한 줄 답변: 다운로드 파일의 해시를 계산하여 공식 사이트가 게시한 문자열과 한 자도 틀림없이 비교합니다
바이낸스 공식 사이트 APK를 다운로드한 후 이론적으로 한 가지 "안전 핀"이 더 있습니다 — 파일의 SHA256 값 검증입니다. 계산된 해시가 바이낸스 공식 게시 값과 완전히 일치하기만 하면, 이 파일이 중간에 어떤 사람에게 교체되거나 주입되거나 재패키징되지 않았음을 100% 확신할 수 있습니다. 이는 피싱 방지, 트로이 목마 번들 방지의 가장 강력하고 가장 간단한 방법입니다. 신규 사용자도 먼저 바이낸스 가입 후 바이낸스 앱 다운로드를 하고 본문을 따라 검증을 한 번 연습할 수 있습니다.
APK 검증에 30초를 투자할 가치
앱 스토어 밖 세상에는 강력한 검증이 없습니다
Google Play와 Galaxy Store 내부에는 서명 대조 메커니즘이 있어 이 두 스토어에서 설치한 앱은 변조될 가능성이 거의 없습니다. 그러나 공식 사이트 APK는 사용자가 브라우저에서 직접 로컬로 가져오므로, 링크상의 모든 라우터, CDN 노드, 통신사 인터셉트가 공격 진입점이 될 수 있습니다. 해시 검증은 이 링크에 마지막 검증 한 단계를 추가하는 것입니다.
사칭 사이트는 육안으로 구분하기 어렵게 만들 수 있습니다
피싱 사이트의 시각적 모방이 점점 진짜에 가까워지며, SSL 인증서까지 받을 수 있습니다. 그러나 공식과 완전히 일치하는 SHA256을 위조할 방법은 없습니다. 파일이 1바이트만 추가되어도 해시는 완전히 달라집니다.
한 번의 검증은 몇 초만 걸립니다
자기 컴퓨터에서 해시를 실행하는 것은 백신 소프트웨어 설치보다 빠릅니다. 한 번 배우면 평생 사용 가능하며, 검증 절차는 모든 APK, ISO, DMG 파일에 공통입니다.
SHA256란 무엇인가
SHA256은 해시 함수로, 임의 크기의 파일을 고정 길이(64자 16진수)의 문자열로 압축합니다. 핵심 특성은 원본 파일이 1비트만 변경되어도 출력 해시가 완전히 달라진다는 것입니다. 동시에 다른 파일이 같은 해시를 계산할 수 없습니다(실제 충돌 확률은 극히 낮음).
예시: 정품 바이낸스 APK의 SHA256은 다음과 같습니다:
8a2f4b...(64자)
누구든 재패키징, 광고 SDK 추가, 아이콘 변경 후 다시 해시를 계산하면 공식과 일치하지 않습니다.
1단계: 공식 해시 가져오기
공식 게시 위치
- 브라우저로 바이낸스 공식 사이트 다운로드 페이지 열기 (도메인 철자 주의).
- APK 다운로드 버튼 근처에 보통 "검증 정보" 또는 "SHA256" 접힌 영역이 있음.
- 64자 해시 문자열을 복사하여 메모장에 저장.
"피싱 사이트가 준 해시"도 주의
다운로드한 APK 자체가 피싱 사이트에서 온 것이라면 그 사이트가 준 해시도 가짜이며, 일치 검증이 무의미합니다. 그래서 전제는 APK 링크와 해시가 모두 같은, 그리고 진짜 공식 도메인에서 와야 한다는 것입니다. 두 번째 클라이언트(휴대폰 4G, 다른 깨끗한 컴퓨터)를 동시에 열어 공식 도메인이 일치하는지 다시 확인할 수 있습니다.
2단계: 로컬에서 파일 해시 계산
Windows 11/10에서 PowerShell 사용
Win + X로 Windows Terminal 열고, APK 위치 디렉토리로 이동 후 실행:
Get-FileHash -Algorithm SHA256 .\binance.apk
Enter 키 후 1-2초 안에 Hash 필드가 출력됩니다. 이 문자열을 공식 해시와 비교하세요. PowerShell 출력은 대문자, 공식은 소문자일 수 있으며, 이는 형식 차이일 뿐 내용 차이가 아닙니다.
Windows 명령줄 certutil
PowerShell을 사용하지 않으려면:
certutil -hashfile binance.apk SHA256
연속 64자 한 줄이 포함된 출력이 해시입니다.
macOS에서 shasum 사용
터미널을 열고 다운로드 디렉토리로 이동:
shasum -a 256 binance.apk
<해시값> binance.apk 형식의 두 부분 출력에서 앞 부분이 비교할 내용입니다.
Linux에서 sha256sum 사용
sha256sum binance.apk
출력 형식은 macOS와 유사합니다.
Android 휴대폰에서 직접 계산
APK가 휴대폰에 다운로드되었고 잠시 컴퓨터에 연결할 수 없다면, 오픈소스 "Hash Droid" 또는 "Hash Checker" 같은 앱을 설치할 수 있습니다(신뢰할 수 있는 스토어에서 평점이 높은 것 선택). 그런 다음:
- Hash 도구 열기 → 파일 선택.
- 다운로드 디렉토리에서 binance.apk 찾기.
- 알고리즘은 SHA256 선택.
- 시작 클릭, 몇 초 기다리면 해시 출력.
