바이낸스, 보안 경고에 SignalPlus API 키 전면 폐기

바이낸스, SignalPlus 키 전면 회수

바이낸스가 서드파티 트레이딩 인프라 제공사 SignalPlus 측에서 잠재적 보안 취약점이 보고되자, 해당 업체와 연결된 API 키를 전부 폐기했다. 2025년 11월 5일 목요일 X에 게시한 공식 입장문에서 바이낸스는 이번 조치를 이용자 보호를 위한 즉각적인 예방 조치로 규정하면서, 자사 시스템은 영향을 받지 않았고 고객 자금은 안전하다고 밝혔다.

@binance · X 게시물

X에 게시한 공식 입장문.

X에서 보기

공지에는 영향을 받는 고객이 해야 할 일이 구체적으로 담겨 있다. SignalPlus를 사용한 적이 있는 이용자는 바이낸스 계정에 직접 로그인해 미체결 포지션과 미체결 주문을 확인하고, SignalPlus가 완전한 해결을 확인할 때까지 API 키를 다시 연결하지 말아야 한다. 바이낸스는 IP 화이트리스트 설정도 권고했다. 이 설정을 켜면 키가 사전 승인된 주소에서만 작동해 자격 증명이 유출되더라도 피해 범위를 줄일 수 있다. 성명은 개인 이용자를 넘어, 거래소와 연동된 서드파티 플랫폼에도 보안 통제 점검, 비정상 활동 감시, 이상 징후 발견 시 지체 없는 보고를 요청했다.

아직 공개되지 않은 부분도 많다. 보안 문제의 정확한 성격은 설명되지 않았고, 영향을 받은 이용자 수는 알려지지 않았으며, 공격자가 고객 계정에 접근했는지 여부나 금전적 손실 발생도 확인된 바 없다. 바이낸스의 표현은 사례를 '잠재적 노출'로 다룰 뿐, 검증된 침해로 단정하지 않는다. 회사의 상시 보안 지침은 잠재적으로 오염된 자격 증명을 즉시 폐기하고 API 권한을 필요한 최소 기능으로 제한하라고 안내하는데, 이번 목요일 조치는 그 매뉴얼을 그대로 따른 것이다. SignalPlus 이용자가 자동화 기능을 되찾으려면 연동이 안전하다고 판정된 뒤 새 자격 증명을 발급받아야 한다.

SignalPlus와 API 권한 구조

SignalPlus는 암호화폐 파생상품 시장을 위한 트레이딩 인프라와 분석 도구를 공급하는 업체로, API 연동을 통해 트레이더가 여러 거래소의 포지션과 전략을 하나의 인터페이스에서 관리할 수 있게 해준다. 플랫폼은 옵션 분석, 리스크 관리, 자동 체결을 아우르며, 이 때문에 이용자층이 활발한 선물·계약 거래 데스크와 크게 겹친다. 이러한 연결은 고객이 자산을 플랫폼 밖으로 옮기지 않고도 외부 애플리케이션이 거래소 계정에 작업을 실행할 수 있게 만든다.

그 편의는 권한 설정에 달려 있다. API 키는 계정 데이터 조회, 다양한 주문 유형의 체결, 포지션 관리 등으로 범위가 나뉜다. 사용자가 무엇을 허용했는지에 따라 유출되거나 오용된 키는 계정을 승인되지 않은 거래 활동에 노출시킬 수 있다. 구분이 중요한 지점이다. 궁극적으로 자금 자체를 통제하는 프라이빗 키와 달리, API 키는 제한적이고 회수 가능한 접근 권한을 부여하지만, 그 범위 안에서는 소유자의 동의 없이 포지션을 바꿀 수 있다.

따라서 이번 폐기는 SignalPlus 이용자에게 양날의 검이다. 바이낸스 측에서는 연동 경로를 통한 무단 접근 위험이 줄어들지만, 해당 연결에 의존하던 모든 자동화 전략, AI 트레이딩 봇 구성과 체계적인 옵션 헤징까지, 더는 계정을 관리하지 않는다. 포지션은 거래소에 그대로 남아 있으나 서드파티 애플리케이션의 로직에는 반응하지 않으므로, 트레이더가 수동으로 개입하기 전까지 헤지된 계좌는 의도한 상태에서 벗어날 수 있다. 서드파티 도구의 API 관련 사고는 처음도 아니다. 2022년에는 트레이딩 플랫폼 3Commas와 연관된 자격 증명 유출로 보안 경고와 함께 여러 거래소에서 키 폐기 물결이 일었다.

확인된 침해가 아닌 예방 조치

이 사안의 1차 기록은 바이낸스 자신의 공지이고, 그 문구는 신중하다. 거래소는 확인된 침해, 확인된 손실, 확인된 계정 접근을 주장하지 않는다. SignalPlus가 보고한 잠재적 문제만 언급한다. 이번 조치를 입증된 공격으로 읽는 것은 문서가 말하는 범위를 넘어선 해석이다. 실질적 교훈은 포렌식보다 운영에 가깝다. 이 구조에서 자금은 직접적인 위탁 위험에 놓인 적이 없지만, 활성화된 자동화 전략은 중단에 직면했고 중단 기간은 SignalPlus가 기술적 조사 결과를 언제, 그리고 게시할지 여부에 전적으로 달렸다. 플랫폼을 통해 파생상품 포지션을 운용 중인 트레이더는 연동이 승인될 때까지 수동 점검을 기본으로 삼아야 하고, 키를 다시 연결하는 이용자는 재연결 전에 IP 화이트리스트를 켜야 한다.