지갑에 모르는 토큰이 들어왔다면? 에어드롭 클릭 전·토큰 승인 권한 8단계 점검
지갑에 모르는 토큰이 들어왔다면 그 토큰의 이름·설명·메모에 적힌 주소를 클릭하거나, 교환·청구·승인 서명을 하지 마세요. 토큰이 표시됐다는 사실만으로 지갑이 곧바로 탈취됐다고 단정할 수는 없지만, 사용자가 연결·서명·승인하도록 유도하는 과정에서 실제 위험이 생길 수 있습니다. 클릭하지 않았다면 숨김 기능으로 화면에서 가리고 읽기 전용 블록 탐색기로만 확인하며, 이미 서명했다면 추가 행동을 멈추고 승인 권한부터 점검하는 것이 우선입니다.
‘무료 토큰을 받았다’는 이유로 링크를 열거나 지갑을 연결하지 말고, 공식 도메인을 직접 입력한 별도 창에서 승인 권한과 거래 내역을 확인하세요. 복구문구·개인키를 입력하라는 안내는 어떤 경우에도 따르지 않습니다.
1. 핵심 요약: 지금 하지 말아야 할 다섯 가지
모르는 토큰을 발견했을 때는 무엇을 할지보다 무엇을 하지 않을지가 더 중요합니다. 첫째, 토큰 이름이나 설명에 포함된 웹주소를 열지 않습니다. 둘째, ‘클레임’, ‘에어드롭 수령’, ‘언락’, ‘검증’ 같은 버튼을 누르지 않습니다. 셋째, 지갑 연결 요청에 응하지 않습니다. 넷째, 의미를 모르는 메시지나 트랜잭션에 서명하지 않습니다. 다섯째, 문제를 해결해 준다는 사람에게 화면 공유, 원격제어, 복구문구, 개인키를 제공하지 않습니다.
반대로 해도 되는 일은 범위를 좁혀야 합니다. 지갑 앱의 자체 숨김·신고 기능을 사용하고, 주소를 복사해 신뢰할 수 있는 블록 탐색기의 검색창에서 읽기 전용으로 조회하는 정도가 기본입니다. 확인을 위해 토큰을 전송하거나 소각하지도 마세요. 화면에서 숨기는 것과 온체인 거래는 다릅니다.
- 토큰이 보이기만 하고 아무것도 누르지 않았다면: 숨기고 관찰합니다.
- 사이트에 연결만 했다면: 연결을 끊고 승인 내역을 별도로 확인합니다.
- 토큰 사용 권한을 승인했다면: 같은 네트워크에서 승인 취소 여부를 검토합니다.
- 의심스러운 전송이 이미 발생했다면: 추가 서명을 멈추고 증거를 보존합니다.
- 복구문구가 노출됐다면: 해당 지갑은 더 이상 안전하다고 가정하지 말고 공식 지원 안내와 보안 전문가의 도움을 확인합니다.
2. ‘받기만 한 상태’와 ‘권한을 준 상태’를 구분하세요
지갑 주소는 공개되어 있으므로 제3자가 원치 않는 토큰을 보내는 것 자체를 완전히 막기 어려울 수 있습니다. 따라서 잔액 목록에 낯선 토큰이 나타났다는 사실과, 내 지갑이 그 토큰을 쓸 권한을 누군가에게 부여했다는 사실은 구분해야 합니다. 위험 판단의 기준은 토큰의 화려한 이름이 아니라 내가 어떤 사이트에 연결했고 어떤 서명이나 승인 트랜잭션을 실행했는지입니다.
| 상황 | 우선 행동 | 피할 행동 |
|---|---|---|
| 모르는 토큰만 표시됨 | 숨김 처리, 읽기 전용 조회 | 토큰 설명 링크 클릭, 교환 시도 |
| 의심 사이트에 연결함 | 연결 해제 후 승인 내역 확인 | 연결 해제만으로 권한이 끝났다고 단정 |
| Approve·Permit 등에 서명함 | 체인과 승인 대상·한도 확인, 필요 시 취소 | 출처 불명 리보크 링크 사용 |
| 자산이 빠져나감 | 거래 해시·주소·시간 보존, 공식 신고 경로 확인 | 선입금 요구 복구업자에게 송금 |
연결은 사이트가 내 공개 주소와 네트워크 정보를 읽도록 허용하는 단계일 수 있고, 토큰 승인은 특정 컨트랙트가 정해진 범위의 토큰을 이동할 수 있게 하는 온체인 권한입니다. 지갑에서 사이트 연결을 끊어도 이미 기록된 토큰 승인 권한이 자동으로 사라지는 것은 아닙니다. 그래서 ‘연결 해제’와 ‘승인 취소’를 서로 다른 점검 항목으로 봐야 합니다.
