분산금융(DeFi)과 디지털 소유권 경제의 폭발적인 증가로 인해 전자지갑은 Web3 세계로 가는 가장 중요한 관문이 되었습니다. 이러한 맥락에서 WalletConnect는 사용자가 개인 키를 공개하지 않고도 개인 지갑을 수만 개의 분산 애플리케이션(DApp)에 안전하게 연결할 수 있도록 하는 오픈 소스 통신 프로토콜로 자리매김했습니다. 그러나 이 프로토콜의 광범위한 인기로 인해 악의적인 행위자에게 큰 공격 표면이 생성됩니다. Tan Phat Digital이 수집한 2025년과 2026년 초의 개인 지갑 침입 데이터를 분석한 결과, WalletConnect 프로토콜 자체가 견고한 암호화 계층을 보유하고 있음에도 불구하고 거래 서명 인터페이스에 대한 사용자의 경계심 부족과 취약성으로 인해 수십억 달러에 달하는 자산 손실이 발생한 것으로 나타났습니다. WalletConnect의 작동 방식과 과도한 DApp 권한 및 지갑 배수와 같은 잠재적인 위험을 이해하는 것은 오늘날의 암호화폐 시장에 참여하는 모든 기업에게 긴급한 요구 사항입니다.
WalletConnect 프로토콜의 기술 아키텍처 및 보안 메커니즘
WalletConnect는 단일 애플리케이션이 아닌 인프라 계층 중립 메시징 계층으로 작동하여 지갑과 분산형 애플리케이션 간에 암호화된 세션을 설정할 수 있습니다. WalletConnect 보안 설계의 핵심은 애플리케이션의 개인 키 저장 권한과 거래 시작 권한을 완전히 분리하는 것입니다. 사용자의 개인 키는 항상 지갑의 보안 영역 내에 안전하게 보관되는 반면, WalletConnect는 E2EE(종단 간 암호화) 거래 서명 요청의 '전달자' 역할만 합니다.
연결 메커니즘은 분산형 애플리케이션이 WalletConnect 표준에 따라 URI를 생성할 때 시작됩니다. 일반적으로 데스크톱에서는 QR 코드로 표시되고 모바일에서는 딥 링크로 표시됩니다. 사용자가 이 코드를 스캔하면 릴레이 서버 시스템(Relay Service)을 통해 연결 세션이 설정됩니다. WalletConnect V2 및 V3 버전의 중요한 기능은 단일 세션이 이더리움, 폴리곤, BNB 체인과 같은 여러 블록체인을 동시에 지원할 수 있도록 하는 다중 체인 세션 관리 기능입니다.
주요 시스템 구성 요소 및 보안 역할:
릴레이 서버: 주요 기능은 지갑과 DApp 간에 암호화된 JSON-RPC 메시지를 중계하는 것입니다. 보안 측면에서는 릴레이가 메시지 내용을 읽을 수 없기 때문에 MITM(Man-in-the-Middle) 공격을 방지하는 데 도움이 됩니다.
URI/QR 코드: 세션 및 대칭 암호화 키에 대한 정보가 포함되어 있습니다. 이 구성 요소는 코드를 스캔하는 엔터티만 통신 세션에 참여할 수 있도록 보장합니다.
WalletKit/AppKit: 서명 및 인증 API를 제공하는 개발 키트(SDK)입니다. 연결하기 전에 도메인을 확인하기 위한 확인 API와 같은 보안 프로세스를 표준화합니다.
스마트 세션: 새로운 기능을 사용하면 개별 주문을 승인하는 대신 프로그래밍 가능한 거래 규칙을 승인할 수 있습니다. 이는 공격자가 사용자를 무작위로 서명하도록 속이기 위해 종종 악용하는 시나리오인 '거래 피로'를 최소화하는 데 도움이 됩니다.
자세히 보기: 피싱 암호화폐 지갑은 다음과 같습니다. What?
무제한 토큰 승인 취약점 분석
Web3 생태계에서 가장 큰 위험은 연결 프로토콜을 통한 개인 키 유출이 아니라 ERC-20 및 ERC-721과 같은 토큰 표준의 승인 메커니즘에서 비롯됩니다. 사용자가 분산형 거래소에서 자산을 교환하려고 하면 애플리케이션은 스마트 계약에 지갑에서 일정량의 토큰을 가져올 수 있는 권한을 부여하는 승인 거래에 서명하도록 사용자에게 요청합니다.
문제는 대부분의 애플리케이션이 가스 요금을 절약하기 위해 "무제한 승인"을 요구할 때 발생합니다. 기술적으로 이 명령을 사용하면 스마트 계약이 언제든지 대상 자산의 지갑을 비울 수 있습니다. DApp의 스마트 계약이 해킹되거나 DApp이 피싱 사이트인 경우 공격자는 사용자의 추가 확인 없이 승인된 모든 자산을 빼돌릴 수 있습니다.
