- 바이낸스가 밝힌 해킹 영향 자산은 63억 달러 규모이고, 사고 뒤 모든 입출금이 멈췄다. 거래소 자체가 털리면 개인 보안 설정으로는 막을 수 없다.
- 위험은 두 갈래다. 거래소가 털리는 위험은 ‘보관 위치’로, 내 계정이 털리는 위험은 ‘보안 설정’으로 줄인다.
- 바로 사고팔 금액만 거래소에 두고, 오래 묵힐 코인은 개인 지갑으로 옮기되 복구 구문 백업부터 챙긴다.
63억 달러. 바이낸스가 이번 해킹으로 영향을 받았다고 밝힌 자산 규모다. MIT 테크놀로지 리뷰는 이 사건을 암호화폐 역사상 최대 해킹으로 소개했다. 분석가들이 지목한 배후는 북한.
사고 직후 바이낸스는 입금과 출금을 전부 막았다. 블룸버그의 전망은 더 어둡다. 도난당한 비트코인이 끝내 회수되지 못할 가능성이 크다는 것.
이 기간에는 OTP를 빈틈없이 걸어 둔 이용자도 자기 코인을 한 개도 꺼내지 못한다. 보안 설정을 아무리 잘해 둬도 소용없는 구간이 있다는 얘기다.
그래서 개인이 손댈 수 있는 영역은 두 가지로 좁혀진다. 코인을 어디에 두느냐. 그리고 거래소 계정을 얼마나 단단히 잠그느냐.
거래소 해킹과 계정 탈취는 막는 법이 다르다
둘은 노리는 대상부터 다르다. 대응법이 갈리는 것도 그래서다.
| 구분 | 거래소 해킹 | 계정 탈취 |
|---|---|---|
| 노리는 곳 | 거래소가 관리하는 지갑, 내부 시스템 | 내 거래소 계정(피싱 사이트, 악성 앱, 다른 곳에서 유출된 비밀번호로 로그인) |
| 내 비밀번호·OTP와의 관계 | 무관 | 직접 걸려 있음 |
| 피해가 나면 | 거래소가 입출금을 막고, 손실 보전 여부는 거래소 정책에 달림 | 거래소 시스템이 멀쩡해도 내 코인이 빠져나감 |
| 줄이는 방법 | 보관 위치 나누기 | 계정 보안 설정 |
출금 화이트리스트나 OTP가 듣는 건 오른쪽 칸, 계정 탈취뿐이다. 보안 설정을 다 켰다고 거래소에 전 재산을 맡겨도 되는 건 아니라는 뜻이다.
거래소 지갑 구조를 알아 두면 이 차이가 더 선명해진다. 거래소는 보통 자산을 두 종류의 지갑에 나눠 담는다.
- 핫월렛: 인터넷에 연결된 지갑. 출금 요청을 바로 처리할 수 있는 대신, 원격 공격에 그대로 노출된다.
- 콜드월렛: 인터넷과 분리된 지갑. 꺼내는 데 시간이 걸리지만 원격으로 털기는 어렵다.
출금 속도를 맞추려면 어느 거래소든 일정량은 온라인에 둘 수밖에 없다. 거래소 보관을 은행 금고처럼 여기면 안 되는 이유가 여기 있다.
보관 방식 3가지, 거래소가 털리면 갈리는 결과
따질 기준은 하나. 개인키, 곧 코인을 움직이는 열쇠를 누가 쥐고 있느냐다. 열쇠를 쥔 쪽이 실질적인 주인이다.
| 구분 | 거래소 보관 | 소프트웨어 지갑(앱·브라우저 확장) | 하드웨어 지갑 |
|---|---|---|---|
| 열쇠 관리 주체 | 거래소 | 나(스마트폰·PC 안) | 나(전용 기기 안) |
| 거래소가 해킹되면 | 입출금 중단, 보전은 거래소 정책에 좌우 | 직접 영향 없음 | 직접 영향 없음 |
| 주된 위험 | 거래소 해킹·운영 중단, 계정 탈취 | 기기 악성코드, 가짜 지갑 앱, 피싱 서명 | 기기·복구 구문 분실, 조작된 중고 기기 |
| 열쇠를 잃으면 | 본인 인증으로 계정 복구 가능 | 복구 구문 없으면 복구 불가 | 복구 구문 없으면 복구 불가 |
| 어울리는 자금 | 바로 사고팔 금액 | 자주 주고받는 소액 | 오래 묵힐 큰 금액 |
표만 보면 개인 지갑이 정답처럼 보인다. 꼭 그렇지는 않다.
