가짜 Xaman NFT 사기, XRP 지갑에서 자산 탈취…작동 방식과 예방법

XRP Ledger(XRPL) 사용자를 노린 대규모 피싱 캠페인이 현재 활발히 진행 중입니다. 사기범들은 사용자 지갑으로 확인되지 않은 가짜 NFT를 보내고, 여기에 숨겨진 악성 '구매 제안(Buy Offer)'을 사용자가 서명하거나 수락하도록 유도합니다. 이 트랜잭션을 승인하는 순간, 지갑에 보관된 XRP와 기타 자산이 사기범의 지갑으로 즉시 이체됩니다 . 이 사기 수법은 프로토콜 자체의 취약점이 아닌, 사회공학적 기법과 사용자의 실수에 전적으로 의존한다는 점이 특징입니다 .

사기 작동 방식

사용되는 가짜 NFT 명칭

사기범들은 공식 Xaman 지갑 생태계를 모방한 'Xaman 패스' 및 '베타 패스 제안' 등으로 위장한 위조 NFT를 전송합니다 . 일부 NFT는 'Verification: Safe XRPL verify message' 와 같은 사용자를 안심시키는 메시지를 함께 표시하기도 합니다 . 또 다른 변형 수법으로는 매월 보상을 약속하는 가짜 메모가 포함된 결제 요청을 보내 사용자가 악성 트랜잭션에 서명하도록 속입니다 .

사용자가 속아서 서명하는 악성 트랜잭션

1. 피해자 지갑에 확인되지 않은 NFT가 입금됩니다. 이 NFT는 종종 경품, 에어드롭, 또는 '인증' 단계를 암시하는 제목이나 설명을 포함합니다 .
2. 해당 NFT에는 숨겨진 구매 제안(Buy Offer) 이 포함되어 있습니다. 사용자가 이를 보상 청구나 인증 절차로 오인하고 서명 또는 수락하면, 해당 트랜잭션은 사기범이 지갑에서 XRP 및 기타 자산을 빼내는 것을 허가하게 됩니다 .
3. 또 다른 수법은 'Safe XRPL 인증 메시지'로 위장한 가짜 결제 요청입니다. 피해자가 이 요청을 승인하면 즉시 자금을 잃게 됩니다 .

보고된 금전적 피해 규모

• 2026년 6월, 한 피해자가 지갑 인증 메시지로 위장한 사기성 결제 요청을 승인했다가 14,646 XRP(약 1,680만 원) 를 손실했습니다 .
• 2026년 5월에는 다른 보유자가 가짜 NFT 구매 제안을 수락했다가 6,000 XRP를 잃은 사례가 보고되었습니다 .
• 리플 CTO 데이비드 슈워츠는 XRP에는 중앙 발행자가 없기 때문에 도난당한 토큰은 동결, 취소 또는 회수할 수 없으며 손실은 영구적이라고 강조했습니다 .

광범위한 맥락: XRP 사기의 '거대한 급증'

이 NFT 피싱 캠페인은 XRP 커뮤니티를 표적으로 한 훨씬 더 광범위한 사기 물결의 일부입니다.

데이비드 슈워츠의 경고 (2026년 5월 14일)

리플 CTO 데이비드 슈워츠는 X(구 트위터)를 통해 **"최근 XRPL 사용자를 대상으로 한 에어드롭 및 경품 사기가 엄청나게 급증했다"**고 긴급 경고를 발령했습니다. 그는 소셜 미디어에서 보이는 거의 모든 프로모션이 사기이며, 인스타그램이나 텔레그램 등에서 자신을 사칭하는 사람은 모두 사기범이라고 경고했습니다 .

XRPL 재단 경고

XRP Ledger 재단도 유사한 경고를 발표하며 XRP 커뮤니티를 대상으로 한 사기가 급격히 증가했음을 확인하고, X 플랫폼상의 에어드롭, 경품, 가짜 고객 지원 제안을 피하라고 촉구했습니다 .

동일 사기 물결 속 다른 수법들

• XRPL 재단과 Xaman 지갑을 사칭한 대규모 봇 캠페인을 통해 가짜 'RLUSD 시즌 1' 에어드롭을 홍보하는 사례 .
• 리플 임원을 사칭한 딥페이크 AI 영상을 활용한 가짜 경품 사기 .
• 공식 XRPL 지갑을 모방한 피싱 웹사이트를 통해 사용자를 유인, 지갑 연결이나 사기 트랜잭션 승인 유도 .
• 가짜 Xaman 데스크톱 앱 유포 및 매일 20개 이상의 가짜 소셜 미디어 프로필 생성 .

권장 보호 조치

데이비드 슈워츠, 비체 윈드(Xaman 창립자) 및 XRPL 재단의 경고를 종합한 권장 사항은 다음과 같습니다.

• 요청하지 않은 NFT 제안은 절대 서명하거나 수락하지 마십시오. 지갑에서 알 수 없는 제안은 즉시 취소하세요 .
• 소셜 미디어의 에어드롭, 경품, '보상' 프로모션은 모두 무시하십시오 — 사실상 모두 사기입니다 .
• 익숙하지 않은 웹사이트에 지갑을 절대 연결하지 마십시오. 무료 XRP나 NFT 보상을 약속하는 사이트는 특히 위험합니다 .
• 시드 문구(Seed Phrase)나 개인키를 누구와도 공유하지 마십시오 .
• 모든 커뮤니케이션을 검증하십시오: 리플과 XRPL 재단은 절대 사용자에게 XRP를 보내거나 지갑 정보를 요구하지 않습니다 .
• Bithomp이나 Xaman과 같은 지갑 도구를 사용하여 보류 중인 제안을 검토하고 취소하십시오. 하지만 자금이 도난당한 후에는 복구가 거의 불가능하다는 점을 명심하세요 .
• X, 인스타그램, 텔레그램 등지의 사칭 계정을 주의하십시오. 슈워츠 본인도 이 플랫폼에서 자신을 사칭하는 사람은 모두 사기범이라고 경고했습니다 .