승인 피싱은 수년 동안 존재해 온 사기 수법입니다. 하지만 승인 피싱 사기꾼들이 과거에는 가짜 ‘ 가상자산 ’ 앱을 대량으로 유포하여 가상자산 사용자들을 광범위하게 표적으로 삼았던 반면, 로맨스 사기꾼들(일명 ‘돼지 도살 사기꾼’)은 최근 몇 년간 이 기법을 채택하여 상당한 성과를 거두고 있는 것으로 보입니다.
승인 피싱은 다른 ‘ 가상자산 ’ 사기와 작지만 중요한 차이점이 있습니다. 일반적으로 사기꾼들은 가짜 투자 기회를 제시하거나 다른 사람을 사칭하는 등의 수법으로 피해자를 속여 가상자산 을 보내도록 유도합니다. 하지만 승인 피싱 사기의 경우, 사기꾼은 사용자를 속여 악성 블록체인 거래에 서명하도록 유도합니다 하도록 유도합니다. 이 거래는 사기꾼의 주소가 피해자의 지갑 내 특정 토큰을 사용할 수 있는 권한을 부여하므로, 사기꾼은 이후 피해자의 주소에서 해당 토큰을 마음대로 빼낼 수 있게 됩니다. 일부 피해자들은 수천만 을 잃기도 했습니다.
일반적으로 승인 피싱 사기꾼들은 피해자를 대신해 거래를 수행할 권한이 부여된 지갑과는 별개의 지갑으로 피해자의 자금을 송금한다는 점을 유의해야 합니다. 온체인 패턴은 대개 다음과 같이 진행됩니다:
- 피해자 주소 두 번째 주소가 자금을 사용할 수 있도록 승인하는 거래에 서명함
- 두 번째 주소는, 이를 승인된 지출자 주소라고 부르겠습니다. 이 주소는 자금을 새로운 수신 주소로 자금을 이동시키는 트랜잭션을 실행합니다.
일반적으로 거래가 이러한 방식으로 진행되고, 승인된 지출자 주소가 악의가 없는 거래에서 예상되는 피해자 주소가 아닌 자금 유출 거래의 발신자인 경우, 이는 승인 피싱 사례일 가능성이 높습니다. 하지만 확실하게 판단하기 위해서는 추가 조사가 필요합니다.
이더리움과 같이 스마트 계약을 지원하는 블록체인상의 많은 탈중앙화 앱(dApp)은 사용자가 dApp의 스마트 계약에 자신의 주소에 보관된 자금을 이동할 수 있는 권한을 부여하는 승인 거래에 서명할 것을 요구합니다. 보안이 확보된 dApp에 부여된 승인은 일반적으로 안전합니다. 왜냐하면 적절하게 설계된 스마트 계약은 사용자의 지시가 있거나 dApp의 정상적인 작동에 해당 승인이 필요한 경우에만 해당 승인을 사용할 수 있기 때문입니다. 이러한 경우, 일반적으로 dApp 사용자의 주소가 자금을 지출하기 위한 거래를 시작하는 주체가 될 것으로 예상됩니다. 하지만 승인 피싱 사기꾼들은 많은 가상자산 사용자들이 승인 거래 서명에 익숙하다는 점을 악용할 수 있습니다. 여기서 핵심은 어떤 권한이 부여되는지와 그 권한을 받는 당사자의 신뢰성에 있습니다. 예를 들어, 한 승인 피싱 사기 사례에서 사기꾼들은 유니스왑(Uniswap) 승인 피싱 사기에 대한 허위 이야기를 유포하고 유니스왑 승인 피싱 사기라는 가짜 이야기를 유포하고, 사용자가 지갑을 연결하여 승인 거래에 서명함으로써 자신의 거래 승인 내역을 확인하고 피해자 여부를 파악할 수 있는 가짜 이더스캔 페이지를 구축했습니다. 바로 그 마지막 거래가 실제 승인 피싱 사기의 핵심이었습니다.
그러나 연구 결과에 따르면, 승인 피싱 사기꾼들은 이제 점점 더 특정 피해자를 표적으로 삼아 그들과 관계를 형성하고, 로맨스 사기와 유사한 수법을 동원해 피해자가 승인 거래에 서명하도록 유도하고 있는 것으로 나타났습니다. 메타마스크의 수석 제품 관리자 테일러 모나한(일명 @tayvano_)은 맞춤형 Dune Analytics 대시보드를 통해 이를 추적해 왔습니다.