개인 지갑은 거래소 해킹 위험을 덜어내는 대가로 열쇠 관리 책임을 내가 떠안는 구조다. 복구 구문을 잃어버리면 누구도 되찾아 주지 않는다. 본인 인증만으로 계정을 되살릴 수 있다는 점에서, 사용자 실수에는 오히려 거래소 보관이 더 관대한 편이다. 결국 어느 한쪽을 고르기보다 금액별로 나눠 담는 게 현실적인 답이다.
바이낸스 계정에 켜 둘 보안 설정 4가지
경로는 바이낸스 앱 기준이다. 앱 업데이트가 잦아 버튼 표기가 바뀔 수 있으니, 찾아가는 방향 정도로 참고하면 된다.
- 2단계 인증을 인증 앱·패스키로 바꾸기
프로필 아이콘(왼쪽 위) → 보안 → 2단계 인증(일부 버전은 ‘패스키 및 생체 인증’으로 따로 표시). SMS 인증만 켜 둔 상태라면 인증 앱을 먼저 추가하고 SMS는 끄는 편이 낫다. 문자 인증은 휴대폰 번호 탈취와 유심 복제에 약하다. - 출금 화이트리스트 켜기
프로필 → 보안 → 주소 관리(출금 주소 관리) → 화이트리스트 켜기. 경로가 확실하지 않은 단계다. 일부 버전은 출금 화면 안의 주소록에서 켠다. 켜 두면 미리 등록한 주소로만 출금이 나가고, 새 주소를 추가할 때는 추가 인증을 거친다. 계정이 털려도 공격자 지갑으로 곧장 빼 가기 어려워진다. 탈취가 실제 손실로 이어지는 마지막 길목을 막는 설정이다. - 피싱 방지 코드 설정
프로필 → 보안 → 피싱 방지 코드. 내가 정한 문구가 거래소가 보내는 진짜 이메일에 함께 찍힌다. 문구가 빠진 메일은 가짜로 보면 된다. - 기기·로그인 기록 점검
프로필 → 보안 → 기기 관리, 계정 활동. 모르는 기기가 보이면 삭제하고 비밀번호를 바꾼다. 탈취가 의심될 땐 보안 메뉴 하단의 계정 비활성화로 거래를 막는다(위치 불확실).
국내 원화 거래소도 짜임새는 비슷하다. 2단계 인증은 대개 마이페이지(또는 내 정보) → 보안 설정에, 출금 주소 등록은 입출금 메뉴의 출금 주소 관리에 있다(경로 불확실).
한 가지는 분명히 해 두자. 네 가지 모두 계정 탈취를 막는 장치다. 거래소 전체가 해킹돼 입출금이 멈춘 상황에서는 효과가 없다.
개인 지갑 고르기 전 따질 5가지
어떤 제품을 살지는 나중 문제다. 기준부터 세운다.
- 금액과 보관 기간: 오래 묵힐 큰 금액은 하드웨어 지갑, 자주 옮기는 소액은 소프트웨어 지갑. 둘을 함께 쓰는 방식도 흔하다.
- 호환성: 가진 코인, 그리고 그 코인이 오가는 네트워크(체인)를 지원하는지부터 본다. 같은 코인이어도 네트워크가 다르면 주소 체계가 다르다. 잘못 보내면 되찾기 어렵다.
- 구매 경로: 하드웨어 지갑은 제조사 공식 판매처에서 새 제품으로 산다. 개봉된 중고, 복구 구문이 미리 적힌 카드가 들어 있는 제품은 조작 가능성이 있으니 피한다. 하드웨어 지갑을 쓰는 이유가 열쇠를 남과 나누지 않는 데 있는데, 조작된 기기는 그 전제를 처음부터 무너뜨린다.