3. 토큰 승인 권한은 왜 따로 확인해야 하나요?
탈중앙화 거래소나 일부 서비스는 사용자가 토큰을 교환하거나 예치하기 전에 컨트랙트가 해당 토큰을 사용할 수 있도록 승인을 요청합니다. 정상 서비스에서도 필요한 절차일 수 있지만 승인 대상이 누구인지, 한도가 얼마인지, 어떤 네트워크의 권한인지 이해하지 않은 채 서명하면 위험이 커집니다. 특히 무제한 승인은 향후 지갑에 같은 토큰이 더 들어와도 승인받은 컨트랙트가 사용할 수 있는 범위를 넓힐 수 있습니다.
승인 권한은 일정 시간이 지나면 항상 저절로 만료되는 것이 아닙니다. 사용이 끝난 서비스, 출처가 불분명한 컨트랙트, 지나치게 큰 한도의 승인은 정기적으로 점검할 이유가 있습니다. 다만 승인 취소도 블록체인에 기록되는 거래이므로 네트워크 수수료가 들고, 현재 선택한 네트워크가 실제 승인이 존재하는 체인과 같아야 합니다. 화면에 ‘취소됨’이라고 보이는 것만 믿지 말고 취소 트랜잭션의 처리 상태까지 확인하세요.
또 하나의 함정은 가짜 승인 취소 사이트입니다. 검색 광고나 메시지로 전달된 ‘즉시 리보크’ 주소를 누르면 문제를 해결하는 대신 새로운 서명을 유도할 수 있습니다. 공식 문서에서 안내하는 경로를 직접 찾고 도메인 철자와 네트워크를 확인합니다. 이해되지 않는 서명 요청은 중단합니다.
4. 아무것도 클릭하지 않았다면 8단계로 정리합니다
- 상호작용을 멈춥니다. 토큰을 누르거나 웹주소를 열지 말고, 교환·전송·소각도 시도하지 않습니다.
- 화면을 기록합니다. 토큰명, 표시 수량, 발견 시각, 현재 네트워크를 캡처하되 복구문구나 개인 정보는 화면에 노출하지 않습니다.
- 지갑의 숨김 기능을 찾습니다. ‘Hide’, ‘숨기기’, ‘신고’처럼 표시만 정리하는 기능을 사용합니다. 숨기기는 잔액 표시를 정리할 뿐 온체인 자산을 없애는 동작이 아닐 수 있습니다.
- 컨트랙트 주소를 읽기 전용으로 확인합니다. 지갑이 보여 주는 주소를 복사해 해당 체인의 신뢰 가능한 탐색기 검색창에 직접 붙여넣습니다. 토큰 설명에 포함된 링크는 사용하지 않습니다.
- 최근 활동을 되짚습니다. 직전에 연결한 사이트, 서명한 메시지, 실행한 Approve·SetApprovalForAll 거래와 Permit 같은 메시지 서명이 있었는지 구분해 확인합니다. Permit 서명은 다른 주체가 나중에 제출하기 전까지 탐색기에 거래로 나타나지 않을 수 있습니다.
- 기존 승인 내역을 점검합니다. 스팸 토큰과 별개로 내가 보유한 주요 토큰에 낯선 지출 권한이 생겼는지 확인합니다. 연결 해제만 하고 끝내지 않습니다.
- 공식 앱을 업데이트합니다. 지갑 확장 프로그램이나 앱은 공식 스토어·공식 웹사이트 경로에서 최신 버전을 확인합니다. 메시지 속 업데이트 파일은 설치하지 않습니다.
- 재발 방지 구성을 합니다. 자주 쓰는 자산 보관용 지갑과 사이트 연결용 지갑을 분리하고, 큰 금액을 다루는 지갑으로 처음 보는 서비스에 접속하지 않습니다.
이 순서의 목적은 불필요한 서명 없이 기존 권한 상태를 확인하는 것입니다. 토큰의 시장가가 크게 표시되거나 급한 수령 기한이 보이더라도 판단 순서를 바꾸지 마세요. 지갑 화면의 추정 가격은 실제로 안전하게 매도할 수 있다는 보증이 아닙니다.
