---
title: "가상자산 사기에서의 사회 공학"
description: "돼지 도살 사기, 가짜 고객 지원, 신용 사기는 프로토콜 취약점 공격보다 더 많은 가상자산을 탈취합니다 — 사회 공학의 작동 원리와 사용자의 대응 방법."
language: ko
published: 2026-04-07
author: Netts
topic: "Insights"
canonical: https://netts.io/blog/social-engineering-in-crypto-scams?lang=ko
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# 가상자산 사기에서의 사회 공학

돼지 도살 사기, 가짜 고객 지원, 신용 사기는 프로토콜 취약점 공격보다 더 많은 가상자산을 탈취합니다 — 사회 공학의 작동 원리와 사용자의 대응 방법.

할리우드 영화에서 묘사되는 암호화폐 해커의 전형적인 이미지는 이렇습니다. 어두운 후드티를 입은 인물이 키보드 앞에 앉아 주변 방화벽을 뚫고 직접 짠 코드로 정교한 암호화 알고리즘을 해킹하는 모습이죠. 이는 사이버 범죄를 순전히 기술적인 관점에서만 바라본 것입니다. 하지만 실상은 훨씬 더 평범하며, 솔직히 말해 인간적입니다.

물론 실행 가능한 기술적 공격도 존재하지만, 훨씬 더 많은 암호화폐 탈취는 블록체인을 뚫는 것이 아니라 사용자를 무너뜨림으로써 발생합니다. 이것이 바로 사회공학(social engineering)의 영역입니다. 즉, 사람을 조종하여 기밀 정보를 누설하게 하거나 자신에게 불리한 행동을 하도록 유도하는 수법입니다. 이는 제로데이 취약점 공격이 아니라, 고전적인 속임수, 사기극, 그리고 인간 심리의 맹점을 파고드는 기술에 가깝습니다.

거래 취소가 불가능하고, 원한다면 경찰이나 법원의 손길이 닿지 않는 곳에서 활동할 수 있으며 익명성이 매우 중시되는 디지털 자산이라는 '서부 개척 시대'에서 인간은 가장 취약한 고리입니다. 사기꾼들은 탈중앙화된 네트워크를 해킹하는 것보다 사람의 신뢰, 공포, 탐욕을 해킹하는 것이 훨씬 쉽다는 점을 잘 알고 있습니다. 어떤 방식이든, 사용자가 직접 문을 열어주게 함으로써 이들 악성 행위자들은 기술이 아닌 인간의 행동 양식을 이용해 가장 강력한 보안 통제마저 무력화합니다.

본 게시물에서는 현재 암호화폐 커뮤니티에 영향을 미치고 있는 가장 일반적인 사회공학적 수법들을 분석하고, 이들이 악용하는 심리적 기저를 집중적으로 살펴보며, 이에 대응하는 보호 방안을 제안하고자 합니다.

## 장기 사기와 신뢰의 함정

중국어로 '샤주판(Sha zhu pan)', 즉 '돼지 도살(pig butchering)'은 중국 네티즌들이 자신들이 겪는 사기 수법을 묘사할 때 사용하는 수많은 새로운 사회공학적 형태 중 하나입니다.

