API 키 보안 관리법: 권한 설정과 IP 화이트리스트
2026. 10. 25.
자동매매 프로그램이나 포트폴리오 관리 도구를 쓰려면 거래소에서 API 키를 발급받아야 합니다. API 키는 비밀번호 없이도 프로그램이 내 계정에 접근할 수 있게 해 주는 열쇠입니다. 편리한 만큼, 이 열쇠가 유출되면 로그인 비밀번호가 유출된 것과 비슷하거나 그 이상의 피해가 생길 수 있습니다. 그래서 API 키 보안은 자동화를 시작하기 전에 반드시 챙겨야 할 기본기입니다.
실제로 API 키가 유출된 계정에서 공격자가 출금은 하지 못하더라도, 거래량이 거의 없는 코인을 비싼 값에 대량 매수하게 만들어 자산을 빼돌리는 방식의 피해가 알려져 있습니다. 출금 권한을 막아 두었다고 안심할 수 없는 이유입니다.
이 글에서는 API 키의 권한 구조와 최소 권한 원칙, IP 화이트리스트 설정, 보관과 교체 요령, 유출이 의심될 때의 대응 순서를 차례로 살펴봅니다.
API 키는 어떻게 구성되어 있나
대부분의 거래소 API 키는 공개 키(액세스 키)와 비밀 키(시크릿 키)의 쌍으로 발급됩니다. 공개 키는 "누구인지"를 알려 주는 식별자이고, 비밀 키는 요청이 진짜 본인에게서 왔다는 것을 증명하는 서명에 사용됩니다. 일부 거래소는 여기에 추가 암호(패스프레이즈)를 요구하기도 합니다.
비밀 키는 보통 발급 시점에 한 번만 화면에 보여 주고 이후에는 다시 확인할 수 없습니다. 이 특성 때문에 많은 사람이 비밀 키를 메모장이나 메신저에 복사해 두는데, 바로 이 과정에서 유출이 자주 일어납니다.
최소 권한 원칙: 필요한 권한만 켜기
API 키를 발급할 때는 거래소가 제공하는 권한 항목을 하나씩 선택하게 됩니다. 원칙은 단순합니다. 프로그램이 실제로 쓰는 기능에 해당하는 권한만 켜고, 나머지는 모두 끕니다.
| 권한 종류 | 할 수 있는 일 | 권장 설정 |
|---|---|---|
| 조회(읽기) | 잔고, 주문 내역, 체결 내역 확인 | 대부분의 도구에 필요, 단독 사용 시 위험도 낮음 |
| 거래(주문) | 매수·매도 주문 및 취소 | 자동매매에만 켜고, 조회 전용 도구에는 끔 |
| 출금 | 외부 주소로 자산 전송 | 꼭 필요한 경우가 아니면 끔, 켤 경우 출금 주소 화이트리스트 필수 |
| 선물·마진 | 레버리지 상품 거래 | 사용하지 않으면 끔 |
| 계정 간 이체 | 하위 계정·지갑 간 자산 이동 | 용도가 분명할 때만 켬 |
또 하나의 요령은 용도별로 키를 나누는 것입니다. 수익 확인용 키는 조회 권한만, 자동매매용 키는 조회와 거래 권한만 주는 식으로 분리하면, 한 키가 유출되더라도 피해 범위가 그 키의 권한으로 제한됩니다.
IP 화이트리스트란 무엇인가
IP 화이트리스트는 지정한 IP 주소에서 온 요청만 해당 API 키로 받아들이도록 하는 기능입니다. 키가 유출되더라도 공격자의 컴퓨터는 허용된 IP가 아니기 때문에 요청이 거부됩니다. API 키 보안에서 가장 효과가 큰 단일 설정이라고 해도 과언이 아닙니다.
고정 IP가 필요한 이유
가정용 인터넷은 IP 주소가 수시로 바뀌는 경우가 많습니다. 이런 환경에서 화이트리스트를 걸면 IP가 바뀔 때마다 프로그램이 멈춥니다. 그래서 자동매매 프로그램은 고정 IP를 제공하는 클라우드 서버나 고정 IP 회선에서 실행하는 경우가 많습니다.
IP 제한이 없는 키의 위험
거래소에 따라 IP 제한이 없는 키는 일정 기간이 지나면 자동으로 만료되거나, 거래·출금 같은 민감한 권한 부여가 제한되기도 합니다. 정책은 거래소마다 다르므로 API 관리 화면의 안내를 확인해야 합니다.
API 키 발급부터 운영까지 안전한 순서
- 용도 정하기: 이 키로 어떤 프로그램이 무엇을 할지 먼저 정합니다.
- 실행 환경 준비: 프로그램을 실행할 서버나 PC의 고정 IP를 확인합니다.
- 최소 권한으로 발급: 용도에 필요한 권한만 선택하고, 출금 권한은 기본적으로 끕니다.
- IP 화이트리스트 등록: 확인한 IP만 허용하도록 설정합니다.
- 안전하게 보관: 비밀 키는 환경 변수나 비밀번호 관리자, 암호화된 설정 파일에 보관하고 코드나 메신저에 붙여 넣지 않습니다.
- 이름 붙이기: 거래소 화면에서 키마다 용도를 알 수 있는 이름을 붙여 관리합니다.
