원치 않는 NFT는 공개 주소만 알면 누구나 보낼 수 있고, 제목·설명·이미지 같은 메타데이터(metadata)에 피싱 주소나 가짜 보상 문구를 넣을 수 있습니다. 지갑에 NFT가 보이는 것과, 그 링크를 열어 지갑을 연결하거나 서명하는 것은 전혀 다른 행동입니다. 예상하지 못한 NFT는 숨기고, 거기 적힌 주소에 직접 들어가거나 받기·교환·소각 요청에 서명하지 마세요. 이미 연결했다면 운영자 승인(operator approval)과 자산 이동 내역을 확인해야 합니다.
NFT 카드에는 데이터와 링크가 함께 뜹니다
NFT 계약은 토큰 ID와 소유 정보를 체인에 두고, 이미지와 설명은 외부 주소나 분산 저장소에서 불러올 수 있습니다. 지갑이나 마켓플레이스가 이것을 화면에 그리면 광고 같은 그림과 링크가 자산 목록에 섞여 나옵니다. 보낸 사람이 내 주소를 안다고 해서 계정 비밀까지 아는 것은 아닙니다.
MetaMask는 NFT 에어드롭 사기에서 낯선 지시를 따르지 말라고 안내하고, Portfolio가 메타데이터 속 링크를 찾아내면 가릴 수 있다고 설명합니다. 자동 숨김은 어디까지나 보조 장치입니다. 보유 목록에 떠 있다는 사실을 검증 표시로 받아들이지 마세요.
NFT 카드에 보이는 링크는 지갑 기능이 아니라 공격자가 끼워 넣은 광고 문구일 수 있습니다.
JOBCOIN 해설
그림은 이 주제의 공통 개념을 단순화한 설명입니다. 아래 항목에서 이 글의 구체적인 조건과 예외를 함께 읽어보세요.
- NFT 카드에는 데이터와 링크가 함께 뜹니다
NFT 계약은 토큰 ID와 소유 정보를 체인에 두고, 이미지와 설명은 외부 주소나 분산 저장소에서 불러올 수 있습니다.
- 링크를 여는 일과 서명하는 일은 다릅니다
주소를 여는 것만으로 온체인 승인이 생기지는 않습니다.
- 공식 NFT인지 세 가지로 맞춰 봅니다
컬렉션 이름과 이미지가 같아도 계약 주소가 다르면 다른 NFT입니다.
설명을 위한 개념도 · 실제 가격·거래 내역·통계가 아닙니다.
링크를 여는 일과 서명하는 일은 다릅니다
주소를 여는 것만으로 온체인 승인이 생기지는 않습니다. 하지만 피싱 도메인은 지갑 연결, 악성 파일 다운로드, 시드 입력으로 끌고 갈 수 있습니다. 사이트가 ‘무료 받기’, ‘NFT 잠금 해제’, ‘소각하면 보상’ 같은 말을 내세우면 프로젝트 공식 도메인에서 따로 사실을 확인하세요. NFT 설명에 적힌 링크를 공식 출처로 삼지 않습니다.
연결한 뒤 뜨는 서명 창에서 setApprovalForAll에 동의하면 특정 컬렉션 전체를 운영자가 옮길 수 있게 됩니다. 퍼밋이나 평범해 보이는 메시지 서명도 나중에 주문 권한으로 쓰일 수 있습니다. 가스비가 0이거나 보내는 금액이 0이라는 이유로 안심하지 말고, 서명이 실제로 무엇을 하는지와 운영자 주소를 확인하세요.
