“AI가 알아서 차트를 분석해 매일 수익을 냅니다.”
SNS나 검색광고에서 이런 문구를 보고 자동매매 프로그램을 내려받았다면 손실은 코인 매매에서 끝나지 않을 수 있다. 프로그램이 진짜 AI인지 따져보기도 전에, 설치 파일 자체가 브라우저 비밀번호와 로그인 세션, 거래소 API 키, 가상자산 지갑 정보를 훔치는 악성코드일 수 있기 때문이다.
국내 가상자산 거래소 빗썸은 2026년 9월 9일 공식 정보보호 캠페인을 통해 AI 자동매매·투자 분석 도구로 위장한 악성 프로그램을 경고했다. “초보자도 자동 고수익”, “차트 분석 자동화”, “API Key만 연결하면 자동 고수익 매매” 같은 광고 문구로 설치를 유도한 뒤 민감 정보를 빼내는 수법이다.
핵심부터 말하면 자동매매 프로그램이 모두 사기는 아니다. 실제 거래소 API와 규칙 기반 전략을 연결해 주문을 자동화하는 합법적인 도구도 있다. 문제는 ‘AI’라는 이름, 수익 보장, 출처 불명 실행파일을 한데 묶어 신뢰를 만드는 가짜다. AI라는 단어는 프로그램의 안전성도, 수익성도 보증하지 않는다.
빗썸이 실제로 경고한 내용
빗썸 공식 공지는 가짜 프로그램이 저장된 로그인 정보, 브라우저 쿠키, 지갑 정보 같은 민감 데이터를 몰래 수집해 공격자에게 전송할 수 있다고 설명한다. 출처가 불분명한 AI Trading Bot이나 투자 분석 프로그램이 빗썸 연동을 요구하더라도 설치하거나 실행하지 말라고 권고했다.
여기서 주의할 점이 있다. 빗썸은 2026년 6월 공식 AI 트레이드 킷도 출시했다. AI 도구와 빗썸 Open API를 연결해 시세 조회와 주문 등을 수행하도록 돕는 공식 도구다. 따라서 “AI 자동매매는 전부 악성코드”라고 단정하는 것도 사실과 다르다.
공식 도구조차 투자 수익을 보장하지 않으며, 주문 권한이 포함된 API 키를 사용하면 실행 내용을 이용자가 확인해야 한다. 가짜 도구의 문제는 자동화가 아니라 출처와 권한을 숨기고 ‘무조건 수익’을 약속하면서 악성 파일을 실행시키는 데 있다.
이건 투자 사기이면서 악성코드 공격이다
흔한 코인 투자 사기는 가짜 거래 사이트에 입금하게 하거나 출금을 막는 방식으로 돈을 빼앗는다. 이번에 경고된 수법은 한 단계 더 위험하다. 이용자가 직접 실행파일을 설치하게 만든 뒤 컴퓨터 안의 인증 정보를 훔치는 인포스틸러(infostealer) 유형과 맞닿아 있다.
인포스틸러는 이름 그대로 정보를 훔치는 악성코드다. Microsoft Defender Security Research는 최근 인포스틸러가 피싱 메일뿐 아니라 악성 광고, 가짜 앱 설치 파일, 가짜 AI 도구로도 퍼지며 브라우저 자격증명, 저장 비밀번호, 세션 쿠키, 인증 토큰, 가상자산 지갑, 개발자 키를 노린다고 설명한다.
가짜 자동매매 광고가 효과적인 이유는 두 가지 욕망을 동시에 건드리기 때문이다. ‘AI가 사람보다 잘할 것’이라는 기술 기대와 ‘나는 가만히 있어도 돈을 벌고 싶다’는 수익 기대다. 공격자는 어려운 기술 용어, 화려한 차트, 조작 가능한 후기와 수익 인증을 붙여 실행파일을 안전한 금융 도구처럼 보이게 만든다.
무엇을 훔쳐 갈 수 있나
1. 브라우저에 저장된 아이디와 비밀번호
크롬이나 엣지 등에 저장해 둔 로그인 정보가 표적이 될 수 있다. 거래소 하나만 털리는 것이 아니라 같은 기기에서 사용하는 이메일, 쇼핑, SNS, 업무 계정까지 연쇄적으로 위험해진다. 비밀번호를 여러 서비스에서 재사용했다면 피해 범위는 더 커진다.
