원치 않는 NFT는 공개 주소로 누구나 보낼 수 있으며 제목·설명·이미지 metadata에 피싱 URL이나 가짜 보상 문구가 들어갈 수 있습니다. NFT가 지갑에 표시되는 것과 링크를 열고 wallet을 연결하거나 서명하는 것은 별개 행동입니다. 예상하지 않은 NFT는 숨기고, URL을 직접 방문하거나 claim·swap·burn 요청에 서명하지 않으며, 이미 연결했다면 operator approval과 자산 이동을 확인해야 합니다.
NFT 카드는 데이터와 링크를 함께 보여 줍니다
NFT contract는 token ID와 소유 정보를 체인에 두고 이미지·description은 외부 URI나 분산 저장소에서 불러올 수 있습니다. wallet이나 marketplace가 이를 렌더링하면 광고처럼 보이는 그림과 URL이 자산 목록에 나타납니다. 발신자가 내 주소를 안다고 해서 계정 비밀을 아는 것은 아닙니다.
MetaMask는 NFT airdrop 사기에서 원치 않는 지시를 따르지 말라고 안내하고, Portfolio가 metadata의 URL을 감지하면 가릴 수 있다고 설명합니다. 자동 숨김은 보조 장치이므로 Owned 목록에 보인다는 사실을 검증 배지로 해석하지 않습니다.
NFT 카드에 보이는 링크는 지갑 기능이 아니라 공격자가 넣은 광고 문구일 수 있습니다.
JOBCOIN 해설
그림은 이 주제의 공통 개념을 단순화한 설명입니다. 아래 항목에서 이 글의 구체적인 조건과 예외를 함께 읽어보세요.
- NFT 카드는 데이터와 링크를 함께 보여 줍니다
NFT contract는 token ID와 소유 정보를 체인에 두고 이미지·description은 외부 URI나 분산 저장소에서 불러올 수 있습니다.
- 링크를 여는 단계와 서명 단계를 나눕니다
URL을 여는 것만으로 온체인 approval이 생기는 것은 아니지만 피싱 도메인이 wallet 연결, 악성 다운로드, 시드 입력을 유도할 수 있습니다.
- 공식 NFT인지 세 축으로 대조합니다
collection name과 이미지가 같아도 contract address 가 다르면 다른 NFT입니다.
AI로 제작한 개념도 · 실제 가격·거래 내역·통계가 아닙니다.
링크를 여는 단계와 서명 단계를 나눕니다
URL을 여는 것만으로 온체인 approval이 생기는 것은 아니지만 피싱 도메인이 wallet 연결, 악성 다운로드, 시드 입력을 유도할 수 있습니다. 사이트가 ‘무료 claim’, ‘NFT unlock’, ‘burn for reward’를 제시하면 출처를 공식 프로젝트 도메인에서 독립 확인합니다. NFT 설명의 링크를 공식 출처로 사용하지 않습니다.
연결 뒤 서명 창에서는 setApprovalForAll이 특정 NFT collection 전체를 operator가 이동하게 할 수 있습니다. permit이나 일반 message도 후속 주문 권한이 될 수 있습니다. gas가 0이거나 value가 0이라는 이유로 안전하다고 판단하지 말고 readable intent와 operator address를 확인합니다.
| 접점 | 가능한 위험 | 안전 행동 |
|---|---|---|
| 이미지 표시 | 추적·불쾌한 콘텐츠 | 자동 로드 설정·숨김 확인 |
| 설명 URL | 피싱 도메인 | 열지 않고 공식 채널 검색 |
| wallet connect | 주소·chain 노출 | 불필요하면 거절 |
| setApprovalForAll | 컬렉션 전체 이동 권한 | 서명 취소 |
| seed 입력 요구 | 지갑 전체 탈취 | 즉시 종료 |
공식 NFT인지 세 축으로 대조합니다
collection name과 이미지가 같아도 contract address가 다르면 다른 NFT입니다. 프로젝트 공식 사이트나 공지의 contract, 신뢰할 탐색기의 verified source, marketplace collection 정보를 대조합니다. 거래량이나 holder 수만으로 공식성을 확정하지 않습니다.
프록시 contract라면 explorer가 표시하는 implementation과 upgrade 권한도 확인합니다. verified source는 게시된 bytecode와 source가 대응한다는 신호이지 프로젝트가 안전하거나 가격이 유지된다는 보증은 아닙니다. 사용자가 기대하지 않은 airdrop이면 공식처럼 보여도 상호작용할 이유가 없습니다.
- NFT 설명의 링크를 열지 않습니다.
- wallet의 hide·report spam 기능을 확인합니다.
- 공식 채널에서 collection contract를 대조합니다.
- 서명 창의 operator와 권한 범위를 읽습니다.
- 이미 승인했다면 operator approval을 취소합니다.
이미 클릭했을 때는 행동 범위로 대응합니다
링크만 열었다면 다운로드, browser permission, extension 설치, wallet connection 여부를 확인합니다. wallet을 연결했다면 disconnect하고 연결 기록을 검토합니다. MetaMask 문서처럼 disconnect는 기존 token·NFT approvals를 취소하지 않으므로 탐색기나 신뢰할 revoke 도구에서 별도로 확인합니다.
거래나 message를 서명했다면 chain, transaction hash 또는 signature 내용, contract, operator, deadline을 보존합니다. 자산이 이동 중이면 추가 서명을 중단하고 사고 대응 순서를 따릅니다. recovery phrase를 입력했다면 새 seed로 이전해야 하며 비밀번호 변경만으로 충분하지 않습니다.
NFT 수신함과 보관 지갑을 분리합니다
공개 mint와 이벤트에 쓰는 활동 주소에는 원치 않는 자산이 계속 들어올 수 있습니다. 장기 보관 NFT와 고가 자산은 사이트 연결을 최소화한 주소에 두고, 활동 지갑의 approval을 정기 점검하면 피해 범위를 줄일 수 있습니다. 다만 자산 이동에도 gas와 주소 검증이 필요합니다.
지갑 설정에서 의심 NFT 자동 숨김과 metadata 로드 방식을 확인하고 software를 최신 상태로 유지합니다. 팀 계정은 새로운 collection을 보여 주는 기준과 공식 contract 확인자를 정해 둡니다. 가격 알림보다 승인 변경과 자산 이동 알림을 우선합니다.
자주 묻는 질문
NFT 이미지만 지갑에 보이면 해킹된 건가요?
그 사실만으로는 아닙니다. 공개 주소에는 누구나 NFT를 보낼 수 있으므로 링크와 계약에 상호작용하지 마세요.
스팸 NFT를 burn하면 목록에서 안전하게 없어지나요?
burn도 온체인 상호작용일 수 있습니다. 예상하지 않은 NFT는 지갑의 hide 기능으로 표시만 관리하는 편이 안전합니다.
wallet 연결을 끊으면 NFT 승인도 취소되나요?
아닙니다. setApprovalForAll 같은 온체인 권한은 별도 revoke 거래가 필요합니다.
