코인베이스 패스키 등록 후 OTP를 안 묻는 이유, 2단계 인증 설정 확인법

코인베이스에 패스키를 등록한 뒤 로그인할 때 Google Authenticator의 OTP 숫자가 더 이상 나오지 않으면 2단계 인증이 풀린 것처럼 느껴질 수 있습니다. 하지만 패스키 자체가 코인베이스가 지원하는 2단계 인증 수단이기 때문에 OTP 화면이 나오지 않는다는 사실만으로 Authenticator가 삭제됐다고 판단하면 안 됩니다. 먼저 2-Step Verification 설정에서 실제로 어떤 인증수단이 활성화돼 있는지 확인하는 것이 순서입니다.

패스키를 등록했는데 OTP가 안 뜨면 인증이 풀린 걸까

패스키 등록 후 OTP 입력창이 사라졌다면 2단계 인증도 꺼진 걸까요?

결론부터 말하면 OTP 입력화면이 나타나지 않는다는 이유만으로 Google Authenticator 설정이 삭제됐거나 2단계 인증이 해제됐다고 단정할 수 없습니다. Coinbase 공식 2-Step Verification 도움말에서는 Passkey, Security Key, Authenticator App, Push Notification, SMS 등을 각각 계정 인증에 사용할 수 있는 방법으로 안내합니다. 패스키 역시 별도의 보조 기능이 아니라 코인베이스가 지원하는 인증수단 가운데 하나입니다.

초보자가 가장 쉽게 하는 오해는 인증수단을 두 개 등록하면 항상 두 단계를 연속해서 통과해야 한다고 생각하는 것입니다. 예를 들어 패스키와 Google Authenticator를 모두 등록했다면 비밀번호 또는 계정 확인 뒤 패스키를 통과하고, 다시 6자리 OTP까지 입력해야 보안이 완성된다고 생각하기 쉽습니다. 하지만 Coinbase의 현재 안내는 여러 인증방법을 사용할 수 있게 두고 상황에 따라 활성화된 방법으로 2단계 인증 요청을 완료하는 구조를 설명합니다. 특히 Coinbase 영국판 공식 도움말은 사용 가능한 인증방법 중 강한 인증방법을 우선 제시할 수 있으며 다른 활성 인증방법도 사용할 수 있다고 설명합니다.

따라서 패스키 등록 전에는 Authenticator App의 숫자를 입력했는데 등록 후에는 지문, Face ID, Windows PIN 같은 기기 인증으로 바로 넘어간다고 해서 그 자체를 오류라고 보기는 어렵습니다. 확인해야 할 것은 화면에 OTP 칸이 보이느냐가 아니라 계정 보안 설정에서 Authenticator App이 실제로 활성 상태로 남아 있느냐입니다.

Coinbase 공식 2-Step Verification 문서에서 Passkey와 Authenticator App을 각각 별도 인증방법으로 안내하고 있고, 사용할 수 없는 방법이 있을 때는 Try another way를 통해 다른 인증방법으로 전환할 수 있다고 설명합니다. 공식 자료 확인일은 2026년 10월 7일이며 관련 문서는 https://help.coinbase.com/en/coinbase/getting-started/getting-started-with-coinbase/2-step-verification 에서 확인할 수 있습니다.

패스키와 Google OTP는 같은 인증수단이 아니라 작동 방식부터 다릅니다

패스키와 Google Authenticator의 OTP는 무엇이 다르게 작동할까요?

패스키는 FIDO 방식의 공개키 암호를 이용하는 인증 자격증명입니다. 각 서비스에 패스키를 등록할 때 그 서비스용 암호키 쌍이 만들어지고 사용자는 자신의 기기에서 지문, 얼굴인식, PIN 같은 잠금 해제 방식으로 개인키 사용을 승인합니다. 서비스 쪽은 공개키를 이용해 서명을 확인합니다. FIDO Alliance는 패스키가 피싱에 강한 공개키 기반 인증방식이라는 점을 설명하고 있으며 생체정보 그 자체가 웹사이트로 전송되는 구조는 아닙니다.

Google Authenticator 같은 인증 앱은 다른 원리입니다. Coinbase가 Authenticator App으로 안내하는 방식은 TOTP, 즉 시간 기반 일회용 비밀번호입니다. 서버와 인증 앱이 공유하는 비밀값과 현재 시간을 바탕으로 일정 시간마다 새로운 숫자를 계산합니다. RFC 6238에서는 시간 카운터를 T = floor((현재 Unix 시간 – T0) / X)로 정의하고, 기본 시간 간격 X를 30초로 제시합니다. 이후 이 시간값과 비밀키를 HOTP 계산에 넣어 일회용 값을 만듭니다.

여기서 숫자를 정확하게 구분해야 합니다. RFC 6238이 기본 시간 간격으로 30초를 제시한다고 해서 Coinbase 공식 도움말이 자체 TOTP 설정을 별도로 “정확히 30초”라고 규정했다고 표현해서는 안 됩니다. Coinbase 도움말은 Authenticator App을 시간에 민감한 보안코드를 만드는 방법으로 설명하고 있습니다. 따라서 글에서는 “TOTP 표준 RFC 6238의 기본 시간 간격은 30초”라고 설명하는 것이 정확합니다.