이 비유는 그 과정을 명확하게 보여줍니다. 피해자는 아첨과 우정, 그리고 가짜 투자 수익으로 '살을 찌운' 뒤, 가진 모든 것을 빼앗기기 위해 '도살'되는 '돼지'입니다. 단기적인 피싱 수법과 달리, 이는 유대감에 대한 심리적 욕구를 이용하고 회의감을 점진적으로 무너뜨리는 장기전입니다. 초기 단계는 대개 무해해 보입니다. 잘못 전송된 문자, 소셜 미디어의 DM, 혹은 지인을 통한 만남 등으로 시작됩니다. 사기꾼은 곧바로 가상자산 이야기를 꺼내지 않습니다. 대신 관계를 형성하는 데 집중합니다. 그들은 성공한 경력을 가진 기업가나 외로움을 느끼는 전문직 종사자, 혹은 여행 중인 사람으로 자신을 가장할 수 있습니다. 수주 또는 수개월에 걸쳐 그들은 피해자와 실제적인 관계를 쌓아갑니다. 식사 사진을 서로 공유하고, 취미에 대해 대화하며, 피해자가 오랫동안 겪어온 개인적인 고충에 공감해 줍니다. 이 단계는 피해자의 경계심을 허물기 위한 것입니다. 인간에게는 자주 접하는 사람, 특히 자신의 삶에 진심으로 관심을 보이는 사람을 신뢰하려는 생물학적 본능이 있습니다. 어느 정도 신뢰를 얻고 나면, 사기꾼들은 대개 돈 이야기를 꺼내기 시작합니다. 하지만 결코 직접적이지는 않습니다. 시장에서 거둔 '큰 수익'을 무심코 언급하거나, 매매 수익으로 구매한 사치품의 스크린샷을 게시하기도 합니다. 피해자가 관심을 보이기 시작하면 함정이 완성됩니다. 이때 사기꾼은 판매원이 아닌, 돕고 싶어 하지 않는 척하는 멘토의 역할을 자처합니다. "제가 했던 방식을 대충 보여드릴게요. 그쪽이 꽤 잘 통하더라고요."와 같은 식입니다. 그들은 피해자에게 유명 거래소의 인터페이스를 모방하여 진짜처럼 보이는 가짜 거래 플랫폼에 돈을 입금하도록 유도합니다. 사기를 더욱 그럴듯하게 만들고 '작은 성공'을 경험하게 하기 위해, 사기꾼은 때때로 상황을 조작하기도 합니다. 피해자에게 적은 금액을 투자하게 한 뒤, 첫 수익금을 인출해 보도록 권유하는 것입니다. 이것이 바로 심리적 갈고리입니다. 피해자의 뇌는 도파민으로 가득 차고, 의구심은 사라지며 그 자리는 공짜 돈을 벌 수 있다는 가능성과 새로운 친구에 대한 고마움이 주는 흥분으로 채워집니다. 피해자는 이 사기가 진짜라고 믿게 되며, 결국 전적인 신뢰를 가지고 자신의 전 재산을 쏟아붓게 됩니다. 거액의 자금을 인출하려고 시도할 때가 되어서야 비로소 현실을 직면하게 됩니다. 자신이 온라인 사칭(catfished)에 당했다는 사실과, 그 돈은 실체가 없는 친구처럼 컴퓨터 화면상의 숫자로만 존재할 뿐이라는 사실을 말입니다.

대응책: 이러한 깊은 감정적 유대에 휘둘리지 않으려면 스스로에게 엄격해져야 하며, 사교 생활과 재정적 선택을 완전히 분리해야 합니다. 황금률은 간단합니다. 인터넷상의 낯선 사람은 당신을 부자로 만들어주려 하지 않습니다. 만약 온라인에서 새로 사귄 친구나 연애 대상이 투자 이야기를 꺼낸다면 즉시 경계 신호를 높여야 합니다. 상대방이 보내온 사진은 이미지 역검색을 해보십시오. 사기꾼들은 아름다운 모델이나 유명 인플루언서의 도용된 사진을 자주 사용합니다. 관계 초기 단계에서 영상 통화를 요구하십시오. 투기만으로 유지되는 플랫폼에 자금을 가져오라는 요구를 받는다면 반드시 재고해야 합니다. 당신을 부자로 만들어줄 능력이 있다는 사람을 직접 대면하기 전까지는 그 어떤 곳으로도 자금을 절대 이동시키지 마십시오. 의심이 든다면 즉시 자금 인출을 시도해 보십시오. 만약 변명을 늘어놓거나 인출을 위해 '세금'이 필요하다고 한다면 모든 연락을 중단하십시오. 그것은 사기입니다.

