검색 엔진에서 "Binance"를 검색할 때 나타나는 상위 10개 결과 중 3~4개는 피싱 웹사이트일 수 있습니다. 이러한 가짜 웹사이트는 공식 웹사이트와 외관이 거의 동일하여 계정과 비밀번호를 입력하면 즉시 정보가 탈취될 수 있습니다. 본 문서에서는 Binance 웹사이트의 진위를 구별하는 5가지 객관적인 방법을 제시하며, 이를 통해 30초 내에 링크의 진위를 판별할 수 있습니다. 공식 클라이언트를 다운로드하려면 직접 Binance 공식 웹사이트에 접속하고, 모바일 환경에서는 Binance 공식 APP을 사용하시기 바랍니다. iPhone 사용자는 iOS 설치 튜토리얼을 참고하여 설치를 완료할 수 있습니다.
Binance 공식 도메인 목록
다음의 허용 목록(White list)을 확인하시기 바랍니다:
| 용도 | 공식 도메인 |
|---|---|
| 글로벌 메인 사이트 | binance.com |
| 미국 사이트 | binance.us |
| 일본 사이트 | binance.co.jp |
| 싱가포르 사이트 | binance.sg (과거 사용, 현재 이전됨) |
| 콘텐츠 커뮤니티 | academy.binance.com |
| 공식 블로그 | blog.binance.com |
| Binance 스마트 체인 익스플로러 | bscscan.com |
| 공식 이메일 도메인 | @binance.com / @post.binance.com |
위 목록 외에 "binance"라는 단어가 포함된 도메인은 모두 모방 웹사이트일 가능성이 높으며, 다음을 포함하되 이에 국한되지 않습니다:
- binance-cn.com
- binancee.com
- binance-login.com
- binance-app.net
- binance.vip
- binance.io
- web-binance.com
- my-binance.com
- binance-pro.com
피싱 웹사이트의 5가지 일반적인 유형
유형 1: 문자 대체
binance의 문자를 형태가 유사한 문자로 대체합니다:
- binance.com (i를 튀르키예어 점 없는 ı로 대체)
- blnance.com (i를 l로 대체)
- binance.co (.co는 .com이 아님)
- binance.com (n을 ŋ 또는 그리스 문자로 대체)
이러한 "동형이의어 공격(IDN homograph)"은 브라우저 주소창에서 육안으로 차이를 식별하기 매우 어렵습니다.
유형 2: 하위 도메인 혼동
- binance.com.fakesite.com
- login.binance.scamdomain.net
- secure-binance.phishing.xyz
메인 도메인은 항상 가장 오른쪽에 있는 두 부분입니다. 예를 들어 "xxx.binance.com"의 메인 도메인은 binance.com이고, "binance.xxx.com"의 메인 도메인은 xxx.com이므로 이는 가짜 웹사이트입니다.
유형 3: 광고 영역 하이재킹
검색 엔진에서 "Binance" 키워드 광고를 게재하여 공식 웹사이트보다 높은 순위를 차지하는 방식입니다. 클릭하면 UI가 완전히 복제되어 있으나 주소창의 도메인은 가짜입니다.
Google, Bing 등의 검색 결과 첫 번째 항목이 피싱 광고인 경우가 자주 발생합니다.
유형 4: QR 코드 대체
소셜 미디어 그룹(예: WeChat, Telegram)에 "Binance 다운로드" QR 코드를 배포하며, 스캔 시 피싱 웹사이트나 악성 APK로 연결됩니다.
유형 5: 이메일 링크 피싱
Binance를 사칭하여 "계정 이상 발생", "KYC 심사 대기 중", "출금 거부" 등의 제목으로 이메일을 발송하며, 내부 링크는 피싱 웹사이트로 연결됩니다.
진위 판별을 위한 5가지 방법
방법 1: 링크 클릭 대신 도메인 직접 입력
항상 브라우저 주소창에 직접 binance.com을 입력하는 습관을 들이고, 검색 결과, 이메일, 채팅, QR 코드 등을 통해 접속하지 않는 것을 권장합니다.
방법 2: 공식 웹사이트를 북마크에 저장
처음 공식 웹사이트임을 확인한 후 즉시 북마크에 추가합니다. 이후 접속 시마다 검색 엔진을 거치지 않고 북마크를 통해 접속합니다.
방법 3: SSL 인증서 확인
주소창 왼쪽의 자물쇠 아이콘을 클릭하여 인증서 발급 대상을 확인합니다:
- 진짜 공식 웹사이트의 인증서 발급 대상은
Binance Holdings Limited또는*.binance.com이며, DigiCert / GlobalSign 등 신뢰할 수 있는 CA에서 발급합니다. - 가짜 웹사이트는 대부분 무료 Let's Encrypt를 사용하며, 발급 대상이 단순한 도메인 문자열입니다.
