Hyperliquid 환경에서의 승인 Drainer 공격
- approval drainer hyperliquid
- drainer hyperliquid
- hyperliquid token approval attack
- ERC20 승인 공격
가상자산 탈취 방식 중에서 승인 Drainer(Approval Drainer)는 기술적 진입 장벽이 낮고, 공격 규모가 빠르게 커지고 있는 유형입니다. 공격자는 사용자의 개인키를 해킹하거나 복잡한 온체인 취약점을 공략할 필요가 없습니다. 사용자가 내용을 충분히 이해하지 못한 거래나 서명 요청에 “직접” 승인하도록 유도하면 됩니다.
HyperEVM 출시로 Hyperliquid 생태계에서 온체인 상호작용이 더 다양해지면서, Hyperliquid 사용자를 노린 Drainer 공격 위험도 함께 커지고 있습니다. 이 글에서는 승인 Drainer가 어떻게 작동하는지, HyperEVM 환경에서 어떤 점을 특히 조심해야 하는지, 그리고 OneKey와 OneKey Perps를 활용해 어떤 방식으로 리스크를 줄일 수 있는지 설명합니다.
Chainalysis의 연구에 따르면 Drainer 툴킷은 이미 성숙한 지하 산업 구조를 형성하고 있습니다. 공격자는 낮은 비용으로 맞춤형 Drainer 컨트랙트를 배포하고, 피싱 사이트나 악성 DApp을 통해 대규모로 유포할 수 있습니다.
승인 Drainer의 작동 원리
Drainer 공격을 이해하려면 먼저 ERC-20 토큰의 승인, 즉 approve 메커니즘을 알아야 합니다.
ERC-20 표준에는 approve 함수가 있습니다. 토큰 보유자가 특정 주소, 보통 스마트 컨트랙트에 자신의 토큰을 정해진 한도 내에서 이전할 수 있는 권한을 부여하는 기능입니다. 이는 DeFi가 작동하는 핵심 메커니즘 중 하나입니다. 예를 들어 DEX에서 토큰을 스왑하려면, 먼저 스왑 컨트랙트가 내 지갑의 토큰을 사용할 수 있도록 승인해야 합니다.
Drainer 공격은 바로 이 구조를 악용합니다.
- 공격자가 악성 컨트랙트를 배포합니다. 이 컨트랙트는 승인을 받은 뒤 사용자의 자산을 대량으로 전송하도록 설계됩니다.
- 가짜 웹사이트, 허위 에어드롭, 악성 DApp 등을 통해 사용자가 해당 악성 컨트랙트에
approve거래를 보내도록 유도합니다. - 사용자는 겉으로 보기에는 별문제 없어 보이는 거래에 서명하지만, 실제로는 특정 토큰 또는 여러 토큰에 대한 전송 권한을 악성 컨트랙트에 부여하게 됩니다.
- 악성 컨트랙트는 즉시 또는 다음 거래에서 사용자의 지갑에 있는 토큰을 전송합니다.
이 과정은 몇 초 안에 끝날 수 있습니다. 또한 approve가 온체인에서 확정되면, 사용자가 해당 승인을 철회하기 전까지 공격자는 언제든지 transferFrom을 호출해 자산을 이동시킬 수 있습니다.
HyperEVM 환경에서의 특수한 위험
HyperEVM은 Hyperliquid가 제공하는 EVM 호환 실행 환경입니다. 표준 이더리움 스마트 컨트랙트를 Hyperliquid 체인에서 실행할 수 있게 해주며, Hyperliquid 생태계에 더 넓은 DeFi 활용 가능성을 열어줍니다. 동시에 이더리움 생태계에서 이미 자주 발생하던 보안 리스크도 함께 들어옵니다.
HyperEVM에서 나타날 수 있는 Drainer 공격 유형은 다음과 같습니다.
- HyperEVM 네이티브 DApp처럼 위장한 피싱 페이지가 사용자에게 악성 컨트랙트 승인을 유도합니다.
- EIP-2612 Permit 서명을 악용하는 Drainer가 사용자를 속여 온체인 거래가 아닌 오프체인 메시지에 서명하게 합니다. 사용자가 직접 Gas를 내지 않아도 토큰 승인이 가능해지므로 더 알아차리기 어렵습니다.
- HyperEVM의 합법적인 프로토콜 인터페이스를 흉내 내고, 사용자가 정상적인 상호작용을 하는 중간에 추가
approve요청을 끼워 넣습니다.
EIP-712 구조화 데이터 서명 표준은 서명 내용을 더 읽기 쉽게 만들기 위한 목적이 있지만, 많은 사용자는 여전히 해당 메시지가 정확히 무엇을 의미하는지 이해하지 못한 채 승인합니다. 이 점이 Permit 기반 Drainer에게 기회가 됩니다.