- 정기 점검과 교체: 몇 달에 한 번 사용하지 않는 키를 삭제하고, 오래된 키는 새로 발급해 교체합니다.
자주 발생하는 유출 경로
- 코드 저장소 업로드: 키가 들어간 설정 파일을 공개 저장소에 올리는 실수는 가장 흔한 유출 원인 중 하나입니다. 자동으로 공개 저장소를 훑어 키를 수집하는 시도도 있는 것으로 알려져 있습니다.
- 메신저·이메일 공유: 도움을 받으려고 키를 다른 사람에게 보내는 경우입니다. 대화방이 해킹되면 키도 함께 노출됩니다.
- 출처가 불분명한 프로그램: "수익 자동화"를 내세운 검증되지 않은 프로그램이나 브라우저 확장 프로그램에 키를 입력하는 경우입니다.
- 화면 공유와 스크린샷: 방송이나 질문 게시글에 키가 보이는 화면을 그대로 올리는 경우도 있습니다.
유출이 의심될 때 대응 순서
평소와 다른 주문 내역이 보이거나, 키를 실수로 공개했다는 사실을 알게 되면 즉시 움직여야 합니다. 가장 먼저 거래소에서 해당 API 키를 삭제하거나 비활성화합니다. 이어서 열려 있는 주문을 확인해 의심스러운 주문을 취소하고, 계정 비밀번호와 2단계 인증 설정을 점검합니다. 피해가 확인되면 거래소 고객센터에 즉시 신고하고, 해당 키를 사용하던 프로그램과 PC에 악성 코드가 없는지도 점검해야 합니다.
외부 서비스에 API 키를 연결할 때의 판단 기준
수익 조회 앱, 세금 계산 서비스, 자동매매 플랫폼처럼 외부 서비스에 API 키를 등록해야 하는 경우도 많습니다. 이때 키는 내 서버가 아니라 그 회사의 서버에 저장되므로, 서비스 운영사의 보안 수준이 곧 내 계정의 보안 수준이 됩니다.
- 요구하는 권한 확인: 조회만 하는 서비스가 거래나 출금 권한을 요구한다면 연결하지 않습니다.
- 운영 주체 확인: 회사 정보, 운영 기간, 보안 사고 이력, 개인정보 처리 방침을 살펴봅니다.
- IP 지정 지원 여부: 서비스가 고정된 서버 IP를 공개해 화이트리스트에 등록할 수 있게 해 주는지 확인합니다. IP를 지정할 수 있다면 키가 유출되더라도 다른 곳에서 쓰이기 어렵습니다.
- 해지 후 처리: 서비스를 그만 쓸 때는 서비스 쪽에서 연결을 끊는 것만으로 끝내지 말고, 거래소에서 해당 키를 직접 삭제합니다.
무료로 높은 수익을 약속하며 API 키를 요구하는 서비스는 특히 경계해야 합니다. 키를 받는 쪽이 그 키로 무엇을 할 수 있는지 생각해 보면, 신뢰할 수 없는 곳에 키를 맡기는 위험이 분명해집니다.
자주 묻는 질문
Q. 출금 권한만 끄면 안전한가요?
출금 권한을 끄는 것은 중요하지만 충분하지 않습니다. 거래 권한만으로도 거래량이 적은 코인을 이용한 자산 탈취가 가능할 수 있으므로, IP 화이트리스트를 함께 설정하는 것이 바람직합니다.
Q. 집 PC에서 자동매매를 돌리는데 IP가 자주 바뀌어요.
유동 IP 환경에서는 화이트리스트 운영이 어렵습니다. 고정 IP를 제공하는 서버를 이용하거나, 인터넷 사업자의 고정 IP 서비스를 검토하는 방법이 있습니다.
Q. API 키는 얼마나 자주 바꿔야 하나요?
정해진 기준은 없지만, 정기적으로 사용 여부를 점검하고 불필요한 키는 삭제하는 것이 좋습니다. 유출 가능성이 조금이라도 있다면 기간과 관계없이 즉시 교체해야 합니다.
Q. 비밀 키를 잊어버렸는데 다시 볼 수 있나요?
대부분의 거래소는 보안상 비밀 키를 발급 시점에만 보여 주므로 다시 확인할 수 없습니다. 기존 키를 삭제하고 새로 발급한 뒤, 프로그램 설정을 새 키로 바꾸는 것이 일반적인 방법입니다.
마무리
API 키 보안의 핵심은 최소 권한, IP 화이트리스트, 안전한 보관이라는 세 가지로 요약됩니다. 키를 용도별로 나누고, 출금 권한은 꼭 필요할 때만 켜며, 비밀 키를 코드나 메신저에 남기지 않는 습관만으로도 대부분의 사고를 예방할 수 있습니다.
자동화 도구는 편리하지만 그 편리함은 키 관리가 탄탄할 때만 의미가 있습니다. 새로운 도구에 키를 연결하기 전에는 이 글의 체크리스트를 한 번 더 확인해 보시기 바랍니다.
이 글은 정보 제공을 위한 것이며 투자 권유가 아닙니다. 암호화폐 투자는 원금 손실 위험이 있으므로 본인의 판단과 책임 아래 결정하시기 바랍니다.