2026.09.10 목요일
검색
'개인키' 검색결과
기간검색
-
~
검색영역
검색어
-
"'무손실 AI 매매' 믿었다간 지갑 털린다"…빗썸, 가짜 프로그램 경보 [경제일보] ‘인공지능(AI)이 알아서 매매해 고수익을 낸다’, ‘API 키만 연결하면 손실 없이 거래할 수 있다’는 광고를 앞세운 가상자산 악성코드가 확산하고 있다. 자동매매 프로그램으로 위장해 이용자의 거래소 계정과 개인지갑 정보를 빼가는 방식이다. 빗썸은 9월 정보보호 캠페인으로 가짜 AI 자동매매 프로그램과 투자 분석 도구를 통한 악성코드 피해 예방 활동을 진행한다고 9일 밝혔다. 공격자는 검색광고와 사회관계망서비스(SNS), 메신저 등에 자동매매 프로그램을 홍보한 뒤 실행파일이나 압축파일 설치를 유도한다. 프로그램을 실행하면 브라우저에 저장된 아이디와 비밀번호, 로그인 세션 쿠키, 거래소 API 키, 개인지갑의 개인키와 시드 구문 등이 외부로 전송될 수 있다. API 키는 외부 프로그램이 거래소 계정의 시세 조회와 주문 기능 등을 사용할 수 있도록 발급하는 인증정보다. 이용자가 부여한 권한에 따라 자산 조회와 매수·매도, 출금까지 가능해 사실상 금융계좌의 비밀번호와 비슷하게 관리해야 한다. 출금 권한이 없는 API 키도 안전하다고 볼 수 없다. 공격자가 임의로 주문을 내거나 거래량이 적은 가상자산을 비정상적인 가격에 사고팔아 손실을 일으킬 수 있다. 로그인 세션 쿠키가 탈취되면 비밀번호 입력 없이 접속 상태가 재현될 가능성도 있다. 실제 출금 과정에서는 추가 인증과 거래소 보안정책에 따라 공격이 차단될 수 있어, 정보 탈취가 곧바로 자산 출금으로 이어진다고 단정해서는 안 된다. 해외에서는 유사 공격이 이미 확인됐다. 보안 연구진은 올해 초 개인용 AI 에이전트 ‘오픈클로’의 확장 프로그램 장터에서 가상자산 자동매매·지갑 관리 도구로 위장한 악성 프로그램을 발견했다. 해당 프로그램은 거래소 API 키와 지갑 정보, 브라우저 비밀번호를 탈취하도록 설계됐다. 공개된 악성 확장 프로그램만 수백 개에 달한 것으로 조사됐다. 미국 연방수사국(FBI)도 생성형 AI가 사기 광고와 가짜 프로필, 피싱 메시지를 더 빠르고 정교하게 제작하는 데 활용되고 있다고 경고했다. AI가 투자 수익을 만들어주는 것이 아니라 투자자를 속이는 외형을 만드는 도구로 사용되는 셈이다. 빗썸은 출처가 불분명한 실행파일과 압축파일을 내려받지 말고 공식 채널에서 제공하는 서비스만 이용할 것을 당부했다. API 키를 발급할 때는 출금 권한을 제외하고 조회와 주문 등 필요한 기능만 허용해야 한다. 사용하지 않거나 외부에 노출된 키는 즉시 폐기하고, 가능하다면 접속 허용 IP도 제한하는 편이 안전하다. 악성코드 감염이 의심되면 해당 기기의 인터넷 연결을 먼저 차단해야 한다. 감염되지 않은 다른 기기에서 거래소 비밀번호를 바꾸고 API 키와 로그인 세션을 폐기한 뒤 출금 주소와 최근 거래 내역을 확인해야 한다. 개인지갑의 시드 구문이 유출됐다면 기존 지갑을 계속 사용하지 말고 안전한 환경에서 새 지갑을 만든 뒤 자산을 옮겨야 한다. 빗썸은 자체 제공하는 ‘AI 트레이드 킷’을 공식 대안으로 제시했다. 챗GPT와 클로드 등 AI 서비스와 연동해 코딩 없이 자동매매할 수 있으며, 이용자 기기에 API 키 정보를 별도로 저장하지 않는다고 설명했다. 한편 ‘공식’이라는 이유만으로 투자 손실이나 보안 위험이 사라지는 것은 아니다. AI 자동매매 서비스는 이용자 대신 주문을 수행할 뿐 수익을 보장하지 않는다. 거래소는 사기 예방 캠페인과 함께 API 권한을 세분화하고 이상 주문을 조기에 탐지하는 장치, 사고 발생 시 책임 범위를 이용자가 이해하기 쉽게 공개해야 한다.2026-09-10 08:07:24
