계정 복구는 아무도 미리 읽어 두지 않습니다. 새 폰 앞에서 빈 인증 앱을 보면서, 잔고가 어떻게 됐을지 걱정하면서 그때 읽습니다. 그러니 답부터 적겠습니다. 코인은 그대로 있습니다. 그리고 그 이유가 나머지 전부를 설명합니다. 계정에 대한 권리는 신원으로 증명되고, 2FA 는 그 권리 위에 얹힌 확인 절차이지 권리 자체가 아니기 때문입니다. 아래에서는 무엇이 잠기고 무엇은 안 잠기는지, 왜 심사와 대기 시간이 붙는지, 그 시간에 무엇을 해야 하는지, 그리고 재설정을 신청하면 안 되는 한 가지 상황을 정리합니다.

1. 코인은 계정에 그대로 있습니다

폰을 바꾸고 인증 앱을 열었는데 목록이 비어 있습니다. 아니면 앱을 지웠다가 다시 깔았고, 거래소 로그인 화면에서 여섯 자리를 넣으라는데 넣을 것이 없습니다. 이 순간 대부분 같은 생각을 합니다. 코인은 어떻게 되나.

코인은 그대로 계정에 있습니다. 잃어버린 것은 소유권이 아니라, 거래소가 특정 동작을 허용하기 전에 거치는 확인 절차 하나입니다. 계정이 내 것이라는 사실은 인증 앱이 아니라 신원으로 증명됩니다. 그래서 복구 경로가 존재하고, 계정을 잃은 것이 아니라 확인 수단 하나를 잃은 상태입니다.

상황별로 값이 완전히 다릅니다

여섯 줄 중 진짜 위험한 건 둘뿐이고, 사람들이 가장 무서워하는 줄은 그 둘에 없습니다. 폰을 잃은 것은 순서를 기다리면 되는 불편이고, 이메일까지 잃었거나 나를 사칭한 사람이 먼저 줄을 선 경우가 진짜 문제입니다.

지금 확인할 순서

표에서 내 줄을 찾기 전에 30초면 끝나는 확인이 셋 있습니다. 첫째, 기기 시각이 자동으로 맞춰져 있는지 봅니다. 코드가 틀린다고 나오는 사고의 상당수가 여기서 끝납니다. 둘째, 예전 폰이나 태블릿에 같은 인증 앱이 남아 있는지 확인합니다. 기기를 바꿨더라도 옛 기기가 손에 있으면 내보내기로 옮길 수 있습니다. 셋째, 백업 코드를 저장해 둔 곳이 있는지 떠올려 봅니다.

이 셋 중 하나라도 걸리면 재설정 신청 자체가 필요 없어집니다. 반대로 셋 다 아니라면 재설정으로 가야 하고, 그때부터는 속도가 아니라 순서가 중요해집니다. 아래 6번과 7번이 그 순서입니다.

2. 국내 거래소만 쓰던 분에게 낯선 지점

국내 거래소만 써 온 분에게는 이 절차의 절반이 이미 익숙합니다. 업비트나 빗썸에 가입할 때 이미 실명 계좌와 본인확인을 통과했고, 신원으로 사람을 확인하는 방식 자체가 낯설지 않습니다. 그래서 “신원 확인 후 재설정”이라는 말은 특별히 놀랍지 않습니다.

낯선 것은 그다음입니다. 재설정이 끝나도 출금이 곧바로 열리지 않는다는 점, 그리고 해외 거래소에서는 그 절차가 영어 티켓과 검토 대기열로 진행된다는 점입니다. 국내 앱에서 고객센터에 전화를 걸어 해결하던 감각으로 접근하면, 아무 반응 없이 흘러가는 몇 시간이 사고처럼 느껴집니다. 사고처럼 느껴지지만 설계된 대로 돌아가는 중입니다.

기기를 바꿀 때 인증 앱이 통째로 사라지는 이유

국내에서 폰을 교체할 때 매장에서 데이터를 옮겨 주는 경우가 많은데, 인증 앱은 이 이전에서 자주 빠집니다. 앱 안에 저장된 것은 사진이나 연락처 같은 파일이 아니라 설정 키라서, 일반적인 백업 복원으로 따라오지 않는 경우가 있기 때문입니다. 그래서 이 사고는 부주의보다 기기 교체 과정에서 구조적으로 생깁니다.

예를 들어 기존 폰을 반납하고 새 폰을 받은 뒤에야 앱이 비어 있다는 것을 알게 되면, 그때는 이미 옛 기기에서 내보내기를 할 수 없습니다. 그래서 아래 3번과 5번 섹션이 이 글에서 가장 실용적인 부분입니다. 지금 당장은 복구가 목적이지만, 같은 사고를 다시 겪지 않는 것이 그다음 목적입니다.

국내 거래소에서도 같은 일이 생깁니다

이 글이 해외 거래소 이야기처럼 보일 수 있는데, 국내 거래소에서도 인증 수단을 잃으면 같은 성격의 절차를 밟습니다. 다만 창구가 다릅니다. 본인 명의 휴대폰과 실명 계좌가 이미 계정에 묶여 있어서, 신원 확인이 상대적으로 빨리 끝나는 경우가 많습니다. 그리고 그 뒤에 붙는 제한도 비슷합니다. 보안 수단을 바꾸면 일정 시간 출금이 막히는 정책을 국내 거래소들도 두고 있습니다.

