암호화폐 결제카드 사기와 부정 사용: 가짜 고객센터, 피싱 사이트, 무단 거래를 식별하는 방법

암호화폐 결제카드에서 본인이 알지 못하는 결제가 발생했다고 해서 반드시 카드번호가 도난당한 것은 아니다. 가짜 카드 발급 신청 사이트에서 카드 정보를 노출했을 수도 있고, 고객센터 직원을 사칭한 사람에게 인증번호를 전달했을 수도 있다. 지갑을 연결하는 과정에서 악성 스마트 컨트랙트에 의도치 않게 권한을 승인했을 가능성도 있다.

이러한 사건은 모두 금전적 손실로 이어질 수 있지만 대응 방법은 다르다. Visa 또는 Mastercard 네트워크를 통해 처리된 무단 거래에는 카드 거래 분쟁 처리 절차가 적용될 수 있다. 반면 블록체인에서 이미 확정된 송금으로 발생한 손실은 카드 차지백(Chargeback) 절차를 통해 직접 회수할 수 없다.

알 수 없는 결제나 사기가 의심된다면 우선 다음 조치를 취해야 한다.

1. 카드에서 알 수 없는 거래가 발생한 경우: 공식 앱에서 즉시 카드를 잠그고 카드 발급사에 신고한 뒤 거래 기록을 보존한다.

2. 플랫폼 계정 탈취가 의심되는 경우: 신뢰할 수 있는 기기에서 비밀번호를 변경하고 의심스러운 로그인 세션을 종료한다. 출금 권한과 인증 설정을 점검하고 추가 입금을 중단한다.

3. 지갑 복구 구문이나 개인키가 유출된 경우: 안전한 환경에서 완전히 새로운 키를 사용하는 지갑을 생성하고, 아직 통제할 수 있는 자산을 옮길 수 있는지 신속하게 확인한다.

4. 의심스러운 컨트랙트 승인을 한 경우: 위험한 온체인 토큰 승인 내역을 확인하고 철회한다. 웹사이트 연결만 해제하는 것으로는 일반적으로 충분하지 않다.

5. 사기 주소로 이미 송금한 경우: 트랜잭션 해시, 수취 주소, 대화 기록을 보존하고 관련 플랫폼에 연락한 뒤 관할 기관에 신고한다.

고객센터 직원을 자처하는 낯선 사람에게 일회용 인증번호, 비밀번호, 개인키, 지갑 복구 구문을 제공해서는 안 된다. 이른바 '계정 동결 해제'나 '자금 회수'를 이유로 추가 송금을 요구하더라도 응하지 않아야 한다.

1. 암호화폐 결제카드 사기와 부정 사용에는 어떤 위험이 있는가?

암호화폐 결제카드는 모두 동일한 자금 구조를 사용하는 것이 아니다.

일부 상품은 사용자가 USDT나 USDC를 미리 충전한 뒤 이를 법정통화 표시 결제 잔액으로 전환하도록 한다. 다른 카드는 결제 시 플랫폼이 수탁하는 계정에 보관된 암호자산을 사용한다. 자체 보관형 지갑과 연결되어 온체인 자산 전환이나 스마트 컨트랙트 승인이 필요한 상품도 있다.

이처럼 구조가 다르면 공격자가 접근할 수 있는 자산과 작업 권한도 달라진다.

공격자가 카드번호와 CVV를 확보했다고 해서 자체 보관형 지갑의 통제권까지 얻었다는 뜻은 아니다. 마찬가지로 카드를 동결해도 이미 유출된 지갑 개인키가 무효화되는 것은 아니다.

또 다른 상황은 플랫폼 계정 자체가 탈취된 경우다. 카드 잠금에 성공했더라도 공격자는 플랫폼 계정에 남아 있는 권한을 이용해 다른 자금 관련 작업을 시도할 수 있다.

어떤 계정과 권한이 영향을 받았는지 파악하는 것이 피해를 줄이기 위한 대응책을 선택하는 출발점이다.

2. 가짜 고객센터는 어떻게 인증번호와 계정 권한, 암호자산을 빼앗는가?

