피해자는 승인 서명 408일 후 피싱 사기꾼들에게 $330K를 잃었습니다

Web3 사기 방지 플랫폼인 Scam Sniffer의 보고서에 따르면, 한 사람이 1년 이상 전에 상호작용한 피싱 승인 때문에 $330K를 모두 잃었습니다. 

Etherscan에 따르면, 피해자는 이 악용을 통해 AAVE 토큰 총 $329,743를 잃었습니다. 이 사건의 가장 특이한 사실 중 하나는 피싱 승인이 2024년 2월 10일 오전 12:51(UTC)에 408일 전에 서명되어 사기꾼이 피해자의 지갑에 접근할 수 있었다는 점입니다.

도난은 2025년 3월 24일 오전 12:35(UTC)에 발생했으며, 공격자는 단일 거래로 가치 $329,743인 1,999.23 AAVE 토큰을 이체했습니다.

도난 이전, 표적이 된 지갑에는 AAVE가 $527,498만큼 보유되어 있었습니다. 해커가 작업을 마쳤을 때 피해자는 $197,755만 남았습니다.

지갑에는 LPT를 포함한 다른 자산들도 포함되어 있었습니다. 그러나 해커는 이체에서 표적이 된 유일한 토큰인 피해자의 AAVE 토큰만 이동했습니다.

해커는 아직 신원이 밝혀지지 않았으며, 피해자는 현재까지 도난된 자금을 회수할 수 있는 선택지가 제한적입니다.

승인 피싱 사기는 암호화폐 보유자들에게 심각한 위협입니다

Chainalysis의 보고서에 따르면, 암호화폐 공간은 2021년 5월 이후 승인 피싱 사기로 약 10억 달러를 잃었으며, 2023년 한 해에만 3억 7,400만 달러가 손실되었습니다.

승인 피싱은 수년 동안 존재해 온 사기 전술이지만, 사기꾼들은 역사적으로 가짜 암호화폐 앱을 유포하여 암호화폐 사용자를 표적으로 삼았습니다. 공간이 발전함에 따라 그들의 기법은 더욱 효과적이 되었습니다.

일반적으로 사기꾼들은 가짜 투자 기회를 제공하거나 타인을 사칭하여 피해자를 속여 암호화폐를 보내게 합니다. 그러나 승인 피싱 사기의 경우, 사기꾼은 사용자를 속여 악성 블록체인 거래에 서명하게 하여 사기꾼의 주소가 피해자의 지갑에서 특정 토큰을 지출할 수 있는 승인을 받도록 합니다. 이를 통해 사기꾼은 피해자의 주소에서 해당 토큰을 마음대로 인출할 수 있는 접근 권한을 얻게 됩니다.

일반적으로 승인 피셔들은 승인된 주소와 별도로 피해자를 대신해 거래를 수행할 수 있는 주소로 피해자의 자금을 보냅니다. 온체인 패턴은 일반적으로 피해자 주소가 두 번째 주소에 자금 지출을 승인하는 거래에 서명하는 것으로 시작되며, 이후 승인된 지출자 주소인 두 번째 주소가 거래를 실행하여 자금을 새로운 목적지 주소로 이동시킵니다.

Metamask의 수석 보안 연구원인 Taylor Monahan(별명 @tayvano_)은 커스텀 Dune Analytics 대시보드d를 사용하여 로맨스 사기 스타일의 승인 피싱을 추적하는 이들 중 한 명입니다.

보고에 따르면, 이러한 로맨스 사기꾼들의 피해자들은 2021년 5월 이후 승인 피싱 사기로 약 10억 달러를 잃은 것으로 추정됩니다. 10억 달러라는 총액은 온체인 패턴을 기반으로 한 추정치이며, 그 중 일부는 이미 사기꾼이 통제하고 있던 자금의 세탁을 나타낼 수 있습니다.

이는 로맨스 사기가 notoriously 보고되지 않기 때문이며, 해당 결과를 도출한 분석은 제한된 보고 사례 집합에서 시작되었습니다.

승인 피싱 사기의 대부분은 매우 성공적인 소수의 행위자에 의해 수행되는 것으로 믿어지며, 이 문제를 해결하는 방법은 사용자 교육부터 패턴 인식 전술 사용까지 다양합니다.