2단계 인증과 거래소 계정 보안 기본 수칙
2026. 10. 25.
거래소 해킹이라고 하면 대형 거래소의 지갑이 털리는 뉴스를 먼저 떠올리기 쉽습니다. 하지만 개인 투자자가 실제로 겪는 피해는 훨씬 평범한 경로에서 시작되는 경우가 많습니다. 다른 사이트에서 유출된 비밀번호를 그대로 쓰고 있었거나, 문자로 받은 링크를 눌러 로그인 정보를 입력했거나, 휴대폰 번호를 빼앗겨 인증 문자가 엉뚱한 사람에게 간 경우입니다.
이런 피해의 상당수는 몇 가지 기본 수칙만 지켜도 막을 수 있습니다. 그 중심에 있는 것이 2단계 인증입니다. 여러 거래소에 계정을 두고 자금을 오가게 하는 차익거래자라면 계정 하나의 보안 구멍이 전체 자금의 위험으로 이어질 수 있어 더욱 신경 써야 합니다.
이 글에서는 거래소 계정 보안을 지키기 위한 2단계 인증 방식별 차이와 설정 요령, 비밀번호와 이메일 관리, 출금 보호 기능까지 실천 가능한 수칙을 정리합니다.
왜 비밀번호만으로는 부족한가
비밀번호는 한 번 유출되면 누구나 쓸 수 있는 정보입니다. 많은 사람이 여러 사이트에서 비슷한 비밀번호를 쓰기 때문에, 보안이 약한 사이트 하나에서 유출된 정보로 다른 서비스에 로그인을 시도하는 공격(크리덴셜 스터핑)이 꾸준히 일어납니다. 거래소 비밀번호를 아무리 복잡하게 만들어도 다른 곳과 같다면 소용이 없습니다.
2단계 인증은 "알고 있는 것(비밀번호)"에 더해 "가지고 있는 것(휴대폰, 보안 키)"을 함께 요구합니다. 비밀번호가 유출되더라도 두 번째 요소가 없으면 로그인과 출금을 할 수 없게 만드는 것이 핵심입니다.
2단계 인증 방식별 비교
거래소가 제공하는 2단계 인증 방식은 여러 가지이며, 보안 수준과 편의성에 차이가 있습니다.
| 방식 | 장점 | 약점 |
|---|---|---|
| 문자(SMS) 인증 | 설정이 쉽고 익숙함 | 유심 탈취·번호 이동 공격에 취약 |
| 인증 앱(OTP) | 기기에 저장되어 문자 가로채기에 강함, 오프라인 작동 | 휴대폰 분실 시 복구 키가 없으면 복구가 번거로움 |
| 하드웨어 보안 키 | 피싱 사이트에서 작동하지 않아 피싱에 강함 | 기기 구매 필요, 지원하는 거래소가 제한적 |
| 이메일 인증 | 추가 확인 수단으로 유용 | 이메일 계정이 뚫리면 함께 무력화 |
가능하다면 문자 인증보다 인증 앱이나 하드웨어 보안 키를 기본 수단으로 쓰는 것이 좋습니다. 거래소에 따라 지원 방식이 다르므로 보안 설정 메뉴에서 선택 가능한 항목을 확인해 보세요.
인증 앱 OTP 설정과 백업 요령
인증 앱 방식에서 가장 흔한 문제는 해킹이 아니라 휴대폰 분실이나 교체로 본인이 로그인하지 못하는 상황입니다. 설정할 때 다음 순서를 지키면 이런 문제를 크게 줄일 수 있습니다.
- 거래소 보안 설정에서 OTP 등록을 시작하면 QR 코드와 함께 복구용 키(시드 문자열)가 표시됩니다.
- 복구용 키를 종이에 적어 안전한 곳에 보관합니다. 휴대폰 사진이나 클라우드 메모에 저장하는 것은 피합니다.
- 인증 앱으로 QR 코드를 스캔하고, 표시된 6자리 코드를 입력해 등록을 완료합니다.
- 거래소가 백업 코드를 제공한다면 함께 출력하거나 적어 둡니다.
- 휴대폰을 교체할 때는 기존 기기를 초기화하기 전에 새 기기로 OTP를 옮겼는지 먼저 확인합니다.
비밀번호와 이메일, 휴대폰 관리
거래소마다 다른 비밀번호
거래소 비밀번호는 다른 어떤 서비스와도 겹치지 않게 만들고, 거래소끼리도 서로 다르게 설정합니다. 외우기 어렵다면 비밀번호 관리자를 사용하는 것이 현실적인 방법입니다.
이메일 계정이 마지막 열쇠
거래소 비밀번호 재설정은 대부분 이메일로 진행됩니다. 이메일 계정이 뚫리면 거래소 계정도 위험해지므로, 거래소 가입용 이메일에도 강한 비밀번호와 2단계 인증을 반드시 설정합니다. 거래소 전용 이메일을 따로 만들어 쓰는 것도 좋은 방법입니다.
휴대폰 번호 보호
공격자가 통신사를 속여 유심을 재발급받거나 번호를 이동시키면 문자 인증을 가로챌 수 있습니다. 통신사가 제공하는 유심 보호나 번호 이동 제한 서비스를 활용하고, 휴대폰 자체에도 잠금을 설정해 두는 것이 좋습니다.
