도입부: ‘암호화폐 거래’는 결국 “어디서, 어떻게”가 절반이에요
처음 암호화폐 거래를 시작하면 대부분 코인 종목부터 찾게 되죠. 그런데 실제로는 “어떤 거래소를 쓰느냐”와 “보안을 얼마나 꼼꼼히 해두느냐”가 수익률만큼이나 중요해요. 같은 날 같은 코인을 샀는데도, 어떤 사람은 출금 지연 때문에 타이밍을 놓치고, 어떤 사람은 피싱 링크 한 번 눌러서 계정이 털리기도 하거든요.
특히 거래소는 내 돈(정확히는 내 자산을 대신 보관하는 곳)이 모이는 장소라서, 기능이나 수수료보다 ‘사고 가능성’과 ‘사고가 났을 때의 대응력’을 먼저 보는 게 좋아요. 이 글에서는 거래소를 고를 때 확인해야 할 체크리스트와, 지금 당장 적용할 수 있는 보안 설정 핵심을 아주 실용적으로 정리해볼게요.
1) 거래소 선택의 기준: “규모”보다 “신뢰 구조”를 먼저 보자
사람들이 흔히 “큰 거래소면 안전하겠지”라고 생각하지만, 규모가 안전을 보장하진 않아요. 실제로 과거 여러 해외 거래소들이 큰 거래량을 기록하던 시점에도 해킹·횡령·유동성 위기 같은 문제가 터졌죠. 그래서 거래소의 ‘겉모습(광고, 앱 UI, 이벤트)’보다 ‘신뢰 구조’를 확인하는 게 핵심이에요.
규제 준수와 라이선스(또는 신고/등록 상태) 확인
국가별로 거래소 운영 요건이 달라요. 국내라면 특정금융정보법 관련 신고 수리 여부, 실명계좌 지원 여부 등이 중요하고, 해외 거래소라면 해당 국가의 라이선스·규제 프레임에 들어와 있는지 확인해야 해요. 규제 준수는 “완벽한 안전”을 의미하진 않지만, 최소한의 내부통제/감사/고객자산 관리 체계를 갖출 가능성을 높여줘요.
- 거래소 웹사이트 하단(footer)의 법인명, 주소, 라이선스 표기 확인
- 고객센터/공지에서 컴플라이언스(AML/KYC) 정책이 구체적으로 공개돼 있는지 확인
- 본사 소재지와 서비스 대상 국가가 불명확하면 주의
고객자산 분리 보관, 준비금(Proof of Reserves) 공개 여부
요즘은 ‘준비금 증명(Proof of Reserves, PoR)’을 공개하는 거래소가 늘었어요. 2022년 이후 업계 전반에서 “고객 자산이 실제로 존재하는지” 투명하게 보여주려는 흐름이 강해졌거든요. 다만 PoR도 ‘부채(고객에게 갚아야 할 총액)’를 함께 공개하는지, 외부감사·검증이 있는지까지 봐야 의미가 커요.
- 준비금 공개 시: 어떤 자산을 어떤 방식(머클 트리 등)으로 증명하는지 확인
- 외부 회계법인/감사 기관의 검증 여부 확인
- 고객자산과 회사운영자금의 분리 보관 정책 명시 여부 확인
사고 이력과 대응 방식이 ‘진짜 실력’
완벽히 사고가 없는 곳이 이상적이지만, 현실에선 크고 작은 장애가 생길 수 있어요. 중요한 건 사건이 터졌을 때 숨기지 않고 공지했는지, 보상·재발방지책을 공개했는지예요. 보안 업계에서도 “침해 자체보다 사고 대응(Incident Response) 성숙도가 더 중요”하다는 말이 있을 정도로요.
