2FA와 출금 화이트리스트로 계정 지키는 기본 설정법
계정을 지키는 가장 기본적인 장치는 2FA(2단계 인증)와 출금 화이트리스트다. 2FA는 비밀번호 외에 별도의 인증 수단을 하나 더 요구해, 비밀번호만 탈취당해도 로그인이나 출금까지 이어지지 않도록 막는 장치다. 출금 화이트리스트는 미리 등록해 둔 지갑 주소로만 출금을 허용해, 로그인에 성공한 공격자라도 다른 주소로 자산을 빼가지 못하게 만드는 기능이다. 여기에 비밀번호 관리와 복구 수단 점검을 더하면 개인이 스스로 할 수 있는 계정 보안의 기본 틀이 완성된다.
2FA 설정: 로그인과 출금에 이중 잠금을 건다
2FA를 켜면 로그인할 때 비밀번호를 입력한 뒤 추가로 인증 코드를 한 번 더 입력해야 한다. 이 코드는 OTP 앱(구글 OTP 등)이 30초 간격으로 새로 만들어내는 6자리 숫자이며, 거래소와 OTP 앱이 가입 시 공유한 비밀키를 바탕으로 계산되기 때문에 앱이 설치된 기기 없이는 같은 숫자를 만들어낼 수 없다. 비밀번호가 유출되더라도 이 두 번째 잠금을 통과하지 못하면 로그인 자체가 막힌다.
아래 표는 자주 쓰이는 인증 방식 세 가지를 비교한 것이다. 표를 볼 때는 '어떤 방식이 편한가'보다 '어떤 방식이 탈취에 강한가'를 기준으로 읽는 게 맞다. 문자(SMS) 인증은 설정이 쉽지만 통신사 고객센터를 속여 번호를 가로채는 심 스와핑 공격에 취약하다는 점이 알려져 있어, 로그인·출금의 유일한 2차 인증으로는 권장되지 않는다.
| 방식 | 원리 | 주요 위험 | 권장 여부 |
|---|---|---|---|
| SMS 문자 인증 | 문자로 받은 인증번호 입력 | 심 스와핑(번호 탈취)에 취약 | 보조 수단으로만 사용 권장 |
| OTP 앱 | 앱과 거래소가 공유한 비밀키로 30초마다 새 숫자 생성 | 기기 분실 시 백업 코드 없으면 복구 어려움 | 기본 수단으로 권장 |
| 하드웨어 보안키 | 물리적 키를 USB·NFC로 연결해 인증 | 키 분실 시 재발급 절차 필요 | 자산 규모가 클 때 추가 권장 |
대부분의 OTP 앱은 설정 시 백업 코드나 QR코드를 한 번만 보여주고 다시 보여주지 않는다. 이 코드를 캡처하거나 메모해두지 않으면 휴대폰을 분실했을 때 OTP 자체를 재발급받는 절차를 거쳐야 하고, 그 과정에서 신분 확인 등 시간이 걸리는 절차를 밟아야 한다. 로그인용 2FA와 출금용 2FA를 별도로 요구하는 거래소도 있으므로, 두 항목이 모두 켜져 있는지 계정 설정 화면에서 직접 확인하는 것이 안전하다.
출금 화이트리스트: 등록된 주소로만 출금을 허용한다
출금 화이트리스트는 본인이 사전에 등록해 둔 지갑 주소 목록에만 출금을 허용하고, 목록에 없는 새 주소로는 출금을 막거나 별도의 대기 절차를 거치게 하는 기능이다. 이 기능을 켜두면 공격자가 비밀번호와 2FA까지 뚫어 로그인에 성공하더라도, 화이트리스트에 없는 자신의 주소로는 자산을 옮겨갈 수 없다. 결과적으로 로그인 보안이 뚫린 최악의 상황에서도 마지막 방어선이 하나 더 남는 셈이다.
새 주소를 화이트리스트에 추가할 때는 즉시 반영되지 않고 일정 시간의 대기 기간을 두는 거래소가 많다. 이 대기 시간 동안 등록 알림이 가입 이메일이나 앱 푸시로 오는데, 본인이 요청하지 않은 등록 알림이 왔다면 계정이 이미 침해된 신호일 수 있으므로 즉시 비밀번호를 바꾸고 로그인 기기를 확인해야 한다.
