빗썸이 경고한 가짜 AI 자동매매 프로그램, API 키와 지갑을 노리는 방식

“AI가 알아서 매매해 고수익을 낸다”, “API 키만 연결하면 무손실 자동매매가 가능하다”는 문구가 보인다면 먼저 설치를 멈추는 편이 낫습니다. 빗썸은 9월 정보보호 캠페인에서 AI 투자 도우미나 자동매매 프로그램으로 위장한 악성코드가 로그인 정보와 지갑 정보를 노릴 수 있다고 경고했습니다.

문제는 프로그램 화면이 그럴듯한지에 있지 않습니다. 출처가 불분명한 파일을 실행한 뒤에는 브라우저에 저장된 아이디와 비밀번호, 로그인 세션 쿠키, API 키, 개인 키와 시드 구문까지 유출될 수 있습니다. 자동매매를 써 보고 싶다는 마음과 계정 보안을 지키는 일은 별개로 판단해야 합니다.

빗썸이 9월 정보보호 캠페인으로 배포한 가짜 AI 자동매매 프로그램 예방 가이드입니다.

가짜 AI 자동매매 프로그램은 무엇을 노리나

빗썸의 공식 보도자료에 따르면, 가짜 프로그램은 AI 투자 분석이나 자동매매를 내세워 실행 파일이나 압축 파일을 내려받게 한 뒤 기기 안의 민감 정보를 탈취하도록 유도합니다.

이때 노리는 정보는 거래소 로그인 비밀번호만이 아닙니다. 브라우저 로그인 세션 쿠키를 빼내면 공격자는 비밀번호를 다시 입력하지 않고도 계정 접근을 시도할 수 있습니다. API 키에 출금 권한까지 있다면 자산 이동으로 이어질 위험도 생깁니다.

개인 지갑의 개인 키와 시드 구문은 더 민감합니다. 이 정보가 유출되면 특정 거래소 계정만 보호해서 끝나는 문제가 아니라, 해당 복구 정보를 쓰는 지갑 전체를 옮겨야 할 수 있습니다.

가짜 AI 자동매매 프로그램은 여기서 티가 난다

빗썸은 검색광고, SNS, 메신저 링크에서 배포되는 실행 파일과 압축 파일 형태의 비인가 프로그램을 내려받지 말라고 안내했습니다. 화면이 전문적으로 보여도 공식 홈페이지나 공식 앱 마켓이 아닌 경로에서 파일을 받게 한다면 멈춰야 합니다.

특히 아래 신호가 겹치면 위험도를 높게 봐야 합니다.

• 고수익이나 무손실을 보장한다고 강조합니다.
• API 키, 개인 키, 시드 구문을 바로 입력하라고 요구합니다.
• 제작사와 업데이트 경로가 불분명한 실행 파일이나 브라우저 확장 프로그램 설치를 유도합니다.
• 설치 뒤 알 수 없는 확장 프로그램이 추가되거나 보안 설정 변경 알림이 뜹니다.

정상 서비스도 API 연동을 쓸 수는 있습니다. 차이는 필요한 권한의 범위와 이유를 이용자가 확인할 수 있는지에 있습니다. “AI니까 알아서 처리한다”는 설명은 권한을 넓게 주어야 하는 이유가 되지 않습니다.

API 키는 출금 권한 없이 필요한 범위만 허용해야 한다

자동매매 서비스 연동에 API 키가 필요하다면, 조회와 주문처럼 꼭 필요한 권한만 주고 출금 권한은 부여하지 않는 것이 빗썸의 권고입니다. 이미 쓰지 않는 API 키가 있거나 어느 서비스에 연결했는지 기억나지 않는다면 삭제하는 편이 안전합니다.

API 키는 비밀번호와 달리 사용자가 한번 만들어 두고 잊기 쉽습니다. 그래서 자동매매 도구를 새로 쓰려는 시점에는 기존 키의 권한, 최근 사용 이력, 출금 주소 목록까지 함께 확인해야 합니다.

