바이낸스 SignalPlus API 키 폐기, 공급망 공격과 보안 구조 분석

2026년 11월 7일 읽는 시간 약 10분

2026년 11월 5일 바이낸스와 데리비트(Deribit)가 외부 파생상품 거래 플랫폼 SignalPlus와 연결된 API 키를 폐기했다. SignalPlus에서 보안 침해가 발생하면서 해당 서비스가 거래소 고객 계정에 접근하는 경로를 차단한 것이다.

바이낸스는 자체 시스템이 이번 사고의 영향을 받지 않았다고 밝혔으며, 이용자들에게 거래소에 직접 로그인해 미체결 주문과 포지션을 확인하도록 권고했다.

이번 사건의 핵심은 거래소 자체가 해킹되지 않더라도 외부 거래 도구에 부여한 API 권한이 새로운 공격 경로가 될 수 있다는 점이다.

SignalPlus에서 시작된 보안 침해

SignalPlus는 여러 거래소의 파생상품 거래와 포지션 관리를 지원하는 외부 거래 인프라다.

회사의 사고 설명에 따르면 공격자는 외부 기술 협력업체 관계자의 텔레그램 계정을 침해한 뒤 해당 인물을 사칭했다. 이후 SignalPlus 엔지니어에게 가짜 화상회의 초대장을 전달해 직원 컴퓨터를 감염시켰고, 확보한 접근 권한을 이용해 내부 네트워크를 공격했다.

SignalPlus는 침입을 탐지해 차단했다고 밝혔으며, 확인된 손실은 8만 2,000달러 미만이라고 설명했다. 피해 이용자에 대한 전액 보상도 약속했다. 이는 SignalPlus 측 발표를 인용한 것으로, 독립적인 최종 조사 결과와는 구분해야 한다.

이 공격은 거래소 블록체인의 취약점을 직접 악용한 사례가 아니라 신뢰받는 외부 관계자를 사칭해 직원 단말기와 내부 접근 권한을 노린 사회공학적 침해라는 특징을 갖는다.

API 키 폐기는 왜 중요한가

API 키는 외부 프로그램이 이용자 계정의 특정 기능에 접근할 수 있도록 발급하는 인증 수단이다.

거래소 API에는 일반적으로 잔고 조회, 주문 제출, 주문 취소 등 서로 다른 권한이 부여될 수 있다. 따라서 출금 권한이 없는 API 키라도 주문 권한을 악용하면 비정상 거래를 발생시킬 위험이 있다.

이번 조치에서 바이낸스와 데리비트는 SignalPlus에 연결된 인증 경로를 차단함으로써 외부 서비스의 잠재적 침해가 거래소 계정으로 확산되는 것을 예방하려 했다.

다만 API 키를 폐기했다고 해서 이미 체결된 거래가 취소되거나 모든 기존 포지션이 자동으로 종료되는 것은 아니다. 이용자가 거래소에서 직접 계정 상태를 확인해야 하는 이유다.

공급망 공격은 어떤 순서로 확산되는가

이번 사고는 외부 서비스의 신뢰 관계가 내부 시스템 침해로 이어질 수 있음을 보여준다.

외부 협력업체 관계자 계정 침해 → 가짜 화상회의 초대 전달 → SignalPlus 엔지니어 PC 침해 → 직원 접근 권한을 이용한 내부망 공격 → 거래소의 연결 API 키 폐기

이 흐름은 SignalPlus 측 사고 설명과 거래소 발표를 바탕으로 재구성한 것으로, 개별 API 키가 실제로 탈취됐다는 의미는 아니다.

이처럼 공격자는 처음부터 거래소의 핵심 서버를 공격할 필요가 없다. 외부 거래 플랫폼의 직원 단말기와 인증 체계가 침해되면 해당 서비스가 가진 권한이 공격 표면으로 바뀔 수 있다.

