사용자가 Phantom 지갑으로 Uniswap에 접속하거나 OpenSea에서 NFT를 거래하거나 Aave에 유동성을 제공할 때, 화면에 “지갑 연결” 버튼이 나타난다. 누르는 순간 dApp은 사용자의 지갑에 접근할 수 있는 권한을 요청한다. 대부분의 사용자는 이 순간을 깊이 생각하지 않는다. 연결하면 거래가 되니까 그렇게 하는 것이 당연하다고 본다. 하지만 그 권한 요청에는 여러 층위가 있고, 각 층위마다 실제 위험도가 다르다.
비수탁형 지갑인 Phantom은 사용자의 개인 키를 직접 관리하며, dApp 연결 시에도 지갑이 사용자의 승인 없이 자동으로 자산을 이동시킬 수 없다. 하지만 “승인 없이 이동할 수 없다”는 말이 “어떤 권한 요청도 안전하다”는 뜻은 아니다. 브라우저 확장 프로그램이든 모바일 앱이든, 지갑과 dApp 사이에 주어지는 권한의 종류와 범위를 정확히 이해해야 사용자가 필요 이상의 노출을 피할 수 있다. 특히 DeFi 서비스나 NFT 마켓플레이스처럼 자산 가치가 오고가는 환경에서는 더욱 그렇다.
dApp 연결 시 요청되는 권한의 계층 구조
Phantom 지갑이 dApp에 연결되면 먼저 지갑이 요청하는 것은 공개 주소 노출 권한이다. 이것은 가장 기본적인 수준의 권한으로, dApp이 사용자의 공개 주소와 잔액을 읽을 수 있게 해준다. 공개 주소는 이름 그대로 공개된 정보이므로, 누구나 블록체인 탐색기에서 볼 수 있다. 하지만 지갑이 특정 dApp에 주소를 명시적으로 제공함으로써, dApp이 그 주소를 추적하고 거래 기록을 분석할 수 있다는 뜻이다. 이를 통해 dApp 운영자는 사용자의 거래 패턴, 자산 규모, 활동 시간대를 학습할 수 있다.
두 번째 계층은 트랜잭션 서명 권한이다. 이것은 사용자가 직접 “거래하기” 같은 액션을 취할 때 활성화된다. 예를 들어 Uniswap에서 토큰을 교환하려면, 사용자가 교환할 토큰의 양과 목표 토큰을 지정하고 지갑에 거래 서명을 요청해야 한다. 이 단계에서 Phantom은 거래의 내용을 미리 보여준다. 즉, 누가 누구에게 얼마를 보내는지를 명시적으로 표시하고, 사용자가 그것을 승인할지 거부할지 선택하게 한다. 이것은 사용자의 의지가 직접 반영되는 일회성 권한이므로, 위험도가 상대적으로 낮다.
세 번째 계층은 토큰 승인(Approve) 권한이다. 이것이 가장 혼동하기 쉬운 부분이다. DeFi 프로토콜에서 사용자가 자신의 토큰을 이용하려면, 사용자가 스마트 컨트랙트에 “이 주소가 내 토큰을 사용할 수 있도록 허락한다”는 거래를 먼저 보낼 필요가 있다. 이것이 Approve 거래이며, 일단 한 번 승인되면 스마트 컨트랙트는 사용자의 명시적 승인 없이 정해진 한도까지 토큰을 인출할 수 있다. 예를 들어 Aave에 USDC를 담보로 예치하려면, 사용자가 먼저 Aave 컨트랙트에 “USDC 무제한 사용을 허락한다”는 Approve 거래를 보내야 한다.
이 세 계층은 권한의 속성이 전혀 다르다. 첫 번째 주소 노출은 이미 공개된 정보의 “연결”일 뿐이지만, dApp이 사용자를 추적할 수 있게 된다. 두 번째 거래 서명은 매번 사용자의 명시적 확인이 필요하므로 자동성이 없다. 세 번째 토큰 승인은 일단 허락되면 자동으로 작동할 수 있으며, 이것이 가장 높은 수준의 권한이다.
토큰 승인 권한의 실제 위험도 분석
토큰 승인 권한이 높은 위험도를 가지는 이유는 그 범위의 모호성 때문이다. 사용자가 Approve 거래를 보낼 때, 일반적으로 두 가지 옵션이 제시된다. 첫 번째는 “정확한 양만큼 승인”하는 것이고, 두 번째는 “무제한 승인”하는 것이다. 무제한 승인을 선택하면 dApp의 스마트 컨트랙트는 사용자가 새로이 수동으로 승인을 취소하거나 변경할 때까지, 그리고 사용자가 정지(Revoke) 거래를 보낼 때까지 사용자의 토큰을 계속 사용할 수 있다.
