거래소 API 키 만들 때 출금 권한을 끄고 IP 제한을 거는 이유

자동매매 프로그램, 수익률 정리 앱, 포트폴리오 연동 서비스를 쓰다 보면 거래소 API 키를 만들라는 안내를 받게 됩니다. 몇 번 클릭하면 끝나니 권한 체크박스를 전부 켜고 만드는 분도 많은데, 이 선택 하나로 피해 규모가 완전히 달라집니다.

오늘은 업비트 개발자센터 안내를 기준으로 API 키 권한과 IP 제한을 어떻게 설정해야 하는지, 왜 그렇게 해야 하는지 정리해 보겠습니다.

1. API 키는 로그인 없이 쓰는 비밀번호입니다

API 키는 액세스 키와 시크릿 키 한 쌍으로 되어 있고, 이 두 개만 있으면 프로그램이 로그인이나 OTP 없이 내 계정에 명령을 보낼 수 있습니다. 그래서 유출되면 아이디·비밀번호 유출과 비슷하거나 더 빠르게 피해가 납니다.

시크릿 키는 업비트 기준 최초 발급 화면에서만 볼 수 있습니다. 그 화면을 캡처해 메신저로 보내 두거나 코드 파일에 그대로 적어 공개 저장소에 올리는 실수가 가장 흔한 유출 경로입니다.

2. 권한은 필요한 것만 켭니다

업비트는 키를 만들 때 자산 조회, 주문 조회, 주문하기, 출금하기 등 기능을 골라서 켜도록 되어 있습니다. 용도별로 필요한 권한은 이 정도입니다.

• 잔고·수익률 확인 앱: 자산 조회, 주문 조회만
• 자동매매 프로그램: 자산 조회, 주문 조회, 주문하기
• 출금하기: 매매 봇에는 필요 없습니다

시세 확인만 하는 프로그램이라면 키 자체가 필요 없습니다. 시세 조회용 공개 API는 인증 없이 쓸 수 있기 때문입니다.

3. 출금 권한을 끄면 무엇이 달라지나

출금 권한이 켜진 키가 새면 공격자는 그 키로 내 코인을 자기 주소로 바로 보낼 수 있습니다. 1,000만원어치 코인이 있었다면 1,000만원이 그대로 사라지는 구조입니다.

출금 권한이 꺼져 있으면 공격자가 할 수 있는 일은 주문뿐입니다. 거래량이 적은 코인을 비싼 값에 사게 만들어 자기 매도 물량을 넘기는 식의 피해는 여전히 가능하지만, 자산을 통째로 빼 가는 것은 막힙니다.

업비트는 출금하기 권한을 넣어 키를 만들더라도 앱에서 "출금 안심차단"을 직접 풀어야 API 출금이 됩니다. 이 차단은 기본으로 켜져 있으니 굳이 해제하지 않는 것이 좋습니다.

4. IP 제한은 키가 새도 못 쓰게 만드는 장치

IP 제한은 등록한 인터넷 주소에서 온 요청만 받도록 하는 기능입니다. 키가 유출돼도 공격자의 컴퓨터는 등록된 주소가 아니니 주문이 거부됩니다.

• 업비트는 주문하기 또는 출금하기 권한을 넣은 키를 만들 때 IP 주소 등록이 필수입니다.
• 2024년 11월 4일부터 키 하나에 최대 10개 IP까지 등록할 수 있습니다.
• 공인 IP만 등록되고 사설 IP는 안 되며, 주소가 자주 바뀌는 환경보다 고정 IP가 권장됩니다.
• 등록되지 않은 IP에서 호출이 오면 카카오톡 알림톡으로 알려 줍니다.

예를 들어 집 컴퓨터에서 봇을 돌리면 공유기 재부팅이나 통신사 사정으로 공인 IP가 바뀌어 봇이 멈출 수 있습니다. 오래 돌릴 계획이라면 고정 IP가 있는 서버에서 돌리고 그 주소만 등록하는 편이 안정적이고 안전합니다.

5. 요즘 실제로 돌고 있는 수법

2026년 10월 두나무는 SNS에서 "거래나 출금은 안 하고 시세만 볼 테니 읽기 전용 API 키를 빌려 달라"며 계정과 키를 사들이는 요청이 돈다고 경고했습니다. 앞에서 말했듯 시세는 키 없이도 볼 수 있으니 이런 요청은 다른 목적이라고 봐야 합니다.

2026년 9월에는 빗썸이 "API 키만 연결하면 무손실 자동매매"라며 실행 파일을 내려받게 하는 가짜 프로그램을 경고했습니다. 설치하는 순간 브라우저에 저장된 비밀번호, 로그인 세션, API 키, 개인지갑 복구 문구까지 빼 가는 악성코드였습니다.

키를 외부 서비스에 넣을 때는 그 서비스가 해킹당하면 내 키도 같이 샌다는 점을 기억하세요. 서비스마다 키를 따로 만들어 두면, 한 곳에서 문제가 생겼을 때 그 키만 지우면 되고 다른 프로그램은 그대로 쓸 수 있습니다.

직접 프로그램을 만든다면 키를 코드 안에 쓰지 말고 별도 설정 파일이나 환경변수로 빼 두고, 그 파일은 공개 저장소에 올라가지 않게 제외하세요. 공개 저장소를 자동으로 훑어 키를 수집하는 프로그램이 있어서 올린 직후 바로 노출될 수 있습니다.

쓰지 않는 키는 바로 삭제하고, 유출이 의심되면 삭제 후 새로 만드세요.키에는 만료 기한이 있으니 만료 알림이 오면 권한을 다시 점검할 기회로 삼으면 됩니다.

정리하면

API 키는 로그인과 OTP 없이 쓰는 비밀번호라서 유출되면 바로 피해로 이어집니다.
매매 봇에는 출금 권한이 필요 없고, 출금 권한을 꺼 두면 자산 유출을 막을 수 있습니다.
IP 제한을 걸어 두면 키가 새도 등록되지 않은 곳에서는 쓸 수 없습니다.

키를 넘겨 달라는 요청은 이유가 무엇이든 거절하는 것이 가장 간단하고 확실한 방법입니다.