특히 하나의 외부 거래 플랫폼이 여러 거래소와 연결돼 있다면, 단일 서비스에서 발생한 보안 문제가 여러 거래소 계정에 동시에 영향을 줄 가능성이 있다.

이 때문에 API 연동 서비스의 보안 수준은 해당 서비스 자체뿐 아니라 연결된 거래소의 고객 보호에도 중요하다.

IP 허용목록과 최소 권한 원칙의 기술적 역할

바이낸스는 이번 사고 이후 SignalPlus 이용자들에게 API 키를 다시 연결하기 전에 보안 문제가 완전히 해결됐는지 확인하고, IP 허용목록을 활성화하도록 권고했다.

IP 허용목록은 사전에 승인한 인터넷 주소에서 발생한 API 요청만 허용하는 기능이다.

예를 들어 거래 프로그램이 정해진 서버에서만 작동한다면 해당 서버의 IP 주소만 등록해 다른 네트워크에서 들어오는 요청을 차단할 수 있다.

그러나 공격자가 이미 허용된 서버를 장악한 경우에는 IP 제한만으로 침해를 막기 어렵다. 따라서 IP 허용목록은 다른 보안 통제와 함께 사용해야 한다.

API 키 관리에서는 최소 권한, 접근 경로 제한, 키 교체 및 폐기, 이상 거래 감시가 중요하다.

최소 권한 원칙은 실제 필요한 조회·주문 기능만 허용하는 것이다. 접근 경로 제한은 허용된 IP 주소와 인증된 시스템에서만 API를 사용하도록 제한하는 방식이다.

키 교체 및 폐기는 침해 가능성이 확인되면 기존 키를 즉시 폐기하고 안전성 점검 후 새 키를 발급하는 절차다.

이상 거래 감시는 평소와 다른 주문 규모, 거래 빈도, 계정 접근 패턴을 탐지하는 기술이다.

이러한 통제는 서로 다른 공격 경로를 방어한다는 점에서 함께 적용할 때 효과가 크다.

출금 권한이 없는 API 키도 위험한 이유

API 키를 이용한 사고를 이해할 때 가장 중요한 구분은 자산 출금 권한과 거래 주문 권한이 다르다는 점이다.

출금 권한이 없는 API 키는 일반적으로 외부 지갑으로 자산을 직접 인출할 수 없다.

그러나 주문 권한이 있다면 공격자는 해당 계정에서 원하지 않는 거래를 실행할 수 있다.

특히 유동성이 부족한 시장에서는 비정상적인 주문으로 불리한 가격에 거래가 체결되거나, 파생상품 계정에서 과도한 포지션이 형성될 위험이 있다.

따라서 거래소의 API 보안 정책은 출금 기능 차단에만 의존해서는 안 된다.

주문 규모 제한, 이상 거래 탐지, 포지션 위험 관리, 인증 정보의 보관 방식까지 함께 고려해야 한다.

이는 외부 거래 서비스가 전문 투자자를 대상으로 다양한 자동화 기능을 제공할수록 더욱 중요한 문제다.

바이낸스와 데리비트의 대응은 무엇이 달랐나

두 거래소 모두 SignalPlus 연결 API 키를 폐기했다.

바이낸스는 자체 시스템이 이번 사고의 영향을 받지 않았다고 밝혔으며, 이용자에게 미체결 주문과 포지션을 직접 확인하도록 권고했다.

데리비트 역시 자체 시스템 침해 증거가 없다고 설명했다. 다만 SignalPlus를 통한 거래, 모니터링, 자동화 기능은 연결 차단으로 영향을 받을 수 있다.

양사의 발표에서 공통적으로 확인되는 것은 외부 서비스의 침해가 곧 거래소 자체 시스템의 침해를 의미하지 않는다는 점이다.

그러나 거래소 시스템이 정상적이라는 사실만으로 모든 연결 이용자의 계정에 피해가 없었다고 단정할 수는 없다. 실제 영향 범위는 SignalPlus의 사고 조사 결과와 이용자별 거래 기록을 통해 판단해야 한다.

