무단 출금을 발견하면 안전한 기기에서 거래소 공식 긴급 채널로 계정 잠금과 추가 출금 중지를 요청하고 ticket 번호를 받는다. 동시에 이메일·통신사·연결 은행을 보호하되, 의심 기기를 초기화하기 전 로그인 알림·IP·기기·인증 변경·출금 주소·transaction hash를 보존한다. 경찰 ECRM에 온라인 작성 후 필요한 경찰서 방문 절차를 따르고, 거래소에는 접속·인증·출금 log의 보존을 서면 요청한다.
첫 30분은 계정 통제와 추가 출금 차단에 쓴다
검색 광고나 메시지 속 고객센터가 아니라 거래소 앱·공식 domain에 표시된 긴급 연락 경로를 사용한다. account lock, 모든 session 종료, API key 비활성화, 출금 address 추가와 인증수단 변경 중지를 요청한다. 이미 broadcast된 blockchain transaction을 거래소가 취소할 수 있다고 약속받기보다 아직 pending인 내부 출금과 추가 요청을 막는 데 집중한다.
연결 은행에서 원화 이체도 발생했다면 은행에 사고 신고하고 비밀번호·인증서를 보호한다. SIM 교체나 전화번호 도용 정황이 있으면 통신사에 변경 이력과 추가 재발급 제한을 문의한다. 모든 전화 시각·상담원·접수번호를 사건표에 적는다.
무단 출금 직후에는 되돌릴 수 없는 거래를 쫓는 일과 아직 남아 있는 계정 통제권을 지키는 일을 동시에 해야 한다.
JOBCOIN 해설
그림은 이 주제의 공통 개념을 단순화한 설명입니다. 아래 항목에서 이 글의 구체적인 조건과 예외를 함께 읽어보세요.
- 첫 30분은 계정 통제와 추가 출금 차단에 쓴다
검색 광고나 메시지 속 고객센터가 아니라 거래소 앱·공식 domain에 표시된 긴급 연락 경로를 사용한다.
- 비밀번호 변경 전에 증거 화면을 최소 확보한다
안전한 별도 기기에서 로그인 가능하면 보안 알림, 최근 접속 device·IP, 2FA·비밀번호·전화번호 변경, API key, 출금 신청·승인·완료 시각을 캡처한다.
- 출금 transaction을 원본 원장에 고정한다
거래소 화면의 출금 ID와 network, asset·amount·fee, destination address·memo, tx hash를 적는다.
AI로 제작한 개념도 · 실제 가격·거래 내역·통계가 아닙니다.
비밀번호 변경 전에 증거 화면을 최소 확보한다
안전한 별도 기기에서 로그인 가능하면 보안 알림, 최근 접속 device·IP, 2FA·비밀번호·전화번호 변경, API key, 출금 신청·승인·완료 시각을 캡처한다. 화면에는 현재 시각과 URL이 보이게 하고 원본 이메일 header와 SMS를 export한다. seed나 recovery code는 촬영하지 않는다.
접근 중인 기기가 원격제어·악성앱에 감염됐을 가능성이 있으면 그 기기에서 새 비밀번호를 입력하지 않는다. network를 분리하고 전문가·수사기관 안내 전 공장초기화나 log cleaner를 실행하지 않는다. 증거 보존 때문에 공격자 session을 방치해서도 안 되므로 최소 캡처 뒤 공식 계정 잠금을 우선한다.
| 영역 | 즉시 조치 | 보존 증거 |
|---|---|---|
| 거래소 | 잠금·API 중지 | ticket·login·withdrawal |
| 이메일 | session 종료·MFA | header·forwarding rule |
| 통신 | SIM 보호 | 재발급·번호변경 이력 |
| 은행 | 사고 신고 | 이체·인증 기록 |
| 온체인 | 주소 monitoring | tx hash·block·trace |
출금 transaction을 원본 원장에 고정한다
거래소 화면의 출금 ID와 network, asset·amount·fee, destination address·memo, tx hash를 적는다. explorer에서 block number·timestamp, status와 다음 이동을 확인해 URL과 JSON 응답을 보존한다. 다른 chain의 같은 주소나 token symbol을 혼동하지 않는다.
