번호는 유심보호서비스로 잠갔는데, 정작 거래소 계정은 그대로인 경우가 많습니다. 계정에는 문이 하나가 아니라 셋(로그인·출금·거래)이 있고, 문마다 자물쇠가 다르기 때문입니다. 각 문이 어떻게 열리는지, 2차 인증과 화이트리스트가 실제로 막는 범위, 그리고 이미 털렸을 때 무엇이 되돌려지고 무엇이 안 되는지를 국내 사정에 맞춰 정리했습니다.

1. 유심은 잠갔는데, 거래소 계정은 잠갔습니까

통신사 유심 정보 유출 사고를 겪으면서, 주변에서 “유심보호서비스 켰냐”는 말 참 많이 들으셨을 겁니다.
그때 통신 3사가 안내한 부가서비스가 한꺼번에 대중화됐죠. 유심보호서비스는 유심이 복제되거나
탈취돼도 다른 기기에서는 못 쓰게 막고, 명의도용방지서비스는 제3자가 내 이름으로 새 회선을
개통하는 걸 차단하고, 번호도용 문자차단 서비스는 내 번호가 발신번호로 도용되는 걸 막습니다.
셋 다 켜 두면 좋은 방어예요. 이건 분명합니다.

근데 여기서 한 가지만 짚고 넘어가겠습니다. 그 세 개를 다 켠 분들이 흔히 “이제 내 코인 계정도 안전해졌다”고
생각하시는데, 사실 그렇지가 않거든요. 저 부가서비스들이 지키는 건 전화번호입니다.
그런데 전화번호는 거래소 계정으로 들어오는 여러 입구 중 하나일 뿐이고, 그마저도 계정을 직접 여는 게 아니라
계정을 여는 다른 문의 열쇠 하나를 건드리는 경로예요. 번호를 잠갔다고 계정이 잠긴 게 아닙니다.

이 글 전체를 관통하는 그림이 하나 있습니다. 거래소 계정은 문이 하나가 아니라 셋이에요.
로그인 문, 출금 문, 거래 문. 공격자는 이 셋 중 어느 문으로도 들어올 수 있고, 문마다 자물쇠가 완전히 다릅니다.
유심 보호는 그중 로그인 문 안쪽의 여러 갈래 가운데 딱 하나에만 걸리는 자물쇠예요.
그래서 번호는 꽁꽁 묶어 뒀는데 계정은 그대로 털리는 일이 실제로 벌어집니다.
이 글은 그 세 개의 문이 각각 어떻게 열리고, 무엇으로 잠가야 하고, 이미 열린 뒤엔 뭐가 되돌아오고 뭐가 안 되는지를
국내 사정에 맞춰 정리한 글입니다.

여기서 뜻밖의 사실이 하나 있습니다. 계정이 털리는 경로 중에서 여러분이 비밀번호를 잘못 관리해서
뚫리는 건 오히려 소수예요. 나머지는 여러분이 아무 실수를 안 해도 열립니다. 통신사가 속거나,
악성코드가 쿠키를 가져가거나, 다른 사이트에서 새어 나온 정보가 돌고 돌아 오는 식이죠. 그러니 이 글을
‘내가 조심하면 된다’로 읽지 마시고, ‘어느 문에 어떤 자물쇠를 걸어 두면 실수해도 버틸 수 있나’로 읽으시면 됩니다.
겁주려는 글이 아닙니다. 켤 수 있는 것부터 하나씩 켜자는 거예요.

2. 계정 하나에 문이 셋, 자물쇠는 문마다 따로입니다

세 개의 문이 각각 뭔지가 이 글 전체의 뼈대입니다. 이 구분 하나만 확실히 잡아 두면, 아래 나머지 섹션은
그냥 술술 읽혀요.

① 로그인 문. 아이디와 비밀번호, 2차 인증, 그리고 계정 복구 절차로 잠깁니다. 대부분의 사람이
‘계정 보안’ 하면 떠올리는 게 이 문 하나예요. 비밀번호 길게 만들고 2FA 켜면 끝났다고 생각하죠.

② 출금 문. 자산을 밖으로 빼내는 문입니다. 여기엔 출금 주소 화이트리스트, 신규 주소 대기시간,
기간형 출금 잠금 같은 별도 자물쇠가 붙습니다. 로그인 문이 뚫려도 이 문이 잠겨 있으면 자산이 바로 나가진 않아요.

③ 거래 문. 이 문의 존재 자체를 모르는 분이 정말 많습니다. API 키에 걸린 거래 권한으로 열립니다.
출금 권한이 하나도 없어도, 거래 권한만 있으면 남의 계정에서 주문을 낼 수 있어요. 뒤에서 다루겠지만,
이 문으로 잔고 가치가 통째로 증발한 사고가 실제로 있었습니다.

정리하면 이렇습니다.

집 한 채로 비유해 볼게요. 로그인 문은 현관, 출금 문은 안방 금고, 거래 문은 뒷마당 창고 같은 겁니다.
사람들은 현관 자물쇠에만 돈을 씁니다. 근데 도둑은 금고를 따로 노리거나 창고 쪽으로 돌아 들어와요.
더 성가신 건 이 세 문이 서로 독립적이라는 점입니다. 현관을 아무리 튼튼하게 해도 금고·창고 자물쇠는
별개로 걸어야 하고, 반대로 현관이 뚫려도 금고가 잠겨 있으면 도둑이 빈손으로 나가기도 하죠.
그래서 이 글은 문을 하나로 뭉뚱그리지 않고 셋으로 쪼개서 봅니다. 어느 문이 지금 열려 있는지 알아야
어디에 자물쇠를 걸지가 정해지니까요.

한 가지 더. 세 문의 위험도는 사람마다 다릅니다. 봇이나 외부 서비스를 안 쓰는 분은 거래 문이 닫혀 있는 편이고,
반대로 자동매매를 여러 개 돌리는 분은 거래 문이 가장 큰 구멍일 수 있어요. 소액을 자주 넣고 빼는 분은 출금 문이,
큰돈을 오래 묵혀 두는 분은 로그인 문 관리가 특히 중요합니다. 그러니 아래를 읽으면서 ‘내 계정은 지금 어느 문이
제일 헐겁나’를 같이 떠올려 보시면 좋습니다.

