난이도는 기하급수적으로 증가합니다: 일치하는 16진수 문자가 하나 추가될 때마다 평균 시도 횟수가 16배씩 늘어납니다.

이 값들은 대소문자를 구분하지 않고 비교할 때 균일하게 분포된 주소에 대한 수학적 기대값입니다. 실제 탐색 시간은 하드웨어 및 생성기 구현 방식에 따라 달라집니다.

여기서 두 가지 상황을 구분하는 것이 중요합니다.

마지막 4~5자만 일치하는 경우는 비교적 적은 양의 연산만 필요합니다. 이러한 주소를 찾는 것은 꽤 간단합니다.

첫 4~5자리와 마지막 4~5자리가 동시에 일치하는 경우는 훨씬 더 복잡합니다: 이미 수십억 또는 수조 개의 후보가 존재하기 때문입니다. 그러나 최적화된 소프트웨어, GPU 및 병렬 연산을 활용하면 이러한 작업도 기술적으로 실현 가능합니다.

사기꾼들에게는 완벽한 복제본이 필요하지 않습니다. 지갑에 표시되거나 사람이 확인하는 주소의 특정 부분만 일치하면 충분합니다.

따라서 양쪽 끝에서 4~5개의 문자를 사용하는 것은 계산 비용과 시각적 유사성 사이에서 흔히 택하는 절충안입니다.

바로 주소의 중간 부분을 점 세 개로 가리는 인터페이스들이 이러한 공격을 효과적으로 만듭니다.

하지만 복제 주소를 생성하는 것이 이더리움의 암호 체계를 해킹하는 것은 아닙니다. 실제 주소의 개인 키는 공격자에게 알려지지 않은 채로 남아 있습니다.

왜 $0.0001, 0 USDT 및 기타 소액 금액을 보내야 할까요?

초소액 송금의 목적은 가치를 전달하는 것이 아니라, 원하는 주소를 거래 내역에 남기는 것입니다.

기술적으로 사기꾼들은 몇 가지 방법을 사용합니다.

1. Dust transfers — 더스트 송금

악의적인 사용자는 실제로 자신의 유사한 주소에서 지갑으로 극소량의 ETH, USDT 또는 다른 토큰을 전송합니다.

그 결과, 해당 주소가 수신 거래의 발신자로 표시됩니다.

송금된 자산의 가치는 잠재적 수익에 비해 미미할 수 있습니다. 이 경우에도 사기꾼은 필요한 네트워크 수수료를 여전히 지불합니다.

단위를 혼동하지 않는 것이 중요합니다: 0.01 센트는 $0.0001이며, $0.01은 1센트입니다. 인터페이스에는 반올림된 금액이 표시될 수 있으므로, 실제 이체 금액은 이보다 더 적을 수 있습니다.

2. Zero-value transfers — 제로 가치 전송

일부 ERC-20 계약에서는 transferFrom 토큰 지출에 대한 명시적인 승인 없이도 가능합니다.

이를 통해 Transfer 생성할 수 있으며, 이는 피해자의 지갑에서 이루어진 거래처럼 보일 수 있습니다.

이러한 전송 자체만으로는 공격자가 개인 키에 접근했거나 자산을 처분할 수 있게 되었다는 것을 의미하지는 않습니다.

3. 이벤트 스푸핑 — 이벤트 위조

사기꾼들은 자체 토큰 계약을 배포하고 Transfer를 생성하여 실제 거래를 모방합니다.

예를 들어, 심볼이 USDT가 있는 가짜 토큰을 생성합니다. 이 토큰의 계약은 겉보기에는 실제 테더(Tether) 거래와 유사한 이체 내역을 블록체인에 알립니다.

일부 인터페이스는 진짜와 가짜 토큰 계약을 충분히 세심하게 구분하지 못할 경우, 이를 사용자의 거래 내역에 표시할 수 있습니다.

그 결과, 사용자가 결코 서명하지 않은 송금 내역이 표시될 수 있습니다.

바로 이 때문에 토큰 이름뿐만 아니라 계약 주소와 거래 발신자도 반드시 확인해야 합니다.

