주소 복붙했다가 740억원 증발…’주소 중독 공격’이 테더를 집어삼킨 날

암호화폐 거래에서 가장 일상적인 행동 하나가 740억원 규모의 재앙으로 이어졌다. '주소 중독 공격(Address Poisoning Attack)'이라는 교묘한 사기 수법이 사용자를 노린 결과다.

공격의 메커니즘: 무해해 보이는 더미 트랜잭션

공격자는 피해자의 지갑 주소와 유사한, 앞뒤 문자만 동일한 가짜 주소를 생성한다. 이후 미미한 금액(예: 0 USDT)을 그 가짜 주소에서 피해자의 진짜 주소로 보내는 '더미 트랜잭션'을 발생시킨다. 목표는 단 하나: 피해자의 트랜잭션 기록에 가짜 주소를 박아넣는 것이다.

사용자는 함정에 빠진다

나중에 피해자가 대량의 자금(이번 사건에서는 740억원 상당의 USDT)을 송금할 때, 기록에서 '최근에 거래한 주소'를 확인하고 무심코 복사해 붙여넣기 한다. 문제는 그 주소가 공격자가 세팅한 가짜 주소라는 점이다. 결국, 자금은 공격자의 지갑으로 흘러 들어가 버린다. 블록체인의 불가역성이 재앙을 완성한다.

교훈: 편의성 vs 보안의 끝없는 전쟁

이 공격은 기술적 취약점이 아닌 인간의 심리와 습관을 공략했다. 자동 완성과 복사-붙여넣기에 지나치게 의존하는 현대의 거래 관행이 치명적인 약점이 된 셈이다. 금융 당국의 규제 담론은 늘 '투자자 보호'를 외치지만, 정작 가장 기초적인 사용자 경험(UX) 단계에서 발생하는 이런 교묘한 위협을 막기에는 역부족이다. 결국, 가장 강력한 보안 장치는 여전히 주의 깊은 눈과 한 번 더 확인하는 수고로움 속에 있다. 암호화폐 생태계가 진정한 대중화를 이루려면, 첨단 기술만큼이나 '실수하지 않는' 디자인에 진심을 다해야 할 때다.

[디지털투데이 홍진주 기자] 단 한 번의 실수로 촉발된 거래가 올해 가장 큰 온체인 손실 사례 중 하나로 기록됐다. 한 사용자가 '주소 중독 공격(address poisoning attack)'에 당해 약 5000만달러(약 740억원) 상당의 테더(USDT)를 스캠 주소로 잘못 전송하면서 대규모 손실이 발생한 것이다.

지난 20일(현지시간) 블록체인 매체 코인텔레그래프가 인용한 온체인 보안 분석기업 웹3 안티바이러스(Web3 Antivirus)에 따르면, 피해자는 거래 내역에서 단순히 주소를 복사해 붙여넣는 습관을 택했다가 큰 손실을 입었다. 

주소 중독 공격은 유사한 지갑 주소를 피해자의 거래 내역에 삽입하는 방식으로 작동한다. 이후 피해자가 주소를 복사해 송금할 때, 의도한 수신자가 아닌 사기꾼의 지갑으로 자금이 전송된다. 사기꾼은 몇 센트 수준의 소액 이체를 통해 피해자의 거래 기록에 가짜 지갑 주소를 심어뒀고, 피해자가 이를 진짜로 착각해 거액을 송금한 것이다.

온체인 기록에 따르면, 피해자는 처음에는 올바른 주소로 소액 테스트 송금을 진행했지만, 이후 거의 전액인 약 5000만달러의 테더를 중독된 가짜 주소로 보냈다. 

슬로우미스트(SlowMist)의 창립자이자 보안 전문가 코스(Cos)는 "정상 주소와 악성 주소의 앞 세 글자와 마지막 네 글자가 동일해 일반 사용자뿐 아니라 숙련된 투자자도 속을 수 있다"라고 경고했다. 또 다른 온체인 분석가는 "주소 중독 공격은 시스템을 해킹하는 것이 아니라 인간의 습관을 노린다"라고 설명했다.

실제로 피해자 지갑은 약 2년간 테더 전송 등에 꾸준히 사용돼 온 것으로 알려졌으며, 사건 직전 바이낸스에서 자금을 출금한 기록도 있어 능록적으로 관리되던 지갑이었다. 범인은 탈취한 USDT를 이더리움(ETH)으로 순식간에 환전한 뒤, 여러 지갑으로 분산했다. 이후 일부 자산은 암호화폐 믹싱 서비스인 토네이도 캐시로 옮겼으며, 이는 추적을 어렵게 만들기 위한 자금 세탁 수법으로 보인다. 

이와 관련해 코인텔레그래프는 "지갑 사용자라면 사기꾼이 심어놓은 가짜 주소에 속지 않기 위해 트랜잭션 기록을 통한 주소 복사 습관을 경계해야 한다"라고 조언했다. 

한편, 2025년 암호화폐 해킹으로 인한 손실액은 34억달러(약 5조360억원)로 집계됐으며, 이는 2022년 이후 최대 규모다. 올해 발생한 3건의 대형 해킹이 전체 손실의 69%를 차지했으며, 특히 바이비트 거래소에서 발생한 14억달러(약 2조735억원) 규모의 해킹이 절반 가까운 피해를 기록했다.