공격자 address label은 조사 단서일 뿐 법적 신원을 확정하지 않는다. bridge나 exchange deposit으로 보이면 수사기관과 거래소에 신속히 전달하되 직접 상대에게 연락하거나 소액 추적 transaction을 보내지 않는다. 주소 오염이나 2차 사기에 이용될 수 있다.
거래소에 구체적인 log 보존을 요청한다
문의에는 사고 시간대 전후의 login IP·user agent·device ID, session 발급·종료, 비밀번호·2FA·출금 whitelist 변경, API call, 출금 승인과 내부 review 기록을 보존해 달라고 쓴다. 발급을 요구하는 것과 삭제하지 말라는 보존 요청을 구분한다. 수사기관 요청으로만 제공 가능한 field가 있을 수 있다.
가상자산 이용자 보호법은 사업자가 이용자명부에 종류·수량·가상자산주소를 기록하도록 한다. 이 규정이 모든 접속 log의 고객 직접 열람을 자동 보장하지는 않는다. 거래소 답변과 보존 기간, 수사기관 제출 담당 채널을 받아 사건 담당자에게 전달한다.
- 공식 긴급 채널로 계정·API·출금을 잠근다
- 로그인·인증 변경과 출금 시각을 KST·UTC로 적는다
- 출금 ID·address·tx hash를 원본으로 저장한다
- 이메일 header와 통신사 변경 흔적을 확보한다
- ECRM 임시접수·정식접수·수사관 요청을 구분한다
경찰 신고에는 확인 사실과 추정을 나눈다
ECRM은 신분증, 이체내역서, 메신저 대화 등 증빙을 첨부하도록 안내하고 온라인 신고 뒤 경찰서 방문이 필요할 수 있다고 밝힌다. 사건 요약에는 정상 마지막 접속, 최초 이상 알림, 잠금 요청, 무단 출금과 후속 이동을 시간순으로 쓴다.
‘해외 해커’ 같은 추정 대신 모르는 IP, 본인이 승인하지 않은 device, 변경 이메일과 transaction을 제시한다. 본인 정상 접속도 함께 표시해야 log를 구분하기 쉽다. 온라인 임시접수 번호를 정식 사건번호로 오해하지 않고 담당 수사관의 추가 제출 방식에 따른다.
계정 복구와 자산 회수를 같은 결과로 보지 않는다
거래소 account를 되찾고 새 MFA를 설정해도 이미 외부 address로 final transfer된 자산이 자동 복구되지는 않는다. 반대로 자산 동결 가능성이 논의 중이어도 계정 보안을 미루면 추가 피해가 생긴다. 두 작업의 상태를 별도 기록한다.
거래소가 선의의 긴급 협조를 하더라도 수취 서비스의 관할과 내부 절차, 자산 이동 속도에 따라 결과가 달라진다. recovery를 보장하는 사설 추적업체가 선입금·seed를 요구하면 응하지 않는다. 계약 전 회사 실체와 수수료·성과 조건을 확인한다.
복구 뒤 침해 원인을 닫는다
깨끗한 기기에서 고유 비밀번호와 phishing-resistant MFA를 설정하고 이메일 forwarding rule, recovery email, app password와 cloud backup을 점검한다. API key는 필요한 것만 새로 발급하고 출금 권한을 최소화한다. PC·휴대폰의 원격제어 앱과 browser extension을 조사한다.
사건 종료 뒤에도 attack address와 수사·민원 상태를 주기적으로 기록한다. 신분증이 노출됐다면 추가 계정 개설과 금융사기 위험을 확인한다. 보안 변경 이력과 사업자 최종 답변, 경찰 결정문을 원본 증거와 함께 보관한다.
자주 묻는 질문
거래소가 이미 출금된 코인을 취소할 수 있나요?
외부 chain에서 확정된 거래는 일반적으로 되돌리기 어렵다. 아직 내부 처리 중인지 즉시 확인하고 추가 출금을 차단한다.
의심 휴대폰을 바로 초기화해야 하나요?
추가 피해를 차단하되 초기화 전 필요한 증거와 log 보존을 고려한다. 감염 의심 기기에서 새 인증정보를 입력하지 않는다.
ECRM 접수만 하면 수사가 시작되나요?
온라인 작성 뒤 경찰서 방문·진술과 정식 접수가 필요할 수 있어 공식 처리 절차를 확인한다.
더 깊이 읽기
본문에서 다룬 개념과 확인 절차를 다음 글에서 이어서 살펴보세요.