자세히 보기: Etherscan의 Address Poisoning에 대한 공식 가이드 .

2026년이 되면 이러한 공격은 얼마나 대중화되었을까요?

어드레스 포이즌링은 이미 오래전부터 드문 수작업 사기 수법이 아닙니다.

USENIX Security 2025 컨퍼런스에서 발표된 ‘Blockchain Address Poisoning’ 연구에서, 카네기 멜론 대학교(Carnegie Mellon University)의 연구진과 공동 저자들은 2022년 7월 1일부터 2024년 6월 30일까지의 기간 동안 이더리움(Ethereum)과 BNB 스마트 체인(BNB Smart Chain)을 분석했습니다.

연구진은 다음과 같은 사실을 밝혀냈습니다:

• 약 2억 7천만 건의 주소 중독 시도.
• 1,700만 개 이상의 주소가 공격을 받은 것으로 나타났다.
• 6,633건의 자금 우회 성공 사례가 확인되었다.
• 피해자들의 총 이체 금액은 최소 8,380만 달러에 달한다.

마지막 금액은 자동으로 최종적인 회수 불가능한 손실로 간주할 수는 없습니다. 알려진 일부 사례에서 송금된 금액의 일부가 반환되었기 때문입니다.

출처: USENIX Security 2025 — Blockchain Address Poisoning .

2026년 3월, Etherscan은 활동 증가에 대한 추가 데이터를 공개했습니다.

2025년 12월 3일에 진행된 이더리움 Fusaka 업데이트 이후 90일 동안, 0.01달러 미만의 USDT 송금 건수는 이전 90일 대비 420만 건에서 2,990만 건으로 증가했습니다.

증가율은 612%에 달했다.

이는 2,990만 건의 거래가 모두 사기였다는 의미는 아닙니다. Etherscan은 모든 소액 송금이 공격은 아니라고 분명히 밝히고 있습니다. 하지만 대규모 주소 중독 캠페인이 이러한 활동에 일조하고 있습니다.

또한 MetaMask는 2026년 6월, 파트너사인 Blockaid가 2025년 1월부터 2026년 2월까지의 기간 동안 6,540만 건의 거래를 주소 중독으로 표시했다고 밝혔습니다.

이는 시스템이 탐지한 건수일 뿐, 실제로 성공한 도난 건수는 아닙니다.

실제 사례: 사용자들이 수백만 달러를 잃게 된 과정

2024년 5월 — 약 6,800만~7,100만 달러 상당의 WBTC

2024년 5월 3일, 한 이더리움 사용자가 이전에 사용된 주소를 모방한 공격자의 주소로 1,155 WBTC를 전송했습니다.

초기 거래 당시 자산 가치는 약 6,800만 달러로 평가되었습니다. 다른 보도 자료에서는 자산 평가액 변경에 따라 약 7,100만 달러라는 금액이 언급되기도 했습니다.

Chainalysis는 거래 경로를 재구성하고 주소 조작 방식을 확인했다.

공개 협상 끝에 공격자는 피해자에게 주요 금액을 반환했다.

중요한 세부 사항: 대규모 송금액은 회수하는 데 성공했지만, 체인애널리시스는 주요 피해자에게 자금이 반환된 점을 감안하더라도 공격자가 더 광범위한 캠페인을 통해 얻은 수익을 약 149만 달러로 추산했다.

출처: Chainalysis — Anatomy of an Address Poisoning Scam .

2025년 12월 — 약 5,000만 USDT

2025년 12월 20일, 가장 대표적인 사례 중 하나가 발생했습니다.

한 사용자가 자신의 지갑 간에 거액의 USDT를 이체할 계획이었습니다.

먼저 그는 실제 주소로 50 USDT를 테스트 송금했습니다. 그 후, 공격자의 자동화 시스템은 수취인 주소의 첫 5자리와 마지막 4자리가 일치하는 복제 주소를 생성했습니다.

이 위조 주소는 소액 송금을 통해 거래 내역에 자연스럽게 녹아들게 되었습니다.

테스트 후 약 26분이 지나자, 사용자는 49,999,950 USDT를 사기 주소로 송금했습니다.

