토큰 승인(Approval)과 지갑 드레이너: 내 크립토 지키는 법 (2026)

대부분은 크립토 해킹을 누군가 시드 문구를 훔치는 장면으로 떠올려요. 하지만 지갑 보안에서 가장 비싼 공격 유형 하나는 다르게 작동해요 — 그리고 더 교묘합니다. 시드 문구를 완벽히 지켜도 지갑이 텅 비워질 수 있어요. 범인은 당신이 제대로 이해하지 못한 채 내준 **토큰 승인(Token Approval)**입니다. 승인 피싱은 2021년 이후 10억 달러 넘게 털어갔고, 드레이너는 한 해에만 33만 2천 개 지갑에서 약 4억 9,400만 달러를 가져갔어요.

이 글에서는 토큰 승인이 실제로 무엇인지, 지갑 드레이너가 이를 어떻게 무기화하는지, 그리고 무엇보다 이미 지갑에 자리 잡은 권한을 확인·취소하는 단계별 방법을 알려 드릴게요.

투자 조언이 아닙니다 (NFA). 이 글은 보안 설명이에요. 리스크를 줄일 순 있어도 없애진 못하며, 승인 취소로 이미 벌어진 탈취를 되돌릴 순 없어요. 항상 스스로 조사하세요(DYOR).

토큰 승인이란 무엇인가요?

DeFi 대부분을 쓰려면 — DEX 스왑, 스테이킹, NFT 거래 — 앱에 특정 토큰을 지갑에서 옮길 권한을 줘야 해요. 그 권한이 토큰 승인이에요. 스마트 컨트랙트가 당신을 대신해 그 토큰을 전송하게 해 주는 온체인 인가죠.

구독 서비스에 서명하는 자동이체 약정이라고 생각해 보세요. 은행 비밀번호를 넘기는 게 아니라 — 특정 회사 하나가 당신 계좌에서 돈을 빼가도록 인가하는 거예요. 문제는 많은 크립토 승인이 **무제한(unlimited)**으로 설정되고, 구독과 달리 스스로 만료되지 않는다는 점이에요. 한 번 인가하면 그 권한이 무기한 남아요 — 그 앱을 더는 안 써도요.

그게 조용한 위험이에요. 몇 달 뒤에도 여전히 살아 있는, 당신이 잊어버린 권한.

지갑 드레이너는 승인을 어떻게 악용하나

여기가 직관에 반하는 부분이에요. **지갑 드레이너(Wallet Drainer)**는 보통 당신의 개인 키나 시드 문구를 훔치려 하지 않아요. 승인에 서명하도록 속이는 것 — 그걸로 충분하거든요.

전형적 공격의 흐름이에요.

1. 그럴듯한 가짜 사이트에 도착해요 — 가짜 에어드롭, "보상 받기", 가짜 민트, 복제된 dApp.
2. **지갑 연결(Connect Wallet)**을 누르고, 평범해 보이는 거래를 승인해요.
3. 실제로 서명한 건 approve(), setApprovalForAll(), 또는 오프체인 Permit 메시지 — 공격자 컨트랙트에 당신 토큰에 대한 권한을 넘긴 거예요.
4. 컨트랙트가 transferFrom()을 호출해 자산을 빼내요. 즉시 비우거나, 권한을 쥐고 있다가 나중에 칠 수도 있어요.

훔친 키도, 뚫린 비밀번호도 없어요. 그저 잘못된 사이트에서의 한 번의 잘못된 서명뿐. 그래서 "당신의 키가 아니면 당신의 코인이 아니다"가 전부가 아니에요 — 살아 있는 승인은 유출된 키만큼 위험할 수 있습니다.

승인을 확인하고 취소하는 법

좋은 소식. 승인은 눈에 보이고 취소할 수 있어요. 단계별로 볼게요.

1단계 — 활성 승인 검토

평판 좋은 승인 확인 도구를 쓰세요. Revoke.cash가 가장 널리 쓰여요 — 무료·오픈소스이고 100개 넘는 EVM 네트워크를 지원해요. 많은 지갑(MetaMask, Trust Wallet)도 이제 승인 관리를 내장했어요. 지갑 주소를 입력하거나 지갑을 연결해, 권한을 준 모든 컨트랙트를 확인하세요.

2단계 — 위험한 것 식별

무제한 승인, 더는 쓰지 않는 앱의 권한, 그리고 알아볼 수 없는 것을 찾으세요. 휴면·불분명한 컨트랙트의 무제한 허용이 가장 먼저 제거할 우선순위예요.