그래서 국내와 해외를 가르는 건 절차의 유무가 아니고 속도와 언어 쪽입니다. 국내는 본인 확인 수단이 이미 강하게 묶여 있어 확인이 빠르고, 해외는 서류와 대기열을 통과해야 합니다. 어느 쪽이든 재설정 뒤에 출금이 곧바로 열리지 않는다는 점은 같습니다.

티켓이 영어라는 것도 실제 장벽입니다

해외 거래소의 재설정은 대개 웹 양식과 티켓으로 진행되고, 답변도 영어로 옵니다. 여기서 두 가지가 자주 어긋납니다. 하나는 이름 표기입니다. 신분증의 로마자 표기와 계정에 등록한 영문 이름이 다르면 검토가 한 번 더 돌아갑니다. 다른 하나는 연락처입니다. 새로 등록하는 이메일과 전화번호는 앞으로 이 계정의 기준이 되므로, 급하다고 임시 주소를 넣으면 다음 사고 때 같은 절차를 또 밟게 됩니다.

번역기를 쓰는 것 자체는 문제가 없습니다. 다만 요청 내용을 짧고 사실 위주로 적는 편이 통과가 빠릅니다. 무엇을 잃었고, 마지막으로 로그인한 시점이 언제이며, 어떤 새 연락 수단을 등록하려는지 정도면 충분합니다. 사정을 길게 설명한다고 순서가 당겨지지 않습니다.

3. 여섯 자리는 전송되는 게 아니라 계산됩니다

복구 절차가 왜 이렇게 생겼는지 이해하려면 여섯 자리가 어디서 오는지부터 봐야 합니다. 이 숫자는 어디선가 전송돼 오는 값이 아닙니다. 내 폰 안에서 만들어집니다.

처음 2FA 를 켤 때 거래소가 QR 코드를 보여 줍니다. 그 안에는 설정 키라는 긴 무작위 문자열이 들어 있고, 앱이 그것을 저장합니다. 같은 설정 키를 다른 앱에 넣으면 같은 코드가 나오고, 그래서 기기를 바꿔도 복원이 됩니다. 그다음부터는 양쪽이 같은 계산을 합니다. 공유 비밀과 지금 시각을 30초 단위로 나눈 값을 함께 해시해서 여섯 자리를 뽑습니다. 여섯 자리는 계산되는 값이고, 재료는 공유 비밀과 시각 두 가지입니다. 이 방식을 TOTP 라고 부릅니다.

여기서 따라 나오는 것 세 가지

첫째, 앱은 비행기 모드에서도 코드를 만듭니다. 아무것도 전송되지 않으니 가로챌 문자도 없고 통신망이 필요하지도 않습니다. 문자 인증과 결정적으로 갈리는 지점입니다.

둘째, 지켜야 할 것은 앱이 아니라 설정 키입니다. 앱은 계산기일 뿐이고, 키만 있으면 어느 앱에서든 같은 코드가 나옵니다. 요즘 인증 앱들이 계정 동기화와 내보내기 QR 을 제공하는 이유도 이것입니다.

셋째, 시계가 어긋난 폰은 멀쩡히 동작하면서 틀린 코드를 만들어 냅니다. 서버는 보통 앞뒤로 한 스텝까지 받아 주기 때문에 방금 지나간 코드도 통과하지만, 그 범위를 넘어가면 전부 거절됩니다. 이 세 번째가 사람들을 필요 없는 재설정으로 밀어 넣습니다.

코드가 바뀌는 순간에 걸리는 흔한 실수

코드는 30초마다 새로 만들어집니다. 그래서 화면에 뜬 숫자를 옮겨 적는 동안 구간이 넘어가면, 방금 본 숫자가 이미 지난 코드가 됩니다. 서버가 앞뒤 한 구간을 받아 주기 때문에 대개는 그래도 통과하지만, 입력이 느렸거나 붙여넣기를 하다 시간이 더 흘렀다면 거절됩니다. 남은 시간이 얼마 없어 보이면 다음 코드를 기다렸다가 넣는 편이 확실합니다.

가령 코드를 세 번 연속 틀렸다고 계정이 잠기는 것도 아닙니다. 거래소마다 시도 제한이 있지만, 그것은 일정 시간 뒤 풀리는 제한이지 계정 소유가 사라지는 사건이 아닙니다. 여기서 당황해 아무 화면에나 정보를 넣기 시작하는 것이 더 큰 위험입니다.

4. 코드가 계속 틀리면 잠긴 게 아니라 시계입니다

재설정을 신청하기 전에 인증 앱이 깔린 기기의 시각부터 확인하십시오. 시계가 1분만 밀려 있어도 앱은 다른 구간의 코드를 만들고, 서버는 그것을 전부 거절합니다. 화면에는 코드가 올바르지 않다고 뜨는데, 이 문장은 계정이 잠긴 것과 구별되지 않습니다.

해결은 시시합니다. 기기 설정에서 날짜와 시간을 자동으로 맞추게 두거나, 인증 앱이 제공하는 시간 보정 기능을 한 번 실행하면 됩니다. 그다음 화면에 20초쯤 떠 있던 코드 말고 새로 갱신된 코드로 시도합니다.