- 백업 방식: 복구 구문을 종이나 금속판에 적어 오프라인으로 보관할 수 있어야 한다. 사진 촬영, 메모 앱, 클라우드 저장은 해킹 한 번에 전부 노출된다.
- 관리 부담: 펌웨어 업데이트와 연동 앱 관리까지 감당할 수 있는지 따져 본다. 부담스럽다면 거래소를 여러 곳으로 나누는 쪽이 현실적일 수 있다.
옮기는 순서도 정해 두는 게 좋다. 소액을 먼저 보내 도착을 확인하고, 그다음에 나머지를 보낸다. 주소 한 글자, 네트워크 선택 하나만 틀려도 되돌릴 방법이 거의 없다. 전송을 한 번 더 하는 수고가 들더라도 건너뛸 단계는 아니다.
바이낸스 입출금 중단, 국내 이용자가 챙길 것
- 바이낸스 계정 보유자: 입출금이 막힌 동안은 자산을 옮길 수 없다. 이 기간에 할 수 있는 일은 계정 보안 점검과 사기 경계, 두 가지다.
- 사고 뒤 피싱: 대형 해킹 뒤에는 ‘보상 신청’, ‘계정 재인증’, ‘안전 지갑으로 이전’을 내세운 문자·이메일·메신저 메시지가 흔히 따라붙는다. 링크는 누르지 말고 앱을 직접 열어 공지를 확인한다. 앞서 설정한 피싱 방지 코드가 제 몫을 하는 순간이다.
- 국내 원화 거래소만 쓰는 이용자: 바이낸스 사고가 국내 거래소 잔고에 직접 닿는 경로는 드러나지 않았다. 다만 분석가들이 북한을 배후로 지목한 만큼, 같은 유형의 공격이 국내 거래소로 향할 가능성도 염두에 둘 만하다(추측).
- 국내에서 해외로 보내는 이체: 국내 거래소는 외부 주소로 출금할 때 주소 사전 등록과 본인 확인을 요구하는 편이다. 바이낸스 입금이 재개된 뒤에도 이 경로가 정상화되는 시점은 거래소마다 다를 수 있다(추측).
확인된 것과 아직 불확실한 것
확인된 것
- 바이낸스가 밝힌 해킹 영향 자산 63억 달러 (BBC 보도)
- 분석가들의 북한 배후 지목 (가디언 보도)
- 바이낸스의 전체 입금·출금 중단 (NBC 뉴스 보도)
- 도난 비트코인이 회수되지 않을 가능성이 크다는 전망 (블룸버그 보도)
아직 불확실한 것
- 공격 경로와 털린 지갑의 종류
- 이용자 손실 보전 범위와 방식
- 입출금 재개 시점
- 피해 자산 가운데 이용자 예치금 비중
- 국내 거래소의 바이낸스 방향 입출금 제한 여부
점검 순서: 계정 잠금, 자금 분리, 분산, 백업 확인
계정 잠금이 맨 앞인 데는 이유가 있다. 바이낸스처럼 입출금이 막힌 상황에서도 바로 할 수 있는 조치가 이것뿐이다.
- 계정 잠금: 쓰는 거래소마다 2단계 인증을 인증 앱이나 패스키로 바꾼다. 출금 화이트리스트와 피싱 방지 코드도 함께 켠다.
- 자금 분리: 거래소에는 바로 사고팔 금액만. 나머지는 개인 지갑으로 옮긴다.
- 거래소 분산: 거래소에 남길 금액도 한 곳에 몰지 않는다. 한 곳이 멈춰도 다른 곳에서 거래를 이어 갈 수 있다.
- 백업 확인: 개인 지갑의 복구 구문은 서로 다른 장소에 오프라인으로 보관한다. 적어 둔 구문에 오탈자가 없는지 한 번 더 대조하는 것까지가 백업이다.
거래소가 털리는 걸 개인이 막을 방법은 없다. 하지만 사고가 났을 때 거기 묶이는 돈이 얼마일지는 내가 정할 수 있다.