지갑에 1달러에 가까운 잔액으로 표시되더라도 실제로 팔 수 있는 것은 아닙니다. 블록체인 보안업체 Forta는 11월 10일 공개한 조사에서 제한된 거래 풀을 통해 1달러 안팎의 시세를 유지한 토큰 32종을 확인했습니다. 연구진이 각 풀의 거래가 활발했던 시간대 중간에 일반 외부 지갑으로 매도를 시도한 결과, 32종 모두 교환이 거부됐습니다. 지갑에 표시된 금액과 실제로 현금화할 수 있는 가치가 크게 다를 수 있어, 가짜 토큰이 상품이나 서비스 대금으로 쓰일 가능성도 제기됩니다.
허가된 지갑만 거래할 수 있는 풀
Forta가 추적한 토큰들은 실제 USDT와 함께 PancakeSwap Infinity 거래 풀을 구성했습니다. 연구진이 ‘키퍼(keeper)’라고 부른 자동화 지갑들은 소액 매매를 반복해 풀의 최근 거래 가격을 1달러에 가깝게 유지했습니다. 하지만 풀의 스왑 훅(swap hook)이 거래 권한을 제한해, 운영자가 허가 목록에 올린 지갑만 거래할 수 있었습니다.
이 구조에서는 키퍼가 달러에 가까운 거래 가격을 계속 만들어낼 수 있지만, 일반 보유자는 같은 풀에서 토큰을 매도할 수 없습니다. PancakeSwap 개발 문서에 따르면 Infinity 풀은 스왑 등 작업 전후에 콜백을 실행할 수 있습니다. Forta는 조사 대상 풀이 이 기능을 이용해 거래 참여자를 제한했다고 설명했습니다. 최근 체결가가 안정적으로 보이더라도, 실제로 이용 가능한 매도 경로가 있다는 뜻은 아닙니다.
Forta가 측정한 32개 토큰의 가격 중앙값은 0.99~1.005달러였습니다. 토큰이 바뀌어가며 이 같은 거래가 이어진 기간은 2월 19일부터 최소 11월 3일까지였고, 개별 토큰은 보통 2~19일 동안 시세를 유지했습니다. 가짜 USDC 한 종은 목표 가격에 가까운 수준을 80일간 유지해, 조사 대상이 가짜 USDT에만 국한되지 않았음을 보여줬습니다. 한 토큰의 키퍼는 나흘 동안 9,522건의 스왑을 실행했습니다.
다만 이 결과는 Forta가 확인한 거래 풀 32곳을 대상으로 시뮬레이션한 것으로, 모든 시장이나 시간대에 적용되는 것은 아닙니다. 조사 대상 토큰은 Tether의 실제 USDT와 다른 자산이며, 표시 가격만으로 유동성이나 현금화 가능성이 입증되지는 않습니다.
게임 아이템 대금으로 받은 토큰, 거래소 입금은 불발
Forta에 연락한 한 판매자는 온라인 게임 아이템을 팔고 네 자릿수 금액을 받았다고 생각했습니다. 지갑에는 BNB Chain 기반 USDT와 테더 표시가 나타났지만, 토큰을 거래소로 보낸 뒤 계정에 입금되지 않았습니다. 이후 받은 토큰이 가짜라는 사실을 알게 됐습니다.
Forta는 해당 대금이 일반적인 토큰 Transfer 이벤트 네 건으로 이뤄졌다고 추적했습니다. 조사한 토큰은 서로 다른 문자 체계에서 가져온 외관이 비슷한 문자를 이름과 심볼에 사용해 USDT처럼 보이게 했습니다. 그러나 표시 이름과 심볼은 실제 자산임을 증명하지 않습니다.
Forta는 지급자를 지갑 13개로 구성된 그룹과 연관 지었으며, 5달러를 들여 가짜 토큰 215,786개를 매수한 거래도 확인했습니다. 따라서 토큰에 표시된 총액은 지급자가 실제로 지출한 비용을 반영하지 않을 수 있고, 수취인이 입은 손실 규모를 그대로 나타내지도 않습니다.
위조 자산 최소 151종…명목 지급액은 최대 3,400만 달러
달러에 가까운 시세를 유지한 32종은 더 큰 위조 자산 네트워크의 일부였습니다. Forta는 달러 표시 토큰 115종과 BTC·BNB·ETH를 모방한 토큰을 포함해 가짜 자산을 최소 151종 확인했습니다. 11월 3일까지 기록된 직접 전송은 총 3,138,110건입니다. 이 가운데 비교적 오래된 가짜 BTC 토큰 한 종은 2025년 7월까지만 집계돼, 전체 전송 건수는 최소치로 봐야 합니다.
연구진은 자체 휴리스틱 기준을 적용해 상품 구매 대금 지급에 연관됐을 가능성이 있는 수취 주소 266,497개를 추렸습니다. 기준에는 가짜 달러 토큰 20~20,000개를 받은 주소와 송신자의 수취 주소가 100개 미만인 경우 등이 포함됐습니다.
Forta는 추정액을 두 표본으로 나눠 제시했습니다. 최소 151종으로 이뤄진 전체 위조 자산 네트워크에서 달러 토큰 지급의 명목 가치는 약 2,200만 달러로 추산됐으며, 범위는 1,100만~3,400만 달러였습니다. 1달러 안팎의 시세를 유지한 32종만 보면 추정액은 약 400만 달러, 범위는 200만~700만 달러였습니다.
다만 수취 주소에는 실제 구매자뿐 아니라 스팸 토큰을 받은 주소와 테스트용 지갑도 포함될 수 있다고 Forta는 밝혔습니다. 명목 가치는 실제 손실과 같지 않습니다. 실제 손실은 게임 아이템 판매 사례처럼 수취인이 무엇을 내줬는지에 따라 달라지며, 가짜 토큰은 적은 비용으로 대량 확보됐을 수 있습니다.
상품 인도 전 컨트랙트 주소와 네트워크 확인
바이낸스도 9월 24일 공개한 가짜 결제 사기 주의 안내에서 익숙한 이름과 로고를 사용한 위조 토큰이 지갑에 잘못된 잔액을 표시할 수 있다고 경고했습니다. 바이낸스가 든 사례에서는 유동성이 얕은 거래 풀에서 누군가 토큰을 먼저 팔아 실제 자산을 가져간 뒤, 가짜 토큰 가격이 하락했습니다. Forta의 조사에서는 외부 거래가 거부되는 상황에서도 제한된 거래 풀이 가격을 유지할 수 있었습니다.
Forta는 토큰 컨트랙트 주소를 확인하고, 이름에 모양이 비슷한 문자가 포함됐는지 살피라고 권고했습니다. 바이낸스는 상품을 넘기기 전에 양측이 합의한 네트워크와 전체 컨트랙트 주소를 확인하고, 지갑에 표시된 금액을 실제로 현금화할 수 있는지 점검하라고 안내했습니다. USDT 같은 스테이블코인을 받는 경우에도 지갑의 로고나 달러 잔액 표시만으로 토큰의 진위를 판단할 수 없습니다.