The Block과 SlowMist의 자료에 따르면, 공격자는 USDT를 빠르게 DAI로, 그다음 ETH로 교환했다. 자산의 상당 부분은 Tornado Cash를 통해 이체되었다.

피해자는 원금 반환을 조건으로 100만 달러의 현상금을 걸었습니다. 검증된 보도에 따르면 현상금 제안은 확인되었으나, 이 사건에서 자금 반환 여부는 확인되지 않았습니다.

이번 사건은 또 다른 문제를 보여준다. 테스트 송금은 일부 실수를 방지해 주지만, 테스트 후 사용자가 이미 해킹당한 내역에서 주소를 다시 복사할 경우 안전을 보장하지는 못한다.

출처: The Block, 2025년 12월 20일.

2026년 1월 — 4,556 ETH, 약 1,240만 달러

2026년 1월 30일, 이전에 같은 거래 상대방에게 여러 차례 ETH를 송금했던 지갑을 대상으로 한 공격이 발생했습니다.

사기 주소는 첫 네 자리와 마지막 네 자리가 실제 주소와 일치했다.

악의적인 공격자는 2025년 10월부터 소액 송금을 보내기 시작했습니다. 2026년 1월 또 한 번의 소액 송금이 이루어진 후, 사용자는 4,556 ETH를 가짜 수취인에게 송금했습니다.

약 33분 후, 자금은 다른 주소로 인출되었습니다.

Bitquery는 관련 당사자들의 주소와 해당 거래의 해시를 공개하여, 거래 체인을 독립적으로 조사할 수 있도록 했습니다.

출처: Bitquery, 2026년 8월 분석.

2026년 8월 — 가짜 테스트 송금 후 약 $39,890

Bitquery가 공개한 분석 보고서에는 2026년 8월 9일의 사건도 언급되어 있습니다.

한 사용자가 115.147641 USDT 규모의 테스트 송금을 보냈습니다.

12초 후, 사기 계약은 복제 주소로 송금되는 것처럼 위장한 가짜 이벤트를 생성했습니다.

약 13분 후, 사용자는 잘못된 주소로 약 39,890 USDT를 송금했습니다.

이 사례는 특히 명확하게 보여줍니다: 공격은 주소의 외관뿐만 아니라 방금 완료된 거래의 금액까지 복제할 수 있습니다.

출처: Bitquery — 이더리움의 주소 포이즌링 .

2026년에는 어떤 방어 수단이 존재할까요?

최근 몇 년간 블록체인 분석 도구뿐만 아니라 사용자 지갑 자체에도 방어 메커니즘이 도입되었습니다.

1. Etherscan의 공개 태그 — Poisoning Address

Etherscan은 탐지된 사기 주소 중 일부에 특별한 공개 태그를 부여합니다.

의심스러운 지갑 페이지에는 다음과 같은 표시가 나타날 수 있습니다:

• Poisoning Address
• Fake_Phishing...
• Phish / Hack

일부 주소의 경우, Etherscan은 해당 주소가 주소 중독 공격에 연루되었다는 경고도 표시합니다.

예를 들어, Etherscan의 이 주소는 악의적인 사용자가 주소 중독(address poisoning)에 사용한 것으로 표시되었습니다.

이러한 공개 태그는 사용자가 수동으로 태그를 생성할 필요 없이 자동으로 표시됩니다. Etherscan은 사기성 주소와 위조 토큰을 적극적으로 식별하고 있음을 확인합니다.

그러나 태그가 없다고 해서 안전함을 보장하는 것은 아닙니다. 시스템이 이를 식별하기 전에 새로운 주소가 나타날 수 있습니다. 공개 경고는 추가적인 지표일 뿐, 보호를 보장하는 것은 아닙니다.

2. Etherscan에서 0 토큰 전송 및 의심스러운 토큰 숨기기

Etherscan은 기본적으로 0 토큰 이체를 숨기며, 평판이 낮은 토큰이 포함된 거래를 필터링하는 메커니즘을 사용합니다.