- 과거 해킹/서버 장애 발생 시 공지 타임라인이 투명했는지
- 피해 보상 기준과 절차가 있었는지
- 재발 방지 대책(권한 관리, 지갑 구조 개선 등)을 공개했는지
2) 수수료·유동성·슬리피지: ‘숨은 비용’까지 합산해야 해요
암호화폐 거래에서 많은 분들이 메이커/테이커 수수료만 보고 거래소를 고르는데, 실제로는 유동성과 호가창 두께가 더 큰 비용 차이를 만들기도 해요. 예를 들어 “수수료 0.02% 더 싼 거래소”를 골랐는데, 주문 넣는 순간 가격이 미끄러져(슬리피지) 0.2% 손해를 보면 본말전도죠.
유동성이 부족하면 손해가 커지는 이유
유동성이 얕으면 큰 주문이 호가를 여러 칸 먹어버려 체결 평균가가 불리해져요. 특히 알트코인이나 변동성 큰 장에서는 슬리피지가 체감상 ‘수수료’처럼 느껴질 정도로 커질 수 있어요.
- 거래량(24h)만 보지 말고 호가창 스프레드(매수-매도 차이)를 함께 보기
- 자주 거래할 코인의 거래쌍(예: KRW, USDT) 유동성 비교
- 지정가/분할매수로 체결 평균가를 관리하는 습관 들이기
입출금 수수료와 출금 정책은 꼭 확인
거래 수수료가 싸도, 출금 수수료가 비싸거나 출금이 자주 지연되면 불편을 넘어 ‘리스크’가 돼요. 특히 급락·급등 시기에 출금이 막히면 대응이 어렵거든요.
- 코인별 출금 수수료(네트워크 수수료 포함 여부) 확인
- 출금 한도(일/월), 출금 지연 조건(신규기기 로그인, 비정상 거래 탐지 등) 확인
- 네트워크 선택(ERC-20, TRC-20 등) 실수 방지를 위한 안내가 친절한지 확인
3) 보안 구조 체크: ‘2FA만 켜면 끝’이 아니에요
보안 설정에서 가장 흔한 오해가 “OTP(2단계 인증)만 켜면 안전하다”예요. OTP는 기본 중의 기본이고, 계정 탈취는 보통 더 약한 고리(이메일, SIM 스와핑, 피싱 로그인 페이지, API 키 유출)에서 터져요. 보안을 ‘계정-이메일-기기-출금’ 네 겹으로 본다고 생각하면 좋아요.
거래소가 제공해야 할 핵심 보안 기능
기능이 있더라도 기본값이 꺼져 있는 경우가 많아서, 가입 후 바로 설정해두는 게 좋아요.
- 앱 기반 OTP(권장: TOTP) 지원
- 출금 주소록(화이트리스트) 기능 및 주소록 잠금
- 출금 지연(예: 주소록 변경 후 24~48시간 출금 제한)
- 로그인/출금 알림(이메일·앱 푸시) 및 접속 이력 확인
- API 키 권한 분리(읽기/거래/출금) 및 IP 제한
전문가들이 강조하는 “단일 장애점 제거” 관점
보안 전문가들은 한 번 뚫리면 끝나는 구조를 특히 싫어해요. 예를 들어 이메일이 털리면 비밀번호 재설정이 가능하고, 휴대폰 번호가 털리면 SMS 인증이 뚫리는 식이죠. 그래서 인증 수단을 분산시키고, 출금 같은 치명적인 행동은 별도 잠금장치로 막는 게 핵심이에요.
- 로그인 인증(OTP)과 출금 인증(추가 OTP/비밀번호)을 분리 설정
- SMS 인증은 가능하면 보조 수단으로만 사용
- 이메일 보안(2FA, 로그인 알림, 복구 이메일 점검)까지 함께 강화
4) 계정 보안 설정 실전 가이드: 오늘 바로 이렇게 해두세요
여기부터는 “바로 따라 할 수 있는 체크리스트”로 정리해볼게요. 한 번 세팅해두면 이후에는 크게 손 갈 일이 없어서, 초반에만 조금 부지런하면 돼요.
