Trust Wallet 안전할까? TRON 승인 취소 방법

Trust Wallet은 지금 안전한가?

2026년 11월 15일 기준 Trust Wallet 앱의 취약점은 확인되지 않았습니다. 최근 TRON의 USDT 탈취 사태를 추적한 Bitquery는 취약점의 증거를 찾지 못했지만 가능성을 배제할 수도 없다고 밝혔습니다 ^[1]. 11월 12일에 수치를 검증한 보고서는 10월 5일부터 11월 11일까지 454개 TRON 지갑에서 최소 $5.42M(약 542만 달러) 상당의 USDT가 빠져나갔다고 집계했습니다 ^[1].

Bitquery의 설명에 따르면 Trust Wallet의 이름이 거론되는 이유는 피해자들이 이 지갑을 썼다고 말하고, 일부 탈취와 관련된 iPhone 해킹 키트가 이 지갑을 찾기 때문입니다 ^[1]. 블록체인은 주소 간 자금 이동만 보여 줄 뿐 그 뒤의 휴대폰이나 앱은 보여 주지 않으므로, Bitquery가 iPhone 사용자의 공개된 피해 사례와 맞춰 볼 수 있었던 것은 한 건뿐이었습니다 ^[1].

Trust Wallet 자체의 조언도 앱이 아니라 휴대폰을 가리킵니다. 회사는 11월 6일자 게시물에서 두 익스플로잇 키트 Coruna와 DarkSword가 구버전 iOS의 iPhone을 노린다고 밝혔습니다. Coruna는 iOS 13.0~17.2.1, DarkSword는 iOS 18.4~18.7이 대상이며, "최신 iOS를 사용하는 기기는 영향을 받지 않는다"고 했습니다 ^[2]. 11월 11일에는 자사 iOS 사용자가 worse_query라는 별도 익스플로잇의 영향을 받지 않으며, 복구 구문이나 개인 키를 평문으로 저장하지 않는다고 덧붙였습니다 ^[8].

따라서 솔직한 답은 이렇습니다. 앱 자체가 뚫렸다는 증거는 없지만, 지갑의 안전은 그 뒤의 기기와 복구 구문에 달려 있습니다. 탈취 사건의 전체 경과는 Pouyam 가이드 Trust Wallet Hacked? How to Protect Your USDT on TRON에서 확인하세요. 이 가이드는 많은 독자가 다음으로 묻는 질문, 즉 토큰 승인 취소가 도움이 되는지와 그 방법을 다룹니다.

TRON의 토큰 승인이란?

토큰 승인은 사용자가 서명하는 권한으로, 스마트 컨트랙트가 USDT 같은 TRC-20 토큰을 정해진 한도까지 다시 묻지 않고 지갑에서 꺼낼 수 있게 합니다 ^[4][6]. 기술적으로는 지갑이 토큰 컨트랙트에서 approve(spender, amount)를 호출하고, 승인받은 컨트랙트는 이후 transferFrom을 호출해 그 한도 안에서 토큰을 가져갈 수 있습니다 ^[4].

승인은 흔한 일입니다. TRON의 거래소, 스왑·대출 앱은 거래할 때 토큰을 옮기기 위해 승인을 요청합니다 ^[5]. 위험은 앱을 떠난 뒤에도 승인이 유효하게 남는다는 점입니다. Trust Wallet은 대부분의 사용자가 승인이 무기한 유효하다는 사실을 모르며, 컨트랙트가 "나중에 악성으로 바뀌면" "추가 확인 없이" 토큰을 빼갈 수 있다고 지적합니다 ^[3].

많은 앱은 다시 승인하는 번거로움을 덜기 위해 무제한 금액을 요청합니다. TronLink 고객센터는 이런 승인이 다른 주소와 컨트랙트가 "사전 통지 없이" 자산을 옮기게 한다고 경고하며, 승인 전에 제품이 오픈 소스이고 감사를 받았는지 확인하라고 권합니다 ^[5]. TRON Guide는 무제한 승인을 한도가 가능한 최댓값으로 설정된 승인으로 설명하고, 이런 승인을 TRON에서 가장 큰 공격 표면이라고 부릅니다 ^[6].