사용자는 또한 ‘토큰 무시 목록(Token Ignore List)’을 적용할 수도 있습니다.

그 결과, 일부 사기 거래가 인터페이스를 어지럽히지 않게 됩니다.

이는 주소를 실수로 복사할 가능성을 줄여주지만, 블록체인 내의 기록을 완전히 제거하지는 않습니다.

3. Address Highlight 및 Etherscan의 개인 태그

Address Highlight 기능은 브라우저 인터페이스에서 동일한 주소를 시각적으로 강조 표시해 줍니다.

이 기능은 Site Settings비활성화된 경우 활성화할 수 있습니다.

또한, Etherscan은 Private Name Tags, 즉 주소의 개인 태그를 지원합니다.

예를 들어, 검증된 수취인에게 ‘내 USDT 지갑’이나 ‘거래소 입금 주소’와 같은 이름을 지정할 수 있습니다.

이러한 태그는 인증된 Etherscan 계정에서 사용할 수 있으며, 익숙한 주소를 우연히 닮은 주소와 구별하는 데 도움이 됩니다.

중요: 개인 태그는 주소의 초기 확인을 대체하지 않습니다. 올바른 수신자가 확인된 후에만 이 태그를 지정해야 합니다.

4. MetaMask의 Address Poisoning 자동 탐지

2026년 6월 17일, MetaMask는 Address Poisoning Detection 기능을 도입한다고 발표했습니다.

이 기능은 사용자가 전송 전에 입력한 주소를 이전에 사용된 주소들과 비교합니다.

주소가 익숙해 보인다면(예: 첫 번째와 마지막 문자는 같지만 중간 부분이 다른 경우), 지갑은 거래를 실행하기 전에 경고를 표시합니다.

또한 이전에 사용된 적이 없는 주소로 전송할 때도 별도의 경고가 표시됩니다.

MetaMask에 따르면, 출시 시점 기준으로 이 기능은 EVM 네트워크용 모바일 앱과 브라우저 확장 프로그램에서 사용할 수 있게 되었습니다.

새로운 경고 기능이 있다고 해서 잘못된 송금이 기술적으로 불가능해지는 것은 아닙니다. 사용자는 여전히 직접 거래를 확인할 수 있습니다.

공식 출처: MetaMask — Address Poisoning Detection, 2026년 6월.

5. 주소록 및 신뢰할 수 있는 수신자 목록

정기적인 송금을 위한 가장 신뢰할 수 있는 관리 방법은 검증된 주소를 미리 저장해 두는 것입니다.

예를 들어, MetaMask에서는 Contacts를 사용할 수 있습니다. 다른 지갑이나 서비스에도 주소록이나 신뢰할 수 있는 수신자 목록과 유사한 기능이 있습니다.

원리는 간단합니다: 수취인의 주소는 신뢰할 수 있는 출처를 통해 확인한 후 한 번만 추가하면 되며, 이후 송금은 수신 거래 내역에 표시된 주소가 아닌 저장된 주소로만 이루어집니다.

기업 거래의 경우, 허용된 주소, 신규 수취인에 대한 별도 확인, 대규모 결제에 대한 다자간 승인 등의 추가 조치가 유용합니다.

6. 하드웨어 지갑을 포함한 주소의 철저한 검증

하드웨어 지갑은 개인 키를 보호하지만, 그 자체만으로는 주소 중독(address poisoning)으로부터의 보호를 보장하지는 않습니다.

사용자가 잘못된 주소로 송금을 승인하면, 하드웨어 지갑은 성실하게 바로 그 거래를 서명하게 됩니다.

따라서 확인 전에 수취인의 주소(중간 부분 포함)를 독립적이고 신뢰할 수 있는 출처와 대조해야 합니다.

대량의 금액을 송금할 때는 특히 송금 인터페이스와 서명 장치 모두에서 주소가 확인되는지 확인하는 것이 중요합니다.

지갑에 이미 이상한 거래가 들어온 경우 어떻게 해야 할까요?

단순히 의심스러운 송금을 수신했다고 해서 해킹을 당했다는 증거는 아닙니다.

