이더리움재단, 지갑 화면 검증 보안 도구 지원

이더리움재단(Ethereum Foundation)이 지갑과 탈중앙화 애플리케이션(DApp)의 프런트엔드 코드를 검증하는 보안 도구 지원에 나섰다. 스마트계약뿐 아니라 사용자가 실제로 보는 웹 화면까지 보안 점검 범위를 넓힌 것이다.

이더리움재단 생태계지원프로그램(ESP) 공개 목록에 따르면, ‘WEBCAT: Verifiable, Censorship-Resistant Frontends for Web Applications’는 2026년 3분기 보안 분야 지원 프로젝트로 분류됐다. 산출물은 개발자 도구이며 구체적인 보조금 규모와 지급 조건은 공개되지 않았다.

WEBCAT은 자유언론재단(Freedom of the Press Foundation)이 개발하는 오픈소스 도구다. 웹사이트가 브라우저에서 실행하는 코드와 사용자가 기대한 코드가 같은지 검증하도록 돕는다. HTTPS가 접속 암호화와 사이트 인증을 제공하더라도 모든 이용자에게 동일하고 의도된 웹 애플리케이션 코드가 전달됐는지까지 보장하지 못한다는 문제의식에서 출발했다.

크립토 이용자에게는 지갑 연결 화면과 거래 승인 화면의 안전성에 직결되는 문제다. 공격자가 프런트엔드 코드나 도메인, 배포 경로를 바꾸면 사용자는 정상 사이트에 접속했다고 믿으면서도 다른 주소로 송금하거나 의도하지 않은 거래에 서명할 수 있다. 온체인 계약 자체에 문제가 없어도 피해가 발생할 수 있는 구조다.

WEBCAT 공식 문서는 개발자가 웹 애플리케이션 리소스를 담은 서명된 매니페스트를 만들면 브라우저 확장이 참여 도메인의 신뢰 설정과 투명성 로그를 이용해 이를 검증한다고 설명했다. 참여 사이트가 번들 파일을 제공하면 확장 프로그램은 매니페스트와 실행 환경을 대조해 무결성을 검사하고, 검증에 실패한 페이지의 로드를 차단한다.

이번 지원은 이더리움재단의 ‘트릴리언 달러 시큐리티(Trillion Dollar Security)’ 구상과 맞닿아 있다. 재단은 2025년 5월 해당 구상을 발표하면서 지갑 사용자 경험과 프런트엔드 보안, 공급망 공격, DNS 수준 위협을 점검 대상으로 제시했다. 2026년 2월 데브커넥트(Devconnect) 보안 논의에서도 프런트엔드 손상과 DNS 하이재킹, RPC 중앙화, 소프트웨어 공급망 공격이 과소평가된 위험으로 거론됐다. 이더리움 진영은 프로토콜 코드의 취약점을 찾고 검증하는 작업에도 AI를 활용하고 있다.

다만 WEBCAT은 아직 실험 단계다. 모질라(Mozilla) 애드온 페이지는 WEBCAT을 ‘실험용(Experimental)’으로 표시했다. 현재 알파 버전은 웹페이지 속도를 늦추거나 일부 페이지와 충돌할 수 있고, 의도한 보안 기능을 완전히 제공하지 못할 수 있다고 고지하고 있다. 보호 기능도 WEBCAT에 맞게 등록·설정된 웹사이트에서만 작동한다.

WEBCAT 프로젝트는 2026년 5월 업데이트에서 모질라와 클라우드플레어(Cloudflare), 메타(Meta) 관계자가 참여한 리얼 월드 크립토 2026(Real World Crypto 2026) 패널과 WAICT 표준화 논의를 소개했다. 프런트엔드 코드 검증이 크립토 지갑을 넘어 브라우저 보안 전반의 과제로 다뤄지고 있음을 보여준다.

보조금 규모와 개발 일정, 주요 지갑의 통합 계획, 이더리움 DApp 적용 사례는 공개되지 않았다. WEBCAT은 등록된 웹사이트를 대상으로 알파 버전의 검증 기능을 제공하고 있다.

출처: 이더리움재단 ESP 공개 목록, WEBCAT 공식 사이트, WEBCAT 공식 문서, 이더리움재단 블로그, 데브커넥트 보안 논의, 모질라 애드온 페이지, SecureDrop WEBCAT 업데이트