많은 사용자는 무제한 승인이 편하다고 생각한다. 같은 dApp을 계속 사용할 때마다 새로운 Approve 거래를 보낼 필요가 없기 때문이다. 하지만 그 편의성은 보안 비용을 초래한다. 만약 dApp의 스마트 컨트랙트에 버그가 있거나, dApp의 운영자가 악의적으로 행동하거나, 또는 해커가 dApp의 컨트랙트를 제어하게 되면, 무제한 승인을 받은 모든 토큰이 위험에 노출된다. 2022년 Horizon 브리지 해킹 사건 같은 경우, 사용자들이 dApp에 무제한 승인을 준 토큰들이 대량으로 탈취되었다.
정확한 양만큼 승인하는 것이 더 안전하지만, 그렇다고 해서 완전히 위험이 없는 것은 아니다. 첫째, 사용자가 정확한 양을 추정하기 어려울 수 있다. 예를 들어 유동성 풀에 추가할 토큰의 정확한 양이 몇 분에 걸쳐 변할 수 있으므로, 사용자가 미리 정한 금액이 실제로 필요한 것보다 부족할 수 있다. 둘째, dApp이 전달하는 Approve 금액 자체가 조작되었을 수도 있다. 악의적 dApp은 사용자가 보는 것과 다른 금액을 블록체인에 기록하도록 할 수 있다.
따라서 사용자가 취할 수 있는 실질적인 대응 전략은 다음과 같다. 첫째, 신뢰하지 않는 dApp에는 무제한 승인을 절대 주지 않는다. 둘째, 장기간 사용하지 않을 dApp에는 정기적으로 승인을 취소(Revoke)하는 거래를 보낸다. 셋째, 높은 가치의 토큰(ETH, USDC 등)에 대해서는 특히 신중하게 승인 범위를 제한한다. 넷째, Phantom의 안전한 암호화폐 지갑 다운로드 페이지에서 최신 버전을 유지하고, 지갑의 설정에서 dApp 권한 목록을 정기적으로 확인한다.
스마트 컨트랙트 버그와 권한의 상관관계
dApp 권한 관리가 어려운 이유 중 하나는, 권한을 주는 대상인 스마트 컨트랙트의 안전성을 사용자가 직접 검증할 수 없다는 점이다. Uniswap, Aave, Curve 같은 유명 프로토콜도 공식적으로 감시 대상이지만, 작은 규모의 신생 dApp이나 새로운 체인에 배포된 컨트랙트는 감시 부족으로 인해 버그를 가질 수 있다. 2023년 여러 DeFi 프로토콜 해킹 사건들은 대부분 스마트 컨트랙트의 논리적 결함에서 비롯되었다.
권한 범위와 버그의 관계는 직접적이다. 무제한 Approve를 받은 토큰이 많을수록, 한 번의 버그나 해킹으로 인한 손실 규모가 커진다. 따라서 새로운 프로토콜이나 체인일수록, 그리고 그 프로토콜의 감시 이력이 짧을수록, 사용자가 제한된 금액만 승인해야 한다는 원칙은 더욱 강해진다. 반대로 Solana, Ethereum 메인넷에서 오래 운영되어온 Uniswap v3 같은 경우, 코드가 공개되어 있고 감시 대상이 되어온 만큼 신뢰도가 높다. 하지만 신뢰도가 높다는 것이 “무제한 승인을 해도 된다”는 뜻은 아니다.
사용자가 권한 수준을 결정할 때 고려해야 할 요소는 네 가지다. 첫째, 프로토콜의 나이와 감시 이력이다. 얼마나 오래 운영되었고, 감사(Audit)를 받았는가. 둘째, 사용자가 그 프로토콜에 일시적으로만 접근할 것인가, 아니면 장기적으로 사용할 것인가. 셋째, 그 프로토콜에 맡길 자산이 전체 자산 중 얼마나 중요한가. 넷째, 사용자가 정기적으로 권한을 정리하고 모니터링할 시간이 있는가.
NFT 마켓플레이스와 컬렉션 레벨 권한
DeFi 프로토콜의 토큰 Approve 권한과는 다른 형태의 권한이 NFT 마켓플레이스에서 요청된다. OpenSea, Magic Eden, Blur 같은 NFT 마켓플레이스에 지갑을 연결하면, 사용자는 종종 “컬렉션 레벨” 승인을 요청받는다. 이것은 특정 NFT 컬렉션 전체에 대한 판매 권한을 마켓플레이스에 준다는 뜻이다.
