트레이딩 봇, 저널 또는 분석 도구를 계정에 연결하는 일은 대부분 권한을 정하는 결정입니다. 핵심 질문은 그 도구가 무엇을 읽을 수 있는지, 무엇을 할 수 있는지, 무엇을 옮길 수 있는지, 그리고 그 접근 권한을 얼마나 빨리 회수할 수 있는지입니다. 이 가이드는 최소 권한 API 키, 서명 지갑과 보관 지갑의 분리, 로그인 및 기기 보호, 서명 규율, 그리고 문서로 남긴 복구 계획을 차례대로 다룹니다. 이는 일반적인 관행을 설명한 것이며, 구체적인 제어 방식은 거래소마다 다르므로 기능을 신뢰하기 전에 각 거래소의 현재 문서를 확인하세요.
키가 아니라 작업부터 시작하세요
접근 권한은 대개 세 단계로 나뉩니다. 읽기는 잔고, 포지션, 거래 내역을 포함합니다. 거래는 주문 제출과 취소를 포함합니다. 자금 이동은 출금과 이체를 포함합니다. 키를 만들기 전에, 그 도구의 작업이 실제로 어느 단계를 필요로 하는지 적어 두세요.
트레이딩 저널이나 세금 내보내기는 보통 읽기 권한만 필요합니다. 테스트를 거친 규칙을 실행하는 봇은 거래 권한이 필요하며, 먼저 알고리즘 트레이딩 리서치 워크플로의 근거 단계를 통과해야 합니다. 자금을 이동해야 하는 정당한 도구는 거의 없습니다. 모의 실전 연습은 거래소 키가 전혀 필요 없으며, 이는 모의 거래와 실거래의 차이를 이해할 때까지 모의 단계에 머무를 이유 중 하나입니다.
SuperQuant는 리서치 도구입니다. 포함된 예시에는 합성 시간별 데이터를 사용하며 실제 주문을 넣지 않으므로, 그곳에서 규칙을 연구하는 데 거래소 계정의 거래 권한을 부여할 필요가 없고, 그 연구의 어느 단계에서도 복구 문구가 요구되지 않습니다.
모든 API 키에 범위를 설정하세요
거래소가 API 키를 발급할 때, 각 키를 본인이 없어도 작동하는 상시 지시로 취급하세요. 이 지시의 범위를 좁게 유지하는 습관은 다음과 같습니다:
- 특정 작업이 요구하지 않는 한 출금 및 이체 권한은 꺼두세요. 유출된 거래 전용 키도 잘못된 주문으로 손실을 일으킬 수 있지만, 자금을 내보낼 수 있는 키보다는 문제가 작습니다.
- 거래소가 제공한다면 IP 허용 목록을 사용하세요. 그러면 복사된 키를 알 수 없는 주소에서 사용해도 작동하지 않습니다.
- 도구마다 명확한 이름으로 키를 하나씩 발급하세요. 그러면 키 하나를 폐기해도 다른 키가 망가지지 않고, 계정 로그로 어느 도구가 행동했는지 확인할 수 있습니다.
- 만료일이나 검토 날짜를 설정하세요. 사용하지 않는 키는 잊기 쉽고 여전히 유효합니다.
- 비밀 값은 비밀번호처럼 보관하세요. 시크릿 관리자나 로컬 환경 설정에 두고, 채팅 메시지, 스크린샷, 공유 문서, 코드 저장소에는 절대 두지 마세요.
키는 보통 계정의 로그인 프롬프트나 2차 인증 없이 스스로 요청을 인증합니다. 그래서 키의 범위가 그것을 만든 로그인의 강도보다 더 중요합니다.
서명 지갑과 보관 지갑을 분리하세요
온체인 거래소는 종종 API 키 대신 지갑 서명을 사용합니다. Hyperliquid의 거래소 엔드포인트 문서는 API 지갑 승인에 대해 설명하며, 이를 에이전트 지갑이라고 부르는 경우도 있다고 밝힙니다. 이 페이지는 계정에 이름 없는 승인 지갑 하나와 이름 있는 지갑 최대 세 개를 둘 수 있고, 하위 계정마다 추가 이름 있는 에이전트를 허용하며, 사용자 지정 만료는 최대 180일 뒤로 설정할 수 있다고 설명합니다. 또한 하위 계정과 볼트에는 자체 개인 키가 없으며, 이들을 대신한 행동은 마스터 계정이 서명한다고 밝힙니다. 에이전트가 서명할 수 있는 자산 전송 작업 하나를 설명하며, 이때 목적지 주소는 출발지 주소와 일치해야 합니다.
그 페이지는 승인된 에이전트가 할 수 없는 일의 완전한 목록을 제공하지 않습니다. 그 분리를 보안 경계로 취급하기 전에 거래소의 현재 API 지갑 문서를 읽으세요.
