코인 사기 유형과 예방법: 위험 신호 알아보고 내 자산 지키기

코인 사기는 디지털 자산을 보내게 하거나 지갑 권한을 넘기도록 나를 조종하는 모든 수법을 말합니다. 블록체인 송금은 대부분 확인된 뒤에는 되돌릴 수 없으므로, 유일한 실질적 방어선은 예방 습관입니다. 아래에서 대표적인 암호화폐 사기 유형, 모든 사기에 공통으로 나타나는 위험 신호, 이미 당했다면 피해를 줄이기 위해 할 일을 정리했습니다. 자금이 안전하게 남을지는 대부분 함정에 빠지기 전에 내린 결정에 달려 있습니다.

코인 사기는 왜 이렇게 위험한가

암호화폐 생태계에는 사기꾼에게 유리한 네 가지 구조적 특징이 있습니다.

• 되돌릴 수 없는 거래: 확인된 송금은 카드 결제 취소처럼 은행을 통해 되돌릴 수 없습니다.
• 가명성: 체인 위 거래는 누구나 볼 수 있지만 주소가 실제 신원과 연결되어 있지 않아 범죄자가 흔적을 감추기 쉽습니다.
• 속도와 무제한 접근: 가치가 몇 분 만에 대륙을 건너고, 믹서와 브리지를 거쳐 흔적이 지워지기 전에 세탁될 수 있습니다.
• 확장 가능한 도구: 피싱 키트, 복제 플랫폼, 인공지능으로 만든 가짜 신원이 한 번의 노력으로 수천 명을 노리는 데 쓰입니다.

거의 모든 사기는 같은 공식을 따릅니다. 신뢰나 두려움을 만드는 사람 이야기, 많은 사람에게 닿는 경로, 그리고 링크를 누르게 하거나 QR 코드를 찍게 하거나 돈을 넘기는 거래에 서명하게 만드는 마지막 함정입니다.

가장 흔한 코인 사기 유형

피싱과 큐싱(QR 코드 피싱)

공격자는 가짜 로그인 페이지, 지갑 연결 화면, 찍으면 계정을 비우는 QR 코드를 보냅니다. 거래소를 사칭한 긴급 보안 경고, 가짜 디앱 페이지, 붙여 넣은 주소를 바꿔치기하는 악성 프로그램이 이 유형의 대표적인 예입니다.

대응: 공식 사이트를 브라우저 즐겨찾기에 등록하고, 메시지로 받은 링크는 누르지 말고, 주소를 한 글자씩 확인하십시오.

지갑 드레이너(Permit / SetApprovalForAll)

악성 디앱과 '무료 민팅' 페이지는 공격자가 나중에 내 토큰을 쓸 수 있게 하는 승인 서명으로 나를 유도합니다. ERC-20 Permit 서명은 가스비 없이 무제한 사용 권한을 주고, NFT 사기는 SetApprovalForAll 함수를 악용합니다. 탈취는 대개 며칠 뒤 자동 스크립트로 일어나므로 서명하는 순간에는 아무것도 눈치채지 못합니다.

대응: 모르는 계약에 무제한 사용 권한을 주지 말고, 모든 서명을 읽을 수 있는 형태로 확인하십시오. 블라인드 서명 위험을 피하려면 Revoke.cash 같은 도구로 오래된 권한을 정기적으로 정리하십시오.

유심 스와핑(전화번호 탈취)

범죄자는 사회공학으로 통신사를 속여 내 번호를 자기 유심으로 옮기고, SMS 2단계 인증 코드를 가로채 비밀번호를 재설정한 뒤 계정을 비웁니다. 가장 뚜렷한 경고 신호는 휴대폰이 갑자기 '서비스 없음'이 되는 것입니다.

대응: 통신사에 PIN이나 번호 이동 잠금을 설정하고, SMS 인증을 인증 앱이나 하드웨어 키로 바꾸십시오.

돼지도살 스캠(로맨스 + 투자 사기)

가짜 프로필이 몇 주에 걸쳐 관계를 쌓은 뒤 '투자 멘토'를 소개하고, 꾸며 낸 수익을 보여 주는 가짜 플랫폼에 투자하게 만듭니다. 투자금이 커질수록 요구도 커지고, 결국 출금하려면 '세금'이나 '수수료'를 내라고 한 뒤 사라집니다.

대응: SNS에서 알게 된 사람을 근거로 투자하지 마십시오. 새 플랫폼에서는 먼저 소액 출금을 시험하고, 프로필 사진은 역이미지 검색으로 확인하십시오.

유명인·딥페이크 경품 행사

복제 계정과 인공지능으로 만든 영상이 "이더리움 1개를 보내면 2개를 돌려드립니다"라고 약속합니다. 딥페이크 라이브 방송과 가짜 인증 배지는 그럴듯해 보이지만, 진짜 브랜드는 '코인 두 배 불리기' 행사를 하지 않습니다.

대응: 경품을 '활성화'하려고 자금을 보내지 마십시오. 공식 공지 페이지에서 확인하고, 라이브 방송의 QR 코드를 믿지 마십시오.