의심스러운 거래를 발견했다면:

1. 송신자 주소를 복사하지 마십시오. 이전에 사용된 주소와 몇 자리가 일치하더라도 마찬가지입니다.
2. 블록체인 탐색기에서 거래를 확인하세요. 토큰 계약, 금액, 실제 거래 발신자 및 위험 태그에 주의를 기울이세요.
3. 알 수 없는 토큰과는 상호작용하지 마십시오. 해당 토큰이 홍보하는 사이트로 이동하지 말고, 제안된 거래에 서명하지 마십시오.
4. 지갑 필터와 Etherscan을 활용하세요. 의심스러운 토큰과 금액이 0인 전송 내역은 인터페이스에서 숨길 수 있습니다.
5. 송금하기 전에는 검증된 주소만 사용하십시오. 거래 내역의 최신 기록이나 약어에 의존하지 마십시오.
6. 이미 사기꾼에게 자금이 전송된 경우, 거래 해시와 주소를 기록해 두십시오. 즉시 이용 중인 서비스 제공업체, 해당 절차가 마련되어 있다면 토큰 발행사, 그리고 법 집행 기관에 신고하십시오. 환불이 보장되지는 않습니다.

단, 단순히 수신된 소액 거래가 발생했다는 이유만으로 자동으로 시드 문구를 변경하거나, 모든 자산을 새 지갑으로 이체하거나, 모든 권한을 철회할 필요는 없습니다.

하지만 확인 결과 실제로 승인되지 않은 발신 트랜잭션이 발견된다면, 이는 이미 별도의 침해 가능성을 시사하는 징후이므로 지갑의 보안 상태를 즉시 점검해야 합니다.

이러한 공격을 완전히 막을 수 있을까요?

일반적으로 제3자가 공개 블록체인 주소로 자산을 전송하는 것을 완전히 차단하는 것은 불가능합니다.

네트워크의 어떤 참여자라도 귀하에게 자산을 보낼 수 있습니다. 경우에 따라 해당 참여자는 브라우저에 표시되는 귀하의 주소에 영향을 미치는 토큰 이벤트를 생성할 수도 있습니다.

따라서 보안 시스템의 주요 임무는 블록체인 내 스팸 거래의 발생을 반드시 막는 것이 아니라, 이러한 거래가 신뢰할 수 있는 주소의 출처로 사용되는 것을 방지하는 것입니다.

2026년까지 가장 실용적인 보호 방안은 여러 단계에 걸쳐 구축될 것입니다: 의심스러운 거래 필터링, 사기 주소 표시, 전송 시점에서의 중복 주소 탐지, 그리고 사전에 검증된 주소록 활용 등이 그것입니다.

결론

0.01달러, 0.0001달러 또는 0 USDT와 같은 이상한 송금은 대규모 ‘주소 중독(Address Poisoning)’ 공격의 일부일 수 있습니다.

사기꾼들은 반드시 지갑을 해킹하거나, 개인 키를 획득하거나, 스마트 계약의 취약점을 악용할 필요는 없습니다.

어떤 경우에는 유사한 주소를 생성하고, 최소 금액을 송금한 뒤, 사용자가 거래 내역에서 해당 주소를 복사할 때까지 기다리기만 하면 됩니다.

마지막 네 개 또는 다섯 개의 문자가 일치한다고 해서 해당 주소의 진위성을 입증하는 것은 아닙니다. 양쪽 끝에서 몇 개의 문자가 일치하는 것조차도 의도적인 대입 공격의 결과일 수 있습니다.

2026년의 가장 중요한 보안 규칙: 거래 내역은 이벤트 로그일 뿐, 신뢰할 수 있는 주소록이 아닙니다.

수취인의 전체 주소를 확인하고, MetaMask의 보안 경고와 Etherscan의 태그를 활용하며, 반복적인 송금을 위해 미리 검증된 연락처 목록에 주소를 저장하세요.

주소 중간에 있는 눈에 띄지 않는 차이 하나만으로도, 사기꾼들이 여러분의 지갑을 채우는 모든 소액 거래보다 훨씬 더 큰 손실을 입을 수 있습니다.