3. 거래소보다 먼저 뚫리는 곳은 이메일입니다

문을 하나씩 보기 전에, 셋보다 먼저 뚫리는 곳을 짚어야 합니다. 바로 이메일이에요.
사실상 이메일이 여러분의 진짜 ‘루트 계정’입니다.

왜냐면 거래소에서 비밀번호를 잊었을 때 재설정 링크가 어디로 갑니까. 이메일로 가죠. 로그인 알림,
신규 기기 승인, 출금 확인 메일도 다 이메일로 옵니다. 그러니까 공격자가 이메일부터 손에 넣으면,
거래소 비밀번호는 그냥 재설정해 버리면 됩니다. 순서상 거래소는 그다음이에요.
이메일을 잡은 사람 앞에서는 거래소 계정도 사실상 열려 있는 문이나 마찬가지예요.

여기서 사람들이 자주 하는 실수가 있습니다. “계정이 이상하다” 싶으면 거래소 비밀번호부터 바꾸는 거예요.
근데 이메일이 이미 넘어가 있으면, 거래소 비밀번호를 아무리 바꿔도 공격자가 다시 재설정 링크를 받아서
또 들어옵니다. 잠그는 순서가 뒤집혀 있으면 아무리 부지런히 잠가도 소용이 없어요.
그래서 뒤에 나올 ‘이미 털렸을 때’ 섹션에서도 이메일이 1순위입니다.

그래서 거래소 계정을 지키고 싶다면, 그 계정과 묶인 이메일을 전용으로 하나 따로 두는 것도 방법입니다.
쇼핑·구독·뉴스레터에 뿌리고 다니는 평소 이메일 말고, 거래소·금융에만 쓰는 조용한 주소를 하나 만들어 두는 거예요.
그 주소는 어디에도 노출이 적으니 크리덴셜 스터핑 목록에 오를 확률도 낮고, 피싱 표적이 될 일도 줄어듭니다.
대단한 준비가 필요한 일도 아니에요. 문패를 하나 더 달아서 중요한 문을 조용한 골목으로 옮겨 두는 정도입니다.

이메일 계정 자체도 로그인 문이 따로 달린 서비스라는 걸 잊지 마세요. 지메일이든 네이버든,
거기에도 비밀번호 재사용·피싱·세션 탈취가 똑같이 통합니다. 거래소만 요새처럼 지키고 이메일은 5년 전
비밀번호 그대로 쓰고 있으면, 요새 정문은 잠갔는데 뒷담이 무너져 있는 셈이죠.
거래소를 점검하는 날, 이메일 비밀번호와 2차 인증도 반드시 같이 손보세요.

4. 비밀번호를 건드리지 않고 로그인 문이 열리는 길들

이제 로그인 문입니다. 여기서 가장 중요한 사실 하나. 로그인 문이 열리는 길 중에서 비밀번호를 실제로
알아내는 길은 소수예요. 나머지 길들은 비밀번호를 아예 건드리지 않고 우회합니다.
그래서 “비밀번호 복잡하게 했으니 됐지” 하는 감각이 위험한 겁니다. 하나씩 볼게요.

첫째, 다른 데서 샌 비밀번호를 그대로 넣어 보는 방식(크리덴셜 스터핑).
사람 대부분이 여러 사이트에 같은 아이디·비밀번호를 돌려씁니다. 그러니 A라는 쇼핑몰이 털려서 유출된 조합을,
공격자가 거래소에 그대로 대입해 봅니다. 자동화 프로그램이 수십만 개 조합을 순식간에 던져 보는 거죠.
여러분 거래소 비밀번호를 알아낸 적조차 없습니다. 남이 어디선가 흘린 조합을 그대로 대입해 봤을 뿐이죠.
거래소에서 아무리 강한 비밀번호를 만들어도, 같은 걸 다른 데서 썼다면 소용이 없어요.

국내에서 이 방식이 특히 잘 통하는 이유가 있습니다. 거래소는 하나만 쓰는 게 아니잖아요. 국내 원화 거래소,
해외 거래소, 여기에 이메일·포털·쇼핑몰까지 같은 비밀번호를 돌려 쓰는 분이 정말 많습니다. 그중 어느 한 곳이
털리면 나머지가 도미노처럼 넘어갑니다. 대응은 단순해요. 거래소와 이메일만큼은 다른 어디에서도 안 쓰는
고유한 비밀번호로 두고, 비밀번호 관리자를 써서 외우지 않아도 되게 만드는 겁니다. 사람 머리로 수십 개를
다 다르게 외우는 건 불가능하니까요.

둘째, 실시간으로 중계하는 가짜 로그인 페이지(중간자 피싱). 이게 요즘 제일 골치 아픕니다.
검색 광고나 문자 링크를 타고 들어간 가짜 거래소 화면이, 여러분이 입력하는 아이디·비밀번호·인증코드를
실시간으로 진짜 거래소에 그대로 넘깁니다. 여러분이 인증코드를 넣는 그 순간, 공격자 화면에서 진짜 로그인이
성립해요. 여기서 무서운 게, 문자 코드든 인증앱 코드든 똑같이 통과한다는 겁니다. 코드를 실시간으로
전달만 하면 되니까요. 이런 피싱은 이제 남이 만들어 파는 ‘상품’이 됐고, 유명 거래소 로그인 화면을 그대로 복제한
템플릿까지 세트로 돌아다닙니다. 이걸 원천 차단하는 건 뒤에 나올 패스키·하드웨어 보안키뿐이에요.
검색창에 거래소 이름을 쳐서 맨 위 광고를 누르는 습관, 문자·메신저로 온 링크를 눌러 로그인하는 습관이
이 방식에 그대로 먹잇감이 됩니다. 거래소는 주소를 직접 입력하거나 즐겨찾기·공식 앱으로만 들어가는 게
사실 가장 값싸고 확실한 예방이에요. 가짜 앱도 조심해야 합니다. 앱스토어에 정식 이름과 비슷하게 올라온
사칭 앱이 심심찮게 있어서, 개발사명과 다운로드 수까지 확인하고 받는 습관을 들이는 게 좋습니다.

