케플러 지갑, 같은 키로 복구해도 노출 위험 남는다

김하린 기자 2026.11.09 04:50

같은 개인키를 다른 앱에 가져오면 기존 계정에 다시 접근할 수 있지만 키 자체가 바뀌지는 않는다. 키가 노출됐다면 별도 계정으로 자산을 옮기는 조치가 필요하다.

토포AI로 이 기사 더 깊이 읽기

케플러 지갑에서 기존 개인키를 다른 앱에 가져와 계정을 복구해도 키 자체는 바뀌지 않는다. 키가 노출됐다면 앱을 바꿔 다시 로그인해도 같은 계정에 접근할 수 있다.

케플러의 보안 안내는 구글 로그인으로 만든 계정에 복구 문구 대신 Web3Auth가 생성한 16진수 형식의 개인키를 사용한다고 설명한다. 이 키는 비밀번호로 암호화돼 이용자 기기에 저장된다.

케플러의 지갑 가져오기 안내는 복구 문구나 개인키를 입력해 기존 계정을 불러오는 방법을 제시한다. 같은 키를 다른 앱에 입력하면 같은 계정에 접근하며, 앱에서 새 비밀번호를 설정해도 개인키가 교체되는 것은 아니다.

개인키 확인에는 조건이 있다. 케플러 안내에 따르면 지갑 확장 프로그램에 접속해 계정을 선택하고 비밀번호를 입력해야 하며, 일부 오래된 계정에서는 확인 기능을 쓰지 못할 수 있다.

Web3Auth는 보안 사고를 이유로 로그인 서비스를 유지보수 상태로 전환했다. 공지된 유지보수 기간은 11월 7일 오전 3시 30분부터 8일 오전 3시 30분까지(한국시간)였다.

앞서 케플러는 소셜 로그인 계정 일부의 개인키 유출을 알리고 잔여 자산 이전을 권고했다. 크립토슬레이트(CryptoSlate)는 케플러가 구글·애플 로그인 계정 일부에서 무단 거래 신고를 받았고, 일부 개인키가 침해됐다고 안내했다고 보도했다.

크립토슬레이트는 케플러의 초기 안내가 해당 계정에 새 자금을 보내거나 다른 곳에서 기존 계정을 다시 가져오지 말라는 내용이었다고 전했다. 후속 안내는 남아 있는 유동성 자산을 복구 문구 또는 하드웨어 지갑으로 만든 계정에 옮기라는 내용이었다.

기존 키를 다른 앱에 가져오면 계정에 다시 접근할 수 있지만, 그 키가 새 키로 바뀌지는 않는다. 별도 복구 문구나 하드웨어 지갑으로 만든 계정에 자산을 옮기는 것은 기존 키가 통제하는 계정 밖으로 자산을 이동하는 조치다.

크립토슬레이트는 케플러의 자산 보호 조치로 일부 계정의 잔액이 줄거나 비어 보일 수 있다고 전했다. 화면에 보이는 잔액 변화만으로 자산 도난 여부나 회수 완료 여부를 판단할 수는 없다.

메타마스크 빌더 허브(MetaMask Builder Hub)는 Web3Auth의 임베디드 지갑 서비스가 일시 중단된 뒤 초기 조사에서 메타마스크 이용자가 영향을 받았다는 증거를 찾지 못했다고 밝혔다. 게시판에 올라온 로그인 불편 댓글은 접속 문제에 관한 이용자 반응이며, 개인키 노출을 뜻하지는 않는다.