가령 한동안 꺼 뒀던 예비 폰을 꺼내 쓰거나, 수리를 맡겼다가 초기화돼 돌아온 기기라면 이 상태일 가능성이 높습니다. 계정에는 아무 문제가 없고, 이 상태에서 재설정을 신청하면 내지 않아도 될 출금 제한을 며칠치 물게 됩니다. 순서를 바꾸는 것만으로 아끼는 시간입니다.

5. 설정 키, 앱, 백업 코드는 서로 다른 것입니다

대화에서 뒤섞여 쓰이는 세 가지를 구분하면 이 주제의 절반이 정리됩니다.

설정 키는 원재료입니다. QR 뒤에 있는 문자열이고, 다른 앱에 넣으면 같은 코드가 다시 만들어집니다. 인증 앱은 그 키를 들고 계산하는 계산기입니다. 갈아 끼울 수 있고, 키만 있으면 잃을 것이 없습니다. 백업 코드는 또 다른 것입니다. 미리 발급받아 두는 일회용 문자열 목록이고, 코드를 만들 수 없을 때 코드 대신 한 번씩 씁니다.

두 번째 요소의 종류

표에서 읽어야 할 것은 순위보다 성질입니다. 문자 인증이 나쁘다기보다 번호에 묶여 있다는 성질이 있고, 인증 앱은 기기에 묶여 있다는 성질이 있습니다. 그래서 대비하는 방법도 다릅니다. 앞의 것은 번호를 노리는 공격을 대비해야 하고, 뒤의 것은 기기를 잃을 때를 대비해야 합니다.

설정 키를 어디에 둘 것인가

가장 흔한 보관 방법이 QR 화면을 캡처해 두는 것인데, 이게 사진첩과 클라우드 동기화를 타고 여러 기기에 퍼집니다. 두 번째 요소를 지키려고 만든 값이 첫 번째 요소와 같은 곳에 놓이는 셈이라, 계정 하나가 뚫리면 둘 다 넘어갑니다. 종이에 적어 두거나, 비밀번호 관리 도구처럼 잠금이 걸린 저장소에 따로 두는 편이 낫습니다.

인증 앱의 계정 동기화를 켜는 선택도 같은 축에 있습니다. 켜면 기기를 잃어도 코드가 따라오니 분실 위험이 내려가고, 대신 그 동기화 계정이 새로운 표적이 됩니다. 어느 쪽이 낫다기보다, 켜는 순간 지켜야 할 계정이 하나 늘어난다는 사실을 알고 고르는 항목입니다. 켰다면 그 계정에도 두 번째 요소를 걸어 두어야 앞뒤가 맞습니다.

거래소마다 별개라는 점

많이 헷갈리는 지점이 하나 더 있습니다. 인증 앱 하나에 여러 거래소가 들어 있어도, 각 항목은 서로 다른 설정 키를 씁니다. 한 거래소의 2FA 를 재설정해도 다른 거래소 항목은 그대로 남고, 반대로 앱이 통째로 사라지면 들어 있던 모든 거래소에서 각각 재설정을 밟아야 합니다. 계정이 여러 개라면 이 작업이 한 번이 아니라 개수만큼 반복된다는 뜻입니다.

그래서 거래소를 여러 곳 쓰는 분은 우선순위를 정해 두는 편이 낫습니다. 잔고가 큰 곳부터 재설정을 신청하고, 나머지는 순서대로 처리합니다. 어차피 각각 심사와 대기 시간이 따로 붙기 때문에, 동시에 신청해 두면 대기 시간도 겹쳐서 지나갑니다.

6. 비밀번호 재설정과 달리 이건 사람이 봅니다

이제 재설정 자체입니다. 비밀번호 재설정은 자동으로 됩니다. 메일함이 곧 증명이기 때문입니다. 2FA 재설정은 자동으로 되지 않습니다. 지금 교체하려는 그 장치가, 비밀번호를 이미 아는 침입자를 막으려고 놓아 둔 마지막 확인이기 때문입니다.

그래서 절차가 신원 중심으로 설계돼 있습니다. 로그인 화면에서 확인이 불가능하다는 취지의 항목을 고르고, 잃어버린 수단을 표시하고, 새 연락 수단을 등록하면 검토 팀으로 넘어갑니다. 거래소 문서는 검토에 시간이 걸릴 수 있다고 분명히 적어 둡니다. 여기에는 앞당기는 버튼이 없고, 항의해서 순서를 바꿔 줄 수 있는 사람도 없습니다.

이 단계에서 실제로 도움이 되는 두 가지

하나, 공식 앱이나 공식 사이트에서 신청하고 그대로 두는 편이 낫습니다. 같은 내용으로 티켓을 여러 개 만들면 대기열이 짧아지는 게 아니라 처음부터 다시 잡히는 경우가 많습니다.

둘, 이 절차는 신원을 묻지 비밀번호나 지갑 복구문구를 묻지 않습니다. 어느 화면이든 그 둘을 요구하기 시작하면 그 지점부터는 복구 절차가 아닙니다. 이 이야기는 뒤에서 한 번 더 다룹니다.

심사에서 무엇을 보는가

거래소마다 다르고 계정 상태에 따라서도 달라지지만, 공통된 성격은 하나입니다. 계정을 만든 사람과 지금 요청하는 사람이 같은지를 봅니다. 그래서 신분 확인 자료나 얼굴 확인, 그리고 계정을 쓰던 사람만 알 만한 정보를 묻는 방식이 섞여 나옵니다. 어떤 서류가 필요한지 미리 단정하기 어려운 이유도 여기 있습니다.