고객센터 사칭은 대표적인 사회공학적 사기 수법이다. 공격자가 반드시 플랫폼의 기술적 보안 장치를 뚫어야 하는 것은 아니다. 계정 동결, 결제 실패, 자금 손실을 우려하는 카드 소지자의 심리를 이용해 민감한 정보를 자발적으로 넘기도록 유도한다.

대표적인 사칭 문구는 다음과 같다.

• 카드에서 이상 거래가 발생했으므로 즉시 본인 확인이 필요하다.

• KYC 심사가 실패했으므로 신분증을 다시 제출해야 한다.

• 카드가 곧 비활성화되므로 활성화 수수료를 납부해야 한다.

• 계정이 규정 위반 혐의를 받고 있으므로 자금을 '안전한 주소'로 이전해야 한다.

• 환불은 승인됐지만 먼저 동결 해제 수수료나 확인 수수료를 내야 한다.

이러한 설명이 그럴듯하게 들리는 이유는 실제 카드 발급 업무에서도 계정 제한, KYC 정보 갱신, 신원 확인이 이루어질 수 있기 때문이다.

사기 여부를 판단할 때는 연락한 사람의 신원과 상대방이 요구하는 작업의 정당성을 확인하는 것이 핵심이다.

누군가 계정 비밀번호, SMS 인증번호, 지갑 복구 구문, 카드 보안코드 전체를 요구하거나 대화 중 새로 제공한 개인 지갑 주소로 송금하라고 지시한다면 즉시 작업을 중단해야 한다.

미국 연방거래위원회(FTC)는 암호화폐 사기 안내문에서 사기범들이 기업이나 정부기관을 사칭하고 자금 보호 등을 명목으로 이용자에게 암호자산 이전을 유도하는 경우가 많다고 경고한다.

소셜미디어의 '공식 고객센터'를 신뢰할 수 있을까?

많은 암호화폐 결제카드 프로젝트가 X, Telegram, Discord 등에서 커뮤니티를 운영한다. 사기범은 브랜드 프로필 이미지와 고객센터 이름을 복제한 뒤 공개 채널에서 결제 문제를 호소하는 사용자에게 먼저 접근할 수 있다.

상대방이 사용자의 문제를 자세히 알고 있다는 사실만으로 신원이 확인되는 것은 아니다. 그 정보는 사용자가 이전에 공개적으로 작성한 게시물에서 얻은 것일 수 있다.

고객센터 직원의 신원을 확인하려면 미리 검증한 공식 웹사이트나 공식 앱을 통해 지원 채널에 접속해야 한다. 모르는 사람이 개인 메시지로 보낸 링크를 사용해서는 안 된다.

예를 들어 Crypto.com은 일부 공식 연락 채널과 연락처 정보를 확인할 수 있는 Crypto.com Verify를 제공한다. 이는 Crypto.com 자체 보안 도구이며 모든 암호화폐 결제카드 플랫폼이 같은 기능을 제공하는 것은 아니다.

상대방의 신원을 확인할 수 없다면 대화를 중단하고 직접 접속한 공식 지원 채널에서 문의를 다시 접수하는 것이 안전하다.

3. 피싱 사이트는 어떻게 카드 정보와 지갑 승인 권한을 탈취하는가?

암호화폐 결제카드를 노리는 피싱 사이트는 실제 상품의 회원가입, 카드 신청, 계정 관리 화면을 모방하는 경우가 많다. 사용자는 검색 결과, 소셜미디어 광고, 이메일을 통해 이러한 사이트에 들어가면서 공식 서비스를 이용하고 있다고 오인할 수 있다.

공격 목적에 따라 대표적인 피싱 페이지는 세 가지로 구분할 수 있다.

1. 가짜 회원가입 페이지와 허위 카드 발급 수수료

공격자는 브랜드 로고, 카드 디자인, 신청 절차를 복제해 사용자의 가입, KYC 서류 제출, 카드 발급 수수료 납부를 유도한다.