거래소가 제공하는 추가 보호 기능
- 출금 주소 화이트리스트: 미리 등록한 주소로만 출금되도록 제한합니다. 새 주소를 등록하면 일정 시간 출금이 제한되는 거래소도 있습니다.
- 피싱 방지 코드: 거래소가 보내는 이메일에 내가 정한 문구가 표시되도록 해 가짜 이메일을 구별합니다.
- 로그인 기록과 기기 관리: 최근 로그인 기록을 주기적으로 확인하고, 모르는 기기가 있으면 즉시 로그아웃시킵니다.
- 로그인 알림: 새 기기 로그인이나 출금 요청이 있을 때 알림을 받도록 설정합니다.
피해를 부르는 습관 점검
보안 설정을 모두 해 두어도 사용자가 스스로 정보를 넘겨주면 소용이 없습니다. 문자나 메신저로 온 링크로 거래소에 로그인하지 않기, 인증 코드를 누구에게도 알려주지 않기, 공용 PC나 공용 와이파이에서 거래소에 접속하지 않기, 원격 제어 앱 설치를 요구하는 "상담원"을 믿지 않기. 이 네 가지만 지켜도 사회공학적 공격의 상당수를 피할 수 있습니다.
여러 거래소 계정을 쓰는 차익거래자를 위한 점검표
차익거래자는 보통 국내 거래소 두세 곳과 해외 거래소 여러 곳에 계정을 동시에 운영합니다. 계정이 많아질수록 보안 설정이 고르지 않게 되기 쉽고, 가장 허술한 계정 하나가 공격의 통로가 됩니다. 계정마다 아래 항목을 표로 만들어 체크해 두면 빠진 부분을 한눈에 찾을 수 있습니다.
- 고유한 비밀번호를 쓰고 있는가, 비밀번호 관리자에 저장되어 있는가
- 2단계 인증이 문자 이외의 방식(인증 앱 또는 보안 키)으로 설정되어 있는가
- OTP 복구용 키나 백업 코드를 오프라인에 보관하고 있는가
- 가입 이메일에 2단계 인증이 걸려 있는가
- 출금 주소 화이트리스트와 피싱 방지 코드를 설정했는가
- 최근 로그인 기록과 연결된 기기, 발급된 API 키를 점검했는가
점검은 한 번으로 끝내지 말고 분기에 한 번 정도 반복하는 것이 좋습니다. 특히 오래 쓰지 않은 거래소 계정은 보안 설정이 예전 상태로 남아 있는 경우가 많으므로, 쓰지 않는 계정이라면 자산을 옮기고 정리하는 것도 방법입니다.
또 하나 기억할 점은 보안 설정을 바꾸면 일부 거래소가 일정 시간 출금을 제한한다는 것입니다. 2단계 인증 변경이나 비밀번호 재설정 직후에는 출금이 막힐 수 있으므로, 거래가 급한 시점보다는 여유 있을 때 미리 설정을 정비해 두는 것이 좋습니다.
자주 묻는 질문
Q. 문자 인증도 2단계 인증인데 굳이 OTP로 바꿔야 하나요?
문자 인증도 없는 것보다는 훨씬 낫습니다. 다만 유심 탈취 같은 공격에 취약하므로, 거래소가 인증 앱이나 보안 키를 지원한다면 바꾸는 것이 보안 측면에서 유리합니다.
Q. OTP 앱이 있는 휴대폰을 잃어버렸어요.
미리 적어 둔 복구용 키나 백업 코드가 있다면 새 기기에서 OTP를 복원할 수 있습니다. 없다면 거래소의 본인 확인 절차를 거쳐 OTP를 해제해야 하며, 시간이 걸릴 수 있습니다.
Q. 거래소 고객센터라며 인증 코드를 알려 달라고 해요.
정상적인 고객센터는 인증 코드나 비밀번호를 요구하지 않습니다. 이런 요청은 사기로 보고 응하지 말아야 하며, 거래소 공식 채널로 직접 확인하세요.
Q. 계정이 이미 탈취된 것 같으면 무엇부터 해야 하나요?
가능하다면 즉시 비밀번호를 바꾸고 모든 기기에서 로그아웃시킨 뒤, 거래소 고객센터에 계정 동결을 요청합니다. 이어서 가입 이메일의 보안 상태, 발급된 API 키, 등록된 출금 주소를 확인하고 낯선 항목은 삭제합니다. 피해가 발생했다면 거래 내역과 접속 기록을 보관한 채 수사기관 신고도 함께 검토하세요.
마무리
거래소 계정 보안은 거창한 기술보다 기본 수칙을 꾸준히 지키는 데서 시작됩니다. 거래소마다 다른 비밀번호, 인증 앱이나 보안 키 기반의 2단계 인증, 이메일과 휴대폰 보호, 출금 주소 화이트리스트를 갖춰 두면 대부분의 계정 탈취 시도를 막을 수 있습니다.
오늘 사용 중인 거래소의 보안 설정 메뉴를 하나씩 열어 보고, 빠진 항목이 없는지 점검해 보시길 권합니다.
이 글은 정보 제공을 위한 것이며 투자 권유가 아닙니다. 암호화폐 투자는 원금 손실 위험이 있으므로 본인의 판단과 책임 아래 결정하시기 바랍니다.