Permit 서명 Drainer: 가장 은밀한 변종
전통적인 approve Drainer는 온체인 거래를 발생시킵니다. 지갑 화면에 보통 “Token Approval”과 비슷한 안내가 나타나기 때문에 경험 많은 사용자는 이상한 점을 눈치챌 수 있습니다.
반면 Permit 서명 Drainer는 훨씬 더 은밀합니다.
사용자에게는 “Sign Message” 요청이 표시됩니다. 거래가 아니라 메시지 서명처럼 보이고, 팝업에는 형식화된 데이터가 나타납니다. 사용자는 이를 일반적인 로그인 인증이나 계정 확인 절차로 오해하고 확인을 누를 수 있습니다.
하지만 실제로 이 서명 메시지는 EIP-2612 표준에 따른 Permit 승인일 수 있습니다. 여기에는 보통 다음 정보가 포함됩니다.
spender: 승인을 받는 주소, 즉 공격자의 악성 컨트랙트value: 승인 한도. 보통 U256 최대값, 사실상 무제한 승인deadline: 유효기간. 매우 먼 미래로 설정되는 경우가 많음
사용자가 한 번 서명하면, 공격자는 이 서명 메시지를 온체인에 제출하고 transferFrom을 호출해 토큰을 가져갈 수 있습니다. 이 과정에서 사용자의 Gas 지불은 필요하지 않습니다.
Drainer 공격을 예방하는 방법
1. 모든 서명 요청의 의미를 이해하세요
지갑에서 어떤 서명 요청이 뜨든, 먼저 멈추고 내용을 확인하는 습관이 필요합니다.
Transaction이라면to주소가 내가 의도한 컨트랙트인지 확인하세요.data필드에approve호출이 포함되어 있는지 확인하세요.Sign Message라면 메시지 안에spender,value,deadline같은 Permit 승인 필드가 있는지 확인하세요.- 이해하지 못했다면 서명하지 않는 것이 원칙입니다.
“메시지 서명은 안전하다”는 생각은 위험합니다. Permit 서명은 실제 자산 이동 권한으로 이어질 수 있습니다.
2. 불필요한 승인을 정기적으로 확인하고 철회하세요
Revoke.cash에 지갑을 연결하면 현재 유효한 온체인 승인 내역을 확인할 수 있습니다. 모르는 컨트랙트 주소, 오래 사용하지 않은 DApp, 무제한 승인 상태로 남아 있는 항목은 즉시 철회하는 것이 좋습니다.
특히 새로운 DApp과 상호작용한 뒤에는 승인 내역을 확인하세요. 최소한 한 달에 한 번은 정기 점검하는 습관을 권장합니다.
3. 최소 승인 금액을 사용하세요
DApp이 approve를 요청할 때 기본값으로 무제한 승인, 즉 Max가 선택되어 있는 경우가 많습니다. 가능하다면 이번 거래에 필요한 정확한 금액만 승인하세요.
이렇게 하면 설령 악성 컨트랙트에 속더라도 손실 범위를 승인한 수량 안으로 제한할 수 있습니다.
4. HyperEVM DApp에는 더 신중하게 접근하세요
HyperEVM 생태계는 비교적 새로운 환경입니다. 감사받지 않은 프로토콜에는 예상하지 못한 보안 취약점이 있을 수 있고, 악성 프로젝트가 정상 프로젝트처럼 섞여 있을 수도 있습니다.
HyperEVM DApp을 사용하기 전에는 다음을 확인하세요.
- 프로젝트의 공식 채널인지
- 스마트 컨트랙트 감사 여부가 공개되어 있는지
- 커뮤니티에서 신뢰를 얻고 있는지
- 검색엔진 광고나 메신저 링크가 아닌 공식 문서 또는 공식 계정에서 접근했는지
Hyperliquid 공식 문서는 HyperEVM 생태계의 공식 리소스를 확인하는 출발점으로 활용할 수 있습니다.
5. OneKey 하드웨어 지갑으로 물리적 확인 단계를 추가하세요
OneKey 하드웨어 지갑은 approve 요청을 처리할 때 소프트웨어 지갑 화면의 설명만 보여주는 것이 아니라, 기기 화면에서 승인 대상인 spender와 승인 금액을 확인할 수 있도록 도와줍니다.
브라우저 화면에서 악성 스크립트가 친절해 보이는 설명을 표시하더라도, 하드웨어 지갑 화면에서는 실제 거래 내용 확인이 가능합니다. 이상한 주소나 예상보다 큰 승인 금액이 보이면 기기에서 직접 거절할 수 있습니다.