우리는 로맨스 사기 수법을 사용하는 것으로 알려진 소유자들이 운영하는 승인 피싱 주소로 구성된 소규모 목록을 출발점으로 삼아, 표적형 승인 피싱으로 보이는 활동에 연루된 1,013개의 주소 집합을 식별했습니다. 그 후, 초기 목록에 포함된 주소들과 연결되어 있으며 유사한 거래를 수행한 다른 주소들을 파악함으로써, 상호 연결된 승인 피싱 사기꾼들의 온체인 활동 네트워크를 보다 완벽하게 구축할 수 있었습니다. 2021년 5월 데이터 수집이 시작된 이래, 초기 목록에 포함된 주소들의 피해자와 독특한 활동 패턴을 바탕으로 식별된 주소들의 피해자를 합산했을 때, 승인 피싱 사기로 인해 약 10억 달러의 손실이 발생한 것으로 추정됩니다. 이 10억 달러라는 총액은 온체인 패턴을 기반으로 한 추정치이며, 그 중 일부는 사기꾼들이 이미 장악한 자금의 세탁을 나타낼 수도 있다는 점을 유의해야 하지만, 이 수치는 훨씬 더 거대한 빙산의 일각에 불과할 가능성이 높습니다. 로맨스 사기는 신고가 극히 적기로 악명 높으며, 우리의 분석은 제한된 수의 신고 사례를 바탕으로 시작되었습니다.
우리가 추적 중인 승인 피싱 사기 용의자들의 수익은 2022년 5월에 정점을 찍었습니다. 전체적으로 2022년에는 피해자들이 승인 피싱으로 인해 약 5억 1,680만 달러를 잃은 반면, 2023년 11월까지의 피해액은 3억 7,460만 달러에 그쳤습니다. 많은 형태의 블록체인( 가상자산) 기반 범죄와 마찬가지로, 승인 피싱을 통한 절도 사건의 압도적 다수는 소수의 매우 성공적인 범죄자들에 의해 주도되고 있습니다. 이는 아래 분포 그래프에서 확인할 수 있는데, 이 그래프는 조사 기간 동안 1,013개 주소의 승인 피싱 수익과, 표본에 포함된 주소들이 승인 피싱을 통해 훔친 총 금액의 누적 점유율을 내림차순으로 보여줍니다.
가장 성공적인 승인 피싱 주소는 수천 개의 피해자 주소로부터 4,430만 달러를 탈취한 것으로 보이며, 이는 조사 기간 동안 추정된 총 탈취 금액의 4.4%를 차지합니다. 상위 10개 승인 피싱 주소의 합계는 조사 기간 동안 탈취된 전체 금액의 15.9%를 차지하는 반면, 상위 73개 주소는 전체 탈취 금액의 절반을 차지합니다.
저희는 업계가 사용자 교육부터 이 데이터를 수집할 때 사용한 것과 유사한 패턴 인식 기법을 활용하는 것까지, 다양한 방식으로 승인 피싱 사기 문제를 해결할 수 있다고 믿습니다. 일반적으로 승인 피싱 사기에서 관련된 주소와 지갑은 다음과 같습니다:
- 승인된 지출자 지갑 피해자들은 속아서 자신의 지갑 내 자금을 지출할 수 있는 승인된 사용자로 지정하게 됩니다
- 수신 주소 피해자의 자금이 유출되는
- 통합 주소 수많은 피해자들로부터 빼앗긴 자금이 한곳으로 모이는 곳
아래 그래프에서 볼 수 있듯이, 자금은 일반적으로 통합 주소에서 출금 지점(주로 중앙화된 거래소)으로 이동합니다.
위에서 파악한 패턴을 바탕으로, 거래소 컴플라이언스 팀은 수신 주소에 대한 노출이 심한, 승인 피싱 통합 지갑으로 의심되는 계정을 블록체인에서 모니터링할 수 있습니다. 그러면 해당 지갑이 자금을 플랫폼으로 이체하는 시점을 실시간으로 파악한 뒤, 자금을 자동으로 동결하거나 법 집행 기관에 신고하는 등의 조치를 취할 수 있습니다. 더 넓게 보면, 업계는 사용자에게 상대방인 개인이나 기업을 절대적으로 신뢰할 수 있거나, 자신이 부여하는 접근 권한의 수준을 명확히 이해하지 않는 한 승인 거래에 서명하지 않도록 교육하는 데 힘쓸 수 있습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융, 투자, 규제 또는 기타 전문적인 조언을 제공하기 위한 것이 아니며, 전문적인 의견으로 간주되어서는 안 됩니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상의해야 합니다. 체이널리시스 본 자료에 포함된 정보의 정확성, 완전성, 적시성, 적합성 또는 유효성을 보장하거나 보증하지 않습니다. 체이널리시스 본 자료의 수신자가 본 자료를 사용하는 것과 관련하여 내린 결정이나 기타 행위 또는 부작위에 대해 어떠한 책임이나 의무도 지지 않습니다.
