이더리움(ETH) 제네시스 지갑, 닮은꼴 주소 3곳의 더스트 공격에 노출

11년 3개월 만에 움직인 제네시스 지갑, 2,154.94 ETH 전량 이송

2015년 이더리움(ETH) 제네시스 블록에서 첫 이더를 받은 휴면 지갑이 11년 만의 첫 출금 직후 3분 안에 사기 주소의 더스트 공격을 받았지만, 소유자는 전량을 정확한 수신지로 옮기는 데 성공했다. 온체인 기록에 따르면 이 주소는 2015년 7월 제네시스 블록에서 최초의 이더를 받았고, 2016년 3월에 755 Ethereum (ETH)를 추가한 뒤 지난 월요일 늦게까지 침묵을 지켰다. 11월 9일 22:04(UTC)에 0x1321beb8로 시작해 1A44로 끝나는 새 수신지로 0.05 ETH(당시 시세 기준 약 106달러)의 테스트 송금을 보냈다. 기록상 이 지갑의 첫 출금이었고, 106달러 규모 자체가 실제 결제가 아닌 확인용 송금임을 드러냈다. 3분이 채 지나지 않아 0x13211f로 시작하는 주소와 0x1321FB로 시작하는 주소, 두 곳의 닮은꼴 주소가 옛 지갑으로 소액 ETH를 보내기 시작했다. 두 주소 모두 역시 1A44로 끝난다. 휴면 크립토 지갑은 그날 저녁 이미 관심을 받고 있었다. 온체인 알림 서비스는 이 주소를 11.3년 만에 다시 움직인 프리마인 주소로 분류했고, 11월 9일 늦게 관련 경고가 게시됐다. 해당 게시물 확인. 탐색기 Etherscan은 두 닮은꼴 주소에 자금을 공급한 계정에 “Fake_Phishing” 라벨을 붙였으며, 더 활발한 쪽은 제네시스 주소를 향해 43회에 걸쳐 별도의 더스트 송금을 쏟아냈다. 22:20(UTC)에는 새 지갑이 0.01 ETH를 보냈고, 그 금액 대부분은 3분 뒤 되돌아왔다. 이어 첫 테스트 송금 38분 후인 22:42(UTC), 옛 지갑은 전체 2,154.94 ETH, 당시 이더리움 가격 기준 약 460만 달러어치를 진짜 수신지로 이송했다. 온체인 거래 기록으로 확인된 내역이다. 소유자는 과정 내내 닮은꼴 주소 항목을 무시했고, 제네시스 지갑에는 약 0.0004 ETH만 남긴 채 2,155 ETH에 가까운 잔액 전부를 올바른 주소로 옮겼다. 이미 비워진 지갑에도 0x1321FB 닮은꼴 주소는 23:03(UTC)에 다시 송금하며 압박을 이어갔다.

줄여 보이는 주소를 노린 주소 오염의 작동 방식

이번 더스트의 배후에는 주소 오염(address poisoning) 기법이 있다. 이는 지갑이 긴 주소 문자열을 줄여 보여주는 관행 자체를 공격 표면으로 삼는다. 대부분의 인터페이스는 42자 전체를 표시하지 않고 0x6D90...2E48 같은 축약형만 보여주는데, 전체 문자열은 한눈에 읽을 수 없기 때문이다. 공격자는 수백만 개의 주소를 생성하며 대상의 실제 거래 상대 주소와 앞뒤 문자가 일치하는 주소를 찾아낸다. 그런 뒤 더스트 송금이나 금액 0짜리 거래를 보내 피해자의 최근 거래 내역에 가짜 항목을 심는다. 오염이 자리 잡은 뒤 가짜 주소는 복사 명령 한 번으로 사용자의 클립보드까지 갈 수 있는 위치에 놓이고, 금액 0짜리 전송은 공격자에게 거의 비용이 들지 않는다. 이 조합이 기법을 대량으로 확장 가능하게 만드는 이유다. 사용자가 다음 송금에서 그 항목을 복사하면 자금은 공격자에게 돌아가며, 이더리움 전송은 되돌릴 수 없다. 복사 단계가 무너졌을 때의 비용은 최근 사례들이 보여준다. 2025년 12월에는 한 트레이더가 50달러 테스트 송금 직후 스크립트로 거래 내역이 오염된 뒤 약 5,000만 달러 규모의 USDT를 잃었다. 2026년 1월에는 한 피해자가 공격자가 장악한 주소로 4,556 Ethereum (ETH), 약 1,225만 달러를 보냈고, 2월에는 또 다른 사용자가 60만 달러를 잃었다. 피해 규모만큼 볼륨도 커서 네트워크 통계가 왜곡된다. 모니터링 데이터 기준 이더리움에서 하루 100만 건을 넘는 주소 오염 시도가 관측된다. Citi는 1월 스팸 트랜잭션이 이더리움의 사상 최대 거래 건수를 부풀리고 있으며, 추가 전송 대부분이 1달러 미만이라고 경고했다. 보관 방식도 문제를 해결하지 못한다. 제네시스 자금은 10년 넘게 손대지 않은 사실상 콜드월렛 보유 자산이었지만, 리스크는 전송 시점에야 드러났다. 그 순간에는 수신 주소를 한 글자까지 대조해야 하기 때문이다. COINOTAG의 이더리움 사용법 안내는 거래에 서명하기 전 수신자를 확인하는 절차를 다룬다.

핵심은 3분이라는 반응 시간이다. 더스팅이 0.05 ETH 테스트 송금, 즉 대형 보유자가 수신지를 검증하려고 실행하는 단계에 맞춰 이뤄졌다는 것은 주소 오염 조직이 체인을 실시간으로 감시하고 있음을 뜻한다. 이 소유자는 검증을 통과했지만, 온체인 기록에는 취약 지점이 그대로 남아 있다. 화요일에는 1A44로 끝나는 세 번째 닮은꼴 주소가 03:36과 03:49(UTC)에 금액 0짜리 전송을 보냈고, 공격 대상 지갑에는 지금 약 0.0004 ETH만 남아 있다. 하드웨어 지갑은 이 유형의 리스크를 막지 못한다. 오염된 주소를 붙여넣으면 오프라인 키 보관도 확인 화면에서 무력화되기 때문이다. 실제로 통하는 통제는 전체 주소를 대조하는 것이다. 이번 사건은 또한 SlowMist가 GitHub을 통해 확산되는 Swarm 공급망 공격을 경고하며 이더리움(ETH) 사용자들에 주의를 촉구한 지 몇 주 만에 발생했다.