-
두나무, 경찰청 압수 디지털자산 커스터디 최종 낙찰자 선정 [경제일보] 가상자산거래소 업비트를 운영하는 두나무가 경찰청의 압수 디지털자산 보관·관리 사업 최종 낙찰자로 선정됐다. 민간 가상자산 사업자의 보안 인프라를 국가 압수물 관리에 활용하는 첫 단계로, 향후 공공기관의 디지털자산 수탁 체계에도 영향을 줄 전망이다. 두나무는 경찰청이 조달청 일반경쟁입찰 방식으로 진행한 ‘압수 가상자산 보관·관리 사업’의 최종 낙찰자로 선정됐다고 7일 밝혔다. 계약 기간은 1년이다. 두나무는 기술평가에서 94.14점을 받아 최고점을 기록한 뒤 지난 7월 8일 우선협상대상자로 지정됐다. 이후 경찰청과 기술 협상을 거쳐 최종 사업자로 선정됐다. 이번 사업의 목적은 수사 과정에서 압수한 가상자산을 안전하게 보관하고, 자산별 현황과 이동 내역을 체계적으로 관리하는 것이다. 가상자산은 실물 보관이 어려운 데다 지갑 주소와 개인키 관리에 따라 자산 통제권이 달라지는 만큼 일반 현금이나 물품과 다른 보안 체계가 필요하다. 압수 디지털자산은 두나무의 수탁 서비스인 ‘업비트 커스터디’를 통해 보관된다. 두나무는 야간과 휴일을 포함해 365일 24시간 가동되는 실시간 관제 인프라를 적용할 계획이다. 보관 환경은 외부 인터넷과 분리된 콜드월렛을 기반으로 한다. 콜드월렛은 온라인 네트워크와 연결하지 않고 디지털자산을 보관하는 방식으로, 외부 해킹이나 원격 침입 위험을 줄이는 데 목적이 있다. 두나무는 다자간 연산(MPC), 분산 키 생성(DKG), 멀티시그 등 복수의 암호 보안 기술도 적용한다고 설명했다. MPC는 거래 승인에 필요한 연산을 여러 주체가 나눠 처리하는 방식이며, DKG는 개인키를 한곳에 생성·보관하지 않고 분산해 관리하는 기술이다. 멀티시그는 사전에 정한 복수의 승인 권한이 있어야 자산을 이동할 수 있도록 한다. 이 같은 구조는 단일 키 탈취에 따른 위험을 낮추는 데 효과가 있지만, 실제 보안 수준은 기술뿐 아니라 권한 관리와 승인 절차, 내부자 통제, 복구 체계가 함께 작동하는지에 따라 달라진다. 특히 국가 압수물은 자산의 종류와 수량, 취득·이전 경위, 법원이나 수사기관의 처분 명령까지 기록해야 하는 만큼 일반 고객 자산 수탁과는 다른 관리 기준이 요구된다. 이번 사업은 가상자산 수사와 압수 사례가 늘어나는 상황에서 공공기관의 관리 역량을 보완하기 위한 민관 협력 사례라는 점에서도 의미가 있다. 경찰청은 자체 보관 장비를 운용하는 방식과 민간 전문기관에 위탁하는 방식을 비교해 안정성과 효율성을 높일 수 있다. 두나무 관계자는 “이번 사업은 국가 자산 보호를 위한 공익적 민관 협력이라는 취지에서 참여했다”며 “보안 기술력과 통제 역량을 바탕으로 공공 안보와 디지털 치안 인프라의 안정성을 높이겠다”고 말했다.2026-08-07 17:03:13
-
"거래는 가리고 감사 땐 연다"…위메이드, 스테이블넷 월렛2 공개 [경제일보] 위메이드(대표이사 박관호)가 일반 이용자에게는 거래 상대방을 감추면서도 필요할 때 감독기관 등이 확인할 수 있는 프라이빗 송금 기술을 공개했다. 공개형 블록체인의 투명성과 금융거래에 필요한 개인정보 보호를 동시에 확보해 원화 스테이블코인의 기업·기관 활용 기반을 선점하겠다는 전략이다. 위메이드는 ‘스텔스 어드레스(Stealth Address)’ 기술을 적용한 ‘스테이블넷 월렛(StableNet Wallet) 버전 2’를 공개했다고 15일 밝혔다. 월렛은 안드로이드와 iOS, PC 크롬 확장프로그램을 지원하며 스테이블넷 홈페이지에서 체험을 신청한 이용자에게 제공된다. 다만 현재 스테이블넷은 테스트넷 단계다. 