가상자산- 관련 컴플라이언스 은 가상자산 업계의 안정성과 신뢰성을 확보하는 데 매우 중요합니다. 가상자산 사용자 수가 계속 증가함에 따라, 수탁형 가상자산 사업의 전망은 여전히 긍정적입니다. 하지만 역사가 보여주었듯이, 이러한 사업체들 — 특히 중앙화 거래소(CEX) — 는 여전히 보안 및 컴플라이언스 과 관련된 중대한 위험에 직면해 있습니다.
지난 1년 동안 일본의 DMM 비트코인 (3억 500만 달러)과 인도의 와지르엑스 (2억 3,500만 달러)를 비롯한 여러 지역 암호화폐 거래소가 해킹 피해를 입었습니다. 이와 동시에 일부 주요 국제 거래소들은 컴플라이언스 관련 문제로 벌금을 부과받았으며, 이는 해당 분야에 대한 규제 당국의 지속적인 감시가 이어지고 있음을 보여줍니다. 규제 당국이 가상자산 관련 규정을 더욱 체계화하고 엄격히 집행해 나감에 따라 이러한 사례는 더욱 빈번해질 것으로 보입니다.
물론, 해킹을 방지하고 규제 당국의 과태료를 피하는 것만이 보안 및 컴플라이언스 의무를 진지하게 받아들여야 하는 유일한 이유는 아닙니다. 이는 신규 사용자와의 신뢰를 쌓는 데에도 매우 중요하며, 특히 가상자산 가 점점 더 인기 있는 자산군으로 자리 잡으면서 개인 투자자들이 가상자산 를 매매하고 거래하기 위해 중앙화 거래소(CEX)의 안정성과 안전성을 찾고 있기 때문입니다.
이 블로그에서는 ‘ 가상자산 ’ 교환 프로그램( 컴플라이언스)의 구성 요소와, 탄탄한 교환 프로그램( 컴플라이언스 )의 사례 등을 살펴보겠습니다.
가상자산 거래소 이해하기 컴플라이언스
가상자산 와 관련된 컴플라이언스 의 상당 부분은 가상자산 거래소의 플랫폼 운영 보안을 강화하는 데 중점을 두고 있습니다. 여기에는 자사 제품 및 서비스의 악용을 방지하기 위한 국내외 자금세탁방지 및 테러자금조달방지(AML/CFT) 조치의 이행이 포함됩니다.
FATF 권고사항 준수
가상자산 거래소로서, 기업이 등록, 설립 및 운영되는 관할 지역에 따라 해당 기업이 준수해야 할 규정이 결정됩니다. 금융행동태스크포스 (FATF)는 자금 세탁, 테러 자금 조달 및 대량살상무기 확산 자금 조달과 관련하여 법적, 규제적, 운영적 기준을 수립함으로써 글로벌 금융 시스템의 건전성을 보호하는 국제 기구입니다. 국가 및 지역 차원의 규제는 종종 자금 서비스 사업체 및 기타 인가된 서비스에 대한 FATF 권고 사항을 반영합니다. 이러한 규칙은 다음 세 가지 범주로 나뉩니다:
- 고객 확인(KYC) 요건: 이러한 규정은 사용자가 제재 대상에 해당하지 않는지 확인하고, 금지된 관할 구역에 거주하는 개인의 이용을 차단하며, 향후 의심스러운 활동이 발생할 경우 선제적 조사 에 필요한 조치를 취할 수 있도록 하는 등 다양한 이유로 사용자로부터 신원 확인 정보를 수집하도록 규정하고 있습니다. 이 정보는 사용자 신원을 확인하고, 사기를 방지하며, 컴플라이언스 규제 요건을 준수하는 데 필수적입니다.
- 거래 모니터링: 중앙화 거래소(CEX)는 자금 세탁, 테러 자금 조달 또는 기타 형태의 금융 범죄를 드러낼 수 있는 의심스러운 활동이 있는지 확인하기 위해 거래를 지속적으로 모니터링해야 합니다.
