주소 중독 공격으로 암호화폐 사용자로부터 30만 5천 달러 상당의 DAI 유출
TREE NEWS 보도: GoPlus Security의 온체인 모니터링에 따르면, 한 암호화폐 사용자가 주소 중독(address poisoning) 공격으로 약 305,000 DAI를 잃었다. 공격자는 피해자가 자주 거래하던 정당한 주소와 처음과 마지막 문자가 매우 유사한 주소에서 소량의 토큰을 피해자 지갑으로 먼저 전송하여 자금을 탈취했다. 피해자는 거래 내역에서 주소를 복사한 것으로 보이며, 자신도 모르게 공격자의 유사 주소로 자금을 보냈다.
주소 중독의 작동 방식
주소 중독은 긴 16진수 지갑 주소를 검증할 때 인간이 시각적 단서에 의존하는 경향을 악용한다. 공격자는 대상이 자주 거래하는 상대방과 동일한 선행 및 후행 문자를 가진 배니티 주소를 생성한다. 그런 다음 제로 값 또는 더스트 거래를 피해자에게 보내 거래 내역을 오염시킨다. 피해자가 나중에 그 내역에서 주소를 복사하면, 실수로 공격자의 주소를 선택할 수 있다.
이 공격 벡터는 DeFi 사용자들이 여러 프로토콜과 지갑을 이용하면서 점점 더 만연해지고 있다. 스마트 컨트랙트 취약점 공격과 달리, 주소 중독은 어떤 프로토콜의 취약점도 필요로 하지 않으며 오로지 사용자 행동을 표적으로 삼는다.
업계에 대한 시사점
이번 사건은 암호화폐 보안의 중요한 공백을 부각시킨다. 프로토콜은 엄격한 감사를 받지만, 최종 사용자의 운영 보안은 여전히 약한 고리다. 지갑 인터페이스는 종종 주소를 잘라 표시하여 전체 문자열을 검증하기 어렵게 만든다. 일부 지갑은 이 위험을 완화하기 위해 주소록과 ENS 도메인 같은 기능을 도입했지만, 채택은 고르지 않다.
- 지갑 UX: 전체 주소 표시와 색상 코딩 등 개선된 주소 검증 도구가 필요하다.
- 사용자 교육: 사용자는 접두사와 접미사뿐 아니라 전체 주소를 검증해야 한다.
- 온체인 모니터링: GoPlus Security와 같은 서비스는 의심스러운 거래를 탐지하고 경고하는 데 필수적이다.
앞으로의 전망
암호화폐 채택이 증가함에 따라 주소 중독은 저비용·고수익 공격으로 계속 존재할 가능성이 높다. 그러나 계정 추상화, 소셜 복구 지갑, 온체인 평판 시스템 등 새로운 솔루션이 그 효과를 줄일 수 있다. 그때까지 사용자는 경계를 늦추지 말아야 하며, 지갑 개발자는 시각적 스푸핑을 방지하는 보안 기능을 우선시해야 한다. 30만 5천 달러의 DAI 손실은 DeFi에서 전체 주소 검증이 선택이 아니라 필수임을 일깨워주는 값비싼 교훈이다.
