프라이버시 결제 상당수, 비탈릭은 kohaku-cli 사용

비탈릭 부테린(Vitalik Buterin) 이더리움 공동창업자는 프라이버시 프로토콜 결제 상당수를 웹사이트 대신 명령줄 지갑 kohaku-cli로 처리하고 있다. 웹사이트에서 코드를 매번 내려받는 데 따른 우려 때문이다.

부테린은 10월 31일 자신의 글 ‘Digital minimalism’에서 “프라이버시 프로토콜을 통한 결제 중 상당수를 이제 kohaku-cli로 한다”고 밝혔다. 결제 전부가 아니라 상당수를 이 도구로 처리한다는 설명이다.

kohaku-cli는 명령어를 입력해 실행하는 지갑이다. 이용자는 프로그램을 내려받아 자신의 기기에서 실행한다.

개발 저장소는 이 도구가 공개 이더리움(ETH) 계정과 프라이버시 프로토콜 잔액 사이의 자금 이동을 지원한다고 설명한다. 대상 프로토콜로는 토네이도캐시(Tornado Cash), 레일건(Railgun), 프라이버시풀 V1(Privacy Pools V1)을 들었다.

◇ 웹 코드 전달을 줄이는 선택

부테린은 가상자산 웹 앱을 열 때마다 서버에서 코드를 다시 받는 구조를 우려했다. 서버가 침해되면 이용자가 접속한 시점에 악성 코드가 전달될 수 있다는 것이다.

그는 브라우저 종류와 버전, 운영체제, 화면 크기뿐 아니라 클릭과 마우스 움직임도 웹사이트에 드러날 수 있다고 지적했다. 웹사이트를 거치지 않고 로컬 프로그램을 실행하면 방문할 때마다 서버가 제공하는 코드를 받는 절차는 피할 수 있다.

같은 글에서 부테린은 ENS에 연결된 IPFS 해시를 갱신할 때 인공지능(AI)이 작성한 명령줄 도구를 사용했다고 밝혔다. 이 도구와 프라이버시 결제용 kohaku-cli는 서로 다른 프로그램이다.

명령줄과 자체 노드로 브라우저 디앱 사용을 줄이려는 부테린의 흐름은 앞서 본지가 전한 ENS 기록 갱신 사례에서도 드러났다. 이번 글에서는 프라이버시 프로토콜 결제에 사용하는 도구를 구체적으로 언급했다.

◇ 로컬 실행 뒤에도 남는 확인

프로그램을 기기에 설치하면 사용자는 설치할 버전과 의존 패키지를 선택하고 업데이트 경로를 판단해야 한다. 웹사이트에서 코드를 매번 받지 않는다는 사실만으로 로컬에 설치한 코드의 안전성이 입증되지는 않는다.

kohaku-cli 문서는 거래 내용을 준비하거나 시뮬레이션하는 단계와 --broadcast 명령으로 거래를 서명해 네트워크에 제출하는 단계를 구분한다. 부테린이 사용한 정확한 프로그램 버전과 각 결제의 서명 시점은 그의 글에 나오지 않는다.

저장소는 프로그램이 감사를 받지 않았고 개발 중이며 AI의 도움을 받아 작성됐다고 명시한다. 메인넷에서 사용할 경우 자금 손실 위험을 충분히 이해해야 한다는 경고도 담았다.

네트워크 연결도 모두 감춰지는 것은 아니다. 개발 문서는 일부 비-RPC 통신에 Tor를 기본 적용하지만, 이더리움 RPC 연결은 일반 네트워크를 사용한다고 설명한다.

RPC는 지갑이 블록체인 정보를 조회하거나 거래를 전달할 때 쓰는 연결 경로다. 따라서 명령줄 지갑을 실행하는 것만으로 모든 연결 정보가 숨겨지는 것은 아니다.

공개 포럼인 Hacker News 토론에서는 웹에서 코드를 반복해 받지 않으려는 접근에 동의하는 반응과, 미감사 프로그램 및 패키지 의존성도 별도 위험이라는 지적이 함께 나왔다.