Solana 보안 베스트 프랙티스: 이 팁들로 안전을 지키세요
어느 날 디지털 자산을 보관해 둔 wallet을 열어 봤는데 자산이 흔적도 없이 사라져 있다고 상상해 보세요. 연결 오류나 표시 버그가 아니라, 누군가 키를 탈취해 전부 가져가 버린 상황입니다.
누구나 두려워할 만한 상황이고, 아무도 겪고 싶지 않은 일입니다. Web3는 자유와 무한한 이점을 주지만, 동시에 우리를 위험에 노출시킵니다. 그래서 Solana 보안 수칙을 제대로 알아 두고 안전을 지킬 필요가 있습니다 (그래야 위 상황이 단순한 가정으로만 남겠죠).
이 글에서는 Solana 포트폴리오를 위험에서 지키기 위해 반드시 따라야 할 팁들을 하나씩 짚어 보겠습니다.
실제 보안 사례로 살펴보기
Smithii은 항상 사용자 보안을 최우선으로 생각하지만, 그렇다고 해서 악의를 가진 사람들이 사라지는 건 아닙니다. 최근에도 저희 사용자 한 분이 보유하던 $SOL을 사기로 빼앗긴 사례가 있었습니다.
Reddit의 한 게시글에서 저희 launchpad를 사용한 뒤 2.9 $SOL을 드레이닝당했다는 사연을 발견했습니다. 사건의 흐름은 이렇습니다:
- 저희 Solana 툴로 토큰을 성공적으로 생성했습니다.
- 몇 가지 의문점이 생겨 답을 구하려고 공식 Discord에 가입했습니다.
- wallet에 2.8 $SOL을 넣었는데, 10분 만에 사라졌습니다.
- ‘저희 기술 책임자’에게 상황을 알렸고, 문제 해결을 위해 wallet에 같은 금액을 다시 충전하라는 안내를 받았습니다.
- 이 사건을 Reddit에 공유했습니다.
저희는 곧바로 유일한 공식 Discord 서버에서 티켓을 열어 문의해 달라고 안내했습니다. 그렇게 확인해 보니, 누군가 저희 팀원인 척 사칭한 정황이 드러났습니다. 사용자는 ‘Smithii 기술 책임자’라는 사람의 안내를 받았고, 별도 사이트에서 wallet를 검증하라는 요구까지 받은 상태였습니다.
결과는 어땠을까요? 사기꾼이 wallet에 접근해 보유 자산을 모두 드레이닝했고, 추가로 $SOL을 더 넣으라며 마저 가져가려 했습니다.
저희 지원팀은 해당 스캐머를 차단하고 보안 상황을 설명했으며, 사용자가 dApp 수수료 없이 토큰을 다시 만들 수 있도록 하루치 PRO 액세스도 제공했습니다. 이 내용은 사용자 본인이 Reddit에 올린 사기 사건 후속 업데이트에서 직접 밝히고 있습니다.
이렇게 정리해 보면 사기 시도가 뻔해 보이지만, 실제로는 생각보다 훨씬 자주 일어나는 일입니다. 그래서 Solana을 비롯한 모든 블록체인 및 Web3 생태계에서 보안 수칙을 지키는 게 필수입니다. 분명 더 많은 기회와 자유가 열려 있지만, 그만큼 특정 위험에도 노출됩니다.
Solana 보안 수칙: 어떻게 해야 골치 아픈 일을 피할 수 있을까?
Solana 생태계(그리고 Web3 전반)에서 안전을 지키려면 아래 팁들을 따르는 걸 권장합니다. 사실 이건 습관처럼 몸에 배게 해야 할 부분입니다.
Seed Phrase는 종이에 적고 절대 공유하지 마세요
Seed Phrase는 wallet을 만들 때 생성되는 12~24개의 무작위 단어로 된 고유 키입니다. 이 키에 접근할 수 있다는 건 곧 wallet 전체를 통제할 수 있다는 뜻이므로, 종이에 적어 잘 숨겨 두는 게 최선입니다. 들고 다니거나 눈에 띄는 곳에 두지 말고, 반드시 완전히 안전한 장소에 보관하세요.
Seed Phrase를 디지털 형태로 저장하는 건 좋지 않은 선택입니다. 운영 체제나 저장 서비스가 다양한 방식으로 뚫릴 수 있기 때문입니다.
그리고 명심하세요. Seed Phrase는 오직 본인만 가지고 있어야 하며, 다른 누구에게도 절대 알려서는 안 됩니다. 고객지원, 프로모션, airdrop, 어떤 플랫폼도 결과를 보장하겠다며 이 정보를 요구할 일은 없습니다.
wallet을 두 개 이상 사용하세요
Solana 최고의 wallet들은 하나의 계정으로 여러 개를 만들어 관리할 수 있게 해 줍니다. 자산 보관용 wallet 하나(cold wallet이면 더 좋습니다), 일상적인 소액 거래용 하나, 그리고 플랫폼 연결이나 테스트용으로 하나 더 두는 걸 권장합니다.
모든 용도에 wallet 하나만 쓴다면, 가짜 사이트에 연결하거나 피싱에 한 번 걸리는 순간 모든 게 노출되고 전부 잃을 수도 있습니다. 그러지 말고 신뢰도가 의심스러운 dApp에는 비어 있는 wallet을 연결하고, 자산은 아주 적은 금액으로 테스트해 보세요.
만약 그 wallet이 침해되더라도 삭제하고 새로 만들면 그만입니다. 다른 wallet들이 노출되거나 모든 토큰이 드레이닝되는 일을 피할 수 있죠.