2. 로그인 세션 쿠키와 인증 토큰
쿠키는 단순한 방문 기록이 아니다. 로그인 상태를 유지하는 세션 정보가 포함될 수 있다. 공격자가 유효한 세션을 가져가면 서비스에 따라 비밀번호나 OTP를 다시 입력하지 않고도 이미 로그인된 사용자처럼 행동할 가능성이 있다. 그래서 “2단계 인증을 켰으니 괜찮다”는 생각만으로는 충분하지 않다.
3. 거래소 API Key와 Secret Key
API 키는 외부 프로그램이 내 거래소 계정의 일부 기능을 사용하도록 허용하는 열쇠다. 권한 설정에 따라 잔고 조회나 주문 실행 등이 가능하다. Secret Key까지 노출되고 허용 IP 제한도 없다면 공격자가 원치 않는 주문을 시도할 위험이 커진다.
빗썸 고객센터도 API Key와 Secret Key가 유출되면 제3자가 자산에 접근할 위험이 있다고 안내한다. API 키는 비밀번호처럼 취급하고, 채팅창이나 폼에 그대로 붙여넣으라는 요구를 경계해야 한다.
4. 가상자산 지갑과 개인키
브라우저 확장 지갑이나 데스크톱 지갑의 데이터도 표적이다. 개인키 또는 복구 문구가 노출되면 비밀번호 변경만으로 해결할 수 없다. 블록체인 자산을 통제하는 핵심 열쇠가 복제된 것이므로 안전한 새 지갑으로 옮기는 대응까지 검토해야 한다.
“진짜 AI냐”보다 먼저 확인할 것
이 프로그램이 머신러닝을 쓰는지, 단순 규칙 기반 봇인지 분석하는 일은 일반 사용자에게 어렵다. 더 중요한 질문은 따로 있다.
- 운영 주체와 공식 배포처가 명확한가?
- 공식 거래소 문서나 검증 가능한 저장소에서 연결된 도구인가?
- 어떤 API 권한을 요구하는지 설명하는가?
- 손실 가능성과 수수료를 구체적으로 공개하는가?
- 코드 서명과 업데이트 경로를 확인할 수 있는가?
- 백신 경고를 끄거나 보안 예외를 만들라고 요구하지 않는가?
- ‘원금 보장’, ‘손실 없음’, ‘매일 고정 수익’을 약속하지 않는가?
미국 FTC도 가상자산을 포함한 모든 투자에는 위험이 있으며, 큰 수익이나 보장된 수익을 약속하는 제안은 사기의 대표적인 신호라고 경고한다. 후기나 유명인 추천 역시 조작될 수 있다.
공식 자동매매 도구도 무조건 안전한 수익은 아니다
보안상 정상적인 프로그램과 투자 성과가 좋은 프로그램은 같은 뜻이 아니다. 공식 API를 쓰고 악성코드가 전혀 없어도 전략이 잘못되면 돈을 잃을 수 있다. 시장 급변, 주문 지연, 네트워크 오류, 잘못된 변수, 과최적화된 백테스트 때문에 예상과 다른 결과가 날 수 있다.
따라서 합법적인 도구를 사용할 때도 권한을 최소화해야 한다. 단순 분석만 필요하면 주문이나 출금 권한을 주지 않는다. 주문 자동화가 필요해도 출금 권한은 분리하고, 가능하면 허용 IP를 지정하며, 별도 소액 계정에서 먼저 검증하는 편이 안전하다. API 키는 사용 목적별로 나누고 더 이상 쓰지 않는 키는 즉시 폐기한다.
이미 설치했다면 삭제만 하지 말자
프로그램을 실행했다면 휴지통에 넣거나 앱을 삭제하는 것만으로 끝났다고 볼 수 없다. 정보가 이미 외부로 전송됐을 수 있고, 시작 프로그램이나 예약 작업 형태로 남아 있을 가능성도 있기 때문이다.
첫째, 의심되는 기기의 네트워크 연결을 끊는다. 둘째, 감염되지 않은 다른 기기에서 가장 중요한 이메일과 거래소 계정부터 비밀번호를 바꾸고 모든 로그인 세션을 종료한다. 이메일이 먼저인 이유는 다른 계정의 비밀번호 재설정 통로이기 때문이다.