3단계 — 취소(Revoke)

제거하려는 각 권한에서 취소를 누르세요. 이건 온체인 거래라, 가스비로 네트워크 기축 토큰(ETH 등) 소량이 필요해요. 지갑에서 확인하세요.

4단계 — 습관으로 만들기

승인은 새 dApp을 쓸 때마다 쌓여요. 주기적으로 검토하세요 — 활발한 사용자라면 월 1회 점검이 합리적인 리듬이에요.

베스트 프랙티스: 계층 방어

한 가지 습관만으론 부족해요. 서명하는 순간을 둘러싼 세 개의 체크포인트로 생각하세요.

• 연결하기 전 — dApp엔 직접 저장한 북마크로 접근하고, DM·광고·검색결과 링크로는 절대 가지 마세요. 대부분의 탈취는 가짜 사이트에서 시작돼요.
• 서명하기 전 — 무엇을 승인하는지 실제로 읽으세요. 요즘 지갑과 방화벽 도구는 거래 미리보기와 서명 해독을 보여줘요 — 단순한 "받기"가 토큰 승인을 요구한다면, 멈추세요.
• 권한을 준 뒤 — 앱이 허용하면 무제한보다 제한(limited) 승인을 택하고, 더는 필요 없는 권한은 취소하세요.
• 리스크 격리 — 민팅·실험엔 별도 "버너(burner)" 지갑을 쓰고, 주력 자산은 낯선 사이트에 닿지 않는 하드웨어 지갑에 두세요.

빠른 안전 체크리스트

• dApp엔 내 북마크로만 접근한다
• 서명 전 각 거래를 읽고 이해한다
• 가능하면 무제한보다 제한 승인을 택한다
• 승인을 주기적으로(예: 월 1회) 검토·취소한다
• 위험한 상호작용엔 버너 지갑을 쓴다
• 주력 자금은 일상 활동과 분리해 하드웨어 지갑에 둔다
• 취소가 탈취를 되돌리지 못함을 알기에, 뚫리면 즉시 대응한다

자주 묻는 질문

지갑을 연결 해제하면 승인이 사라지나요?

아니요. 연결 해제는 이후로 그 사이트가 당신 주소를 보는 것만 막아요. 당신이 준 승인은 명시적으로 취소하기 전까지 온체인에 그대로 살아 있어요. 가장 흔한 오해 중 하나예요.

무제한 승인은 왜 위험한가요?

무제한 승인은 컨트랙트가 그 토큰을 얼마든, 무기한 옮기게 해요. 컨트랙트가 악의적이거나, 나중에 익스플로잇되거나, 악의적으로 업그레이드되면, 공격자가 추가 서명 없이 잔액 전부를 빼낼 수 있어요. 제한 승인은 피해를 가둡니다.

승인 취소는 무료인가요?

도구(Revoke.cash 등)는 무료지만, 각 취소는 네트워크 기축 토큰으로 소액 가스비가 드는 온체인 거래예요. 여러 승인을 취소하면 소액 수수료가 여러 번 들어요.

취소로 도난당한 자금을 되찾을 수 있나요?

아니요. 취소는 권한의 미래 오용만 막아요. 블록체인에서 이미 완료된 전송은 되돌릴 수 없어요. 이미 뚫렸다면, 남은 자산을 안전한 지갑으로 옮기는 걸 먼저 하세요.

드레이너는 애초에 어떻게 서명하게 만드나요?

그럴듯한 가짜로요 — 가짜 에어드롭, "지갑 인증" 프롬프트, 복제 dApp 사이트, 다급한 "지금 받기" 메시지. 서명은 평범해 보이지만 실제론 승인을 주는 거예요. 속도를 늦추고 요청을 읽는 게 최선의 방어예요.

마무리

토큰 승인은 DeFi를 쓸 수 있게 해 주는 것이지만 — 당신의 주의력보다 오래 살아남아 무기가 될 수 있는 상시 권한이기도 해요. 지갑 드레이너는 바로 이걸 노려요. 당신의 키가 아니라 당신의 서명을요. 방어는 복잡하지 않고 그저 꾸준하면 돼요 — 북마크로 앱에 접근하고, 서명할 것을 읽고, 제한 승인을 택하고, 더는 안 쓰는 건 취소하기.

오늘 5분만 내어 승인을 검토해 보세요. 크립토에서 가장 효과 큰 보안 습관 중 하나이고, 드레이너는 당신이 그걸 절대 안 하기를 노리고 있어요.

---