바이낸스 해킹 뒤 코인 보관법, 지갑 분리가 먼저

63억 달러. 바이낸스가 이번 해킹으로 영향을 받았다고 밝힌 자산 규모다. MIT 테크놀로지 리뷰는 이 사건을 암호화폐 역사상 최대 해킹으로 소개했다. 분석가들이 지목한 배후는 북한.

사고 직후 바이낸스는 입금과 출금을 전부 막았다. 블룸버그의 전망은 더 어둡다. 도난당한 비트코인이 끝내 회수되지 못할 가능성이 크다는 것.

이 기간에는 OTP를 빈틈없이 걸어 둔 이용자도 자기 코인을 한 개도 꺼내지 못한다. 보안 설정을 아무리 잘해 둬도 소용없는 구간이 있다는 얘기다.

그래서 개인이 손댈 수 있는 영역은 두 가지로 좁혀진다. 코인을 어디에 두느냐. 그리고 거래소 계정을 얼마나 단단히 잠그느냐.

거래소 해킹과 계정 탈취는 막는 법이 다르다

둘은 노리는 대상부터 다르다. 대응법이 갈리는 것도 그래서다.

구분	거래소 해킹	계정 탈취
노리는 곳	거래소가 관리하는 지갑, 내부 시스템	내 거래소 계정(피싱 사이트, 악성 앱, 다른 곳에서 유출된 비밀번호로 로그인)
내 비밀번호·OTP와의 관계	무관	직접 걸려 있음
피해가 나면	거래소가 입출금을 막고, 손실 보전 여부는 거래소 정책에 달림	거래소 시스템이 멀쩡해도 내 코인이 빠져나감
줄이는 방법	보관 위치 나누기	계정 보안 설정

출금 화이트리스트나 OTP가 듣는 건 오른쪽 칸, 계정 탈취뿐이다. 보안 설정을 다 켰다고 거래소에 전 재산을 맡겨도 되는 건 아니라는 뜻이다.

거래소 지갑 구조를 알아 두면 이 차이가 더 선명해진다. 거래소는 보통 자산을 두 종류의 지갑에 나눠 담는다.

• 핫월렛: 인터넷에 연결된 지갑. 출금 요청을 바로 처리할 수 있는 대신, 원격 공격에 그대로 노출된다.
• 콜드월렛: 인터넷과 분리된 지갑. 꺼내는 데 시간이 걸리지만 원격으로 털기는 어렵다.

출금 속도를 맞추려면 어느 거래소든 일정량은 온라인에 둘 수밖에 없다. 거래소 보관을 은행 금고처럼 여기면 안 되는 이유가 여기 있다.

보관 방식 3가지, 거래소가 털리면 갈리는 결과

따질 기준은 하나. 개인키, 곧 코인을 움직이는 열쇠를 누가 쥐고 있느냐다. 열쇠를 쥔 쪽이 실질적인 주인이다.

구분	거래소 보관	소프트웨어 지갑(앱·브라우저 확장)	하드웨어 지갑
열쇠 관리 주체	거래소	나(스마트폰·PC 안)	나(전용 기기 안)
거래소가 해킹되면	입출금 중단, 보전은 거래소 정책에 좌우	직접 영향 없음	직접 영향 없음
주된 위험	거래소 해킹·운영 중단, 계정 탈취	기기 악성코드, 가짜 지갑 앱, 피싱 서명	기기·복구 구문 분실, 조작된 중고 기기
열쇠를 잃으면	본인 인증으로 계정 복구 가능	복구 구문 없으면 복구 불가	복구 구문 없으면 복구 불가
어울리는 자금	바로 사고팔 금액	자주 주고받는 소액	오래 묵힐 큰 금액

표만 보면 개인 지갑이 정답처럼 보인다. 꼭 그렇지는 않다.

