거래소 API 키, 만들 때 절대 켜면 안 되는 권한
거래소 API 키는 만들어도 괜찮습니다. 다만 권한 설정을 잘못하면 위험합니다. API 키란 프로그램(자동매매 봇, 조회 도구 등)이 사람 대신 거래소 계정에 접근하도록 허용하는 인증 수단이며, 이때 부여하는 권한 중 '출금(Withdraw)' 권한을 켜면 제3자가 키만 탈취해도 자산을 외부로 빼갈 수 있어 절대 켜지 않는 것이 원칙입니다.
API 키란 무엇인가
API 키는 거래소 웹사이트에 로그인하지 않고도 프로그램이 계정과 통신할 수 있게 해주는 문자열 형태의 키입니다. 보통 API 키(Key)와 시크릿 키(Secret)가 한 쌍으로 발급되며, 이 두 값을 자동매매 프로그램이나 조회용 앱에 입력하면 해당 프로그램이 계정 정보를 읽거나 주문을 넣을 수 있게 됩니다.
키 자체는 비밀번호와 비슷한 성격이지만, 한 가지 다른 점이 있습니다. 발급할 때 '이 키로 무엇을 할 수 있는지'를 세부적으로 선택할 수 있다는 점입니다. 이 선택이 바로 권한(Permission) 설정이며, 이 글에서 다루는 핵심입니다.
API 키를 만들어도 되냐는 질문에 대한 답은 '용도에 필요한 권한만 켜면 된다'입니다. 조회만 필요한 서비스에 거래·출금 권한까지 켜서 등록하는 것이 문제의 시작입니다.
API 키 권한 종류
거래소마다 화면 구성은 다르지만, API 키 권한은 대체로 조회(읽기), 거래(트레이딩), 출금(Withdraw) 세 갈래로 나뉩니다. 조회 권한은 잔고와 거래 내역을 확인만 할 수 있는 권한이고, 거래 권한은 주문을 생성·취소할 수 있는 권한이며, 출금 권한은 자산을 외부 주소로 실제로 이동시킬 수 있는 권한입니다.
아래 표는 각 권한이 실제로 무엇을 허용하는지, 그리고 일반적인 페이백·조회 서비스 이용 시 필요한지를 정리한 것입니다. 표를 볼 때는 '위험도'와 '필요 여부'를 함께 보고, 필요하지 않은 권한은 처음부터 켜지 않는다는 원칙을 세우면 됩니다.
| 권한 종류 | 허용되는 동작 | 위험도 | 일반 조회·페이백 서비스에 필요한가 |
|---|---|---|---|
| 조회(읽기) | 잔고, 거래 내역, 포지션 확인 | 낮음 | 일부 조회형 서비스는 필요할 수 있음 |
| 거래(트레이딩) | 주문 생성, 취소, 포지션 변경 | 중간 | 자동매매 봇을 직접 운용할 때만 필요 |
| 출금(Withdraw) | 자산을 지정 주소로 외부 이동 | 높음 | 불필요 — 어떤 서비스도 이 권한을 요구할 이유가 없음 |
| IP 제한 미설정 | 임의의 IP에서 키 사용 가능 | 권한은 아니지만 위험 가중 | 항상 IP를 지정해야 함 |
표에서 보듯 조회와 거래 권한은 용도에 따라 필요할 수 있지만, 출금 권한은 대부분의 일반 이용자가 켤 이유가 없습니다. 자동매매 봇을 직접 돌리는 경우에도 봇이 자산을 인출할 필요는 없으므로, 거래 권한까지만 켜고 출금 권한은 끄는 것이 표준적인 사용법입니다.
출금 권한이 위험한 이유
출금 권한을 켠 API 키가 유출되면, 키를 손에 넣은 사람이 계정 비밀번호를 몰라도 거래소 잔고를 자신이 지정한 주소로 바로 옮길 수 있습니다. 로그인 자체를 뚫지 않고도 자산을 빼갈 수 있다는 점이 API 키 탈취가 특히 위험한 이유입니다.
API 키는 이메일 첨부파일, 스프레드시트, 캡처 이미지, 클립보드 히스토리 등 여러 경로로 의도치 않게 노출될 수 있습니다. 개인 PC가 악성코드에 감염되거나, 사용하던 자동매매 프로그램의 서버가 침해당하는 경우도 실제로 보고되는 경로입니다. 출금 권한이 꺼져 있으면 이런 상황에서도 조회나 주문 권한만 노출될 뿐 자산 자체는 안전하게 남습니다.
또한 일부 거래소는 API 키에 출금 권한을 부여하려면 별도의 추가 인증(2단계 인증 재확인, 화이트리스트 주소 등록 등)을 요구하기도 합니다. 이런 번거로운 절차가 있는 이유 자체가 '출금 권한은 원래 켜지 않는 것이 정상'이라는 신호로 이해하면 됩니다. 특별한 이유 없이 이 절차를 굳이 통과시켜 출금 권한을 켤 필요는 없습니다.
API 키 안전 설정 체크리스트
API 키를 발급할 때 아래 항목을 순서대로 확인하면 위험을 크게 줄일 수 있습니다.