셋째, 세션 쿠키를 통째로 훔쳐 가는 방식(인포스틸러). 이게 가장 조용하고 가장 자주 놓치는 길입니다.
브라우저는 여러분이 한 번 로그인하면 ‘이 사람 로그인된 상태’라는 증표(세션 쿠키)를 저장해 둡니다.
악성코드가 이걸 통째로 빼가면, 공격자는 비밀번호도 인증코드도 필요 없이 이미 로그인된 상태로 들어옵니다.
로그인 행위 자체가 일어나지 않으니, 2차 인증이 끼어들 지점이 아예 없어요. 이 대목은 다음 섹션에서 자세히 봅니다.
국내에서 이 악성코드는 주로 크랙·불법 다운로드 경로로 퍼집니다. 정품 아닌 프로그램, 게임 핵, ‘무료’ 유틸리티를
받아 실행하는 순간 감염되고, 이 부류는 특히 암호화폐를 노려서 브라우저 쿠키만이 아니라 컴퓨터에 저장된
지갑 파일과 시드가 적힌 메모장 파일까지 같이 훑어 갑니다. 그래서 시드문구를 컴퓨터 메모장이나 사진, 클라우드에
저장하지 말라는 조언이 나오는 거예요. 이 대목은 자가수탁 지갑 이야기라 이 글 범위를 넘어가니
따로 다룬 글에서 이어 보시면 됩니다. 여기서 기억할 한 줄은 이겁니다. 세션 쿠키 탈취는 로그인 문을 열면서
동시에 지갑까지 노린다. 그러니 거래소 계정과 개인 지갑을 같은 컴퓨터에서 만지는 분일수록 기기 청결이 중요합니다.
출처가 불분명한 파일을 실행하지 않는 것, 브라우저 확장 프로그램을 함부로 깔지 않는 것부터가 방어의 시작이에요.

넷째, 전화번호 자체를 빼앗는 방식(심 스와프). 유심 사고로 익숙해진 그 경로입니다.
공격자가 통신사 상담원을 속이거나(사칭 전화, 위조 신분증 방문), 내부 직원을 매수해서 여러분 번호를
자기 유심으로 옮겨 버립니다. 여기서 핵심은, 여러분 폰도 계정도 멀쩡한데 통신사 쪽 사람이 속아 넘어간다는 거예요.
상담원이 넘어가는 일이라, 최신 폰을 써도 강한 비밀번호를 써도 이걸 막지 못합니다.
번호가 넘어가면 문자로 오던 인증코드와 재설정 링크가 전부 공격자 손으로 갑니다. 앞의 유심보호서비스가
정확히 이 갈래를 겨냥한 방어인데, 딱 이 한 갈래만 막습니다. 앞의 세 길에는 손을 대지 못해요.

참고로 통신망 신호 프로토콜(SS7이라고 부릅니다)에 접근할 수 있는 쪽은, 여러분 번호를 옮기지 않고도
전송 중인 문자를 가로챌 수 있습니다. 내 번호가 그대로 있는데도 문자 코드가 샐 수 있다는 뜻이에요.
자세한 원리까지 알 필요는 없고, “문자로 오는 코드는 나 아닌 곳에서도 새어 나갈 수 있다” 이 한 줄만 기억하면 됩니다.

다섯째는 앞의 이메일 이야기와 이어집니다. 이메일을 먼저 장악한 다음, 거기서 거래소 비밀번호 재설정 링크를
받아 여는 복구 경로 우회입니다. 이건 다음 섹션의 ‘2차 인증을 켰는데 왜 뚫렸나’와 붙어 있으니 이어서 보겠습니다.

5. 2차 인증을 켜 뒀는데 어떻게 로그인이 됐을까

“2차 인증(2FA) 켜 놨는데 어떻게 로그인이 됐지?” 이 질문을 정말 많이 받습니다.
2FA를 켜는 건 당연히 해야 하는 일이에요. 안 켠 것보단 훨씬 낫습니다. 근데 2FA를 켜는 것으로
끝나지 않는 이유가 셋 있어요. 이 셋을 알면 왜 뚫렸는지가 설명됩니다.

이유 하나. 복구 경로가 문자로 남아 있으면 뒷문이 열려 있습니다. 로그인할 때는 인증앱을 쓰도록
설정해 놨어도, ‘폰을 잃어버렸어요’ 같은 계정 복구 절차가 문자나 이메일로 진행되면 공격자는 그 뒷문으로
돌아 들어옵니다. 정문에 좋은 자물쇠를 달아 놓고 뒷문은 열어 둔 셈이죠.
유명한 사례가 하나 있는데, 흔히 ‘심 스와프 사건’으로 잘못 알려진 2021년 코인베이스 이용자 최소 6,000명
피해 사건입니다. 실제 원인은 심 스와프가 아니라 문자 기반 계정 복구 절차의 결함이었어요.
공격자는 피해자의 이메일·비밀번호·전화번호를 이미 알고 있었고 이메일에도 접근할 수 있는 상태에서,
그 복구 절차의 허점으로 문자 2차 인증을 우회했습니다. 교훈은 분명합니다. 진짜 뒷문은 복구 경로라는 것.
거래소는 이후 피해액을 배상하고 복구 절차를 고쳤지만, 이런 배상은 어디까지나 예외적인 일이라는 점도 같이 기억해 두세요.

이유 둘. 실시간 중계 피싱은 인증앱 코드도 통과시킵니다. 앞 섹션에서 본 중간자 피싱이 그대로
2FA를 무력화합니다. 여러분이 인증앱을 열어 6자리 숫자를 가짜 화면에 넣는 순간, 그 숫자가 실시간으로
진짜 거래소로 넘어가 로그인이 됩니다. 인증앱이 문자보다 안전한 건 맞지만, ‘내가 코드를 남에게 넘겨주는’
이 상황에서는 인증앱도 못 막아요.

이유 셋. 세션 쿠키 탈취는 인증 이벤트 자체를 만들지 않습니다. 이게 셋 중 가장 덜 알려진 사실이라
꼭 짚고 싶습니다. 앞서 본 대로, 악성코드가 로그인된 세션 쿠키를 통째로 훔쳐 가면 공격자는 로그인 절차를
아예 밟지 않습니다. ‘로그인 시도’라는 사건이 발생하질 않으니, 2차 인증이 개입할 순간이 존재하지 않아요.
2FA는 로그인이라는 문턱을 넘을 때 확인하는 장치인데, 애초에 문턱을 넘는 동작이 없으니 물어볼 기회가 없는 겁니다.
그래서 “나는 2FA 켰으니까 세션 탈취는 상관없다”는 말은 성립하지 않습니다.