신분증 사진과 개인정보를 제출했다면 이후 신원 도용이 발생할 수 있다. 가짜 페이지에 표시된 주소로 USDT를 전송했다면 온체인 자산을 직접 잃을 수 있다.

정상적인 암호화폐 결제카드도 카드 발급 수수료를 부과할 수 있다. 따라서 결제를 요구한다는 이유만으로 사기라고 단정할 수는 없다.

신청 전에 도메인이 공식 사업자 소유인지, 수수료가 정식 약관에 명시되어 있는지, 충전 주소가 검증된 공식 계정 화면에서 제공된 것인지 확인해야 한다.

2. 계정 보안센터로 위장한 로그인 페이지

사용자가 '계정 이상' 또는 '결제 정보 업데이트 필요' 등의 알림을 받고 링크를 누르면 가짜 로그인 페이지로 이동할 수 있다. 여기에 비밀번호와 일회용 인증번호를 입력하면 공격자는 해당 정보를 이용해 실제 계정에 로그인을 시도할 수 있다.

페이지가 HTTPS를 사용한다고 해서 합법적인 서비스 제공자가 운영한다는 뜻은 아니다. HTTPS는 통신 연결을 보호할 뿐, 사이트 운영자의 신뢰성을 보장하지 않는다.

FTC는 피싱 사기 식별 및 예방 안내문에서 계정 문제나 결제 정보 갱신을 구실로 사용자를 가짜 페이지에 유도하는 수법을 설명한다.

이러한 알림을 받았다면 이전에 확인한 공식 앱이나 웹사이트를 직접 열어 계정에 실제로 해당 경고가 있는지 확인해야 한다.

3. 가짜 지갑 연결과 스마트 컨트랙트 승인

일부 지갑 연동형 암호화폐 결제카드는 자체 보관형 지갑 연결이 필요하다. 사기범은 가짜 카드 신청 페이지를 만들어 사용자가 지갑을 연결한 뒤 서명이나 승인 요청이 표시되도록 할 수 있다.

사용자는 카드를 신청한다고 생각하지만 실제로는 특정 토큰을 이전할 수 있는 권한을 스마트 컨트랙트에 부여하고 있을 수 있다.

이 공격에는 반드시 복구 구문이 필요한 것은 아니다. 사용자가 서명한 Token Approval(토큰 승인)에 따라 컨트랙트가 승인된 한도 내에서 자산을 이전할 수 있다.

정상적인 지갑 연결 화면이 표시된다고 해서 요청이 안전한 것은 아니다. 사용자는 요청 출처, 대상 컨트랙트, 토큰, 승인 한도를 직접 확인해야 한다.

4. 3DS 인증번호 사기: 결제를 승인했는데도 피해가 발생할 수 있는 이유

3D Secure(3DS)는 온라인 카드 결제에서 카드 소지자의 신원을 확인하는 기술적 인증 방식이다. 카드 발급사는 One-Time Password(OTP, 일회용 비밀번호) 입력이나 공식 앱을 통한 결제 확인을 요구할 수 있다.

사기범은 이러한 인증 과정을 악용해 카드 소지자가 실제로 원하지 않은 거래를 완료하려 한다.

예를 들어 공격자가 카드번호, 유효기간, CVV를 이미 확보했지만 결제를 진행하려면 추가 인증이 필요하다고 가정하자. 이때 카드 소지자에게 카드 발급사를 사칭한 다음과 같은 메시지가 도착한다.

의심스러운 결제가 감지되었습니다. 거래를 취소하려면 SMS 인증번호를 알려주세요.

그러나 사용자가 받은 인증번호는 실제로 공격자가 진행 중인 결제를 인증하는 데 필요한 정보일 수 있다.

또 다른 수법은 공식 앱에서 낯선 거래를 승인하도록 유도하면서 이를 '결제 취소'나 '보안 제한 해제'를 위한 절차라고 주장하는 것이다.

이런 경우 본인이 시작하지 않은 결제와 관련된 인증 요청은 거부해야 한다. 결제를 확인하기 전에 화면에 표시된 금액, 가맹점, 거래 정보를 확인하고 일치하지 않으면 진행하지 않아야 한다.

