출금 허용 목록

이 기능을 켜면 계정 탈취는 공격자에게 이득이 되는 일이 아니라 번거로운 일이 됩니다. Binance는 주소를 허용 목록에 추가할 수 있고 새 주소로의 출금에는 지연을 둘 수 있습니다. Kraken의 Global Settings Lock은 주소 추가 자체를 차단하며, 마스터 키 없이 잠금을 해제하려면 최소 24시간이 걸리고 최대 30일까지 설정할 수 있습니다. 보안 기능은 목록이 아니라 지연입니다.

작동 방식

허용 목록은 대부분의 계좌가 하나의 행동으로 취급하는 두 가지 행동, 즉 목적지 선택과 그곳으로의 자금 전송을 분리합니다.

계좌가 정상이고 누구도 재촉하지 않을 때 주소를 등록합니다. 거래소는 이메일로, 때로는 2차 인증 수단과 함께 이를 확인하고, 그 항목이 사용 가능해집니다. 허용 목록이 적용되면 목록에 없는 주소로의 출금 요청은 비밀번호와 일회용 코드가 아무리 정확해도 곧바로 거부됩니다.

그러면 공격 지점은 하나로 좁혀집니다. 바로 새 항목을 추가하는 단계입니다. 제대로 된 구현은 정확히 이 단계를 통제합니다. Kraken의 Global Settings Lock은 켜져 있는 동안 새 출금 주소 추가를 막고, 이를 해제할 때는 미리 설정한 타이머가 작동하며 잠금 해제 시도마다 이메일 알림이 갑니다. Kraken 고객 지원으로도 그 타이머를 줄일 수 없으며, 바로 그 점이 이 기능의 가치입니다. Binance는 같은 개념을 더 가벼운 형태로 제공하여, 새로 허용 목록에 추가한 주소가 자금을 받기 전에 대기 상태에 머무르도록 할 수 있습니다.

위협 모델을 분명히 밝힐 필요가 있습니다. 비밀번호와 활성 상태의 2차 인증 수단을 가진 공격자는 나머지 모든 것을 할 수 있습니다. 로그인하고, 잔액을 조회하고, 거래를 하고, 표시 이름을 바꿀 수 있습니다. 지연이 적용된 허용 목록이 막는 것은 실제로 자금을 잃게 만드는 유일한 단계이며, 사용자가 아직 취소할 수 있는 시간 동안 알림 이메일을 보내줍니다. 새 주소를 즉시 받아들이는 허용 목록은 장식일 뿐입니다.

적용되는 곳

모든 대형 거래소는 출금 허용 목록을 어떤 형태로든 제공하며, 보통 보안 설정 두 단계 아래에 묻혀 있고 기본값은 꺼짐입니다.

SMS 코드 대신 인증 앱과 함께 켜십시오. SIM 스왑은 공격자에게 문자 메시지를, 따라서 2차 인증 수단을 넘겨주지만 목록에 주소를 추가하지는 못합니다. 두 통제 수단은 서로 다른 실패를 막으며, 허용 목록은 휴대전화 번호를 잃어도 살아남는 쪽입니다.

목록에 무엇을 넣는지 주의하십시오. 올바른 항목은 본인이 관리하는 지갑의 수신 주소이며, 하드웨어 지갑이라면 어디에든 복사하기 전에 기기 화면에서 문자를 확인해야 합니다. 침해된 클립보드에서 나온 주소나 오염된 거래 내역에서 가져온 주소를 등록하면 공격자를 영구적으로, 그리고 친절하게 허용 목록에 넣는 셈입니다. 한 번 신중하게 확인한 뒤에는 목록이 제 역할을 하게 두십시오.

출금 허용 목록 vs 2차 인증

2차 인증은 로그인을 보호하고, 출금 허용 목록은 목적지를 보호합니다. 하나는 정말 본인인가라는 질문에 답하고, 다른 하나는 정말 코인이 가야 할 곳인가라는 질문에 답합니다. 두 수단은 서로 다르게 실패하므로 둘 다 운영하는 것이 중요합니다. 실시간으로 일회용 코드를 피싱하거나 휴대전화 번호를 탈취한 공격자는 2차 인증을 완전히 통과했더라도 승인한 적 없는 주소로 코인을 보낼 수 없습니다. 2차 인증은 문에 달린 자물쇠로, 허용 목록은 도둑이 빈손으로 떠나는 이유로 생각하십시오.