암호화폐 봇 API 키 보안: 완전 안전 가이드

거래 봇을 거래소에 연결하면API키를 통해 계정에 대한 액세스 권한을 넘겨받게 됩니다. 올바르게 수행하면 안전하고 일상적인 작업입니다. 부주의하게 행하면 재앙의 초대입니다. 이 가이드는 암호화폐 거래 봇을 위한API키 보안에 대해 알아야 할 모든 것을 다룹니다.

API키로 할 수 있는 것과 할 수 없는 것

API키는 공개 키(식별자)와 비밀 키(비밀번호)로 구성된 문자열 쌍으로, 이를 통해 소프트웨어는 프로그래밍 방식으로 교환 계정과 상호 작용할 수 있습니다.API키를 생성할 때 갖고 있는 권한을 선택합니다.

대부분의 거래소는 세 가지 권한 수준을 제공합니다.

• 읽기 전용: 잔액, 포지션 및 거래 내역을 볼 수 있습니다.
• 거래: 주문을 하고 취소하고 포지션을 수정할 수 있습니다.
• 출금: 거래소에서 외부로 자금을 보낼 수 있습니다 주소

트레이딩 봇의 경우 읽기 + 거래 권한이 필요합니다. 철회 권한은 절대 필요하지 않습니다. 이것이 가장 중요한 보안 원칙입니다.

황금률: 절대 인출을 허용하지 마세요

API키가 자금을 인출할 수 없는 경우 손상된 키로 인한 최악의 시나리오는 승인되지 않은 거래로, 돈을 잃을 수도 있지만 계정을 외부 지갑으로 유출할 수는 없습니다. 출금 권한을 활성화하는 순간 유출된 키는 노골적인 절도를 위한 도구가 됩니다.

합법적인 거래 봇은 출금 권한을 요청하지 않습니다. 만약 출금 권한을 요청한다면 이는 제대로 설계되지 않았거나 악의적인 것입니다. 떠나세요.

IP 화이트리스트: 최선의 방어

IP 화이트리스트는API키가 특정 IP 주소에서만 작동하도록 제한합니다. 누군가가 귀하의 키와 비밀을 훔치더라도 승인된 IP에서 연결하지 않는 한 이를 사용할 수 없습니다.

설정 방법:

1. 봇 플랫폼의 서버 IP를 찾으세요(fomoed는 이를 교환 연결 설정에 표시합니다)
2. 교환의API관리에서 해당 IP를 화이트리스트에 추가하세요.
3. 활성화 "화이트리스트에 있는 IP로만 제한" 옵션
4. 봇이 여전히 성공적으로 연결되는지 테스트하세요.

Binance,Bybit,OKX와 같은 중앙 집중식 교환의 경우 IP 화이트리스트는 사용할 수 있는 가장 강력한 보안 수단입니다. 특히Binance에서 IP 제한이 없는API키는 안전 조치로 기능을 축소했습니다.

권한 범위 지정: 최소 필수 액세스

최소 권한 원칙 적용:

• 현물 거래 봇: 선물이 아닌 현물 거래만 활성화
• 선물 봇: 선물 거래만 활성화하고 다음이 아님 스팟
• 읽기 전용 모니터링: 포트폴리오만 추적하려면 읽기 전용 키를 사용하세요.

일부 거래소에서는API키가 액세스할 수 있는 거래 쌍을 제한할 수 있습니다. 귀하의 비밀이 있고BTC/USDT만 거래하는 경우, 키를 해당 쌍으로 제한하십시오.

키를 안전하게 저장하기

API비밀은 생성될 때 한 번 표시됩니다. 그 이후에는 거래소에서 해당 정보를 다시 표시하지 않습니다. 처리 방법은 다음과 같습니다.

• 절대 키를 일반 텍스트 파일, 스크린샷 또는 이메일에 저장하지 마세요.
• 절대로 키를 채팅, Discord 서버 또는 지원 티켓에 붙여넣지 마세요.
• 절대로 키를 git 저장소(비공개 저장소라도)에 커밋하지 마세요.
• 개인용 비밀번호 관리자(Bitwarden, 1Password)를 사용하세요. 백업
• 로컬에 저장해야 하는 경우 암호화된 저장소를 사용하세요.

