모든 크립토 계정을 위한 2FA 모범 사례
2FA의 세 가지 종류와 선택 기준 — TOTP 앱, 하드웨어 보안 키, SMS 2FA가 크립토에 위험한 이유. Recovery code 모범 사례도 포함.
이중 인증(2FA)은 비밀번호 외에 두 번째 요소 — 앱에서 생성된 코드, 하드웨어 키를 탭하기, 또는 (가장 안전성이 낮은) SMS — 를 요구하여 크립토 계정을 보호합니다. 침해가 돌이킬 수 없는 크립토에서 2FA는 선택 사항이 아닙니다. 세 가지 종류는 SMS, TOTP 앱, 하드웨어 보안 키이며, 올바른 선택은 계정이 무엇을 보호하느냐에 달려 있습니다.
온라인에서 하는 그 어떤 일보다 크립토에서 2FA가 더 중요한 이유
비밀번호만으로는 자주 뚫립니다. 자격 증명 유출, 여러 사이트에서의 비밀번호 재사용, 실제 로그인 화면과 동일하게 보이는 피싱 페이지 — 이 중 어느 하나라도 공격자에게 비밀번호를 넘기게 됩니다. 대부분의 온라인 계정은 그래도 복구가 가능합니다. 크립토는 그렇지 않습니다.
자금이 온체인으로 이동하면 그것으로 끝입니다. 차지백도, 사기 대응 부서도, "거래 되돌리기" 버튼도 없습니다. 거래소나 마이닝 플랫폼에 단 한 번의 로그인 성공만으로 잔액이 몇 분 안에 증발할 수 있습니다 — 출금 주소가 교체되고, API 키가 생성되며, 로그인 경고를 보기도 전에 잔액이 빠져나갑니다.
이 되돌릴 수 없음이 바로 여러분 크립토 스택의 모든 계정에 2FA를 타협 불가능한 요건으로 만드는 이유입니다: 거래소, NoxHash 같은 클라우드 마이닝 플랫폼, 온라인 구성요소가 있는 지갑, 그리고 — 가장 중요하게도 — 이 모든 것의 상류에 있는 이메일 계정입니다. 두 번째 요소는 훔친 비밀번호 하나만으로는 거의 쓸모없게 만듭니다. 공격자는 여러분이 물리적으로 가지고 있는 무언가도 필요로 하며, 그것은 원격으로 훔치기가 훨씬 더 어렵습니다.
2FA의 세 가지 종류 — 실제로 무엇인지
모든 2FA 구현은 세 가지 범주 중 하나에 속합니다. 동등하지 않습니다. 최악과 최선의 차이는 "공격자를 지연시킬 수 있다"와 "설계상 피싱에 저항한다"의 차이입니다.
1. SMS 코드
문자 메시지로 전송되는 코드입니다. 공격자가 통신사를 설득해 번호를 자신의 SIM으로 옮기는 SIM 스왑 공격에 뚫립니다. 여전히 SMS 전용 2FA만 제공하는 크립토 서비스는 경고 신호입니다.
2. TOTP (인증 앱)
휴대폰에서 오프라인으로 생성되고 30초마다 갱신되는 6자리 코드입니다. 가짜 사이트가 실시간으로 코드를 요구하면 피싱에 당할 수 있지만, SIM 스왑에는 면역입니다. NoxHash를 포함한 대부분의 크립토 플랫폼에서 표준입니다.
3. 하드웨어 보안 키
FIDO2/WebAuthn 프로토콜로 통신하는 물리 기기(YubiKey, SoloKey)입니다. 브라우저가 실제 도메인을 확인한 후에야 키가 서명하기 때문에 설계상 피싱에 저항합니다 — 완벽하게 만든 가짜 로그인 페이지도 속일 수 없습니다.