한 단계 더 올리고 싶다면? 서로 다른 두 개의 익스플로러를 쓰고, 각각에 Seed Phrase이 다른 wallet을 만들어 두세요. 사실 wallet을 dApp에 연결한다고 해서 다른 연결된 wallet에 접근 권한이 생기는 건 아니지만, 이렇게 하면 계정을 확실하게 분리할 수 있습니다.
Cold Wallet, 보안의 최종 방어선
Cold wallet은 private key를 인터넷에서 완전히 분리해 두는 형태의 wallet입니다. 보유 자산을 담아 두는 하드웨어(또는 전용 기기) 형태이고, 이걸 직접 사용할 때만 자산을 옮길 수 있습니다. 즉, 다른 사람이 원격으로 wallet에 접근할 방법이 없다는 뜻입니다.
다만 워낙 견고한 방식이다 보니 트랜잭션 승인 절차가 ‘번거롭게’ 느껴지므로, 일상적으로 쓰는 wallet으로는 적합하지 않습니다. 또한 자산이 들어 있는 물리적 기기나 복구 문구를 분실할 위험도 감안해야 합니다.
연결하기 전에 플랫폼을 먼저 확인하세요
트랜잭션을 진행하거나 dApp에 연결할 때 무심코 확인 버튼을 누르는 그 권한 부여에는, 동의 없이 자금을 이전하는 명령이나 권한이 숨어 있을 수 있습니다.
악의적인 플랫폼은 명령을 즉시 실행하지 않고, 당신이 일정 수준 이상의 자산을 보유할 때까지 기다리는 경우도 있습니다. 마음을 놓게 만든 뒤 노리는 거죠. 이런 사기에 당하지 않으려면, Solana에서 안전을 유지하기 위한 다음 검증 팁들을 따르세요:
- 플랫폼 URL을 확인하세요. 다른 사이트를 흉내 낸 미러 페이지들이 있는데, URL을 보면 티가 납니다. 보통 ‘vercel’이나 ‘development’가 들어 있거나, .xyz처럼 흔하지 않은 도메인 또는 blogspot 같은 무료 도메인을 씁니다.
- 연결하기 전에 먼저 조사하세요. 예를 들어 저희는 독립 감사 결과와 TrustPilot 리뷰를 공개하고 있습니다. wallet 연결을 곧바로 요구하면서 리뷰도 없고 검증 절차도 신경 쓰지 않는 페이지라면, 십중팔구 사기 시도입니다.
- 공식 사이트는 즐겨찾기에 저장해 두고, 검색 엔진에 의존하지 마세요. 가끔 공식 사이트 대신 사기 페이지가 ‘광고’로 먼저 뜨는 경우가 있기 때문입니다.
- dApp를 사용해 본 뒤에는 wallet 연결을 해제하고 권한도 삭제하세요.
누구도 DM으로 먼저 지원을 제안하지 않습니다
앞서 실제 사례에서 봤듯, 저희 사용자 한 분은 사기꾼을 Smithii 팀원이라고 믿었다가 자금을 드레이닝당했습니다. DM으로 오는 지원은 절대 받지 마세요. 특히 본인이 요청하지도 않았다면 더더욱요. 저희 팀은 다른 곳에서 wallet를 검증하라고 하지 않으며, private key나 seed phrase를 요구하는 일도 없습니다.
wallet Solana이 침해됐다면 어떻게 해야 할까요?
이 Solana 보안 수칙들을 지키면 악의를 가진 사람이 자산에 접근하는 일을 막을 수 있습니다. 그래도 wallet에서 이상한 활동이 감지된다면, 다음과 같이 하세요:
- 패닉에 빠지지 말고 빠르게 대응하세요. 자금을 지킬 시간이 아직 남아 있을 수도 있습니다.
- 새 wallet을 만들어 자금을 옮기세요. 오래된 wallet이나 이미 침해됐을 가능성이 있는 wallet으로는 절대 이체하지 마세요.
- 화면을 캡처하고 상황을 기록해 두세요. 자산을 빼앗아 간 사이트나 사람을 신고할 때 필요합니다.
- 침해된 wallet은 삭제하세요. 부여한 권한을 취소할 수도 있지만, 새로 만드는 게 가장 안전합니다.
- 무엇을 잘못했는지 분석하고 같은 수법에 다시 당하지 않도록 되짚어 보세요.
crypto 커뮤니티에서는 도난 사례와 사기 사이트가 끊임없이 제보되고 있어요. 예를 들어 Phantom은 검증된 안전한 dApp 목록을 운영하고 있고, 여기에 Smithii Tools도 등록되어 있습니다. 사용자가 신고한 페이지를 차단하는 역할도 맡고 있죠. Phantom에 이미 등록된 scam 사이트에 접속하려고 하면, 아래처럼 경고 메시지가 뜨면서 접근이 차단됩니다.
Solana 보안 수칙 정리
이런 권장 사항들을 습관으로 만들고, Solana과 Web3 전반의 보안 베스트 프랙티스를 절대 잊지 마세요. 자산과 계정 접근 권한을 지키는 건 본인의 몫이니, 가능한 모든 예방 조치를 취해서 자금이 털리는 일을 막아야 합니다.
Smithii의 모든 최신 소식을 놓치지 않으려면 Solana 뉴스레터 구독을 잊지 마시고, web3 프로젝트를 안전하고 효과적으로 관리할 수 있도록 저희 페이지를 즐겨찾기에 추가해 두세요.