3DS 본인 인증에 성공했다는 사실은 해당 거래가 적용된 인증 절차를 통과했다는 의미일 뿐이다. 이것만으로 카드 소지자가 실제로 결제에 동의했다고 판단할 수는 없다.

3DS 본인 인증, 카드 거래 승인, 카드 소지자의 실질적 동의는 구분해야 하는 세 가지 개념이다. 본인 인증이 성공했다고 해서 이후 거래가 반드시 발급사의 승인을 받는 것은 아니다. 거래 승인이 이루어졌더라도 분쟁 발생 시 카드 소지자가 직접 동의한 결제로 반드시 인정되는 것도 아니다.

인증번호가 속임수로 제공되었거나 사용자가 유도에 따라 낯선 결제를 승인했다면, 발급사는 여전히 거래 기록, 인증 결과, 카드 소지자의 진술, 기타 증거를 종합해 조사해야 한다.

3DS 인증 결과는 카드 분쟁 처리에서 사기 책임의 분담과 입증 요건에 영향을 줄 수 있지만 그 자체로 분쟁 결과를 결정하지는 않는다. 사회공학적 사기에서는 사용자가 실제로 인증에 참여했는지, 거래에 진정으로 동의했는지, 적용되는 카드 네트워크 규정과 현지 법률이 무엇인지에 따라 책임 판단이 달라질 수 있다.

사기 거래가 확인되더라도 발급사가 환불하거나 손실을 부담해야 하는지는 조사 결과와 적용 규정에 따라 결정된다. 3DS 인증의 성공 여부만으로 판단할 수 없다.

5. 카드에 알 수 없는 청구가 발생했을 때 부정 사용 여부를 판단하는 방법

카드 부정 사용이 발생하는 데 실물 카드 분실이 반드시 필요한 것은 아니다.

Card-Not-Present(CNP, 비대면 카드 거래) 환경에서 공격자는 유출된 카드번호, 유효기간, 보안코드를 이용해 온라인 결제를 시도할 수 있다.

정보 유출 경로로는 피싱 사이트, 악성 소프트웨어, 가맹점 시스템의 보안 사고, 계정 탈취 등이 있을 수 있다. 하지만 의심스러운 거래 한 건만으로 어느 가맹점에서 정보가 유출됐는지 보통은 확인할 수 없으며, 카드 발급 플랫폼의 데이터베이스가 침해됐다고 단정해서도 안 된다.

낯선 가맹점 이름이 반드시 부정 사용을 뜻하지는 않는다

카드 명세서에 표시된 가맹점 이름은 사용자가 익숙하게 알고 있는 브랜드명과 다를 수 있다.

예를 들어 소프트웨어 구독 서비스는 독립적인 Merchant of Record(공식 판매 주체)가 실제 판매와 대금 수취를 담당할 수 있다. 이 경우 명세서에는 소프트웨어 브랜드 대신 해당 판매 주체의 이름이 표시될 수 있다.

알 수 없는 청구가 있다면 최근 주문 내역, 이메일 영수증, App Store 및 Google Play 결제 내역, 이전 구독 기록을 먼저 확인할 수 있다.

그래도 청구 출처를 확인할 수 없다면, 특히 짧은 시간에 여러 건의 낯선 거래가 발생한 경우 즉시 카드를 잠그고 발급사에 신고해야 한다. 주문 내역을 확인하느라 피해 방지 조치를 지연해서는 안 된다.

소액의 낯선 거래는 사전 승인일 수도, 카드 테스트 사기일 수도 있다

일부 가맹점은 카드의 유효성을 확인하기 위해 소액 승인을 요청한다. 해당 금액이 이용 가능 잔액에서 일시적으로 보류될 수 있지만 최종 청구로 이어지는 것은 아닐 수 있다.

공격자 역시 소액 거래를 이용해 탈취한 카드 정보가 실제로 사용 가능한지 시험할 수 있다.