또한 승인은 토큰마다 따로 존재합니다. 한 앱의 USDT 승인을 취소해도 같은 앱에 다른 토큰으로 준 승인은 취소되지 않으므로, 각각 따로 확인하고 취소해야 합니다 ^[10].

TRON의 USDT 탈취는 토큰 승인 때문이었나?

그렇다는 증거는 없습니다. Bitquery에 따르면 최근 TRON 사태의 범인들은 이미 지갑의 키를 갖고 있었으며, 이는 서명으로 토큰을 넘기도록 속이는 드레이너 사이트와 다릅니다 ^[1]. 이 차이가 무엇이 사용자를 지켜 주는지를 결정합니다.

Bitquery는 피해자를 찾는 데 쓴 패턴을 설명합니다. 수수료 지갑이나 그 지갑이 자금을 댄 수집 주소가 네트워크 수수료를 내도록 피해자 주소에 TRX를 조금 보내면, 몇 초 뒤 USDT 잔액 전체가 한 번에 빠져나가고 남은 TRX도 뒤따라 나갔습니다 ^[1]. 10월 25일의 한 사례에서는 18 TRX가 들어온 지 18초 만에 519,093 USDT가 빠져나갔습니다 ^[1]. Bitquery는 이 순서를 이미 개인 키나 복구 구문을 갖고 있던 사람의 소행으로 봅니다 ^[1]. Coindaro는 Bitquery의 초기 결과를 전하며, Bitquery가 한 번의 송금으로 USDT 전부가 빠져나간 경우에만 피해 지갑으로 집계했다고 짚었고, 이는 "개인 키를 가진 사람에 의한 탈취 패턴"이라고 설명했습니다 ^[7].

승인을 악용한 탈취는 모습이 다릅니다. 공격자의 컨트랙트가 transferFrom으로 토큰을 끌어가고 수수료도 직접 내므로 피해자 지갑에는 TRX가 필요 없습니다 ^[4]. Bitquery 보고서는 분명하게 "여기서는 범인이 이미 키를 갖고 있다"고 씁니다 ^[1].

Bitquery는 이것이 왜 중요한지도 보여 줍니다. 한 지갑은 두 번 털렸습니다. 10월 26일 19,069 USDT를 잃었고, 새 자금이 들어온 뒤 11월 10일에 4,140 USDT를 더 잃었습니다 ^[1]. 보고서에 따르면 "털린 지갑은 복구 구문이" 쓰이는 한 범인에게 계속 열려 있습니다 ^[1]. 승인 취소로는 이 문을 닫을 수 없었습니다. 그래도 승인 취소는 좋은 습관이며 Trust Wallet의 보안 체크리스트에도 낯선 승인 취소가 포함돼 있지만 ^[9], 이는 두 번째 단계일 뿐 도난당한 키에 대한 해결책은 아닙니다.

Trust Wallet에서 토큰 승인을 취소하려면?

최신 버전의 Trust Wallet을 열고 자산 영역에서 Approvals 탭을 선택해 목록을 살펴본 뒤, 더 이상 신뢰하지 않는 앱 옆의 Revoke를 누르세요 ^[3]. Trust Wallet에 따르면 이 기능은 승인을 내줄 때 기록하고, 각 앱이 어떤 토큰에 얼마만큼 접근할 수 있는지 보여 주며, 알려진 사기와 연관된 컨트랙트를 표시하고, 취소하면 블록체인에서 승인을 제거합니다 ^[3].

1. 먼저 App Store나 Google Play에서 Trust Wallet을 업데이트하세요. Trust Wallet의 안내는 최신 버전을 명시합니다 ^[3].
2. 홈 화면의 자산 영역에서 Approvals 탭을 엽니다 ^[3].
3. 각 항목의 토큰, 앱 또는 컨트랙트, 한도를 확인하세요. 특히 USDT와 무제한 승인을 주의 깊게 보세요.
4. 모르는 항목, 더 이상 쓰지 않는 항목, 지갑이 위험하다고 표시한 항목은 Revoke를 누르고 거래를 확인합니다 ^[3].
5. 지갑에 TRX를 조금 남겨 두세요. TRON에서 승인 취소는 bandwidth와 Energy를 소모하는 거래입니다 ^[4].

