지갑이 멀티시그로 바뀌었을 때 · 트론 TRX 멀티시그 사기 해부

一. 멀티시그란 무엇이고, 어떻게 돈을 훔치는가

다중서명(멀티시그) 자체는 나쁜 기술이 아닙니다. 본래 뜻은 '한 계정의 돈을 움직이려면 여러 사람이 함께 서명해야 한다'는 것으로, 회사 금고를 열려면 열쇠 두 개를 동시에 돌려야 하는 것과 비슷합니다. 팀 자금이나 기관 수탁에 쓰이는, 보안을 높이는 정상적인 기능입니다. 사기가 파고드는 지점은 이 기능이 트론(TRON)에서 구현된 방식이 거꾸로 쓰였다는 데 있습니다.

핵심은 트론의 계정 권한 모델입니다. 트론에서 한 계정의 돈을 누가 움직일 수 있는지는 단순히 '누가 개인키를 쥐었는가'로 정해지지 않고, 계정의 권한(permission) 설정으로 정해집니다 — 서명자마다 가중치가 있고, 이체하려면 임계값을 채워야 합니다. 정상이라면 내 개인키의 가중치만으로 충분하니 나 혼자 이체할 수 있습니다. 그러나 공격자가 내 개인키를 손에 넣거나(또는 악성 거래에 서명하게 속이면) 이 설정을 바꿀 수 있습니다. 자기를 서명자로 추가하고, 내 가중치를 0으로 내리고, 임계값을 1로 맞추는(자기만 서명하면 되도록) 것입니다. 이 변경이 끝나는 순간 계정은 '그의 멀티시그 지갑'이 됩니다 — 내 손의 개인키는 그대로 있지만 가중치가 이미 모자라서, 내가 서명해도 문턱을 넘지 못하고 돈은 다시 나가지 않습니다.

그래서 이 사기의 가장 직관에 반하는 대목이 여기입니다. '개인키가 내 손에 있으면 안전하다'고 생각하지만, 트론에서는 권한이 바뀐 뒤에는 개인키가 내 손에 있는지가 이미 중요하지 않습니다.

二. 가장 흔한 두 가지 수법

수법 하나 · 허니팟: 공짜 코인이 가장 비싸다

피해 범위가 가장 넓은 유형입니다. 사기꾼은 여기저기(댓글창, 단체방, 심지어 개인 메시지)에서 어떤 지갑의 개인키나 시드 문구를 '실수로' 흘립니다. 말투는 대개 "나는 출금할 줄 몰라서 그러는데, 안에 있는 USDT를 꺼내 주면 절반 나눠 드릴게요" 같은 식입니다. 가져와서 열어 보면 정말로 그 주소에 USDT가 놓여 있습니다.

그 USDT를 옮기려고 하면 계정에 수수료로 쓸 TRX가 없다는 것을 알게 됩니다. 그래서 이 주소로 TRX를 조금 넣습니다 — 바로 그 한 걸음에서 지는 것입니다. 이 계정은 이미 멀티시그로 설정돼 있어 USDT는 애초에 옮길 수 없고, 넣은 TRX는 사기꾼이 깔아 둔 자동 회수 프로그램이 몇 초 안에 걷어 갑니다. 눈에 보이지만 가질 수 없는 USDT를 탐내다가, 진짜 내 돈인 TRX를 내주는 셈입니다. 이 수법이 통하는 이유는 '웬 떡이냐' 싶은 그 한순간의 설렘뿐입니다.

수법 둘 · 서명 피싱: 내가 쓰던 지갑의 권한을 빼앗긴다

이쪽이 더 위험합니다. 피해를 입는 것이 내가 평소 쓰는 지갑이기 때문입니다. 사기꾼은 겉보기에 정상인 사이트를 만듭니다 — 싸게 파는 상품권, 통신 요금 충전, 에어드롭 수령, 가짜 거래 화면. 그 위에서 '확인'이나 '충전'을 누를 때 실제로 서명되는 것은 권한 변경을 호출하는 악성 거래입니다. 결제하는 줄 알았는데 서명이 지나가고 나면 내 지갑의 권한이 바뀌어 있습니다. 사기꾼이 멀티시그 서명자로 추가되고, 내 가중치는 0이 됩니다. 그때부터 이 지갑의 돈은 나 자신도 움직일 수 없습니다.

