메타마스크처럼 브라우저에서 사용하는 암호화폐 지갑은 설치와 사용이 간편하고 DeFi, NFT, DEX 등 다양한 서비스와 연결하기 쉽다는 장점이 있습니다.

하지만 브라우저 지갑은 가짜 확장프로그램, 피싱 사이트, 과도한 브라우저 권한, 악성 업데이트 등을 특히 주의해야 합니다.

실제로 가짜 암호화폐 지갑 확장프로그램은 정상 지갑과 비슷한 이름과 아이콘을 사용하고, 높은 평점이나 가짜 리뷰까지 만들어 사용자가 공식 프로그램이라고 착각하게 만드는 경우가 있습니다. Ledger 역시 가짜 브라우저 확장프로그램이 유명 지갑과 거래소를 모방해 개인키나 로그인 정보를 탈취할 수 있다고 경고하고 있습니다.

따라서 암호화폐 지갑 확장프로그램은 검색 결과에서 바로 설치하기보다

공식 홈페이지 확인 → 공식 스토어 이동 → 개발자 확인 → 권한 확인 → 설치 → 시드문구 보호 → 소액 테스트

순서로 접근하는 것이 좋습니다.

1. 검색창에서 지갑 이름을 검색해 바로 설치하지 않는다

예를 들어 MetaMask를 설치한다고 하겠습니다.

검색엔진에서

MetaMask extension

이라고 검색하면 공식 사이트뿐 아니라 광고나 유사 사이트가 함께 나타날 수 있습니다.

가장 안전한 방법은 먼저 프로젝트의 공식 홈페이지 주소를 확인한 뒤 공식 홈페이지에서 제공하는 브라우저 확장프로그램 링크를 통해 스토어로 이동하는 것입니다.

MetaMask 역시 공식 설치 안내에서 먼저 공식 홈페이지인 metamask.com으로 접속한 뒤 Chrome Web Store 등으로 이동하도록 안내합니다.

MetaMask 공식 홈페이지:

https://metamask.com

MetaMask 공식 설치 안내:

https://support.metamask.io/ko/start/getting-started-with-metamask

이 원칙은 다른 지갑에서도 동일하게 적용할 수 있습니다.

검색 결과 → 확장프로그램 설치

보다는

공식 프로젝트 홈페이지 → 공식 다운로드 링크 → 브라우저 스토어

순서가 좋습니다.

2. Chrome Web Store에 있다고 무조건 안전한 것은 아니다

많은 사용자가

“Chrome Web Store에 올라와 있으니 안전하겠지.”

라고 생각합니다.

하지만 스토어에 등록돼 있다는 사실만으로 해당 프로그램이 공식 지갑이라는 것을 보장한다고 생각해서는 안 됩니다.

Trezor도 타사 지갑을 사용할 때 가짜 지갑 확장프로그램이 자산을 탈취하는 데 이용될 수 있기 때문에 해당 지갑의 공식 사이트 또는 공식 사이트에서 연결된 스토어 페이지를 통해 설치하도록 안내하고 있습니다.

따라서 스토어 검색창에 지갑 이름을 입력해 가장 위에 나오는 프로그램을 설치하는 방식은 피하는 편이 좋습니다.

3. 확장프로그램 이름만 보지 않는다

가짜 프로그램은 정상 지갑과 거의 같은 이름을 사용할 수 있습니다.

예를 들어 실제 이름이

Example Wallet

이라면 가짜 프로그램은

Example Wallet Official

Example Crypto Wallet

Example Wallet Pro

처럼 만들 수 있습니다.

아이콘과 설명까지 거의 똑같이 복사할 수도 있습니다.

따라서 이름과 로고만 보고 판단하지 말고 다음 항목을 함께 확인합니다.

• 공식 홈페이지에서 연결된 페이지인가
• 개발자 정보가 일치하는가
• 공식 문서에 설치 링크가 있는가
• 확장프로그램의 홈페이지 링크가 공식 도메인인가
• 개인정보처리방침이나 지원 페이지의 도메인이 정상인가

가장 중요한 것은 공식 사이트에서 해당 스토어 페이지를 직접 연결하고 있는지 확인하는 것입니다.

4. 개발자 정보를 확인한다

Chrome Web Store나 Firefox Add-ons 등에서는 확장프로그램을 제공한 개발자 정보를 확인할 수 있습니다.

여기에서

프로젝트명,

회사명,

개발자 이메일,

공식 홈페이지

등이 실제 프로젝트와 연결되는지 확인합니다.