그럼 인증 수단별로 어느 위협을 막고 어느 걸 못 막는지, 표로 정리해 보겠습니다.

표를 보면 방향이 나옵니다. 문자는 세 위협 모두에 무력하니 로그인·복구 경로에서 빼야 하고,
패스키나 하드웨어 보안키로 올라가면 앞의 두 위협은 원천 차단됩니다. 다만 세션 쿠키 탈취만은 패스키로도 못 막아요.
이건 로그인 이후의 세션을 노리는 거라, 인증 수단을 아무리 올려도 손이 닿질 않아요. 답은 기기를 깨끗하게 유지하고 로그인된 세션을
정기적으로 점검·정리하는 것입니다. 참고로 미국 표준기관(NIST)의 디지털 신원 지침 최신본은 문자·유선전화
기반 일회용 코드를 ‘제한적 인증수단’으로 분류했는데, 그 사유로 심 스와프·SS7·실시간 피싱을 명시했습니다.
구글도 지메일의 문자 2차 인증을 인증앱·패스키·QR로 옮기겠다고 밝혔고요. 방향은 이미 정해져 있습니다.
문자에서 인증앱으로, 다시 패스키로 갈아타는 겁니다. 국내에선 본인확인이 문자로 워낙 굳어져 있어서
이 전환이 낯설게 느껴지지만, 순서만 잡으면 어렵지 않습니다. 뒤의 설정 섹션에서 구체적으로 정리하겠습니다.

인증앱으로 넘어갈 때 사람들이 겁내는 게 “폰 잃어버리면 어떡하나”입니다. 그래서 인증앱을 설정할 때 나오는
백업 코드를 종이에 적어 안전한 곳에 보관하거나, 인증앱 자체의 백업 기능을 켜 두면 됩니다.
이 백업 코드가 있으면 폰이 없어도 계정에 들어갈 수 있으니, 문자 복구 경로에 기대지 않아도 돼요.
문자 복구를 빼는 것과 백업 코드를 챙기는 건 세트로 움직입니다. 하나만 하면 반쪽짜리예요.

패스키는 한 걸음 더 나아간 방식입니다. 지문·얼굴·기기 잠금으로 로그인하는 건데, 이 인증이 특정 도메인에
묶여 있어서 가짜 사이트에는 아예 응답하지 않습니다. 그래서 앞서 본 실시간 중계 피싱이 원천 차단돼요.
아직 모든 거래소가 지원하는 건 아니지만, 지원하는 곳이라면 켜 두는 게 지금 할 수 있는 가장 강한 로그인 방어입니다.
문자에서 인증앱으로, 지원되는 곳은 패스키까지. 이 사다리를 한 칸씩 올라간다고 생각하시면 됩니다.

6. 출금 화이트리스트가 실제로 닿는 범위

이제 두 번째 문, 출금 문입니다. 로그인 문이 뚫렸어도 자산이 바로 나가지 못하게 막는 게 이 문의 역할이에요.
거래소마다 이름은 조금씩 다르지만, 대개 이런 자물쇠들이 있습니다.

출금 주소 화이트리스트. 미리 등록해 둔 주소로만 출금을 허용하는 기능입니다.
공격자가 로그인에 성공해도, 자기 주소가 화이트리스트에 없으면 그리로 못 빼내요. 신규 주소를 등록하려 하면
거래소에 따라 24시간, 48시간, 72시간 대기가 걸립니다. 이 대기시간이 여러분에게 알림을 확인하고 대응할
시간을 벌어 줍니다. 어떤 거래소는 화이트리스트 기능을 끄는 순간 일정 시간 출금 자체를 제한하기도 하고요.

안티피싱 코드. 내가 미리 정해 둔 문구가 거래소의 공식 메일·문자에 항상 표시되게 하는 기능입니다.
이 문구가 없는 메일은 가짜라는 걸 바로 알 수 있어요. 피싱 메일에 속아 가짜 사이트로 들어가는 걸 걸러 줍니다.
바이낸스·바이빗·OKX 등이 제공합니다.

기기·세션 관리. 지금 내 계정에 로그인돼 있는 기기 목록을 확인하고, 낯선 걸 원격으로 로그아웃시키는
기능입니다. 세션 쿠키 탈취를 당했을 때 그나마 손쓸 수 있는 창구가 여기예요. 뒤에서 「이미 털렸을 때」 대응을 다룰 때 다시 나옵니다.

여기서 대기시간의 의미를 한 번 더 짚겠습니다. 신규 출금 주소에 걸리는 24·48·72시간 대기가 답답하게
느껴지지만, 그게 바로 여러분을 지키는 시간입니다. 공격자가 로그인에 성공해 자기 주소를 새로 등록해도,
그 주소로 실제 출금이 열리기까지 대기가 걸려요. 그사이 거래소가 보내는 ‘신규 출금 주소 등록’ 알림을
여러분이 보고 계정을 잠글 수 있습니다. 그러니 이 알림 메일·문자는 절대 무시하지 마세요.
내가 등록한 적 없는 주소가 추가됐다는 알림은 이미 로그인 문이 열렸다는 신호입니다.

추가 잠금들. 바이빗의 자금 비밀번호처럼 출금·거래에 별도 비밀번호를 한 겹 더 요구하는 장치도 있고,
기간을 정해 온체인 출금을 아예 막아 두는 출금 잠금 기능을 도입한 거래소도 있습니다.
이런 기능은 정해진 기간엔 거래소도 임의로 못 푸는 식으로 설계되기도 합니다.

안티피싱 코드는 특히 국내 이용자에게 값진 기능입니다. 우리는 하루에도 여러 통씩 ‘거래소 공지’, ‘출금 확인’,
‘보안 경고’를 사칭한 메일·문자를 받잖아요. 이 코드를 설정해 두면, 진짜 거래소에서 온 메일에는 내가 정한 문구가
꼬박꼬박 찍혀 옵니다. 그 문구가 없으면 아무리 그럴듯해도 가짜예요. 링크를 눌러 봐야 진위가 판가름 나는 게 아니에요.
열어 보기 전에 이미 갈리니까, 링크를 잘못 누를 여지 자체가 줄어듭니다.
문구는 남이 추측하기 어려운 걸로, 다른 비밀번호와 겹치지 않게 정하세요.