"여러분이 입력하는 코드"에서 "암호학적으로 서명하는 기기"로의 전환이 진짜 보안 도약입니다. TOTP는 SMS보다 훨씬 낫고, 하드웨어 키는 TOTP보다 훨씬 낫습니다 — 하지만 한 단계 올라갈 때마다 설정 비용과 사용 마찰이 더해집니다. 목표는 모든 것에 하나의 종류를 선택하는 것이 아니라, 계정의 가치에 맞는 종류를 고르는 것입니다.
SMS vs TOTP vs 하드웨어 키 — 나란히 비교
실제로 보안 결과를 결정하는 속성에서 세 종류가 어떻게 비교되는지 살펴보겠습니다. 각 행의 "승리" 열을 강조 표시했습니다.
| 속성 | SMS | TOTP 앱 | 하드웨어 키 |
|---|---|---|---|
| SIM 스왑 저항성 | 아니오 | 예 | 예 |
| 피싱 저항성 | 아니오 | 부분적 | 예 (설계상) |
| 오프라인 작동 | 아니오 (신호 필요) | 예 | 예 |
| 설정 복잡도 | 매우 낮음 | 낮음 (QR 스캔) | 중간 (사이트별 등록) |
| 비용 | 무료 | 무료 | 키당 약 $30–60 |
| 플랫폼 지원 (크립토) | 축소 중; 일부 거래소 폐지 중 | 거의 보편적 | 주요 거래소만; 먼저 확인 |
| 기기 분실 복구 | 통신사 SIM 재발급 (느림) | Recovery code 또는 앱 백업 | 백업 키 + recovery code |
실용적인 결론: 지원하는 모든 크립토 계정에서 TOTP를 기본값으로 사용하십시오. 가장 큰 잔액을 가진 계정 — 이메일과 가장 큰 거래소 — 에 대해서는 TOTP 위에 또는 대신에 하드웨어 키를 추가하십시오. SMS는 완전히 피하고, 서비스가 SMS 2FA만 제공한다면 그 위에 아주 적은 가치만 두라는 신호로 받아들이십시오.
TOTP 앱 선택하기
TOTP가 대부분의 2FA를 담당하게 되므로 선택하는 앱이 중요합니다. 모두 동일한 6자리 코드를 생성하지만, 백업 처리 방식, 기기 간 이전, 그리고 휴대폰을 호수에 떨어뜨렸을 때 어떤 일이 일어나는지에서 차이가 납니다.
Google Authenticator
가장 널리 사용되는 선택지입니다. 최근 버전은 Google 계정 클라우드 동기화를 추가했지만, 이전 설치 버전은 기기에만 비밀을 저장합니다 — 휴대폰을 잃어버리면 recovery code가 없는 한 모두 잃습니다. 단순하고 익숙하며 초보자에게 적합합니다.
Authy
다중 기기 동기화를 지원하는 클라우드 백업 방식입니다. 휴대폰을 자주 교체한다면 편리하지만, 백업 자체가 공격면이 됩니다 — 누군가 Authy 계정을 침해하면 모든 TOTP 시드를 얻습니다. 매우 강력한 백업 비밀번호를 사용하십시오.
Aegis Authenticator (Android)
오픈소스이며 사용자가 제어하는 암호화된 로컬 백업을 제공합니다. 암호화된 vault 파일을 내보내 원하는 곳에 저장할 수 있습니다. 클라우드 제공자에게 시드를 맡기지 않고 TOTP를 원하는 Android 사용자에게 강력한 선택입니다.
2FAS (iOS 및 Android)
오픈소스이며 크로스플랫폼을 지원하고, 선택적으로 iCloud/Google Drive 암호화 백업과 브라우저 확장 프로그램을 제공합니다. 실용적인 중간 지점 — Authy보다 클라우드 의존도가 낮고, Aegis보다 이식성이 좋습니다.
