▲두나무가 SNS를 중심으로 확산하고 있는 ‘API 키 및 계정 대여’ 요청 메시지와 관련해 투자자의 각별한 주의를 당부했다(사진=두나무) (사진=두나무)

디지털자산 거래소 ‘업비트’ 운영사 두나무가 8일 소셜미디어(SNS)를 중심으로 확산하고 있는 ‘API 키 및 계정 대여’ 요청 메시지와 관련해 투자자의 각별한 주의를 당부했다.

최근 SNS에서는 ‘KRW 마켓에 접근할 수 있는 업비트 계정이나 읽기 전용(Read-Only) 혹은 조회 권한만 부여된 API 키를 대여∙구매한다’며 투자자에게 접근하는 사례가 다수 포착되고 있다. 이들은 ‘입∙출금이나 거래는 절대 하지 않고 시장 데이터 조회용으로만 합법적으로 사용한다’며 투자자를 안심시키려 하지만, 이러한 요청 내용 자체가 거짓이다. 애초 업비트의 일반적인 시세/마켓 데이터(Quotation API)는 인증이 필요 없는 공공 API이기 때문이다. API 키가 유출될 경우 사기 또는 부정 이용에 악용돼 금전적 피해로 이어질 수 있다.

두나무 측은 “어떠한 명목이든 타인에게 계정을 대여하거나 오픈 API 키(Access Key, Secret Key)를 제공하는 행위는 절대 해서는 안 된다”고 강력히 경고했다. API 키는 부여된 권한에 따라 회원의 자산/주문/입출금 정보 조회 또는 거래 기능에 접근할 수 있는 중요 인증정보이기 때문이다.

업비트 로그인 정보를 확보한 자가 이를 악용할 경우, 자산 탈취 등 치명적인 피해를 입힐 수 있다. 개인정보 및 API 키 관리 소홀, 타인 대여 등으로 인해 발생하는 모든 금전적 피해의 책임은 회원에게 있기 때문에 각별한 주의가 필요하다.

안전한 자산 보호를 위해 두나무는 회원들에게 ‘오픈 API 키 보안 수칙’을 철저히 준수할 것을 권고했다. 먼저, 타인에게 API 키 및 계정 정보를 공유하지 말아야 한다. 어떠한 목적으로도 타인에게 정보(Access Key, Secret Key 등)를 공개하거나 유출해서는 안 되며, API 키가 외부에 노출됐거나 유출이 의심되면 해당 키를 즉시 삭제하고 필요한 경우 새 키를 발급해야 한다. 다음으로 미사용 API 키는 즉각 삭제해야 한다. 오랜 시간 사용하지 않거나 향후 사용 계획이 없는 API 키는 마이페이지 관리를 통해 즉시 삭제하여 잠재적인 유출 위험을 차단해야 한다.

두나무는 최근 기승을 부리는 큐싱(QR코드 피싱) 등의 신종 사기로부터 회원을 보호하기 위해 API 보안을 강화하고 있다. API 키에 ‘출금하기’ 권한이 포함된 경우에도 기본적으로 출금이 차단되며, 모바일 앱 [더보기 > 보안인증 > Open API 관리]에서 사용자가 직접 ‘출금 허용’ 기능을 활성화해야 출금이 가능하도록 이중 안전장치를 제공하고 있다.

사전에 등록되지 않은 IP에서 API 호출 시도가 발생하면 카카오톡 알림톡을 통해 이를 인지할 수 있도록 지원하고 있다. 본인이 인지하지 못한 비정상적인 요청이 발생한 경우에는 접속 IP 환경을 점검하고, 필요 시 모바일 앱에서 해당 API 키를 삭제해 자산을 선제적으로 보호할 수 있다.

두나무는 검증되지 않은 서비스를 내세워 회원에게 피해를 끼치거나 허위∙과장 광고로 타인의 계정 및 API 키를 요구하는 의심스러운 활동에 대해 강력한 조치를 취할 방침이다. 해당 행위가 적발될 경우 의심 행위에 이용되거나 부당하게 대여된 회원 계정에 대해 즉각적인 이용 정지 조치를 취하고 소명 자료를 요구할 예정이다. 나아가 수사기관 고발 등 무관용 원칙으로 단호하게 대응할 계획이다.

두나무 측은 “단순 조회용이라는 말로 현혹하더라도 본인의 계정 정보나 API 키를 타인에게 넘기는 것은 자신의 금고 열쇠를 낯선 이에게 쥐여주는 것과 같다“며, ”업비트는 앞으로도 투자자 보호를 최우선으로 삼고 모니터링을 강화해 악의적인 사기 행위로부터 회원의 자산을 안전하게 지키는 데 최선을 다하겠다“고 강조했다.

한편 API 키/계정 부당 대여 및 의심스러운 모집 행위를 목격하거나 피해가 의심되는 경우, 발견 즉시 업비트 고객센터로 신고하면 된다.