비밀번호 전략: 길이+고유성+관리 방식이 전부
많은 침해 사고가 ‘비밀번호 재사용’에서 시작돼요. 다른 사이트에서 유출된 비밀번호를 그대로 넣어보는 크리덴셜 스터핑 공격이 흔하거든요. 거래소 비밀번호는 다른 곳과 절대 겹치지 않게, 충분히 길게 설정하는 게 좋아요.
- 거래소 비밀번호는 최소 16자 이상, 타 서비스와 완전 다르게
- 비밀번호 관리자는 신뢰할 수 있는 제품을 쓰고, 마스터 비밀번호도 강하게
- 보안 질문(있다면)은 사실과 다르게 랜덤 값으로 저장
2단계 인증(OTP) 설정: 앱 기반이 기본
가능하면 SMS보다 앱 기반 OTP(TOTP)를 추천해요. 통신사 인증은 SIM 스와핑(번호 탈취) 리스크가 상대적으로 높다고 알려져 있어요. 미국 연방수사국(FBI) 등도 SIM 스와핑 피해 주의 경고를 반복적으로 낸 바 있고요(공식 공지에서 흔히 언급되는 대표 사례예요).
- OTP는 구글 OTP/마이크로소프트 인증 앱 등 TOTP 앱 사용
- 백업 코드(복구 코드)는 오프라인(종이/암호화 USB 등)로 보관
- 새 폰으로 이동 시 ‘동기화/백업’ 기능을 무턱대고 쓰기 전 보안성 검토
출금 주소 화이트리스트 + 주소록 잠금은 ‘필수’
계정이 털렸을 때 최종 목적은 거의 항상 ‘출금’이에요. 그래서 출금 경로를 잠가두면 피해가 크게 줄어요. 화이트리스트를 설정하면 등록된 주소로만 출금되니, 공격자가 임의의 주소로 빼가기 어려워져요.
- 자주 쓰는 개인 지갑 주소만 주소록에 등록
- 주소록 변경 시 출금 지연(대기시간) 옵션이 있으면 켜기
- 주소 라벨을 정확히 적고, 소액 테스트 전송 습관화
피싱 방어: ‘피싱 코드(안티 피싱 문구)’가 은근히 강력해요
거래소에서 제공하는 안티 피싱 코드 기능은 체감 효과가 커요. 내가 설정한 문구가 공식 메일에 함께 표시되기 때문에, 가짜 메일을 구분하기 쉬워지거든요. 물론 이것만으로 100% 막을 순 없지만, 실수 확률을 확 낮춰줘요.
- 안티 피싱 코드를 설정하고, 모든 공식 메일에서 문구가 있는지 확인
- 즐겨찾기한 공식 도메인으로만 접속(검색 광고 링크 주의)
- 급하게 “인증 필요/출금 제한”을 강조하는 메일은 일단 의심
5) 자산 보관 전략: 거래소는 ‘지갑’이 아니라 ‘거래 장소’로 쓰는 게 안전해요
암호화폐 거래를 자주 하는 사람도, 장기 보유 물량까지 전부 거래소에 두는 건 권장되지 않아요. 업계 격언처럼 “Not your keys, not your coins(키가 내 것이 아니면 내 코인이 아니다)”라는 말이 괜히 나온 게 아니거든요.
핫월렛/콜드월렛 개념을 생활화
거래소는 대부분 핫월렛(온라인)에 일부 유동성을 두고, 대다수는 콜드월렛(오프라인)에 보관하는 구조를 사용한다고 알려져 있어요. 하지만 이용자 입장에서 중요한 건 “내가 거래소에 얼마나 맡길 것인가”예요.