준비해 두면 도움이 되는 것은 서류보다 기억 쪽입니다. 계정을 처음 만든 시기, 최근에 쓴 입출금 내역과 그 시점, 주로 접속하던 기기와 지역 같은 것들입니다. 반대로 준비하지 말아야 할 것도 분명합니다. 비밀번호, 지갑 복구문구, 그리고 원격 제어 앱 설치입니다. 정상 절차는 이 셋을 요구하지 않습니다.

7. 그다음이 출금 제한이고, 그게 이 구조의 핵심입니다

재설정이 끝났는데 출금이 여전히 막혀 있습니다. 사람들이 심사보다 이 대목에서 더 당황하고, 이 글에서 가장 알아 둘 값어치가 있는 부분이기도 합니다.

거래소마다 값이 다르므로 브랜드를 붙여서 봐야 합니다. 바이낸스는 2FA 장치를 재설정한 뒤 출금·P2P 매도·결제 서비스·카드 기능이 48시간 동안 비활성이라고 안내합니다. 바이비트는 보안 설정을 바꾸면 24시간 출금 제한이 걸리고, 이메일 변경이나 주소록 기능 해제도 같은 제한에 들어가며, 여기서 출금으로 치는 것에는 온체인 출금·내부 이체·법정화폐 출금·카드 결제·P2P 주문이 포함됩니다. OKX는 인증 앱을 재설정하거나 바꾼 뒤 24시간 출금이 막히고, 전화번호나 이메일을 바꿔도 같습니다. 쿠코인도 해당 상황에서 24시간 중단 뒤 자동으로 풀린다고 안내합니다.

이 시간이 왜 있는지

재설정 절차를 공격자 쪽에서 다시 읽어 보면 답이 나옵니다. 내 계정을 잡은 사람도 확인이 불가능하다는 항목을 똑같이 고를 수 있습니다. 자기 연락처를 등록할 수도 있습니다. 신원 검토가 그걸 걸러 내려고 있는 것이고, 출금 제한은 벌이 아닙니다. 검토가 속더라도 이득을 못 가져가게 만드는 두 번째 장치입니다.

바꿔 말하면 이 시간은 계정 탈취에서 가장 값나가는 몇 분을 하루 이상으로 늘려 놓습니다. 그 사이에 진짜 주인이 알림을 보고, 이상을 눈치채고, 계정을 정지시킬 여지가 생깁니다. 만약 이 제한이 없다면 재설정 경로가 계정을 비우는 가장 빠른 길이 되고, 공격자가 제일 먼저 시도하는 경로가 됩니다.

그래서 이 기다림은 거래소가 나를 의심한다는 뜻이 아니라, 나에게도 복구 경로가 열려 있기 때문에 치르는 값입니다. 출금이 막히는 다른 이유들, 이를테면 심사나 이상 거래 감지로 걸리는 경우는 거래소가 출금을 동결하는 이유에 따로 정리해 두었습니다.

언제 풀리는지 어떻게 아나

대부분의 거래소는 출금 화면에 제한이 걸려 있다는 안내와 해제 예정 시점을 함께 표시합니다. 그래서 고객센터에 언제 풀리냐고 묻기보다 출금 화면을 열어 보는 편이 빠릅니다. 표시가 없으면 재설정이 완료된 시각을 기준으로 세면 됩니다. 신청한 시각이 아니라 완료된 시각이 기준입니다.

여기서 주의할 것이 하나 있습니다. 대기 중에 보안 설정을 또 건드리면 그 변경으로 제한이 새로 시작될 수 있습니다. 이메일을 바꾸거나 주소록 보호 기능을 끄는 동작이 그렇습니다. 정리할 것이 있다면 제한이 풀린 뒤에 하는 편이 낫고, 지금 꼭 해야 하는 것은 앞 섹션의 목록 정도입니다.

급할 때 특히 아픈 이유

이 제한이 유난히 아프게 느껴지는 상황이 있습니다. 시세가 크게 움직여서 지금 팔아 원화로 빼고 싶은데 출금이 막혀 있는 경우입니다. 다만 여기서 구분할 것이 있습니다. 제한은 대개 자산이 계정 밖으로 나가는 동작에 걸리지, 거래 자체를 막지는 않습니다. 매도해서 스테이블코인이나 원화 자산으로 바꾸는 것까지는 되는 경우가 많고, 그것을 밖으로 옮기는 단계에서 막힙니다.

P2P 매도가 함께 막히는 것도 같은 성격입니다. 상대에게 코인을 넘기는 순간 자산이 계정 밖으로 나가기 때문에, 거래소는 그것을 출금과 같은 성격으로 봅니다. 그래서 재설정 직후에 P2P 주문을 걸어 두고 기다리는 방식은 통하지 않습니다.

8. 기다리는 시간이 가장 쓸모 있는 시간입니다

제한이 걸린 것은 출금이지 계정 전체가 아닙니다. 로그인, 잔고 확인, 거래, 설정 변경은 대개 그대로 됩니다. 이 구분을 알면 기다리는 시간이 죽은 시간에서 가장 쓸모 있는 시간으로 바뀝니다. 아래 항목은 전부 아직 열려 있을지 모르는 문을 닫는 일입니다.