5. 이미 연결하거나 서명했다면 이렇게 대응합니다
우선 브라우저 탭을 닫고 지갑에서 해당 사이트의 연결을 해제합니다. 다음으로 지갑 활동과 블록 탐색기에서 방금 실행한 거래의 해시, 시간, 네트워크, 보낸 주소, 대상 컨트랙트, 승인 토큰과 한도를 기록합니다. ‘Sign’이 단순 로그인 메시지였는지, 실제 트랜잭션 또는 토큰 사용 권한이었는지 화면 문구와 거래 기록을 구분해서 확인해야 합니다.
낯선 승인이 확인되면 신뢰할 수 있는 승인 관리 도구에서 같은 네트워크를 선택하고 해당 권한을 취소할지 판단합니다. 취소에는 가스비가 필요하므로 수수료를 이유로 모르는 사이트가 제안하는 별도 충전·브리지·스왑을 따라서는 안 됩니다. 취소 거래를 보냈다면 블록 탐색기에서 성공 처리됐는지 확인한 뒤 다시 승인 목록을 조회합니다.
이미 자산 이동이 발생했다면 ‘되찾기’ 링크를 찾기보다 추가 피해 차단과 증거 보존이 우선입니다. 거래 해시, 피해 주소, 상대 주소, 사용한 사이트의 정확한 URL, 접속 시각, 지갑 팝업 문구, 대화 기록을 한 폴더에 모읍니다. 중앙화 거래소가 관련되었다면 해당 거래소의 공식 고객지원·신고 경로에서 요구 자료를 제출합니다. 블록체인 거래는 임의 취소가 어려울 수 있으므로 복구를 보장하는 개인 연락은 신뢰하지 않습니다.
복구문구나 개인키를 입력·전송했다면 단순 연결 해제나 승인 취소만으로 충분하다고 보기 어렵습니다. 감염 가능성이 없는 기기에서 공식 지갑 안내를 확인하고, 새 지갑 생성과 자산 이전 필요성을 신중히 검토하세요. 공격자와 속도 경쟁을 해야 하는 상황은 위험하므로 큰 금액은 공식 지원 또는 검증된 보안 전문가의 도움을 받는 편이 안전합니다.
승인 목록이 비어 있어도 의심스러운 서명을 안전하다고 단정하지 마세요. ERC-2612 방식의 Permit은 서명자가 직접 가스비를 내지 않아도 다른 주체가 유효기간 안에 제출해 사용 권한을 설정할 수 있습니다. 기존 승인 한도를 0으로 바꾸는 조치가 아직 제출되지 않은 모든 서명까지 무효화한다고 가정하면 안 됩니다. 서명 내용·대상 토큰·유효기간을 보존하고 지갑 공식 지원에서 해당 방식의 대응을 확인하세요. 확인을 위해 같은 문구에 다시 서명하거나 서명 데이터를 공개 채팅방에 올리지 않습니다.
6. 승인 권한 확인·취소 체크리스트
공식 안내에 따르면 토큰 승인 내역은 네트워크별로 확인해야 하며, 연결을 끊는 것과 승인 권한을 취소하는 것은 다릅니다. 취소도 온체인 거래라서 수수료가 발생할 수 있습니다. 아래 항목을 모두 확인한 뒤에만 진행하세요. 확인일은 2026년 10월 2일입니다.
- 현재 지갑 주소가 점검하려는 주소와 같은가?
- 승인이 존재하는 네트워크를 정확히 선택했는가?
- 승인받은 컨트랙트 주소를 블록 탐색기에서 대조했는가?
- 토큰명만 보지 않고 토큰 컨트랙트 주소까지 확인했는가?
- 승인 한도가 필요한 범위를 넘어 무제한으로 설정돼 있지는 않은가?
- 공식 문서에서 직접 이동한 승인 관리 경로인가?
- 취소 거래의 수수료와 예상 결과를 이해했는가?
- 취소 후 거래 상태가 성공이고 승인 목록에서도 사라졌는가?
Ethereum.org 토큰 승인 권한 확인·취소 가이드에서 승인 권한의 의미, 네트워크 선택, 취소 거래와 수수료를 확인할 수 있습니다. 링크를 열기 전 주소가 ethereum.org인지 직접 확인하세요.
모든 승인을 무조건 지우는 것이 항상 최선이라고 단정할 수는 없습니다. 자주 쓰는 정상 서비스는 다음 이용 때 다시 승인이 필요해 수수료가 추가될 수 있습니다. 따라서 ‘낯선 승인’, ‘더 이상 쓰지 않는 서비스’, ‘필요 이상으로 큰 한도’를 우선 점검하고, 정상 서비스라도 사용 목적과 한도를 이해한 뒤 유지 여부를 결정합니다.