컬렉션 레벨 승인의 위험도는 토큰 Approve와 비슷하지만, 그 영향이 더 직관적이다. 예를 들어 사용자가 OpenSea에 Pudgy Penguins 컬렉션에 대한 컬렉션 레벨 승인을 주면, OpenSea는 사용자의 모든 Pudgy Penguins NFT를 자동으로 판매할 권한을 얻는다. 만약 OpenSea의 컨트랙트에 버그가 있거나 운영자가 악의적이라면, 사용자의 모든 Pudgy Penguins NFT가 위험에 빠진다. 더욱 심각한 것은, 사용자가 NFT를 옮기면서 기존 권한을 완전히 정리하지 않으면, 여러 마켓플레이스가 동시에 같은 NFT에 대한 판매 권한을 유지할 수 있다는 점이다.
NFT 마켓플레이스 권한 관리의 핵심은 명시성이다. 사용자가 어떤 마켓플레이스에 어떤 컬렉션의 판매 권한을 주었는지 명확히 기록하고, 더 이상 사용하지 않는 마켓플레이스의 권한은 정기적으로 취소해야 한다. Phantom 모바일 앱에서는 “연결된 dApp” 목록을 확인할 수 있으며, 각 dApp의 연결을 해제할 수 있다. 하지만 연결 해제만으로는 부족한데, 이미 준 컨트랙트 레벨 권한(토큰 Approve나 NFT 컬렉션 승인)까지 취소해야 완전히 권한이 제거된다.
권한 모니터링과 정기 감사 전략
일단 권한을 준 후에 많은 사용자는 그것을 잊어버린다. 하지만 주기적인 권한 감사는 보안 위생의 필수 요소다. Etherscan이나 Solscan 같은 블록체인 탐색기에서 사용자의 주소를 검색하면, 그 주소가 준 모든 토큰 Approve 거래와 NFT 컬렉션 승인을 볼 수 있다. 또는 Revoke.cash 같은 전용 도구를 사용하면, 사용자가 어느 스마트 컨트랙트에 어떤 권한을 줬는지 한눈에 볼 수 있고, 필요시 권한을 즉시 취소할 수 있다.
정기 감사의 주기는 사용자의 활동 규모에 따라 다르다. 매일 여러 dApp에 접근하는 활발한 사용자라면 매월 한 번, 주 1-2회 정도만 사용하는 사용자라면 분기별로 한 번 감사를 하는 것이 합리적이다. 감사 시 확인해야 할 항목은 첫째, 현재 사용 중인 dApp만 권한을 유지하고 있는지 여부다. 둘째, 무제한 Approve를 받은 계약이 있는지, 있다면 정말 필요한지 여부다. 셋째, 매우 오래된 권한(1년 이상)이 있는지, 있다면 그 dApp이 여전히 활발히 운영 중인지 여부다.
권한 취소 거래를 보낼 때도 비용이 발생한다. Ethereum 메인넷에서는 가스비가 소요되고, Polygon이나 Solana에서는 수수료가 미미하지만 거래 자체는 필요하다. 따라서 권한을 너무 자주 취소하거나, 불필요하게 많은 권한을 주는 것 모두 경제적 비효율이다. 사용자가 처음부터 권한을 신중하게 주면, 나중에 감사와 취소의 부담이 줄어든다.
멀티체인 환경에서의 권한 복잡성
Phantom이 Solana, Ethereum, Polygon, Bitcoin 등 여러 체인을 지원하면서, 사용자의 권한 관리는 더욱 복잡해졌다. 같은 dApp이라도 체인에 따라 배포된 스마트 컨트랙트 주소가 다르고, 각 체인마다 별도의 권한 추적이 필요하다. 예를 들어 Uniswap은 Ethereum, Polygon, Arbitrum 등에 모두 배포되어 있으며, 각각에서 사용자는 별개의 Approve 거래를 보낼 필요가 있다.
이러한 멀티체인 구조의 위험은 사용자의 관리 부하 증가다. 한 사용자가 다섯 개의 체인에서 활동한다면, 감시해야 할 dApp 권한 목록도 체인당 여러 개씩 늘어난다. 더 위험한 것은, 사용자가 어떤 체인에 어떤 권한을 줬는지 기억하지 못한다는 점이다. Phantom 지갑은 각 체인에 대한 연결 상태를 표시하지만, dApp 권한의 세부 목록(토큰 Approve, NFT 승인 등)은 각 체인의 블록체인 탐색기에서 직접 확인해야 한다.
멀티체인 환경에서의 권한 관리 모범 사례는 다음과 같다. 첫째, 가장 많이 사용하는 체인(보통 Ethereum 메인넷)부터 권한을 정리하기 시작한다. 둘째, 매월 같은 요일에 “권한 감시의 날”을 정해서, 모든 활동 중인 체인을 한 번에 확인한다. 셋째, 테스트 용도로 새로운 프로토콜을 시도할 때는, 메인넷이 아닌 테스트넷(Sepolia, Goerli)에서 먼저 한 번 거쳐본다. 넷째, 큰 자산을 옮길 때는 되도록이면 별도의 주소나 격리된 지갑을 사용해서, 권한 누적을 막는다.