여기서 가장 많이 건너뛰고 가장 많은 계정을 비우는 줄이 API 키입니다. 예전에 자동매매를 붙여 보려고 발급한 키에 출금 권한이 남아 있을 수 있고, 그 경로는 내가 보고 있는 인증 화면을 거치지 않습니다. 만든 기억이 없는 키가 보인다면 그건 남겨 둘 이유가 아니라 지울 이유입니다.

세션과 키를 정리하는 순서

순서가 있습니다. 먼저 API 키를 지웁니다. 세션부터 끊으면 상대가 다시 로그인할 뿐이지만, 출금 권한이 붙은 키는 로그인 없이도 동작하기 때문입니다. 그다음 모든 기기에서 로그아웃하고, 마지막으로 비밀번호를 바꿉니다. 비밀번호를 먼저 바꾸면 상대의 세션이 살아 있는 채로 알림만 가서 상대가 서두르게 만드는 경우가 있습니다.

정리한 뒤에는 로그인 이력을 다시 봅니다. 내가 방금 만든 접속 외에 다른 항목이 계속 생긴다면 아직 열린 경로가 남았다는 뜻이고, 그때는 혼자 정리하는 단계를 넘어 거래소에 계정 정지를 요청할 차례입니다.

9. 문이 셋이라 무엇이 잠겼는지부터 봐야 합니다

당황의 절반은 무엇이 아직 되는지 모르는 데서 옵니다. 거래소 계정은 문이 하나가 아니라 셋입니다. 각각 지키는 장치가 다르고 따로 뚫립니다.

설정 메뉴의 장치들도 역할이 다릅니다

보안 설정에 나란히 있어서 비슷해 보이지만 서로를 대신하지 않습니다. 2FA 는 민감한 동작을 허용할지 판단합니다. 화이트리스트는 자금이 갈 수 있는 곳을 제한합니다. 미리 등록해 둔 주소로만 출금을 허용하는 설정입니다. 안티 피싱 코드는 거래소가 보내는 진짜 메일에 넣어 주는 짧은 문자열이라, 받은 메일이 위조인지 한눈에 갈립니다. 패스키는 문자로 오는 요소 자체를 대체합니다. 기기에 있는 생체 인식이나 화면 잠금으로 인증하는 방식입니다.

2FA 는 잘 걸어 뒀는데 화이트리스트를 안 건 계정은, 로그인 한 번만 뚫리면 자금이 어디로든 나갈 수 있는 상태입니다. 목적지를 제한하는 장치가 하나도 없기 때문입니다.

거래 문이 뚫리면 어떻게 되는가

세 번째 문은 설명이 잘 안 되는 편이라 짚어 두겠습니다. 출금을 막아 두면 안전하다고 생각하기 쉬운데, 계정에 들어온 사람은 출금 없이도 잔고를 깎을 수 있습니다. 거래량이 적은 종목을 골라 비싼 값에 사고 싼값에 파는 주문을 양쪽에서 내면, 손실은 내 계정에 남고 이익은 상대 계정으로 갑니다. 자금이 나가는 흔적이 출금 내역에 남지 않아서 늦게 발견됩니다.

그래서 정리할 때 거래 쪽도 함께 봅니다. 내가 낸 기억이 없는 주문 이력, 평소 안 쓰던 종목의 체결, 그리고 API 키에 붙은 거래 권한이 확인 대상입니다. 출금 화이트리스트만 걸어 두고 안심하기에는 문이 하나 더 있습니다.

10. 문자 인증이 약한 건 폰이 아니라 통신사 때문입니다

두 번째 요소 중에서 문자 인증만 따로 떼어 볼 이유가 있습니다. 폰이 취약해서가 아닙니다.

이 공격은 내 기기를 노리지 않습니다. 통신사를 노립니다. 공격자가 개인정보를 모아 그럴듯하게 꾸민 뒤 통신사에 연락해서 내 번호를 자기 SIM 으로 옮깁니다. 그 순간부터 인증 문자와 재설정 링크가 전부 상대 폰으로 갑니다. 내 폰은 아무것도 뚫리지 않았고, 내가 폰에 무엇을 해 뒀어도 막히지 않습니다.

알아챌 수 있는 신호

신호는 갑작스럽고 놓치기 쉽습니다. 이유 없이 휴대폰이 통신 불가 상태가 됩니다. 거래소에 자산을 둔 상태에서 그런 일이 생기면 통신 장애로 넘기지 말고 사건으로 다루는 편이 낫습니다. 번호가 넘어간 뒤의 순서는 정해져 있습니다. 비밀번호 재설정, 2FA 재설정, 출금 순입니다.

국내에서는 통신사와 명의도용 방지 서비스 쪽에 번호 이동과 명의 변경을 잠가 두는 설정이 있고, 알림을 받아 두면 이 신호를 더 빨리 봅니다. 그리고 애초에 거래소 2FA 를 문자에서 인증 앱이나 패스키로 옮겨 두면 통신사가 내 계정을 넘길 수 있는 명단에서 빠집니다. 계정 탈취가 안에서 어떻게 진행되는지는 거래소 계정이 해킹당하는 경로에 정리해 두었습니다.