## 권위의 함정과 위기 상황의 긴박함

또 다른 강력한 수법은 권위에 복종하려는 대중의 본능과 위기 상황에서 패닉에 빠지는 인간의 경향을 이용하는 것입니다. 사기꾼들은 이를 활용해 거래소 지원팀, 지갑 서비스 제공업체, 심지어 정부 기관을 사칭합니다. 이 전략은 사고력을 마비시킬 정도의 극심한 불안과 정신적 혼란 상태를 조성하는 데 달려 있습니다.

![가상자산 사기에서의 사회 공학](https://netts.io/blog/images/body/85748b0be29fd97fbdf17cdef61b985488120c5c-472.webp)

친구에게 USDT를 전송하려고 하는데 어떤 이유로 트랜잭션이 차단된 상황을 가정해 봅시다. 당신은 고객 지원 번호를 찾거나 해당 문제에 대해 트윗을 올립니다. 거의 즉시 "도움을 주려는" 계정이 응답하거나, 공식 번호처럼 보이는 전화번호를 우연히 발견하게 됩니다. 수화기 너머의 목소리는 전문적이고 차분하며 권위가 느껴집니다. 그들은 당신의 자금이 "묶여" 있거나 계정이 "해킹"되었다고 말하며, 자산을 지키려면 신속하게 행동해야 한다고 압박합니다.

하지만 이러한 긴박함은 실제가 아니며, 당신이 깊이 생각할 겨를도 없이 행동하도록 압박하기 위한 수단일 뿐입니다. "상담원"은 문제를 "해결"하기 위해 원격 데스크톱 소프트웨어를 다운로드하라고 지시하거나, 지갑 소유권을 "확인"하기 위해 시드 구문(seed phrase)을 넘겨달라고 요구할 수 있습니다. 돈을 잃을지도 모른다는 두려움과 상대방의 지적인 말투 때문에 당신은 그 지시를 따르게 됩니다. 실제 고객 지원 상담원은 절대로 시드 구문을 요청하거나 컴퓨터 원격 제어를 요구하지 않습니다.

이제 이 수법에 '딥페이크(Deepfake)' 기술이라는 공포스러운 새로운 단계가 추가되었습니다. 이제 사기꾼들은 AI를 사용하여 CEO나 신뢰할 만한 임원의 목소리를 복제할 수 있으며, 음성 메시지를 남기거나 심지어 실제 CEO의 기기에서 걸려온 것과 구별할 수 없는 실시간 통화까지 가능해졌습니다. 이는 '권위 편향(authority bias)'이 한 단계 더 진화한 형태입니다. 유명 인사가 "에어드랍 이벤트"나 "긴급 업그레이드"를 위해 특정 주소로 자금을 보내라고 말하는 것을 듣게 되면, 인간의 뇌는 무의식적으로 그 말을 믿도록 작동합니다.

대응책: 권위에 기반한 공격에 대한 유일하고 효과적인 해결책은 외부에서 오는 모든 통신에 대해 "제로 트러스트(zero-trust)" 태도를 유지하는 것입니다. 은행이나 암호화폐 거래소 직원이라고 주장하는 전화를 받으면 응대하지 말고 바로 끊으십시오.

계정이 잠겼다는 이메일을 받더라도 링크를 클릭하지 마세요. 대신 검색 엔진이나 메시지에 포함된 링크를 클릭하는 것이 아니라, 직접 저장해 둔 즐겨찾기를 통해 공식 웹사이트에 접속한 후 공식 채널을 통해 고객 지원팀에 문의하십시오. 실제 기관은 실시간으로 긴박하게 업무를 처리하지 않으며, 전화를 끊지 못하게 하거나 몇 초 내로 응답하지 않으면 자금을 잃게 된다며 답변을 재촉하지 않는다는 점을 잊지 마십시오. 시드 구문(seed phrase)의 경우, 이를 실물 금고의 비밀번호라고 생각하십시오. 기술적인 문제든 그 어떤 상황이든 상담원이 귀하를 돕기 위해 그 비밀번호를 알아야 하는 경우는 절대 없습니다. 만약 이를 요구한다면, 당신을 만만한 사기 대상으로 여기는 것입니다.

