빗썸 유출 뒤 거래소 계정에서 먼저 바꿀 설정

2026년 10월 빗썸에서 임직원 정보가 유출된 정황이 확인돼 금융당국이 현장점검에 들어갔고, 거래 핵심 시설은 아니지만 고객정보가 섞였을 가능성은 조사 중이다. 이 틈을 노린 사칭 연락 위험이 커진 상황이라 계정 보안 설정을 지금 점검해 둘 이유가 생겼다. 2단계 인증 방식, 출금 등록 지갑, 연동 기기를 먼저 확인하고 의심스러운 연락은 공식 대표번호로 되묻는 것이 핵심이다.

지금 상황부터 정리하면

빗썸은 2026년 10월 외부의 비정상적인 접근으로 자사와 자회사, 협력업체 임직원 정보가 유출된 정황을 확인했다. 다만 가상자산 거래에 쓰이는 핵심 전산시설이 아니라 임직원 업무지원 시스템이 뚫린 것으로 파악됐고, 지갑 주소처럼 부정 출금이나 자산 이전에 바로 쓰일 수 있는 정보가 빠져나간 정황은 현재까지 확인되지 않았다.

문제는 임직원들이 주고받은 메시지나 공유 파일에 고객 정보가 섞여 있었을 가능성이다. 빗썸은 그 범위를 확인 중이라고 밝혔다. 빗썸은 27일 한국인터넷진흥원과 개인정보보호위원회에 사고를 신고했고, 금융위원회는 28일 금융감독원·금융보안원·디지털자산거래소 공동협의체와 긴급 점검회의를 열었다. 금감원은 현장점검반을 보냈고 법규 위반이 드러나면 검사로 전환한다는 방침이다.

즉 내 코인이 당장 털린 사고는 아니다. 그러나 이름과 연락처 같은 신상이 노출됐을 수 있다는 점이 핵심이다. 이런 정보는 사칭 연락의 재료가 된다. 계정을 지금 손봐 둘 이유는 여기에 있다.

로그인과 인증부터 본다

two factor authentication app phone

Photo by Onur Binay on Unsplash

가장 먼저 2단계 인증(2FA) 방식을 확인한다. 문자(SMS) 인증만 켜 두었다면 인증 앱이나 하드웨어 보안키로 바꾸는 편이 안전하다. 유심 탈취나 번호 가로채기에 SMS가 상대적으로 약하기 때문이다. 거래소의 보안 설정 메뉴에서 구글 OTP나 Authy 같은 앱을 연동하고, 이때 나오는 백업 키와 복구 코드는 화면 캡처 대신 종이에 적어 오프라인으로 보관하는 게 좋다. 기기를 잃어버렸을 때 계정을 되살리는 열쇠다.

로그인 기록과 연동 기기 목록도 함께 본다. 모르는 기기나 오래전에 쓰고 잊은 세션이 남아 있으면 로그아웃하거나 연결을 끊는다.

출금 쪽은 이중으로 막는다

실제 손실은 출금에서 난다. 국내 거래소들은 미리 등록한 본인 명의 지갑으로만 출금을 허용하는 방식을 쓴다. 코인원은 이름·휴대폰번호·이메일 중 하나 이상이 본인과 같다는 점을 입증할 수 있는 외부 지갑만 등록하도록 했고, 빗썸은 소유자와 무관한 외부 지갑으로의 출금을 아예 막고 일정 기준을 충족한 거래소 지갑으로만 보내도록 했다.

등록 지갑 목록에 내가 모르는 주소가 들어가 있지 않은지 확인한다. 출금 한도를 필요 이상으로 높여 뒀다면 평소 쓰는 수준으로 낮춘다. API 키를 발급해 봇이나 외부 서비스를 연결해 뒀다면, 출금 권한이 켜진 키가 없는지 보고 쓰지 않는 키는 지운다. 출금 권한은 꼭 필요할 때만, 최소한으로 남긴다.

유출을 노린 연락은 이렇게 거른다

신상이 노출됐다면 "빗썸 보안팀"이나 "수사기관"을 사칭해 이름을 정확히 부르며 접근하는 문자·전화가 올 수 있다. 판단 기준은 단순하다. 금융기관과 수사기관은 채팅이나 전화로 비밀번호, OTP, 송금을 요구하지 않는다. 이런 요구가 나오면 상대가 누구라고 하든 사칭으로 본다.

링크나 앱 설치를 유도하면 누르지 말고, 문자에 적힌 번호가 아니라 거래소 공식 앱이나 홈페이지에 안내된 대표번호로 직접 걸어 사실을 되묻는다. 이미 눌렀거나 정보를 넘겼다면 비밀번호를 바꾸고 출금을 잠근 뒤 고객센터에 알린다.

AI로 의심 메시지를 볼 때

요즘은 AI로 문자를 점검하는 방법도 생겼다. 케이뱅크는 2026년 1월 금융 특화 언어모델을 바탕으로 스미싱 문자의 위험도와 판단 근거를 보여 주는 판별 서비스를 내놨다. 받은 문자를 붙여 넣으면 어떤 단어와 패턴이 수상한지 짚어 주니 1차 걸러내기에는 쓸 만하다.

다만 믿어도 되는 범위는 분명히 해 두는 게 좋다. 공격자도 AI로 문장을 다듬기 때문에, 예전처럼 어색한 번역이나 오타로 가짜를 구분하기는 어려워졌다. AI의 판별은 참고용이지 최종 판단이 아니다. 케이뱅크의 서비스조차 결국 "링크를 누르지 말고 해당 기관에 직접 확인하라"고 안내한다.

그래서 기준은 하나로 모인다. AI가 안전하다고 해도 돈이나 개인정보를 요구하는 내용이면 공식 채널로 다시 확인한다. 그리고 챗봇에 OTP, 비밀번호, 계정 정보를 입력하지 않는다. 판별을 맡기겠다고 가장 민감한 정보를 외부 도구에 넘기면 본말이 뒤집힌다. 도구는 거들 뿐, 진위 확인의 마지막 한 걸음은 공식 번호로 직접 거는 데 있다.