Permit 유형의 오프체인 서명에서도 OneKey는 구조화된 서명 내용을 하드웨어 화면에 표시해, 사용자가 의미를 모른 채 무작정 확인하는 상황을 줄이는 데 도움을 줍니다.
Drainer 공격 신호와 대응 방법
자주 묻는 질문
Q1. 승인을 철회하면 이미 Drainer가 가져간 토큰을 되찾을 수 있나요?
아니요. 승인 철회는 앞으로의 추가 전송을 막기 위한 조치일 뿐, 이미 완료된 온체인 전송을 되돌릴 수는 없습니다. 블록체인 거래는 한 번 확정되면 취소할 수 없습니다.
Q2. 의심스러운 사이트를 지갑 연결 없이 보기만 해도 위험한가요?
일반적으로 사이트를 보기만 한다고 자산이 바로 이동되지는 않습니다. 자산 이동에는 보통 사용자의 거래 서명이나 메시지 서명이 필요합니다. 다만 일부 악성 사이트는 브라우저나 확장 프로그램 취약점을 노릴 수 있으므로, 의심스러운 사이트는 자산이 들어 있는 지갑과 분리된 브라우저 환경에서 접근하는 것이 좋습니다.
Q3. EIP-2612 Permit 서명과 일반 approve는 무엇이 다른가요?
일반 approve는 온체인 거래이며 사용자가 Gas를 지불해야 합니다. EIP-2612 Permit은 오프체인 서명 메시지입니다. 서명할 때는 Gas가 들지 않지만, 공격자는 이 서명을 이용해 온체인에서 transferFrom을 실행할 수 있습니다.
많은 사용자가 “메시지 서명은 손실이 없다”고 생각하지만, 이는 잘못된 인식입니다. Permit 서명은 실제 토큰 승인으로 이어질 수 있습니다.
Q4. OneKey 지갑이 Drainer 공격을 완전히 막아주나요?
OneKey는 물리적 확인 절차를 통해 Drainer 공격에 당할 가능성을 크게 낮추는 데 도움을 줍니다. 하지만 완전한 차단을 보장하지는 않습니다. 최종적으로는 사용자가 거래와 서명 내용을 이해한 뒤 확인하는지가 중요합니다. 도구는 안전한 절차를 제공하지만, 판단은 사용자에게 달려 있습니다.
Q5. HyperEVM에서 어떤 행동이 Drainer 위험을 가장 많이 유발하나요?
“무료 에어드롭” 수령, 출처가 불분명한 유동성 채굴 참여, 검색엔진에서 찾은 비공식 DApp 사용, Telegram이나 Discord에서 공유된 링크 클릭은 모두 고위험 상황입니다. 항상 공식 채널을 통해 확인한 뒤 온체인 상호작용을 진행하세요.
결론: 모든 서명을 이해하고, OneKey로 하드웨어 검증을 사용하세요
승인 Drainer가 무서운 이유는 고도의 기술 취약점보다 사용자의 판단 실수를 이용한다는 점입니다. HyperEVM 생태계가 확장될수록 이런 공격은 더 흔하고 정교해질 수 있습니다.
가장 현실적인 방어 방법은 “모든 서명을 이해한 뒤 확인한다”는 습관을 만드는 것입니다. 여기에 OneKey 하드웨어 지갑을 사용해 실제 승인 대상과 승인 금액을 기기 화면에서 확인하면, 브라우저 기반 피싱과 악성 DApp 리스크를 줄이는 데 도움이 됩니다.
Hyperliquid 거래를 할 때는 검증되지 않은 DApp 링크를 무분별하게 사용하는 대신, OneKey 앱 내의 OneKey Perps 워크플로를 활용해 더 일관된 환경에서 거래하고, 주기적으로 Revoke.cash로 승인 내역을 정리하는 방식을 권장합니다.
OneKey를 처음 사용한다면 onekey.so/download에서 OneKey 앱을 다운로드하고, 하드웨어 지갑과 함께 OneKey Perps를 확인해 보세요. 과장된 수익 약속이 아니라, 서명 확인과 거래 흐름을 더 신중하게 관리하기 위한 실용적인 보안 습관으로 접근하는 것이 중요합니다.
위험 고지: 이 글은 정보 제공 목적이며 투자, 법률 또는 재무 조언이 아닙니다. 온체인 자산 보안은 사용자의 책임입니다. 위의 예방 조치가 모든 공격을 완전히 차단한다고 보장할 수는 없습니다. 항상 최신 보안 동향을 확인하고, 모든 온체인 상호작용 요청을 신중하게 검토하세요.