## 보이지 않는 서명 및 승인 피싱

가상자산 시장이 탈중앙화 금융(DeFi)으로 이동함에 따라, 사기꾼들은 스마트 컨트랙트 상호작용의 복잡성을 악용하는 방식으로 수법을 변경했습니다. '승인 피싱(approval phishing)' 또는 '드레이너(drainer)' 공격으로도 알려진 이 방식은 사용자가 실제로 무엇을 승인하고 있는지에 대한 기술적 무지를 구체적으로 이용합니다.

![가상자산 사기에서의 사회 공학](https://netts.io/blog/images/body/dc93b059b64697cb3ea74b48756d3d64c082eca6-1287.webp)

이 경우, 사용자는 유명 NFT 마켓플레이스나 DeFi 프로토콜과 똑같이 생긴 사이트에 접속하게 될 수 있습니다. 이들은 업계에서 무료 토큰을 의미하는 '에어드랍(airdrop)'이나 독점적인 '민팅(minting)' 기회를 약속하며 사용자를 유인합니다. 해당 사이트는 보상을 받을 준비가 되면 지갑을 연결하고 트랜잭션에 서명할 것을 요구합니다.

지갑 내부의 팝업창은 대개 이해하기 힘든 기술적 용어들로 가득 차 있습니다. 수년간 난해한 서비스 약관을 읽지 않고 '동의함'을 클릭해 온 습관에 길들여진 대다수의 사용자들은 보상을 받기 위해 커다란 '확인' 버튼을 누를 것입니다. 하지만 이는 단순한 로그인 메시지에 서명하는 것이 아닙니다. 이는 대개 "SetApprovalForAll" 함수나 "Permit" 서명인 경우가 많습니다.

비전문가용 용어로 설명하자면, 이 서명은 스캠 공격자의 스마트 컨트랙트에 특정 자산(USDT나 NFT 등)을 사용자의 지갑에서 외부로 이체할 수 있는 전권을 부여하며, 이후에는 추가적인 확인 절차가 필요하지 않습니다.

여기서 이용되는 심리는 (무료 에어드랍에 대한) 탐욕과 기술적 인터페이스에 대한 '학습된 무력감'입니다. 피해자들은 여전히 시드 구문을 보유하고 있으므로 자금을 되찾을 수 있다고 생각합니다. 하지만 그들이 이해하지 못하는 점은 디지털 서명이 키를 넘겨주는 것만큼이나 위험할 수 있다는 사실입니다. 스캠 공격자는 시드 구문을 알 필요가 없습니다. 적어도 당신이 금고를 비울 수 있도록 허용하는 권한 부여 서명에 자신도 모르게 서명했다면 말입니다.

대응책: 이러한 승인 피싱(approval phishing)에 대한 방어책은 지갑이 권한을 행사하는 방식에 대해 기존과는 다른 가정을 세우는 것입니다. 지갑 서명을 단순히 '로그인'이나 '확인' 버튼을 누르는 것과 동일하게 취급해서는 안 됩니다. 그것은 블록체인 상의 공증된 법적 계약서와 같습니다. 트랜잭션을 승인하기 전에 항상 세부 사항을 읽으십시오. "Approve", "SetApprovalForAll" 또는 "Permit"과 같은 단어를 확인하십시오. 무료 아이템을 받으려는데 트랜잭션이 USDT나 다른 토큰에 대한 접근 권한을 요청한다면 거절하십시오. 이를 위한 한 가지 방법은 '버너(burner)' 지갑을 사용하는 것입니다. 이는 소액의 자금만 넣어두고 새로운 사이트나 의심스러운 사이트에서만 사용하는 지갑입니다. 이것은 방화벽 역할을 합니다. 만약 실수로 악성 컨트랙트에 서명하더라도, 스캠 공격자는 당신의 전 재산이 아닌 버너 지갑에 들어있던 소액의 자산(dust)만 가져갈 수 있습니다. 또한 트랜잭션 데이터를 사람이 읽을 수 있는 경고로 변환하여 서명이 지갑 탈취(wallet drainer)처럼 보이는지 알려주는 브라우저 확장 프로그램을 활용하십시오.

