가상자산 매매 대금 30%가 API⋯5대 원화거래소 모두 제공
전문가 “다중 인증·접근 권한 통제·이상행위 탐지 필요”
외부 프로그램으로 시세를 확인하고 자동 주문을 내는 데 활용하는 응용프로그램 인터페이스(API)의 보안 관리가 과제로 떠올랐다. 가상자산 시장에서는 거래가 밤낮없이 거래가 이어져 API 활용도가 높은 만큼 인증정보와 접근 권한을 철저히 관리해야 한다는 지적이다.
29일 금융투자 및 가상자산 업계에 따르면 최근 금융권 연쇄 침해사고에서 일부 금융회사의 API 취약점이 공격 경로 중 하나로 지목되면서 가상자산 거래소의 API 보안 관리에도 관심이 쏠리고 있다.
가상자산 시장에서 API는 주요 거래 수단이다. 금융감독원이 올해 4월 공개한 자료에 따르면 API 거래는 가상자산 매매 거래대금의 30%대를 차지한다. 사람이 거래소 앱이나 홈페이지에서 직접 주문하는 대신 프로그램이 매매를 수행하는 거래가 상당한 비중을 차지하는 셈이다.
API 활용이 활발한 배경으로는 밤낮없이 거래가 이어지는 시장 특성이 꼽힌다. 투자자가 여러 종목의 가격과 거래량을 24시간 지켜보기 어려운 만큼 프로그램이 시세를 확인하고 미리 설정한 조건에 따라 매매하는 방식이 활용된다. 시세가 급변할 때 빠르게 대응하거나 여러 종목을 동시에 거래하기 위해서도 API가 활용되며, 거래소 간 극소한 가격 차이를 비교하는 전략에도 쓰인다.
국내 5대 원화거래소인 업비트·빗썸·코인원·디지털엑스·고팍스는 모두 주문 기능을 포함한 오픈 API를 제공하고 있다. API 이용자를 유치하기 위한 혜택과 이벤트를 내놓기도 한다. 거래 수수료가 주요 수입원인 만큼 API 거래 활성화가 이용자 확보와 거래 확대에 도움이 되기 때문이다.
거래소들이 API 거래를 장려하는 만큼 보안 관리에도 주의를 기울여야 한다는 지적이 나온다. API 인증·권한 검증이 부실하면 접근해서는 안 되는 정보나 기능이 노출될 수 있다. 접속 자격을 확인하는 API 키가 유출되면 정보 조회나 무단 주문에 악용될 위험도 따른다.
가상자산 거래소에서 API의 거래 기능을 악용한 실제 사례도 있다. 금융위원회가 지난달 조치한 API 활용 초단기 시세조종 3건에는 타인 명의 계정을 동원해 거래소의 주문 횟수 제한을 피한 사례가 포함됐다. 혐의자는 소액 매매를 빠르게 반복해 거래가 활발한 것처럼 꾸민 것으로 조사됐다.
전문가는 API 인증과 접근 권한 관리를 강화해야 한다고 강조했다. 황석진 동국대 국제정보보호대학원 교수는 "API를 통해 접속하더라도 다중 인증으로 신원을 추가 확인하고, 필요한 범위에서만 접근 권한을 부여해야 한다"라며 "모든 보안을 제로트러스트(Zero Trust) 관점에서 접근해야 한다"라고 말했다.
제로트러스트는 내부망에서 접속하거나 정상 계정으로 인증을 받았다는 이유만으로 신뢰하지 않고, 정보나 기능에 접근할 때 신원과 권한을 확인하는 보안 방식이다. 필요한 권한만 부여하고 접속 이후에도 평소와 다른 활동이 발생하는지 살피는 것이 핵심이다.
황 교수는 "또한, API를 통한 과도한 조회 등 비정상적인 활동을 감시하고, 이상 징후를 발견하면 경고를 띄우거나 차단하는 조치가 필요하다"라며 "다중 인증과 접근 권한 통제, 이상행위 탐지를 함께 적용하면 침해사고를 예방하는 데 도움이 될 수 있다"라고 밝혔다.