최근 특정 서비스에 카드를 등록했다면 해당 서비스의 공식 확인 절차와 비교해 볼 수 있다. 일치하는 결제나 카드 등록 행위가 전혀 없다면 발급사에 거래를 신고해야 한다.

Pending은 결제가 최종 완료됐다는 의미가 아니다

Pending은 거래가 아직 처리 대기 상태라는 뜻이다. 승인에 따른 금액 보류, 청산 대기, 이후 승인 취소 등이 관련될 수 있다.

카드 결제에는 일반적으로 승인과 청산 등의 단계가 포함된다. 가맹점 화면에는 결제 실패가 표시되지만 카드 계정에는 Pending 기록이 나타날 수 있다. 이는 앞선 거래의 승인이 아직 취소되지 않았거나 보류된 금액이 해제되지 않았기 때문일 수 있다.

이 상태가 반드시 실제 청구를 의미하지는 않지만 알 수 없는 승인을 무시해도 된다는 뜻도 아니다.

본인이 시작한 승인이 아니라면 즉시 발급사에 연락해야 한다. 승인 취소 가능 여부, 잔액 보류 해제 시점, 정식 분쟁 절차의 필요성은 거래 상태와 발급사 규정에 따라 처리된다.

정상적인 주문이라도 결제 상태를 확인하기 전에 연속으로 결제를 반복하는 것은 피하는 것이 좋다. 여러 건의 승인 기록이 생길 수 있기 때문이다.

6. 사기나 무단 거래를 발견하면 즉시 무엇을 해야 하는가?

카드 부정 사용: 카드를 잠그고 거래를 신고한다

먼저 공식 앱에서 카드를 잠근 다음 카드 발급사에 무단 거래를 신고한다.

Coinbase의 Coinbase Card 보안 안내는 임시 카드 잠금 방법을 설명하며, 무단 청구를 보안 조치가 필요한 상황 중 하나로 제시한다.

카드 잠금 기능의 적용 범위는 상품에 따라 다르다. 일부 기능은 주로 새로운 거래 승인을 차단하며, 이미 이루어진 승인을 취소하거나 이후 청산을 막지 못할 수 있다.

발급사에 연락할 때는 기존 카드번호를 폐기해야 하는지, 카드를 재발급받아야 하는지, 사기 조사나 거래 분쟁을 어떻게 신청할 수 있는지 확인해야 한다.

아직 청구가 발생하지 않았더라도 카드 정보 전체가 유출된 사실이 확인됐다면 발급사에 연락해 카드 교체와 거래 모니터링 조치를 검토해야 한다.

플랫폼 계정 탈취: 로그인, 이메일, 출금 권한을 함께 보호한다

비정상적인 로그인 알림, 계정 설정 변경, 원인을 알 수 없는 자산 유출이 발견됐다면 카드 자체를 넘어선 계정 침해일 수 있다.

신뢰할 수 있는 기기에서 비밀번호를 변경하고 로그인된 기기 및 세션을 확인한 뒤 의심스러운 세션을 종료한다. 다중 인증(MFA)도 다시 설정하거나 강화해야 한다.

출금 설정, 신뢰 기기, 연결된 이메일 계정도 확인해야 한다. 이메일은 보통 비밀번호 재설정에 사용되므로 이메일까지 탈취됐다면 플랫폼 비밀번호만 변경하는 것으로는 추가 침입을 막기 어려울 수 있다.

기기에 악성 소프트웨어가 설치된 것으로 의심되면 동일한 기기에 새로운 민감 정보를 계속 입력해서는 안 된다.

계정의 안전성이 확인되기 전에는 영향을 받은 계정에 추가 입금하지 않아야 한다. 특히 모르는 고객센터 담당자의 지시에 따라 부정 사용 조사나 자금 동결 해제 서비스를 받기 위해 먼저 USDT를 입금해서는 안 된다.

복구 구문 또는 개인키 유출: 아직 통제 가능한 자산을 이전한다

공격자가 자체 보관형 지갑의 복구 구문이나 개인키를 확보했다면 해당 지갑의 통제권이 위협받고 있는 것으로 간주해야 한다.