월렛에서 사용되는 자산도 실제 원화 스테이블코인이 아닌 테스트용 자산이다. 월렛2 공개는 상용 금융서비스 출시나 금융당국의 승인을 의미하기보다 제도화에 앞서 기술과 사용성을 검증하려는 행보로 보는 것이 정확하다. 위메이드는 지난 1월 스테이블넷 테스트넷을 가동한 데 이어 2월 자동이체와 주소록, 알림 기능을 갖춘 첫 번째 테스트용 월렛을 공개했다. ◆ 거래마다 새 주소…‘누가 받았는지’ 연결 차단 스텔스 어드레스는 송금할 때마다 수취인을 위한 일회성 주소를 생성하는 기술이다. 동일한 기업이나 개인이 반복해서 돈을 받아도 공개된 블록체인 기록만으로 각 주소를 특정 수취인과 연결하기 어렵게 만든다. 자산을 움직이는 ‘지출키’와 거래를 식별하는 ‘열람키’를 분리하는 것도 특징이다. 수취인이 감사기관 등에 열람키를 제공하면 해당 기관은 관련 거래를 확인할 수 있지만 자산을 직접 이전할 수는 없다. 위메이드는 이를 활용해 일반 관찰자에게는 거래 관계를 감추고 권한을 부여받은 사업자나 감독기관에는 감사에 필요한 정보를 공개하는 구조를 구현했다고 설명했다. 이는 ERC-5564 기술표준에 기반한다. 다만 스텔스 어드레스만으로 송금액과 발신자 등 모든 정보가 자동으로 비공개 처리되는 것은 아니다. 핵심 기능은 수취 주소와 실제 수취인의 연결 관계를 끊는 데 있다. 이더리움 기술 문서도 자금 이동 시점과 후속 거래를 분석하는 방식으로 관계가 드러날 수 있다고 명시하고 있다. 위메이드가 월렛2에서 주소 외 거래정보를 어느 범위까지 가리는지는 추가 기술 공개가 필요한 부분이다. ◆ 기업 급여·기관 송금 겨냥…프라이버시가 확산 열쇠 위메이드가 프라이버시 기능을 전면에 내세운 배경에는 기업·기관 시장이 있다. 공개형 블록체인에서 하나의 지갑 주소를 반복해 사용하면 거래 내역과 잔액, 자금 흐름이 외부에 그대로 드러날 수 있다. 임직원 급여나 기업 간 정산에 적용할 경우 개인별 보수와 거래 규모, 협력 관계까지 노출될 우려가 있다. 반대로 거래를 완전히 익명화하면 고객확인과 자금세탁방지, 제재 대상자 차단 등 금융 규제와 충돌한다. 위메이드가 택한 해법은 평상시에는 거래 관계를 보호하되 필요할 때 지정된 주체가 확인하는 ‘선택적 투명성’이다. 기업 급여 지급과 기관 간 대량 송금이 대표적인 적용 대상으로 제시됐다. 월렛의 사용성을 시중은행 앱 수준으로 단순화한 것도 같은 맥락이다. 기업용 블록체인 서비스가 확산하려면 이용자가 복잡한 지갑 주소와 개인키, 네트워크 수수료를 직접 이해하지 않아도 돼야 한다. 다만 현재 공개된 것은 적용 가능성으로, 실제 급여 지급 기업이나 금융기관 고객, 처리 규모는 제시되지 않았다. ◆ ‘규제 친화’는 설계 방향…상용화는 별도 과제 정부는 원화 스테이블코인의 발행 인가와 준비자산, 상환청구권 등을 규율할 디지털자산기본법 제정을 추진하고 있다. 그러나 발행 주체와 감독 구조를 비롯한 핵심 제도는 아직 입법 과정에 있다. 현행 특정금융정보법상 가상자산의 매매·교환·이전·보관 등을 영업으로 제공할 경우 사업 형태에 따라 가상자산사업자 신고 의무가 발생할 수 있다. 금융당국도 지난달 [미신고 사업자를 통한 스테이블코인 거래에 주의할 것을 당부했다. 한편 스테이블넷 월렛2의 상용화는 기술 구현만으로 완성되지 않는다. △열람키를 누가 발급·보관할지 △감독기관이 어떤 절차로 정보에 접근할지 △열람 기록과 권한 회수를 어떻게 관리할지 △고객확인·이상거래탐지·자산동결 기능을 금융기관 시스템과 어떻게 연동할지가 핵심 과제다. 열람키가 유출되거나 남용될 경우 보호하려던 거래 관계가 한꺼번에 노출될 수 있다는 위험도 관리해야 한다. 김석환 위메이드 부사장은 “스테이블넷 월렛 버전 2 공개는 추상적인 주장에 그치지 않고 대중이 사용 가능한 ‘실제 동작하는 앱’을 통해 금융 혁신을 실증했다는 점에서 의미가 깊다”며 “프라이버시 보호와 규제를 모두 충족하는 월렛 인프라를 바탕으로 실제 금융 시나리오에 적용 가능한 원화 스테이블코인 생태계를 선도하겠다”고 말했다.2026-07-15 17:44:47
