솔라나 지갑 '주소 독극물' 공격…450만 개 지갑 노려 94만 달러 탈취

블록체인 데이터 분석 업체 비트쿼리(Bitquery)가 발표한 최신 보고서에 따르면, 지난 11개월 동안 약 450만 개의 솔라나(Solana) 지갑이 '주소 독극물(address poisoning)' 공격의 표적이 된 것으로 나타났다. 이 공격 기법은 사용자가 실수로 사기꾼에게 자금을 보내도록 유도하는 정교한 수법으로, 피해자들은 총 94만 달러에 달하는 암호화폐를 탈취당한 것으로 추정된다.

주소 독극물 공격은 사용자의 지갑 거래 기록에 혼란을 야기하는 방식으로 작동한다. 공격자는 소액의 암호화폐(일명 '더스트(dust)')를 피해자의 지갑으로 전송하여, 합법적인 거래처럼 보이게 만든다. 이후 공격자는 피해자의 거래 기록에 나타난 사칭 주소와 유사한 주소를 생성한다. 만약 피해자가 거래 시 거래 기록에서 주소를 복사하여 붙여넣는 습관이 있다면, 실수로 이 사칭 주소로 더 큰 금액의 암호화폐를 전송하게 된다. 비트쿼리는 2025년 10월 30일부터 2026년 10월 7일까지의 기간 동안 이 같은 공격이 집중적으로 발생했다고 밝혔다.

구체적인 공격 사례를 살펴보면, 2025년 11월 17일에 발생한 한 사건에서 피해자의 지갑은 게이트아이오(Gate.io) 입금 주소로 10달러 상당의 USDT를 전송했다. 그로부터 12초 후, 공격자는 이와 매우 유사한 사칭 주소로 '더스트'를 보냈다. 이후 피해자는 동일한 사칭 주소로 10달러를 추가로 테스트 전송한 뒤, 최종적으로 30,749.80 USDT라는 거액의 자금을 잘못된 주소로 송금하는 치명적인 실수를 범했다. 이 사건은 소액 테스트 송금이 합법적인 거래의 성공을 보장할 수는 있지만, 해당 주소의 실제 소유자가 누구인지는 확인할 수 없다는 점을 시사한다. 만약 주소를 잘못 복사했다면, 이후 동일한 실수를 반복할 가능성이 매우 높다.

비트쿼리의 조사에 따르면, 공격 대상이 된 지갑은 총 4,497,798개에 달했다. 공격 탐지 기준은 동일 날짜에 최소 1달러 이상의 SOL, USDC, 또는 USDT를 받은 후, 다른 주소에서 지급 대상의 주소와 앞뒤 세 글자 이상 일치하는 사칭 토큰 또는 더스트를 받는 경우였다. 이러한 공격으로 인해 발생한 피해액을 산출하기 위해, 비트쿼리는 2026년 7월 9일까지 약 300만 개의 지갑을 대상으로 한정하여 분석을 진행했으며, 이 중 1,104개의 지갑에서 총 940,106달러에 달하는 자금이 송금된 것으로 확인되었다.

이러한 피해액은 최소치에 해당한다. 분석은 첫 더스트 송금 후 90일 이내에 발생한 1달러 이상의 결제만을 집계했으며, 추가 더스트 수신 시 더 큰 금액을 송금한 경우 등은 분석에서 제외되었다. 또한, 비트쿼리는 이미 존재하는 합법적인 거래 관계(이전 송금 또는 재송금 이력 등)로 추정되는 경우를 제거했으며, 이 과정에서 일부 실제 도난 사건이 누락되었을 가능성도 배제할 수 없다.

이러한 주소 독극물 공격에 대한 경고음은 이전부터 꾸준히 제기되어 왔다. 솔라나 기반 인기 지갑인 팬텀(Phantom)은 사용자들이 거래 기록에서 복사한 주소를 직접적으로 사용하지 말고, 송금 전 주소를 반드시 재확인할 것을 권고하고 있다. 팬텀의 수령 안내는 먼저 정확한 수신자 주소와 네트워크를 확인한 후, 탐색기(explorer)에서 거래 상태를 조회하도록 분리된 절차를 제시한다. 또한, 팬텀은 잘못된 주소로 전송된 토큰은 복구할 수 없다고 명시하고 있다.

주소 독극물 공격은 암호화폐 생태계의 보안 취약점을 파고드는 대표적인 사기 수법 중 하나로, 사용자들의 각별한 주의가 요구된다. 특히 솔라나와 같이 TPS(초당 거래 처리량)가 높은 블록체인에서는 이러한 공격이 더욱 빠르게 확산될 수 있어, 이용자들은 송금 전 항상 철저한 검증 절차를 거쳐야 한다. 현재로서는 기술적인 해결책보다는 사용자 교육과 경각심 고취가 무엇보다 중요한 시점이다.