링크복사
공유
추천

링크가 복사되었습니다.

큰 거래소니까 괜찮겠지?… 미리 확인하는 거래소 보안 셀프 체크리스트

멕시벤처스(MEXC Ventures)

2026.11.06 14:19:35

올해 하반기 업계에서는 대형 거래소 보안 사고가 잇따랐다. 규모와 상관없이 어느 거래소든 사고를 완전히 피할 수는 없다는 점, 그리고 사고 이후 이용자 자산이 보전되는지는 거래소마다 다를 수 있다는 점을 다시 확인한 시기였다. 사고 직후 전액 보전을 발표하고 며칠 안에 출금을 재개한 사례도 있었고, 그 과정에서 보호기금 외에 회사 재원까지 동원된 경우도 있었다. 사고 자체보다 그 다음에 무엇을 할 수 있는 거래소인지가 이용자에게는 더 중요한 문제다.

거래소를 고를 때 보안은 "안전합니다"라는 설명만으로 판단하기 어렵다. 어느 거래소나 같은 말을 하기 때문이다. 이용자가 직접 확인할 수 있는 항목만이 비교의 근거가 된다. 아래는 거래소 웹사이트와 블록 익스플로러만으로 확인해 볼 수 있는 다섯 가지 항목이다. 거래소를 평가하는 완결된 기준은 아니지만, 사고 전에 한 번쯤 점검해 볼 만한 내용들이다.

1. 사고가 나면 무엇으로 보전하나 - 보호기금

거래소 보호기금은 2018년 바이낸스가 거래 수수료 일부를 별도 지갑에 적립하기 시작하면서 업계 표준처럼 자리 잡았다. 지금은 대부분의 거래소가 이름만 다른 기금을 운영하고, "보호기금 운영 중"이라는 문구는 보안 페이지의 기본 항목이 됐다. 그래서 기금이 있다는 사실 자체는 더 이상 차별 요소가 아니다.

봐야 할 것은 세 가지다.

- 규모: 금액이 숫자로 적혀 있는가. "충분한 규모"라는 표현만 있다면 비교할 수 없다. 가능하다면 고객자산 대비 비율도 함께 가늠해 본다. 같은 10억 달러라도 거래소 규모에 따라 의미가 다르다.

- 구성: 스테이블코인인가, BTC인가. 스테이블코인은 사고 직후 바로 쓸 수 있고, BTC는 장기적으로 기금을 키우는 데는 유리하지만 시세에 따라 달러 가치가 변한다. 보안 사고는 시장이 흔들리는 시기와 겹치는 경우가 많아, 기금의 달러 가치가 가장 필요한 순간에 줄어들 수 있다. 두 자산을 섞어 보유하는 방식은 수익률 대신 사고 직후의 지급 안정성을 택한 설계다.

- 검증: 지갑 주소가 공개돼 있는가. 주소가 있으면 블록 익스플로러에서 잔고를 직접 볼 수 있고, 사고 전후로 기금이 어떻게 움직였는지도 추적할 수 있다. 주소가 없는 기금은 거래소의 발표에 의존할 수밖에 없다.

한 가지 더 알아둘 점은 보호기금이 1차 재원일 뿐이라는 것이다. 최근 사고 사례에서는 기금만으로 손실을 모두 덮지 못해 회사 재원이 함께 쓰였다. 기금 뒤에는 거래소의 재무 여력이 있고, 그 여력은 사고가 나기 전에는 공개되지 않는다. 이용자가 미리 볼 수 있는 것은 1차 재원뿐이니, 그 정보가 얼마나 구체적으로 공개돼 있는지가 기준이 된다.

2. 준비금 증명은 누가, 얼마나 자주 하나 - PoR

준비금 증명(PoR)은 "고객 자산만큼 거래소가 실제로 코인을 갖고 있다"는 증명이다. 2022년 한 대형 거래소가 고객 자산을 유용하다 파산한 이후 거의 모든 거래소가 PoR 페이지를 만들었다. 다만 PoR이라고 다 같은 PoR은 아니다.

볼 것은 세 가지다.

- 주체: 거래소가 직접 올린 숫자인가, 외부 감사법인이 확인한 숫자인가. 둘은 신뢰의 무게가 다르다.

- 주기: 월 1회인가, 분기 1회인가. 분기에 한 번 찍는 스냅샷은 그 사이 석 달 동안 무슨 일이 있었는지 보여주지 않는다. 사고 직후에 찍은 스냅샷이라면 보충이 끝났는지는 다음 증명에서야 확인된다.

- 검색: 내 계정이 증명에 포함됐는지 직접 확인할 수 있는가. 머클트리 방식의 PoR은 이용자가 자기 계정의 해시를 검색해 "내 잔고가 증명에 들어가 있다"는 것을 스스로 확인하게 해준다. 이 기능이 없는 PoR은 거래소가 자기 자산을 보여주는 페이지에 가깝다.

주체와 주기가 적혀 있지 않은 PoR은 참고하기 어렵다. 두 질문에 답이 있는 거래소와 없는 거래소는 갈린다.