다만 개발자 이름만 보고 100% 안전하다고 판단해서는 안 됩니다.

공격자가 비슷한 개발자 이름을 사용할 수도 있기 때문입니다.

따라서

개발자 정보 + 공식 홈페이지 링크 + 공식 문서

를 함께 확인하는 것이 좋습니다.

5. 설치 전 요청 권한을 반드시 읽는다

브라우저 확장프로그램을 설치하면 해당 프로그램이 요구하는 권한이 표시됩니다.

Google은 확장프로그램이 설치 또는 업데이트될 때 웹사이트 데이터, 브라우징 활동, 복사·붙여넣기 데이터 등에 접근하는 권한을 요청할 수 있다고 설명하고 있습니다.

Google 공식 확장프로그램 권한 안내:

https://support.google.com/chrome_webstore/answer/186213

특히 확인해야 할 권한은 다음과 같습니다.

권한	확인할 이유
방문한 웹사이트 데이터 읽기·변경	웹페이지 내용을 읽거나 수정할 수 있음
클립보드 접근	복사한 지갑주소 등에 접근 가능
탭 및 브라우징 활동	방문 사이트 정보 확인 가능
다운로드 관리	파일 다운로드 관련 기능 접근
모든 사이트 접근	광범위한 웹사이트 접근 가능

다만 권한이 많다고 해서 악성 확장프로그램이라는 의미는 아닙니다.

암호화폐 지갑은 dApp과 연결하기 위해 웹페이지와 상호작용해야 하므로 상당한 권한이 필요할 수 있습니다.

중요한 것은

“이 지갑 기능을 수행하는 데 이 권한이 정말 필요한가?”

를 확인하는 것입니다.

6. ‘모든 웹사이트의 데이터를 읽고 변경’ 권한은 특히 확인한다

Chrome 확장프로그램은 경우에 따라

방문하는 모든 웹사이트의 데이터를 읽고 변경

할 수 있는 권한을 요구할 수 있습니다.

Google은 이러한 권한이 확장프로그램으로 하여금 사용자가 방문하는 페이지의 데이터를 읽거나 요청하고 변경할 수 있게 한다고 설명합니다.

따라서 암호화폐 지갑 외에 일반적인 브라우저 확장프로그램이 이러한 광범위한 권한을 요구한다면 필요성을 확인합니다.

Chrome에서는 설치 후에도 사이트 접근 범위를

• 확장프로그램을 클릭할 때
• 특정 사이트에서
• 모든 사이트에서

등으로 조절할 수 있는 경우가 있습니다.

Google 공식 안내:

https://support.google.com/chrome/answer/2664769

7. 사용자 수와 평점만 믿지 않는다

확장프로그램을 선택할 때

설치자 100만 명

평점 4.8

리뷰 수천 개

와 같은 정보를 확인하는 것은 도움이 됩니다.

하지만 이것만으로 공식 지갑이라고 판단해서는 안 됩니다.

가짜 프로그램도

높은 별점,

가짜 리뷰,

정상 프로그램과 비슷한 설명

을 이용할 수 있습니다.

Ledger는 과거 발견된 가짜 지갑 확장프로그램들이 정상 프로그램의 브랜드와 설명을 모방하고 다수의 높은 평점 리뷰까지 사용했다고 설명합니다.

따라서 평가 점수는 보조자료일 뿐 공식 여부를 확인하는 기준으로 사용해서는 안 됩니다.

8. 설치 파일을 별도로 다운로드하라는 사이트는 주의한다

일반 사용자라면 브라우저 지갑 확장프로그램을

ZIP 파일,

CRX 파일,

압축파일

형태로 다운로드해 수동으로 설치하는 방식은 가급적 피하는 것이 좋습니다.

MetaMask도 일반 사용자에게 공식 브라우저 확장프로그램 스토어를 통한 설치를 강하게 권장하고 있습니다.

공식 스토어를 이용하면 자동 업데이트와 브라우저의 무결성·서명 검사 등의 보호 기능을 받을 수 있지만 수동 설치에서는 일부 보호 기능을 잃을 수 있다고 설명합니다.

MetaMask 공식 안내:

https://support.metamask.io/hc/en-us/articles/360015489471

특별한 개발 목적이 없다면

공식 스토어 설치 방식을 우선

하는 것이 좋습니다.

9. 오래된 버전을 일부러 설치하지 않는다

인터넷에서

“이 버전이 더 빠르다.”

“예전 버전이 더 안정적이다.”