여기까지가 출금 문이 실제로 막아 주는 범위입니다. 자, 그런데 여기서 이 글의 가장 중요한 포인트가 나옵니다.
화이트리스트를 걸었다고 다 막힌 게 아닙니다. 화이트리스트는 출금 문만 잠급니다.
자산을 ‘출금’해서 빼가는 걸 막을 뿐이에요. 그런데 자산은 출금하지 않고도 가치가 빠져나갈 수 있습니다.
그 경로가 바로 다음 섹션에서 다룰 거래 문입니다. 출금 문을 아무리 단단히 잠가 둬도, 거래 문이 열려 있으면
잔고 가치는 그쪽으로 새어 나갑니다.

7. 출금 기록이 없는데 잔고 가치가 줄어드는 경우

세 번째 문, 거래 문입니다. 이 문이 있다는 걸 아는 것만으로도 이 글을 읽은 값을 합니다.

많은 분이 자동매매 봇, 포트폴리오 추적 앱, 복사매매 서비스 같은 걸 거래소에 연결해 씁니다.
그때 거래소가 발급해 주는 게 API 키예요. 이 키에는 권한을 따로따로 줄 수 있습니다. 조회만 할지,
주문(거래)까지 할지, 출금까지 할지. 그런데 여기서 사고가 납니다. 봇이나 연결 서비스 쪽에서 이 API 키가 새면,
출금 권한이 하나도 없어도 잔고 가치가 통째로 빠져나갈 수 있습니다.

어떻게요? 거래 권한만으로 무단 주문을 내면 됩니다. 공격자는 유동성이 얕은(거래가 뜸한) 코인 페어를
하나 골라 미리 사 둡니다. 그다음 여러분 계정의 잔고로 그 코인을 시장가로 마구 사들이게 만들어요.
값이 확 뛰면 자기가 미리 사 둔 물량을 여러분 돈을 받고 팔아넘깁니다. 여러분 계정에서 자산이 ‘출금’된 기록은
한 줄도 없어요. 대신 헐값에 산 코인이 잔뜩 쌓여 있고, 실제 가치는 증발해 있습니다. 출금 문은 내내 잠겨 있었는데도요.

가상의 이야기가 아닙니다. 2022년 말 한 거래봇 서비스가 유출되면서 약 10만 개의 거래소 API 키가
노출된 사고가 있었습니다. 이때 출금된 기록은 한 건도 없었고, 피해는 전부 위에서 설명한 무단 거래에서 났어요.
그 서비스를 사칭한 가짜 사이트로 API 키를 수집하는 피싱도 같이 돌았고요. 비슷하게, 다른 봇 서비스를 거쳐
API 키가 샌 뒤 어떤 이용자의 바이낸스 계정에서 특정 토큰을 100만 달러어치 사들이게 만든 무단 주문 사고도 있었습니다.

그래서 업계 공통 권고가 두 가지입니다. 첫째, 봇이나 외부 서비스에 절대 출금 권한을 주지 마라.
거래·조회 권한만으로도 봇은 돌아갑니다. 둘째, API 키에 IP 제한을 걸어라. 내가 쓰는 서버 IP에서만
그 키가 작동하게 묶어 두면, 키가 새도 다른 곳에선 못 씁니다(OKX 등이 제공). 그리고 안 쓰는 키는
그때그때 삭제하세요. 예전에 잠깐 연결해 보고 방치한 API 키가 몇 년 뒤에 사고를 냅니다.
거래 문을 잠그는 자물쇠는 이렇게 권한 분리·IP 제한·미사용 키 삭제 세 가지입니다.

지금 당장 할 수 있는 점검이 하나 있습니다. 거래소 보안 설정에 들어가 API 관리 화면을 여세요.
거기 낯선 키, 언제 만들었는지 기억 안 나는 키가 있으면 바로 삭제합니다. 남길 키는 조회 전용으로
바꿀 수 있으면 바꾸고, 거래가 꼭 필요한 봇만 거래 권한을 주되 출금 권한은 절대 체크하지 마세요.
포트폴리오 추적 앱처럼 잔고만 보는 서비스라면 조회 권한 하나면 충분합니다. 실제 사고의 상당수가
‘예전에 한 번 써 보고 지우는 걸 잊은 키’에서 났다는 걸 기억하세요. 안 쓰는 키는 아무 편의도 주지 않습니다.
위험만 남기죠. 버리는 게 이득이에요.

한 가지 덧붙이면, API 키를 어디에 넣었는지도 중요합니다. 출처가 불분명한 무료 봇, ‘수익률 보장’을 내세운
자동매매 서비스, 텔레그램에서 권하는 정체 모를 도구에 키를 넣는 순간 거래 문 열쇠를 남의 손에 쥐여 주는 겁니다.
키를 넘기기 전에 그 서비스가 믿을 만한지부터 따지는 게 순서예요.

8. 국내 원화 거래소와 해외 거래소, 털린 뒤 대응이 갈립니다

여기서부턴 국내 사정을 짚겠습니다. 계정이 털린 뒤 대응은 국내 원화 거래소냐 해외 거래소냐에 따라
꽤 갈립니다. 이 차이를 미리 알아 두면, 사고가 났을 때 어디에 어떻게 연락할지가 훨씬 빨라져요.

국내 원화 거래소(업비트·빗썸·코인원 등)의 구조. 이쪽은 실명 확인된 은행 계좌와 계정이 묶여 있습니다.
원화 입출금이 특정 은행 실명계좌를 통해서만 이뤄지죠. 이 구조가 사고 났을 때 양면으로 작용합니다.
좋은 쪽은, 자금 흐름이 실명계좌로 이어져 있어서 수사기관의 추적·동결 협조가 상대적으로 가닥이 잡히기 쉽다는 점입니다.
고객센터도 한국어로 되고, 계정 잠금 요청 창구가 국내법 테두리 안에 있어요. 나쁜 쪽은, 본인확인이 강하게 묶여 있는 만큼
공격자가 원화로 바로 빼내긴 어렵지만, 대신 코인으로 바꿔 해외 지갑이나 해외 거래소로 전송해 버리면
그 순간부턴 국내 거래소가 손댈 수 있는 구간을 벗어난다는 겁니다.

