불운한 피해자가 주소 위조 공격 급증으로 $600k 손실

단순한 복사 및 붙여넣기 오류로 인해 불운한 거래자가 오늘 2월 17일 $600,000를 잃었습니다. 이는 블록체인 보안 기업 Cyvers가 올해 비-stop 주소 위조 공격의 파도에서 발견한 최신 사건입니다.

Cyvers Alerts 공격을 발견 실시간 블록체인 모니터링 시스템을 사용하여 발견했으며, 피해자가 제로 가치 전송을 사용하여 표적이었다는 것을 알아냈습니다. 

제로 가치 전송은 공격자가 피해자의 지갑에 가짜 거래를 보내 유사한 주소로 거래 내역을 오염시키는 기술을 의미합니다. 벡터가 심어진 후, 오염된 주소는 피해자의 내역에 남아 있으며, 지갑 주소의 각 문자를 수동으로 입력하거나 확인하는 대신 빠른 복사 및 붙여넣기를 시도할 때를 기다립니다. 

일반적으로 피해자는 블록체인 전송의 되돌릴 수 없음으로 인해 해당 전송에 관여된 모든 자산을 잃습니다.

2026년 주소 위조 공격의 폭풍에 $600k 손실 추가

이 $600,000 사건은 수많은 사건 중 하나입니다. 주소 위조 공격은 빈도와 규모가 급격히 증가했으며, 올해만 해도 이미 여러 건의 높은 프로필 손실이 발생하여 현재 업계가 직면한 위협에 대한 경각심을 불러일으켰습니다.

12월 2025, 한 암호화폐 거래자가 USDT $50 백만 을 잃었습니다. 이는 내역에서 가짜 주소를 복사한 결과로, 역사상 두 번째로 큰 주소 위조 손실입니다. Apparently, 피해자는 Binance에서 자금을 인출하고 올바른 주소로 $50 테스트 거래를 보낸 후, 몇 분 후에 오염된 주소를 복사하여 전체 USDT $50 백만 전송. 

을 수행했습니다. 공격자는 훔친 USDT를 DAI 토큰으로 변환한 후 약 30분 이내에 약 16,690 ETH로 변환했으며, 대부분의 경로를 Tornado Cash을 통해 숨겼습니다. 피해자는 자금의 98%를 회수하기 위해 $1백만 보상을 제공했으며, 조건이 충족되지 않으면 형사 고발을 위협했습니다.

1월 2026도 다르지 않았습니다. 1월 16, 한 피해자가 514,000 USDT $5,000 테스트 거래를 ‘f3e6F’로 끝나는 오염된 주소로 보낸 후, ‘D3E6F’로 끝나는 의도된 수취인과 거의 동일한 주소를 찾았고, 몇 분 후에 전체 이체를 계속했습니다. 

2주 후, 또 다른 피해자는 오염된 거래 내역에서 복사한 공격자 통제 주소로 4,556 ETH를 보낸 후 $12.25백만을 잃었습니다. ScamSniffer는 이 사건을보고했으며, 두 주소는 표시된 문자가 거의 동일했으며, 대부분의 지갑이 축약하는 숨겨진 중간 부분에서만 차이가 발생했습니다.

이번 달의 피해자는 이제 3개월 미만 동안 수백만 달러의 손실을 초래한 패턴에 합류했으며, 이는 주로 더 교묘한 공격과 여전히 축약된 주소 표시 및 복사-붙여넣기 습관에 의존하는 사용자 기반 때문입니다.

이더리움에서 매일 100만 건 이상의 오염 시도

Cyvers 전문가의 보고서에 따르면, 이더리움 네트워크에서만 매일 100만 건 이상의 오염 시도가 이루어집니다. 

또 다른 연구 이더리움에서 주소 오염 캠페인을 적극적으로 실행하는 최소 7개의 서로 다른 공격 그룹을 발견했으며, 일부 그룹은 동시에 이더리움과 바이낸스 스마트 체인에서 가짜 주소를 재사용했습니다. 

이 연구는 공격자가 빈번한 거래 내역을 가진 고가 지갑을 표적으로 삼는 것을 선호하며, 가짜 거래를 배포하기 전에 USDT 및 USDC 잔액에 대한 통계 분석을 실행하여 가장 수익성 있는 잠재적 피해자를 파악한다는 것을 확인했습니다.

“더 많은 사용자와 기관이 암호화 거래를 위해 자동화된 도구를 활용하고 있으며, 일부는 오염된 주소를 감지하기 위한 내장 검증 메커니즘이 없을 수 있습니다.” Cyvers의 CEO는 이렇게 말했습니다. 그는 “공격자의 점증하는 정교함과 사전 거래 보안 조치의 부족”이 증가의 주요 동인이라고 덧붙였습니다.

업계 이해관계자들도 의견을 표명하기 시작했습니다. 일부는 12월 $5,000만 손실 이후 기본값으로 오염된 주소를 차단하도록 지갑 개발자에게 공개적으로 요청했습니다. 

Cryptopolitan에 따르면 6월 DFS가 기존 안전 장치를 유지하면서 GENIUS ACT와 일치하는 새로운 스테이블코인 규제를 제안했다고 보도했습니다. 여기에는 완전한 준비금 backing과 독립적인 감사 포함됩니다. 2025년 12월 24일, CZ는 암호화폐 사용자를 사기성 거래로부터 보호하기 위한 청사진을 제안했습니다.

“우리의 산업은 이러한 유형의 오염 공격을 완전히 근절하고 사용자를 보호해야 합니다,” CZ는 바이낸스의 소셜 플랫폼에 썼습니다. “모든 지갑은 수신 주소가 ‘오염 주소’인지 확인하고 사용자를 차단해야 합니다.”

다른 지갑 제공업체들은 이제 서명 전에 거래를 시뮬레이션하고 사용자에게 확인을 요청하기 전에 자금이 정확히 어디로 가는지를 보여주는 사전 실행 위험 평가를 탐색하고 있습니다. 

일부 연구원은 또한 거래 내역에 대한 의존성을 완전히 제거하기 위해 지갑 설정에서 자주 사용하는 주소를 화이트리스트에 등록할 것을 주장했습니다.