암호화폐 거래소에 로그인할 때 익숙한 로고와 시세 화면이 보인다고 안심해서는 안 됩니다. 피싱사이트는 실제 거래소의 디자인을 복제해 비밀번호와 인증번호를 입력하게 하거나, QR코드 인증을 유도해 계정 접근 권한을 가로챌 수 있습니다.

로그인 전에 확인해야 할 것은 화면의 생김새보다 실제 주소, 접속 경로, 인증 요청의 내용입니다. 국내외 거래소의 공식 보안 안내를 바탕으로 점검 방법을 알아보겠습니다.

1. 검색 결과나 메시지 링크로 접속했다면 주소부터 확인하기

검색창에 거래소 이름을 입력하고 가장 위에 나오는 결과를 누르는 습관은 주의가 필요합니다. 검색 광고나 메시지에 거래소를 사칭한 주소가 포함될 수 있기 때문입니다.

Kraken은 공식 보안 안내에서 검색 광고, 긴급한 이메일·문자, 유사한 주소를 사용하는 사이트를 피싱 경로로 설명합니다. Kraken

다음과 같은 경로로 로그인 화면을 열었다면 정보를 입력하기 전에 멈추세요.

• 계정 정지나 출금 대기를 알리는 문자 링크
• 에어드롭·보상 지급을 안내하는 이메일
• 투자 단체대화방에서 전달받은 로그인 주소
• 고객센터 직원이라며 개인 메시지로 보내온 링크
• 검색 결과 상단에 표시된 광고

가장 간단한 방법은 해당 창을 닫고 기존에 사용하던 공식 거래소 앱을 직접 실행하는 것입니다. PC에서는 별도로 확인한 공식 주소를 직접 입력하고, 정확한 주소인지 확인한 뒤 즐겨찾기에 저장하세요.

공식 출처: Kraken 피싱 예방 안내
https://support.kraken.com/articles/phishing-scams

2. 거래소 이름이 아니라 실제 도메인을 확인하기

주소에 거래소 이름이 들어 있다고 공식 사이트는 아닙니다. 이름 앞뒤에 다른 단어를 붙이거나, 주소의 경로 부분에 거래소 이름을 넣을 수도 있습니다.

브라우저 주소창을 눌러 전체 주소를 펼친 뒤, https:// 다음에 표시되는 호스트 이름을 확인하세요. 페이지 안에 그려진 주소창이나 로고가 아닌 브라우저 자체 주소창을 봐야 합니다.

다음은 주소 구조를 설명하기 위한 예시입니다. .example은 설명용 도메인으로 실제 거래소 주소가 아닙니다.

주소 예시	의미
https://upbit.com/…	업비트 공식 안내에서 확인되는 주소
https://upbit.com.login-check.example/…	실제로는 login-check.example 아래의 주소
https://login-check.example/upbit.com	거래소 이름이 주소의 경로에 들어간 경우
https://upbit-security.example/…	거래소 이름에 보안 관련 단어를 붙인 별도 주소

업비트는 공식 사이트 주소가 https://www.upbit.com 또는 https://upbit.com인지 확인하도록 안내합니다. 유사한 주소의 사칭 사이트에서 로그인하면 계정 정보와 자산에 피해가 발생할 수 있습니다. support.upbit.com

주소를 확인하기 위해 의심 사이트를 직접 열어볼 필요는 없습니다. 공식 앱이나 고객센터에서 확인한 주소를 이용하세요.

공식 출처: 업비트 전기통신금융사기 주의 안내
https://support.upbit.com/hc/ko/articles/30139364405017

3. HTTPS와 자물쇠 표시만으로 안전하다고 판단하지 않기

주소가 https://로 시작한다는 것은 브라우저와 사이트 사이의 연결이 암호화된다는 의미입니다. 해당 사이트를 실제 거래소가 운영한다는 보증은 아닙니다.

피싱사이트도 HTTPS를 사용할 수 있으므로 다음과 같은 판단은 피해야 합니다.

• 자물쇠가 있으니 공식 사이트라는 판단
• 보안 인증서가 있으니 믿을 수 있다는 판단
• 브라우저 경고가 없으니 안전하다는 판단

반대로 인증서 오류나 위험 사이트 경고가 나타나면 이를 무시하고 로그인하지 마세요. 경고가 곧 피싱을 확정하는 것은 아니지만, 원인이 확인되지 않은 상태에서 계정 정보를 입력해서는 안 됩니다.

Chrome 공식 안내도 연결이 안전하더라도 올바른 사이트인지 주소창에서 확인하도록 설명합니다. support.google.com

공식 출처: Chrome 사이트 연결 보안 안내
https://support.google.com/chrome/answer/95617?hl=ko

4. QR코드 로그인도 공식 주소 확인 후 진행하기

“비밀번호를 입력하지 않았으니 괜찮다”고 생각하기 쉽지만, QR코드 인증도 피싱에 악용될 수 있습니다.

업비트는 본인이 직접 요청해 생성한 QR코드가 아니면 스캔하지 말고, 직접 요청하지 않은 2채널 인증도 승인하지 않도록 안내합니다. support.upbit.com

QR코드 로그인 전에는 다음 순서로 확인하세요.

1. PC 브라우저의 주소가 공식 거래소 주소인지 확인합니다.
2. 공식 페이지에서 직접 로그인 버튼을 누릅니다.
3. 거래소 공식 앱에서 안내하는 방식으로 인증합니다.
4. 앱에 표시된 인증 내용이 내가 시작한 로그인과 일치하는지 확인합니다.
5. 예상하지 못한 요청이면 취소합니다.

