크립토 결제 보안

커스터디: 누가 키를 가지나

모든 보안 결정은 커스터디에서 시작합니다. 제공자가 키를 가지면 리스크는 그들의 보안과 지급능력이고, 본인이 키를 가지면 리스크는 본인의 백업과 규율입니다. 어느 쪽도 자동으로 더 안전하지 않습니다 — 리스크를 다른 곳으로 옮길 뿐입니다.

커스터디를 금액과 용도에 맞추세요. 소액 운영 잔액은 편의를 위해 평판 좋은 커스터디 지갑에 두어도 괜찮고, 큰 보유분은 자기수탁 — 이상적으로 하드웨어 지갑 — 에 두고 복구 문구는 카메라나 클라우드가 본 적 없는 오프라인에 보관하세요.

인보이스·결제 페이지 사기

흔한 공격은 피해자가 막 결제하려는 페이지나 메시지의 결제 주소를 바꿔치기하는 것입니다. 정당한 인보이스를 결제한다고 생각하지만 주소는 공격자의 것입니다. 결제는 되돌릴 수 없으므로 컨펌되는 순간 돈은 사라집니다.

중요한 금액은 두 번째 채널로 수신처를 검증해 방어하세요: 수신자에게 직접 주소를 확인하고, 채팅에 붙여넣은 주소가 아니라 서명되거나 게이트웨이가 호스팅한 인보이스를 사용하고, 막판의 '결제 정보 변경' 메시지를 의심하세요.

주소 위생

주소를 절대 직접 입력하지 말고, 클립보드를 맹목적으로 믿지 마세요 — 클립보드 하이재킹 악성코드가 복사한 크립토 주소를 조용히 공격자의 것으로 바꿉니다. 항상 붙여넣은 뒤 앞뒤 여러 글자를 원본과 대조하고, 진짜 인보이스의 QR 코드를 스캔하는 편을 택하세요.

주소 포이즈닝을 경계하세요. 공격자가 당신이 쓰는 주소와 닮은 주소에서 아주 작은 트랜잭션을 보내, 나중에 당신이 내역에서 그것을 복사하기를 노립니다. 주소는 항상 진짜 원본에서만 복사하고, 트랜잭션 목록에서는 절대 복사하지 마세요.

• 직접 입력 대신 붙여넣기; 앞뒤 글자를 검증.
• 붙여넣은 주소보다 QR 코드와 게이트웨이 호스팅 인보이스를 우선.
• 가스 때문에 결제가 급해지지 않도록 소액의 기본 코인을 보유.
• 큰 금액이나 첫 결제는 먼저 아주 작은 테스트 이체를 전송.

주소뿐 아니라 네트워크도 확인하기

올바른 주소라도 잘못된 네트워크면 자금이 묶일 수 있습니다. 보내기 전에 코인과 체인이 수신자가 기대하는 것과 일치하는지 확인하세요 — 올바르게 보이는 주소로 ERC-20 토큰을 잘못된 체인에 보내는 것은 흔하고 뼈아픈 손실입니다.

게이트웨이는 정확한 코인·네트워크·금액을 보여주고 인보이스마다 새 주소를 생성해 이 리스크를 줄입니다. 맨 주소 대신 제대로 된 체크아웃을 쓰는 것 자체가 보안 통제입니다.

환불과 분쟁, 안전하게 처리하기

차지백이 없으므로 환불은 본인이 개시하는 수동 이체이며, 이는 환불 요청 역시 사회공학 표면임을 뜻합니다. 환불 전에 원 결제를 트랜잭션 해시로 검증하고, 진짜 고객과 확인된 주소로만 보내세요.

판매자는 직원이 압박 속에 즉흥적으로 대응하지 않도록 이 단계를 정책에 명문화하세요. 크립토 결제의 손실 대부분은 이색적인 해킹이 아니라, 체크리스트가 잡아냈을 평범한 실수와 조작입니다.