디파이나 NFT 마켓을 쓰다 보면 거래 전에 "승인(Approve)" 버튼을 한 번 누르는 단계가 있어요. 보통은 별생각 없이 통과하죠. 그런데 이 승인 한 번이, 나중에 해당 컨트랙트가 내 지갑에서 토큰을 꺼내 갈 수 있는 권한을 내어준다는 사실은 잘 안 알려져 있어요. 더 무서운 건, dApp 연결을 끊어도 이 승인은 블록체인에 그대로 남아 있다는 점이에요. 2025년 한 해 동안 피싱과 승인 악용으로 사라진 자산이 수억 달러 규모로 집계됐을 만큼, 이건 막연한 위협이 아니에요. 본 글은 2026년 6월 8일 시점에서 토큰 승인의 작동 원리와 위험, 그리고 방어법을 정리한 디파이 보안 정보 가이드예요. 특정 서비스 이용을 권하거나 수익을 약속하는 글이 아니에요.
토큰 승인(앨로원스)은 어떻게 작동하나
먼저 구조부터 풀게요. 이더리움 같은 체인의 ERC-20 토큰은 스마트컨트랙트가 내 지갑의 토큰을 직접 만질 수 없게 설계돼 있어요. 그래서 디파이 프로토콜이 내 토큰을 스왑하거나 예치하려면, 내가 먼저 "이 컨트랙트가 내 토큰을 꺼내 써도 좋다"고 허락해 줘야 해요. 이 허락이 바로 승인(approve)이고, 허락한 한도를 앨로원스(allowance)라고 불러요.
문제는 이 한도를 얼마로 설정하느냐예요. 많은 dApp이 편의를 위해 기본값으로 **무제한 승인(unlimited approval)**을 요청해요. 거래할 때마다 승인을 다시 받지 않아도 되니 사용자 경험은 매끄럽지만, 대신 그 컨트랙트는 해당 토큰을 사실상 무한정 꺼내 갈 권한을 갖게 돼요. 컨트랙트에 취약점이 있거나, 애초에 악성이거나, 나중에 권한이 탈취되면 그 무제한 권한이 그대로 공격 통로가 돼요.
여기서 꼭 알아야 할 점이 있어요. 승인은 토큰별·컨트랙트별로 따로 쌓이고, 한 번 준 권한은 시간이 지나도 자동으로 사라지지 않아요. 몇 달 전 한 번 써보고 잊어버린 프로토콜의 승인이 지금도 살아 있을 수 있다는 뜻이에요.
지갑 드레이너와 승인 피싱
이 허점을 노리는 게 지갑 드레이너(wallet drainer)예요. 드레이너는 사용자를 속여 악성 승인이나 서명을 하게 만든 뒤, 그 권한으로 지갑의 자산을 빼내는 도구예요. 대표적인 수법은 이래요. 진짜처럼 꾸민 가짜 사이트나 가짜 에어드랍 페이지로 유인한 뒤, "보상을 받으려면 승인하세요" 같은 팝업을 띄워 무심코 승인 버튼을 누르게 만드는 거죠.
특히 2025년 들어 보안 업계가 경고한 건 Permit·Permit2 서명 피싱이에요. 일반적인 승인은 온체인 트랜잭션이라 가스비가 들지만, Permit(EIP-2612)이나 Permit2는 가스 없이 '서명'만으로 권한을 넘길 수 있어요. 공격자는 평범한 로그인 서명처럼 보이는 메시지를 내밀지만, 실제로는 토큰 인출 권한을 넘기는 서명인 경우가 있어요. 한 보안 보고서에 따르면 대형 피해 사례의 상당 부분이 이 Permit류 서명에서 나왔고, 만료일이 사실상 무제한처럼 길게 설정된 경우도 있었어요. 서명 한 번이 무제한 승인과 다름없이 작동한 셈이에요.
이런 피싱은 거창한 해킹이 아니에요. 사용자가 '직접' 승인 버튼을 누르거나 서명했기 때문에, 체인 입장에선 정상 거래로 처리돼요. 그래서 한 번 빠져나간 자산은 되돌릴 수 없어요. 디파이 프로토콜 자체의 코드 취약점이 터지는 사고와는 결이 다른데, 코드 취약점 쪽은 에이브 v4 KelpDAO 익스플로잇 분석 같은 사례에서 따로 다뤘어요.