- 위험한 활동에 대한 대응: 거래를 효과적으로 모니터링하다 보면, 기업은 의심할 여지 없이 고객에게 직접 연락을 취하거나, 기록을 갱신하거나, 의심스러운 활동을 관련 집행 기관에 신고해야 하는 위험한 행위에 직면하게 될 것입니다. 이는 일반적으로 해당 관할권의 자금세탁방지(AML) 법률 및 정책에 명시된 요건을 준수하는 것을 수반합니다.
아래에서는 가상자산 거래소 컴플라이언스 의 각 영역에 대해 살펴보겠습니다.
가상자산 거래소의 구성 요소 컴플라이언스
고객 신원 확인(KYC) 정보 수집
KYC 절차는 중앙화 거래소(CEX)가 사용자 신원을 확인하고, 사기 위험을 줄이며, 법률 및 규정을 컴플라이언스 준수하기 위해 필수적입니다. 견고한 KYC 프로세스를 구현하려면 사용자 정보를 수집 및 확인하고, 신원 확인 기술을 활용하며, 기록을 안전하게 관리해야 합니다. 다음은 가장 일반적인 KYC 정보 유형 중 일부입니다:
- 이메일 주소
- 정부에서 발급한 신분증 또는 운전면허증
- 생년월일
- 사회보장번호 또는 주민등록번호
- 전화번호
- 물리적 주소
- 주소 증명서로 사용할 수 있는 공과금 고지서 또는 이와 유사한 서류
어떤 정보를 언제 수집해야 하는지에 대해 명확히 규정하는 보편적인 규칙은 없다는 점을 명심해야 합니다. 많은 관할권에서 거래소가 사용자에게 이메일 주소만으로도 가입 및 거래를 허용하는 것이 합법적이긴 하지만, 여전히 사용자 신원 확인은 중요합니다. KYC 정보를 수집하지 않는 것은 고위험 운영을 시사할 수 있으며, 이로 인해 서비스는 운영, 규제 및 법적 측면에서 다양한 문제에 직면할 수 있습니다. 대부분의 주요 중앙화 거래소(CEX)는 특히 대규모 거래를 하는 사용자의 경우, 이름과 이메일 주소 이상의 정보를 요구합니다.
일부 거래소는 가입 시 방대한 양의 KYC 정보를 수집하는 반면, 다른 거래소는 거래량이 많을수록( 가상자산 ) 더 많은 KYC 정보와 심사가 필요한 단계별 시스템을 채택하고 있습니다. 올바른 접근 방식은 비즈니스 모델과 고객층에 따라 달라집니다.
기업들은 사용자의 신원을 증명하는 검증된 문서를 수집하고 안전하게 보관한 후, 일반적으로 제재 심사 절차를 진행합니다. 이 심사의 목적은 신규 사용자와 그 밀접한 관계자들이 제재 대상에 포함되지 않았는지 확인하는 것입니다. 미국의 재무부 산하 해외자산통제국 (OFAC)과 영국의 금융제재이행국(Office of Financial Sanctions Implementation )을 비롯한 여러 국가의 정부 기관들은 각자의 제재 목록을 관리하고 있습니다. 제재 심사를 수행하는 가장 쉬운 방법은 톰슨 로이터(Thomson Reuters )나 리피니티브(Refinitiv)와 같은 서비스를 이용하는 것입니다. 이러한 서비스는 모든 관련 제재 목록을 통합하여 제공하므로, 기업은 각 목록을 개별적으로 또는 주기적으로 일일이 확인할 필요가 없습니다.
기업들은 또한 이러한 서비스를 활용하여 ‘정치적 요인(PEP)’ 심사(사용자가 뇌물 수수나 기타 형태의 금융 부패 위험이 높은 정부 공직자인지 여부를 파악)와 부정적 언론 보도 심사(다양한 뉴스 출처를 샅샅이 뒤져 잠재적 사용자가 범죄 활동에 연루되었을 가능성을 확인)를 수행할 수 있습니다. 또한, 전통 금융(TradFi)과 마찬가지로 일부 중앙화 거래소(CEX)는 전용 사이버 보안 및 위험 관리( 조사 ) 부서를 운영하고 있으며, 이 부서의 임무는 관심 대상에 대한 요청에 대응하고, 플랫폼 악용 및 기타 의심스러운 활동을 선제적으로 식별·표시·차단하는 것입니다.
