시드 구문(Seed Phrase) 보관법과 피싱 사이트 방지 수칙
시드 구문은 지갑의 모든 개인 키를 생성하는 씨앗입니다. 이 단어들을 아는 사람은 지갑 자체를 소유한 것과 다름없습니다. 해킹 피해의 상당수는 정교한 기술 공격이 아니라, 사용자가 스스로 시드 구문을 입력하거나 노출하면서 발생합니다.
시드 구문이 만들어지는 원리
BIP-39 표준에 따라 지갑은 무작위 엔트로피를 생성하고, 이를 2,048개 단어 목록에 매핑해 12개 또는 24개의 단어로 표현합니다. 12단어는 128비트, 24단어는 256비트의 보안 강도를 가집니다.
이 단어들로부터 계층 결정적(HD) 구조를 통해 사실상 무한한 주소와 개인 키가 파생됩니다. 그래서 지갑을 분실해도 시드 구문만 있으면 모든 자산을 복구할 수 있고, 반대로 시드 구문이 유출되면 모든 자산을 잃습니다.
선택적으로 추가하는 패스프레이즈(25번째 단어)는 완전히 별개의 지갑을 생성합니다. 보안을 크게 높이지만, 잊어버리면 복구가 불가능하므로 반드시 별도의 안전한 방법으로 보관해야 합니다.
물리적 보관 원칙
사진 촬영, 클라우드 저장, 메신저 전송, 문서 파일 저장은 모두 금지입니다. 디지털에 한 번 올라간 정보는 사용자가 통제할 수 없는 경로로 복제될 수 있습니다.
종이 기록은 화재와 침수에 취약하므로, 장기 보관에는 금속 백업판을 사용하는 방식이 권장됩니다. 서로 다른 두 물리적 장소에 분산 보관하면 단일 사고로 전부를 잃을 위험을 줄일 수 있습니다.
가족이나 상속인을 위한 접근 경로도 미리 설계해야 합니다. 봉인 봉투와 신뢰할 수 있는 제3자를 조합하거나, 다중서명 구성을 통해 여러 사람의 동의가 있어야 자금이 움직이도록 만드는 방법이 있습니다.
피싱 공격의 전형적 패턴
가장 흔한 형태는 검색 광고 상단에 노출되는 가짜 지갑 사이트입니다. 도메인 철자를 한 글자 바꾸거나 유사 문자를 섞어 육안으로 구분하기 어렵게 만듭니다. 즐겨찾기로 저장한 주소로만 접속하는 습관이 확실한 방어입니다.
'지갑 동기화 오류', '보안 업데이트 필요', '에어드랍 수령'을 이유로 시드 구문 입력을 요구하는 화면은 예외 없이 사기입니다. 정상적인 서비스는 어떤 상황에서도 시드 구문을 요구하지 않습니다.
최근에는 지원팀을 사칭해 먼저 연락하는 방식, 가짜 하드웨어 지갑 앱 배포, 서명 요청에 자산 이전 권한을 숨겨 두는 방식이 늘고 있습니다. 서명 창의 내용을 읽지 않고 승인하는 습관이 가장 위험합니다.
사고 발생 시 대응 순서
시드 구문 노출이 의심되면 즉시 새 지갑을 생성하고 자산을 이전해야 합니다. 노출된 지갑은 폐기하고 재사용하지 않습니다. 공격자가 자동화 봇으로 입금을 즉시 쓸어가는 사례가 흔합니다.
토큰 승인만 잘못 부여한 경우라면 승인 회수 도구로 권한을 취소하고, 잔여 자산을 새 주소로 옮기는 것이 우선입니다. 대응 속도가 피해 규모를 결정합니다.
본 콘텐츠는 정보 제공을 목적으로 작성되었으며 투자 자문이나 매매 권유가 아닙니다. 투자 판단과 그 결과에 대한 책임은 투자자 본인에게 있습니다.