보안 안내서·Ultrafuzz 재공유한 모나드 혼

모나드(Monad) 공동창업자 키온 혼(Keone Hon)은 30일 가상자산 이용자용 운영 보안 안내서와 스마트계약 분석 도구 Ultrafuzz를 다시 소개했다.

X 원문은 직접 열리지 않았지만, 공개 검색 인덱스에 남은 게시물 내용에는 혼이 AI 기반 공격자 시대를 문제 삼고 보안을 모든 팀의 최우선 과제로 삼아야 한다고 밝힌 취지가 담겼다. 혼의 X 게시물에는 일반 이용자용 안내서와 개발자용 보안 자료, Ultrafuzz가 함께 제시됐다.

개발자용 자료는 EOA(외부 소유 계정)에 관리자 역할을 의존하지 말고, 관리자 기능은 전용 기기에서 서명할 것을 권한다. 혼의 게시물은 새 안내서나 도구의 출시를 알린 내용은 아니다.

‘The Crypto OpSec Bible’은 모나드 웹사이트에 2025년 5월 16일 게시된 기존 안내서다. 작성자는 Omar로 표시돼 있다.

안내서는 피싱과 계정 탈취 대응, 비밀번호와 2단계 인증, 기기와 키 관리, 클라우드·멀티시그 설정, 물리적 보안을 다룬다. 계정과 서명 기기를 지키는 운영 보안에 초점을 둔 자료다.

모나드 재단(Monad Foundation)은 2026년 9월 10일 Ultrafuzz 첫 공개 버전인 v0.1.0을 MIT 라이선스로 공개했다. 공개 안내와 깃허브(GitHub) 저장소는 지원 언어로 Solidity와 Vyper를 명시한다.

Ultrafuzz는 AI 에이전트가 스마트계약 저장소를 분석해 속성과 위협 모델을 만든 뒤 여러 방식으로 결함을 조사하도록 설계됐다. 상태 변화가 없는 시험과 거래 순서 등에 따라 결과가 달라지는 상태 기반 시험을 함께 수행하고 발견 내용을 정리한다.

성능 수치로 제시된 27개 이슈는 모나드 재단 보안팀이 2026년 6월 18일 공개한 파일럿 프로토콜 평가 결과다. 재단은 심각도가 낮음부터 높음까지인 유효 이슈 27개를 찾았다고 밝혔으며, 반복 캠페인에서 누적 발견 수가 11개에서 27개로 늘었다고 설명했다.

재단은 다른 AI 감사 도구의 보고서와도 결과를 대조했다. 외부 도구 보고서에서 Ultrafuzz가 놓친 새 이슈 11개가 나왔고, 재단은 전체 38개 가운데 27개를 찾아 재현율이 71.1%라고 계산했다.

2026년 9월 10일 공개 글에는 이와 별개인 비공개 벤치마크 실험도 담겼다. 재단은 조건별로 다섯 차례 시험한 결과, 탐색마다 퍼징 테스트 작성을 요구하지 않은 NoFuzz 변형이 기존 방식보다 더 많은 이슈를 찾고 토큰 사용량은 줄였다고 보고했다.

재단은 거래 순서나 시간 경과에 좌우되는 결함을 확인하는 데는 상태 기반 시험이 여전히 필요하다고 설명했다. 6월 파일럿의 누적 27개와 9월 벤치마크 결과는 평가 대상과 조건이 다르다.

재단이 공개한 수치는 자체 평가 결과다. 27개는 한 차례 실행에서 나온 수치가 아니며, 71.1%도 독립 검증이나 모든 프로젝트에 적용되는 성능 보증으로 볼 수 없다.

도구 실행 환경에도 주의가 필요하다. Ultrafuzz 공식 보안 문서는 에이전트가 별도의 권한 확인 없이 명령을 실행하고 운영자가 접근할 수 있는 파일과 네트워크를 이용할 수 있다고 명시한다.

문서는 민감한 자격 증명에 접근하거나 파일을 바꿀 위험을 경고하며, 폐기 가능한 격리 가상머신에서 실행하도록 권고한다. Ultrafuzz에는 운영체제 수준의 격리 기능이나 명령·네트워크 허용 목록이 제공되지 않는다.

비공개 코드에 적용하면 대상 코드와 프롬프트, 에이전트 산출물이 설정된 AI 추론 제공업체로 전달될 수 있다. 공식 문서는 도구 사용 전에 해당 업체의 데이터 처리 조건을 확인하도록 안내한다.

깃허브 릴리스 기록에는 2026년 10월 27일 공개된 v0.1.5가 최신 버전으로 표시돼 있다.