거래 모니터링 및 보고
거래를 지속적으로 모니터링하는 것은 의심스러운 활동을 탐지하고 규제 요건을 준수 컴플라이언스 하는 데 중요합니다. 거래를 꾸준히 모니터링함으로써 중앙화 거래소(CEX)는 잠재적 위험을 파악하고 이를 완화하기 위한 신속한 조치를 취함으로써 플랫폼의 무결성을 유지할 수 있습니다. 자동화된 보고 시스템을 구축하고 정확한 기록을 유지하는 것은 필수 보고서를 기한 내에 제출하고 규제 기준을 준수 하는 데 필수적입니다.
수탁형 암호화폐 거래소( 가상자산 ) 업체들은 일반적으로 자사 플랫폼에 호스팅된 사용자의 주소에서 이루어지는 거래를 모니터링하여, 사용자가 범죄 조직과 자금을 송수신하지 않는지 확인합니다. FATF 회원국과 FATF 방식의 지역 기구를 합치면 200개 이상의 국가가 FATF 권고 사항을 준수하기로 약속했으며, 여기에는 의심스러운 거래, 일정 규모 이상의 모든 거래, 그리고 사용자가 이러한 활동을 은폐하려 할 수 있는 사례에 대한 기록을 보관하고 당국과 공유하는 것이 포함됩니다.
범죄 활동 감시
다크넷 마켓, 제재 대상 기관, 사기꾼 및 기타 사이버 범죄자들과 연관된 가상자산 주소로 사용자가 자금을 송금하거나 수취할 때 이를 감지하기 위해서는 기업에 강력한 모니터링 솔루션이 필요합니다.
체이널리시스 가상자산 컴플라이언스 이 솔루션은 사용자가 위험성이 있는 주소와 거래를 진행할 때 경고를 제공할 수 있습니다. 거래소는 카테고리 기준치, 사용자 정의 그룹, 행동 패턴 등을 기반으로 유연한 위험 관리 규칙을 설정하여, 팀이 검토할 수 있도록 경고를 생성할 수 있습니다.
플랫폼이 체이널리시스 이체 내역을 지속적으로 모니터링하므로 — 향후 새로운 활동으로 인해 노출 상황이 변경되더라도 — 팀은 플랫폼의 보안을 유지하기 위해 알림을 받을 수 있습니다. 알림을 받으면 팀은 협업하고, 사례를 관리하며, 해당 사용자에 대해 조치를 취해야 할지 여부를 결정할 수 있습니다.
사용자 보기에서는 체이널리시스 인사이트 을 통해 사용자의 활동 및 노출 현황, 알림 등을 확인할 수 있습니다. 활동에 대한 추가 조사가 필요한 경우, 가상자산 조사 Solution 그래프와 스토리를 알림에서 직접 확인할 수 있으며, 이를 통해 기업은 고객 자금의 출처와 목적지를 추적하는 데 도움을 받을 수 있습니다.
보고 의무
대부분의 관할권에서는 기업들이 특정 유형의 거래를 신고하고 보고할 것을 요구합니다. 예를 들어, 미국의 경우 FinCEN은 금융 서비스 제공업체( 가상자산 )들이 10,000달러 이상인 모든 현금 입출금에 대해 통화 거래 보고서 (CTR)를 제출하도록 의무화하고 있습니다. 대부분의 FATF 회원국들도 유사한 규정을 두고 있습니다. 또한, FATF 회원국의 가상자산 서비스 제공업체( 가상자산 )는“트래블 룰(Travel Rule)”을 준수해야 합니다. 이 규정은 가상자산 서비스 제공업체(VASP, 가상자산 거래소 포함)가 고객의 신원을 확인하고, 1,000 USD/EUR를 초과하는 송금의 송금인과 수취인을 식별한 후, 해당 정보가 있는 경우 이를 상대방 VASP에 전달하도록 요구합니다.
또한 지방 당국이 종종 자체적인 추가 규정을 적용한다는 점도 염두에 두어야 합니다. 예를 들어, 뉴욕주에서 영업하는 ‘ 가상자산 ’ 사업체는 뉴욕주 금융서비스국(DFS)으로부터 별도의 면허를 취득해야 하며, 면허 발급( 컴플라이언스), 자본 요건, 소비자 보호, 사이버 보안 및 기타 규정과 관련하여 DFS가 정한 규칙을 준수해야 합니다.