개인 지갑은 거래소 해킹 위험을 덜어내는 대가로 열쇠 관리 책임을 내가 떠안는 구조다. 복구 구문을 잃어버리면 누구도 되찾아 주지 않는다. 본인 인증만으로 계정을 되살릴 수 있다는 점에서, 사용자 실수에는 오히려 거래소 보관이 더 관대한 편이다. 결국 어느 한쪽을 고르기보다 금액별로 나눠 담는 게 현실적인 답이다.

바이낸스 계정에 켜 둘 보안 설정 4가지

경로는 바이낸스 앱 기준이다. 앱 업데이트가 잦아 버튼 표기가 바뀔 수 있으니, 찾아가는 방향 정도로 참고하면 된다.

1. 2단계 인증을 인증 앱·패스키로 바꾸기
   프로필 아이콘(왼쪽 위) → 보안 → 2단계 인증(일부 버전은 ‘패스키 및 생체 인증’으로 따로 표시). SMS 인증만 켜 둔 상태라면 인증 앱을 먼저 추가하고 SMS는 끄는 편이 낫다. 문자 인증은 휴대폰 번호 탈취와 유심 복제에 약하다.
2. 출금 화이트리스트 켜기
   프로필 → 보안 → 주소 관리(출금 주소 관리) → 화이트리스트 켜기. 경로가 확실하지 않은 단계다. 일부 버전은 출금 화면 안의 주소록에서 켠다. 켜 두면 미리 등록한 주소로만 출금이 나가고, 새 주소를 추가할 때는 추가 인증을 거친다. 계정이 털려도 공격자 지갑으로 곧장 빼 가기 어려워진다. 탈취가 실제 손실로 이어지는 마지막 길목을 막는 설정이다.
3. 피싱 방지 코드 설정
   프로필 → 보안 → 피싱 방지 코드. 내가 정한 문구가 거래소가 보내는 진짜 이메일에 함께 찍힌다. 문구가 빠진 메일은 가짜로 보면 된다.
4. 기기·로그인 기록 점검
   프로필 → 보안 → 기기 관리, 계정 활동. 모르는 기기가 보이면 삭제하고 비밀번호를 바꾼다. 탈취가 의심될 땐 보안 메뉴 하단의 계정 비활성화로 거래를 막는다(위치 불확실).

국내 원화 거래소도 짜임새는 비슷하다. 2단계 인증은 대개 마이페이지(또는 내 정보) → 보안 설정에, 출금 주소 등록은 입출금 메뉴의 출금 주소 관리에 있다(경로 불확실).

한 가지는 분명히 해 두자. 네 가지 모두 계정 탈취를 막는 장치다. 거래소 전체가 해킹돼 입출금이 멈춘 상황에서는 효과가 없다.

개인 지갑 고르기 전 따질 5가지

어떤 제품을 살지는 나중 문제다. 기준부터 세운다.

• 금액과 보관 기간: 오래 묵힐 큰 금액은 하드웨어 지갑, 자주 옮기는 소액은 소프트웨어 지갑. 둘을 함께 쓰는 방식도 흔하다.
• 호환성: 가진 코인, 그리고 그 코인이 오가는 네트워크(체인)를 지원하는지부터 본다. 같은 코인이어도 네트워크가 다르면 주소 체계가 다르다. 잘못 보내면 되찾기 어렵다.
• 구매 경로: 하드웨어 지갑은 제조사 공식 판매처에서 새 제품으로 산다. 개봉된 중고, 복구 구문이 미리 적힌 카드가 들어 있는 제품은 조작 가능성이 있으니 피한다. 하드웨어 지갑을 쓰는 이유가 열쇠를 남과 나누지 않는 데 있는데, 조작된 기기는 그 전제를 처음부터 무너뜨린다.
• 백업 방식: 복구 구문을 종이나 금속판에 적어 오프라인으로 보관할 수 있어야 한다. 사진 촬영, 메모 앱, 클라우드 저장은 해킹 한 번에 전부 노출된다.
• 관리 부담: 펌웨어 업데이트와 연동 앱 관리까지 감당할 수 있는지 따져 본다. 부담스럽다면 거래소를 여러 곳으로 나누는 쪽이 현실적일 수 있다.