일반 원칙은 거래소 전반에 적용됩니다: 자동화를 실행하는 기기 위의 키는 장기 보유 자산을 통제하는 키여서는 안 됩니다. 보관 자산은 봇이나 실험용 사이트에 절대 연결하지 않는 지갑에 두고, 트레이딩 계정에는 그 전략이 감수하기로 한 만큼만 자금을 넣으세요. 하드웨어 지갑과 소프트웨어 지갑의 트레이드오프는 두 방식에서 키 노출이 어떻게 다른지, 그리고 어느 쪽도 없애지 못하는 것이 무엇인지 설명합니다.
로그인과 기기를 보호하세요
계정 로그인은 API 접근과는 별개의 층이며 여전히 중요합니다. 로그인을 통제하는 사람은 보통 새 키를 만들 수 있습니다. 거래소가 제공한다면 패스키나 인증 앱이 일반적으로 문자 메시지로 받는 코드보다 강력합니다. 패스키와 2단계 인증 옵션 가이드는 각 선택지를 비교하고 각각에 필요한 복구 단계를 설명합니다.
기기는 다음 층입니다. 트레이딩에만 쓰는 브라우저 프로필, 불필요한 확장 프로그램을 적게 또는 아예 두지 않기, 필요 없을 때 원격 접속 소프트웨어 제거, 운영체제 업데이트를 즉시 적용하기는 모두 노출을 줄입니다. 더 안전한 일상용 암호화폐 기기 체크리스트는 이 단계들을 더 자세히 다룹니다.
복구 문구는 절대 붙여넣지 말고, 서명하는 내용을 읽으세요
어떤 거래소, 봇, 지원 담당자, 리서치 도구도 복구 문구를 필요로 하지 않습니다. 복구 문구를 가진 사람은 보통 그 문구로 복원되는 지갑을 통제할 수 있습니다. 복구 문구가 통제하는 것 해설은 이것이 왜 그렇게 민감한지 설명합니다. 지갑을 "확인"하거나 "동기화"하라며 그 단어들을 입력하라고 요구한다면, 멈춰야 할 이유입니다.
서명도 같은 주의가 필요합니다. 읽을 수 없는 데이터, 낯선 컨트랙트, 또는 시작한 작업과 무관한 지출 권한을 보여주는 지갑 프롬프트는 볼 수 없는 무언가를 승인하라는 요청입니다. 블라인드 서명과 메시지 서명 가이드는 가스비가 들지 않는 서명도 여전히 결과를 초래할 수 있는 이유를 설명합니다.
사기성 디지털 자산 거래 웹사이트에 관한 CFTC 투자자 경고는 가짜 봇에 흔히 나타나는 경고 신호를 나열합니다: 위험이 거의 또는 전혀 없다는 보장 수익, 복잡한 용어, 요청하지 않은 연락, 빠른 행동을 재촉하는 압박, 그리고 가짜 수익을 인출하기 위해 세금이라는 명목 등 추가 비용을 지불하라는 요구입니다. 이 경고는 진술을 확인하고, 관련된 사람과 회사를 조사하며, 지불하기 전에 등록 여부를 확인하라고 조언합니다.
필요해지기 전에 복구 계획을 작성하세요
복구 계획은 압박을 받는 상황에서도 따를 수 있는 짧은 문서입니다. 모든 키, 에이전트, 지갑과 각각이 무엇을 할 수 있는지, 그리고 그것을 정확히 어떻게 폐기하는지 나열합니다. 가상의 목록은 다음과 같을 수 있습니다:
| 항목 (가상) | 작업 | 권한 | 검토 | 폐기 방법 |
|---|---|---|---|---|
| 키 “journal-ro” | 거래 내역 내보내기 | 읽기 전용, IP 제한 | 매월 | 거래소 API 설정 |
| 에이전트 “bot-sub1” | 하위 계정 하나의 주문 | 거래; 이체는 의존하지 않음 | 90일 만료 | 거래소 API 지갑 페이지 |
| 보관 지갑 | 장기 보유 자산 | 하드웨어 서명, 봇에 절대 연결 안 함 | 분기별 점검 | 복구 문구 오프라인 |
그런 다음 사고 대응 단계를 순서대로 적으세요: 키와 에이전트 폐기, 미체결 주문 취소, 로그인 비밀번호와 2차 인증 변경, 그리고 복구 문구가 노출되었을 가능성이 있으면 새로 만든 지갑으로 보유 자산 이동. 타임스탬프와 거래 식별자 같은 근거를 비밀 값을 공유하지 않고 보관하고, 지원에는 직접 북마크한 주소를 통해서만 연락하세요. CFTC 경고는 사기로 의심되는 사건에 투자한 사람을 위한 SEC 및 CFTC 신고 경로를 제시합니다.
계속 배우세요
지갑 신뢰도 학습 경로는 이런 습관을 단계별로 쌓아가며, 실용적인 지갑 안전 시스템은 기기, 복구, 서명 점검을 하나로 묶습니다. 알림이 시작점이라면, 신호 봇 워크플로는 메시지와 주문 사이에 사람의 결정을 둡니다. 이는 교육용 리서치 정보이며, 투자 조언이 아닙니다.