업비트의 공식 PC 로그인 안내에는 웹에서 QR코드를 생성하고, 업비트 앱으로 스캔한 뒤 인증코드를 확인하는 절차가 설명돼 있습니다. 다만 비슷한 절차가 보인다는 이유만으로 진짜라고 판단하면 안 됩니다. 주소 확인이 먼저입니다. support.upbit.com

공식 출처: 업비트 로그인 절차
https://support.upbit.com/hc/ko/articles/11687872000537

5. 복구 문구와 개인키를 요구하면 입력하지 않기

거래소 계정 로그인과 개인지갑 복구는 다른 절차입니다. 거래소 로그인이나 계정 보안 점검을 이유로 개인지갑의 복구 문구를 요구한다면 입력하지 마세요.

특히 다음 요구는 위험 신호입니다.

요구 내용	주의해야 하는 이유
12개·24개 단어로 된 복구 문구 입력	개인지갑 통제권을 넘길 수 있음
개인키 입력 또는 전송	해당 키가 관리하는 자산에 접근할 수 있게 됨
로그인 확인을 위한 코인 송금	정상 로그인 절차로 보기 어려움
안전 지갑으로 자산 이동	사기범의 지갑으로 송금하도록 유도할 수 있음
계정 복구용 원격제어 프로그램 설치	화면과 기기 조작 권한이 노출될 수 있음

Coinbase는 전화나 문자로 새로운 복구 문구 또는 자산을 옮길 지갑 주소를 제공하지 않는다고 안내합니다. 고객센터를 사칭한 상대가 “자산 보호를 위해 이 주소로 보내라”고 한다면 중단하고 공식 지원 경로로 확인하세요. Coinbase Help

개인지갑을 복구할 때는 신뢰할 수 있는 공식 지갑 앱에서 복구 문구가 필요할 수 있습니다. 그러나 문자나 이메일로 연결된 거래소 로그인 페이지에 입력하는 것은 전혀 다른 상황입니다.

공식 출처: Coinbase 고객지원 사칭 사기 안내
https://help.coinbase.com/en/coinbase/privacy-and-security/avoid-scams/tech-support-scams

6. OTP를 사용해도 가짜 페이지에서는 계정을 지킬 수 없음

OTP는 중요한 보안 수단이지만, 피싱사이트에 직접 입력한 인증번호가 공격자에게 전달되면 실제 거래소 로그인에 악용될 수 있습니다.

Kraken도 피싱사이트가 비밀번호와 2단계 인증번호를 가로채 실제 계정에 접근하는 공격을 설명합니다. Kraken Blog Kraken Blog

따라서 다음 상황에서는 추가 인증을 멈추세요.

• 오류가 났다며 OTP를 계속 다시 입력하게 하는 경우
• 상담원이 인증번호를 채팅으로 보내라고 하는 경우
• 로그인 중인데 앱에는 출금이나 보안 설정 변경 요청이 나타나는 경우
• 내가 시작하지 않은 기기 등록·로그인 승인이 도착한 경우

인증번호 입력 창이 있다는 사실은 안전의 증거가 아닙니다. 어떤 사이트에서, 어떤 작업을 승인하는지를 확인해야 합니다.

공식 출처: Kraken 피싱 공격과 2단계 인증 주의 안내
https://blog.kraken.com/product/security/kraken-phishing-warning

7. 이미 로그인 정보를 입력했다면 즉시 대응하기

가짜 페이지에 정보를 입력했거나 QR 인증을 승인했다면, 출금 알림이 올 때까지 기다리지 마세요.

비밀번호나 OTP를 입력한 경우
신뢰할 수 있는 기기에서 공식 앱 또는 공식 홈페이지에 접속해 계정을 보호하세요. 거래소에서 제공하는 계정 잠금·출금 제한 기능을 사용하고, 비밀번호 변경과 모든 기기 로그아웃을 진행합니다. 공식 고객센터에도 즉시 신고하세요.

의심스러운 QR 인증을 승인한 경우
비밀번호를 입력하지 않았어도 계정 접근이 허용됐을 수 있습니다. 업비트는 의도하지 않은 QR 인증 후 모든 기기 로그아웃, 스스로 잠금 등의 조치를 안내합니다. support.upbit.com

계정 설정을 점검할 때
지원되는 항목에서 등록 기기, 출금 주소, API 키, 인증 수단을 확인하세요. API 키는 외부 프로그램이 계정 기능을 사용하도록 하는 접근 수단이므로 모르는 키가 있다면 폐기하고 고객센터에 알립니다.

복구 문구나 개인키를 입력한 경우
거래소 비밀번호 변경만으로 개인지갑을 보호할 수 없습니다. 신뢰할 수 있는 기기에서 새 복구 문구로 새 지갑을 만들고, 남아 있는 자산을 안전하게 이전하는 조치가 필요합니다. 사기범이 제공한 지갑이나 복구 서비스를 이용하지 마세요. Kraken

공식 출처: Kraken 피싱 피해 후 대응 안내
https://support.kraken.com/articles/phishing-scams

로그인 직전 확인할 체크리스트

• 메시지 링크가 아닌 확인된 공식 경로로 접속했는가?
• 브라우저 주소창의 도메인이 정확한가?
• 연결 오류나 위험 사이트 경고가 없는가?
• 내가 직접 시작한 로그인·인증 요청인가?
• 복구 문구, 개인키 또는 송금을 요구하지 않는가?
• 앱에 표시된 승인 내용이 로그인 목적과 일치하는가?

암호화폐 거래소의 가짜 로그인 페이지는 디자인만으로 구별하기 어렵습니다. 공식 주소를 확인하고, 내가 시작한 인증만 승인하며, 이상한 요청이 나타나면 입력을 중단하는 습관이 계정과 자산을 지키는 데 도움이 됩니다.