권장 사항: 처음부터 시작하고 앱을 설정하는 데 부담이 없다면, 본인이 제어하는 암호화된 로컬 또는 클라우드 백업과 함께 Aegis(Android) 또는 2FAS(iOS)를 사용하십시오. 마찰을 최소화하고 싶다면 Google 계정 동기화를 사용하는 Google Authenticator도 괜찮습니다 — 다만 이제 TOTP 코드의 안전성이 Google 비밀번호에 묶여 있다는 점을 인지하십시오. 어떤 앱을 선택하든 recovery code가 여전히 진짜 안전망입니다.
Recovery code — 기기 분실 시의 안전망
2FA를 제공하는 모든 정상적인 서비스는 설정 시에 recovery code도 함께 제공합니다. 이는 휴대폰이나 키에 대한 접근을 잃었을 때 2FA 코드 대신 입력할 수 있는 일회용 문자열입니다. "휴대폰이 고장났다"와 "계정 접근 권한을 영구히 잃었다" 사이에서 유일하게 서 있는 것입니다.
Recovery code는 지갑의 seed phrase와 같은 주의를 기울여 다루십시오 — 노출의 결과가 비슷하기 때문입니다. 여러분의 recovery code와 비밀번호를 가진 사람은 2FA를 완전히 우회할 수 있습니다.
표시되는 순간 바로 저장하십시오
대부분의 서비스는 recovery code를 정확히 한 번만 표시합니다. "저장했습니다"를 클릭하기 전에 — 후가 아니라 — 오프라인 위치로 복사하십시오. 휴대폰 카메라 롤의 스크린샷은 카메라 롤이 보통 클라우드로 동기화되기 때문에 나쁜 선택입니다.
인쇄하여 물리적으로 보관하십시오
방화 금고나 안전한 곳에 종이로 보관하십시오. 둘 다 크립토 자산을 보호하므로 recovery code를 하드웨어 지갑의 시드 백업과 함께 보관하는 사람도 있습니다. 화재나 수해에 대비해 한 곳보다는 두 곳이 낫습니다.
비밀번호 옆에 두지 마십시오
2FA의 핵심은 하나의 침해만으로는 충분하지 않아야 한다는 것입니다. Recovery code를 비밀번호와 같은 vault, 같은 클라우드 폴더, 또는 같은 메모 앱에 보관하면 보안이 단일 요소로 다시 붕괴됩니다.
대부분 사용했으면 새로 발급하십시오
예를 들어 NoxHash는 계정당 8개의 recovery code를 발급하며, 각각 한 번만 사용 가능합니다. 5~6개를 사용했다면 계정 설정에서 새 세트를 생성하십시오. 이미 사용한 코드를 절대 재사용하지 말고, 이전 세트가 한 번이라도 노출된 것으로 의심된다면 무효화하십시오.
실제 계정에서 2FA 플레이북을 실행에 옮기십시오
NoxHash는 TOTP 앱(Google Authenticator, Authy, Aegis, 2FAS)을 지원하고 설정 시 8개의 일회용 recovery code를 발급합니다 — 이 기사가 권장하는 바로 그 패턴입니다. 잔액이 커지기 전 첫째 날부터 활성화하십시오.
최고 가치 계정을 위한 하드웨어 보안 키
일반 계정에는 TOTP로 충분합니다. 침해가 실제 돈으로 이어질 수 있는 계정 — 기본 이메일, 상당한 잔액이 있는 주요 거래소, Google 또는 Apple ID, 대형 클라우드 마이닝 스택 — 에는 하드웨어 보안 키 추가를 고려하십시오.
YubiKey 또는 SoloKey는 약 $30–60에 한 번 구입해 수년간 사용 가능하며, FIDO2/WebAuthn을 지원하는 모든 사이트에서 작동합니다. 핵심 속성은 피싱 저항성입니다: 브라우저가 키가 등록된 실제 도메인을 가리킬 때만 키가 로그인 요청에 서명합니다. 유사한 도메인의 완벽해 보이는 피싱 사이트는 그냥 실패합니다 — 키가 조용히 자동으로 거부합니다. TOTP는 사용자가 코드를 요청한 어떤 페이지에도 입력하기 때문에 이렇게 할 수 없습니다.
