코인 계정 지키는 설정, 무엇부터 바꿀까

공격은 '문자'를 노린다, 그래서 막을 틈도 거기 있다

은행과 거래소가 잇따라 뚫렸다는 소식에 가장 불안한 건, 내가 아무리 조심해도 외부 인증이 뚫리면 끝 아니냐는 점이다. 그런데 최근 자산 탈취의 길목은 대부분 하나로 모인다. 휴대폰 문자(SMS) 인증이다.

이른바 SIM 스와핑은 공격자가 통신사를 속여 피해자 번호를 자기 유심으로 옮긴 뒤, 그 번호로 오는 인증 문자를 가로채 비밀번호를 재설정하고 자산을 빼내는 방식이다. 국내 상당수 거래소와 금융기관이 여전히 문자 인증을 쓰기 때문에, 문자에 의존하는 계정일수록 위험하다. 거꾸로 말하면, 이용자가 지금 직접 바꿀 수 있는 설정이 분명히 있다는 뜻이다.

1순위: 문자 인증을 OTP·보안키로 바꾼다

I'm Zion

가장 먼저 할 일은 2차 인증 방식을 문자에서 OTP 앱이나 하드웨어 보안키로 교체하는 것이다. OTP 앱은 번호를 빼앗겨도 코드가 넘어가지 않고, 보안키는 물리적 기기가 있어야 로그인이 된다.

이때 OTP 백업 코드를 카카오톡 대화방이나 메모 앱에 그대로 저장하면 안 된다. 그 자체가 또 다른 열쇠이기 때문이다. 종이에 적어 오프라인으로 보관하는 편이 안전하다.

2순위: 통신사에서 내 번호부터 지킨다

인증 방식을 바꿔도 번호 자체가 탈취되면 복구 절차가 흔들린다. 통신사의 유심보호서비스를 신청해 본인 동의 없는 유심 재발급과 기기 변경을 막고, 스마트폰에 유심 PIN을 걸어두면 SIM 스와핑의 입구를 좁힐 수 있다. 거래소 보안 설정보다 먼저 통신사 단에서 번호를 잠그는 셈이다.

3순위: 출금은 등록된 주소로만, 그리고 천천히

계정이 뚫려도 돈이 빠져나갈 통로를 막아두면 피해를 줄일 수 있다. 업비트와 빗썸은 출금 주소 화이트리스트를 제공한다. 미리 등록한 지갑 주소로만 출금이 되도록 묶어두면, 공격자가 자기 지갑으로 바로 빼가기 어렵다. 빗썸은 등록되지 않은 주소로는 출금 자체가 막히고, 거래소 주소 등록에는 심사가 붙는다.

출금 지연 장치도 함께 쓰는 게 좋다. 업비트는 원화 입금액에 해당하는 코인을 24시간 지난 뒤 출금할 수 있게 하는 지연제를 운영하고, 코빗은 의심 상황에서 출금 한도를 0원으로 낮추는 긴급 제한 기능을 둔다. 이런 장치는 공격이 성공해도 '즉시 인출'을 막아 대응 시간을 벌어준다.

로그인 알림과 API 키, 남은 빈틈

로그인 알림을 켜두면 낯선 기기나 지역에서의 접속을 바로 알 수 있다. 자동매매 등으로 발급한 API 키가 있다면 출금 권한은 꺼두는 것이 원칙이다. 조회·주문까지만 열어두면 키가 유출돼도 자산을 빼가지는 못한다.

이상 징후를 발견하면

낯선 로그인 알림, 모르는 출금 시도, 갑자기 통신이 끊기는 현상(유심 탈취 신호)을 봤다면 순서대로 움직인다.

• 거래소에서 계정 잠금을 걸거나 출금 한도를 0원으로 설정한다.
• 거래소 고객센터에 사고를 신고한다.
• 비밀번호와 2차 인증을 재설정하고, OTP를 다시 등록하며, 발급한 API 키는 모두 폐기한다.
• 통신사에 연락해 유심이 재발급됐는지 확인한다.
• 경찰(112), 금융감독원(1332), 한국인터넷진흥원(118)에 신고하고, 로그인 기록과 출금 내역을 캡처해 둔다.

거래소별 설정 위치와 심사 기준은 수시로 바뀌므로, 실제 적용 전에 해당 거래소의 최신 공지를 한 번 더 확인하는 게 좋다.

출처

1. 업비트 출금 지연·출금 주소 등록 안내
2. 빗썸 화이트리스트 지갑주소 등록 안내
3. SIM 스와핑과 SMS 인증 취약점 (매일신문)
4. 금융권 16곳 해킹 피해 (서울경제)