본 연구는 컴퓨터 과학 분야의 최우수 학술대회인 SIGMETRICS 2025에 게재 승인되었으며, 데이터셋을 https://github.com/blocksecteam/phishing_contract_sigmetrics25에 오픈소스로 공개하였습니다.
탈중앙화 금융(DeFi)의 부상 이후, 블록체인 공간은 상당한 자본과 사용자 투자를 유치해 왔습니다. 그러나 이러한 성장과 함께 피싱 공격이 급증하여 사용자들에게 막대한 손실을 초래하고 있습니다. 탐지를 피하기 위해 사기꾼들은 더 이상 외부 소유 계정(EOA)에만 의존하지 않습니다. 대신, 그들은 스마트 컨트랙트 배포 방식으로 전환하였습니다. 이 글에서는 피싱 컨트랙트에 관한 최신 연구 결과를 소개하고, 시의적절하고 포괄적이며 정확한 피싱 인텔리전스가 어떻게 크립토 프로젝트의 사용자 자산 보호 및 컴플라이언스 유지를 지원하여 전반적인 블록체인 보안을 강화하는지 설명합니다.
피싱의 진화: EOA에서 악성 스마트 컨트랙트로
전통적으로 사기꾼들은 사용자들이 ETH나 토큰을 자신들의 EOA로 직접 전송하는 트랜잭션에 서명하도록 유도했습니다. 그러나 이 전술은 쉽게 탐지될 수 있게 되었습니다. MetaMask나 Coinbase와 같은 지갑은 이제 알려진 악성 EOA로 자금을 전송하는 것에 대해 사용자에게 경고를 표시합니다. 이러한 인식 제고로 인해 공격자들은 혁신을 추구하게 되었고, 그 결과 피싱 컨트랙트가 확산되었습니다.
이에 대응하여 사기꾼들은 이제 피싱 컨트랙트를 사용하여 합법적인 프로젝트의 동작을 모방하고 의도를 숨깁니다. 공격자의 EOA로 자산을 직접 전송하는 대신, 피해자들은 악성 컨트랙트와 상호작용하는 트랜잭션에 서명하도록 속임을 당하며, 자신도 모르는 사이에 토큰에 대한 통제권을 넘기게 됩니다. 이 새로운 공격 방식은 DeFi 보안에 중대한 도전을 제기합니다.
이러한 피싱 컨트랙트는 종종 다음을 포함합니다:
- 기만적인 payable 함수:
Claim이나SecurityUpdate와 같이 명명된 이 함수들은 사용자가 ETH를 공격자의 컨트랙트로 직접 전송하도록 속입니다. - 멀티콜 함수: 여러 토큰 전송을 단일 트랜잭션으로 묶도록 설계되어, 사용자가 자신도 모르게 승인을 부여한 후 ERC20 토큰이나 NFT를 탈취하는 데 이상적입니다. 이는 크립토 사기에서 흔히 사용되는 전술입니다.
BlockSec의 연구: 피싱 컨트랙트 탐지 및 분석
본 연구는 이더리움의 피싱 컨트랙트에 초점을 맞춥니다. 대규모 피싱 컨트랙트 탐지를 가능하게 하기 위해, 우리는 컨트랙트 바이트코드에서 의심스러운 함수 셀렉터를 추출하고, 트랜잭션을 시뮬레이션하며, 결과를 분석하는 시스템을 설계했습니다. 이 접근법을 통해 2022년 12월 29일부터 2025년 1월 1일 사이에 배포된 37,654개의 피싱 컨트랙트를 식별하였습니다. 이 방대한 데이터셋은 스마트 컨트랙트 보안 위협의 현황을 이해하는 데 매우 중요합니다.
금전적 피해: 사용자 손실 분포
피싱 컨트랙트는 사용자들에게 상당한 손실을 초래했습니다. 2022년 12월 29일부터 2025년 1월 8일까지, 우리는 171,984명의 피해자에게 영향을 미친 211,319건의 피싱 트랜잭션을 발견하였으며, 총 손실액은 1억 9,070만 달러에 달합니다. 주목할 점은 피해자의 89.9%가 1,000달러 미만의 손실을 입었다는 것입니다. 많은 사용자들이 취소되지 않은 토큰 승인이나 반복적인 악성 트랜잭션 서명으로 인해 피싱 계획에 여러 차례 피해를 입었습니다. 그 중에서도 Web3 경험이 부족한 사용자들은 이러한 크립토 사기에 특히 취약합니다.