개인 키와 시드 구문은 어떤 AI 도구나 외부 웹사이트에도 입력하지 않아야 합니다. 투자 분석, 지갑 검증, 보상 지급을 이유로 이 정보를 요구하면 서비스 기능과 관계없이 중단하는 것이 맞습니다.

이미 가짜 프로그램을 실행했다면 먼저 할 일

악성코드 감염이 의심되면 같은 기기에서 거래소나 금융 서비스에 다시 로그인하지 않는 것이 중요합니다. 빗썸은 우선 인터넷 연결을 차단하고, 감염되지 않은 별도 기기에서 계정 보호 조치를 진행하라고 안내합니다.

안전한 다른 기기에서 확인할 항목은 다음과 같습니다.

• 거래소 비밀번호를 바꾸고 2단계 인증을 다시 설정합니다.
• 발급 이력이 있는 API 키를 삭제하고, 출금 주소 화이트리스트와 최근 로그인·출금 내역을 확인합니다.
• 감염 기기에서 로그인했던 이메일, 금융, SNS 계정도 비밀번호를 변경합니다.
• 정밀 검사로 해결되지 않거나 재감염이 의심되면 필요한 자료를 검사한 뒤 운영체제를 다시 설치하는 방법을 검토합니다.

이상 거래가 확인됐다면 빗썸 투자자보호센터에 신고할 수 있고, 악성코드 피해는 KISA 118 상담센터에도 문의할 수 있습니다. 안내 경로와 연락처는 빗썸의 보안 캠페인 공지에서 다시 확인하는 것이 좋습니다.

AI 자동매매 도구를 고를 때 수익률보다 먼저 볼 것

AI가 투자 정보를 정리하거나 주문을 보조하는 기능 자체가 모두 위험한 것은 아닙니다. 다만 설치 파일의 출처, 권한 요청, 보안 정보 처리 방식이 확인되지 않는 도구는 수익률 약속이 아무리 커도 사용할 이유가 없습니다.

공식 서비스인지 확인하려면 검색 결과의 광고 링크를 그대로 누르기보다 거래소나 서비스의 공식 주소를 직접 입력하는 편이 낫습니다. 한 번 설치한 프로그램이 브라우저 쿠키와 지갑 정보를 가져갈 수 있다는 점을 생각하면, 설치 전 몇 분의 확인이 계정 복구보다 훨씬 적은 비용입니다.

자주 묻는 질문

AI 자동매매 프로그램이 API 키를 요구하면 무조건 사기인가요?

그렇지는 않습니다. 다만 공식 서비스인지와 요구 권한을 확인해야 합니다. 빗썸은 자동매매 연동용 API 키를 발급하더라도 출금 권한은 주지 않고, 조회와 주문 등 필요한 권한만 허용하라고 안내합니다.

개인 키나 시드 구문을 입력하라는 자동매매 사이트는 써도 되나요?

안 됩니다. 빗썸은 API 키, 개인 키, 시드 구문을 외부 비인가 프로그램·웹사이트·AI에 직접 입력하거나 알리지 말라고 경고했습니다.

가짜 프로그램을 이미 실행했는데 비밀번호만 바꾸면 충분한가요?

아닙니다. 인터넷 연결을 끊은 뒤 안전한 별도 기기에서 비밀번호, 2단계 인증, API 키, 출금 주소, 로그인·출금 내역을 함께 점검해야 합니다. 감염 기기에서 사용한 다른 계정도 확인하는 것이 좋습니다.

검색광고로 나온 자동매매 사이트도 믿어도 되나요?

검색광고나 SNS, 메신저 링크 자체가 공식성을 보장하지는 않습니다. 공식 홈페이지나 공식 앱에서 주소를 직접 확인한 뒤 이용하는 편이 안전합니다.

이 글은 2026년 9월 10일 빗썸이 공개한 정보보호 캠페인 안내를 바탕으로 작성했습니다. 가상자산 거래와 외부 프로그램 설치에는 자산 손실 위험이 있으므로, 설치나 API 연동 전에는 공식 공지와 권한 설정을 다시 확인해야 합니다.