Revoke.cash, Ultimate 구독자의 자동 취소 공백 지적
TREE NEWS 보도: Revoke.cash가 Ultimate 구독자들에게 운영 경고를 발령하며, MetaMask에서 두 가지 특정 조건이 충족되지 않으면 자동 취소(Auto-Revoking) 보호가 조용히 실패할 수 있다고 경고했다. 이 권고는 지난주 Magic Eden과 관련된 보안 사고 이후 나온 것으로, 사용자 지갑 전반에 남아 있는 토큰 승인에 대한 우려가 커지고 있다.
공지에 따르면, 사용자는 먼저 MetaMask 내에서 해당 지갑에 자동 취소 권한을 부여해야 한다. 둘째, 해당 지갑은 해당 네트워크에서 MetaMask 스마트 계정으로 업그레이드되어야 한다. 업그레이드는 일반적으로 인증 흐름 중에 자동으로 이루어지지만, 해당 주소가 이전에 다른 지갑 애플리케이션을 통해 스마트 계정으로 업그레이드된 경우 실패할 수 있다.
스마트 계정 충돌이 중요한 이유
ERC-4337 계정 추상화로 활성화된 스마트 계정은 프로그래밍 가능한 로직, 세션 키, 자동 트랜잭션 실행을 도입한다. 자동 취소는 이러한 프로그래밍 가능성에 의존하여 사용자 개입 없이 위험한 토큰 승인을 주기적으로 제거한다. 그러나 스마트 계정 배포는 네트워크별로 이루어지며 지갑 제공업체 간에 항상 이식 가능한 것은 아니다. 주소가 처음에 다른 앱을 통해 업그레이드된 경우, MetaMask의 재업그레이드 시도가 중단되어 사용자가 보호받고 있다고 믿는 동안 자동화 계층이 비활성 상태로 남을 수 있다.
Revoke.cash는 영향을 받은 사용자들에게 계정 페이지의 자동 취소 모듈을 방문하여 각 네트워크에서 노란색 경고 아이콘이 있는지 확인하라고 안내한다. 경고가 나타나면 해결 방법은 먼저 다른 지갑 앱에서 해당 주소를 표준 계정으로 복원한 다음, MetaMask 스마트 계정으로 재업그레이드하는 것이다.
승인 위생 관리에 대한 광범위한 영향
이번 사건은 DeFi 보안의 지속적인 취약점을 부각시킨다. 토큰 승인은 지갑 드레이너의 주요 공격 표면이며, 사용자들은 자신이 보유한 휴면 권한의 수를 일상적으로 과소평가한다. 자동 취소 도구는 의미 있는 완화책이지만, 조용히 실패할 수 있는 또 다른 의존 계층인 지갑 구성을 추가한다.
- 사용자는 전역적 적용을 가정하지 말고 네트워크별로 자동 취소 상태를 확인해야 한다.
- 구독에 포함된 모든 지갑은 개별적으로 승인되어야 한다.
- 모니터링이 작동하려면 적극적으로 사용하는 모든 네트워크가 활성화되어야 한다.
앞으로의 전망
계정 추상화가 성숙해짐에 따라 지갑 제공업체들이 상호 운용 가능한 스마트 계정 표준으로 수렴하여 이러한 충돌이 줄어들 것으로 예상된다. 그때까지는 이번과 같은 사고 후 위생 점검이 DeFi 보안 수명 주기의 중요한 부분으로 남을 것이다. Magic Eden의 여파는 단일 익스플로잇의 영향 범위가 플랫폼 자체를 훨씬 넘어, 사용자가 보호를 위해 의존하는 도구 생태계로까지 파급된다는 점을 상기시킨다.