공격자 이해: 피싱 컨트랙트 및 배포자 분포
피싱 컨트랙트의 대부분(86.5%)은 다양한 토큰 유형을 타겟으로 하기 위해 "빈" payable 함수와 멀티콜 함수를 모두 보유합니다. 그 중 70.9%는 1,000달러 미만의 수익을 올렸으며, 96.2%는 하루 미만의 활동 기간을 가졌습니다. 사기꾼들은 계정 레이블링 메커니즘을 우회하기 위해 새로운 컨트랙트를 빠르게 배포하며, 이는 실시간 위협 인텔리전스의 필요성을 강조합니다.
우리의 연구는 공격자들에 대한 중요한 통찰도 밝혀냈습니다. 9개의 계정이 모든 피싱 컨트랙트의 91.1%를 배포합니다. 사기꾼들은 종종 피해자로부터 탈취한 토큰을 새로운 피싱 컨트랙트 배포 자금으로 활용합니다. 주목할 점은, 이 9개의 주요 배포자 중 8개가 자금 흐름 연결 관계를 보이며, 이는 그들이 조직화된 피싱 그룹으로 운영됨을 시사합니다. 이들은 모든 피싱 컨트랙트의 85.7%를 배포하였으며, 이는 많은 블록체인 보안 사고 배후에 고도로 조직화된 범죄 집단이 존재함을 나타냅니다.
완화 전략: 피싱 컨트랙트 방어
우리의 연구는 이더리움에서 피싱 컨트랙트의 광범위한 만연과 그로 인해 사용자들에게 발생한 심각한 손실을 밝혀냈습니다. 따라서 우리는 이러한 위협으로부터 사용자를 보호하고 전반적인 블록체인 보안을 강화하기 위한 실용적이고 효과적인 전략을 제안합니다.
사용자가 스스로를 보호하기 위해 할 수 있는 것
사용자 관점에서 크립토 사기를 예방하는 데는 경계심이 핵심입니다. 탈중앙화 애플리케이션에 접속하여 서비스를 요청할 때, 사용자는 URL, 메인 페이지, 서브링크, Twitter 및 Discord 링크를 포함한 웹사이트를 면밀히 검토해야 합니다. 트랜잭션에 서명하기 전에, 사용자는 계정 및 함수 호출 매개변수를 포함한 트랜잭션 세부 정보를 신중하게 검토해야 합니다. 또한, Etherscan에서 주소 레이블을 확인하여 공식 계정 여부를 판단할 수 있습니다. 요청하지 않은 제안이나 승인 요청에는 항상 의심을 가지십시오.
서비스 제공자가 할 수 있는 것: 고급 위협 인텔리전스 활용
CEX, DEX, 지갑, PayFi 플랫폼, 스테이블코인, 브릿지를 포함한 서비스 제공자들은 잠재적인 위협으로부터 사용자를 보호하기 위해 피싱 웹사이트 및 계정 목록을 적극적으로 유지하고 업데이트해야 합니다. 특정 계정이 플랫폼에서 피싱 컨트랙트를 배포하는 것으로 확인되면, 이러한 제공자들은 해당 서비스에 대한 접근을 제한하거나 거부해야 합니다. 그러나 블록체인의 고유한 익명성과 온체인 상호작용의 복잡성—특히 크로스체인 활동에서—은 기관이 효과적인 리스크 평가를 수행하고 DeFi 보안을 보장하는 데 있어 상당한 도전을 제기합니다.
이러한 도전을 해결하기 위해, BlockSec은 이 연구 결과를 Phalcon Compliance APP에 통합하였습니다. 이 플랫폼은 4억 개 이상의 주소 레이블을 보유한 대규모 실시간 데이터베이스, 무제한 트랜잭션 홉 추적, AI 기반 행동 분석 엔진을 활용합니다. 이러한 기능을 통해 APP은 기관이 피싱 주소와 그와 상호작용하는 의심스러운 엔티티를 신속하게 식별할 수 있도록 하여, 중요한 온체인 포렌식을 제공합니다.
피싱 주소 외에도, Phalcon Compliance APP은 공격자, 제재 대상 엔티티, 믹서, 자금 세탁자, 다크웹 등 다른 위험 엔티티와 고빈도 이체, 대규모 이체, 중계 주소와 같은 의심스러운 행동도 탐지합니다. 불법 활동이 탐지되면, APP은 7개의 서로 다른 채널을 통해 기관에 즉시 알림을 보내어 즉각적인 대응이 가능하도록 합니다. 또한, APP은 업무 위임, 댓글 추가, 블랙리스트 등록, 의심 거래 보고서(STR) 원클릭 생성 등 다양한 기능을 제공합니다. 이러한 도구들은 함께 리스크를 식별하고 완화하는 포괄적인 솔루션을 제공하는 동시에 컴플라이언스 워크플로우를 간소화하고 Web3 보안을 강화합니다.