두 인증수단은 사용자가 보는 화면도 다릅니다. 패스키는 숫자를 외워 입력하는 방식이 아니라 기기에서 보관하거나 동기화한 패스키를 사용해 인증합니다. TOTP는 인증 앱에 표시되는 일회용 숫자를 직접 입력하는 방식입니다. 그러므로 패스키 인증 화면으로 로그인한 뒤 TOTP 숫자 입력 화면이 보이지 않는다고 해서 두 기술 가운데 하나가 자동으로 삭제됐다고 볼 수 없습니다. TOTP 표준 근거는 RFC 6238 https://www.rfc-editor.org/rfc/rfc6238.html, 패스키 구조는 FIDO Alliance https://fidoalliance.org/passkeys/ 에서 확인할 수 있으며 확인일은 2026년 10월 7일입니다.

패스키와 OTP를 둘 다 켜면 왜 매번 둘 다 묻지 않을까

패스키와 OTP를 모두 등록해도 왜 두 인증이 항상 연속해서 나오지 않을까요?

이 문제는 인증수단을 더 등록하면 보안단계가 직렬로 계속 쌓인다고 생각할 때 생깁니다. 예를 들어 사용자가 Passkey와 Authenticator App을 모두 설정했다고 해서 “Passkey AND TOTP”가 모든 로그인에서 고정되는 것은 아닙니다. Coinbase 공식 문서는 여러 2단계 인증방법을 사용할 수 있도록 하고, 사용할 수 없는 방법이 있을 경우 다른 인증방법을 선택하는 흐름을 제공합니다.

Coinbase가 권장하는 조합을 보면 이 구조를 이해하기 쉽습니다. 공식 도움말에서는 두 개의 Security Key, Passkey와 Security Key, Passkey와 Push Notification 같은 조합을 안내합니다. 여기에는 접근수단을 하나 잃었을 때 사용할 수 있는 백업이라는 개념이 포함됩니다. 즉 여러 인증수단은 매번 모두 통과해야 하는 연속 관문이라기보다 계정 접근과 복구를 위한 복수의 인증경로가 될 수 있습니다.

이 때문에 “인증수단을 세 개 등록했으니 공격자는 세 개를 모두 뚫어야 한다”고 단순 계산해서는 안 됩니다. 실제 보안은 어떤 대체 인증수단이 활성화돼 있고 그 수단으로 어떤 인증 요청을 완료할 수 있는지까지 확인해야 합니다. 강한 패스키를 등록해도 다른 활성 인증경로를 전혀 점검하지 않는다면 사용자가 생각하는 보안 구조와 실제 계정 설정이 달라질 수 있습니다.

반대로 백업수단을 전부 없애는 것이 정답도 아닙니다. Coinbase는 계정 접근수단을 잃는 상황에 대비해 여러 인증방법을 사용하는 것을 권장합니다. 핵심은 인증수단의 개수를 늘리는 것이 아니라 어떤 수단이 기본적으로 제시되고, 어떤 수단이 대체 경로로 남아 있는지 계정 설정에서 알고 관리하는 것입니다.

OTP가 실제로 꺼졌는지는 로그인 화면보다 보안 설정에서 확인해야 합니다

Google Authenticator가 실제로 켜져 있는지는 어디에서 확인해야 할까요?

패스키를 등록한 뒤 가장 먼저 해야 할 일은 로그인 화면을 여러 번 반복해서 시험하는 것이 아닙니다. Coinbase 계정의 Security 또는 2-Step Verification 설정으로 이동해 현재 활성화된 인증방법을 직접 확인해야 합니다. 여기에서 Passkey가 활성 상태인지, Authenticator App이 여전히 등록돼 있는지, Push Notification이나 SMS 같은 다른 수단이 남아 있는지를 구분해서 봐야 합니다.

판단 순서는 단순합니다. 먼저 Passkey 등록 상태를 확인하고 다음으로 Authenticator App 상태를 봅니다. 그다음 SMS나 Push Notification 등 자신이 기억하지 못했던 다른 인증수단이 켜져 있는지도 확인합니다. 로그인 과정에서 한 인증수단을 사용할 수 없을 때 Coinbase가 Try another way를 제공한다면 어떤 대체 방법이 표시되는지도 함께 확인할 수 있습니다.

여기서 초보자가 피해야 할 행동은 OTP 입력칸이 안 보인다는 이유만으로 정상 작동 중인 Authenticator App을 삭제하거나 Passkey를 먼저 제거하는 것입니다. 인증수단을 직접 삭제하면 단순한 화면 변화였던 문제가 실제 계정 접근 문제로 바뀔 수 있습니다. 특히 휴대전화를 교체하거나 패스키 동기화 계정을 제대로 기억하지 못하는 상태라면 인증방법부터 제거하기보다 현재 등록 상태와 복구 가능한 수단을 먼저 정리해야 합니다.