해외 거래소(바이낸스·바이빗·게이트·MEXC·OKX·쿠코인 등)의 구조. 이쪽은 계정 잠금·자금 홀드 요청을
거래소 고객센터 티켓으로 넣어야 하는데, 창구가 글로벌과 지역으로 갈리고 응대 언어·시차 문제가 생깁니다.
국내 수사기관이 해외 거래소에 협조를 구하는 절차도 국내 거래소보다 길고요. 다만 앞서 본 화이트리스트,
출금 잠금, 기기 원격 로그아웃 같은 본인이 직접 거는 자물쇠는 해외 거래소 쪽이 오히려 옵션이 풍부한 편입니다.
그러니 해외 거래소를 쓴다면, 사고 대응을 남에게 기대기보다 이 자물쇠들을 미리 다 걸어 두는 게 특히 중요합니다.

국내 이용자에게 실질적으로 중요한 지점이 하나 더 있습니다. 많은 분이 국내 거래소에서 코인을 사서 해외
거래소로 보내 두고 거기서 굴립니다. 그러면 자산은 해외 거래소 계정에 있는데, 그 계정의 이메일과 비밀번호는
국내 서비스와 얽혀 있는 경우가 많아요. 공격의 출발점은 국내(이메일·포털), 자산이 빠져나가는 출구는 해외 거래소가
되는 겁니다. 이럴 때 국내 수사기관에 신고하더라도 자산이 걸쳐 있는 해외 거래소와의 협조에는 시간이 걸립니다.
그래서 해외 거래소에 자산을 두는 분은 본인이 미리 거는 자물쇠에 훨씬 더 기대야 합니다.

또 하나, 국내 거래소는 이상 거래 감지 시스템이 붙어 있어서 평소와 다른 패턴이 보이면 자동으로 출금을
지연시키거나 추가 인증을 요구하기도 합니다. 이게 정상 이용 중엔 번거롭지만, 탈취 상황에선 여러분 편입니다.
반대로 이 지연·홀드가 걸렸을 때 ‘거래소가 왜 내 출금을 막느냐’며 아무 링크나 눌러 항의하려다 오히려 피싱에
걸리는 경우가 있어요. 출금이 멈췄을 땐 공식 앱·공식 고객센터로만 확인하세요.

실무적으로 정리하면 이렇습니다. 원화 거래소에서 이상 징후가 보이면 고객센터 계정 잠금과 함께
경찰·금융 창구로 빠르게 신고하는 흐름이 그나마 지렛대가 됩니다. 해외 거래소는 초기 몇 분 안에
본인이 세션 로그아웃·출금 잠금을 직접 거는 게 사실상 가장 확실한 대응이에요. 어느 쪽이든 공통점은,
자산이 온체인으로 나가 버리기 전까지가 승부라는 겁니다. 이 부분은 바로 다음 섹션에서 봅니다.
계정이 갑자기 잠기거나 출금이 막히는 상황 자체가 궁금하다면
거래소 출금 동결·계정 잠김과 출금이 대기 상태로 멈추는 이유 글을 같이 보시면
맥락이 이어집니다.

9. 지금 누가 들어와 있다면, 잠그는 순서와 남아 있는 시간

“지금 누가 내 계정에 들어와 있는 것 같다.” 이 순간엔 순서가 전부입니다. 잘못된 순서로 서두르면
헛수고가 되거든요. 앞에서 이메일이 루트라고 했죠. 그래서 순서는 이메일 → 계정 → 번호입니다.

이걸 하는 동안 머릿속에 자물쇠 하나를 더 켜 두세요. 되돌릴 수 있는 구간은 자산이 아직 거래소 안에 있을 때뿐입니다.
자산이 어디까지 갔느냐에 따라 회수 여지가 완전히 갈려요. 표로 정리합니다.

왜 이 순서냐면, 각 단계가 앞 단계에 매여 있기 때문입니다. 이메일을 안 잠그고 거래소만 잠그면
공격자가 재설정 링크로 다시 들어오고, 번호를 안 잠그면 문자 복구 경로가 다시 열립니다. 반대로 이메일부터
확실히 걸어 잠그면 그 뒤 단계가 훨씬 수월해져요. 그리고 이 세 가지는 순서대로 하되 가능한 한 빨리
연달아 해야 합니다. 공격자도 시간 싸움을 하고 있거든요. 그들은 들어오자마자 출금 주소를 등록하고
대기시간이 풀리기를 기다리거나, API 키를 심어 두고 조용히 거래를 돌립니다. 그 사이 시간을 여러분이 뺏는 겁니다.

대응하는 동안 냉정함을 유지하는 것도 실력입니다. 계정을 잠그느라 시세 변동에 대응하지 못해 손실이 날 수도 있어요.
그래도 우선순위는 지금 새어 나가는 걸 막는 것입니다. 잔고를 지키려다 문을 열어 둔 채 저울질하는 사이
전부 나가는 게 최악이니까요. 일단 문부터 다 닫고, 시세는 그다음에 봅니다.

표의 결론은 냉정하지만 정확합니다. 온체인으로 한 번 나가면 그 뒤엔 누구도 되돌려 주지 못해요.
그래서 초기 몇 분이 전부입니다. 무단 거래로 증발한 경우도 체결된 주문은 취소 대상이 아니라서,
거래소가 재량으로 검토해 주길 기대하는 것 외엔 방법이 마땅치 않습니다.
회수 가능성을 좀 더 자세히 따져 보고 싶다면 코인 사기, 환불·회수가 되는가를 참고하세요.
그리고 세션 탈취로 지갑 파일까지 샜다면 시드문구 유출 시 대처를 반드시 같이 보셔야 합니다.

10. 신고는 어디에 하고, 신고한 뒤에는 누가 연락해 오나

신고 이야기를 하겠습니다. 국내에서 계정 탈취·자산 피해를 신고할 창구는 정해져 있습니다.
당황해서 인터넷 검색으로 아무 데나 연락하다가 오히려 2차 사기에 걸리는 경우가 많아서, 공식 창구부터 외워 두세요.

• 경찰 112: 긴급하거나 진행 중인 피해. 사건 접수 자체를 여기서 시작합니다.
• 사이버범죄 신고시스템(ECRM): 경찰청 온라인 신고 창구. 증거를 정리해 접수합니다.
• 금융감독원 1332: 금융 관련 피해 상담·안내.
• 통신사 명의도용 관련 창구: 번호가 넘어간 정황이면 회선 잠금·명의 확인.
• 거래소 고객센터: 계정 잠금·자금 홀드 요청. 국내 거래소는 한국어 창구, 해외 거래소는 공식 지원 티켓으로.