신뢰할 수 있는 기기와 안전한 환경에서 완전히 새로운 키를 사용하는 지갑을 생성하고, 아직 공격자가 이전하지 않은 자산을 새 지갑으로 옮길 수 있는지 신속하게 확인해야 한다.

공격자 역시 동시에 자산 이전을 시도할 수 있으므로 빠른 대응이 중요하다. 그러나 자산 이전의 성공이 보장되는 것은 아니다. 구체적인 조치는 지갑 유형, 블록체인 네트워크, 자산 통제 조건에 따라서도 달라진다.

유출된 복구 구문을 다른 지갑 앱에 가져온다고 해서 위험이 해소되지는 않는다. 카드를 동결하거나 재발급받고 일반적인 토큰 승인을 철회하더라도 이미 유출된 개인키를 무효화할 수는 없다.

악성 승인: 온체인 권한을 확인하고 철회한다

피싱 사이트에서 Token Approval에 서명한 것으로 의심된다면 해당 블록체인 네트워크에 기록된 토큰 승인 내역을 확인해야 한다.

토큰 승인과 개인키 유출은 서로 다른 보안 문제다. 의심스러운 승인을 했다고 해서 복구 구문이나 개인키까지 유출됐다는 뜻은 아니다. 영향을 받은 모든 사용자가 반드시 즉시 새 지갑을 만들어야 하는 것도 아니다.

MetaMask의 토큰 승인 관리 안내는 토큰 사용 한도를 확인하고 철회하는 방법을 설명한다. 승인 철회에는 일반적으로 온체인 거래 제출과 해당 네트워크 수수료 납부가 필요하다.

지갑과 웹사이트의 연결을 해제하는 것은 이미 효력이 발생한 온체인 승인을 철회하는 것과 다르다.

신뢰할 수 있는 승인 관리 도구를 이용해 승인 대상, 토큰, 한도, 네트워크를 확인하고 안전한 조건에서 의심스러운 권한을 철회해야 한다. 구체적인 철회 방식은 블록체인 네트워크, 토큰 컨트랙트, 지갑 또는 스마트 컨트랙트 계정의 지원 기능에 따라 달라진다.

승인을 철회하면 이후의 권한 사용을 제한할 수 있지만 이미 이전된 자산이 자동으로 회수되지는 않는다. 개인키나 복구 구문도 유출된 것으로 확인된다면 키 유출 사고에 대한 대응을 별도로 진행해야 한다.

7. 카드 부정 사용과 온체인 자산 손실은 각각 어떻게 이의를 제기하고 회수할 수 있는가?

암호화폐 결제카드에는 카드 네트워크 거래와 암호자산 이전이라는 두 가지 서로 다른 거래 체계가 관여한다. 환불 가능 여부, 처리 주체, 적용 규정은 손실이 발생한 구체적인 단계에 따라 달라진다.

무단 카드 거래: 카드 발급사에 분쟁을 제기한다

카드 네트워크를 통해 처리된 무단 거래에 대해서는 카드 소지자가 분쟁 처리 절차 및 책임 보호를 받을 수 있다. 다만 모든 암호화폐 결제카드에 동일한 정책이 적용되는 것은 아니다.

Visa의 Zero Liability Policy는 일정한 요건을 충족한 카드 소지자가 무단 거래에 대한 책임을 지지 않도록 규정한다.

이 정책은 일부 기업용 카드, 익명 선불카드 거래, Visa 네트워크를 통해 처리되지 않은 거래에는 적용되지 않는다. 카드 소지자는 카드를 적절히 보호하고 무단 사용을 신속히 발급사에 신고해야 한다. 실제 보상 여부는 조사 결과, 신고의 적시성, 기타 적용 조건에 따라 달라질 수 있다.

Mastercard의 Zero Liability Protection 역시 유사한 보호를 제공하며, 카드의 적절한 관리와 분실 또는 무단 거래의 신속한 신고를 요구한다. 일부 기업용 카드와 등록되지 않은 선불카드는 보장 대상에서 제외된다.

