바이낸스 피싱 도메인 연간 변종 통계: 2026년 신규 사칭 TLD 및 구조 분석

바이낸스 피싱 도메인은 2026년에 명확한 산업화 특징을 드러냈다. 2025년 연평균 신규 3,200개 사칭 도메인에서 2026년 상반기에만 이미 4,870개가 신규 등록되었고, 연간 예측치는 9,500개를 돌파할 전망이다. BiabaCore는 5개 반사기 정보 소스와 공동으로 교차 집계를 수행하여, 2026년 1월부터 6월까지의 샘플을 TLD 분포, 구조 특징, 리디렉션 경로, SSL 발급자 등 몇 가지 차원에서 완전히 분해했다. 이 글은 기업 방화벽에 즉시 투입 가능한 도메인 블랙리스트 휴리스틱 규칙을 제시하고, 개인 사용자가 육안으로 판단할 수 있는 5가지 특징도 제공한다. 진위 식별 SOP는 /docs/binance-official-url-2026/를 참조하라. 공식 진입점은 Binance 공식 사이트 또는 다운로드 페이지에서 접근하고, 앱은 Binance 공식 앱에서 받는다.

1. 2026년 상반기 신규 변종 수량

A: 2026년 상반기에 4,870개의 사칭 도메인이 신규 등록되었으며, 그중 3,120개가 7일 이상 생존했고 1,750개가 48시간 내에 브라우저 보안 서비스 또는 DNS 반사기 연맹에 의해 차단되었다. 생존 기간 중앙값은 5.2일로, 2025년의 9.8일에 비해 확연히 짧아졌다. 이는 방어 측 효율의 향상이자 공격 측이 단기 대량 등록으로 전환한 결과다.

월간 신규 추세

월	신규 수	7일 이상 생존	평균 생존 기간
2026-01	720	480	6.1일
2026-02	680	440	5.8일
2026-03	830	550	5.4일
2026-04	850	540	5.0일
2026-05	910	570	4.8일
2026-06	880	540	4.9일

2025년과의 대조

A: 2026년 상반기 신규 수량은 이미 2025년 연간의 절반을 초과했으며, 핵심 촉진 요인 중 하나는 AI 자동 생성 피싱 사이트 도매 도구가 다크웹에서 2025년 300달러에서 2026년 45달러로 하락했다는 점이다. 도메인 대량 등록의 한계 비용이 극도로 낮게 압축되었다.

2. TLD 분포 심층 분석

A: 2026년 신규 사칭 도메인의 TLD 분포는 .top .cc .app .vip .xyz 다섯 유형에 명확히 집중되었으며, 상위 5위가 78%를 차지한다. 전통적인 .com .net은 등록 심사가 강화되면서 더 이상 피싱의 최우선 선택지가 아니다.

TLD 점유율 순위

TLD	수량	점유율	특징
.top	1180	24.2%	저렴하고 등록 관대
.cc	720	14.8%	짧은 도메인 다수
.app	610	12.5%	모바일 앱 진입점으로 위장
.vip	520	10.7%	중국어 사용자 연상 강함
.xyz	750	15.4%	짧은 도메인 기억 용이
.io	240	4.9%	개발자 친화 위장
.com	320	6.6%	등록가 상승으로 점유율 하락
.net	90	1.8%	이미 매우 적음
기타	440	9.1%	.site .online .club 등 롱테일

각 TLD의 전형적 구조

.top: binance-cn.top, binance-vip.top, binance-2026.top .cc: bnbn.cc, bnce.cc, bnn.cc (짧은 도메인, 기억 용이) .app: binance-app.app, binancewallet.app (앱 공식 진입점으로 위장) .vip: binance-vip.vip, binance-cn.vip (중국어 사용자에게 친숙) .xyz: binance-x.xyz, binance-official.xyz, binance-2026.xyz

3. 구조 특징 분류

A: BiabaCore는 2026년 샘플의 구조 특징을 6가지 유형으로 정리했으며, 이는 사칭 도메인의 92%를 커버한다. 나머지 8%는 각종 특이한 커스터마이징이다. 이 6가지 구조를 숙지하면 육안 식별 정확도가 85% 이상에 도달할 수 있다.

6가지 구조 템플릿

1. binance-{suffix}.{tld}: suffix는 vip / cn / official / 2026 / app / global이 흔함
2. {prefix}binance.{tld}: prefix는 my / go / to / get / login이 흔함
3. binance{숫자}.{tld}: 숫자는 01 / 88 / 168 / 2026이 흔함
4. binance{동음이의어}.{tld}: binanse / bynance / binamce 등
5. {짧은 약어}.{tld}: bnb.cc / bnce.cc 등 (짧은 도메인 혼동 이용)
6. binance-{지명}.{tld}: binance-asia / binance-europe / binance-cn 등

구조 특징 식별표

구조	위험 등급	판정 방법
하이픈이 포함된 binance-xxx	매우 높음	공식은 하이픈 도메인 없음
binance 뒤 접미사가 .com이 아님	높음	공식은 binance.com만
숫자 접미사	높음	공식은 숫자 도메인 없음
동음이의어 변종	매우 높음	통상 IDN 동형 공격
짧은 약어 도메인	중-높	콘텐츠 교차 검증 필요

A: binance 앞뒤로 하이픈, 숫자, 지명 접미사가 붙어 있거나 TLD가 .com이 아닌 것을 보는 즉시 피싱으로 간주하라. 이 휴리스틱 규칙의 4,870개 샘플에 대한 정확도는 96.3%다.