증거는 최대한 챙기세요. 이상 로그인 알림, 출금·거래 내역 캡처, 받은 피싱 문자·메일, 시간대. 이게 있어야
수사와 거래소 검토가 빨라집니다. 특히 자산이 어느 주소로 나갔는지(트랜잭션 해시)를 확보해 두면, 나중에
수사기관이 다른 거래소에 동결을 요청할 때 근거가 됩니다. 급하다고 화면만 닫지 말고, 나가는 내역부터 캡처해 두세요.

신고 순서도 헷갈리지 않게 정리하면 이렇습니다. 진행 중인 피해거나 급하면 112로 먼저 접수하고,
차분히 증거를 모아 사이버범죄 신고시스템(ECRM)으로 정식 신고합니다. 금융 관련 상담이 필요하면 금융감독원
1332, 번호가 넘어간 정황이면 통신사 명의도용 창구, 계정·자금 조치는 거래소 고객센터로 각각 나눠서 진행하면 됩니다.
한 곳에서 다 해결되지 않으니, 각 창구가 맡는 역할을 알고 병행하는 게 빠릅니다.

그리고 여기서 국내 현실 하나를 꼭 경고하고 넘어가야겠습니다. 신고한 직후부터 2차 사기가 붙습니다.
카카오톡이나 오픈채팅에 ‘○○거래소 공식 고객센터’를 사칭한 방이 생기고, 어떻게 알았는지 여러분에게
먼저 연락이 오기도 합니다. “출금 막힌 거 풀어드립니다”, “잃은 자산 추적해서 회수해 드립니다” 하면서요.
전부 사기입니다. 원리는 간단해요. 선불로 수수료를 요구하면 100% 사기입니다.
수사기관과 거래소 공식 창구는 회수를 대가로 선불 수수료를 받지 않습니다. 이미 한 번 털린 사람을 노려
두 번 털어 가는 구조라, 피해자가 지푸라기라도 잡고 싶은 그 심리를 정확히 파고듭니다.
회수해 준다는 개인·업체·채팅방은 예외 없이 걸러 내세요. 가짜 고객센터를 판별하는 감이 필요하면
안전한 거래소 판별법이 도움이 됩니다.

11. 이 수법이 싸지고 빨라진 배경 (2026년 기준 수치 모음)

이 섹션은 성격이 좀 다릅니다. 위에서 설명한 구조는 시간이 지나도 변하지 않지만, “왜 이 수법이
요즘 들어 이렇게 흔하고 빨라졌나”를 말하려면 숫자가 필요하거든요. 그 숫자들은 계속 바뀝니다.
그래서 변하는 수치는 전부 여기 한 곳에 모아 두고, 2026년 기준이라고 못 박아 둡니다.
숫자 자체보다 “규모가 이 정도로 커졌다”는 감만 가져가시면 됩니다.

비밀번호는 이미 새어 있습니다. 사람의 약 80~85%가 비밀번호를 재사용하고, 크리덴셜 스터핑용
목록에 오른 이메일 주소가 약 20억 개 규모로 돌아다닙니다. 2025년 집계에서 침해 사고의 22%가
크리덴셜 스터핑에서 비롯됐고, 도난당한 자격증명이 관여한 사고는 31%였습니다.

세션 쿠키를 훑는 악성코드가 산업화됐습니다. 2025년 기준 감염된 기기 약 580만 대에서
자격증명 약 18억 건이 탈취됐고, 도난 비밀번호·세션 쿠키는 침해 사고의 86%에 등장했습니다.
감염 후 몇 분 안에 쿠키가 빠져나갑니다.

피싱이 상품이 됐습니다. 실시간 중계 피싱 도구가 남이 만들어 파는 서비스 형태로 유통되고,
유명 거래소 로그인 화면을 복제한 템플릿과 자동 계정탈취 기능이 세트로 제공됩니다.
기술이 없어도 돈만 내면 공격을 돌릴 수 있게 된 겁니다.

번호 이전이 빨라지고, 목소리까지 복제됩니다. 원격 eSIM 개통이 보편화되며 번호 이전에 걸리는 시간이
5분 이하로 압축됐습니다. AI 음성복제는 몇 초 분량 음성만 있으면 목소리를 흉내 내고, 2026년 세대 도구는
통신사 상담원의 음성 확인을 약 70~80% 통과한다는 분석이 있습니다. 딥페이크 사기 시도 자체가
1,300% 늘었다는 집계도 있고요.

공식 통계 몇 가지(집계 기관·연도 함께). 미국 FBI IC3에서 심 스와프가 독립 유형으로 잡힌 2024년 수치는
접수 982건·피해액 약 2,600만 달러였고, 2022년은 2,026건·약 7,265만 달러로 더 컸습니다. 영국 Cifas 집계에선
무단 심 스와프가 2023년 289건에서 2024년 약 2,900건으로 뛰었고, 호주 IDCARE는 번호이동·심 스와프 상담이
2023년 대비 2024년 약 240% 늘었다고 보고했습니다.

마지막 숫자 하나. 한 조사 기준 2024년에도 암호화폐 거래소의 약 61%가 문자를 기본 2차 인증으로 쓰고
있었습니다. 위험하다고 표준기관이 공식 분류한 방식이 아직도 기본값이라는 뜻이에요. 그래서 다음 섹션에서
설정을 직접 바꾸는 게 중요합니다.

12. 세 개의 문을 하나씩 잠그는 설정 목록

구조를 다 봤으니, 이제 손으로 잠글 차례입니다. 거래소마다 화면 위치와 메뉴 이름은 다르고 수시로 바뀌니까,
여기선 ‘무엇을 켜야 하는지’만 정리합니다. 정확한 위치는 각 거래소 보안 설정에서 찾으면 됩니다.
세 개의 문 순서대로 갑니다.

여기에 습관 하나를 얹으세요. 로그인된 기기·세션 목록을 주기적으로 확인하고 낯선 건 바로 로그아웃하는 겁니다.
패스키로도 못 막는 세션 쿠키 탈취에 대한 유일한 실질 대응이 이거예요. 그리고 크랙·불법 다운로드는 끊으세요.
그게 세션 쿠키와 지갑 파일이 새는 국내 1순위 경로입니다.

