이더리움 재단의 Trillion Dollar Security 이니셔티브가 Freedom of the Press Foundation의 오픈소스 프론트엔드 무결성 도구 WEBCAT에 자금을 댑니다. 지갑과 앱이 로드하는 브라우저 코드가 개발자가 게시한 것과 같은지 확인하게 하려는 것입니다. HTTPS만으로는 그 일을 하지 않습니다. 매일 디파이 사이트를 클릭하는 이더리움 사용자에게 그 틈이 이야기입니다.
이더는 CoinGecko 스냅샷에서 $1,906 근처, 24시간 약 1.8% 상승이었고, 비트코인은 $64,574 근처였습니다. 가격 테이프는 조용합니다. 보안 테이프는 그렇지 않습니다.
무슨 일이 있었나
, 이더리움 재단 Access Cluster는 Trillion Dollar Security(1TS) 프로그램이 Freedom of the Press Foundation에 WEBCAT 계속 개발 그랜트를 배정한다고 올렸습니다. 목표는 분명합니다. 브라우저 코드 검증을 이더리움 지갑과 앱에 넣는 것입니다.
WEBCAT은 web-based code assurance and transparency의 약자입니다. 쉬운 말로, 등록된 사이트가 제공하려는 파일의 서명된 매니페스트를 게시합니다. 브라우저 확장(오늘은 Firefox용 알파)이 도착한 것이 그 매니페스트와 맞는지 확인합니다. 검증이 실패하면 페이지가 막히고 경고가 뜹니다. 등록 기록은 확장이 방문마다 집에 전화하지 않고, 검증된 스냅샷에서 로컬로 검증하도록 설계됐습니다.
그랜트는 흐릿한 연구 수당이 아닙니다. 재단 글에 따르면 지갑이 통합할 수 있는 검증 라이브러리(사용자가 별도 확장이 필요 없게), Chrome과 다른 Chromium 브라우저를 향한 연구, 앱을 등록하는 팀 지원, 독립 보안 감사, 지갑 개발자가 공유 표준을 가질 ERC에 자금이 갑니다. Clear Signing 같은 다른 1TS 작업 옆에 앉히려는 것입니다. 하나는 “내가 무엇을 승인하는가”, 다른 하나는 “이것이 팀이 말하는 프론트엔드인가”입니다.
프로젝트의 공개 저장소는 Freedom of the Press Foundation 아래 github.com/freedomofpress/webcat에 있고, 브라우저 기반 앱의 코드 서명·무결성·투명성 검사를 막는 프레임워크로 설명됩니다. 이니셔티브의 더 넓은 보안 지도는 trilliondollarsecurity.org에서 추적되며, User Experience가 여섯 위험 차원의 첫 번째입니다.
맥락
소매 사용자를 치는 대부분의 이더리움 “해킹”은 합의 실패가 아닙니다. 인터페이스 실패입니다. 익숙한 URL을 열고, 자물쇠는 초록이고, 페이지가 서명을 요청합니다. 지갑은 연결과 페이로드만 볼 수 있습니다. HTTPS만으로는 DNS 하이재킹, CDN 침해, 독이 든 배포가 “보내기” 버튼을 그리는 자바스크립트를 바꿨는지 알 수 없습니다.
그래서 재단은 프론트엔드 해킹을 1TS 안의 인프라 위험으로 잡습니다. WEBCAT의 기원 이야기도 다른 업계에서 같은 점을 말합니다. Freedom of the Press Foundation이 이를 만든 이유의 일부는 미래 SecureDrop 설계가 소스의 브라우저가 업로드 전에 암호화하길 원하기 때문입니다. 암호화 코드 자체가 침해된 서버에서 제공되면, 서버는 암호화 전에 내용을 훔칠 수 있습니다. 프론트엔드를 검증하는 것이 빠진 검사입니다. 브라우저 지갑은 핫 월렛을 디파이 사이트에 연결할 때마다 형제 문제를 만납니다.