SignalPlus 사고가 드러낸 보안 관리의 한계

SignalPlus는 사고 이후 API 접근에 IP 허용목록을 의무적으로 요구하지 않았던 점을 인정하고 관련 통제를 강화하겠다고 밝혔다.

이 부분은 단순한 설정 실수 이상의 의미가 있다.

거래소가 강력한 인증과 자산 보관 체계를 구축하더라도 외부 서비스에 넓은 거래 권한이 부여돼 있다면 전체 보안 수준은 해당 외부 서비스의 관리 체계에 영향을 받는다.

특히 외부 플랫폼이 여러 고객의 API 인증 정보를 보관하거나 처리하는 구조에서는 공격자가 단일 내부 시스템을 침해해도 피해가 여러 계정으로 확산될 가능성이 있다.

따라서 거래소와 외부 플랫폼 사이에는 API 권한의 최소화뿐 아니라 인증 정보의 안전한 저장, 직원 단말기 보호, 접근 기록 관리, 사고 발생 시 긴급 폐기 절차가 필요하다.

이러한 통제는 사고 이후의 대응 속도와 피해 범위를 결정하는 핵심 요소다.

향후 전망: 거래소 보안의 범위는 외부 API까지 확대된다

이번 사고는 가상자산 거래소 보안이 지갑과 블록체인 네트워크에만 국한되지 않는다는 점을 보여준다.

거래소와 연결된 외부 주문 관리 도구, 파생상품 분석 서비스, 자동매매 프로그램 등도 보안 위험을 평가해야 할 대상이다.

향후 거래소는 외부 서비스의 API 권한을 더욱 세분화하고, 위험도가 높은 연결에 대해서는 추가 인증과 접근 제한을 적용할 가능성이 있다.

외부 거래 플랫폼 역시 인증 정보를 단순히 안전하게 저장하는 수준을 넘어, 내부 직원의 접근 권한과 단말기 보안, 침해 발생 시 연결 거래소에 신속히 통지하는 절차를 강화해야 한다.

다만 이러한 조치가 모든 공급망 공격을 방지하는 것은 아니다. 공격자가 정상적인 직원 권한이나 허용된 시스템을 이용하는 경우에는 행동 기반 이상 탐지와 독립적인 승인 절차가 추가로 필요하다.

결론

바이낸스와 데리비트의 SignalPlus API 키 폐기는 거래소 자체 해킹이 아니라 외부 거래 플랫폼에서 시작된 보안 위험을 차단하기 위한 대응이다.

이번 사건은 직원 단말기 침해가 내부 시스템 접근으로 이어지고, 외부 플랫폼에 부여된 API 권한이 잠재적인 공격 경로가 될 수 있다는 점에서 기술적으로 중요하다.

특히 API 키의 출금 권한을 제한하는 것만으로 충분하지 않으며, 주문 권한 관리와 IP 접근 제한, 인증 정보 폐기, 이상 거래 탐지를 함께 적용해야 한다는 사실을 보여준다.

향후 핵심은 SignalPlus의 추가 사고 조사 결과와 서비스 복구 과정, 거래소들의 외부 API 보안 정책 변화다.

가상자산 거래소의 보안 수준은 자체 시스템뿐 아니라 연결된 외부 서비스의 보안 관리 수준까지 함께 평가해야 한다.

참고 자료

바이낸스, 2026년 11월 5일 SignalPlus API 키 폐기 관련 안내
로이터, 2026년 11월 5일 SignalPlus 보안 사고 관련 보도
SignalPlus 보안 사고 경위 관련 발표 및 보도

작성 기준: 2026년 11월 6일 공개 자료. 후속 사고 조사 및 서비스 복구 현황에 따라 내용이 달라질 수 있습니다.

bymh7765