세션 연결과 권한 승인의 차이점:
데이터 저장 위치: Session Connect는 애플리케이션/지갑 캐시(오프체인)에 저장되는 반면, 토큰 승인은 블록체인 원장(온체인)에 직접 기록됩니다.
DApp에 부여된 권한: Session Connect는 지갑 주소 및 전달 제안 번역 보기만 허용합니다. 승인 토큰은 사용자를 대신하여 자산을 사용할 수 있는 권한을 부여합니다.
종료 방법: 간단히 "연결 끊기"를 눌러 세션 연결을 종료할 수 있습니다. 토큰 승인에는 온체인 취소 트랜잭션이 필요하며 가스 비용이 발생합니다.
Drainer Impact: 세션 연결을 악용하여 가짜 서명 요청을 반복적으로 보냅니다. 토큰 승인을 통해 공격자는 추가 서명 없이 자동으로 자금을 인출할 수 있습니다.
2026년 월렛 드레이너 및 피싱 DApp
2025~2026년 월렛 드레이너의 진화는 극도로 높은 수준의 자동화에 도달했습니다. Tan Phat Digital의 관찰에 따르면 오늘날 사이버 범죄 그룹은 MS Drainer와 같은 툴킷을 사용하여 몇 초 안에 피해자의 지갑을 스캔하고 정리합니다.
사용자가 피싱 웹사이트에서 QR 코드를 스캔하면 악성 스크립트가 다음 단계를 수행합니다.
자산 평가: API를 통해 지갑에 있는 모든 토큰과 NFT의 가치를 자동으로 결정합니다. 블록체인.
대상 우선순위 지정: 가장 가치 있는 자산(ETH, 스테이블코인, NFT 블루칩)을 출금 목록에 먼저 추가합니다.
악성 거래 생성: 사용자에게 "신원 확인" 또는 "보너스 등록"으로 위장한 승인 주문에 서명하도록 요청합니다.
Coin 출금 시리즈: 자산을 공격자 지갑으로 이전하고 코인 혼합 서비스를 통해 분산합니다.
데이터에 따르면 2025년에는 158,000건 이상의 사고가 80,000명의 피해자에게 영향을 미쳤으며 총 가치는 7억 1,300만 달러에 달하는 손실을 입었습니다. 범죄 추세는 DApp 상호 작용의 보안 오류를 통해 개별 대상을 공격하는 방향으로 강하게 이동하고 있습니다.
자세히 보기: 핫 지갑이 초보자에게 적합한가요?
블라인드 서명의 위험 인터페이스 정보 부족
블라인드 서명은 가장 치명적인 약점 중 하나입니다. DApp이 WalletConnect를 통해 거래 요청을 보낼 때 데이터는 읽을 수 없는 Hex 코드로 전송되는 경우가 많습니다. 지갑 인터페이스에 긴 문자열과 함께 '계약 상호 작용'만 표시되는 경우 사용자가 실제로 이해하지 못하는 작업에 서명하고 승인하는 것입니다.
기술적인 이유는 지갑에서 계약의 ABI(애플리케이션 인터페이스)에 대한 액세스 권한이 부족하기 때문입니다. 공격자는 ABI가 등록되지 않은 새로운 스마트 계약을 생성하여 사용자가 인식할 수 없는 상태에서 악의적인 명령을 실행함으로써 이 허점을 이용합니다. Tan Phat Digital은 이러한 위험을 제한하기 위해 Rabby Wallet과 같은 강력한 암호 해독 도구가 있는 지갑으로 전환할 것을 사용자에게 권장합니다.
App Store를 통한 애플리케이션 위조 공격 및 악성 코드 배포
가상 위험한 새로운 현상은 Google Play에서 바로 가짜 WalletConnect 애플리케이션이 등장한다는 것입니다. "Mestox Calculator" 또는 "Walletconnect | Web3Inbox"와 같은 애플리케이션은 가짜 별 5개 리뷰 덕분에 수만 건의 다운로드를 속였습니다.
이러한 애플리케이션의 메커니즘은 매우 정교합니다. 처음에는 검열을 우회하는 일반적인 계산 도구로 작동한 다음 외부 서버에서 드레이너 스크립트를 다운로드합니다. Tan Phat Digital은 WalletConnect는 최종 사용자 애플리케이션이 아닌 프로토콜입니다라는 중요한 사실을 강조합니다. "공식 WalletConnect 앱"이라고 주장하는 App Store의 모든 앱은 사기입니다.
차세대 보안 솔루션: 스마트 세션 및 확인 API
WalletConnect V3는 프로토콜을 통해 사용자를 사전에 보호하기 위한 중요한 개선 사항을 도입했습니다.