옮기는 순서도 정해 두는 게 좋다. 소액을 먼저 보내 도착을 확인하고, 그다음에 나머지를 보낸다. 주소 한 글자, 네트워크 선택 하나만 틀려도 되돌릴 방법이 거의 없다. 전송을 한 번 더 하는 수고가 들더라도 건너뛸 단계는 아니다.

바이낸스 입출금 중단, 국내 이용자가 챙길 것

• 바이낸스 계정 보유자: 입출금이 막힌 동안은 자산을 옮길 수 없다. 이 기간에 할 수 있는 일은 계정 보안 점검과 사기 경계, 두 가지다.
• 사고 뒤 피싱: 대형 해킹 뒤에는 ‘보상 신청’, ‘계정 재인증’, ‘안전 지갑으로 이전’을 내세운 문자·이메일·메신저 메시지가 흔히 따라붙는다. 링크는 누르지 말고 앱을 직접 열어 공지를 확인한다. 앞서 설정한 피싱 방지 코드가 제 몫을 하는 순간이다.
• 국내 원화 거래소만 쓰는 이용자: 바이낸스 사고가 국내 거래소 잔고에 직접 닿는 경로는 드러나지 않았다. 다만 분석가들이 북한을 배후로 지목한 만큼, 같은 유형의 공격이 국내 거래소로 향할 가능성도 염두에 둘 만하다(추측).
• 국내에서 해외로 보내는 이체: 국내 거래소는 외부 주소로 출금할 때 주소 사전 등록과 본인 확인을 요구하는 편이다. 바이낸스 입금이 재개된 뒤에도 이 경로가 정상화되는 시점은 거래소마다 다를 수 있다(추측).

확인된 것과 아직 불확실한 것

확인된 것

• 바이낸스가 밝힌 해킹 영향 자산 63억 달러 (BBC 보도)
• 분석가들의 북한 배후 지목 (가디언 보도)
• 바이낸스의 전체 입금·출금 중단 (NBC 뉴스 보도)
• 도난 비트코인이 회수되지 않을 가능성이 크다는 전망 (블룸버그 보도)

아직 불확실한 것

• 공격 경로와 털린 지갑의 종류
• 이용자 손실 보전 범위와 방식
• 입출금 재개 시점
• 피해 자산 가운데 이용자 예치금 비중
• 국내 거래소의 바이낸스 방향 입출금 제한 여부

점검 순서: 계정 잠금, 자금 분리, 분산, 백업 확인

계정 잠금이 맨 앞인 데는 이유가 있다. 바이낸스처럼 입출금이 막힌 상황에서도 바로 할 수 있는 조치가 이것뿐이다.

1. 계정 잠금: 쓰는 거래소마다 2단계 인증을 인증 앱이나 패스키로 바꾼다. 출금 화이트리스트와 피싱 방지 코드도 함께 켠다.
2. 자금 분리: 거래소에는 바로 사고팔 금액만. 나머지는 개인 지갑으로 옮긴다.
3. 거래소 분산: 거래소에 남길 금액도 한 곳에 몰지 않는다. 한 곳이 멈춰도 다른 곳에서 거래를 이어 갈 수 있다.
4. 백업 확인: 개인 지갑의 복구 구문은 서로 다른 장소에 오프라인으로 보관한다. 적어 둔 구문에 오탈자가 없는지 한 번 더 대조하는 것까지가 백업이다.

거래소가 털리는 걸 개인이 막을 방법은 없다. 하지만 사고가 났을 때 거기 묶이는 돈이 얼마일지는 내가 정할 수 있다.

출처: MIT Tech Review AI