또한 SMS는 패스키와 다른 인증수단입니다. Coinbase 공식 문제 해결 문서에서는 SMS 보안코드가 6자리이며 코드가 도착하지 않을 경우 30초 기다린 뒤 Resend code를 사용할 수 있다고 안내합니다. Push Notification 인증 요청은 5분 뒤 만료됩니다. 이 숫자들은 각각 SMS와 Push의 규칙이므로 TOTP의 30초 기본 간격과 섞어 설명하면 안 됩니다. 관련 Coinbase 공식 문제 해결 문서는 https://help.coinbase.com/en/coinbase/managing-my-account/get-back-into-my-account/2-step-verification-troubleshooting 이며 확인일은 2026년 10월 7일입니다.

다른 휴대전화에서 패스키가 안 보인다면 OTP 문제로 단정하지 마세요

새 기기에서 패스키가 보이지 않을 때 무엇부터 점검해야 할까요?

패스키 문제를 OTP 문제로 오해하는 경우도 있습니다. 패스키는 사용자 기기에서 생성되고 운영체제나 비밀번호 관리자 환경에 따라 다른 기기로 동기화될 수 있습니다. Coinbase는 패스키 문제 해결 과정에서 사용 중인 기기와 브라우저, 기기 잠금 기능, 패스키를 보관하는 계정 환경 등을 확인하도록 안내합니다.

예를 들어 기존 휴대전화에서는 Face ID로 Coinbase 로그인이 잘 됐지만 새 휴대전화에서는 패스키가 보이지 않는다면 먼저 어떤 Apple ID나 Google 계정에 패스키가 저장·동기화됐는지를 확인할 필요가 있습니다. Chrome, Safari, Edge, Firefox 등 지원되는 최신 브라우저 사용 여부와 Face ID, Touch ID, 지문, Windows PIN 같은 기기 잠금 기능이 정상적으로 설정돼 있는지도 함께 확인합니다. 이는 OTP 앱에 숫자가 뜨는지 여부와 별개의 문제입니다.

패스키가 서버가 문자처럼 다시 보내주는 일회용 코드라고 생각하면 문제 원인을 잘못 찾게 됩니다. 패스키는 사용자의 인증기기 또는 해당 기기와 연결된 패스키 관리 환경에 기반해 동작합니다. 반면 TOTP는 Authenticator App에 등록한 비밀값과 현재 시간을 이용해 숫자를 생성합니다. 한쪽이 작동하지 않는다고 해서 다른 한쪽 설정이 자동으로 사라졌다고 볼 수 없는 이유가 여기에 있습니다.

새 기기에서 패스키가 보이지 않는다면 먼저 기존 기기에서 Coinbase 계정에 접근할 수 있는지, 동일한 패스키 동기화 계정을 사용하고 있는지, 다른 활성 인증수단이 남아 있는지를 확인하는 것이 순서입니다. 모든 인증방법을 사용할 수 없는 경우에는 임의로 새 계정을 만들거나 인증수단을 반복 삭제하기보다 Coinbase의 계정 복구 절차를 이용해야 합니다.

패스키 등록 뒤에는 인증수단을 지우기보다 복구 경로까지 함께 점검하세요

패스키 등록 뒤 계정 접근을 잃지 않으려면 어떤 순서로 점검해야 할까요?

패스키 등록이 끝났다면 마지막으로 확인할 것은 “OTP가 나오느냐” 하나가 아닙니다. 계정에 등록된 인증방법 전체를 한 번 확인하고 어떤 방법이 주 인증수단으로 사용되는지, 다른 방법은 백업으로 사용할 수 있는지, 특정 기기를 잃었을 때 어떤 방법으로 다시 로그인할 수 있는지를 정리해 두는 편이 안전합니다.

실제 점검 순서는 Passkey 활성 여부 확인, Authenticator App 활성 여부 확인, SMS와 Push Notification 같은 다른 방법 확인, 패스키가 어느 기기 또는 동기화 계정에 저장돼 있는지 확인, Try another way에서 제공되는 대체수단 확인 순으로 잡을 수 있습니다. 여기서 중요한 것은 필요하지 않은 설정을 무작정 추가하거나 삭제하는 것이 아니라 현재 계정에 어떤 인증경로가 존재하는지를 이해하는 것입니다.

복구 수단은 실제 계정에서 사용할 수 있는 기능을 기준으로 확인하세요. 접근 가능한 기기와 백업 인증수단을 먼저 정리하고, 모든 인증수단을 잃었다면 공식 계정 복구 안내를 따라야 합니다. 복구 코드나 인증 앱의 비밀키를 타인에게 전달해서는 안 됩니다.

따라서 패스키 등록 후 OTP 화면이 사라진 것처럼 보여도 첫 행동은 인증수단 삭제가 아니라 설정 확인이어야 합니다. Authenticator App이 여전히 활성화돼 있다면 화면에 OTP가 나타나지 않았다는 이유만으로 삭제된 것으로 볼 수 없습니다. 반대로 설정에서 Authenticator App이 비활성화돼 있거나 제거돼 있다면 그때는 현재 남아 있는 인증수단과 복구수단을 확인한 뒤 필요한 변경을 진행하는 것이 안전합니다.

자주 묻는 질문