“거래나 출금은 하지 않고 시세 데이터만 조회하겠다.” 최근 소셜미디어(SNS)에서 업비트 이용자에게 접근하는 계정·API 키 대여 요청의 주요 문구다. 하지만 업비트의 일반적인 시세 데이터는 별도의 계정 인증이나 API 키 없이 조회할 수 있다. 단순한 데이터 조회를 이유로 개인 계정이나 인증정보를 요구한다면 그 자체로 의심해야 한다는 의미다. 두나무는 이러한 모집 행위가 금전 피해로 이어질 수 있다며 이용자들에게 계정과 API 키를 타인에게 제공하지 말 것을 당부했다.
디지털자산 거래소 업비트를 운영하는 두나무(대표 오경석)는 최근 SNS를 중심으로 확산하는 API 키 및 계정 대여 요청과 관련해 이용자 주의를 당부한다.
최근 SNS에서는 원화(KRW) 마켓에 접근할 수 있는 업비트 계정이나 읽기 전용(Read-Only) API 키를 구매·대여한다는 메시지가 유포되고 있다. 거래나 입출금 기능을 사용하지 않고 시장 데이터 조회에만 활용한다는 설명으로 이용자의 경계심을 낮추는 방식이다.
그러나 업비트의 시세 조회 API인 ‘Quotation API’는 인증 없이 이용할 수 있는 공개 API다. 거래 페어, 캔들(OHLCV), 체결 이력, 현재가, 호가 등 일반적인 시장 정보를 확인하는 데 개인 계정이나 API 키를 제공할 필요가 없다.
반면 자산 조회와 주문, 입출금 관리 등 개인 계정과 연결되는 ‘Exchange API’는 인증정보가 필요하다. API 키는 접근 권한에 따라 회원의 자산과 주문 정보를 조회하거나 거래 관련 기능을 실행할 수 있어 외부에 노출되면 부정 이용에 악용될 위험이 있다.
두나무가 SNS를 통해 확산하는 업비트 API 키 및 계정 대여 요청에 주의를 당부했다. 일반적인 시세 조회는 개인 인증정보 없이 공개 API로 이용할 수 있다. (자료 제공: 두나무)
API 키 유출 의심되면 즉시 삭제…출금 차단·IP 알림도 제공
두나무는 API 키의 접근 권한이 조회로 제한돼 있더라도 타인에게 제공해서는 안 된다고 강조했다. 로그인 정보나 API 키를 넘기는 행위는 계정과 자산 관련 정보에 대한 통제권을 잃는 문제로 이어질 수 있기 때문이다.
특히 API 인증에 사용되는 액세스 키(Access Key)와 시크릿 키(Secret Key)는 외부에 공개하지 않아야 한다. 유출됐거나 유출이 의심되는 경우 기존 키를 즉시 삭제하고 필요한 경우 새 키를 발급받아야 한다. 장기간 사용하지 않는 API 키도 삭제하는 것이 권장된다.
업비트는 API를 통한 출금에 별도의 안전장치를 적용하고 있다. 출금 권한이 포함된 API 키를 발급하더라도 기본적으로 ‘출금 안심차단’이 설정되며, 사용자가 모바일 앱의 ‘더보기 > 보안인증 > Open API 관리’에서 직접 출금 허용 기능을 활성화해야 API 출금이 가능하다.
사전에 등록되지 않은 IP 주소에서 API 호출을 시도하면 카카오톡 알림톡으로 이용자에게 알리는 기능도 제공한다. 본인이 실행하지 않은 요청이 확인되면 접속 환경을 점검하고 해당 API 키를 삭제할 수 있다. 업비트는 API 키 사용 시 허용된 공개 IP 주소를 사전에 등록하도록 하고 있다.
두나무는 허위·과장 광고나 검증되지 않은 서비스를 내세워 계정과 API 키를 모집하는 행위에 대한 모니터링도 강화한다. 부당하게 대여되거나 의심스러운 활동에 이용된 계정은 이용을 정지하고 소명 자료를 요구할 수 있으며, 사안에 따라 수사기관 고발 등 추가 조치를 취할 방침이다.
두나무 관계자는 “단순 조회용이라는 말로 현혹하더라도 본인의 계정 정보나 API 키를 타인에게 넘기는 것은 자신의 금고 열쇠를 낯선 이에게 쥐여주는 것과 같다”며 “악의적인 사기 행위로부터 회원의 자산을 보호하기 위해 모니터링을 강화하겠다”고 말했다.
업비트 계정이나 API 키 대여를 요구하는 의심스러운 모집 행위를 발견했거나 피해가 의심되는 이용자는 업비트 고객센터에 신고할 수 있다.
The post 두나무, “시세 조회에 API 키 필요 없다”…업비트 계정 대여 신종 사기 경고 appeared first on 벤처스퀘어.