번호 쪽에서 미리 잠가 두는 것

통신사에는 명의 변경과 번호 이동을 잠가 두는 설정이 있고, 명의도용 방지 서비스에 가입해 두면 새 개통이나 명의 변경이 생길 때 알림을 받습니다. 알뜰폰을 쓰는 경우에는 실제 통신망 사업자와 요금제 사업자가 달라 창구가 나뉘므로, 어느 쪽에 어떤 잠금이 걸려 있는지 한 번 확인해 두는 편이 낫습니다.

그리고 번호가 끊겼을 때 쓸 연락 수단을 미리 정해 두면 대응이 빨라집니다. 집이나 회사 인터넷으로 접속할 수 있는 이메일, 그리고 통신사 고객센터에 연결할 다른 전화기 정도면 됩니다. 번호가 넘어간 상황에서는 문자와 전화가 전부 상대 쪽에 있으므로, 평소 쓰던 경로가 그 순간 하나도 남지 않습니다.

11. 진짜 단일 실패 지점은 이메일입니다

모두가 인증 앱을 보고 있는 동안 놓치는 곳이 있습니다. 신원과 메일함으로 계정을 되찾을 수 있다면, 그 메일함이 조용히 아주 큰 일을 하고 있다는 뜻입니다. 재설정 링크도, 승인 안내도, 보안 경고도 전부 그리로 갑니다.

그래서 대부분의 거래소 설정에서 이메일 계정이 진짜 단일 실패 지점이고, 두 번째 요소가 아닙니다. 그런데 그 메일함은 어딘가 유출 목록에 이미 올라 있는 비밀번호 하나로만 지켜지고 있는 경우가 많습니다. 메일함을 쥔 사람은 재설정을 시작할 수 있고, 확인 메일을 받을 수 있고, 나에게 갈 경고를 지울 수도 있습니다.

그래서 순서가 이렇게 됩니다

메일 계정에 최소한 거래소만큼의 보안을 겁니다. 거기에도 2단계 인증을 걸고, 가능하면 문자 방식은 피합니다. 그리고 메일 계정 자체에 붙어 있는 복구 수단을 점검합니다. 오래된 전달 규칙이나 예전에 등록해 둔 복구 전화번호가 그대로 남아 있으면, 그것이 아래쪽 전부로 통하는 뒷문이 됩니다.

작은 습관 두 가지가 여기 붙습니다. 보안 알림 메일을 지우지 말고 읽는 것, 그리고 안티 피싱 코드를 기억해 두는 것입니다. 보안 설정이 바뀌었다는 알림은 내가 받는 가장 이른 경고이고, 진짜 메일에는 내가 설정한 문자열이 들어 있는데 위조에는 없습니다.

메일 계정에서 실제로 점검할 항목

세 가지면 대부분 덮입니다. 첫째, 전달 규칙과 필터입니다. 거래소 알림만 골라 다른 주소로 넘기거나 읽음 처리하고 보관함으로 치워 두는 규칙이 걸려 있으면, 경고가 도착해도 내 눈에는 오지 않습니다. 둘째, 복구 수단입니다. 예전에 등록해 둔 전화번호나 보조 이메일이 지금도 내 것인지 확인합니다. 셋째, 앱 비밀번호나 외부 앱 접근 권한입니다. 쓰지 않는 연결이 남아 있으면 정리합니다.

국내에서 자주 겹치는 사정이 하나 더 있습니다. 거래소 알림을 받는 주소가 오래전에 만든 메일이고, 그 메일의 복구 수단이 지금은 쓰지 않는 번호로 남아 있는 경우입니다. 이 조합은 평소에는 아무 문제가 없다가 복구가 필요한 순간에만 드러납니다. 지금 확인해 두는 것이 그 순간을 없애는 방법입니다.

12. 남이 먼저 재설정을 신청한 경우

여기까지는 재설정을 신청하는 사람이 나라는 전제였습니다. 더 나쁜 경우는 도착해 보니 누군가 앞에 서 있는 상황이고, 이건 증상부터 다릅니다.

계정 탈취는 대개 로그인 문에서 시작합니다. 안으로 들어온 다음의 수순은 자리를 굳히는 것입니다. 연락 수단과 2FA 를 자기 것으로 바꿉니다. 신호는 보고 있으면 보입니다. 내가 바꾸지 않은 설정이 바뀌어 있고, 가 본 적 없는 곳에서 로그인 알림이 오고, 세션 목록에 모르는 기기가 있습니다. 그리고 어느 순간부터 메일이 오지 않기도 합니다. 전달 규칙이 걸렸기 때문입니다.

이때는 순서를 바꿔야 합니다

반사적으로 재설정을 신청하게 되는데, 이 상황에서는 그게 틀린 첫수입니다. 같은 절차에 공격자와 나란히 줄을 서서 검토가 사람을 제대로 골라 주기를 바라는 셈이기 때문입니다. 먼저 할 일은 거래소에 계정 정지와 출금 차단을 요청하는 것입니다. 주요 거래소에는 계정 도용 신고 경로가 따로 있고, 평소의 재설정 절차와 다른 창구입니다.

