Phantom 지갑은 안전한가요?

"안전"에는 두 가지 측면이 있습니다. 지갑 소프트웨어가 키를 잘 보호하는지, 그리고 사용자를 노리는 사기를 피할 수 있는지입니다. Phantom은 첫 번째 측면에서 꽤 잘하고 있습니다. 거의 모든 손실은 두 번째 측면에서 발생합니다. 이 페이지는 날짜가 명시된 사실로 두 가지를 모두 다룹니다. Ghostlight Guide는 독립적이며 Phantom으로부터 대가를 받지 않습니다.

Phantom이 자금을 보호하는 방식

키는 본인이 보관합니다

Phantom은 셀프 커스터디 지갑입니다. 복구 문구와 개인 키는 기기에서 생성되고 비밀번호로 보호됩니다. Phantom은 자금을 보관하지 않으며 옮길 수도 없습니다. 반대로, 여러분이 서명한 거래를 되돌리거나 잃어버린 문구를 복원해 줄 수 있는 사람도 없습니다.

거래 미리보기와 경고

서명하기 전에 Phantom은 거래를 시뮬레이션하고 예상되는 잔액 변화를 보여 줍니다. 또한 사이트를 악성 도메인 차단 목록과 대조합니다. Phantom 개발자 문서에는 This dApp could be malicious. Do not proceed unless you are certain it is safe. (이 디앱은 악성일 수 있습니다. 안전하다고 확신하지 않는 한 진행하지 마세요.)와 This domain is new or has not been reviewed yet. Proceed with caution. (이 도메인은 새로 생겼거나 아직 검토되지 않았습니다. 주의해서 진행하세요.) 같은 경고가 나와 있습니다. 첫 번째 경고가 보이면 멈추세요. Phantom의 악성 디앱 경고 해설을 참고하세요.

2024년 11월 Phantom은 거래 미리보기 기능을 제공하던 Blowfish를 인수했습니다. Phantom에 따르면 Blowfish는 280만 건의 사기를 막고 13억 건의 거래를 검사했습니다(Phantom 블로그). 이것을 보장이 아닌 안전망으로 여기세요. 새로운 드레이너 사이트는 매일 생겨나며, 복구 문구를 넘겨주면 미리보기도 여러분을 보호할 수 없습니다.

하드웨어 지갑 지원

Phantom 확장 프로그램이나 모바일 앱에 Ledger를 연결할 수 있습니다. 그러면 거래마다 기기에서 물리적 확인이 필요하므로, 컴퓨터의 악성코드만으로는 자금을 옮길 수 없습니다. Ledger와 함께 Phantom 사용하기를 참고하세요.

스팸 필터링

Phantom은 많은 스팸 토큰과 NFT를 숨기고, 원치 않는 NFT를 신고하고 소각할 수 있게 해 줍니다. 사기 에어드랍은 사람들을 드레이너 사이트로 유인하는 흔한 수법이므로, 예상하지 못한 토큰이나 NFT에 적힌 링크는 절대 방문하지 마세요.

감사, 버그 바운티, 오픈 소스

Phantom의 지갑 앱은 오픈 소스가 아니므로 코드를 직접 검사할 수 없습니다. 대신 Phantom은 외부 검토에 의존합니다. Least Authority는 2024년 6월 Phantom의 모바일 및 확장 프로그램 코드에 대한 최종 감사 보고서를 공개했습니다. Phantom은 2026년 7월 1일부터 Cantina에서 공개 버그 바운티를 운영하고 있으며, 치명적 문제에는 최대 100,000달러를 보상합니다(Cantina, 2026). 악성 도메인 차단 목록은 GitHub에 공개되어 있습니다.

2025년 1월 한 보안 연구자가 공개되지 않은 취약점 보고와 관련해 Phantom을 공개적으로 비판했습니다. Phantom은 소통이 늦었던 점을 사과하고 해당 문제로 자금이 위험에 처하지는 않았다고 밝혔으며, 기술적 세부 사항은 공개되지 않았습니다(CryptoSlate, 2025).

보안 이력

다른 장애를 포함한 전체 목록은 Phantom 보안 이력에 있습니다. 장애가 나면 한동안 거래를 못 할 수 있어 활발히 거래하는 사람에게는 중요하지만, 자금 도난과는 다릅니다. 2024년 11월 iOS 초기화 사태는 아무것도 도난당하지 않았더라도 복구 문구를 적어 백업해 두는 것이 왜 중요한지 보여 줍니다.