3단계: 육안 비교
절대 눈으로만 보지 마세요
64자를 육안으로 보면 글자가 누락됩니다. 올바른 방법은 공식 해시와 로컬에서 계산한 해시를 같은 텍스트 상자에 각각 붙여넣고, 정렬한 후 한 자도 틀림없는지 확인하는 것입니다.
도구로 자동 비교
Windows 사용자는 다음과 같이 작성할 수 있습니다:
"<공식해시>" -eq (Get-FileHash -Algorithm SHA256 .\binance.apk).Hash
True 출력 시 일치, False 시 불일치.
macOS / Linux:
echo "<공식해시> binance.apk" | shasum -a 256 -c
OK 또는 FAILED 표시.
4단계: 일치하지 않으면 어떻게 하나
즉시 설치 중지
해시가 일치하지 않으면 파일이 변조되었거나 다운로드가 중간에 오류가 났음을 의미합니다. 다시 열려고 시도하지 마세요. 먼저 파일을 다운로드 디렉토리에서 격리 폴더로 옮겨 잘못 클릭하는 것을 방지하세요.
가능한 원인 조사
- 공식 APK를 다시 한 번 다운로드하여 검증. 두 번 모두 결과가 불일치하면 → 링크 가로채기, 네트워크 변경(4G/VPN/통신사 변경) 후 재시도.
- 공식 사이트 도메인 철자 확인: 많은 사람이 한 글자를 잘못 입력하여 사칭 사이트로 들어갑니다.
- 브라우저에 "가속" 또는 "번역" 확장이 설치되어 있는지 확인. 때로 다운로드 내용을 수정합니다.
샘플 신고
변조된 APK를 다운로드한 것이 확인되면 바이낸스 공식 고객센터에 피드백하여 피싱 사이트 추적을 도울 수 있습니다. 안전하지 않은 기기에서는 절대 열지 마세요.
동시 서명 검증 (고급)
SHA256은 무결성만 검증할 수 있으며, 발행자를 직접 증명할 수는 없습니다. 한 단계 더 나아가 APK의 디지털 서명 지문을 검증할 수 있습니다.
keytool 명령 사용
JDK에 자체 탑재된 keytool로 APK 내 서명 인증서를 읽을 수 있습니다:
keytool -printcert -jarfile binance.apk
출력에 SHA256 fingerprint가 있으며, 이는 서명 인증서의 지문입니다(파일 SHA256과 다른 개념). 이 지문을 공식 사이트가 게시한 서명 지문과 비교하면 APK가 바이낸스 개인 키로 서명되었는지 확인할 수 있습니다. 외부 층에서 재패키징되더라도 서명이 무효화되거나 지문이 일치하지 않습니다.
apksigner
Android SDK 도구 apksigner도 검증할 수 있습니다:
apksigner verify --print-certs binance.apk
Verifies 출력 시 서명이 유효합니다. 두 가지 검증을 함께 하면 위조 난이도가 거의 불가능에 가까워집니다.
자주 묻는 질문
검증한 APK를 설치하다가 네트워크가 끊겼는데 재설치 시 다시 검증해야 하나요
필요 없습니다. 설치 중간에 끊겨도 APK 파일 자체는 변경되지 않습니다. 파일이 다운로드 디렉토리에 있고 해시가 여전히 일치하면 안심하고 계속 설치할 수 있습니다.
휴대폰에 이미 사용 중인 구버전 앱은 어떻게 검증하나요
공식 사이트에서 설치한 것이라면 ADB로 APK를 추출하여 해시를 계산할 수 있습니다. 더 간단한 방법은 SHA256으로 공식 사이트 최신 APK를 검증한 후 덮어쓰기 설치하면, 전후 버전 일치로 무결성도 동시에 검증됩니다.
MD5와 SHA256 중 어느 것을 선택해야 하나요
SHA256을 우선 선택하세요. MD5는 충돌 위험이 입증되었습니다. 공격자가 이론상 다른 파일이지만 같은 MD5인 버전을 구성할 수 있습니다. SHA256은 현재 실행 가능한 충돌 공격이 없습니다.
해시가 일치하면 100% 안전한가요
해시 일치는 파일이 변조되지 않았음만 증명할 수 있으며, 전제는 가져온 공식 해시 자체가 진짜라는 것입니다. 그러므로 공식 사이트 도메인 확인, HTTPS 인증서 확인은 여전히 생략할 수 없습니다. 두 층을 함께 해야 완전합니다.
휴대폰에서 직접 해시 검증을 할 수 있나요
가능합니다. 앞서 언급한 Hash Droid, Hash Checker는 모두 로컬 해시 계산을 지원하며, 네트워크에 연결되지 않아도 검증을 완료할 수 있고, APK를 어떤 서버에도 업로드하지 않습니다.
요약
SHA256 검증은 많은 사람이 무시하지만 매우 가치 있는 습관입니다. 다운로드 → 검증 → 설치 이 세 단계를 마치면 피싱 버전에 속아 설치할 확률이 거의 0이 됩니다. 익숙해지면 전체 과정이 1분도 걸리지 않으면서, 자산 입구의 가장 핵심 관문을 지킬 수 있습니다.
지금 시작하기
준비되셨나요? 지금 바이낸스에 가입하기하고 전용 수수료 할인 혜택을 누려보세요.
또는 바이낸스 앱 다운로드하여 언제 어디서나 자산을 관리하세요.