[보안 이슈] 프라뱅 해킹, 비밀번호와 OTP 키값이 함께 샜습니다 — 2단계 인증까지 무력화된 사고
가상자산 거래소 프라뱅에서 로그인 비밀번호와 OTP 키값을 포함한 8개 항목이 유출되고 약 1억 원이 탈취됐습니다. 2단계 인증까지 무력화된 이번 사고의 핵심은 “프라뱅 회원인가”가 아니라 “그 비밀번호·OTP를 다른 곳에도 썼는가”입니다.
안녕하세요, dailybetter입니다.
가상자산 거래소 프라뱅에서 회원 7명의 로그인 비밀번호와 OTP(일회용 비밀번호) 키값을 포함한 개인정보 8개 항목이 유출됐고, 핫월렛에서 약 1억 원 상당의 가상자산이 빠져나갔습니다.
이번 사고는 “이름·전화번호가 샜다”는 흔한 유출과 결이 다릅니다. 계정에 로그인하는 열쇠(비밀번호)와 그 열쇠를 한 번 더 잠그는 자물쇠가 동시에 뚫렸기 때문입니다. 지금 중요한 건 “프라뱅 회원인가”보다 “그 비밀번호·OTP를 다른 곳에도 썼는가”입니다.
무슨 일이 있었나
프라뱅은 2026년 10월 2일 1차 해킹으로 회원 개인정보가 유출된 데 이어, 10월 24일 인터넷에 연결된 지갑인 핫월렛에서 비정상 출금을 탐지했습니다. 점검 과정에서 보안 취약점이 발견됐고, 이 2차 사고로 회원 7명의 개인·신용정보가 유출되고 약 1억 원이 탈취됐습니다. 회사는 자산 보호를 위해 현재 서비스를 잠정 중단했으며, 피해 자산을 회사 자산으로 전액 보전하겠다고 밝혔습니다. 관계기관 신고와 원인 조사가 진행 중입니다.
바로 짚어야 할 점이 있습니다. 서비스가 중단돼 있어 지금 당장 프라뱅에 접속해 비밀번호를 바꾸는 것은 불가능합니다. 그래서 “지금 바로 재설정”은 프라뱅 사이트가 아니라, 같은 비밀번호를 쓰는 다른 서비스부터 적용해야 합니다. 이 순서가 이번 대응의 핵심입니다.
어떤 정보가 샜고, 왜 위험한가
유출된 8개 항목은 단순 연락처 수준이 아니며, 항목별로 위험의 결이 다릅니다.
| 유출 항목 | 이게 뭐고 왜 위험한가 |
|---|---|
| 로그인 비밀번호 | 계정의 첫 번째 열쇠. 같은 비밀번호를 쓴 다른 사이트까지 연쇄 침입(크리덴셜 스터핑)당할 수 있습니다. |
| OTP 키값 | 30초마다 바뀌는 6자리 숫자를 만드는 ‘씨앗값’. 이게 새면 공격자가 똑같은 OTP를 언제든 생성해, 2단계 인증이 사실상 무력화됩니다. |
| 개인 지갑 주소 | 입출금 내역이 추적당하고, 잔액이 많은 사람을 노린 표적 피싱 대상이 됩니다. |
| 자산 잔액 | 공격자가 “누구를 먼저 털지” 우선순위를 정하는 데 쓰입니다. |
| 성명·이메일·휴대전화·회원번호 | 거래소·고객센터를 사칭한 스미싱·보이스피싱의 재료가 됩니다. |
가장 심각한 건 OTP 키값입니다. 보통 “비밀번호가 샜어도 OTP가 있으니 괜찮다”고 믿지만, 이번엔 OTP를 만드는 원본 값까지 털렸습니다. 열쇠와 자물쇠를 한꺼번에 가져간 셈이라 비밀번호만 바꾸는 대응으로는 부족합니다. OTP 등록 자체를 해제했다가 새 키값으로 다시 등록해야 기존에 샌 값이 무용지물이 됩니다.
지금 당장 해야 할 세 가지
- 같은 비밀번호를 쓴 모든 사이트부터 변경하세요. 프라뱅은 접속이 막혀 있으니, 업비트·빗썸 등 다른 거래소나 이메일·포털에 동일한 비밀번호를 썼다면 그쪽부터 바꿉니다. 프라뱅 비밀번호·OTP는 서비스 재개 즉시 최우선으로 재설정하세요.
- OTP 앱과 연동된 계정의 비밀번호를 점검하세요. TOTP(구글 OTP처럼 30초마다 바뀌는 인증앱)의 키값은 이용자가 직접 정하거나 여러 곳에 돌려 쓰는 값이 아니라 각 거래소 서버가 사이트별로 독립 발급하는 고유 난수이므로, 같은 인증 앱을 쓴다는 이유만으로 다른 거래소의 OTP 키값까지 새지는 않습니다. 다만 인증 앱의 클라우드 백업이 연동된 구글 계정 등 ‘같은 비밀번호’를 쓴 곳이 있다면 그 비밀번호를 즉시 바꾸고, 프라뱅의 OTP는 서비스가 재개되면 해제 후 다시 등록하세요. 가능하면 문자보다 인증 앱 방식을 유지하세요.
- 명의도용과 사칭 연락을 차단하세요. 전화번호·이름이 샜으므로 “프라뱅 보상 안내”, “피해 신고 대행” 전화·문자는 일단 의심하세요. 통신 명의도용은 엠세이퍼(무료)에서 가입 제한을 걸어두면 몰래 개통되는 것을 막을 수 있고, 유출이 의심되면 국번 없이 118(KISA 개인정보침해신고센터)로 상담할 수 있습니다.
이번 사고가 ‘정보 유출’보다 무거운 이유
대부분의 유출은 이름·연락처가 새는 데 그쳐 “피싱을 조심하라”는 선에서 끝납니다. 하지만 이번엔 로그인 자격 증명(비밀번호) + 2차 인증(OTP 키값)이라는, 계정을 통째로 여는 조합이 함께 유출됐고, 실제로 1억 원이 빠져나가며 그 위험이 증명됐습니다. 공식 공지는 “피해 회원 7명”에게 개별 통지했다지만, 조사 중인 사고에서 확정 피해자는 늘 수 있습니다. 내가 통지 대상이 아니어도 비밀번호를 재사용했다면 안심할 수 없는 이유입니다.
Q. 통지를 못 받았으면 안전한가요?
확정 유출은 7명이지만 조사가 끝나지 않았고, 비밀번호 재사용 위험은 통지 여부와 무관합니다. 같은 비밀번호를 다른 곳에 썼다면 바꾸세요.
Q. 자산은 돌려받나요?
프라뱅은 전액 보전하겠다고 밝혔습니다. 다만 규모 확정 전이므로 보상 안내를 사칭한 2차 피싱에 각별히 주의해야 합니다.
💡 dailybetter 분석가 Note
이번 사고의 교훈은 “2단계 인증을 켰으니 안심”이라는 믿음의 빈틈입니다. OTP는 생성 원본(키값)이 서버에 저장되는 구조라, 거래소 서버가 뚫리면 OTP가 방패 역할을 못 할 수 있습니다. 그래서 거래소마다 비밀번호와 OTP를 각각 다르게 두고, 인증 수단을 피싱에 강한 방식(등록 기기에서만 작동하는 패스키 등)으로 분산하는 것이 근본 대책입니다. 하나의 비밀번호를 여러 곳에 돌려쓰는 습관이 있다면, 이번 사고를 그 습관을 끊는 계기로 삼으시기 바랍니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요