Phantom 사용자가 실제로 자금을 잃는 방식

1. 가짜 다운로드. 검색 광고나 무료 호스팅 사이트의 "공식 다운로드" 페이지에서 흔히 발견되는 확장 프로그램이나 앱의 복제본은 복구 문구를 입력하는 즉시 훔쳐 갑니다.
2. 가짜 고객지원. Phantom 전화 상담은 없으며, Phantom은 고객지원팀이 먼저 연락하는 일은 절대 없다고 밝혔습니다. 가짜 번호와 채팅창은 복구 문구로 지갑을 "verify(인증)"하거나 "sync(동기화)"하라고 요구합니다. Phantom 고객지원 전화 사기를 참고하세요.
3. 드레이너 사이트. 가짜 에어드랍, 민팅, 토큰 수령 페이지가 모든 자산을 공격자에게 보내는 거래에 서명하라고 요구합니다.
4. 가짜 팝업. 브라우저 탭 안에서 Phantom 창을 흉내 내며 복구 문구를 요구하는 웹페이지입니다.
5. 주소 포이즈닝. 유사 주소에서 보낸 소액 전송이나 채팅 메시지로 잘못된 주소를 복사하게 만듭니다.
6. 유출된 복구 문구. 사진, 클라우드 메모, 유출된 비밀번호 관리자, 또는 "도와주겠다"는 사람에게 알려 준 문구입니다.

이 모든 수법은 가짜 Phantom 사기에서 예시와 함께 설명합니다.

대부분의 손실을 막는 규칙

• Phantom은 절대 복구 문구를 요구하지 않습니다. 업데이트, 인증, 동기화, 잠금 해제, 수령 등 어떤 이유로도 마찬가지입니다. 복구 문구를 입력하는 유일한 곳은 지갑을 복원할 때의 진짜 Phantom 앱입니다.
• Phantom은 공식 경로에서만 받으세요. phantom.com을 입력하거나 북마크를 사용하세요. 확장 프로그램 ID나 앱 등록 정보는 다운로드 확인 도구로 확인하세요.
• 복구 문구는 오프라인으로 보관하세요. 종이나 금속에 적고, 스크린샷, 이메일, 클라우드 메모에는 절대 저장하지 마세요.
• 지갑을 두 개 사용하세요. 새 앱과 민팅에는 소액만 담은 "핫" 지갑을, 저축용으로는 알 수 없는 사이트에 절대 연결하지 않는 별도의 지갑(가능하면 Ledger)을 사용하세요.
• 서명 전에 읽으세요. Phantom이 경고를 표시하거나, 거래를 시뮬레이션할 수 없거나, 미리보기에 예상보다 많은 자산이 나가는 것으로 표시되면 거부하세요. 서명 해설 도구가 로그인 메시지와 EVM 승인을 이해하는 데 도움이 됩니다.
• 주소는 전체를 확인하세요. 활동 목록이나 채팅이 아니라 받는 사람이나 주소록에서 복사하세요. 주소 확인 도구로 두 주소를 비교할 수 있습니다.
• Phantom은 Chrome 웹 스토어, App Store, Google Play를 통해서만 업데이트하세요. "업데이트"를 위해 복구 문구를 요구하는 팝업은 가짜입니다.

진짜 Phantom 창과 가짜를 구별하는 방법

보안 업체 Scam Sniffer는 2025년 2월 다음과 같은 확인 방법을 제안했습니다(Cointelegraph, 2025).

• 진짜 확장 프로그램 팝업은 주소가 chrome-extension://으로 시작하는 별도의 창입니다. 가짜는 웹페이지 안에 그려집니다.
• 진짜 팝업은 다른 창처럼 이동, 최소화, 크기 조절이 가능합니다. 가짜는 브라우저 탭 안에 갇혀 있습니다.
• 피싱 페이지는 마우스 오른쪽 클릭을 막는 경우가 많지만, 진짜 Phantom 창은 그렇지 않습니다.

Phantom이 거래소보다 안전한가요?

위험의 종류가 다릅니다. 거래소는 해킹당하거나, 계정을 동결하거나, 파산할 수 있지만, 비밀번호를 재설정해 주고 때로는 실수를 되돌려 주기도 합니다. Phantom에서는 여러분과 자금 사이에 어떤 회사도 없습니다. 동결도 없지만 되돌리기도 없습니다. 많은 사람이 거래용 잔액은 거래소에, 장기 보유 자산은 하드웨어 지갑을 이용한 셀프 커스터디로 보관합니다.

이름에 관한 참고

Fantom(현재 Sonic)은 별개의 암호화폐 프로젝트입니다. "Fantom wallet"에 대한 안전성 리뷰는 Phantom에 관한 것이 아니며, Phantom은 이를 지원하지 않습니다.

이미 문제가 생겼다면

사이트나 앱에 복구 문구를 입력했거나 이해하지 못한 것에 서명했다면 지금 바로 조치하세요. Phantom 지갑이 털렸을 때 해야 할 일을 따르세요. 수수료를 받고 자금을 복구해 주겠다는 사람에게는 연락하지 마세요. 그들도 사기꾼입니다.

자주 묻는 질문