라는 이유로 구버전 지갑 확장프로그램을 내려받는 경우가 있습니다.

하지만 오래된 버전에는 이후 발견된 보안 취약점이 수정되지 않았을 수 있습니다.

MetaMask 역시 수동으로 과거 버전을 설치할 경우 중요한 보안 업데이트가 빠져 있을 수 있다고 경고합니다.

따라서 특별한 이유가 없다면 공식 스토어에서 제공하는 최신 정식 버전을 사용하는 것이 좋습니다.

10. 설치 과정에서 시드문구를 요구하는 상황을 구분한다

암호화폐 지갑 설치 후

새 지갑 생성

또는

기존 지갑 가져오기

과정에서 복구문구를 사용하는 경우가 있습니다.

따라서 시드문구 입력 화면이 나타난다는 사실만으로 가짜 지갑이라고 단정할 수는 없습니다.

중요한 것은 내가 실제로

기존 지갑을 복구하려고 의도적으로 선택했는가

입니다.

예를 들어 새 지갑을 만들고 있는데 갑자기 기존 지갑의 시드문구를 입력하라고 요구하거나

보안 업데이트,

본인 인증,

에어드롭 지급,

계정 동기화

등을 이유로 시드문구를 요구한다면 즉시 중단해야 합니다.

MetaMask도 가짜 복제 지갑이 사용자의 Secret Recovery Phrase를 탈취하도록 만들어질 수 있기 때문에 공식 경로에서만 프로그램을 설치하도록 경고하고 있습니다.

11. 하드웨어 지갑을 사용한다면 Seed Phrase를 브라우저 지갑에 입력하지 않는다

Ledger나 Trezor 같은 하드웨어 지갑을 브라우저 지갑과 연결할 때 특히 중요한 부분입니다.

하드웨어 지갑 계정을 연결하기 위해 하드웨어 지갑의 Seed Phrase를 MetaMask 같은 브라우저 지갑에 직접 입력해서는 안 됩니다.

정상적인 연결에서는

Connect Hardware Wallet

등의 기능을 이용해 하드웨어 지갑을 연결합니다.

Trezor 역시 MetaMask나 Rabby 같은 타사 지갑을 이용할 때 하드웨어 지갑을 별도로 연결하는 방식을 안내하고 있습니다.

Trezor와 MetaMask 연결 공식 안내:

https://trezor.io/guides/third-party-wallet-apps/ethereum-evm-apps/connect-meta-mask-to-your-trezor

핵심 원칙은 간단합니다.

하드웨어 지갑 Seed Phrase는 브라우저에 입력하지 않는다.

12. 다른 확장프로그램도 함께 정리한다

암호화폐 지갑만 공식 프로그램이라고 해서 브라우저 전체가 안전해지는 것은 아닙니다.

같은 브라우저에 설치된 다른 확장프로그램도 웹페이지나 클립보드 정보에 접근할 수 있기 때문입니다.

특히 다음 종류의 확장프로그램을 점검합니다.

무료 VPN

쿠폰 자동검색

파일 다운로드 프로그램

영상 다운로드 프로그램

알 수 없는 광고 차단 프로그램

무료 번역 프로그램

설치한 기억이 없는 확장프로그램

오래 사용하지 않는 프로그램

Chrome에서는

Chrome 메뉴

→ 확장 프로그램

→ 확장 프로그램 관리

에서 현재 설치된 프로그램을 확인할 수 있습니다.

Google 공식 안내:

https://support.google.com/chrome/answer/2664769

암호화폐를 관리하는 브라우저에서는 사용하지 않는 확장프로그램을 최소화하는 것이 좋습니다.

13. 암호화폐 전용 브라우저 프로필을 만드는 것도 방법이다

자산 규모가 크다면 일반 웹서핑과 암호화폐 이용 환경을 분리할 수 있습니다.

예를 들어 Chrome에

일반용 프로필

과

암호화폐 전용 프로필

을 별도로 만듭니다.

암호화폐용 프로필에는

지갑 확장프로그램

정말 필요한 보안 확장프로그램

정도만 설치합니다.

반대로

쇼핑,

스트리밍,

불법 다운로드,

알 수 없는 웹사이트 방문

등은 일반 프로필에서 사용하는 방식입니다.

이렇게 하면 암호화폐 지갑과 불필요한 확장프로그램이 함께 동작하는 상황을 줄일 수 있습니다.

14. Chrome의 향상된 보호 기능도 활용할 수 있다

Chrome은 Safe Browsing의 향상된 보호(Enhanced Protection) 기능을 제공합니다.