| 접점 | 가능한 위험 | 안전 행동 |
|---|---|---|
| 이미지 표시 | 추적·불쾌한 콘텐츠 | 자동 로드 설정·숨김 확인 |
| 설명 속 링크 | 피싱 도메인 | 열지 않고 공식 채널 검색 |
| 지갑 연결 | 주소·체인 노출 | 필요 없으면 거절 |
| setApprovalForAll | 컬렉션 전체 이동 권한 | 서명 취소 |
| 시드 입력 요구 | 지갑 전체 탈취 | 즉시 종료 |
공식 NFT인지 세 가지로 맞춰 봅니다
컬렉션 이름과 이미지가 같아도 계약 주소가 다르면 다른 NFT입니다. 프로젝트 공식 사이트나 공지에 적힌 계약, 믿을 만한 탐색기의 소스 검증 결과, 마켓플레이스의 컬렉션 정보를 서로 맞춰 보세요. 거래량이나 보유자 수만으로 공식 여부를 정하지 않습니다.
프록시 계약이라면 탐색기에 나오는 구현 계약과 업그레이드 권한도 확인합니다. 소스 검증은 올라온 바이트코드와 소스가 일치한다는 신호일 뿐, 프로젝트가 안전하다거나 가격이 유지된다는 보증은 아닙니다. 기다린 적 없는 에어드롭이라면 아무리 공식처럼 보여도 건드릴 이유가 없습니다.
- NFT 설명 속 링크를 열지 않습니다.
- 지갑의 숨기기·스팸 신고 기능을 확인합니다.
- 공식 채널에서 컬렉션 계약을 대조합니다.
- 서명 창의 운영자와 권한 범위를 읽습니다.
- 이미 승인했다면 운영자 승인을 취소합니다.
이미 눌렀다면 어디까지 했는지에 따라 대응합니다
링크만 열었다면 파일을 받았는지, 브라우저 권한을 허용했는지, 확장 프로그램을 설치했는지, 지갑을 연결했는지 살펴봅니다. 지갑을 연결했다면 연결을 끊고 연결 기록을 검토합니다. MetaMask 문서에 나오듯 연결 해제로는 기존 토큰·NFT 승인이 취소되지 않으니, 탐색기나 믿을 만한 권한 취소 도구에서 따로 확인하세요.
거래나 메시지에 서명했다면 체인, 거래 해시나 서명 내용, 계약, 운영자, 기한을 남겨 둡니다. 자산이 빠져나가는 중이라면 추가 서명을 멈추고 사고 대응 순서를 따르세요. 복구 문구를 입력했다면 새 시드로 옮겨야 하며 비밀번호만 바꿔서는 충분하지 않습니다.
NFT를 받는 지갑과 보관하는 지갑을 나눕니다
공개 민팅이나 이벤트에 쓰는 활동용 주소에는 원치 않는 자산이 계속 들어올 수 있습니다. 오래 둘 NFT와 비싼 자산은 사이트 연결을 최소로 줄인 주소에 두고, 활동용 지갑의 승인을 정기적으로 점검하면 피해 범위를 좁힐 수 있습니다. 다만 자산을 옮길 때도 가스비와 주소 확인이 필요합니다.
지갑 설정에서 의심 NFT 자동 숨김과 메타데이터 불러오기 방식을 확인하고, 앱은 늘 최신 버전으로 유지하세요. 팀 계정이라면 새 컬렉션을 보여 줄 기준과 공식 계약을 확인할 담당자를 미리 정해 둡니다. 가격 알림보다 승인 변경과 자산 이동 알림을 먼저 챙깁니다.
자주 묻는 질문
NFT 이미지만 지갑에 보이면 해킹된 건가요?
그것만으로는 아닙니다. 공개 주소에는 누구나 NFT를 보낼 수 있으니, 링크나 계약과 상호작용하지 않으면 됩니다.
스팸 NFT를 burn하면 목록에서 안전하게 없어지나요?
소각도 온체인 상호작용일 수 있습니다. 예상하지 못한 NFT는 지갑의 숨기기 기능으로 화면에서만 정리하는 편이 안전합니다.
지갑 연결을 끊으면 NFT 승인도 취소되나요?
아닙니다. setApprovalForAll 같은 온체인 권한은 별도의 취소 거래를 보내야 사라집니다.
