암호화폐 피싱 사기, 458일 후 발동…투자자 90만달러 잃어

458일 전 승인한 악성 거래로 인한 USDC 도난이 발생했다 [사진: 셔터스톡]

[인포진 AI리포터] 암호화폐 투자자가 458일 전 승인한 악성 거래로 인해 90만8551달러(약 12억6000만원) 상당의 USDC를 도난당했다.

3일(이하 현지시간) 블록체인 매체 코인텔레그래프가 전한 바에 따르면, 공격자는 피싱 사이트나 가짜 에어드롭을 통해 ERC-20 승인 거래를 유도한 후, 피해자의 지갑을 지속적으로 감시하며 기회를 엿봤다. 피해자는 2024년 4월 30일 피싱 승인을 했으며, 공격자는 2025년 8월 2일 지갑을 비우는 데 성공했다. 458일 만에 사건이 발생한 셈이다.

보안업체 스캠스니퍼(Scam Sniffer)는 이번 사건을 계기로 “오래된 거래 승인을 정기적으로 검토하고 취소하지 않으면 자산이 위험해진다”며 경고했다. 피해자가 사용하는 지갑은 한동안 활동이 거의 없었으나, 7월 2일 메타마스크 지갑에서 76만2397달러(약 10억6000만원), 크라켄 지갑에서 14만6154달러(약 2억원)가 입금되면서 공격자의 타깃이 됐다. 이후 한 달간 지갑을 감시한 공격자는 8월 2일 단 한 번의 거래로 모든 자금을 탈취했다.

이처럼 장기 대기 후 실행되는 피싱 공격은 최근 암호화폐 시장에서 급증하는 추세다. 이더리움 사용자들은 이더스캔(Etherscan)의 토큰 승인 검사기를 활용해 불필요한 승인 거래를 취소할 수 있지만, 각 취소에는 가스 요금이 발생한다. 한편, 7월 한 달 동안 암호화폐 업계에서는 최소 17건의 공격이 발생했으며, 총 피해액은 1억4200만달러(약 2000억원)를 넘었다.

△인포진 텔레그램 뉴스채널 구독하기(클릭)