자본을 지키는 법 — 해킹·피싱·거래소·사기 방어

왜 매매 기술보다 자본 방어가 먼저인가

초보의 계좌를 0으로 만드는 것은 대개 차팅 실수가 아니다. 손절을 잘 지키는 사람도 계정이 털리면 잔고 전부를 잃고, 진입이 좋아도 가짜 에어드랍 사이트에 지갑을 연결하는 순간 승패와 무관하게 자산이 빠져나간다. 매매의 손실은 통제 가능한 크기로 조금씩 오지만, 보안 사고의 손실은 예고 없이 한 번에 온다.

그래서 이 편을 기법 편들보다 앞에 둔다. 리스크 관리가 매매 안에서 잃는 크기를 설계하는 일이라면, 자본 방어는 매매 바깥에서 계좌가 통째로 사라지는 경로를 막는 일이다. 여기서 다루는 것은 특정 앱 추천이 아니라 어느 거래소·지갑에도 공통으로 적용되는 구조적 원칙이니, 각자 쓰는 도구의 보안 설정에서 찾아 적용하면 된다.

매매는 천천히 잃을 수도 있지만, 보안 사고는 한 번에 잃는다.

거래소·지갑 4겹 방어 — 한 겹이 뚫려도 자산까지 가지 않게

보안은 하나의 완벽한 장치가 아니라 여러 겹을 겹쳐, 한 겹이 뚫려도 다음 겹에서 막히도록 설계하는 일이다. 거래소와 지갑에서 순서대로 채워 둘 네 겹은 다음과 같다.

1. 앱 기반 2FA로 로그인·출금을 잠근다 — 인증 앱(OTP)이나 하드웨어 보안키를 쓰고, 문자(SMS) 인증은 주 수단에서 뺀다. 문자는 통신사 계정 탈취나 유심 스와핑으로 우회당한 관측 사례가 반복돼 온 방식이다.
2. 출금 주소 화이트리스트를 켠다 — 미리 등록한 주소로만 출금이 나가게 잠그고, 신규 주소 등록에는 지연(쿨다운)을 건다. 계정이 뚫려도 공격자가 자기 지갑을 즉시 등록해 빼내지 못하게 하는 장치다.
3. API 키는 권한을 최소화한다 — 봇·트래킹용 키를 만들 때 출금 권한은 끄고 조회·주문만 허용한다. IP 화이트리스트까지 걸면 키가 유출돼도 쓰임이 제한된다. 추적이나 자동화에 쓰는 키일수록 이 원칙이 중요하다.
4. 보관과 매매 지갑을 분리한다 — 당장 굴리지 않는 물량은 콜드월렛(하드월렛 등 오프라인)에 두고, 거래소·핫월렛에는 실제 매매에 쓸 만큼만 남긴다. 인터넷에 연결된 지갑은 언제든 노출면이 있다는 전제로 다룬다.

시드문구는 온라인에 존재하는 순간 남의 것이 된다

하드월렛과 자가수탁 지갑의 마지막 방어선은 시드문구(복구 구문)다. 이 12~24개 단어를 쥔 사람이 곧 자산의 주인이며, 여기엔 되돌리기도 고객센터도 없다. 그래서 시드는 '어떻게 쓰느냐'보다 '어디에 두지 않느냐'가 전부다.

권장되는 방향은 반대다. 종이나 금속판에 오프라인으로 적어 서로 다른 장소에 물리적으로 분산 보관하고, 습기·화재·분실을 함께 고려한다. 완벽한 방법은 없고 각각 트레이드오프가 있으니, 핵심은 '온라인에 흔적을 남기지 않는다'는 한 줄로 요약된다.

피싱과 드레이너 — 자산은 훔쳐가는 게 아니라 승인받아 간다

지갑 자산을 노리는 공격은 대부분 비밀번호를 캐내는 방식이 아니라, 사용자가 스스로 서명·승인하게 유도하는 방식이다. 구조를 알면 패턴이 반복적으로 보인다.

