CZ: 사용자는 자신의 데이터를 보호하고 플랫폼 간 정보 재사용을 줄여야 합니다
CZ: 사용자는 자신의 데이터를 보호하고 플랫폼 간 정보 재사용을 줄여야 합니다
암호화폐 업계에서 데이터 유출은 끊임없이 발생하는 위험이 되었습니다. 고객 자금이 직접 노출되지 않더라도, 유출된 개인정보는 피싱, 유심 스와핑, 신원 도용, 표적형 사회공학 공격이 발생할 수 있는 환경을 만들 수 있습니다.
10월 28일, 바이낸스 창립자 창펑 자오(Changpeng Zhao, 통칭 CZ)는 디지털 자산 업계와 전통 금융권 기업에 영향을 미친 여러 데이터 노출 사례를 언급했습니다. 알려진 사례에는 코인베이스와 연관된 서비스 제공업체, 한국의 가상자산 거래소 빗썸, 그리고 국내 증권사인 미래에셋과 대신증권이 포함됐습니다. 코인베이스 관련 사건에서 노출된 정보는 자금 접근 정보가 아니라 이용자의 연락처 데이터였던 것으로 전해졌습니다.
이 사건들은 암호화폐 이용자에게 중요한 현실을 보여줍니다. 기업의 보안 침해 자체를 막을 수는 없더라도, 자신이 공유한 정보로 인해 발생하는 피해는 줄일 수 있다는 점입니다.
데이터 유출이 암호화폐 보안 문제로 이어지는 이유
유출된 이메일 주소나 전화번호 하나만 놓고 보면 대수롭지 않아 보일 수 있습니다. 그러나 공격자는 여러 데이터를 조합해 특정 피해자를 정교하게 파악할 수 있습니다.
금융 서비스 기업의 보안 침해 과정에서 흔히 노출되는 정보는 다음과 같습니다.
- 실명
- 이메일 주소
- 전화번호
- 거주지 또는 우편물 수령 주소
- 신분증 정보
- 거래 내역 또는 계정 활동 정보
- 고객센터 상담 내용
이러한 정보는 사기 메시지를 실제 안내처럼 보이게 만드는 데 이용될 수 있습니다. 공격자는 거래소, 지갑 서비스 제공업체, 은행 또는 컴플라이언스팀을 사칭해 수신자에게 본인 인증을 완료하거나 계정 잠금을 해제하고, 의심스러운 거래를 확인해야 한다고 주장할 수 있습니다.
공격의 목적이 반드시 플랫폼에 직접 침입하는 것만은 아닙니다. 공격자는 피해자가 비밀번호를 공개하거나, 거래를 승인하거나, 악성 프로그램을 설치하거나, 복구 문구를 알려주도록 설득하려고 합니다.
미국 연방거래위원회(FTC)의 유심 스와핑 사기 관련 안내에 따르면 범죄자는 피해자의 전화번호를 탈취한 뒤 이를 이용해 인증 코드를 받을 수 있습니다. 암호화폐 업계에서는 전화번호가 계정 복구 수단이나 계정 접근을 위한 핵심 인증 요소로 사용되는 경우가 많아 특히 위험할 수 있습니다.
어디서나 같은 정보를 재사용할 때 발생하는 위험
많은 이용자는 여러 거래소, 지갑, NFT 마켓플레이스, 결제 서비스, 블록체인 애플리케이션에 동일한 이메일 주소와 전화번호로 가입합니다. 계정 관리에는 편리하지만, 서로 분리돼 있어야 할 서비스 간에 강한 연결고리를 만들게 됩니다.
하나의 데이터베이스가 침해되면 공격자는 유출된 정보를 이용해 다음과 같은 행위를 할 수 있습니다.
- 피해자가 계정을 보유하고 있을 가능성이 있는 다른 플랫폼을 파악합니다.
- 개인의 실제 신원과 암호화폐 활동을 연결합니다.
- 고도로 개인화된 피싱 메시지를 보냅니다.
- 관련 없는 다른 서비스에서도 비밀번호 재설정을 시도합니다.
- 공개된 출처를 통해 추가 정보를 수집합니다.