구매 전 몇 가지 실용적인 참고 사항:
- 두 개를 구입하십시오. 하나는 주 키, 하나는 별도의 물리적 위치의 백업입니다. 유일한 키를 잃고 recovery code도 잃으면 잠겨 나갑니다.
- 모든 사이트에 둘 다 등록하십시오. 주 키를 잃을 때까지 기다리지 마십시오. 백업은 이미 등록되어 있을 때만 도움이 됩니다.
- 의존하기 전에 크립토 플랫폼 지원을 확인하십시오. 거래소의 하드웨어 키 지원은 개선되고 있지만 일관적이지 않습니다. 큰 이름 중 일부는 지원하고 일부는 하지 않습니다. 가정하기 전에 플랫폼의 도움말 센터에서 "security key" 또는 "WebAuthn"을 검색하십시오.
- 이메일을 먼저 보호하십시오. 여러분의 이메일은 다른 모든 계정의 모든 비밀번호 재설정의 상류에 있습니다. 이메일의 하드웨어 키는 아마도 단일 거래소의 키보다 더 가치 있을 것입니다.
조용히 모든 것을 깨뜨리는 흔한 2FA 실수
2FA와 비밀번호 재설정 이메일에 같은 휴대폰
유일한 이메일 앱이 인증 앱과 같은 기기에 있다면, 도난당하거나 침해된 휴대폰 하나가 모든 것을 무너뜨립니다 — 비밀번호 재설정 흐름이 그 이메일로 돌아가고, 2FA 코드도 바로 거기에 있기 때문입니다.
Recovery code를 비밀번호와 같은 vault에 보관
로그인과 대응하는 recovery code를 모두 보관하는 비밀번호 관리자는 사실상 단일 요소입니다. 코드를 오프라인으로, 비밀번호 자체와는 다른 신뢰 영역에 보관하십시오.
"혹시 모르니" SMS를 백업으로 남겨 두기
거래소가 TOTP 사용을 허용하면서도 SMS를 백업으로 활성화해 두면, 공격자는 SMS로 다운그레이드하고 여러분에게 SIM 스왑을 시도할 수 있습니다. 플랫폼이 허용하는 곳에서는 SMS 2FA를 비활성화하십시오 — 여러분의 보안은 활성화된 가장 약한 요소만큼만 강합니다.
이메일 계정 자체에 2FA를 건너뛰기
대부분의 크립토 사용자는 거래소는 꼼꼼히 보호하면서 이메일은 활짝 열어 둡니다. 모든 사이트의 모든 비밀번호 재설정은 이메일을 거쳐 흐릅니다. 이메일이 보호되지 않으면 하류의 어떤 것도 실제로 보호되지 않습니다 — 거기서부터 먼저 시작하십시오.
이러한 실수 각각은 같은 실패의 한 형태입니다: 여러 요소를 단일 침해 지점으로 축약하는 것. 모든 경우의 해결책은 물리적 또는 논리적 분리입니다 — 다른 기기, 다른 저장소, 다른 신뢰 영역 — 한 조각을 침해해도 다른 조각이 넘어가지 않도록 하는 것입니다.
자주 묻는 질문
크립토 계정에 SMS 2FA가 수용될 수 있는 경우가 있습니까?
일회용으로 간주하는 계정에서 절대적인 최후의 수단으로만 허용됩니다. SMS 2FA는 SIM 스왑 공격으로 뚫릴 수 있으며, 고가치 크립토 표적을 상대로 잘 기록되어 있습니다. 플랫폼이 SMS만 제공한다면 그곳에 최소한의 가치만 두거나 경쟁 서비스를 선택하십시오.
휴대폰을 잃어버리면 어떻게 됩니까?
