안 쓰는 코인 지갑, 권한은 남는다⋯연휴에 챙기는 보안 점검

개인지갑 탈취 15만8000건…2022년의 약 3배
복구 문구 온라인 보관 주의…불필요한 승인 정리
연결 해제와 권한 취소는 별개…무료 코인 피싱 경계

▲개인지갑 탈취 현황(2022~2025년). 탈취 건수 / 피해자 수 / 탈취 금액(단위: 백만 달러) (출처=체이널리시스(Chainalysis))

추석 연휴를 맞아 한동안 쓰지 않은 코인 지갑도 점검해볼 만하다. 접속을 중단해도 과거 서비스에 부여한 자산 이동 권한은 남을 수 있다. 복구 문구의 보관 상태와 불필요한 승인을 살펴보는 ‘지갑 대청소’가 필요한 이유다.

25일 블록체인 분석업체 체이널리시스의 2025년 가상자산 탈취 분석에 따르면 개인지갑 탈취 사건은 약 15만8000건으로, 2022년 5만4000건의 약 3배에 달했다. 피해자는 최소 8만 명, 탈취 금액은 약 7억1300만 달러로 집계됐다. 블록체인 거래 내역과 피해 신고 등을 바탕으로 파악한 만큼 실제 피해 규모는 이보다 클 수 있다는 분석이다.

이용자가 직접 관리하는 비수탁형 지갑은 거래소 계정과 보안 방식이 다르다. 거래소에 자산 관리를 맡기지 않고 이용자가 개인 키와 복구 수단을 관리한다. 자산을 직접 통제하는 만큼 접근 정보의 분실·유출에 대한 책임도 커진다.

첫 점검 대상은 ‘시드 구문’으로 불리는 복구 문구다. 여러 단어를 순서대로 배열한 정보로, 새 기기에서 지갑을 복구할 때 사용한다. 이를 직접 보관하는 지갑에서 복구 문구와 기존 기기 접근 수단을 모두 잃으면 자산을 되찾기 어렵다. 반대로 문구가 유출되면 다른 사람에게 지갑 통제권을 빼앗길 위험이 생긴다.

복구 문구를 사진으로 찍거나 메신저에 남겨두지는 않았는지 확인해야 한다. 사진 자동 백업이나 클라우드 계정 유출로 문구까지 노출될 우려가 있기 때문이다. 종이 등에 기록해 타인이 접근하기 어려운 곳에 보관하고, 단어의 철자와 순서도 확인해야 한다. 고객센터를 사칭해 복구 문구를 보내거나 특정 사이트에 입력하라는 요구에도 응하지 않아야 한다.

과거 이용한 탈중앙화금융(디파이)·대체불가능토큰(NFT)·게임 서비스의 연결과 승인 내역도 점검 대상이다. 이더리움 계열 지갑 등에서는 거래를 위해 특정 프로그램에 토큰을 옮길 권한을 부여한다. 서비스 이용을 중단했다고 이 권한까지 없어지는 것은 아니다.

특히 ‘연결 해제’와 ‘승인 취소’를 구분해야 한다. 사이트와 지갑의 연결을 끊어도 이미 부여한 토큰 사용 권한은 사라지지 않는다. 해당 권한을 통한 자산 이동을 막으려면 별도로 승인을 취소해야 한다.

지갑의 공식 안내에 따라 어느 서비스에 어떤 토큰을 얼마나 사용할 권한을 줬는지 확인하고 불필요한 승인을 정리하면 된다. 승인 취소 과정에서도 네트워크 수수료가 발생할 수 있다. 지원 방식은 지갑과 네트워크에 따라 다르다.

무료 코인이나 NFT를 준다는 링크도 경계 대상이다. 단순한 이벤트 참여로 생각하고 서명했다가 공격자에게 토큰 이동 권한을 내주는 ‘승인 피싱’에 노출될 위험이 따른다. 체이널리시스는 이용자가 사소한 거래로 여겨 승인한 행위가 자금 탈취로 이어지는 수법이라고 설명한다. 서명 전 사이트 주소와 요청 내용, 사용 한도를 확인하고 이해하기 어려운 요청은 중단하는 편이 안전하다.

고팍스 아카데미는 “수탁형 지갑은 사업자의 보안 체계에 의존한다”며 “비수탁형 지갑은 이용자가 자산을 직접 통제하는 대신 개인키와 복구 문구를 안전하게 관리할 책임도 진다”고 설명했다.