그다음은 앞에서 본 목록을 거꾸로 훑는 일입니다. 세션, API 키, 메일함 순입니다. 이미 자금이 빠져나갔다면 현실적인 범위는 코인 사기 환불이 가능한가에 정리해 두었고, 돈을 더 쓰기 전에 읽어 보는 편이 낫습니다. 거래소 계정이 아니라 내 지갑에서 벌어진 일이라면 시계와 절차가 완전히 다르고, 그건 시드문구가 유출됐을 때 쪽입니다.

정지를 요청할 때 적을 것

계정 도용 신고는 길게 쓸수록 좋은 게 아니라 빨리 전달될수록 좋습니다. 필요한 것은 셋입니다. 내 계정을 특정할 수 있는 정보, 이상을 발견한 시각, 그리고 지금 요청하는 조치입니다. 조치는 “계정 정지와 출금 차단”처럼 분명하게 적습니다. 무엇이 잘못됐는지 설명하느라 요청이 뒤로 밀리면, 읽는 사람이 먼저 해야 할 동작을 놓칩니다.

그리고 이 요청은 재설정 신청과 다른 창구입니다. 재설정 양식에 사정을 적는 것으로 갈음되지 않으니, 도용 신고 경로를 따로 찾아 쓰십시오. 두 절차가 섞이면 검토 쪽에서도 무엇을 먼저 처리할지 판단이 늦어집니다.

놓치기 쉬운 신호 몇 가지

설정 변경 알림 말고도 앞서 오는 신호가 있습니다. 출금 주소록에 내가 등록하지 않은 주소가 들어와 있는 경우, 안티 피싱 코드가 바뀌어 있는 경우, 그리고 로그인은 되는데 특정 기능만 계속 추가 인증을 요구하는 경우입니다. 마지막은 거래소의 위험 감지가 이미 이상을 보고 있다는 뜻일 수 있습니다.

메일이 갑자기 조용해지는 것도 신호입니다. 평소 오던 로그인 알림이 며칠째 없다면 알림이 꺼졌거나 전달 규칙이 걸렸을 수 있습니다. 이 경우 거래소 화면의 알림 설정과 메일함의 필터를 함께 봐야 원인이 갈립니다.

13. 복구를 검색하다 만나는 두 번째 공격

이 상황에 놓인 사람을 노리는 두 번째 공격이 따로 있습니다. 계정을 노리는 게 아니라, 고치려고 검색하는 그 행동을 노립니다.

계정 복구를 검색하면 대신 처리해 주겠다는 사람들이 같이 나옵니다. 같은 문제를 적은 글 아래 댓글로, 거래소 이름과 로고를 쓴 계정으로, 진짜 지원 페이지 위에 뜨는 광고로 나타납니다. 국내에서는 오픈채팅방이나 메신저로 옮겨 가자는 제안이 붙습니다. 진짜 절차가 느리고 불투명하기 때문에 이 제안이 그럴듯하게 들립니다.

전부를 관통하는 규칙은 하나입니다. 지원은 공식 앱이나 공식 사이트 안에서, 내가 먼저 시작합니다. 댓글이나 쪽지에서 시작된 것은 시작점부터 틀렸습니다. 이 접근들이 공통으로 쓰는 구조는 코인 사기가 어떻게 구성되는지에 있습니다.

화면 공유와 원격 앱을 요구하는 경우

최근에 늘어난 형태가 하나 더 있습니다. 도와주겠다며 화면 공유나 원격 제어 앱 설치를 요구하는 방식입니다. 명분은 그럴듯합니다. 어디서 막혔는지 직접 봐야 한다는 것입니다. 그런데 화면을 공유하는 순간 인증 코드와 잔고, 주소록이 전부 상대에게 보이고, 원격 앱이 깔리면 내 기기에서 조작까지 가능해집니다.

정상 지원은 이것을 요구하지 않습니다. 필요한 정보는 티켓 안에서 글과 첨부로 주고받습니다. 가령 화면을 보여 달라는 요청을 받으면, 그 대화가 공식 티켓 안에서 시작된 것인지부터 확인하십시오. 대부분 그렇지 않습니다.

자주 듣는 말과 실제

마지막 줄만 조금 더 풀어 두겠습니다. 2FA 는 거래소 계정의 접근을 지킵니다. 내가 키를 들고 있는 지갑에는 로그인이라는 개념이 없으니 역할도 없습니다. 반대로 하드웨어 지갑은 키를 지키지 계정을 지키지 않습니다. 유출된 비밀번호나 넘어간 번호에는 아무 역할을 하지 않습니다. 어느 쪽을 손봐야 하는지는 내 자산이 실제로 어디에 있는지에서 갈리고, 그 구분이 낯설다면 암호화폐 지갑이 무엇인지가 앞 단계입니다. 코인 자체가 처음이라면 암호화폐 시작하기부터 보시는 편이 낫습니다.

다시 겪지 않으려면 세 가지

복구가 끝난 시점이 예방을 하기에 가장 좋은 때입니다. 방금 겪어서 무엇이 아팠는지 기억하고 있기 때문입니다. 첫째, 새로 등록한 인증 항목의 설정 키를 폰이 아닌 곳에 따로 둡니다. 이 하나만으로 다음 기기 교체가 사고에서 작업으로 바뀝니다.

둘째, 이메일 계정에 두 번째 요소를 겁니다. 거래소 복구 경로가 그 메일함을 딛고 서 있어서, 여기가 약하면 나머지를 아무리 조여도 소용이 없습니다. 셋째, 출금 화이트리스트를 켜고 지금 쓰는 주소만 등록해 둡니다. 로그인이 뚫려도 자금이 갈 수 있는 곳이 묶여 있으면 피해가 거기서 멈춥니다.