스마트 세션(조건부 권한 제어): 규칙 세션 전환 정의를 허용합니다. 예를 들어, 24시간 동안 최대 10개의 소액 거래만 서명할 수 있습니다. 이는 "거래 피로"를 최소화하고 DApp이 손상된 경우 피해 범위를 제한하는 데 도움이 됩니다.
Verify API(사기 방지 도메인): 시스템이 도메인 일치(Domain Match) 및 블랙리스트 확인(Scam Check)을 수행합니다.
참고할 확인 상태:
VALID: 녹색 확인 표시가 있는 애플리케이션 이름입니다. 조치: 일반적인 주의를 기울여 거래를 진행할 수 있습니다.
INVALID: 도메인 불일치에 대한 경고입니다. 조치: 가짜일 가능성이 높으므로 즉시 연결을 끊으세요.
위협: 악성 웹사이트에 대한 빨간색 경고가 보고되었습니다. 조치: 사이트를 종료하고 커뮤니티에 신고하세요.
알 수 없음: 확인되지 않은 개체에 대한 알림입니다. 조치: 각별히 주의하세요. 도메인 이름의 연령을 확인하세요.
2026년 MetaMask와 Rabby Wallet의 보안 비교
WalletConnect의 보안은 지갑의 암호 해독 능력에 크게 좌우됩니다. 실제 구현을 통해 Tan Phat Digital은 Rabby Wallet이 MetaMask에 비해 뛰어난 보안 이점을 가지고 있음을 평가합니다.
자동 네트워크 전환: Rabby는 DApp 요청에 따라 네트워크를 자동으로 감지하고 전환하는 반면 MetaMask는 각 전송마다 수동 확인을 요구합니다.
계약 위험 경고: Rabby는 계약 내역 및 투명성을 심층적으로 확인합니다. MetaMask는 주로 제3자 블랙리스트를 기반으로 합니다.
하드웨어 지갑 통합: Rabby는 동시에 여러 계정을 원활하게 지원합니다. MetaMask는 때때로 Ledger/Trezor와 같은 장치에 연결하는 동안 오류가 발생합니다.
디코딩 지침(ABI): Rabby는 DeBank의 데이터를 사용하여 대부분의 DApp을 디코딩합니다. ABI가 확인되지 않은 경우 MetaMask는 종종 Hex 코드를 표시합니다.
거래 시뮬레이션: Rabby는 거래 후 정확한 대차대조표(예: "-100 USDC, +0.03 ETH")를 표시하고 지갑이 비워질 위험이 있는 경우 매우 명확한 경고를 표시합니다.
Tan Phat의 다층 방어 전략 디지털
자산을 보호하기 위해 Tan Phat Digital은 사용자에게 다음 안전 규칙을 적용할 것을 권장합니다.
자산 분리 모델: 하드웨어 지갑(Vault)을 사용하여 자산의 95%를 장기간 보관하고 이상한 웹사이트에 절대로 연결하지 마십시오. 최소 잔고가 있는 핫 지갑(버너)을 사용하여 DApp과 매일 상호 작용합니다.
정기적 승인 제어: Revoke.cash와 같은 도구를 사용하여 한 달에 한 번 이상 사용하지 않는 DApp에 대한 지출 승인을 취소합니다. 항상 승인 토큰의 양을 필요한 실제 개수로 조정하세요.
도메인 황금률: 항상 개인 북마크나 CoinMarketCap과 같은 평판이 좋은 소스에서 DApp에 액세스하세요. 이메일, 다이렉트 메시지(DM) 또는 Google 광고의 링크를 절대 클릭하지 마세요.
세션 연결 끊기: 세션 하이재킹 위험을 방지하려면 거래를 완료한 후 지갑의 WalletConnect 설정에서 "모두 연결 끊기"를 누르는 습관을 들이세요.
WalletConnect 위험에 대해 자주 묻는 질문(FAQ)
1. WalletConnect는 다운로드해야 하는 지갑 앱인가요? 아니요. WalletConnect는 애플리케이션이 아닌 통신 프로토콜입니다. "공식 WalletConnect 앱"이라고 주장하는 App Store/Google Play의 앱은 자산을 훔치도록 설계된 "소모" 악성 코드인 경우가 많습니다.
2. 연결을 끊었는데(연결 끊기) 왜 지갑에서 돈이 계속 인출되나요? "연결 끊기"를 누르면 통신 세션만 종료됩니다. 블록체인에는 토큰 승인 권한(Authorization)이 여전히 존재합니다. 공격자는 귀하가 "취소" 거래를 수행할 때까지 언제든지 이 권한을 사용하여 자금을 인출할 수 있습니다.
3. "무제한 토큰 승인"은 얼마나 위험합니까? 스마트 계약을 통해 지갑에서 거의 무제한의 토큰($2^{256}-1$)을 사용할 수 있습니다. 해당 계약이 해킹되거나 사기성인 경우 더 이상 주문에 서명하지 않고도 해당 토큰을 잃게 됩니다.
