비밀번호 관리자와 암호화폐: 저장해도 되는 것과 절대 저장하면 안 되는 것

비밀번호 관리자는 거래소와 이메일 비밀번호를 보관하기에 좋은 곳이지만, 시드 문구나 개인 키를 둘 곳은 아닙니다. 이것들은 오프라인에 보관해야 합니다. 손에 넣은 사람은 누구든 여러분의 암호화폐를 영원히 통제할 수 있기 때문입니다. 올바르게 사용하면 비밀번호 관리자는 암호화폐 계정을 훨씬 안전하게 만들어 주지만, 모든 것을 넣어 두는 금고로 쓰면 단일 장애 지점이 될 수 있습니다.

대부분의 암호화폐 도난은 블록체인이 뚫려서가 아니라 계정 탈취나 비밀 정보 도난에서 시작됩니다. 이 가이드는 공격자가 비밀번호 보관함과 그 안의 비밀 정보를 어떻게 노리는지, 무엇을 저장하고 무엇을 빼야 하는지, 문제가 생겼을 때 무엇을 해야 하는지 설명합니다.

저장해도 되는 것과 절대 저장하면 안 되는 것

기본 원칙: 비밀번호 관리자는 출금 지연, 2FA, 고객 지원팀 같은 다른 안전장치가 있는 계정에 대한 접근을 보호합니다. 시드 문구에는 안전장치가 전혀 없습니다. 그 이유는 시드 문구란 무엇이며 복구 문구는 어떻게 작동하는가에서 확인하세요.

공격자가 보관함과 비밀 정보를 노리는 방식

공격 경로를 이해하면 위의 규칙이 이해됩니다.

1. 1인포스틸러 악성코드. 가짜 앱, 크랙된 소프트웨어 또는 악성 브라우저 확장 프로그램이 컴퓨터에서 브라우저 데이터, 저장된 비밀번호, 파일을 복사합니다. 보관함이 잠금 해제되어 있거나 시드 문구가 메모에 들어 있다면 몇 초 만에 빼앗길 수 있습니다.
2. 2마스터 비밀번호 피싱. 가짜 로그인 페이지나 가짜 “보관함 보안 경고” 이메일이 비밀번호 관리자에 로그인하라고 요구합니다.
3. 3서비스 제공업체 유출. 비밀번호 관리자 회사들이 암호화된 보관함 데이터가 복사되는 침해를 당한 적이 있습니다. 암호화는 마스터 비밀번호가 추측 공격을 견딜 만큼 강력할 때에만 여러분을 보호합니다.
4. 4클립보드 하이재킹. 악성코드가 클립보드를 감시하다가 복사한 지갑 주소를 공격자의 주소로 바꾸거나, 복사한 시드 문구를 가로챕니다.
5. 5보관함 내 키워드 검색. 보관함에 침입한 공격자는 “seed”, “mnemonic”, “wallet”, “private key” 같은 단어를 검색합니다.

가상의 예시

다음은 실제 사례가 아니라 설명을 위해 여러 요소를 합친 예시입니다. Alex가 “MetaMask seed”라는 제목의 메모를 포함해 모든 것을 하나의 비밀번호 관리자에 저장한다고 가정해 봅시다. Alex는 무료 “암호화폐 시세 추적기” 확장 프로그램을 설치하는데, 알고 보니 악성이었습니다. 이 확장 프로그램은 Alex가 입력하는 마스터 비밀번호를 가로채 보관함을 내보냅니다. 공격자는 “seed”를 검색해 지갑을 가져온 뒤 한 시간도 안 되어 비워 버립니다. Alex의 거래소 계정이 무사했던 것은 출금에 하드웨어 보안 키가 필요했기 때문일 뿐입니다. 두 결과를 가른 것은 각 비밀 정보가 어디에 보관되어 있었는가였습니다.

보관함이나 계정이 노려지고 있다는 경고 신호

• 비밀번호 관리자나 거래소 계정을 “인증”하거나 “다시 동기화”하라고 요구하는 이메일.
• 직접 시도하지 않은 로그인 알림이나 2FA 요청.
• 거래소라고 생각한 사이트에서 비밀번호 관리자가 자동 완성을 거부함.
• 설치한 기억이 없는 새 브라우저 확장 프로그램.
• 이메일 계정에 대한 예상치 못한 비밀번호 재설정 이메일.

암호화폐용 비밀번호 관리자를 안전하게 설정하는 방법

1. 1평판 좋은 관리자를 선택하세요. 보안 모델을 공개하고 종단 간 암호화를 제공하는 제품을 공식 사이트나 앱 스토어에서만 내려받으세요.
2. 2강력한 마스터 암호 문구를 만드세요. 다른 곳에서는 쓰지 않는 여러 개의 무작위 단어로 구성하고, 비상 복구용으로 적어서 안전한 곳에 보관하세요.
3. 3강력한 2단계 인증을 켜세요. 보관함에는 SMS보다 하드웨어 보안 키나 인증 앱이 이상적입니다.
4. 4고유한 비밀번호를 생성하세요. 모든 거래소, 이메일 계정, 암호화폐 서비스마다 따로 만드세요. 다른 모든 것을 재설정할 수 있는 이메일을 최우선으로 하세요.
5. 5자동 완성을 피싱 확인 수단으로 쓰세요. 자격 증명을 제안하지 않으면 무엇이든 입력하기 전에 URL을 확인하세요.
6. 6지갑 비밀 정보는 넣지 마세요. 시드 문구는 오프라인에 보관하세요. 보관함에 메모를 남기고 싶다면 백업이 어디 있는지만 적고, 내용은 적지 마세요.
7. 7보관함이 자동으로 잠기도록 하세요. 짧은 유휴 시간 후와 기기가 절전 모드에 들어갈 때 잠기게 설정하세요.

더 폭넓은 습관은 강력한 암호화폐 보안 루틴 만들기와 암호화폐 사용자를 위한 이메일 계정 보안 가이드를 참고하세요.

보관함이 탈취되었을 때 해야 할 일

1. 1그 안의 모든 비밀 정보가 노출되었다고 가정하세요. 시드 문구가 저장되어 있었다면 즉시 새 시드 문구로 만든 새 지갑으로 자금을 옮기고, 지갑이 탈취되었을 때 즉시 해야 할 일을 따르세요.
2. 2이메일 비밀번호부터 바꾸고, 그다음 거래소 비밀번호를 깨끗한 기기에서 변경하세요.
3. 32단계 인증을 재설정하고 거래소에서 알 수 없는 세션과 API 키를 취소하세요.
4. 4출금 주소 화이트리스트를 확인해 직접 추가하지 않은 주소가 있는지 살펴보세요.
5. 5영향을 받은 기기를 검사하거나 재설치한 뒤 다시 사용하세요.
6. 6피싱 사이트와 사기 주소를 신고하세요. 해당 서비스와 저희 사기 신고 양식을 통해 신고할 수 있습니다.

결론

비밀번호 관리자는 올바른 것을 담고 있는 한, 암호화폐 사용자가 가질 수 있는 최고의 보안 도구 중 하나입니다. 고유한 계정 비밀번호를 관리하고 자동 완성을 통한 피싱 확인에 활용하며, 강력한 암호 문구와 하드웨어 기반 2단계 인증으로 보호하세요. 그리고 시드 문구와 개인 키는 악성코드와 유출이 닿지 않는 오프라인에 보관하세요.