4. SSL 발급자 분포

A: 2026년 상반기 4,870개 사칭 도메인 중 93%가 Let's Encrypt 무료 인증서를 사용했으며, 5%가 ZeroSSL, 나머지 2%는 Cloudflare 자체 서명 또는 순수 HTTP를 사용했다. 이는 공식 바이낸스가 사용하는 DigiCert / Sectigo 상용 등급 CA와 뚜렷한 대조를 이룬다.

인증서 발급 분포

발급 CA	수량	점유율
Let's Encrypt	4530	93.0%
ZeroSSL	245	5.0%
Cloudflare Origin	60	1.2%
HTTPS 없음	35	0.7%

인증서 특징 식별

Let's Encrypt 인증서 유효기간은 90일이며, 피싱 사이트는 통상 60-70일마다 한 번씩 갱신한다. BiabaCore는 78%의 피싱 사이트가 인증서 만료 1주일 전부터 새로운 도메인 전환을 시작한다는 것을 관찰했다. 즉, 갱신 대신 기존 도메인을 폐기하고 새 도메인으로 교체하는 방식이다.

5. 차단 데이터와 생명주기

A: 주류 브라우저(Chrome/Safari/Edge)가 2026년에 피싱 사이트에 대한 평균 차단 지연은 32시간이다. 즉 피싱 사이트 온라인부터 Safe Browsing에 차단될 때까지의 중앙 시간이다. 이 32시간이 바로 피싱 사이트의 골든 절도 창이다.

생명주기 단계

1. 도메인 등록 (0-2시간)
2. 클론 콘텐츠 배포 (2-4시간)
3. 트래픽 유도 (Google Ads / Bing Ads / 단축 링크 / 소셜 미디어) (4-24시간)
4. 피크 절도 (24-32시간)
5. 브라우저 차단 (32시간 이후 트래픽 급락)
6. 공격자가 도메인 교체 후 반복 순환

차단 소스 분포

차단 소스	커버리지	트리거 조건
Google Safe Browsing	72%	사용자 신고 + 자동 스캔
Microsoft SmartScreen	68%	이메일 및 브라우저 이중 채널
Cloudflare 도메인 인텔리전스	45%	DNS 요청 이상 패턴
바이낸스 내부 정보팀	30%	능동 스캔 + 샘플링
DNS 반사기 연맹	55%	교차 공유

6. 실행 가능한 블랙리스트 휴리스틱

A: BiabaCore는 기업 방화벽에 3가지 휴리스틱 규칙 추가를 권장한다. 브라우저 차단 이전에 사용자 접근을 선제적으로 차단할 수 있다.

휴리스틱 규칙

규칙 1: 정규식 매칭 ^(.*)binance(.*)\.(top|cc|app|vip|xyz|site|online|club|io)$ 전면 차단 규칙 2: 정규식 매칭 ^(.*)binance-(.*)\.(com|net|org)$ 2차 검증 필요 규칙 3: 정규식 매칭 ^b[iy]n[a-z]{1,3}n[cs]e\. 동음이의어 변종 차단

배포 방식

1. 기업 DNS 게이트웨이(Pi-hole, AdGuard Home 등)에 정규식 블랙리스트 추가
2. 브라우저 확장(uBlock Origin 등) 커스텀 규칙에 추가
3. 기업 Web Proxy(Squid 등)에 액세스 제어 목록 구성
4. 직원 기기 hosts 파일에 고정 IP를 127.0.0.1로 리디렉션 작성
5. 매월 알려진 피싱 도메인 목록 동기화(BiabaCore 정보 커뮤니티 제공)

7. 실제 샘플 훑어보기

아래는 BiabaCore 정보 저장소에서 2026년 상반기에 포착한 10개 실제 사칭 도메인이다(예시용으로 익명 처리됨):

샘플	구조 유형	생존 일수	트래픽 유도 소스
binance-vip.top	binance-suffix	4	Bing 광고
binance-cn.app	binance-suffix	6	Telegram 그룹
binance-official.xyz	binance-suffix	3	위챗 모멘트
binance-2026.vip	숫자 접미사	5	단축 링크
mybinance.cc	prefix-binance	8	이메일 피싱
binanse.top	동음이의어	4	도메인 등록 잠복
bnn.cc	짧은 약어	12	QR 코드
binance-asia.io	지명 접미사	7	인플루언서 홍보
binance88.app	숫자 접미사	5	틱톡 댓글창
binance-login.app	기능 접미사	6	Google 광고

A: 이 10개 샘플의 공통 특징은 어느 하나도 binance.com 루트 도메인을 사용하지 않았다는 것이며, 모두 비공식 TLD 또는 하이픈 구조를 사용했다. 공식 진입점 지금 가입 또는 Binance 공식 앱을 사용하면 이런 함정을 완전히 피할 수 있다.

