암호화폐 거래소 계정을 안전하게 설정하는 법

핵심 답변: 거래소 계정은 여러 겹으로, 다음 순서로 보호하세요. 이메일을 먼저 지키고, 고유한 긴 비밀번호를 쓰고, 2단계 인증을 문자에서 패스키나 인증 앱으로 바꾸고, 피싱 방지 코드를 설정하고, 출금 주소 화이트리스트로 출금을 잠그고, 쓰지 않는 API 키를 지웁니다. 그리고 내가 하지 않은 로그인이나 출금을 보면 무엇을 할지 미리 적어 두세요.

왜 여러 겹이 필요할까요

대부분의 계정 탈취는 "거래소를 해킹"하는 방식이 아닙니다. 재사용한 비밀번호, 이메일 계정, 유심 탈취, 가짜 로그인 페이지 같은 약한 고리 하나를 뚫고 거기서부터 들어옵니다. 아래의 각 단계는 그런 경로를 하나씩 막습니다. 한 단계가 뚫려도 다음 단계가 공격자를 늦춥니다.

핵심 용어는 다음과 같습니다.

• 2단계 인증: 비밀번호 외의 두 번째 증명으로, 코드나 기기 확인 같은 것입니다. 2단계 인증이란을 참고하세요.
• 패스키: 휴대폰, 컴퓨터, 보안 키에 저장되는 로그인 열쇠로, 진짜 웹사이트 도메인에서만 작동합니다.
• 피싱 방지 코드: 직접 정한 단어로, 거래소의 진짜 메시지에 표시됩니다.
• API 키: 봇이나 기록 도구 같은 소프트웨어가 계정에서 작업하도록 허락하는 자격 증명입니다.

로그인 방법별 강도

미국 표준 기관인 NIST는 SP 800-63B에서 유용한 기준을 제시합니다(2026-11-01 확인). 문자와 음성 코드는 "제한된" 방법으로 분류하고, 가짜 사이트가 입력한 코드를 중계할 수 있으므로 일회용 비밀번호 인증은 피싱에 강하지 않다고 설명합니다. 반면 패스키와 보안 키의 바탕이 되는 WebAuthn 방식은 진짜 도메인에 묶여 있어 피싱에 강하다고 봅니다. 또 비밀번호만 단독으로 쓸 때는 최소 15자, 다중 인증의 일부로 쓸 때는 최소 8자를 요구합니다.

바이낸스는 문자, 구글 인증기, 패스키를 지원하며, 2단계 인증용 휴대폰 번호를 바꾸면 출금과 바이낸스 페이가 24~48시간 동안 중지된다고 안내합니다(2026-11-01 확인). 이 지연은 오류가 아니라 보호 장치입니다.

단계별: 20분 설정

1. 이메일부터. 거래소에 연결된 이메일에 고유한 비밀번호와 패스키 또는 인증 앱 2단계 인증을 설정합니다. 이메일을 장악하면 나머지를 대부분 재설정할 수 있습니다.
2. 비밀번호. 비밀번호 관리자로 고유한 긴 비밀번호를 만듭니다(위 NIST 기준대로 15자 이상이 합리적인 목표입니다). 절대 재사용하지 않습니다.
3. 2단계 인증. 패스키나 인증 앱을 추가하고, 거래소가 허용하면 문자 인증을 제거합니다. 백업 코드나 복구 코드는 스크린샷이 아니라 오프라인에 보관합니다.
4. 피싱 방지 코드. 바이낸스에서는 6~8자이며 진짜 이메일과 문자에 표시됩니다(2026-11-01 확인). 코드가 없는 메시지는 경고 신호입니다. 자세한 내용은 피싱 예방 강의에 있습니다.
5. 출금. 주소 화이트리스트와 신규 주소 잠금을 켭니다. OKX의 선택형 잠금은 새 수신자를 24시간 동안 막습니다(2026-11-01 확인). 전체 과정은 출금 주소 화이트리스트에서 볼 수 있습니다.
6. 기기와 API 키. 오래된 기기와 세션을 제거합니다. 쓰지 않는 API 키는 삭제하고, 남기는 키는 출금 권한을 끄고 가능하면 내 아이피로 제한합니다.
7. 사고 대응 계획. 공식 앱에서 계정을 동결하는 방법, 공식 고객지원 경로, 이번 점검 날짜를 종이에 적어 둡니다.

이상한 점이 보이면

내가 하지 않은 로그인, 기기, API 키, 출금이 보이면 이렇게 하세요.

• 먼저 공식 앱이나 사이트에서 계정을 동결하거나 비활성화하고, 깨끗한 기기에서 이메일과 거래소 비밀번호를 바꿉니다.
• 고객지원은 공식 앱 안이나 즐겨찾기한 사이트에서만 연락합니다. 먼저 연락해 오는 사람은 위험 신호입니다. 가짜 고객지원과 피싱 구별을 참고하세요.
• 셀프 커스터디 지갑도 쓴다면 토큰 승인도 점검합니다. 토큰 승인을 참고하세요.
• 바이낸스 사용자라면 안전한 동결 해제 절차에서 진행 과정을 확인할 수 있습니다.

흔한 실수

• 거래소에는 2단계 인증을 켰지만 이메일에는 켜지 않는 경우.
• 복구 코드나 시드 문구를 클라우드 사진첩이나 채팅에 저장하는 경우. 차이는 시드 문구, 개인키, 비밀번호에서 설명합니다.
• 검색 광고로 가입하다가 가짜 사이트에 들어가는 경우. 도메인을 확인하고 가짜 앱과 사이트 식별을 참고하세요.
• 트레이딩 봇의 API 키에 출금 권한을 남겨 두는 경우.
• 모든 자산을 거래소 한 곳에 두는 경우. 무엇을 셀프 커스터디로 옮길지 생각해 보세요.

자주 묻는 질문

문자 2단계 인증도 없는 것보다는 낫나요?

네, 비밀번호만 가진 공격자는 막아 줍니다. 하지만 유심 탈취와 가짜 로그인 페이지에 약하므로 가능하면 패스키나 인증 앱으로 바꾸세요.

인증 앱이 깔린 휴대폰을 잃어버리면 어떻게 하나요?

오프라인에 보관한 백업 코드를 쓰거나, 거래소의 공식 복구 절차를 밟습니다. 보통 신원 확인과 대기 기간이 있습니다.

피싱 방지 코드가 가짜 웹사이트에서도 저를 지켜 주나요?

아니요. 이메일과 문자를 판단하는 데만 도움이 됩니다. 웹사이트에서는 주소창을 확인하고 즐겨찾기를 쓰세요.

보안 설정은 얼마나 자주 점검해야 하나요?

몇 달에 한 번, 그리고 새 기기를 쓰거나 비밀번호가 유출되었거나 의심스러운 메시지를 받은 직후에 바로 점검하세요.

결론

이메일부터 지키고, 고유한 비밀번호, 피싱에 강한 2단계 인증, 피싱 방지 코드, 출금 화이트리스트, 정리된 API 키 순서로 설정하세요. 사고 대응 계획은 필요해지기 전에 적어 두세요. 전체 그림은 보안 체크리스트에서 볼 수 있습니다.

교육용 자료이며 투자 조언이 아닙니다. 규칙 확인일 2026-11-01.

관련 읽을거리

• 초보 보안 체크리스트
• 가짜 고객지원·피싱 구별