암호화폐 결제카드의 경우 Visa 또는 Mastercard 로고가 있다는 사실만으로 모든 잔액과 거래가 이러한 보호를 받는다고 판단할 수 없다. 실제 발급사, 카드 유형, 카드 소지자 약관, 발급 국가 및 지역을 함께 확인해야 한다.

현지 법률이 추가적인 보호를 제공할 수도 있다. 예를 들어 미국 소비자금융보호국(CFPB)은 선불카드 무단 거래 안내에서 등록된 선불카드와 일부 특정 유형의 선불카드에 미국 연방법상 오류 해결 권리가 인정될 수 있다고 설명한다. 구체적인 보호는 카드와 계정의 조건에 따라 판단해야 하며 다른 국가에도 그대로 적용된다고 볼 수는 없다.

부정 사용 분쟁과 일반적인 가맹점 환불은 어떻게 다른가?

일반적인 가맹점 환불은 주문 취소, 미배송 상품, 서비스 문제 등 사용자가 승인한 거래와 관련되는 경우가 많다.

반면 부정 사용 분쟁은 카드 소지자가 해당 거래를 승인했는지에 초점을 맞춘다. 일반적으로 카드 발급사가 사기 조사 및 분쟁 처리 절차에 따라 처리한다.

카드 거래 분쟁의 Chargeback(차지백)은 카드 네트워크 규정에 따라 요건을 충족한 거래 분쟁을 처리하는 제도다. 모든 결제를 조건 없이 취소할 수 있다는 의미는 아니다. 카드 네트워크의 분쟁 규정, 발급사의 카드 소지자 약관, 적용되는 소비자보호법은 서로 다른 역할을 하며 상호 대체할 수 없다.

Coinbase Card의 공식 분쟁 처리 안내는 승인된 거래와 무단 거래의 처리 경로를 구분하고 각각의 분쟁 신청 방법을 설명한다.

사용자는 거래 경위를 사실대로 설명해야 하며 본인이 명시적으로 승인한 구매를 부정 사용으로 허위 신고해서는 안 된다. 다만 가맹점에 카드 정보를 제공했다는 사실이 언제든 임의의 금액을 청구하도록 허용했다는 뜻은 아니다. 유효한 승인이 있었는지는 거래 사실관계와 약관에 따라 판단해야 한다.

온체인 송금: 거래 추적이 가능하다고 해서 자금 회수가 보장되지는 않는다

사용자가 사기범의 지시에 따라 특정 지갑 주소로 USDT를 보냈다면 이는 온체인 송금이다. 이 거래가 암호화폐 결제카드와 관련되어 있다는 이유만으로 Visa나 Mastercard의 차지백 절차를 통해 회수할 수는 없다.

블록체인에서 이미 확정된 거래는 일반적으로 송금자가 일방적으로 취소할 수 없다.

FTC는 사기 피해 후 대응 안내에서 암호화폐 결제 사기를 당했다면 관련 거래 플랫폼이나 서비스 제공업체에 최대한 빨리 연락해 사기를 신고하고 가능한 구제 조치가 있는지 문의하도록 권고한다.

자금이 중앙화 플랫폼이 실질적으로 통제하는 계정으로 들어갔다면 해당 플랫폼이나 법 집행기관이 추가 조치를 취할 수 있는 경우가 있다. 반면 자금이 그 통제 범위를 벗어났다면 회수 난이도가 크게 높아질 수 있다.

트랜잭션 해시와 주소를 이용하면 자금의 이동 경로를 추적할 수 있다. 그러나 특정 주소를 찾았다고 해서 실제 통제자를 확인한 것은 아니며 자산을 동결하거나 회수할 권한이 생기는 것도 아니다.

8. 증거를 어떻게 보존하고 2차 사기를 예방할 수 있는가?

거래 및 계정 보안 기록을 보존한다

무단 거래를 발견하면 사건 경위를 확인할 수 있는 원본 자료를 보존해야 한다.