4. WalletConnect 사기 DApp을 발견하는 방법은 무엇입니까?
징후를 주의 깊게 살펴보십시오: URL에 몇 글자 차이가 있거나, 특이한 토큰 승인 요청(예: 민트 NFT 사이트의 USDT) 또는 급하게 "무료 에어드롭" 제안을 사용하는 경우가 있습니다.
5. WalletConnect V3의 스마트 세션이란 무엇입니까? 이는 DApp에 대한 특정 지출 규칙(예: 금액 또는 시간 제한)을 설정할 수 있는 기능입니다. DApp은 승인된 범위 내에서만 거래를 수행할 수 있어 DApp이 공격을 받을 경우 피해를 최소화하는데 도움이 됩니다.
6. WalletConnect를 사용할 때 웹사이트에 Seed Phrase를 입력해야 합니까? 전혀 그렇지 않습니다. Mainstream WalletConnect에서는 QR 코드를 스캔하거나 지갑에서 거래에 서명만 하면 됩니다. 12/24 복구 단어를 입력하라는 요청은 모두 사기입니다.
7. "블라인드 서명"이란 무엇이며 왜 위험합니까? 블라인드 서명은 지갑이 스마트 계약 데이터를 해독할 수 없고 의미 없는 Hex 코드만 표시할 때 발생합니다. 정상적인 거래를 확인한다고 생각하면서 실수로 "대체" 주문에 서명할 수도 있습니다.
8. Rabby Wallet은 WalletConnect 위험으로부터 보호하는 데 어떻게 도움이 됩니까?Rabby는 거래 시뮬레이션 도구를 통합하여 서명하기 전에 잔액이 어떻게 변경되는지(예: -100 USDC, +0.1 ETH) 정확하게 보여줍니다. 또한 악의적인 계약과 상호 작용하는 경우에도 경고합니다.
9. 실수로 사기 의심 사이트에 지갑을 연결한 경우 어떻게 해야 합니까? 지금 3단계를 수행하십시오. 1. Revoke.cash를 방문하여 모든 토큰 승인을 취소하십시오. 2. 지갑 설정에서 세션 연결을 끊습니다. 3. 위험이 높다고 생각되면 자산을 새 지갑 주소로 이전하세요.
10. "Verify API"는 나를 어떻게 보호하나요?
두 단계의 검사를 수행합니다. 즉, 가짜 사이트에 있지 않은지 확인하는 도메인 일치와 도메인이 사기로 신고된 경우 경고하는 사기 검사입니다.
11. NFT 승인(setApprovalForAll)의 위험은 무엇입니까? 이 명령은 특정 컬렉션의 전체 NFT를 이동할 수 있는 DApp 권한을 부여합니다. 사기꾼은 종종 "Free Mint NFT"를 사칭하여 이 주문에 서명하도록 속여 귀중한 NFT를 훔칩니다.
12. WalletConnect를 사용할 때 하드웨어 지갑이 계속 출금되는 이유는 무엇입니까? 하드웨어 지갑은 개인 키가 노출되는 것을 방지하지만, 악의적인 사용자를 위한 토큰 승인 거래에 "수동으로" 서명하는 것을 막지는 못합니다. 귀하가 서명하면 공격자는 귀하의 자금을 탈취할 수 있는 체인상의 법적 권리를 갖게 됩니다.
13. "Mestox 계산기"란 무엇인가요?
이것은 2025년 Google Play에서 발생한 유명한 사기 애플리케이션으로, WalletConnect를 사칭하여 사용자를 속여 MS Drainer 악성 코드를 적절한 자산에 설치하고 활성화하도록 합니다.
14. 활성 승인 목록을 어떻게 확인하나요?
Revoke.cash, Etherscan의 검사기 또는 Rabby Wallet에 내장된 승인 관리 기능과 같은 도구를 사용할 수 있습니다.
15. WalletConnect의 WCT 토큰의 역할은 무엇인가요?
WCT 토큰은 프로토콜 거버넌스, 네트워크 보안을 위한 스테이킹, 시스템을 운영하는 지갑/노드 파트너에 대한 보상으로 사용됩니다.
WalletConnect는 위험하지 않습니다. 치명적인 결함을 만드는 것은 작동 메커니즘에 대한 이해 부족입니다. 2026년 시대에는 Tan Phat Digital과 같은 전문가의 지원을 받아 토큰 승인, 블라인드 서명, 고급 보안 도구 사용에 대한 지식을 갖추는 것이 가장 강력한 방패입니다. Web3의 사이버 보안은 고정된 상태가 아니라 지속적인 경계와 책임 있는 조치의 여정입니다.
공유