의심스러운 활동 신고
전통적인 금융 기관의 경우와 마찬가지로, 가상자산 사업체 역시 불법 활동과 명시적으로 연관되어 있거나 FATF 권고 사항을 위반하는 것은 아니지만, 그러한 활동을 시사하거나 그 밖의 이유로 의심스러운 거래에 대한 기록을 보관하고, 때로는 관련 보고서를 제출해야 합니다. 그 예로는 다음과 같은 것들이 있습니다:
- 지급 구조 조정. 때로는 ‘스머핑(smurfing)’이라고도 불리는 지급 구조 조정이란, 보고 요건이 적용되는 금액보다 약간 낮은 금액으로 여러 건의 거래를 수행하는 것을 의미합니다. 예를 들어, 미국 사용자가 다른 서비스의 특정 주소로 3,000달러 미만의 가상자산 를 여러 차례 송금하는 경우, 이는 트래블 룰을 회피하려는 시도로 간주될 수 있으므로 해당 업체는 이를 보고해야 할 수 있습니다.
- 거래량 증가. “거래량 증가”란 사용자가 거래 활동을 갑작스럽고 급격하게 늘리는 경우를 말합니다. 예를 들어, 주당 1회 거래하던 사용자가 주당 20회 거래로 급격히 늘어난 경우, 이에 대한 추가 조사가 필요할 수 있습니다.
- 흔히 거래하는 상대방. 다수의 사용자가, 특히 대량의 자금을 거래하는 알 수 없는 주소가 있다면 이를 유념해야 합니다. 예를 들어, 어떤 업체가 지난 한 달 동안 20명의 사용자가 알려진 어떤 서비스와도 관련이 없는 주소로 자금을 송금하기 시작한 사실을 발견했다면, 향후 더 의심스러운 활동이 발생할 경우를 대비해 향후 조사 및 분석을 위해 이를 기록해 두는 것이 좋습니다.
- 비정상적인 활동. 비정상적인 활동이란 사용자의 거래 행태에서 평소와 달리 갑작스럽게 나타나는 변화, 특히 거래량이 크게 증가하는 경우를 말합니다. 예를 들어, 특정 기업이 거래소를 운영하고 있는데, 주당 약 100달러 상당의 가상자산 를 거래해 오던 사용자가 갑자기 일주일 동안 10,000달러 상당의 거래를 진행한다면, 해당 기업은 이를 의심스러운 활동으로 기록하고 필요에 따라 신고해야 합니다.
의심스러운 활동에 대응하기 위한 위험 기반 접근 방식 채택
거래소는 의심스러운 활동을 탐지하기 위한 모든 가능한 시나리오(회색 지대 및 예기치 못한 상황을 평가하기 위한 업무 절차 포함)를 다루는 계획을 수립하고, 이를 컴플라이언스 팀을 위한 명확하게 문서화된 정책 및 절차로 반영해야 합니다.
모든 거래소에 적용될 수 있는 일률적인 ‘ 컴플라이언스 ’ 정책은 없습니다. 다음은 위험을 효과적으로 평가하기 위해 고려해야 할 몇 가지 사항입니다.
위험 감수 능력을 파악하고 위험 수준에 맞춰 대응 방안을 마련한다
조직의 위험 수용 수준을 평가하는 것은 좋은 출발점이며, 이를 바탕으로 거래소는 각 의심스러운 활동 유형이 초래하는 위험의 정도에 따라 적절한 대응 조치를 검토할 수 있습니다. 의심스럽거나 불법적인 거래가 초래하는 위험의 정도는 주로 거래 금액과 위험성이 높은 거래 상대방의 심각성에 따라 달라집니다.
체이널리시스 컴플라이언스 Solutions는 서비스 제공업체가 전체 비즈니스 플랫폼의 가상자산 거래 모니터링 현황을 한눈에 파악할 수 있도록 대시보드 기능을 제공합니다. 이 기능은 알림, 사용자, 노출 현황, 이체량 등에 대한 포괄적인 가시성을 제공합니다.