화이트리스트에는 실제로 반복해서 쓰는 지갑 주소만 최소한으로 등록하는 것이 좋다. 한 번 쓰고 다시 안 쓰는 주소, 다른 사람에게 전달받은 주소를 습관적으로 추가해두면 목록이 불필요하게 늘어나고, 어느 주소가 진짜 본인 소유인지 헷갈리는 상황이 생길 수 있다. 등록된 주소 목록은 계정 설정 화면에서 주기적으로 열어 실제로 쓰는 주소만 남아 있는지 점검하는 습관이 필요하다.
비밀번호 관리: 재사용을 피하고 주기적으로 점검한다
같은 비밀번호를 여러 사이트에서 재사용하면, 보안이 약한 다른 사이트에서 유출된 비밀번호가 거래소 계정 침해로 이어질 수 있다. 거래소 계정에는 다른 사이트와 겹치지 않는 별도의 비밀번호를 쓰는 것이 기본이며, 이를 일일이 외우기 어렵다면 비밀번호 관리 프로그램을 이용해 사이트별로 다른 비밀번호를 자동 생성·저장하는 방법이 있다.
비밀번호에 생일, 전화번호, 이메일 아이디처럼 다른 사람이 유추할 수 있는 정보를 넣지 않는 것도 기본 원칙이다. 길이가 길고 문자·숫자·기호가 섞인 비밀번호일수록 무작위 대입 공격에 걸리는 시간이 늘어나며, 주기적으로 비밀번호를 바꾸는 것보다는 유출 정황이 있을 때 즉시 바꾸는 대응이 더 중요하다.
피싱 사이트를 통한 계정 탈취도 흔한 경로다. 이메일이나 메신저로 받은 링크를 클릭하기 전에 실제 거래소 도메인과 일치하는지 주소창에서 직접 확인하고, 로그인 화면이 평소와 조금이라도 다르게 보이면 로그인을 멈추고 즐겨찾기에 저장해 둔 정식 주소로 다시 접속하는 습관이 안전하다.
복구 수단 점검: 이메일과 백업 코드도 계정의 일부다
거래소 계정을 아무리 단단히 잠가도, 가입할 때 쓴 이메일 계정 자체가 뚫리면 비밀번호 재설정 메일을 통해 거래소 계정까지 뚫릴 수 있다. 이메일 계정에도 별도의 2FA를 걸어두는 것이 거래소 보안 설정만큼 중요하며, 이메일 비밀번호도 거래소 비밀번호와 다르게 설정해야 한다.
OTP 앱 설정 시 받은 백업 코드는 스크린샷으로 휴대폰에만 저장해두면, 휴대폰을 분실했을 때 코드에도 접근할 수 없게 된다. 종이에 적어 오프라인으로 보관하거나, 클라우드가 아닌 별도 저장매체에 남겨두는 방식이 안전하다.
거래소마다 계정 복구 절차와 처리 시간이 다르므로, 문제가 생기기 전에 해당 거래소의 계정 복구 안내 페이지를 미리 한 번 읽어보는 것이 좋다. 어떤 서류가 필요한지, 고객센터 문의 채널이 어디인지 미리 알아두면 실제 상황에서 대응 속도가 빨라진다. 이런 절차나 용어가 낯설다면 /faq 문서에서 기본적인 내용을 먼저 확인해볼 수 있다.