한 가지 한계가 있습니다. Trust Wallet 공지에는 Approvals 탭이 어떤 블록체인을 지원하는지 나와 있지 않습니다 ^[3][10]. TRON 승인이 그곳에 보이지 않거나 한 번 더 확인하고 싶다면, 주소가 내준 모든 승인을 보여 주는 TronScan을 이용하세요. 방법은 다음 섹션에서 설명합니다 ^[4][6].

승인 취소는 승인에만 효과가 있습니다. 이미 이뤄진 송금을 되돌릴 수 없고, 다른 사람이 복구 구문을 아는 지갑을 지켜 줄 수도 없습니다 ^[10].

TronScan에서 TRC-20 승인을 취소하려면?

TronScan에서 내 TRON 주소를 검색하고 계정 페이지에서 승인 목록을 연 다음, 원치 않는 승인을 하나씩 취소하고 지갑에서 거래에 서명하세요. 그러면 한도가 0이 됩니다 ^[4][6]. TronScan은 2021년 5월 14일 이 취소 기능을 추가했으며 승인 변경 내역도 보여 줍니다 ^[4].

1. 브라우저에 tronscan.org를 직접 입력하세요. 채팅이나 광고의 링크는 누르지 마세요 ^[10].
2. T로 시작하는 내 주소를 검색창에 붙여 넣습니다 ^[6].
3. 계정 페이지에서 승인 탭을 엽니다. 화면 구성에 따라 Approval 또는 List of Approval이라는 이름입니다 ^[4][6].
4. 각 항목의 토큰, 승인받은 컨트랙트, 금액을 확인하세요. 알 수 없거나 검증되지 않은 컨트랙트와 무제한 승인을 우선하세요. TRON Guide는 확실히 식별할 수 없는 컨트랙트는 취소하라고 권합니다 ^[6].
5. 해당 행의 Cancel 또는 Revoke를 누르고, 그 주소에 맞는 TronLink 같은 호환 지갑을 연결합니다 ^[6].
6. 서명 화면을 읽으세요. 토큰 컨트랙트에서 금액 0으로 approve를 호출해야 합니다. 다른 것을 요구하면 중단하세요 ^[10].
7. 확인 후 목록을 새로 고칩니다. TRON에서는 보통 몇 초면 반영됩니다 ^[6].

TronLink 사용자는 지갑 안에서도 같은 작업을 할 수 있습니다. TronLink 고객센터는 승인을 보거나 취소하려면 Wallet Management에서 Approval Management로 이동하라고 안내합니다 ^[5]. 취소할 때마다, 그리고 나중에 다시 승인할 때마다 bandwidth와 Energy가 소모되며, 보유한 Energy가 없으면 네트워크가 TRX를 소각해 비용을 냅니다 ^[4].

어떤 토큰 승인을 취소해야 할까?

설명할 수 없는 승인, 더 이상 쓰지 않는 앱에 준 무제한 승인, 에어드롭·"인증"·Energy 대여 사이트에 준 승인은 모두 취소하세요 ^[6][10]. 실제로 쓰고 신뢰하는 서비스의 승인만 남기고, 다시 이용할 때 새로 승인하면 됩니다.

아래 표에 흔한 경우를 정리했습니다. 간단한 기준이 있습니다. 승인받은 주소가 무엇인지 설명할 수 없다면, 그 주소가 내 USDT를 쓸 수 있어서는 안 됩니다 ^[10].

가짜 토큰도 조심하세요. 진짜 Tether 컨트랙트가 아닌 가짜 "USDT"에 대한 승인은 진짜 USDT를 건드릴 수 없습니다 ^[10]. TRON의 진짜 USDT 컨트랙트는 TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t입니다. 조치하기 전에 TronScan의 토큰 페이지에서 이 주소를 확인하세요.

Bitquery는 탈취 데이터에서 관련된 수법도 찾아냈습니다. 한 수집 주소에 돈을 보낸 주소의 절반 이상이 비슷하게 생긴 주소에서 소액과 가짜 토큰을 보내는 봇이었습니다. 이는 주소 오염이라 불리는 수법으로, 누군가 나중에 잘못된 주소를 복사하기를 노립니다 ^[1]. 받는 주소는 항상 신뢰할 수 있는 출처에서 복사하고, 거래 내역에서는 절대 복사하지 마세요.

