토큰 승인(Token Approval)이란? 지갑이 털리는 원리와 권한 회수 방법

탈중앙화 앱(dApp)에 지갑을 연결하면서 "Approve" 버튼을 한 번 누르고는 그대로 잊어버린 적이 있으신가요? 그 짧은 순간의 서명이 몇 년씩 열려 있는 경우가 많으며, 이는 오늘날 지갑 자산이 탈취되는 가장 흔한 경로 중 하나입니다. 이 글에서는 "토큰 승인(Token Approval)"이 정확히 무엇인지, 사기꾼들이 이를 어떻게 악용하는지, 그리고 무엇보다 승인 내역을 직접 확인하고 회수하는 방법을 단계별로 설명합니다.

토큰 승인(Token Approval)이란?

BEP20 네트워크의 USDT 같은 코인은 토큰이며, 스스로 움직이지 못합니다. 스왑, 유동성 공급, 또는 어떤 스마트 컨트랙트든 해당 토큰을 사용하려면, 그 컨트랙트가 먼저 사용자 지갑에서 토큰을 인출할 수 있는 사전 허가를 받아야 합니다. 이 허가를 "Allowance"라고 하며, 사용자는 "Approve" 트랜잭션을 통해 이를 부여합니다.

문제는 많은 앱의 기본 설정이 무제한(Unlimited) 승인을 요청한다는 점입니다. 즉 "이 컨트랙트가 이 토큰을, 언제든, 얼마든, 영원히 인출할 수 있도록 허용"하는 것입니다. 서명은 단 한 번이지만, 그 문은 사용자가 직접 닫기 전까지 계속 열려 있습니다.

드레이너 컨트랙트는 어떻게 지갑을 털까?

승인 드레이너(Approval Drainers)는 지갑을 직접 "해킹"하지 않습니다. 대신 사용자 스스로 승인 서명을 하도록 유도합니다. 일반적인 시나리오는 다음과 같습니다.

1. 유명 플랫폼과 흡사한 가짜 사이트에 접속하거나, "보상" 또는 "무료 에어드롭(Airdrop)"을 미끼로 한 메시지에 유혹됩니다.
2. 사이트가 지갑 연결을 요청한 뒤, 평범해 보이는 서명 창을 띄웁니다.
3. 실제로 그 서명은 보유 중인 토큰(예: USDT나 네트워크 토큰)에 대한 무제한 승인을 부여하는 것입니다.
4. 화면상 눈에 띄는 변화가 없어 실패했다고 생각하고 사이트를 떠납니다.
5. 몇 시간 혹은 며칠 뒤, 공격자가 transferFrom 함수를 실행해 잔액을 한 번에 또는 조금씩 빼갑니다.

가장 교묘한 수법은 Permit과 Permit2 서명입니다. 이는 "오프체인" 서명으로 가스비가 들지 않고 트랜잭션으로도 표시되지 않지만, 완전한 권한을 넘겨줍니다. 그래서 요청 자체가 전혀 위험해 보이지 않을 수 있습니다.

서명 전 경고 신호

• DM, 유료 광고, 또는 먼저 연락해온 "지원팀" 계정을 통해 사이트를 알게 되었다.
• 지갑 서명 창에 지금 스왑할 의도가 없는 토큰에 대한 Approve 또는 Permit이 표시된다.
• 필요한 금액은 소액인데, 요청되는 승인 한도가 무제한이다.
• 승인 대상 컨트랙트 주소가 낯설고, 검증되지 않았으며, 블록 익스플로러에서 알려진 컨트랙트로 표시되지 않는다.
• "몇 분 안에 종료됩니다" 같은 급박함과 시간 압박이 있다.

승인 내역 확인 및 회수 방법

다행히 승인은 언제든 회수할 수 있으며, 절차도 어렵지 않습니다. 원리는 허용 한도를 0으로 되돌리는 트랜잭션을 보내는 것입니다.

실전 절차

1. 신뢰할 수 있는 승인 조회 도구(Revoke Tool)를 브라우저에서 직접 열고, 메시지 속 링크가 아니라 주소를 직접 입력합니다.
2. 지갑을 연결하거나, 더 안전한 방법으로 공개 주소만 붙여넣어 연결 없이 먼저 조회한 뒤, 확인 후 회수를 실행합니다.
3. 올바른 네트워크를 선택합니다(예: BEP20 토큰의 경우 BNB Smart Chain).
4. 승인 목록을 확인합니다. 각 행은 토큰, 승인 대상 컨트랙트, 허용 한도를 보여줍니다.
5. 무제한 승인이거나 낯선 컨트랙트를 찾아 "Revoke"를 클릭합니다.
6. 회수 트랜잭션에 서명하고 소액의 가스비를 지불한 뒤 확정을 기다립니다.

승인 내역 확인 방법

미래를 지키는 습관

• 필요한 만큼만 승인: 앱에서 선택이 가능하다면 "무제한" 대신 실제 필요한 금액만큼만 승인하세요.
• 정기적으로 점검: 몇 주에 한 번, 그리고 새로운 사이트를 이용한 뒤에는 항상 승인 내역을 확인하세요.
• 지갑을 분리: 새로운 사이트와 상호작용할 소액의 "테스트용" 지갑과, 어떤 dApp에도 연결하지 않는 "보관용" 지갑을 따로 두세요.
• 서명 창을 꼼꼼히 읽기: 클릭하기 전에 함수 이름과 승인 대상 컨트랙트를 확인하세요. 이해되지 않으면 서명하지 마세요.
• 가스비 없는 서명을 경계: Permit 서명은 수수료가 없을 수 있지만, 여전히 완전한 권한을 부여합니다.

결론

토큰 승인은 탈중앙화 앱에 꼭 필요한 기능이지만, 동시에 가장 많이 악용되는 뒷문이기도 합니다. 원칙은 간단합니다. 필요한 만큼만 승인하고, 더 이상 쓰지 않는 권한은 회수하세요. 승인 내역 점검을 지갑 정리처럼 정기적인 습관으로 만든다면, 사기꾼이 두드리기도 전에 가장 넓은 문을 미리 닫아둘 수 있습니다. Paperino는 보안이 인식에서 시작된다고 믿습니다. 오늘의 승인 회수 한 번이 내일의 잔액 전체를 지킬 수 있습니다.