용어집 / 구매와 거래소
거래소 API 키
- 거래소 API 키란 무엇입니까?
- 거래소 API 키는 비밀번호 없이 선택한 권한 범위 안에서 프로그램이 계좌에서 거래하거나 조회하거나 출금할 수 있도록 사용자가 직접 생성하는 자격 증명입니다.
이 키는 같은 계좌로 통하는 두 번째 문이며, 로그인 화면이 아니라 토큰과 서명으로 열립니다. 2025년 5월 30일에 마지막으로 개정된 Bitstamp의 이용약관은 사용자가 생성한 키에서 발생한 모든 손실, 즉 무단 접근과 자금 손실까지 사용자의 책임으로 둡니다. 읽기 전용 범위만 부여하고 출금 권한은 절대 부여하지 말며, 더 이상 사용하지 않는 키는 삭제하십시오.
작동 방식
거래소 API 키는 한 쌍으로 발급됩니다. 계좌를 지칭하는 공개 식별자와, 호출하는 쪽이 모든 요청에 서명하는 데 쓰는 시크릿입니다. 시크릿은 생성 시점에 한 번만 표시되며, 거래소는 모든 서명을 검증하기 위해 자체 사본을 보관합니다. 그다음부터 프로그램은 브라우저도, 비밀번호 입력도, 경로상의 2차 인증도 없이 요청에 서명해 주문을 넣거나 잔고를 조회하거나 자금을 옮길 수 있습니다.
권한이 곧 이 제품의 전부입니다. Bitstamp의 약관은 이를 한 줄로 규정합니다. "The scope of access you permit by such API key is defined by you when you create API Key"라고 명시하고 계좌의 접근 제어 페이지를 가리킵니다. 거래소들은 이 범위를 조회, 거래, 출금으로 나누며, 다수는 키를 고정 IP 주소에 묶을 수 있게 해서 시크릿이 유출되어도 다른 곳에서는 쓸모가 없습니다. 추적 도구에 넘긴 읽기 전용 키로는 돈을 잃을 수 없습니다. 출금 권한이 붙은 키는 시크릿을 가진 누구에게든 지급하겠다는 상시 지시입니다.
계약상으로는 키로 서명된 요청이 곧 사용자의 주문입니다. 2026년 7월 1일자 버전인 Bitstamp UK Limited의 약관은 Instruction을 사용자로부터 받은 모든 주문 또는 지시로 정의하고, API 조항에서는 "resulting from use or Instructions submitted through API Keys"로 인한 손실에 대한 책임을 면제합니다. 같은 조항은 그룹의 법인 약관 중 6곳, 즉 Bitstamp Limited, Bitstamp Europe S.A., Bitstamp USA Inc., Bitstamp UK Limited, Bitstamp Global Ltd, Bitstamp Asia Pte. Ltd.에 들어 있습니다. Bitstamp는 또한 보안이 침해되었다고 판단할 경우 사전 통지 없이 어떤 키든 정지할 권리를 보유합니다.
확인할 수 있는 곳
거래소 API 키는 거래 인터페이스를 공개하는 모든 거래소의 보안 설정에 있으며, 보통 접근 제어 같은 제목 아래에 있습니다. 포트폴리오 추적 도구, 세무 도구, 정기 구매 스크립트, 거래 내역을 가져오는 스프레드시트를 연결하려고 키를 만듭니다. 거래소에 따라 외부 애플리케이션이 사용자를 대신해 키를 요청할 수도 있습니다. Bitstamp는 이를 Bitstamp Connect라고 부르며, 통합 업체의 연결이 성립되기 전에 계좌 안에서 사용자의 동의를 요구합니다.
두 가지 습관이 위험의 대부분을 막습니다. 세무 도구는 체결 내역을 읽기만 하면 되므로 거래나 출금 권한을 가질 이유가 없으니 권한 범위를 작업에 맞추고, 키는 스스로 만료되는 것이 없으므로 도구를 폐기하는 즉시 키를 폐기하십시오. 거래소가 IP 허용 목록을 지원하면 사용하십시오. 시크릿이 유출되었다고 생각되면 먼저 키를 삭제하고 그다음에 조사하십시오.
자체 도구를 만드는 사람들이 흔히 놓치는 점이 하나 있습니다. Bitstamp의 영국 약관은 키가 반환하는 시장 데이터를 오직 Permitted Market Data Use에 한해서만 허용하며, 여기에는 가격 조회, 주문 제출, 거래 내역 대사, 세무 또는 감사 의무 이행이 포함됩니다. 그 가격을 다시 게시하거나 다른 거래소의 피드와 결합하거나 모델 학습에 사용하는 것은 Commercial Market Data Use에 해당하며 별도의 시장 데이터 계약이 필요합니다.
거래소 API 키 vs 개인 키
개인 키는 블록체인상의 비트코인을 관리하고, 거래소 API 키는 회사의 계좌를 관리합니다. 차이는 둘 중 하나가 유출될 때 드러납니다. 침해된 API 키는 폐기할 수 있습니다. 삭제하면 거래소는 그 키로 만든 서명을 더 이상 인정하지 않습니다. 침해된 개인 키는 누구도 폐기할 수 없습니다. 네트워크는 누가 그 키를 가져야 하는지 알지 못하며, 유일한 방어는 도둑보다 먼저 코인을 새 키로 옮기는 것입니다. 이 비대칭성은 유출된 API 키로 입을 수 있는 피해의 한계도 정합니다. 키는 거래소가 사용자를 위해 보관하는 잔고까지만 닿고, 이미 출금한 자산에는 닿지 않습니다.