셋째, 거래소 API 키를 전부 확인하고 의심되는 키는 폐기한다. 거래 권한과 출금 권한, 허용 IP, 최근 API 사용 기록도 점검한다. 넷째, 지갑 개인키나 복구 문구가 저장돼 있었거나 지갑 확장을 사용했다면 새 지갑으로 자산 이동이 필요한지 공식 지원 채널 또는 신뢰할 수 있는 보안 전문가와 상의한다.
다섯째, 신뢰할 수 있는 보안 제품으로 전체 검사를 하고 운영체제와 브라우저를 업데이트한다. 중요한 데이터는 안전하게 백업하되 의심스러운 실행파일을 함께 옮기지 않는다. 피해가 확인되면 거래소 고객센터와 수사기관에 즉시 신고하고, 국내 인터넷 침해 상담은 KISA 118을 이용할 수 있다.
API 키를 연결할 때 최소한의 안전 수칙
API 키는 프로그램이 요청한다고 무조건 모든 권한을 줄 필요가 없다. 필요한 기능만 허용하는 최소 권한 원칙을 적용해야 한다. 조회 도구에는 조회 권한만, 주문 봇에는 필요한 마켓의 주문 권한만 부여하는 식이다.
허용 IP를 등록할 수 있다면 실제 봇이 실행되는 고정 IP만 허용한다. 개인 PC나 클라우드 서버가 바뀔 때는 기존 키를 방치하지 말고 폐기 후 재발급한다. Secret Key는 화면 캡처, 메신저, 이메일, 클라우드 메모에 남기지 않는다. 거래소를 사칭한 상담원이 키를 요구해도 제공해서는 안 된다.
사용 기록과 잔고 알림도 켜 두자. 소액의 이상 주문이나 낯선 로그인은 더 큰 피해 전의 신호일 수 있다. 자동화는 사람이 보지 않아도 동작하는 것이 장점이지만, 바로 그 이유로 정기적인 로그 확인과 중단 스위치가 필요하다. 자동화하지 않으면 기술 부채입니다. 하지만 안전장치 없이 자동화하면 그 부채가 바로 사고가 된다.
자주 묻는 질문
AI 자동매매 프로그램은 전부 사기인가?
아니다. 공식 거래소 API를 이용하는 정상적인 자동화 도구도 있다. 다만 어떤 도구도 수익을 보장할 수 없으며, 출처 불명의 실행파일과 과도한 권한 요구는 별개의 보안 위험이다.
2단계 인증을 켜면 안전한가?
중요한 방어 수단이지만 만능은 아니다. 악성코드가 저장 비밀번호뿐 아니라 로그인 세션 쿠키나 인증 토큰을 훔치면 이미 인증된 상태가 악용될 수 있다. 감염 의심 시 모든 세션 종료가 필요한 이유다.
API 키만 유출돼도 출금할 수 있나?
가능한 행위는 해당 키에 부여된 권한과 거래소 정책에 따라 다르다. 그래서 키마다 권한을 확인하고 출금 권한을 주지 않으며 허용 IP를 제한해야 한다. 유출이 의심되면 권한을 따지기 전에 폐기하는 편이 안전하다.
백신 검사에서 아무것도 안 나오면 괜찮나?
검사 결과 하나만으로 안전을 단정할 수 없다. 최신 악성코드나 변종은 탐지를 피할 수 있다. 계정 세션 종료, 비밀번호 변경, API 키 폐기, 거래 기록 점검을 함께 수행해야 한다.
루트의 결론
이번 경고의 핵심은 ‘AI가 가짜냐’에만 있지 않다. 공격자는 AI라는 유행어를 신뢰 배지처럼 붙이고, 사용자가 스스로 프로그램을 설치하고 열쇠를 건네게 만든다. 수익률 그래프가 화려할수록 배포처와 권한 설명은 더 차갑게 확인해야 한다.
고수익 보장 + 출처 불명 실행파일 + API 키 요구가 한 화면에 보이면 설치하지 않는 것이 답이다. 이미 실행했다면 감염된 컴퓨터에서 비밀번호만 바꾸지 말고, 깨끗한 기기에서 세션과 API 키, 지갑까지 순서대로 보호하자.