1. 가짜 도메인·검색 광고 — 진짜와 한두 글자 다른 주소(오타·유사 문자)나 검색 상단 광고로 유인한다. 즐겨찾기로만 접속하고, 링크로 들어온 지갑 연결 요청은 주소를 눈으로 대조한다.
2. 에어드랍·이벤트 사칭 — '무료 토큰을 받으라'며 지갑 연결과 서명을 요구한다. 받는 데 서명이 필요하다는 것 자체가 어색한 신호다.
3. 무한 토큰 승인(approve) — 사이트가 특정 토큰을 무제한으로 옮길 권한을 달라고 요청한다. 한 번 승인하면 이후 언제든 그 토큰을 빼갈 수 있다. 서명 화면의 '무제한(unlimited)' 승인은 특히 경계하고, 필요한 만큼만 허용한다.
4. 긴급성 유도 — '지금 안 하면 소각된다', '한정 수량' 같은 문구로 확인할 시간을 뺏는다. 급하게 만드는 요청일수록 한 박자 멈추는 것이 방어다.

거래소 카운터파티 리스크 — 맡긴 코인은 내 코인이 아니다

거래소 계정에 찍힌 잔고 숫자는 '내가 그 코인을 소유했다'가 아니라 '거래소가 그만큼 돌려주기로 했다'는 장부상의 약속이다. 거래소가 그 물량을 온전히 보유하고 있는지는 밖에서 직접 볼 수 없다.

'Not your keys, not your coins(네 키가 아니면 네 코인이 아니다)'는 이 구조를 한 줄로 압축한 오래된 격언이다. 거래소는 편의를 주지만, 그 편의의 대가로 보관 위험을 대신 져 주는 것이 아니라 사용자에게 남긴다는 점을 전제로 예치 규모를 정하는 편이 안전하다.

사기 상품의 공통 골격 — 이름이 달라도 신호는 같다

유료 시그널방, 카피트레이딩, 리딩방, 러그풀 토큰, 펌프덤프방은 겉모습이 다르지만 사람을 끌어들이는 골격은 놀랄 만큼 비슷하다. 무엇이 위법인지는 사안마다 다르고 여기서 단정하지 않는다 — 대신 아래 특징이 겹칠수록 의심하고 거리를 두라는 관측으로 읽으면 된다.

1. 원금보장·확정수익 — '잃지 않는다', '월 몇 % 확정' 같은 약속. 시장 수익에 확정은 구조적으로 성립하기 어렵고, 이 표현 자체가 가장 흔한 미끼다.
2. 선입금·가입비 우선 — 성과보다 먼저 돈부터 넣게 한다. 입금 후 태도가 달라지는 구조가 반복 관측된다.
3. 비공개 알파·검증 불가 — '우리만 아는 정보'라며 근거를 공개하지 않는다. 확인할 수 없는 성과는 성과가 아니다.
4. 환불 거부·잠적 — 문제 제기 시 환불을 거부하거나 방을 폭파하고 사라진다. 연락 창구가 익명 하나뿐인지 살핀다.
5. 긴급성·한정 — '오늘 마감', '선착순 몇 명'으로 판단할 시간을 뺏는다. 앞서 본 드레이너의 긴급성 유도와 같은 손잡이다.

라이브 자본 진입 전 — 보안 게이트 체크리스트

아래를 모두 통과한 뒤에 라이브 자본을 넣는다. 하나라도 비어 있으면 매매 실력과 무관하게 계좌가 통째로 사라질 수 있는 구멍이 남아 있는 것이다.

• 로그인과 출금에 앱 기반 2FA(또는 하드웨어 키)를 걸었고, SMS는 주 수단에서 뺐다
• 출금 주소 화이트리스트와 신규 주소 지연(쿨다운)을 켰다
• 봇·트래킹용 API 키는 출금 권한을 끄고 조회·주문만 허용했다
• 굴리지 않는 물량은 콜드월렛으로 분리했고, 거래소엔 매매분만 남겼다
• 시드문구와 2FA 백업 코드를 오프라인에 물리 분산 보관했고, 사진·클라우드·입력창에는 넣지 않았다
• 거래소 접속은 즐겨찾기로만 하고, 지갑 연결·서명 화면은 주소와 승인 범위를 눈으로 대조한다
• 예치 자산을 한 거래소에 몰지 않고 분산했다
• 원금보장·확정수익·선입금·환불거부가 겹치는 상품은 이름과 무관하게 거른다

이 체크리스트는 사고 확률과 피해 범위를 낮추는 장치이지 사고를 0으로 만드는 보증이 아니다. 준비가 됐다면 다음은 실제로 잃는 크기를 설계하는 리스크 관리와 매매를 기록으로 남기는 매매 일지다. 그리고 글만으로는 어떤 계좌도 지켜지지 않는다 — 위 설정을 오늘 실제로 켜 두는 데까지가 이 편이다.