-
텔레그램 코인방 뒤 '무등록 거래소'…FIU "28곳 빼고 다 불법" [경제일보] 당국이 유튜브, 텔레그램, 오픈채팅방을 통해 투자자를 끌어모으는 미신고 가상자산 취급업자에 경고장을 꺼냈다. 국내에서 합법적으로 영업할 수 있는 가상자산사업자는 금융정보분석원(FIU)에 신고된 28곳뿐이며 이를 제외하고 내국인을 상대로 가상자산 매매·중개·교환 서비스를 제공하는 행위는 불법이라는 점을 재확인했다. FIU는 24일 “불법 가상자산 취급업자 이용과 거래에 각별히 주의해야 한다”고 밝혔다. 특정금융정보법에 따르면 국내에서 가상자산사업자로 영업하려면 정보보호관리체계(ISMS) 인증 등 요건을 갖춰 FIU에 신고해야 한다. 국외 사업자라도 내국인을 대상으로 국내 영업행위를 하면 같은 법이 적용된다. 공식 발표 기준으로 현재 FIU에 신고된 가상자산사업자는 총 28개다. 업비트, 빗썸, 코인원, 코빗, 고팍스 등 원화거래소뿐 아니라 일부 수탁·지갑·거래 서비스 사업자가 포함된다. FIU는 한국어 홈페이지 제공, 원화결제 지원, 한국인 고객 유치 이벤트와 마케팅 여부 등을 종합해 국내 영업성을 판단한다고 설명했다. 한국어 서비스나 원화결제가 없더라도 국내 투자자를 겨냥한 영업으로 볼 수 있다는 의미다. 최근 문제가 되는 유형은 더 교묘해졌다. 사실상 내국인을 상대로 영업하면서 고객 상담 때 영어를 쓰는 방식으로 국내 영업 사실을 숨기는 해외 거래소가 대표적이다. 사설환전소가 유학생, 관광객, 외국인 노동자 등을 대상으로 스테이블코인 등 가상자산을 직접 사고팔며 원화 등 법정화폐로 바꿔주는 경우도 당국이 지목한 불법 유형이다. 해외 가상자산사업자로부터 수수료를 받고 유튜브나 텔레그램, 오픈채팅방에서 홍보하는 행위도 단순 광고를 넘어 미신고 영업 조력으로 평가될 수 있다. 문제는 투자자 피해가 단순 거래 손실에 그치지 않는다는 점이다. 미신고 사업자는 자금세탁방지 의무와 이용자 자산 보호장치가 제대로 작동하지 않을 가능성이 크다. ISMS 등 보안 요건을 갖추지 않아 개인정보 유출이나 해킹 위험에 노출될 수 있고 마약 등 범죄자금 은닉이나 자금세탁 경로로 악용될 우려도 있다. 이 경우 투자자의 자금이 범죄자금과 섞이거나 거래 상대방, 자금 출처 확인 과정에서 수사 대상이 되는 불이익도 배제하기 어렵다. 수수료 부담도 확인됐다. FIU에 따르면 DAXA와 신고 가상자산사업자가 약 3개월간 진행한 첫 집중조사 결과 불법 장외거래소 8곳과 국내 영업 해외거래소 4곳 등 총 12곳이 적발돼 경찰에 수사 의뢰됐다. 적발 업체의 평균 거래 수수료는 최저 1.5%에서 최고 10%로, 국내 5대 원화거래소 평균 0.16% 대비 최대 62배 수준이었다. 일부 업체는 주민등록증, 통장 사본 등 개인정보를 법적 근거 없이 요구한 것으로 파악됐다. 당국 대응도 강화되는 흐름이다. FIU는 유관기관과 함께 불법업체를 수사기관에 통보하고 인터넷 사이트와 모바일 앱 국내 접속차단을 요청해 왔다. 현재 기준 수사기관에 통보된 불법업체는 총 40곳이다. 다만 FIU는 해당 명단이 모든 불법업체를 반영한 것은 아니며 명단에 없더라도 불법업체일 수 있다고 설명했다. 미신고 영업행위에는 5년 이하 징역 또는 5000만원 이하 벌금이 부과될 수 있다. FIU는 2026년 8월 개정 특금법 시행 이후에는 미신고 불법 영업에 가담한 경우 일정 기간 국내 가상자산사업자의 대주주가 될 수 없다고 밝혔다. 