보안 설정별 효과 비교
아래 표는 2FA와 출금 화이트리스트를 각각 켰을 때와 껐을 때, 비밀번호나 2FA 기기가 뚫리는 상황에서 결과가 어떻게 달라지는지를 정리한 것이다. 표를 읽을 때는 '어떤 설정이 어떤 공격 단계를 막아주는가'에 초점을 맞추면 된다.
| 설정 상태 | 비밀번호 유출 시 | 2FA 기기까지 탈취 시 | 신규 주소로 출금 시도 시 |
|---|---|---|---|
| 2FA·화이트리스트 모두 미설정 | 즉시 로그인 및 출금 가능 | 해당 없음(이미 접근 가능) | 제한 없이 출금 가능 |
| 2FA만 설정 | 로그인 차단됨 | 로그인·출금 가능 | 제한 없이 출금 가능 |
| 2FA + 출금 화이트리스트 설정 | 로그인 차단됨 | 로그인은 가능하나 미등록 주소로 출금 불가 | 사전 등록 절차와 대기 시간을 거쳐야 함 |
표에서 보듯 2FA만 설정한 경우에도 비밀번호 유출은 막을 수 있지만, 2FA 기기까지 탈취당하면 출금까지 뚫린다. 출금 화이트리스트를 함께 설정해 두면 로그인 단계가 뚫려도 등록되지 않은 주소로는 자산이 빠져나가지 못하므로, 두 설정을 같이 켜두는 쪽이 단일 설정보다 더 많은 공격 단계를 막아준다.
계정 보안 체크리스트
아래 항목을 하나씩 계정 설정 화면에서 직접 확인해보는 것으로 기본 점검을 마칠 수 있다.
- 거래소 로그인에 OTP 앱 기반 2FA를 설정했는가
- 출금 시에도 별도의 2FA 인증을 요구하도록 설정했는가
- 출금 화이트리스트에 실제로 쓰는 지갑 주소만 등록했는가
- 가입 이메일 계정 자체에도 2FA를 걸었는가
- OTP 백업 코드를 오프라인으로 보관했는가
- 비밀번호를 다른 사이트와 겹치지 않게 설정했는가
- 로그인 알림(이메일·앱 푸시)을 켜두었는가
이 항목들은 한 번 설정해두면 끝나는 것이 아니라, 새 거래소에 가입할 때마다 반복해야 하는 작업이다. 비트코인 거래를 처음 시작하는 경우라면 /guide/start 문서에서 계정 개설부터 기본 설정까지 순서대로 확인해볼 수 있고, 테더맥스가 어떤 서비스인지 궁금하다면 /what-is-tethermax에서 개요를 확인할 수 있다.
자주 묻는 질문
Q. OTP 앱을 새 휴대폰으로 옮기려면 어떻게 하나요?
새 기기에 OTP 앱을 설치한 뒤, 기존에 저장해 둔 백업 코드나 QR코드를 다시 등록하면 옮길 수 있다. 백업 코드를 저장해두지 않았다면 거래소 고객센터를 통해 본인 인증 절차를 거쳐 2FA를 재설정해야 하며, 이 과정에서 시간이 걸릴 수 있다. 그래서 OTP를 처음 설정할 때 백업 코드를 반드시 오프라인으로 남겨두는 것이 중요하다.
Q. 출금 화이트리스트에 등록한 주소를 바로 바꿀 수 있나요?
거래소마다 다르지만, 보안을 위해 신규 주소 등록에 대기 시간을 두는 경우가 많다. 이는 계정이 침해된 상황에서 공격자가 즉시 새 주소를 등록해 자산을 빼가는 것을 막기 위한 장치다. 급하게 다른 주소로 출금해야 한다면 대기 시간이 끝날 때까지 기다려야 하므로, 평소 자주 쓰는 주소를 미리 등록해두는 편이 편리하다.
Q. 이메일 계정에도 2FA를 꼭 걸어야 하나요?
그렇다. 거래소 계정 비밀번호를 잊었을 때 재설정 메일이 가입 이메일로 발송되므로, 이메일 계정이 뚫리면 거래소 계정도 함께 위험해진다. 거래소 보안 설정만큼 이메일 계정 보안도 같은 수준으로 관리해야 한다.
Q. 비밀번호 관리 프로그램을 꼭 써야 하나요?
필수는 아니지만, 여러 사이트마다 다른 비밀번호를 쓰기로 했다면 이를 사람이 전부 외우기는 현실적으로 어렵다. 비밀번호 관리 프로그램을 쓰면 사이트별로 복잡한 비밀번호를 자동 생성·저장해 재사용 위험을 줄일 수 있으며, 프로그램 자체의 마스터 비밀번호와 2FA만 별도로 관리하면 된다.