가짜 고객 지원과 원격 접속 함정

팝업이나 전화가 계정이 해킹됐다고 주장한 뒤, '기술자'가 원격 접속 프로그램을 설치하라고 하거나 개인 키나 시드 문구를 읽어 달라고 합니다.

대응: 정상적인 고객 지원은 시드 문구나 원격 접속 권한을 요구하지 않습니다. 고객 지원에는 공식 앱을 통해서만 연락하십시오.

가짜 거래소, 가짜 앱, 복제 사이트

유명 거래소를 복제한 사이트는 같은 로고를 쓰고, 끝없이 이어지는 '출금 세금'을 지어냅니다. 광고와 QR 코드가 이런 가짜 사이트로 이끌고, 앱 마켓의 악성 앱이 나머지를 해치웁니다.

대응: 공식 배포자 페이지에서만 내려받고, 먼저 소액 입출금을 시험하고, 플랫폼의 평판을 조사하십시오.

러그풀과 먹튀(엑시트 스캠)

개발자가 토큰이나 풀을 띄우고 분위기를 달군 뒤 유동성 풀을 비우거나 미리 찍어 둔 물량을 시장에 던집니다. 징후는 익명의 팀, 잠기지 않은 LP, 팀에 과도한 몫을 주는 토크노믹스입니다. LP 잠금과 팀 이력을 확인하고, 들어가더라도 작은 금액만 넣으십시오. 자세한 유형은 러그풀 설명을 참고하십시오.

그 밖의 흔한 위협

펌프 앤 덤프 그룹은 거래가 적은 토큰을 '신호'로 띄운 뒤 개인 투자자에게 팔고 빠집니다. 폰지, 피라미드, 고수익 투자 프로그램(HYIP)은 새 입금으로 초기 '투자자'에게 지급하다가 결국 무너집니다. 크립토재킹 악성 프로그램은 몰래 내 CPU로 코인을 채굴합니다. 간단한 계산만으로도 대부분의 고수익 사기가 드러납니다. '하루 2%'를 1년 동안 복리로 굴리면 원금이 1,000배 넘게 불어나야 하는데, 이를 지속할 수 있는 실제 사업은 없습니다.

사기 유형 비교표

수상한 상황을 만나면 어떤 함정인지, 가장 효과적인 방어가 무엇인지 이 표로 확인하십시오.

숫자로 보는 예: 지갑 드레이너는 얼마나 빨리 움직이나

핫월렛에 1.5 ETH와 4,000 USDC, 합계 약 9,200달러가 있다고 가정합니다. '무료 에어드롭' 페이지에 지갑을 연결하고 무제한 토큰 사용 권한을 승인합니다. 이 시점에는 잔고가 그대로이므로 아무 문제가 없어 보입니다.

• T+0: 권한에 서명합니다. 잔고는 그대로입니다.
• T+2일: 드레이너 스크립트가 한 번의 거래로 4,000 USDC를 모두 빼 갑니다.
• +1분: 이어서 1.5 ETH까지 쓸어 갑니다. 총손실은 약 9,200달러입니다.

결정적인 차이: 승인은 즉시 이뤄지는 송금이 아니라, 그 주소에 나중에 넣는 것까지 빼 갈 수 있는 지속적인 권한입니다. 쓰려던 금액(예: 200 USDC)만 허용하는 제한 승인이었다면 손실은 200달러에 그쳤을 것입니다. 같은 원리는 핫월렛에 있는 비트코인을 포함한 모든 자산에 적용됩니다.

모든 사기에 공통된 위험 신호(저장해 두십시오)

사기꾼은 내가 이런 신호를 알아채기 전에 움직이기를 노립니다. 규칙은 간단합니다. 아래 가운데 두 개 이상이 보이면 멈추고 독립적으로 확인하십시오.

• 긴급함이나 시간 압박: "지금 조치하지 않으면 접근 권한을 잃습니다" 또는 카운트다운 타이머.
• '보장 수익' 약속: 손실 시나리오 없이 "주 20%" 같은 고정 고수익.
• 텔레그램이나 왓츠앱으로 옮기라는 압박: 공개 플랫폼에서 암호화된 개인 대화로 서둘러 유도.
• 코인으로만 결제: 특정 코인이나 주소를 고집하고 법정화폐 선택지가 없음.
• 원격 접속 요청: "화면을 공유해 주시면 해결해 드리겠습니다."
• 수상한 도메인과 오타: 공식 주소에서 철자 하나를 바꾸거나 하이픈을 끼워 넣은 주소, 또는 모르는 주소로 이어지는 QR 코드.
• 예상치 못한 '승인 필요' 알림: '잠금 해제'나 '받기'를 위한 갑작스러운 지갑 서명 요청.
• 확인 거부: 영상 통화, 신원 확인, 공식 채널을 통한 연락을 피함.

"멈추고, 확인하고, 승인한다": 60초 습관

1분의 신중함은 아무 비용도 들지 않습니다.