하드웨어 지갑 연동과 권한의 관계
Phantom은 Ledger, Trezor 같은 하드웨어 지갑과 연동할 수 있다. 하드웨어 지갑을 사용하면 개인 키가 인터넷에 노출되지 않으므로, 기술적으로는 더 안전하다. 하지만 권한 관리의 측면에서 보면, 하드웨어 지갑이 모든 위험을 제거하지는 못한다. 왜냐하면 dApp 연결 시 요청되는 주소 노출, 토큰 Approve, NFT 컬렉션 승인 같은 권한들은 개인 키의 보안 수준과는 별개의 문제이기 때문이다.
하드웨어 지갑을 사용하는 사용자도, 같은 dApp에 무제한 토큰 Approve를 주거나 불필요한 권한을 방치하면 손실을 입을 수 있다. 단지 손실의 메커니즘이 다를 뿐이다. 소프트웨어 지갑은 개인 키 유출로 인한 직접적인 도용 위험이 있지만, 하드웨어 지갑을 사용한 경우 그 위험은 낮아지는 대신, dApp의 버그나 악의적 행동에 의한 권한 악용 위험은 여전히 남는다.
따라서 하드웨어 지갑 사용자도 같은 수준의 권한 관리를 해야 한다. 오히려 하드웨어 지갑 사용자는 권한 취소 거래를 보낼 때 하드웨어 기기를 연결해야 하므로, 더 번거롭다. 이것은 역설적으로, 사용자가 처음부터 권한을 더욱 신중하게 부여할 동기를 제공한다. 취소하기 어려우면, 주는 것도 신중해야 하기 때문이다.
실전 권한 관리 체크리스트
사용자가 dApp에 연결할 때마다 실행할 수 있는 간단한 체크리스트를 정리하면 다음과 같다. 첫째, 이 dApp이 정말 필요한가? 정말 필요하다면, 언제까지만 사용할 예정인가? 만약 한두 번만 사용할 거라면, 무제한 Approve를 주지 않는다. 둘째, 이 체인과 이 dApp의 조합이 얼마나 신뢰할 만한가? Ethereum 메인넷의 유명 프로토콜이라면 신뢰도가 높지만, 새로운 체인의 신생 프로토콜이라면 신중해야 한다.
셋째, 이 거래에서 내가 최대로 잃을 수 있는 금액이 얼마나 되는가? 만약 그 금액이 자신의 전체 자산의 10% 이상이라면, 별도의 보안 조치를 고려해야 한다. 넷째, 이 dApp의 권한을 주기적으로 감시할 시간이 있는가? 만약 없다면, 최소한 분기별로라도 한 번은 권한 목록을 확인하기로 마음먹어야 한다. 다섯째, Phantom 설정에서 이 dApp의 연결을 쉽게 해제할 수 있는가? 대부분의 경우 가능하지만, dApp의 규모나 종류에 따라 해제 프로세스가 달라질 수 있다.
마지막으로, 권한을 줄 때 항상 “최소 권한의 원칙”을 기억해야 한다. 필요한 것보다 많은 권한을 주지 않고, 필요한 기간보다 길게 유지하지 않는다는 원칙이다. Web3 환경에서는 사용자가 스스로의 자산을 보호하는 최후의 방어선이다. Phantom 같은 비수탁형 지갑을 사용한다는 것은 편의성을 얻는 대신, 권한 관리라는 책임을 함께 얻는다는 뜻이다.
자주 묻는 질문
토큰 Approve를 무제한으로 줬다면 어떻게 해야 하는가?
Revoke.cash나 블록체인 탐색기(Etherscan, Solscan 등)에 접속해서 해당 스마트 컨트랙트 주소를 찾은 후, 그 컨트랙트에 대한 Approve 거래를 보내 권한을 0으로 설정하면 된다. 권한 취소는 거래이므로 가스비가 발생한다. 만약 같은 dApp을 다시 사용해야 한다면, 나중에 다시 Approve 거래를 보내면 된다.
NFT 컬렉션 권한도 취소해야 하는가?
네, 특히 더 이상 사용하지 않는 마켓플레이스의 컬렉션 권한은 취소하는 것이 좋다. OpenSea, Blur, Magic Eden 등 서로 다른 마켓플레이스가 같은 NFT에 대한 판매 권한을 가지고 있을 수 있으므로, 정기적으로 정리해야 한다. 취소 방법은 각 마켓플레이스의 설정 메뉴에서 “권한 관리” 또는 “Revoke” 옵션을 찾거나, 블록체인 탐색기에서 직접 취소할 수 있다.