세 가지를 다 하는 데 30분이 걸리지 않습니다. 그리고 이번에 치른 대기 시간과 비교하면 셈이 분명합니다. 덧붙이자면 이 셋은 사고가 났을 때만 쓰는 장치가 아닙니다. 설정 키를 따로 두면 폰을 바꿀 때마다 편해지고, 화이트리스트를 켜 두면 평소에도 주소를 잘못 붙여넣는 실수를 걸러 줍니다.

용어 정리

TOTP. 인증 앱 코드의 방식. 공유 비밀과 지금 시각을 30초 단위로 나눠 해시해서 여섯 자리를 만들고, 양쪽이 따로 계산해 대조합니다.

설정 키. QR 뒤에 있는 문자열. 다른 앱에 넣으면 같은 코드가 다시 만들어져서, 실제로 보관 가치가 있는 것은 이쪽입니다.

백업 코드. 미리 발급받는 일회용 문자열 목록. 코드를 만들 수 없을 때 대신 씁니다.

패스키. 기기의 생체 인식이나 잠금으로 인증하는 로그인 방식. 가로채거나 낚을 코드가 없습니다.

출금 화이트리스트. 미리 등록해 허용한 주소로만 출금하게 제한하는 설정. 로그인이 뚫려도 목적지를 묶어 둡니다.

안티 피싱 코드. 내가 정해 두면 거래소가 진짜 메일에 넣어 주는 짧은 문자열. 위조 메일에는 없습니다.

SIM 스와프. 내 번호를 공격자 SIM 으로 옮겨서 문자와 재설정 링크를 가져가는 공격.

14. 필자의 판단: 안내 문서 네 개를 나란히 읽고 남은 것

거래소 네 곳의 안내 문서를 나란히 놓고 읽으면 네 가지가 남습니다.

설계는 앞뒤가 맞습니다. 신원이 계정을 되돌리고, 검토가 그 신원을 확인하고, 검토가 틀렸을 경우를 출금 제한이 덮습니다. 세 단계가 전부 같은 사실에서 나옵니다. 복구 경로는 나에게만 열려 있는 게 아니라 나를 사칭한 사람에게도 열려 있다는 사실입니다. 어느 한 조각을 빼면 그 경로가 곧 공격 수단이 됩니다.

그리고 이 구조는 사용자에게 준비를 미룹니다. 거래소는 설정 키를 보관하라고 권하지만, 그 문구는 2FA 를 켜는 화면에 한 줄로 지나가고 다시는 나오지 않습니다. 백업 코드도 마찬가지입니다. 발급받는 순간에는 아무 일도 없으니 대충 넘기고, 필요해지는 시점은 그로부터 한참 뒤입니다. 설계가 사용자에게 요구하는 준비와 사용자가 실제로 하는 준비 사이의 간격이 이 주제의 사고 대부분을 만듭니다.

맞는 상황은 생각보다 좁습니다. 이 구조는 기기를 잃은 사람을 잘 처리합니다. 메일함을 잃은 사람은 잘 처리하지 못합니다. 작정하고 사칭하는 사람에 대해서는 확신이 아니라 시간을 벌어서 대응할 뿐입니다. 합리적인 교환이고, 안전하다는 말과는 다른 말입니다.

가장 미심쩍은 전제는 절차가 아니라 전달입니다. 출금 제한은 그 안에서 내가 알아챌 때만 의미가 있습니다. 그런데 알아채는 일은 알림이 도착하는지에 달려 있고, 그 알림은 공격자가 이미 쥐고 있을지 모르는 주소로 가거나 내가 열어 보지 않는 폴더로 들어갑니다. 통제 자체는 튼튼한데 전달이 무릅니다. 검색해서 여기까지 오게 만든 인증 앱보다 메일함이 더 중요한 이유입니다.

반대 의견이 성립하는 자리도 분명합니다. 재설정의 대부분은 폰을 바꾼 평범한 사람인데, 소수의 공격자 때문에 다수가 기다린다고 말할 수 있습니다. 실제로 그렇습니다. 다만 그 반대편은 이미 시험을 거쳤습니다. 즉시 재설정이 가능하던 시절에 계정이 그 경로로 비워졌고, 업계가 재미로 마찰을 넣은 게 아닙니다. 제가 받아들이지 않는 건 기다림이 곧 의심이라는 프레임입니다. 아직 구별하지 못한다는 뜻이고, 그건 다른 말이며 더 정직한 말입니다. 여기까지 읽고 거래소에 두는 양 자체를 줄여야 겠다는 결론이 든다면, 거래소가 파산하면 내 코인은 어떻게 되나와 안전한 거래소를 판별하는 기준이 이어서 볼 두 편입니다. P2P 로 팔던 중이라면 출금 제한이 계좌 쪽 문제와 겹쳐 보일 수 있는데, 원인이 다른 사건입니다.

제휴 고지: 일부 링크는 제휴 링크이며, 추가 비용 없이 수수료를 받을 수 있습니다. 투자 조언이 아닙니다.

자주 묻는 질문

이어서 볼 것: 거래소 계정이 해킹당하는 경로