모르는 토큰과 상호작용하지 않는 기본 원칙은 MetaMask 토큰 안전 수칙에서, 서명으로 권한을 설정하는 구조는 Ethereum ERC-2612 표준에서 확인할 수 있습니다.
7. 증거 보존과 재발 방지, 내부 점검 글
사고 기록은 나중에 공식 고객지원이나 신고 기관에 상황을 설명할 때 도움이 됩니다. 거래 해시는 텍스트로 저장하고, 지갑 주소와 컨트랙트 주소는 앞뒤 일부만 적지 말고 전체 문자열을 원문 그대로 보존합니다. 웹사이트 주소도 스크린샷뿐 아니라 복사한 전체 URL을 기록하되 다시 접속하지는 않습니다. 발견 시각도 함께 적어 두면 기록 대조가 쉽습니다.
재발 방지는 지갑 역할을 나누는 것에서 시작합니다. 장기 보관 지갑은 새로운 사이트와 연결하지 않고, 실험용 지갑에는 감당 가능한 소액만 둡니다. 북마크는 공식 사이트를 직접 확인한 뒤 저장하고, 검색 광고·메신저 링크·SNS 답글을 출발점으로 삼지 않습니다. 승인할 때는 대상 컨트랙트, 토큰, 네트워크, 한도를 읽고 모르면 취소합니다. 하드웨어 지갑도 사용자가 잘못된 내용을 승인하면 자동으로 보호해 주는 만능 장치가 아니므로 화면 확인 습관이 필요합니다.
특히 사고 직후에는 검색 결과 상단의 ‘복구 서비스’나 SNS에서 먼저 연락해 온 계정을 조심해야 합니다. 피해 금액을 되찾아 주겠다며 선입금, 세금, 해제 수수료를 요구하거나 원격제어 앱 설치를 시키는 방식은 2차 피해로 이어질 수 있습니다. 신고나 상담은 거래소·지갑 개발사의 공식 지원 페이지처럼 내가 직접 확인한 경로에서 시작합니다.
8. 자주 묻는 질문과 최종 결론
Q1. 모르는 토큰을 받기만 해도 지갑이 바로 해킹되나요?
토큰이 주소에 전송되어 목록에 표시됐다는 사실만으로 즉시 탈취됐다고 단정할 수는 없습니다. 다만 토큰 설명의 링크를 열거나 교환·클레임을 시도하면서 악성 서명이나 승인을 하게 될 수 있으므로 상호작용하지 않고 숨김·읽기 전용 확인만 하는 것이 안전합니다.
Q2. 지갑에서 토큰을 삭제하거나 다른 주소로 보내면 되나요?
표시를 숨기는 기능과 온체인 전송은 다릅니다. 숨김은 대개 화면 정리지만, 전송·소각은 서명을 요구하는 거래입니다. 굳이 처리하려고 서명하지 말고 지갑의 자체 숨김·신고 기능을 우선 사용하세요.
Q3. 사이트 연결을 끊었으면 승인도 사라진 건가요?
아닙니다. 연결 해제는 사이트와 지갑의 현재 연결을 끊는 조치이고, 이미 온체인에 기록된 토큰 승인 권한은 별도로 남을 수 있습니다. 승인 내역을 같은 네트워크에서 조회하고 필요하면 취소 거래를 진행해야 합니다.
Q4. 승인 취소는 무료인가요?
일반적으로 승인 취소도 블록체인 거래이므로 해당 네트워크의 가스비가 필요할 수 있습니다. 수수료가 비싸다는 이유로 출처 불명 사이트가 제안하는 다른 체인 이동이나 별도 입금을 따라가지 말고, 네트워크와 거래 내용을 확인한 뒤 결정하세요.
Q5. 피해 복구를 보장한다는 연락을 받아도 될까요?
복구를 확정적으로 보장하거나 선입금·복구문구·개인키·원격제어를 요구하는 연락은 신뢰하지 마세요. 공식 고객지원 경로와 수사·신고 기관을 직접 확인하고, 거래 해시와 증거를 보존해 문의하는 것이 우선입니다.
결론: 모르는 토큰의 가장 안전한 기본 대응은 클릭하지 않고 숨기며, 최근 연결과 서명 기록을 확인하는 것입니다. 이미 연결했다면 연결 해제와 승인 권한 확인을 모두 하고, 승인했다면 같은 네트워크에서 공식 경로로 취소 여부를 판단하세요. 자산 이동이나 복구문구 노출이 있었다면 추가 서명을 중단하고 증거를 보존한 뒤 공식 지원을 이용해야 합니다.
댓글
댓글 쓰기