원본 증거를 보관할 때는 개인정보 보호에도 주의해야 한다. 고객센터에 스크린샷을 제출할 경우 민감 정보를 가린 사본을 사용할 수 있지만, 일반 채팅 첨부파일로 전체 카드번호, CVV, OTP, 계정 비밀번호, 복구 구문 또는 개인키를 보내서는 안 된다.

신분증을 업로드해야 한다면 독립적으로 진위를 확인한 공식 보안 제출 채널을 이용해야 한다.

자금 회수 기관을 사칭하는 2차 사기에 주의한다

사용자가 자금 손실을 공개적으로 알린 뒤 사기범이 변호사, 블록체인 조사기관, 규제기관, 자금 회수팀 등을 사칭해 다시 연락할 수 있다.

이들은 도난당한 USDT를 추적했다고 주장하면서 세금, 확인 수수료, 처리 수수료, 컨트랙트 활성화 비용 등을 먼저 납부하라고 요구할 수 있다.

FTC는 2026년 8월 발표한 자금 회수 사기 주의보에서 이러한 사기가 이미 금전적 손실을 겪은 사람을 집중적으로 노리며 정부기관, 법률사무소, 기타 기관을 사칭해 비용과 개인 금융정보를 요구한다고 지적했다.

정상적인 법률 대리 서비스와 블록체인 조사 서비스도 합리적인 수수료를 청구할 수 있다. 하지만 지갑 추적 화면, 이른바 성공 사례, 규제 관련 문서만으로 상대방에게 실제 자금 회수 능력이 있다고 입증되는 것은 아니다.

특히 먼저 연락해 '자금 해제 수수료'의 선납을 요구하는 낯선 기관은 각별히 경계해야 한다.

범죄가 의심되는 사건은 해당 관할권의 경찰이나 관계 기관에 신고할 수 있다. 미국 사용자는 FTC의 ReportFraud.gov에서 사기를 신고할 수 있으며, 다른 지역의 사용자는 현지 공식 신고 절차를 따라야 한다.

신고는 사건 기록을 남기고 조사 단서를 제공하는 데 도움이 되지만 자금 회수를 보장하지는 않는다.

9. 암호화폐 결제카드 보안 점검 및 위험 대응표

암호화폐 결제카드를 일상적으로 안전하게 사용하려면 상품의 자금 구조를 고려해야 한다.

선불 잔액형 카드라면 소비 수요에 따라 사용 가능 잔액을 관리하고 평소 지출을 크게 웃도는 금액을 장기간 결제 가능 상태로 보관하지 않는 것이 좋다. 상품이 거래 한도, 온라인 결제 설정, 임시 카드 잠금 기능을 제공한다면 실제 사용 상황에 맞춰 조정할 수 있다.

가상카드로 구독 요금을 결제할 때는 카드 정보를 저장한 가맹점을 정기적으로 확인해야 한다. 더 이상 이용하지 않는 서비스는 해당 가맹점의 공식 절차에 따라 구독을 해지해야 한다. 카드를 삭제하거나 잠그더라도 기존 계약과 결제 의무가 반드시 종료되는 것은 아니다.

지갑 연동형 상품의 경우 스마트 컨트랙트 승인 대상과 승인 한도를 정기적으로 확인하고 불필요하게 높은 권한을 장기간 유지하지 않아야 한다.

공식 앱, 운영체제, 인증 수단의 보안 상태도 유지해야 한다. 거래 알림과 다중 인증은 이상 징후를 발견하고 계정 탈취 위험을 낮추는 데 도움이 되지만 결제, 서명, 승인 내용을 직접 검토하는 과정을 대신할 수는 없다.

다음 표는 이상 징후를 발견했을 때 초기 대응을 판단하는 데 활용할 수 있다.

사건의 경위가 아직 밝혀지지 않았다면 먼저 여전히 통제할 수 있는 계정과 자산을 보호해야 한다. 추가 입금을 하지 말고 신원이 확인되지 않은 '보안 고객센터'의 지시에 따라 새로운 송금이나 지갑 승인을 진행해서도 안 된다.