1. 멈추고 화면을 저장합니다: 먼저 멈춘 뒤 주소창과 대화를 포함해 화면을 캡처합니다.
2. 독립적으로 확인합니다: 공식 사이트는 기억이나 즐겨찾기로 엽니다. 받은 링크는 절대 쓰지 않습니다.
3. 서명 전에 승인 내용을 확인합니다: 주소를 블록 탐색기에 붙여 넣어 이력을 보고, 거래를 시뮬레이션하고, 권한을 평문으로 읽습니다.

나를 지키는 법

진짜 보호는 하나의 제품이 아니라 일상의 습관에서 나옵니다. 아래 세 층을 강화하면 대부분의 공격은 돈이 움직이기 전에 힘을 잃습니다.

계정 보안(거래소와 이메일)

거래소와 이메일 계정은 모든 것의 정문입니다. SMS 대신 피싱에 강한 2단계 인증(인증 앱이나 하드웨어 키)을 쓰고, 길고 고유한 비밀번호를 비밀번호 관리자에 보관하십시오. 이메일은 마스터 키처럼 다루십시오. 로그인 알림을 켜고, 코인 관련 가입에는 전용 별칭 주소를 쓰십시오.

지갑 보안(직접 보관)

직접 보관은 통제권을 주지만 규율을 요구합니다. 시드 문구는 금속판이나 종이에 적어 서로 떨어진 안전한 곳에 사본을 두고, 어떤 웹사이트에도 입력하지 마십시오. 잃으면 안 되는 자금은 하드웨어 지갑으로 옮기고, 핫월렛에는 소액만 두십시오. 더 자세한 내용은 코인 지키는 법: 암호화폐 보안 가이드와 하드웨어 지갑이 키를 지키는 원리에서 볼 수 있습니다.

체인 위 위생(권한, 링크, 서명)

체인 위 거래는 영구적이므로 누르기 전에 함정을 잡아내야 합니다. 모르는 계약에 승인하지 말고, 꼭 해야 한다면 한도를 낮게 정하십시오. 오래된 권한은 매달 정리하고, 서명이 분명한 동작을 보여 주는지 확인하십시오. NFT 관련 수법은 NFT 사기 유형에서 따로 다룹니다.

COINOTAG의 관점: 진짜 무기는 서두르게 만드는 것

수많은 사례를 살펴보면 놀랄 만큼 일관된 패턴이 보입니다. 사기의 기술 자체가 나를 이기는 경우는 드물고, 진짜 위험은 타이밍에 있습니다. 거의 모든 손실의 뿌리에는 인위적인 긴급함 때문에 건너뛴 확인 하나가 있습니다. 스스로에게 줄 수 있는 가장 값진 습관은 의무적인 냉각 시간입니다. 어떤 메시지나 '고객 지원'이 "지금 당장 해야 한다"는 느낌을 준다면 그 느낌 자체가 경보입니다. 탭을 닫고, 공식 앱을 직접 열고, 카운트다운이 없는 상태에서 다시 살펴보십시오. 사기꾼은 속도를 팔고, 나의 방어는 일부러 느려지는 습관입니다.

사기를 당했다면 순서대로 할 일

체인 위 손실은 되돌려지는 경우가 드물지만, 빠르게 움직이면 거래소에 남은 자금을 동결하고 2차 공격을 막을 수 있습니다.

1. 피해 차단(첫 30분)

• 모든 송금을 멈추고 지갑을 모든 디앱, 사이트, 브라우저에서 연결 해제합니다.
• 거래소와 지갑에서 모든 기기를 로그아웃하고 활성 세션을 취소합니다.
• 지연된 탈취를 막기 위해 블록 탐색기나 Revoke.cash 같은 도구로 모든 토큰 승인을 취소합니다.
• 비밀번호와 2단계 인증을 재설정합니다. 이메일이 모든 것의 열쇠이므로 이메일부터 시작합니다.
• 기기가 감염됐다고 의심되면 남은 자금을 새 지갑으로 옮깁니다.

2. 모든 것을 기록

• 탐색기에서 거래 해시, 주소, 금액, 네트워크, 시각을 모읍니다.
• 대화, 이메일, 사이트, 팝업을 주소와 날짜가 보이게 캡처합니다.
• 관련된 모든 도메인, SNS 계정, 주소를 적어 둡니다.

3. 신고

신고 기록은 사기꾼을 추적하는 데이터베이스로 모이고 동결의 계기가 되므로, 관련된 곳에는 모두 신고하십시오. 거주 국가의 경찰 사이버 범죄 신고 창구와 금융 당국에 신고하고, 이용한 거래소나 지갑 서비스에도 알리십시오. 자금이 아직 거래소에 있다면 동결을 요청하십시오.

회수에 대한 현실적인 기대

회수는 자금이 규정을 지키는 거래소에 머물러 있거나 수사기관이 빠르게 움직일 수 있을 때 가장 가능성이 높습니다. 순수한 체인 위 송금은 구조상 대개 영영 돌아오지 않습니다. 피해 뒤에 먼저 연락해 오는 '회수 대행 서비스'를 조심하십시오. 선불 수수료를 요구하며, 대부분은 두 번째 사기입니다.

투자자 유의사항

가상자산은 가격 변동이 크고 원금 손실이 발생할 수 있습니다. 위의 금액은 이해를 돕기 위한 가정입니다.