Google은 향상된 보호가 활성화된 경우 새 확장프로그램을 설치할 때 신뢰되지 않는 확장프로그램에 대한 경고를 표시할 수 있다고 설명합니다.

Google 공식 안내:

https://support.google.com/chrome/answer/2664769

다만 브라우저에서 경고가 나오지 않았다고 해서 해당 암호화폐 지갑이 100% 안전하다는 의미는 아닙니다.

공식 설치 경로 확인을 별도로 해야 합니다.

15. 공식 홈페이지 주소도 반드시 다시 확인한다

가짜 확장프로그램을 피하기 위해 공식 홈페이지를 확인한다고 해도 그 홈페이지 자체가 피싱 사이트라면 문제가 해결되지 않습니다.

따라서 도메인을 정확하게 확인해야 합니다.

예를 들어

metamask.com

과 매우 비슷하게

철자 하나를 바꾸거나,

하이픈을 추가하거나,

다른 도메인 확장자를 사용하는 방식

등이 사용될 수 있습니다.

Trezor도 피싱 사이트가 정상 사이트와 비슷한 도메인을 사용해 사용자를 속이는 Domain Squatting 위험을 경고하고 있습니다.

Trezor 피싱 보안 안내:

https://trezor.io/blog/security/phishing-attacks-and-how-to-keep-your-crypto-safe

16. 광고로 표시되는 검색결과를 바로 클릭하지 않는다

암호화폐 프로젝트 이름을 검색하면 검색 결과 상단에 광고가 나타날 수 있습니다.

광고라고 해서 모두 위험한 것은 아니지만 공격자가 유명 암호화폐 프로젝트를 사칭한 사이트를 광고로 노출할 수도 있습니다.

따라서 검색 결과의 위치보다

정확한 도메인

을 확인하는 습관이 중요합니다.

자주 사용하는 지갑의 공식 홈페이지는 정상 여부를 확인한 뒤 북마크해두는 방법도 있습니다.

17. 설치 직후 큰 금액을 바로 넣지 않는다

공식 확장프로그램이라는 것을 확인하고 설치했더라도 처음부터 큰 금액을 이동할 필요는 없습니다.

처음에는 작은 금액으로

지갑주소 생성,

입금,

네트워크 연결,

전송,

하드웨어 지갑 연결

등이 정상적으로 작동하는지 확인합니다.

특히 거래를 전송할 때는

받는 주소

네트워크

금액

스마트컨트랙트 요청내용

을 확인합니다.

18. 지갑 연결과 거래 승인을 구분한다

브라우저 지갑을 사용하면 dApp에서

Connect Wallet

요청이 자주 나타납니다.

지갑을 연결하는 것과 실제 거래를 승인하는 것은 서로 다른 단계입니다.

하지만 연결 이후

토큰 승인,

서명,

스마트컨트랙트 실행

등의 추가 요청이 나타날 수 있습니다.

따라서 지갑 확장프로그램이 공식이라고 해도 연결하는 웹사이트까지 안전하다는 의미는 아닙니다.

지갑 설치 보안과 dApp 보안은 별도로 확인해야 합니다.

19. 업데이트 후 권한이 변경됐다면 다시 확인한다

Chrome 확장프로그램은 업데이트 과정에서 새로운 권한을 요구할 수 있습니다.

Google은 확장프로그램 설치나 업데이트 시 새로운 데이터 접근 권한에 대한 경고가 표시될 수 있다고 안내하고 있습니다.

따라서 평소 사용하던 지갑이라도 갑자기 이전과 다른 권한을 요구한다면 무조건 허용하기보다

공식 업데이트인지,

공식 홈페이지에 변경 안내가 있는지,

왜 새로운 권한이 필요한지

확인하는 것이 좋습니다.

설치 전에 확인할 10가지

확인 항목	확인
공식 홈페이지 주소 확인	□
공식 홈페이지에서 스토어 이동	□
확장프로그램 이름 확인	□
개발자 정보 확인	□
공식 도메인 연결 확인	□
요청 권한 확인	□
수동 설치 파일 사용하지 않음	□
구버전 설치하지 않음	□
다른 불필요한 확장프로그램 정리	□
Seed Phrase 입력 상황 확인	□

특히 피해야 할 행동 6가지

1. 검색 결과 가장 위에 나온 프로그램을 바로 설치한다

검색 순위는 공식 여부를 보장하지 않습니다.