단계적 대응 방안 시행
사용자가 잠재적으로 위험한 거래를 수행할 경우, 대부분의 거래소는 발생된 위험의 수준과 사용자가 이전에 보인 위험한 활동 내역에 따라 다음 중 하나 또는 여러 가지 방식으로 대응합니다:
- 조치를 취할지 여부를 결정하기 전에 거래 내역에 대한 설명을 듣기 위해 고객에게 직접 연락하기
- 사용자의 자금 동결
- (해당 기업이 실제로 단계별 KYC 정보 수집 시스템을 사용하고 있는 경우) 사용자가 다음 KYC 단계로 넘어가게 될 대규모 거래를 하지 못하도록 제한하는 것
- 플랫폼에서 해당 사용자를 차단하기
다시 말해, 모든 거래소에 적용할 수 있는 단일한 정책은 존재하지 않으므로, 해당 활동의 위험도에 따라 기업이 어떤 대응 방안을 채택할지 사전에 결정하는 것이 중요합니다.
자동 모니터링 및 보고
사용자의 활동이 의심스럽다고 판단되어 기업이 위의 조치 중 하나를 취해야 하는 경우, 해당 기업은 FinCEN 또는 관련 관할권의 이에 상응하는 기관에 의심 거래 보고서 (SAR)를 제출해야 할 가능성이 높습니다. 이러한 상황에서는 SAR 제출이 의무화되어 있으며, 의심스러운 활동이 발생한 날로부터 30일 이내에 해당 기관에 제출해야 합니다. 즉, 기업이 성장함에 따라 의심스러운 활동을 지속적으로 파악하고 SAR을 적시에 제출하기 위해서는 자동화된 거래 모니터링 시스템이 필요해질 수 있습니다. 전통적인 금융 기관과 마찬가지로, 상당한 거래량을 처리하고 효과적인 자금 세탁 방지( 컴플라이언스 ) 정책을 시행하고 있는 대부분의 가상자산 기업들은 대개 다수의 SAR을 제출합니다.
가상자산 사업자로서 SAR을 제출하는 방법에 대한 당사의 웨비나를 확인해 보세요.
정기 보안 감사
무단 접근이나 사기에 악용될 수 있는 취약점을 파악하기 위해서는 빈번한 보안 감사가 필수적입니다. 시스템, 프로토콜 및 거래 내역을 정기적으로 검토함으로써 거래소는 잠재적인 위협에 선제적으로 대응할 수 있으며, 규제 기준을 준수 컴플라이언스 하고 사용자의 신뢰를 높일 수 있습니다.
보안 소양 및 교육
직원들에게 지속적인 보안 교육을 제공하면, 직원들이 잠재적 위협을 식별하고 이에 대응할 수 있는 역량을 갖추게 됨으로써 의심스러운 활동에 대한 첫 번째 방어선을 강화할 수 있습니다. 이러한 역량은 IT 담당자뿐만 아니라 모든 팀 구성원에게까지 확대되어, 민감한 데이터를 처리하고 사용자 정보를 보호하는 데 있어 모범 사례를 따를 수 있도록 돕습니다.
정확한 문서 및 기록 관리
정확한 문서화는 의심스러운 활동을 추적하고 ‘ 컴플라이언스 ’ 기준을 충족하는 데 매우 중요하며, 특히 온라인과 오프라인 양쪽에 사본이 보관되어 있을 때 더욱 그렇습니다. 철저한 기록 관리 시스템을 구축함으로써, CEX는 시스템 장애나 데이터 손상 상황이 발생하더라도 감사 및 조사 를 위해 과거 데이터에 안정적으로 접근할 수 있습니다.
IP 차단 기능 구현
IP 차단 조치의 시행은 효과적인 ‘ 컴플라이언스 ’ 프로그램의 핵심 요소로 자리 잡았으며, 특히 제재 위험을 완화하는 데 있어 그 중요성이 커졌습니다. 최근 몇 년간 OFAC이 취한 여러 집행 조치에서 IP 차단 프로그램의 미비점이 지적된 바 있으므로, 기업이 금지된 관할 구역에 있는 사용자들이 자사 플랫폼에 접속하지 못하도록 차단하고 있는지 확인하는 것이 중요합니다.
