거래소 API 키 관리법 — 출금 권한을 끄는 이유

API 키는 또 하나의 열쇠다

자동매매 봇이나 포트폴리오 관리 도구를 쓰려면 거래소에서 API 키를 발급받아 연결합니다. 이 키는 아이디와 비밀번호 없이도 프로그램이 내 계정을 다루게 해주는 통행증입니다.

문제는 이것이 비밀번호만큼 위험한데도 훨씬 가볍게 다뤄진다는 점입니다. 비밀번호는 아무 데나 적지 않으면서, API 키는 코드 안에 그대로 써두거나 남이 만든 프로그램에 별생각 없이 입력하는 경우가 많습니다.

권한은 필요한 것만

키를 만들 때 거래소는 권한을 나눠서 물어봅니다. 잔고와 시세를 보는 읽기 권한, 주문을 내는 거래 권한, 그리고 자산을 밖으로 보내는 출금 권한입니다.

원칙은 단순합니다. 시세 확인이나 수익률 계산용 도구라면 읽기 권한만으로 충분합니다. 자동매매를 돌린다면 거래 권한까지만 켭니다. 출금 권한은 어떤 경우에도 켜지 마세요. 정상적인 매매 도구는 출금 권한을 요구할 이유가 없고, 요구한다면 그 자체가 경고 신호입니다.

거래 권한만으로도 털린다

출금을 막아두면 안심해도 될까요. 그렇지 않습니다. 거래 권한만 있는 키가 유출돼 자산이 사라지는 수법이 반복적으로 보고돼 왔습니다.

방법은 이렇습니다. 공격자가 미리 거래가 뜸한 코인을 사둡니다. 그다음 유출된 키들을 한꺼번에 이용해 피해자 계정의 잔고로 그 코인을 시장가로 사들입니다. 물량이 얇으니 가격이 폭등하고, 공격자는 미리 사둔 물량을 그 가격에 팔아치웁니다. 피해자에게는 터무니없이 비싸게 산 잡코인만 남습니다. 출금이 한 번도 일어나지 않았는데 자산은 사라진 셈입니다.

IP 제한이 가장 확실하다

권한 최소화보다 더 강력한 장치가 IP 화이트리스트입니다. 지정한 주소에서 오는 요청만 받아들이도록 설정하면, 키가 통째로 유출돼도 다른 곳에서는 아무것도 할 수 없습니다.

서버에서 봇을 돌린다면 그 서버 주소만 등록하면 되므로 간단합니다. 집에서 쓰는 경우 인터넷 주소가 바뀌어 불편할 수 있지만, 거래 권한을 켜야 하는 상황이라면 이 불편을 감수할 값어치가 충분합니다. 많은 거래소가 IP 제한 없이는 거래 권한 자체를 제한하기도 합니다.

보관과 폐기 습관

발급받은 키는 소스 코드에 직접 쓰지 말고 환경 변수나 별도 설정 파일로 분리해야 합니다. 특히 깃허브 같은 공개 저장소에 실수로 올라간 키는 자동으로 훑는 봇들이 몇 분 안에 찾아냅니다. 화면 공유나 스크린샷에 노출되는 것도 흔한 경로입니다.

그리고 쓰지 않는 키는 반드시 삭제하세요. 한 번 시험해 보고 만 도구, 이제 안 쓰는 봇의 키가 계정에 그대로 남아 있는 경우가 많습니다. 키는 용도별로 따로 만들어 문제가 생겼을 때 그것만 끊을 수 있게 하고, 주기적으로 새로 발급받아 교체하는 편이 좋습니다.

유출이 의심되면

순서는 정해져 있습니다. 먼저 해당 키를 즉시 삭제합니다. 권한을 낮추는 것으로는 부족하고 폐기가 맞습니다. 그다음 계정 비밀번호를 바꾸고 2단계 인증을 재설정합니다.

이어서 최근 주문 내역과 잔고를 확인해 내가 내지 않은 거래가 있는지 봅니다. 있다면 스크린샷과 시각을 기록해 거래소에 즉시 신고하세요. 마지막으로 남아 있는 다른 키들도 점검합니다. 하나가 뚫렸다면 같은 경로로 다른 키도 노출됐을 가능성이 있습니다.

유의사항

본 가이드는 정보 제공을 목적으로 하며, 특정 암호화폐의 매수·매도를 권유하는 투자 조언이 아닙니다. 암호화폐는 가격 변동성이 매우 크므로 투자 결정과 그 결과에 대한 책임은 본인에게 있습니다.

함께 읽으면 좋은 글