## 패턴 매칭 오류 및 주소 포이즈닝(Address Poisoning)

가장 교묘한 해킹 수법 중 하나는 인간의 뇌가 정보를 빠르게 처리하기 위해 데이터를 소비하는 방식에 기인합니다. 사용자가 암호화폐 주소를 복사하여 붙여넣을 때, 주소가 정확한지 확인하기 위해 무작위로 나열된 숫자와 문자를 끝까지 스크롤하여 확인하는 경우는 드뭅니다. 대신 대개 처음 4~5글자와 마지막 4~5글자만 확인하곤 합니다. 사기꾼들은 이러한 심리적 허점을 파악하고 '어드레스 포이즈닝(address poisoning)'을 통해 이를 악용합니다.

![가상자산 사기에서의 사회 공학](https://netts.io/blog/images/body/12751c80444b548c1608d8a3441efd2275ca0818-1200.webp)

이 사기 수법에서 사기꾼은 블록체인을 모니터링하며 현재 활동 중인 사용자를 지켜봅니다. 사용자가 자신의 개인 콜드 월렛으로 거액의 USDT를 송금하는 등의 이체 활동을 포착하면, 사기꾼은 소프트웨어를 사용하여 원래 목적지 주소와 매우 유사한 '배니티 주소(vanity address)'를 생성합니다. 이 가짜 주소는 실제 주소와 시작 및 끝 글자는 동일하지만, 중간 부분은 다릅니다.

유사한 주소를 생성한 후, 사기꾼은 이 위조된 주소에서 피해자의 지갑으로 0 USDT(또는 그에 가까운 금액)를 송금합니다. 이 트랜잭션은 이제 피해자의 거래 내역에 반영됩니다. 이후 피해자가 다시 자신의 콜드 월렛으로 USDT를 보내려 할 때, 가장 최근에 사용한 주소일 것이라 생각하고 거래 내역을 열어 해당 주소를 복사할 수 있습니다. 주소의 시작과 끝이 기억하는 것과 일치하는 한, 피해자는 차이점을 알아차리지 못합니다. 평소처럼 USDT 수수료를 지불하고 송금을 실행하면, 자금은 사기꾼의 지갑이라는 블랙홀로 직접 입금됩니다.

이는 '무주의 맹시(inattentional blindness)'와 최소 저항 경로를 이용하는 수법입니다. 피해자는 전통적인 의미에서 시스템적으로 '해킹'당한 것이 아니라, 스스로를 해킹하도록 속임을 당한 것입니다. 사기꾼의 논리는 이렇습니다. "아무도 눈치채지 못할 것이다. 우리는 사람들의 게으름과 자동 완성 패턴에 기대를 건다."

대응책: 어드레스 포이즈닝에 대한 해답은 검증입니다. 거래 내역에서 주소를 복사하는 일은 절대로 없어야 합니다! 이것은 사기꾼을 포함해 누구나 기록할 수 있는 공개 장부입니다. 주소를 검증할 때 주소의 앞뒤 몇 글자만 확인해서는 절대 안 됩니다. 문자열 중간의 임의의 시퀀스를 확인하거나, 가급적 모든 글자를 하나하나 대조해 보십시오. 가장 좋은 방법은 지갑의 주소록 기능을 사용하는 것입니다. 신뢰할 수 있는 주소를 화이트리스트에 등록하세요. 또한 주소에 별칭을 지정할 수도 있습니다. 그렇게 하면 오염되었을지도 모르는 로그 대신 신뢰할 수 있는 대상을 선택하게 됩니다.