투자 정보 안내
본 글은 암호화폐 시장에 대한 객관 데이터·정보 제공 목적이며, 특정 코인 매수·매도 권유가 아닙니다. 암호화폐는 변동성이 매우 크고 원금 전액 손실이 가능하므로 본인 판단과 책임 하에 결정하세요.
리보크 — 살아 있는 승인을 닫는 법
다행히 한 번 준 승인은 직접 닫을 수 있어요. 이걸 리보크(revoke)라고 해요. Revoke.cash 같은 전용 서비스나 이더스캔의 Token Approval 도구에 내 지갑 주소를 연결하면, 그 지갑이 현재 어떤 컨트랙트에 어떤 토큰을 얼마나 승인해 뒀는지 목록으로 볼 수 있어요. 거기서 더 이상 안 쓰는 권한이나 무제한 승인을 골라 취소하면 돼요.
다만 두 가지를 기억해야 해요. 첫째, 리보크는 가스비가 드는 온체인 거래예요. 권한을 닫는 것도 블록체인에 기록을 남기는 일이라 소액의 수수료가 들어요. 둘째, 리보크는 '앞으로의' 권한만 막아요. 이미 빠져나간 자산을 되돌리거나, 이미 실행된 거래를 취소하진 못해요. 그래서 리보크는 사고가 난 뒤 수습보다, 평소에 정기적으로 안 쓰는 권한을 정리해 두는 예방 습관에 가까워요.
리보크 자체도 피싱 표적이 돼요. "리보크 사이트"를 사칭한 가짜 페이지가 있을 수 있으니, 주소를 직접 입력하거나 공식 경로로만 접근해야 해요. 도구가 시키는 대로 추가 서명을 마구 하지 말고, 무엇에 서명하는지 한 번 더 확인하는 습관이 중요해요.
투자 정보 안내
본 글은 암호화폐 시장에 대한 객관 데이터·정보 제공 목적이며, 특정 코인 매수·매도 권유가 아닙니다. 암호화폐는 변동성이 매우 크고 원금 전액 손실이 가능하므로 본인 판단과 책임 하에 결정하세요.
승인과 일반 트랜잭션·서명, 무엇이 다른가
헷갈리기 쉬운 세 가지를 정리해 볼게요. 첫째, 일반 트랜잭션은 자산을 '지금' 옮기는 행위예요. 스왑이나 전송 버튼을 누르면 그 순간 토큰이 이동하고, 내용도 비교적 명확하게 보여요. 둘째, 승인 트랜잭션은 자산을 '지금' 옮기지 않아요. 대신 "앞으로 이 컨트랙트가 내 토큰을 꺼내 가도 좋다"는 권한을 남겨 두는 거예요. 당장은 아무 일도 일어나지 않으니 위험을 체감하기 어렵지만, 그 권한이 살아 있는 한 위험은 계속 따라와요.
셋째, 가스 없는 서명(Permit·Permit2)이 가장 까다로워요. 화면에는 그저 "메시지에 서명" 정도로만 보이는데, 그 메시지의 내용이 실제로는 승인과 같은 권한 위임인 경우가 있어요. 트랜잭션이 아니라 서명이라 가스도 안 들고, 지갑에 따라서는 무엇에 서명하는지 한눈에 파악하기 어려워요. 그래서 "가스가 안 드니 안전하겠지"라는 직관이 가장 위험한 함정이에요.
이 차이를 알면 방어의 우선순위가 분명해져요. 처음 보는 사이트에서 '승인'이나 '서명'을 요구하면, 그게 단순 로그인인지 권한 위임인지 한 번 멈춰서 확인하는 습관이 핵심이에요. 특히 토큰 인출 권한과 관련된 서명은 한 번 넘어가면 되돌릴 수 없으니, 의심스러우면 서명하지 않고 창을 닫는 게 가장 확실한 방어예요. 디파이에서 예치 자산이 묶이는 구조의 위험은 디파이 대출·청산 위험과 건강도 가이드에서도 다뤘는데, 권한 관리와 자산 관리는 결국 같은 보안 습관의 두 축이에요.