이 설정들은 전부 각 거래소 보안 화면에서 직접 켜는 것들입니다. 아래는 이 자물쇠들을 다 갖춘 대표
거래소들이에요. 이미 계정이 있다면 새로 가입할 필요 없이, 지금 쓰는 거래소에서 위 항목부터 켜시면 됩니다.

제휴 고지: 일부 링크는 제휴 링크이며, 추가 비용 없이 수수료를 받을 수 있습니다. 투자 조언이 아닙니다.

거래소를 새로 고르는 기준 자체가 궁금하다면 암호화폐 거래소 추천·비교와
안전한 거래소 판별법을 참고하세요. 자가수탁 지갑 쪽 보안(시드·토큰 승인)은
이 글 범위 밖이라, 암호화폐 지갑 기초와 토큰 승인 회수로 이어집니다.

13. 보안에 관해 흔히 듣는 말과 실제로 벌어지는 일

보안 이야기엔 그럴듯하게 들리지만 실제와 어긋나는 말이 많습니다. 자주 듣는 말과 실제를 나란히 놓아 보겠습니다.
자주 듣는 말일수록 실제와 벌어지는 틈이 넓습니다.

특히 “거래소가 물어줄 것이다”라는 기대는 접어 두는 게 좋습니다. 배상은 드물게 있는 예외이고, 대개는
이용자가 인증 수단을 제대로 관리하지 못한 책임으로 정리됩니다. 그러니 거래소의 배상을 믿고 방심하는 것보다,
내가 걸 수 있는 자물쇠를 다 걸어 두는 편이 훨씬 확실합니다. 하드웨어 지갑 이야기도 짚어 두겠습니다.
하드웨어 지갑은 개인 지갑의 자산을 지키는 도구지, 거래소에 맡겨 둔 자산과는 아무 상관이 없어요.
거래소 계정 안의 코인은 하드웨어 지갑이 있든 없든 이 글에서 말한 세 개의 문으로 보호됩니다. 둘은 완전히 다른 문제입니다.

표를 관통하는 한 줄은 이겁니다. 대부분의 보안 조언이 로그인 문 하나만 붙들고 있고, 출금 문과 거래 문은
빼먹습니다. 앞 섹션의 설정 목록이 세 문을 차례로 훑는 이유가 그래서고, 계정이 실제로 잠기는 건
그 목록을 로그인 문에서 멈추지 않고 끝까지 켰을 때입니다.

14. 이 글에 나온 용어를 쉬운 말로

본문에 나온 용어를 쉬운 말로 정리해 둡니다. 낯선 단어에서 막혔던 분들은 여기서 확인하세요.

• 크리덴셜 스터핑: 다른 사이트에서 유출된 아이디·비밀번호 조합을 자동으로 거래소에 대입해 보는 공격.
  비밀번호 재사용을 노린다.
• 실시간 중계 피싱(중간자 피싱): 가짜 로그인 페이지가 입력값을 실시간으로 진짜 사이트에 넘겨,
  인증코드까지 그대로 통과시키는 수법.
• 세션 쿠키: 한 번 로그인하면 브라우저가 저장하는 ‘로그인된 상태’ 증표. 이걸 훔치면 비밀번호·인증코드
  없이 로그인된 상태로 들어올 수 있다.
• 인포스틸러: 감염된 기기에서 비밀번호·세션 쿠키·지갑 파일을 훑어 빼가는 악성코드 부류.
  크랙·불법 다운로드가 흔한 감염 경로다.
• TOTP(인증앱 코드): 인증앱이 30초마다 새로 만드는 일회용 숫자. 문자보다 안전하지만
  실시간 중계 피싱에는 뚫린다.
• 패스키 / 하드웨어 보안키: 도메인에 묶인 인증 수단. 가짜 사이트에는 애초에 응답하지 않아
  실시간 중계 피싱을 원천 차단한다.
• 안티피싱 코드: 내가 정한 문구가 거래소 공식 메일·문자에 항상 표시되게 해, 가짜를 가려내는 기능.
• 화이트리스트: 미리 등록한 주소로만 출금을 허용하는 출금 문 자물쇠. 신규 주소엔 대기시간이 붙는다.
• API 키 권한: 외부 서비스가 내 계정에 접근하는 열쇠. 조회·거래·출금 권한을 따로 줄 수 있고,
  거래 권한만으로도 무단 매매가 가능하다.
• SS7: 통신망 신호 프로토콜. 여기 접근 가능한 쪽은 내 번호를 옮기지 않고도 전송 중인 문자를 가로챌 수 있다.
• 심 스와프(번호 탈취): 통신사를 속이거나 내부자를 매수해 피해자 번호를 공격자 유심으로 옮기는 수법.
  통신사 직원을 속여 넘기는 방식이라, 아무리 강한 비밀번호를 써도 막을 수 없다.
• 계정 복구 경로: 비밀번호나 인증 수단을 잃었을 때 계정을 되찾는 절차. 이게 문자·이메일이면
  2차 인증을 켜 놔도 우회되는 뒷문이 된다. 그래서 복구 수단은 인증앱·백업 코드로 잡아 둬야 한다.
• 기간형 출금 잠금: 정해 둔 기간 동안 온체인 출금을 아예 막는 기능. 탈취 직후 즉시 출금을
  차단해, 대응할 시간을 벌어 준다.

용어가 낯설어도 괜찮습니다. 이 단어들은 전부 세 개의 문 중 어느 문을 어떻게 여느냐를
가리킵니다. 크리덴셜 스터핑·피싱·세션 쿠키·심 스와프는 로그인 문을, 화이트리스트는 출금 문을,
API 키 권한은 거래 문을 설명하는 말이죠. 문 셋과 자물쇠만 머리에 넣어 두면 나머지는 거기에 걸립니다.
낯선 보안 용어를 새로 들을 때마다 “이건 어느 문 이야기지?” 하고 되물어 보세요. 그게 이 글을 오래 써먹는 방법입니다.

가짜 에어드랍이나 토큰 승인 같은 자가수탁 쪽 용어는 이 글 범위를 넘어가니,
가짜 에어드랍 구별법과 암호화폐 사기 유형에서 이어 보시면 됩니다.

계정 탈취를 겪고 나면 자주 나오는 질문들

지금 내 계정의 세 문 잠그기: 거래소 보안 설정 비교