3. 콜드월렛 비율 다음 질문은 - 출금 통제

"자산 대부분을 콜드월렛에 보관한다"는 설명은 거의 모든 거래소가 하고 있고, 실제로 중요한 기준이다. 다만 이 숫자는 필요하지만 충분하지 않다. 최근 대형 사고들은 콜드월렛 자체보다 키를 사용하는 과정이나 내부 시스템을 거쳐 발생했다. 서명자가 화면에 표시된 거래와 다른 거래에 서명하게 되거나, 직원의 기기가 침해돼 내부 서비스를 통해 출금이 실행되는 식이다. 콜드월렛은 키를 지켰지만, 키를 쓰는 과정이 뚫린 셈이다.

그래서 콜드월렛 비율 다음에는 출금 절차를 봐야 한다.

- 대규모 출금에 여러 사람의 승인이 필요한가

- 서명자가 화면이 아니라 별도 기기에서 거래 내용을 확인하는가

- 콜드월렛에서 자산을 옮길 때 시간 지연이 있는가

- 이상 출금을 자동으로 멈추는 시스템이 있는가

- 거래소가 쓰는 외부 솔루션까지 보안 감사 범위에 들어가는가

이 질문들은 이용자가 직접 검증하기 어렵다. 대신 거래소가 이 내용을 얼마나 구체적으로 설명하는지는 볼 수 있다. "업계 최고 수준의 보안"은 누구나 쓸 수 있는 문장이고, "일정 금액 이상 출금은 N명의 승인과 24시간 지연을 거친다"는 실제로 그렇게 하는 곳만 쓸 수 있는 문장이다. 외부 보안 감사를 받는지, 버그 바운티 프로그램을 운영하는지도 같은 맥락에서 참고할 수 있다.

4. 사고가 나면 어떻게 알리나 - 공시 습관

사고는 어디서나 날 수 있다. 차이는 그 다음 몇 시간에서 갈린다. 사고 당일 공지를 올리고 피해 규모, 동결 금액, 초기 침해 경로를 공개한 뒤 조사 결과에 따라 설명을 정정해 가는 거래소가 있는가 하면, 출금이 멈춘 뒤 "시스템 점검 중"이라는 공지만 남기고 실제 상황은 외부 분석을 통해 알려지는 경우도 있다. 전자가 완벽하다는 뜻은 아니지만, 이용자는 적어도 무슨 일이 일어나고 있는지 알 수 있다.

사고가 나기 전에 이 차이를 가늠하는 방법은 평소 습관을 보는 것이다.

- 정기 보안 보고서를 내는가

- 사기 차단 건수, 동결 금액, 수사기관 협조 사례 같은 숫자를 공개하는가

- 과거 장애나 사고에 대해 사후 보고서를 낸 적이 있는가

- 준비금 증명과 보호기금 현황을 정기적으로 갱신하는가

평소에 숫자를 공개하는 거래소는 사고 때도 숫자를 공개할 가능성이 높다. 평소에 "안전합니다" 한 마디만 하던 거래소는 사고 때도 "점검 중입니다" 한 마디를 할 가능성이 높다.

5. 거래소가 아니라 내 계정이 뚫린다면 - 계정 보안

앞의 네 항목은 거래소가 뚫리는 경우를 다뤘다. 하지만 이용자 자산이 사라지는 가장 흔한 경로는 거래소 해킹이 아니다. 피싱으로 비밀번호가 넘어가고, 심카드가 복제되고, 악성 앱이 인증번호를 가로채는 개별 계정 탈취다. 거래소가 멀쩡해도 내 계정은 뚫릴 수 있다.

그래서 마지막 항목은 거래소가 내 계정 단위에서 어떤 방어선을 제공하는지다. 계정 설정에서 켤 수 있는 것들이다.

- 출금 주소 화이트리스트: 등록한 주소로만 출금 가능

- 새 주소 등록 후 일정 시간 출금 잠금: 주소를 추가해도 바로 출금할 수 없음

- 새 기기 로그인 시 출금 제한: 낯선 기기에서는 일정 시간 출금 불가

- 비밀번호 변경 시 출금 잠금

- 하드웨어 보안키·패스키 지원

- 이상 로그인 알림

이 기능들의 역할은 공격자에게서 시간을 빼앗는 것이다. 계정이 뚫려도 바로 출금되지 않고, 그 사이 이용자는 알림을 받고 계정을 잠글 수 있다. 단순한 기능이지만 실제 피해의 상당수를 막는다. 다만 기능이 있느냐보다 켜뒀느냐가 중요하다. 대부분의 거래소가 화이트리스트와 2단계 인증을 제공하지만, 대부분의 이용자가 설정하지 않는다. 거래소에 네 가지를 묻기 전에, 다섯 번째는 스스로에게 물어봐야 한다.

면책 조항(Disclaimer): 본 콘텐츠는 투자, 세무, 법률, 금융, 회계 관련 조언을 제공하는 것이 아닙니다. MEXC Ventures는 정보 제공 목적으로 본 글을 작성하였으며, 투자 결정 및 그에 따른 모든 책임은 투자자 본인에게 있습니다.