## 제로 트러스트 세상에서 안전하게 살아남기

이러한 모든 수법의 공통점은 '인간 OS'를 해킹하여 기술적 보안을 무력화한다는 것입니다. 로맨스 스캠의 감정적 유혹이든, 헬프 데스크 사칭범이 구사하는 가짜 시간 압박 전술이든, 조잡한 컨트랙트에서 발견되는 의도적으로 복잡한 미로 같은 기만책이든, 혹은 주소 포이즈닝 공격에서 사용되는 속임수 이미지든, 이 모든 것은 결국 사용자가 스스로 자신에게 불리한 행동을 하도록 유도하는 데 목적이 있습니다.

방어를 위해서는 사고방식의 전환이 필요합니다. 전통적인 금융 세계에서는 은행이 안전망 역할을 하며 승인되지 않은 결제를 알리고 취소해 줍니다. 하지만 크립토 세계에서는 여러분 자신이 곧 은행입니다. 전화를 걸 수 있는 부정 거래 방지 부서도 없으며, 트랜잭션은 결코 되돌릴 수 없습니다. 이러한 자유에는 영원한 경계라는 의무가 따릅니다. 속도를 늦추십시오. 제안이 너무 시급하다면 사기일 가능성이 높습니다. 낯선 사람이 지나치게 친절하다면 대개 함정이 숨어 있습니다. 거래 내용이 지나치게 복잡해 보인다면 실제로 그럴 가능성이 큽니다.

이러한 속임수들을 파악함으로써 여러분은 쉬운 먹잇감에서 회의적인 사용자로 거듭날 수 있습니다. 블록체인은 안전합니다. 항상 주의해야 할 것은 바로 사회적 레이어(social layer)입니다. 개인 키를 보호하듯 여러분의 마음을 지키십시오.

암호화폐를 효율적이고 스마트하게 관리하려면 트랜잭션을 보호하는 방법뿐만 아니라 그 메커니즘도 이해해야 합니다. Tron 네트워크의 활성 사용자라면 자산을 절약하기 위해 Netts USDT 전송 계산기(Netts USDT Transfer Calculator)는 필수적인 도구입니다. Tron 네트워크에서의 모든 USDT 전송은 에너지(Energy) 및 대역폭(Bandwidth)과 같은 특정 네트워크 리소스의 소비를 수반합니다. 사용자의 지갑에 별도의 리소스가 없는 경우, 네트워크는 에너지 비용을 지불하기 위해 보유한 TRX를 소각하며, 이는 일반적으로 14~20배 더 높은 비용이 발생합니다.

![가상자산 사기에서의 사회 공학](https://netts.io/blog/images/body/0f53f98d6d95594e00e36b9e687100e27b5d412c-1126.webp)

Netts 도구를 사용하면 사용자가 발신 주소와 수신 주소를 입력하여 전송에 필요한 정확한 리소스 양을 추정할 수 있습니다. 이를 통해 중요한 비용 차이를 확인할 수 있습니다. USDT 잔액이 있는 수신자에게 전송할 때는 약 13.84 TRX가 소각되는 반면, 콜드 월렛(즉, USDT가 전혀 없는 주소)으로의 전송은 연산 관점에서 훨씬 더 많은 비용이 발생하여 약 27.70 TRX가 소각됩니다. 이 계산기(및 개발자용 API)를 통해 사용자는 에너지를 임대하기에 적절한 시기인지 확인할 수 있습니다. 참고로 에너지 임대 비용은 2~3 TRX 또는 4~5 TRX에 불과하여, 단순히 TRX를 소각하는 것에 비해 80% 이상의 비용을 절감할 수 있습니다. 이 간단한 확인을 통해 빠른 전송 속도를 유지하면서도 네트워크 수수료를 과다하게 지불하지 않도록 보장할 수 있습니다.