또 다른 변종은 '가짜 지갑 앱'(imToken, TokenPocket 같은 유명 지갑을 사칭한 앱)을 설치하게 유도하는 것입니다. 시드 문구를 입력하는 순간 문구가 그대로 넘어가고, 사기꾼이 원격으로 권한을 바꿉니다. 그러니 기억해 두십시오. 출처가 불분명한 사이트에서 서명하게 하거나, 공식 경로가 아닌 곳에서 지갑 앱을 내려받게 하거나, 시드 문구를 입력하게 하는 것은 모두 피싱으로 취급해야 합니다.

三. 당한 뒤에 풀 수는 있는가

단도직입으로 말하면 거의 불가능합니다. 이 점에서는 SafePal, CoinEx, imToken 같은 지갑 업체와 보안 연구자들의 설명이 대체로 일치합니다 — 공격자가 권한 변경을 마치고 내 가중치를 기준 미달로 내려놓으면, 나 혼자서 권한을 되돌릴 방법은 없습니다. 권한을 바꾸는 그 동작 자체도 이제 새 서명 문턱을 넘어야 하고, 그 문턱은 사기꾼이 쥐고 있기 때문입니다. 업계에서는 '사실상 방법이 없다', '99%는 통제권을 회수하지 못한다'고 말합니다.

그래서 이 글의 무게가 '되찾기'가 아니라 '막기'에 있습니다. 개별 승인 한 건이 낚인 경우(그건 Revoke.cash 같은 도구로 취소할 수 있습니다)와 달리, 멀티시그 권한 탈취는 계정의 '소유 구조'를 바꿔 버린 것이어서 승인 한 건을 취소하는 일과는 차원이 다릅니다. '어떻게든 푸는 방법이 있겠지'에 기대를 걸지 마십시오 — 없습니다. 그 사실을 인정해야 진짜 나를 구할 수 있는 곳, 손실 차단과 예방에 주의를 돌릴 수 있습니다.

四. 실제로 통하는 예방

• 시드 문구와 개인키를 지키고, 지갑 공식 앱 밖의 어떤 사이트·앱에도 절대 입력하지 않기. 이것이 뿌리입니다. 멀티시그 사기의 99%는 '공격자가 내 개인키를 손에 넣었다' 또는 '내가 악성 거래에 서명했다'를 전제로 합니다. 시드 문구는 지갑을 만들거나 복구할 때 공식 앱이 적어 두게 하는 그 순간에만 쓰이고, 그 밖에 시드 문구 입력을 요구하는 상황은 예외 없이 사기입니다.
• 모르는 사람이 준 개인키·시드 문구는 절대 가져오지 않기. '남의 코인을 꺼내 주고 절반 받는' 좋은 일은 없습니다. 그 주소는 나를 위해 놓인 함정입니다. '공짜 코인'을 보면 먼저 한 문장을 떠올리십시오. 왜 하필 내 차례에 떨어졌을까.
• 출처가 불분명한 사이트에서 서명하지 않기. 싸게 파는 상품권, 에어드롭 수령, 정체불명의 충전 페이지 — 서명 피싱이 가장 잘 일어나는 자리입니다. 서명 전에 내가 대체 무엇을 승인하는지 확인하고, 이해되지 않으면 서명하지 마십시오.
• 지갑 앱은 공식 경로에서만 내려받기. 사칭 지갑은 시드 문구 유출의 최대 피해 구역입니다. 공식 도메인과 앱 마켓의 공식 개발자명을 확인하십시오.
• 계정 권한을 주기적으로 점검하기. 트론 지갑에서 내 계정의 permission(Owner / Active 권한)에 나 말고 다른 서명자가 없는지, 가중치와 임계값이 정상인지 확인하십시오. 낯선 서명자가 늘어 있다면 이미 사고가 난 것입니다.
• 금액이 크고 오래 움직이지 않을 자산은 하드웨어 지갑이나, 아예 규제 사업자에게 맡기는 쪽도 고려하기. 일상용 소액과 장기 보유하는 큰 금액을 나눠 두고, 하나의 핫월렛에 전 재산을 함께 담지 마십시오.