- 사회공학 공격으로 피해자를 표적으로 삼습니다.
여러 플랫폼이 동일한 식별 정보를 공유할수록 공격자가 피해자의 전체 프로필을 구축하기는 쉬워집니다. 특히 여러 거래소에 디지털 자산을 보유하고 있거나, 식별 가능한 신원으로 탈중앙화 애플리케이션을 이용하는 사용자라면 더욱 주의해야 합니다.
따라서 데이터 최소화는 단순한 개인정보 보호 원칙에 그치지 않습니다. 현실적인 암호화폐 보안 전략의 일부이기도 합니다.
서비스별로 별도의 이메일 별칭 사용하기
가장 간단하게 적용할 수 있는 보안 강화 방법 중 하나는 주요 거래소나 금융 플랫폼마다 고유한 이메일 별칭을 사용하는 것입니다.
예를 들어 하나의 이메일 주소를 모든 곳에서 사용하는 대신, 다음과 같이 서비스별로 별도의 별칭을 만들 수 있습니다.
- 중앙화 거래소
- 법정화폐 입출금 서비스
- 거래 플랫폼
- 블록체인 분석 서비스
- 소프트웨어 또는 하드웨어 지갑 계정
- 금융과 무관한 웹 서비스
나중에 특정 별칭으로 의심스러운 메시지가 도착한다면, 어떤 서비스에서 해당 주소가 노출되거나 공유됐을 가능성이 있는지 파악할 수 있습니다. 더 중요한 점은 고유한 별칭을 사용하면 공격자가 해당 계정을 이용자의 다른 온라인 신원과 연결하기가 어려워진다는 것입니다.
다만 이메일 별칭을 강력한 인증의 대체 수단으로 생각해서는 안 됩니다. 별칭은 고유한 비밀번호, 비밀번호 관리자, 그리고 지원되는 경우 피싱 방지 기능을 갖춘 다중 인증과 함께 사용할 때 가장 효과적입니다. 미국 국립표준기술연구소(NIST)의 디지털 신원 가이드라인에서도 인증 및 계정 보안을 위한 보다 폭넓은 권고사항을 확인할 수 있습니다.
공유하는 개인정보의 양 줄이기
이용자는 계정 가입과 본인 인증 과정에서 실제로 어떤 정보가 필요한지도 신중하게 살펴봐야 합니다.
일부 암호화폐 플랫폼은 법률 및 규제 요건을 준수하기 위해 신원 정보를 수집해야 합니다. 이러한 경우 이용자가 신분증 제출을 피하기 어려울 수 있습니다. 그러나 다음과 같은 방법으로 불필요한 정보 노출은 줄일 수 있습니다.
- 선택 입력 항목은 작성하지 않기
- 가능한 경우 사용하지 않는 전화번호를 계정에서 삭제하기
- 지갑 주소를 공개적으로 공유하는 일을 최소화하기
- 잔액이나 거래 내역이 드러나는 스크린샷을 공유하지 않기
- 개인 소셜미디어 프로필과 암호화폐 관련 신원을 분리하기
- 거래소와 금융 앱의 개인정보 설정을 점검하기
- 서비스에서 허용하는 경우 사용하지 않는 계정 삭제하기
또한 낯선 플랫폼에 신분증을 제출할 때는 각별히 주의해야 합니다. 본인 인증을 완료하기 전에 해당 회사의 법적 실체, 보안 관행, 개인정보 처리방침, 고객 지원 채널을 확인하세요. 정확한 개인정보가 일부 포함되어 있더라도, 사전에 요청하지 않은 메시지를 통해 전달된 민감한 서류 제출 요구는 의심스러운 요청으로 간주해야 합니다.
데이터 유출 이후 피싱에 대응하는 방법
데이터 유출이 발생하면 이후에 등장하는 사기 수법이 더욱 그럴듯해질 수 있습니다. 자신의 이름, 전화번호 또는 일부 거래 내역이 포함된 메시지라고 해도 여전히 사기일 수 있다는 전제하에 대응해야 합니다.
행동하기 전에 다음 사항을 확인하세요.
- 예상하지 못한 계정 알림 메시지의 링크를 클릭하지 마세요.