- 단기 매매용: 거래소에 필요한 만큼만
- 중장기 보유용: 개인 지갑(하드웨어 월렛 등)으로 분산
- 큰 금액일수록 ‘자기 보관(Self-custody)’ 비중을 늘리기
사례로 보는 리스크 관리
예를 들어 월급의 일정 비율로 코인을 적립식 매수하는 A씨는 매달 거래소에서 매수 후, 일정 금액 이상이 되면 개인 지갑으로 옮기는 규칙을 만들었어요. 반면 B씨는 편하다는 이유로 전액을 거래소에 두고 방치했는데, 어느 날 피싱 사이트에 로그인 정보를 입력한 뒤 출금 시도가 발생했고, 다행히 화이트리스트를 안 켜둔 탓에 큰 피해로 이어질 뻔했죠. 둘의 차이는 “운”이 아니라 “설정과 습관”이에요.
6) 문제 해결 접근법: 이상 징후가 보이면 이렇게 대응하세요
보안은 결국 사고가 ‘안 나는 것’도 중요하지만, ‘났을 때 피해를 줄이는 것’도 실력입니다. 특히 거래소 계정은 시간 싸움인 경우가 많아요. 이상 징후를 감지했을 때의 행동 순서를 정해두면 훨씬 안전해요.
위험 신호 체크리스트
- 내가 시도하지 않은 로그인 알림/새 기기 접속 알림
- 비밀번호 재설정 메일이 갑자기 옴
- API 키가 생성/수정되었다는 알림
- 출금 주소록 변경 알림
- 휴대폰 통신이 갑자기 끊기거나 유심이 먹통(SIM 스와핑 의심)
즉시 대응 순서(우선순위대로)
당황하면 순서가 꼬여요. 아래처럼 “추가 피해 차단 → 계정 통제권 회복 → 증거 확보 → 사후 강화” 흐름으로 가는 게 좋아요.
- 거래소에서 즉시 출금 잠금/계정 잠금(가능하면) 걸기
- 비밀번호 변경(거래소 → 이메일 순서로), 모든 세션 로그아웃
- OTP 재설정 및 백업 코드 재발급
- API 키 전부 삭제(특히 출금 권한 있는 키)
- 고객센터에 침해 의심 신고, 필요한 경우 수사기관/통신사에도 문의
- 피싱 링크/메일/로그 기록 등 증거 캡처 및 보관
통계와 업계 연구가 말하는 현실적인 포인트
여러 보안 보고서(예: Verizon DBIR 같은 연례 침해 보고서들)는 계정 탈취에서 “자격 증명(비밀번호) 유출”과 “피싱”이 반복적으로 상위 원인으로 등장한다고 지적해요. 암호화폐 분야도 예외가 아니고요. 그래서 최고의 보안 팁은 의외로 단순해요. ‘재사용 없는 강한 비밀번호 + 앱 기반 2FA + 출금 경로 잠금 + 피싱 경계’ 이 네 가지를 제대로 하는 사람이 생각보다 많지 않다는 게 함정이죠.
결론: 안전한 암호화폐 거래는 ‘거래소 선택 + 보안 설정 + 습관’의 합이에요
정리해보면, 좋은 거래소를 고르는 기준은 광고나 이벤트가 아니라 규제 준수, 자산 보관 투명성, 사고 대응력 같은 “신뢰 구조”에 있어요. 그리고 계정 보안은 OTP 하나로 끝나는 게 아니라 이메일·기기·출금까지 겹겹이 잠가야 실제로 안전해지고요.
오늘 할 수 있는 가장 효과적인 액션을 딱 5개로 압축하면 아래예요.
- 거래소 비밀번호를 길고 고유하게 바꾸기(재사용 금지)
- 앱 기반 OTP 설정 + 복구 코드 오프라인 보관
- 출금 주소 화이트리스트 설정 + 주소록 변경 잠금
- 안티 피싱 코드 설정 + 공식 도메인 즐겨찾기 고정
- 거래소에는 거래할 만큼만 두고, 나머지는 개인 지갑으로 분산
이 정도만 해도 ‘계정이 털릴 확률’과 ‘털려도 잃을 금액’을 동시에 크게 줄일 수 있어요. 결국 암호화폐 거래는 기술보다 습관이 더 크게 작용할 때가 많거든요.