2. 설치자 수와 별점만 확인한다

높은 평점이나 많은 리뷰도 조작될 수 있으므로 공식 출처 확인이 우선입니다.

3. SNS 댓글에 있는 설치 링크를 클릭한다

Telegram, Discord, X 등의 댓글이나 개인 메시지로 전달된 지갑 설치 링크는 사용하지 않는 것이 좋습니다.

4. ZIP이나 CRX 파일로 받은 지갑을 설치한다

일반 사용자라면 공식 브라우저 스토어를 이용하는 편이 좋습니다.

5. 하드웨어 지갑의 Seed Phrase를 입력한다

하드웨어 지갑을 브라우저 지갑과 연결할 때 복구문구를 브라우저에 입력해서는 안 됩니다.

6. 설치 후 즉시 큰 금액을 전송한다

처음에는 소액으로 정상 작동 여부를 확인하는 것이 좋습니다.

공식 지갑인지 판단하는 가장 안전한 순서

암호화폐 지갑 확장프로그램을 설치하려고 한다면 다음 순서를 기준으로 하면 됩니다.

1. 프로젝트 공식 홈페이지 주소 확인

↓

2. 공식 홈페이지 접속

↓

3. 공식 다운로드 메뉴 선택

↓

4. 공식 홈페이지가 연결한 Chrome·Firefox·Edge 스토어 이동

↓

5. 확장프로그램 개발자 확인

↓

6. 요청 권한 확인

↓

7. 확장프로그램 설치

↓

8. Seed Phrase 관련 화면 확인

↓

9. 필요 없는 다른 확장프로그램 제거

↓

10. 소액으로 정상 작동 확인

이 절차를 습관화하면 이름과 로고만 보고 가짜 지갑을 설치하는 위험을 상당히 줄일 수 있습니다.

결론

암호화폐 지갑용 브라우저 확장프로그램에서 가장 중요한 것은 어디에서 설치했는가입니다.

Chrome Web Store에 있다는 사실,

많은 사람이 설치했다는 사실,

평점이 높다는 사실

만으로 공식 지갑이라고 판단해서는 안 됩니다.

가장 중요한 설치 원칙은

공식 프로젝트 홈페이지를 먼저 확인하고 그 홈페이지에서 연결된 공식 브라우저 스토어를 통해 설치하는 것

입니다.

그다음

개발자,

권한,

도메인,

업데이트 방식

을 확인합니다.

특히 하드웨어 지갑 사용자라면 Seed Phrase를 브라우저 지갑에 입력하지 않는 것이 중요합니다.

공식 참고자료

Google Chrome 확장프로그램 설치 및 권한 관리:

https://support.google.com/chrome/answer/2664769

Google Chrome 확장프로그램 권한 설명:

https://support.google.com/chrome_webstore/answer/186213

MetaMask 공식 홈페이지:

https://metamask.com

MetaMask 공식 설치 안내:

https://support.metamask.io/ko/start/getting-started-with-metamask

MetaMask 수동 설치 및 공식 스토어 사용 안내:

https://support.metamask.io/hc/en-us/articles/360015489471

Trezor 피싱 및 가짜 프로그램 보안 안내:

https://trezor.io/blog/security/phishing-attacks-and-how-to-keep-your-crypto-safe

Trezor와 MetaMask 연결 공식 안내:

https://trezor.io/guides/third-party-wallet-apps/ethereum-evm-apps/connect-meta-mask-to-your-trezor

Trezor와 Rabby Wallet 연결 안내:

https://trezor.io/guides/third-party-wallet-apps/ethereum-evm-apps/connect-rabby-wallet-to-your-trezor

암호화폐 지갑 확장프로그램을 설치하기 전에 마지막으로 한 가지 질문을 해보면 좋습니다.

“지금 보고 있는 이 확장프로그램 페이지에 내가 검색해서 들어온 것인가, 아니면 공식 지갑 홈페이지가 직접 연결해 준 페이지인가?”

후자라면 가짜 확장프로그램을 설치할 가능성을 줄이는 데 훨씬 도움이 됩니다.

※ 이 글은 암호화폐 브라우저 지갑을 안전하게 설치하기 위한 일반적인 보안정보입니다. 공식 스토어와 보안기능을 이용하더라도 모든 악성 프로그램이나 피싱을 완전히 차단할 수 있는 것은 아닙니다. 중요한 자산을 관리할 때는 하드웨어 지갑 사용, Seed Phrase 오프라인 보관, 거래 전 주소와 서명내용 확인 등 여러 보안수단을 함께 사용하는 것이 좋습니다.