- 출금(Withdraw) 권한 토글이 꺼져 있는지 확인한다.
- 조회(읽기) 권한만으로 목적을 달성할 수 있는지 먼저 검토한다.
- 거래 권한이 꼭 필요하다면, 사용할 프로그램의 접속 IP를 확인해 IP 화이트리스트에 등록한다.
- 시크릿 키를 이미지, 메신저, 이메일 본문에 그대로 남기지 않는다.
- 더 이상 쓰지 않는 API 키는 즉시 삭제(revoke)한다.
- 정기적으로(예: 분기별) 발급된 API 키 목록을 열어 낯선 키가 있는지 점검한다.
이 체크리스트는 특정 거래소에 한정되지 않고 대부분의 중앙화 거래소 API 발급 화면에 공통적으로 적용됩니다. 새로운 프로그램이나 서비스에 API 키를 등록하기 전, 이 여섯 가지를 먼저 확인하는 습관을 들이는 것이 핵심입니다.
페이백 서비스와 API 키를 혼동하지 않기
수수료 페이백(리베이트) 서비스, 즉 거래 시 낸 수수료의 일부를 돌려받는 서비스를 이용할 때 API 키가 필요하다고 오해하는 경우가 있습니다. 하지만 페이백 적립의 실제 절차는 UID 연동이며, 이는 거래소 계정 고유번호를 페이백 서비스에 등록하는 것으로 API 키 발급과는 별개의 절차입니다. UID 연동에는 권한 개념 자체가 없고, 계정에 접근하는 것도 아니어서 출금이나 거래 위험이 발생하지 않습니다.
아래 표는 API 키와 UID 연동의 차이를 정리한 것입니다. 표를 볼 때는 '이 절차가 계정에 실제로 접근하는가'를 기준으로 구분하면 이해가 쉽습니다.
| 구분 | API 키 | UID 연동 |
|---|---|---|
| 목적 | 프로그램이 계정에 접근하도록 허용 | 페이백 적립 대상 계정을 식별 |
| 권한 개념 | 조회/거래/출금을 선택적으로 부여 | 권한 개념 없음, 번호만 등록 |
| 페이백과의 관계 | 페이백 적립 자체에는 불필요 | 페이백 적립의 필수 절차 |
| 위험 노출 | 출금 권한을 켜면 자산 유출 위험 | 계정 접근 권한이 없어 위험 없음 |
테더맥스 플러스+ 같은 페이백 안내 사이트에서 UID 연동을 요청받았다면, 이는 API 키를 만들라는 의미가 아닙니다. 계정 접근 권한을 요구하는 서비스라면 그 이유를 먼저 확인하고, 불필요하게 API 키를 발급해 등록하지 않는 것이 안전합니다. 2026-07 기준 테더맥스가 제휴한 거래소는 19개이며, 이들 모두에서 페이백 적립은 UID 등록만으로 이루어집니다.
API 키 권한 구조나 특정 프로그램의 안전성에 대해 더 궁금한 점이 있다면 /faq 페이지에서 관련 질문들을 확인할 수 있습니다. 거래소별 기본 정보를 비교하고 싶다면 /exchanges 페이지도 참고 자료로 활용할 수 있습니다.
자주 묻는 질문
Q. API 키를 아예 만들지 않는 게 더 안전한가요?
API 키 자체가 위험한 것은 아닙니다. 자동매매 봇이나 특정 분석 도구를 쓰지 않는다면 처음부터 API 키를 만들지 않는 것도 합리적인 선택입니다. 다만 조회용 도구를 쓰고 싶다면 조회 권한만 켠 키를 만들어 사용하면 되고, 이 경우에도 출금 권한은 켤 필요가 없습니다.
Q. 출금 권한을 켜야만 되는 서비스도 있나요?
일반적인 조회, 자동매매, 페이백 관련 서비스는 출금 권한을 요구할 이유가 없습니다. 만약 어떤 서비스가 출금 권한을 요구한다면, 그 서비스가 왜 자산 이동 권한까지 필요한지 스스로 확인하고 근거가 불명확하면 이용을 재고하는 것이 좋습니다.
Q. IP 화이트리스트는 꼭 설정해야 하나요?
IP 화이트리스트는 API 키가 등록된 특정 IP에서만 작동하도록 제한하는 기능입니다. 이 설정을 켜두면 키 값이 유출되더라도 등록되지 않은 곳에서는 사용할 수 없어 추가적인 방어선이 생깁니다. 거래 권한을 사용하는 키라면 특히 이 설정을 함께 사용하는 것이 안전합니다.
Q. API 키와 UID 연동은 같은 절차인가요?
아닙니다. API 키는 프로그램이 계정에 접근하도록 허용하는 키이고, UID 연동은 페이백 적립 대상 계정을 식별하기 위해 고유번호만 등록하는 절차입니다. UID 연동은 계정 접근 권한이 없어 자산 유출 위험이 없으며, 페이백 서비스 이용 시에는 API 키가 아니라 UID 연동만 필요합니다.