복구 구문이 노출됐을 수 있다면?

지갑이 이미 뚫렸다고 보세요. 최신 상태의 깨끗한 기기에서 새 복구 구문으로 새 지갑을 만들고, 남은 자산을 옮긴 뒤 기존 지갑은 쓰지 마세요 ^[1][10]. Bitquery에 따르면 복구 구문을 가진 사람이 곧 돈을 가진 사람이며, 비밀번호도 휴대폰 접근도 필요 없습니다 ^[1].

1. 먼저 휴대폰을 업데이트하세요. Trust Wallet은 iPhone 사용자에게 기기에서 쓸 수 있는 최신 iOS를 설치하고, 당장 업데이트할 수 없다면 Lockdown Mode를 켜라고 안내합니다 ^[2].
2. 새 지갑을 만들고 새 복구 구문을 종이에 적으세요. Trust Wallet에 따르면 Coruna와 DarkSword 키트는 사진, 스크린샷, 메모를 뒤지므로 그곳에 저장하지 마세요 ^[2].
3. 새 주소로 소액을 시험 송금한 뒤 나머지를 옮기세요. 수수료용 TRX를 충분히 남겨 두세요.
4. 기존 지갑은 빈 상태로 두세요. 새 자금이 들어오면 범인이 다시 가져갈 수 있으며, Bitquery가 추적한 지갑 하나에서 실제로 그런 일이 있었습니다 ^[1].
5. 이상한 점이 있으면 지갑 주소와 거래 해시를 가지고 Trust Wallet 고객지원에 문의하세요. Trust Wallet은 복구 구문을 절대 요구하지 않으며 먼저 연락하지도 않는다고 밝혔습니다 ^[2].

잔액이 크다면 제조사에서 직접 구입한 하드웨어 지갑을 고려하세요. 이미 자금을 도난당했다면 Tether와 자금이 들어간 거래소에 빨리 신고하세요. Bitquery는 USDT가 다시 이동하기 전에만 동결할 수 있다고 지적합니다 ^[1]. 유료 자금 회수 서비스를 제안하는 사람은 무시하세요. 이 글은 일반적인 보안 안내이며 금융 자문이 아닙니다.

가짜 승인 검사 도구는 어떻게 알아볼까?

TronScan, TronLink 또는 내 지갑의 Approvals 탭만 사용하고 주소는 직접 입력하세요. 가짜 "승인 검사" 사이트는 Revoke 버튼이 새 승인에 서명하게 만드는 잘 알려진 피싱 수법입니다 ^[10]. 진짜 승인 취소는 항상 금액을 0으로 만듭니다.

• 진짜 승인 취소 도구는 복구 구문이나 개인 키를 절대 요구하지 않습니다. "전부 취소" 사이트에 절대 붙여 넣지 마세요.
• 서명 전에 함수와 금액을 읽으세요. 0으로 approve하는 것이 취소이고, 큰 숫자의 approve, 송금, 권한 변경은 취소가 아닙니다 ^[10].
• "저렴한 Energy" 대여 사이트와 에어드롭 사이트를 조심하세요. TronTransfer에 따르면 일부는 대여를 승인하라고 하지만 그 서명이 실제로는 무제한 USDT 승인입니다 ^[10].
• TronScan에서 계정 권한도 확인하세요. 일부 TRON 사기는 주소의 통제권을 바꾸며, 승인 취소로는 이를 되돌릴 수 없습니다 ^[10].
• Trust Wallet 고객지원을 자처하는 사람의 다이렉트 메시지는 무시하세요. Trust Wallet은 먼저 연락하지 않는다고 밝혔습니다 ^[2].

가짜 상담원이나 회수 서비스에 돈을 잃었다면 경찰이나 자국의 사이버 범죄 담당 기관에 신고하고 사본을 보관하세요. iPhone 보안의 더 넓은 맥락은 What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer를 참고하세요. 휴대폰 보안이 이제 왜 여러 계정을 지키는지 설명합니다.