또 신고 사업자가 미신고 사업자와 거래하지 않도록 지도·감독하고 있으며 이를 위반하면 위반 건당 최대 1억원의 과태료와 행정제재가 부과될 수 있다. 시장 시선은 스테이블코인과 해외거래소, 장외거래가 만나는 회색지대에 쏠린다. 가상자산이 결제와 송금, 환전 수단처럼 활용될수록 규제 밖 취급업자가 끼어들 여지는 커진다. 투자자는 고수익 보장, 원금 보장, 비공개 정보, 글로벌 상장 같은 표현을 앞세운 권유를 사기 가능성으로 봐야 한다. 미신고 사업자로 확인되면 가상자산과 예치금을 즉시 인출하고 개인키, 로그인 정보, 신분증 사본 제공을 중단해야 한다. 한편 가상자산 시장의 다음 경쟁은 가격이 아니라 신뢰에서 갈릴 수밖에 없다. 제도권 사업자는 규제를 비용으로 보지만 투자자에게는 최소한의 방화벽이다. 텔레그램 링크 하나, 유튜버 추천 코드 하나가 자금세탁의 입구가 될 수 있는 시장이라면 당국의 단속은 늦은 처방이 아니라 시장 질서를 지키는 기본선이다. 불법 취급업자를 걸러내는 일은 투자자 보호를 넘어 디지털자산 산업이 금융 인프라로 인정받기 위한 첫 관문이다.2026-06-24 15:40:28
-
삼성SDS '브리티웍스' 정부 공식 협업툴 선정... 공공 AX 선도 [경제일보] 삼성SDS는 자사의 생성형 AI 기반 협업솔루션 브리티웍스(Brity Works)가 행정안전부의 지능형 업무관리 플랫폼 '온AI'의 공식 협업 솔루션으로 최종 선정됐다고 밝혔다. 삼성SDS는 지난해 11월부터 주사업자로서 정부 주요 부처를 대상으로 시범서비스를 제공해왔다. 사용자 평가를 거쳐 최종 낙점된 브리티웍스는 지난달 30일부터 공식 서비스를 시작했다. 공무원들은 장소에 구애받지 않고 모바일을 통해 실시간 보고와 결재는 물론 화상회의 참여 및 AI를 활용한 회의록 요약까지 수행할 수 있게 됐다. 이번 사업의 핵심은 단순한 편의성 제공을 넘어 국가정보자원관리원의 엄격한 보안 기준을 어떻게 충족시켰는가에 있다. 삼성SDS는 민관협력형 클라우드(PPP) 사업자로서 인터넷망과 행정망 공공망을 물리적으로 분리 운영하는 보안 체계를 구축했다. 자사의 삼성 클라우드 플랫폼(SCP)이 2025년 국정원 보안인증 상등급을 획득한 데 이어 브리티웍스 솔루션 역시 올해 3월 행정망과 공공망 기준에서 같은 등급의 보안인증을 받으며 기술적 신뢰도를 입증했다. 보안 기술의 깊이도 남다르다. 민감한 국가 재정 정보를 다루는 환경에 맞춰 메일과 메시지에 개인키 암호화 기술을 적용했다. 여기에 현존하는 최고 수준의 암호 체계로 평가받는 양자내성암호(PQC)까지 이식하며 보안 수준을 한 단계 끌어올렸다. 이미 70여개 중앙부처와 위원회에서 브리티웍스 드라이브를 활용해 행정 지식을 체계적으로 관리하고 있다는 사실은 시장의 신뢰를 방증한다. 삼성SDS의 시선은 이제 다음 단계를 향한다. 오는 5월 예정된 '지능형 업무관리 플랫폼 2단계 사업'을 통해 정부 중앙부처 대상 서비스를 확대하고 상용 AI 서비스와의 연계를 강화할 계획이다. 모바일 협업 기능은 더욱 고도화되고 보안 체계는 한층 더 견고해질 전망이다. 삼성SDS 관계자는 "브리티웍스는 공공기관의 특수한 업무 흐름과 보안 기준을 반영해 설계된 AI 협업솔루션"이라고 강조했다.2026-05-01 09:44:06
많이 본 뉴스
영상
Youtube 바로가기
![[데스크 칼럼] 삼성·오픈AI 협력, 칩 이후 설계해야](https://image.ajunews.com/content/image/2026/09/10/20260910091625843218_518_323.png)