탄탄한 교환 프로그램 컴플라이언스
포괄적인 ‘ 컴플라이언스 ’ 프로그램을 구축하고 유지 관리하려면 기술 및 인력에 대한 지속적인 투자가 필요합니다. 주요 구성 요소는 다음과 같습니다:
- 정기 교육: 컴플라이언스 팀이 최신 규정 및 모범 사례를 지속적으로 숙지할 수 있도록 지원합니다. 당사는 가상자산 기업들이 최신 가상자산 컴플라이언스 기술을 선도할 수 있도록 설계된 위험 및 규정 관련 교육을 제공합니다.
- 지속적인 정책 업데이트: 변화하는 규제와 새롭게 대두되는 위험에 대응하기 위해 ‘ 컴플라이언스 ’ 절차를 정기적으로 검토하고 업데이트합니다. ‘ 가상자산 ’ 정책 전문가로 구성된 저희 팀은 규제 당국, 정책 입안자 및 컴플라이언스 전문가들이 전 세계 디지털 자산 동향을 정확히 파악할 수 있도록 정기적으로 최신 정보를 공유하고 있습니다.
- 문서화: 컴플라이언스 의 모든 활동, 결정 사항 및 그 근거에 대한 상세한 기록을 유지 관리한다.
- 적시 보고: 의심스러운 활동이 감지될 경우, 규정된 기한 내에 해당 규제 기관에 의심거래보고서(SAR)를 제출하는 것.
가상자산 를 이용하는 기업을 위한 보안
안전하고 지속 가능한 가상자산 비즈니스를 구축하는 데 있어 보안은 컴플라이언스 만큼이나 중요합니다. 디지털 자산 플랫폼이 제대로 보호되지 않을 경우, 사이버 공격 및 기타 위협에 극도로 취약해질 수 있습니다. 그러나 해커에 의해 악용될 수 있는 주요 공격 경로를 고려한 플랫폼은 훨씬 더 안전할 가능성이 높습니다. 이러한 공격 경로는 다음과 같습니다:
- 개인 키
- 입금 주소
- API 키
아래에서 이 세 가지 모두를 더 자세히 살펴보겠습니다.
개인 키
해커나 기타 악의적인 행위자(내부자 위협 등)는 블록체인에 저장된 자금을 관리하는 피해자의 지갑에 접근하기 위해 피해자의 개인 키를 탈취하려 할 수 있습니다. 이를 통해 공격자는 피해자의 지갑에 있는 자금을 어디로든 이체할 수 있게 됩니다.
과거에 개인 키가 유출된 사례로는 다음과 같은 것들이 있습니다:
- 서버에 개인 키를 탈취하는 악성코드를 유포하는 것
- 하드웨어 보안 모듈(HSM) 인증 토큰을 탈취하고, HSM이 인출 거래에 서명하도록 강제하기
- 권한을 부여받은 내부 직원이 개인 키를 훔친다
오늘날 디지털 자산 분야의 기관들은 다자간 연산 (MPC)을 활용해 개인 키를 보호하고 있습니다. MPC는 개인 키 보안 분야에서 강력한 차세대 기술로, 키를 하드웨어(예: 칩 수준의 하드웨어 격리 엔클레이브인 인텔 SGX)에 저장하고 여러 클라우드 제공업체에 분산하여 보관할 경우 그 효과가 더욱 커집니다.
MPC는 최고 수준의 보안을 유지하면서도 디지털 자산에 즉시 접근할 수 있게 해주기 때문에 강력한 지갑 솔루션입니다. MPC의 핵심 기능은 개인 키가 유일한 취약점이 되는 상황을 제거합니다. 동시에, MPC의 분산된 특성 덕분에 팀 구성원들은 거래 시 여러 명의 승인자를 지정할 수 있으며, 서로 다른 장소에 있어도 거래에 서명할 수 있습니다.