- 북마크한 웹사이트나 공식 애플리케이션을 통해 서비스에 접속하세요.
- 시드 문구, 개인 키 또는 일회용 인증 코드를 절대 공유하지 마세요.
- 출금이나 계정 동결과 관련된 긴급 요청은 고위험 신호로 받아들이세요.
- 별도의 공식 채널을 통해 고객지원 요청의 진위를 확인하세요.
- 로그인 정보를 입력하기 전에 도메인 이름이 정확한지 확인하세요.
- 정체를 알 수 없는 ‘고객지원 담당자’의 요청에 따라 소프트웨어를 설치하지 마세요.
정상적인 플랫폼은 계정 접근 권한을 복구하거나 거래를 조사하기 위해 이용자의 복구 문구를 요구하지 않습니다. 복구 문구를 요구하는 사람은 지갑을 탈취하려는 것입니다.
미국 사이버보안·인프라보안국(CISA)의 피싱 대응 안내 역시 예상하지 못한 요청을 받았을 때 압박감에 즉시 대응하기보다는 잠시 멈추고 독립적인 경로를 통해 확인할 것을 권고합니다.
자기 보관만으로 개인정보 위험이 사라지는 것은 아닙니다
자기 보관 방식은 개인 키 관리에 대한 제3자 의존도를 줄일 수 있지만, 신원 및 개인정보와 관련된 문제까지 자동으로 해결해주지는 않습니다.
이용자가 자기 보관 지갑에 자산을 보유하고 있더라도 거래소 계정, 블록체인 애플리케이션, 소셜 플랫폼 또는 공개된 지갑 정보 등을 통해 개인정보를 노출할 수 있습니다. 지갑 주소가 이름, 이메일 주소 또는 거래 계정과 연결되면 온체인 활동을 분석해 실제 신원과 연관 짓기가 더 쉬워질 수 있습니다.
보다 안전한 접근 방식은 다음과 같은 여러 보안 계층을 함께 적용하는 것입니다.
- 개인 키와 복구 문구를 오프라인으로 보관하기
- 금융 서비스 전용 이메일 신원 사용하기
- 불필요하게 지갑 주소를 공개하지 않기
- 거래에 서명하기 전에 세부 정보 검토하기
- 장기 보유 자산과 잦은 거래 활동을 분리하기
- 백업을 안전하게 보관하고 복구 문구를 클라우드 문서나 메신저에 저장하지 않기
개인 키를 직접 관리하고 싶은 이용자라면 OneKey 하드웨어 지갑을 사용할 수 있습니다. OneKey 하드웨어 지갑은 민감한 지갑 작업을 잠재적으로 침해된 컴퓨터와 웹사이트로부터 분리하는 데 도움이 되도록 설계된 오프라인 서명 환경을 제공합니다. 이는 거래소나 서비스 제공업체의 데이터 유출을 막아주지는 않지만, 유출된 연락처 정보가 승인되지 않은 거래 승인으로 직접 이어질 가능성을 줄이는 데 도움이 될 수 있습니다.
암호화폐 이용자를 위한 더욱 탄력적인 보안 모델
어떤 단일 보안 조치도 모든 공격을 막을 수는 없습니다. 데이터 유출은 거래소, 분석 서비스 제공업체, 결제 처리업체, 통신사, 그리고 암호화폐 업계 밖의 금융기관에서도 발생할 수 있습니다.
보다 현실적인 목표는 노출되는 정보의 양을 제한하고, 서로 다른 계정을 연결하기 어렵게 만들며, 유출된 신원 정보만으로 디지털 자산에 대한 통제권을 빼앗기지 않도록 하는 것입니다.
고유한 이메일 별칭을 사용하고, 불필요한 정보 공유를 줄이며, 인증 수단을 강화하고, 개인 키를 온라인 서비스와 분리해 보관하면 이용자의 전반적인 보안 수준을 크게 높일 수 있습니다. CZ의 경고가 시사하듯 개인정보 보호는 이제 선택적인 프라이버시 강화책이 아니라 책임 있는 암호화폐 보유를 위한 필수 요소가 되고 있습니다.