평소에 지킬 수 있는 기본 수칙
거창한 보안 지식이 없어도 위험을 크게 줄이는 습관이 있어요. 승인할 때 가능하면 무제한 대신 거래에 필요한 만큼만 한도를 설정하는 것, 큰 자산은 평소 디파이를 굴리는 지갑과 분리해 별도 콜드월렛에 보관하는 것, 처음 보는 사이트의 서명 요청은 내용을 읽고 의심해 보는 것, 그리고 주기적으로 승인 목록을 점검해 안 쓰는 권한을 닫아 두는 것이에요.
여기에 한 가지 습관을 더 보태면 좋아요. 자주 쓰는 메인 지갑과, 처음 보는 사이트나 에어드랍을 시험 삼아 써보는 '실험용 지갑'을 분리하는 거예요. 실험용 지갑에는 잃어도 괜찮을 만큼만 넣어 두면, 그 지갑이 악성 승인에 당하더라도 본 자산은 안전해요. 큰 금액을 옮길 때만 콜드월렛을 꺼내 쓰는 식으로 자산을 계층으로 나눠 두면 노출 면적이 크게 줄어요. 한 지갑에 모든 걸 담아 두고 그 지갑으로 아무 사이트나 연결하는 게 가장 위험한 패턴이에요.
특히 에어드랍 시즌엔 "보상 청구" 페이지를 가장한 승인 피싱이 급증해요. 에어드랍 참여 자체의 위험은 디파이 에어드랍 포인트 파밍 위험 가이드에서 다뤘는데, 그 연장선에서 "공짜 토큰"을 미끼로 한 승인 피싱은 늘 함께 따라오는 위협이에요. 큐레이티드 볼트처럼 권한 위임이 얽힌 구조를 쓸 때의 신뢰 가정은 디파이 큐레이티드 볼트 위험 가이드에서도 짚었어요. 결국 디파이에서 가장 자주 털리는 통로는 코드 자체가 아니라 사용자가 무심코 내준 권한이에요.
자주 묻는 질문 (FAQ)
Q: dApp 연결을 끊으면 승인도 사라지나요?
아니에요. 지갑에서 사이트 연결을 끊는 것과, 그 컨트랙트에 준 토큰 승인은 별개예요. 연결을 끊어도 승인은 블록체인에 그대로 남아 있어요. 권한을 없애려면 리보크를 따로 해야 해요.
Q: 무제한 승인은 무조건 위험한가요?
상황에 따라 달라요. 신뢰도 높고 자주 쓰는 대형 프로토콜이라면 편의상 무제한을 쓰는 사람도 있어요. 다만 그 컨트랙트에 사고가 나거나 권한이 탈취되면 피해가 커지므로, 큰 금액일수록 필요한 만큼만 한도를 두는 게 안전해요.
Q: 가스비 없는 '서명'은 안전한 거 아닌가요?
가스가 안 든다고 안전한 건 아니에요. Permit·Permit2 같은 서명은 가스 없이도 토큰 인출 권한을 넘길 수 있어요. 로그인처럼 보이는 서명 요청이라도 내용을 확인하지 않고 함부로 서명하면 권한이 넘어갈 수 있어요.
Q: 이미 자산이 빠져나갔는데 리보크하면 되찾나요?
아니에요. 리보크는 앞으로의 권한만 막아요. 이미 실행된 거래는 블록체인 특성상 되돌릴 수 없어요. 그래서 리보크는 사후 복구가 아니라 사전 예방 수단으로 이해해야 해요.
Q: 승인 점검은 얼마나 자주 하면 되나요?
정해진 주기는 없지만, 새 프로토콜을 여럿 써봤거나 에어드랍·이벤트에 참여한 뒤에는 한 번씩 점검하는 걸 권해요. 평소 분기마다 안 쓰는 권한을 정리하는 것만으로도 노출 면적을 크게 줄일 수 있어요.
참고자료
- Trust Wallet, Revoke.cash, Kerberus — 토큰 승인·리보크·지갑 드레이너 설명 (2026)
- CertiK Hack3d H1 2025 리포트, SlowMist — Permit·Permit2 서명 피싱 분석 (2025~2026)
본 콘텐츠는 정보 제공 목적이며 투자 권유가 아닙니다. 가상자산은 변동성이 매우 크고 원금 손실 위험이 있으며, 디파이 이용 시 스마트컨트랙트·피싱 위험이 따릅니다. 모든 판단과 손익은 본인 책임입니다.