입금 주소
입금 주소는 지갑의 공개 주소를 나타내는 긴 영숫자 식별자입니다. 상대방에게 자금을 이체하려면 양측이 서로의 입금 주소를 교환해야 합니다. 해커들은 다양한 방법으로 입금 주소를 노립니다:
- 웹 브라우저를 장악하는 악성 크롬 웹 확장 프로그램 설치 (브라우저 내 중간자 공격)
- 웹 브라우저와 지갑 앱 간에 내용을 복사하여 붙여넣을 때 주소를 위조하는 것
- 메시징 서비스(예: 텔레그램)에서 거래 상대방 간에 송금 중인 입금 주소를 가로채고 수정하는 것
- 거래소 웹사이트의 코드를 악용하여 발신 주소를 위장하는 방법
- 지갑 인터페이스, 드라이버 또는 상대방의 기기를 탈취하는 악성코드
입금 주소 유출로 인한 위협을 완화하기 위해 다양한 방법이 활용되어 왔으며, 그중 가장 일반적인 방법으로는 테스트 송금, 화이트리스트 등록, 하드웨어 지갑 등이 있습니다.
API 키
거래소와 유동성 공급업체는 종종 사용자가 API 키를 통해 플랫폼에 자동으로 접속하도록 합니다. 이러한 인증 정보는 키로깅이나 피싱과 같은 전통적인 형태의 악성 코드에 취약합니다. 또한, 서버나 코드 저장소가 해킹당할 경우 거래 소프트웨어에 저장된 API 키가 도난당할 수도 있습니다.
일반적으로 해커가 API 키를 입수하면 다음과 같은 행위를 할 수 있습니다:
- 거래소에서 무단으로 자금을 인출한다.
- 해킹당한 계정에 미리 입금된 자산을 이용해 시장을 조작한다.
오늘날 기관들은 칩 수준의 하드웨어 격리를 포함하여 다양한 방법을 통해 API 인프라를 보호하고 있습니다. 칩 수준의 하드웨어 엔클레이브가 지닌 고유한 보안 특성은 기밀성과 실행 무결성을 보장합니다. 이를 통해 해커나 솔루션 제공업체가 키에 접근하거나 자금이 이체되는 입금 주소의 진위성을 위조하는 것을 방지할 수 있습니다.
API 키는 하드웨어에 안전하게 보관하는 것 외에도, 이를 MPC 쉐어로 분할하여 개인 키와 유사하게 취급하는 것이 가장 좋습니다. API 보안 분야의 최근 발전 사항으로는 HMAC-MPC 알고리즘이 있는데, 이는 API 키의 비밀 인증 정보에 MPC를 적용하여 고객이 분산된 API 키를 통해 거래소에 접근할 수 있게 하고, 단일 취약 지점을 제거합니다.
사전 조치를 취하지 않을 경우, 개인 키, 입금 주소, API 키는 해커의 사이버 공격은 물론 내부 보안 침해에 이르기까지 심각한 보안 문제를 초래할 수 있습니다. 하지만 다층 방어 방식을 통해 이 세 가지를 모두 안전하게 보호하고, 여러 계층의 소프트웨어 및 하드웨어 보안을 통해 모든 공격 경로를 차단할 수 있습니다.
가상자산 의 보안 및 거래소의 미래 컴플라이언스
가상자산 전 세계적으로 계속해서 주목을 받고 있으며, 주류 투자 자산이자 교환 수단으로 자리 잡을 것으로 보입니다. 그러나 이러한 비전을 실현하기 위해서는 법정화폐를 규제하는 것과 마찬가지로, 엄격한 ‘알아보고 확인하라( 컴플라이언스 )’ 기준과 더불어 강력한 소비자 보호 조치를 시행하기 위한 업계 전반의 노력이 필요합니다. 이 가이드에 제시된 단계를 따름으로써 거래소는 기존 사용자의 보안을 강화하고, 시장 내 신뢰 구축과 더 광범위한 채택을 촉진하는 데 필수적인 강력한 ‘알아보고 확인하라( 컴플라이언스 )’ 체계를 확립하는 데 도움이 될 것입니다.
체이널리시스 복잡한 규제 환경을 헤쳐나갈 수 있도록 거래소를 지원하는 ‘컴플라이언스 ’ 솔루션 및 서비스 제품군을 제공합니다. 당사가 귀사의 ‘ 컴플라이언스 ’ 노력을 어떻게 지원할 수 있는지 자세히 알아보시려면 데모를 신청해 주십시오.
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 컴플라이언스 에 대한 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 결정이나 기타 행위 또는 부작위에 대해 어떠한 책임이나 의무도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