Recovery code를 사용해 각 계정에 로그인한 뒤, 2FA를 비활성화하고 새 기기의 인증 앱으로 다시 활성화하십시오. 앱에 암호화된 클라우드 백업(Authy, 2FAS)이 있었다면, 모든 사이트를 수동으로 다시 등록하는 대신 새 휴대폰에서 전체 시드 목록을 복원할 수 있습니다.
Recovery code 없이 2FA를 새 휴대폰으로 옮길 수 있습니까?
이전 휴대폰이 아직 있다면 가능합니다. 이전 휴대폰을 초기화하기 전에 새 휴대폰에서 각 계정에 로그인하고, 2FA를 비활성화한 뒤 새 QR 코드를 스캔해 다시 활성화하십시오. 클라우드 백업이 있는 앱은 한 번에 전체를 이전할 수 있습니다. 이전 휴대폰도 코드도 없다면 잠겨 나갑니다.
하드웨어 키가 제 비밀번호를 대체합니까?
오늘날 대부분의 크립토 플랫폼에서는 아닙니다 — TOTP와 마찬가지로 비밀번호 위에 얹는 두 번째 요소입니다. 일부 서비스는 passkey(비밀번호 없는 로그인)를 지원하지만 크립토에서의 채택은 아직 드문드문합니다. 하드웨어 키를 더 강력한 두 번째 요소로 다루고, 비밀번호 대체물로 여기지 마십시오.
콜드 하드웨어 지갑에 2FA가 필요합니까?
하드웨어 지갑은 이미 자체적으로 두 번째 요소 역할을 합니다 — 물리 기기가 거래를 확인해야 합니다. PIN과 seed phrase가 지갑을 보호하는 것입니다. 온라인 계정 의미의 "2FA"는 적용되지 않습니다. 2FA 에너지를 온라인 로그인 폼이 있는 거래소, 지갑, 플랫폼에 집중하십시오.
모든 크립토 계정에 같은 TOTP 앱을 사용해야 합니까?
예 — 잘 구성된 앱 하나가 여러 개를 보호하는 것보다 쉽습니다. 앱 자체는 약한 고리가 아닙니다; 약한 고리는 기기 분실 또는 백업 침해입니다. 신뢰할 수 있는 TOTP 앱 하나를 선택해 암호화된 백업을 활성화하고, 사이트별로 recovery code를 오프라인에 보관하십시오.
2FA 설정 중에 QR 코드를 스크린샷으로 저장해도 안전합니까?
스크린샷을 오프라인으로, 암호화하여 보관하는 경우에만 안전합니다. QR 코드는 원시 TOTP 시드입니다 — 스캔하는 사람은 누구든 여러분 계정의 작동 가능한 인증 앱을 영원히 갖게 됩니다. 대부분의 카메라 롤은 클라우드로 동기화되므로 그 스크린샷은 사실상 다른 사람의 데이터 센터에 있는 것입니다. 대신 recovery code를 선호하십시오.
제대로 지원하는 플랫폼에 이 2FA 플레이북을 적용하십시오
NoxHash는 TOTP 2FA(SMS가 아님)를 사용하고 설정 시 8개의 recovery code를 제공합니다 — 이 가이드가 크립토 기본선으로 권장하는 "TOTP 더하기 오프라인 recovery code" 패턴 그대로입니다.
교육용 콘텐츠일 뿐 — 보안 또는 투자 조언이 아닙니다
이 기사는 일반적인 2FA 개념과 흔한 모범 사례를 설명합니다. 개인화된 보안 조언이 아닙니다. 위협 모델은 다릅니다; 한 사용자에게 충분한 설정이 다른 사용자에게는 불충분할 수 있습니다. 크립토 투자에는 시장, 규제, 기술적 위험이 따릅니다 — 2FA는 한 가지 위험 클래스(계정 침해)를 줄이지만 다른 위험을 없애지는 않습니다. 사용하는 각 플랫폼의 구체적인 보안 문서를 항상 확인하고, 잃어도 괜찮은 금액만 투자하십시오.