무료 인증서가 반드시 가짜 웹사이트를 의미하는 것은 아니지만, 진짜 Binance는 유료 EV 또는 OV 인증서를 사용합니다.
방법 4: 안티 피싱 코드 확인
이것은 가장 확실한 방법입니다. Binance에서 안티 피싱 코드(Anti-Phishing Code)를 설정한 경우, 모든 진짜 Binance 이메일에는 해당 코드가 자동으로 포함됩니다.
- 이메일에 안티 피싱 코드가 없음 → 피싱
- 안티 피싱 코드가 틀림 → 피싱
- 안티 피싱 코드가 맞음 → 진짜
안티 피싱 코드를 설정하지 않은 사용자는 보안 센터 → Anti-Phishing Code에서 즉시 설정하시기 바랍니다.
방법 5: QR 코드 역검증
Binance 공식 APP 다운로드 페이지에는 동적 QR 코드가 있으며, 새로고침할 때마다 변경됩니다. 여러 커뮤니티에 동일한 정적 이미지 형태의 QR 코드가 반복적으로 나타난다면 100% 피싱입니다.
모바일 환경에서 가짜 APP 식별 방법
가짜 Binance APP은 주로 다음 경로를 통해 유포됩니다:
- 소셜 미디어 그룹 내의 "Binance 최신 버전" 설치 링크
- 가짜 웹사이트에서 유도하는 APK 다운로드
- 제3자 애플리케이션 마켓의 모방 APP
- "Binance"라는 단어가 포함된 "Binance Pro", "Binance Plus" 등의 애플리케이션
올바른 다운로드 경로
- iOS: 미국/일본/홍콩 App Store에서 "Binance" 검색 (일부 지역 제외)
- Android: Google Play에서 "Binance" 검색 또는 공식 웹사이트에서 APK 다운로드
- 공식 APK: 오직 binance.com/download 에서만 다운로드
APK 진위 검증
APK 다운로드 후 다음 방법으로 검증합니다:
- 파일 크기가 공식 웹사이트에 명시된 크기와 일치하는지 확인
- SHA-256 해시 값 대조
- APK 서명 인증서 지문 확인
진짜 공식 APK의 서명 인증서 정보는 고정되어 있으며, 제3자가 수정한 APK는 서명이 변경됩니다.
피싱 웹사이트에 접속한 경우 대응 방법
단순 방문 시
페이지를 닫기만 하면 영향이 없습니다.
계정과 비밀번호를 입력한 경우
즉시 다음 조치를 취하십시오:
- 진짜 binance.com에 접속하여 로그인 비밀번호를 변경합니다.
- 모든 기기에서 강제 로그아웃합니다. (보안 센터 → 기기 관리)
- 로그인 기록에 이상이 없는지 확인합니다.
- 2FA(2단계 인증)를 재설정합니다.
- 출금 화이트리스트를 활성화합니다.
- 단시간 내에 자산 탈취가 의심되는 경우, 즉시 계정을 동결합니다.
가짜 APP을 다운로드한 경우
- 가짜 APP을 삭제합니다.
- 모바일 기기에 악성코드가 있는지 검사합니다.
- (기기의 안전을 확신할 수 없는 경우) 기기를 초기화합니다.
- 안전한 기기에서 Binance에 다시 로그인하여 자산을 확인합니다.
자주 묻는 질문 (FAQ)
Q: Baidu/Google/Bing 등에서 "Binance" 검색 시 첫 번째 결과는 무조건 피싱인가요?
A: 반드시 그런 것은 아니지만, 그런 경우가 많습니다. 검색 광고 영역이 피싱 웹사이트에 의해 구매되는 경우가 잦습니다. 가장 안전한 방법은 직접 binance.com을 입력하는 것입니다.
Q: 안티 피싱 코드가 실제로 유용한가요?
A: 매우 유용합니다. 이는 Binance가 피싱 방지를 위해 특별히 설계한 기능으로, 모든 진짜 이메일에는 이 코드가 포함됩니다. 피싱 공격자는 사용자의 안티 피싱 코드를 알 수 없으므로 위조가 불가능합니다.
Q: 가짜 APP이 2FA 코드를 탈취할 수 있나요?
A: 가능합니다. 많은 가짜 APP이 로그인 시 2FA 인증 코드를 동기화하여 탈취하거나, 클립보드의 복구 구문(Seed phrase)을 수집합니다. 반드시 공식 경로를 통해서만 다운로드하시기 바랍니다.
Q: 피싱 링크를 클릭했지만 계정과 비밀번호를 입력하지 않았다면 위험한가요?
A: 기본적으로 안전합니다. 비밀번호나 2FA를 입력하지 않고 어떤 파일도 다운로드하거나 실행하지 않았다면, 단순 방문만으로는 계정 정보가 유출되지 않습니다. 단, 예방 차원에서 브라우저 쿠키와 캐시를 지우는 것을 권장합니다.