五. 이미 당했다면 무엇부터

지갑이 멀티시그로 바뀐 것을 이미 확인했다면(USDT가 나가지 않고, 권한에 낯선 서명자가 있다면) 다음 순서로 처리하십시오.

• 즉시 손을 뗄 것. 이 주소로는 어떤 코인도 더 보내지 마십시오. 특히 '정말 안 나가는지 시험해 보려고' TRX를 다시 넣는 일은 사기꾼에게 계속 먹이를 주는 것일 뿐입니다.
• 다른 지갑을 먼저 구할 것. 시드 문구가 이미 유출됐다고 의심된다면, 같은 시드 문구에서 파생된 모든 주소(체인이 달라도, 계정 번호가 달라도)가 노출됐을 수 있습니다. 그 주소들에서 아직 움직이는 자산을 완전히 새로 만들고 시드 문구를 어디에도 입력한 적 없는 안전한 지갑으로 서둘러 옮기십시오.
• 멀티시그로 넘어간 주소는 포기할 것. 이미 내 것이 아닙니다. 다시 쓰지 마십시오.
• 증거를 남기고 신고를 검토할 것. 화면 캡처, 트랜잭션 해시(TxID), 상대 계정을 모두 보관하십시오. 금액이 큰 경우에는 거주지의 신고 절차를 따르십시오.
• 2차 사기를 경계할 것. 가장 중요한 항목입니다. 사고가 나면 곧바로 '기술자 / 변호사 / 해커'를 자칭하며 멀티시그를 풀어 주거나 자산을 회수해 주겠다는 사람들이 몰려옵니다. 먼저 비용을, 먼저 충전을, 먼저 보증금을 요구하는 순간 그것이 두 번째 사기입니다. 앞에서 말한 그대로입니다. 멀티시그는 사실상 해제되지 않고, 돈을 받고 풀어 줄 수 있는 사람은 없습니다.

자가수탁 지갑의 핵심 대가는 '내가 곧 은행'이라는 점입니다 — 안전이 100% 시드 문구를 지키고 피싱 서명을 피하는 내 능력에 걸립니다. 이 멀티시그 사기가 통하는 이유도 바로 그 가장 취약한 사람이라는 고리를 노리기 때문입니다. 'Not your keys, not your coins'는 옳지만, 뒤집어도 성립합니다. 내 키, 내 전적인 책임.

솔직히 개인키 관리에 자신이 없고 어떤 서명이 안전한지 구분하기 어렵다면, 일상용과 장기 보유분을 투명하고 규제를 받는 사업자에게 맡기는 쪽이 '시드 문구 유출 / 멀티시그 탈취'라는 공격면 자체를 없애 주는 것은 사실입니다 — 그 문자열을 내가 더 이상 들고 있지 않기 때문입니다. 대가는 그 사업자를 신뢰해야 한다는 점이고, 그래서 이 기록부의 앞 권들이 사업자를 고르는 법에 그렇게 많은 지면을 씁니다. 수탁이 자가수탁보다 낫다는 뜻이 아니라, 키를 제대로 관리할 자신이 없는 사람이 무리해서 자가수탁을 밀고 나가면 오히려 위험이 더 클 수 있다는 뜻입니다. 고르는 기준은 가상자산 거래소가 믿을 만한지 판단하는 법에 정리해 두었습니다. 한국에서 원화로 거래하며 맡길 곳을 찾는다면, 위 안내대로 KoFIU 신고 사업자인지부터 확인하고, 그다음에 준비금을 스스로 검증할 수 있는지와 보험 기금이 있는지를 보십시오.