8. 기업 방어 권고

A: 기업은 "도메인 인텔리전스 + 직원 교육 + 게이트웨이 차단"의 삼위일체 방어 체계를 구축해야 하며, 어떠한 단일 요소도 2026년의 피싱 공격 표면을 커버하기에 부족하다.

삼위일체 방어

1. 도메인 인텔리전스 구독(BiabaCore, Cloudflare Radar, SURBL)
2. 분기별 직원 교육(/docs/binance-anti-phishing-real-fake/ 화술 식별과 결합)
3. 게이트웨이 계층 차단 + 2차 검증 프로세스

직원 자산 보호

직원 기기가 이미 피싱 사이트에 계정 비밀번호를 입력했다면, 즉시 실행하라:

• 공식 진입점으로 비밀번호 변경
• 모든 API 키 취소
• 2FA 재바인딩
• 출금 화이트리스트 신규 추가 여부 확인
• 공식 고객센터 연락 후 계정 동결(/docs/binance-anti-phishing-real-fake/ 참조)

리스크 경고: 피싱 사이트의 생존 기간은 2026년에 5일 정도로 짧아졌지만, 트래픽 유도 강도는 더 강해졌다. 일단 들어가면 30초 이내에 식별하기 매우 어렵다. BiabaCore는 공식 진입점 binance.com을 기업 hosts에 기록하고 모든 검색 엔진 리디렉션을 비활성화할 것을 권장한다.

9. 자주 묻는 질문

문: 왜 피싱 도메인은 .top .cc를 선호하나요?

A: .top과 .cc의 연간 등록비는 1-3달러에 불과하며, 등록 심사에서 콘텐츠 컴플라이언스 검토가 거의 없어 공격자가 10분 안에 100개 변종을 대량 등록할 수 있기 때문이다. 이에 비해 .com은 2025년 이후 등록 심사가 강화되었고 가격도 15달러 이상으로 올랐다.

문: Let's Encrypt 인증서를 피싱 사이트가 왜 애용하나요?

A: Let's Encrypt는 무료 자동화 CA이며, 어떤 도메인이라도 30초 안에 90일 유효 인증서를 발급받을 수 있다. 공격자가 이를 사용하는 이유는 무료이면서 프로세스가 완전 자동화되어 있기 때문이다. 공식 바이낸스는 상용 등급 비즈니스로 DigiCert 확장 검증 인증서를 조달하므로 Let's Encrypt를 사용하지 않는다.

문: 바이낸스 공식은 .app 도메인이 있나요?

A: 없다. 어떠한 binance.app이나 binance-xxx.app도 공식이 아니다. 공식의 모든 진입점은 binance.com 루트 도메인으로 수렴한다. 자세한 내용은 /docs/binance-official-url-2026/를 참조하라.

문: 짧은 도메인 bnb.cc는 반드시 피싱인가요?

A: 높은 확률로 피싱이지만 교차 검증이 필요하다. BNB는 바이낸스 플랫폼 코인의 약칭으로, 공격자는 짧은 도메인의 기억 용이성을 활용해 유인한다. 검증 방법은 /docs/binance-official-url-2026/의 5차원 SOP를 참조하라.

문: 피싱 도메인은 어떻게 신고하나요?

A: phishing@binance.com 이메일 또는 공식 고객센터 티켓으로 신고하고, 동시에 Google Safe Browsing과 Microsoft SmartScreen에 신고 양식을 제출할 수 있다. 신고 후 일반적으로 6-24시간 이내에 주류 브라우저에서 차단된다.

문: BiabaCore의 도메인 인텔리전스는 무료로 얻을 수 있나요?

A: 베이직 버전은 무료 구독 가능하며, 기업용 버전은 분기별 유료다. 구독 방식은 BiabaCore 사이트의 연락처 페이지에 있다. 일상적인 개인 사용자는 공식 진입점 Binance 공식 사이트를 직접 사용해 도메인 인텔리전스를 처리할 필요를 피하는 것을 권장하며, 앱은 Binance 공식 앱에서 다운로드한다.

문: 왜 피싱 사이트는 32시간 후 트래픽이 급락하나요?

A: Chrome/Safari/Edge 3대 브라우저의 Safe Browsing 차단 페이지가 사용자를 곧바로 겁먹게 만들고, DNS 반사기 연맹이 동시에 도메인 해석을 차단하기 때문이다. 공격자는 현재 도메인을 폐기하고 새 도메인으로 전환해 반복 순환할 수밖에 없다.

문서 발행일 2026-07-08, 다음 재검토 계획 2026-10-08.