봇 플랫폼에 키를 입력할 때 합법적인 사이트에 있는지(URL 확인, 인증서 확인) 연결이 HTTPS인지 확인하세요.

키가 손상된 경우 해야 할 일

API키가 유출된 것으로 의심되는 경우 또는 손상됨:

1. 즉시 거래소에 로그인하고API키를 삭제하십시오.
2. 최근 거래 내역에서 승인되지 않은 활동을 확인하십시오.
3. 출금 내역을 확인하십시오(인출이 활성화되지 않은 경우에도 확인하십시오)
4. 새로운 자격 증명으로 새API키를 생성하십시오.
5. 유출이 어떻게 발생했는지 조사하십시오. 악성 코드입니까? 피싱? 화면을 공유하시겠습니까?
6. 아직 활성화되지 않은 경우 교환 계정에서 2FA를 활성화하세요.

키 삭제는 공격자가 즉시 수행할 수 있으며 되돌릴 수 없습니다. 주저하지 마십시오. 먼저 삭제하고 나중에 조사하십시오.

fomoed가 키를 처리하는 방법

보안 관행에 대한 투명성이 중요합니다.fomoed가API자격 증명을 보호하는 방법은 다음과 같습니다.

• 암호화된 저장소: 키는 AES-256 암호화를 사용하여 저장 시 암호화됩니다. 일반 텍스트로 저장되지 않습니다.
• 철회 액세스 불가: 플랫폼은 철회 권한이 활성화된 키를 요청하거나 수락하지 않습니다.
• 서버 측 전용:API키는 거래 실행을 위해 서버 측에서만 사용됩니다. 해당 키는 프런트엔드로 전송되거나 브라우저 트래픽에 노출되지 않습니다.
• 최소 보존: 교환 연결을 끊으면 키가 우리 시스템에서 삭제됩니다.

Hyperliquid통합의 경우 우리는 완전히 다른 접근 방식, 즉 권한이 제한된 에이전트 지갑을 사용한 지갑 기반 인증을 사용합니다.API키를 모두 제거합니다.

DEX지갑 기반 인증: 대안

Hyperliquid와 같은 분산형 거래소는API키를 사용하지 않습니다. 대신 지갑을 연결하고 거래소 밖으로 자금을 이체할 수 없는 거래 전용 권한이 있는 하위 키인 에이전트 지갑을 승인합니다.

이것은 보안상의 이점이 있습니다:

• 유출할 비밀이 없습니다(에이전트 승인은 온체인에 있음)
• 권한은 거래소 정책이 아닌 스마트 계약에 의해 시행됩니다.
• 언제든지 온체인 에이전트 액세스를 취소할 수 있습니다.
• IP 화이트리스팅이 필요하지 않습니다. (권한은 암호화 방식으로 시행됩니다.)

단점은 지갑 보안이 중요하다는 것입니다. 지갑의 개인 키가 손상되면 공격자가 모든 권한을 갖게 됩니다. 상당한 자금을 위해 하드웨어 지갑을 사용하십시오.

봇 거래자를 위한 보안 체크리스트

봇을 거래소에 연결하기 전에 다음 항목을 확인하십시오:

• API키에서 출금 권한이 비활성화되었습니다.
• IP 화이트리스트가 구성되었습니다(CEX용)
• 교환 계정에서 2FA 활성화
• API키 권한은 봇의 요구 사항과 일치합니다(더도 말고 덜도 말고)
• 봇 플랫폼은 HTTPS 및 암호화된 키 저장소를 사용합니다.
• 비밀번호 관리자에 키 백업이 있습니다.
• 필요한 경우 키를 빠르게 삭제하는 방법을 알고 있습니다.

안전하게 거래 시작

보안은 복잡할 필요가 없습니다. 인출을 비활성화하고, IP ​​화이트리스트를 활성화하고, 키를 책임감 있게 처리하는 플랫폼을 사용하십시오. 안전하게 시작하는 방법에 대한 자세한 내용은 자동 거래에 대한 초보자 가이드를 확인하세요.fomoed를 사용하면 무료로 계정을 설정하고 키가 적절한 암호화 및 보안 관행에 따라 처리된다는 확신을 가지고 거래소를 연결할 수 있습니다.