거래소 API 키 출금 권한은 꺼 두는 게 맞나요? 자동매매 연동할 때도요

결론부터 말씀드리면 거래소 API 키 출금 권한은 꺼 두는 게 맞습니다. 시세 사이트 연동이든 자동매매든 출금 권한이 필요한 경우는 거의 없어요.

API 키는 프로그램이 내 계정에 접속할 때 쓰는 열쇠 같은 값입니다. 아이디와 비밀번호 대신 쓰는 값이라, 새어 나가면 남이 프로그램으로 내 계정에 접근할 수 있어요. 권한은 그 열쇠로 할 수 있는 일의 범위입니다.
- 조회: 잔고, 거래내역, 주문 내역 보기
- 주문: 사고팔기, 주문 취소
- 출금: 코인이나 원화를 밖으로 보내기

흔한 오해가 두 가지 있어요. 하나는 자동매매니까 출금도 켜야 한다는 생각이에요. 자동매매는 정해 둔 조건에 따라 프로그램이 대신 사고파는 것이라 주문 권한이면 충분하고, 출금은 별개입니다. 다른 하나는 주문 권한은 안전하다는 생각이에요. 출금보다는 덜 위험하지만, 키가 새면 남이 엉뚱한 가격에 사고팔아 손해를 줄 수 있어서 꼭 필요할 때만 켜는 편이 안전합니다.

실제로는 이 순서로 하면 됩니다.
1) 시세나 잔고만 보는 사이트는 조회 권한만 켭니다.
2) 자동매매는 조회와 주문까지만 켜고 출금은 끕니다.
3) 허용 IP는 넣을 수 있으면 넣는 게 좋습니다. 허용 IP는 이 주소에서 온 요청만 받겠다는 설정이라, 키가 새도 다른 곳에서는 쓸 수 없어요. 프로그램을 돌리는 컴퓨터나 서버의 공인 IP는 '내 IP 확인' 같은 검색으로 알 수 있습니다.
4) 가정용 인터넷은 공유기를 껐다 켜면 IP가 바뀔 수 있어요. 바뀌면 키가 거부될 수 있으니, 그때는 거래소에서 허용 IP를 새 주소로 고치면 됩니다. 자주 바뀌어 번거로우면 클라우드 서버처럼 주소가 고정된 곳에서 돌리는 방법도 있습니다.
5) 키와 비밀키는 메신저, 캡처, 공유 폴더에 두지 않는 게 좋습니다. 비밀키는 보통 만들 때 한 번만 보여 주고, 안 쓰는 키는 삭제해 두면 됩니다.

키가 노출된 것 같다면 순서가 중요합니다.
1) 거래소에서 그 키부터 바로 삭제하거나 비활성화합니다.
2) 최근 주문과 출금 내역을 확인하고, 이상하면 고객센터에 알립니다.
3) 비밀번호를 바꾸고 2단계 인증 설정을 점검합니다.
4) 새 키는 필요한 권한만 넣고 허용 IP도 설정해서 다시 만듭니다.