사용 맥락이 여기서 중요합니다. DefiLlama 이더리움 수수료 개요는 약 읽음에서 직전 24시간 수수료 대략 $8.5 million(전일 대비 약 15% 낮음), 같은 추출의 체인 엔드포인트에서 이더리움 TVL 약 $41.6 billion을 보였습니다. DefiLlama가 추적하는 거래소의 DEX 거래량은 24시간 약 $6.9 billion이었습니다. 브라우저 UI를 통과하는 진짜 돈입니다. 수수료 차트와 TVL이 WEBCAT이 빨리 나온다고 증명하지는 않습니다. 이더리움을 정산 배관으로 본다면 프론트엔드 무결성 표준이 옆길이 아닌 이유를 보여 줍니다. 그 배관의 더 긴 호는 이더리움 역사를 보십시오.
이는 이번 달 비트코인 쪽 커스터디 놀람과도 나란히 앉습니다. 하드웨어 시드 실패와 피싱 프론트엔드는 다른 버그이지만, 같은 습관을 벌합니다. “평소 앱을 열었다”를 코드가 정직하다는 증명으로 취급하는 습관입니다. 콜드카드 리액션이 그 스펙트럼의 한쪽을 다뤘습니다. WEBCAT은 다른 쪽, 조심스러운 셀프커스터디 앞에 앉은 살아있는 웹 UI를 겨냥합니다.
우리 판단
제 입장: 이번 그랜트는 이번 여름 재단 스택에서 본 “보안 연극 대 나온 장치” 신호 중 더 쓸모 있는 편입니다. 로드맵이 아니라 수수료를 보여 달라는 규칙은 여전합니다. 이름 있는 라이브러리, 감사 예산, Chromium 연구, ERC 초안 경로는 또 한 번의 인식 주간보다 나온 장치에 가깝습니다.
등록이 해결됐다고 보지 않습니다. 채택은 양면 시장입니다. 지갑 팀은 라이브러리를 넣어야 합니다. 앱 팀은 도메인을 등록하고 매 릴리스마다 서명된 매니페스트를 내야 합니다. 양쪽이 움직이기 전까지 사용자는 여전히 신뢰 플러스 HTTPS에 삽니다. 알파 Firefox 확장은 시작이지 커버리지가 아닙니다.
반증 가능한 주장: 2026년 11월 6일 23:59 UTC까지 (a) 이더리움 재단 또는 Freedom of the Press Foundation이 널리 쓰이는 브라우저 지갑(MetaMask, Rainbow, 또는 Rabby)의 생산 릴리스 노트에 WEBCAT 또는 1TS 프론트엔드 검증 라이브러리가 나온다고 확인하는 1차 갱신을 내거나, (b) WEBCAT 스타일 지갑 검증 ERC가 EIPs 저장소 또는 Ethereum Magicians에 번호 있는 초안으로 올라옵니다. 그 기한까지 둘 다 없으면, 이 판단은 지갑 쪽 통합 속도에 너무 낙관적이었습니다.
승리로 치지 않을 것: 또 하나의 블로그 티저, 공개 릴리스 노트 없는 비공개 파일럿, 사용자가 설치할 버전 없는 “곧 나온다” 문구입니다.
다음에 볼 것
첫째, 공개 지갑 변경 로그에 검증 라이브러리가 들어가는지를 보십시오. 릴리스 노트가 콘퍼런스 슬라이드보다 낫습니다.
둘째, 등록을 보십시오. 어떤 디파이·브리지 프론트엔드가 실제로 서명된 매니페스트를 게시하는가. 블루칩 앱의 짧은 목록이 데모의 긴 목록보다 중요합니다. 이더리움 뉴스 카테고리 커버리지가 1차를 통과한 발표를 집어 올릴 것입니다.
셋째, ERC 과정을 보십시오. 번호 있는 초안은 지갑 엔지니어에게 일회성 그랜트 블로그가 아니라 구현할 대상을 줍니다.
넷째, 도구가 따라잡는 동안 평범한 위생을 유지하십시오. 공식 도메인을 북마크하고, 큰 이동에는 하드웨어 확인을 선호하고, 예상 밖 서명 프롬프트는 달리 증명되기 전까지 적대적으로 보십시오. 암호화폐 지갑을 안전하게 쓰는 법 가이드가 여전히 기준 체크리스트입니다.
이더리움은 하룻밤에 완벽한 UX 보안이 필요하지 않습니다. 자물쇠와 서명 사이의 조용한 프론트엔드 교체가 더 적어야 합니다. WEBCAT은 그 층에 대한 구체적인 베팅입니다. 대부분의 사람이 설치하지 않을 또 하나의 확장이 아니라, 사용자가 이미 여는 지갑 안의 라이브러리를 원합니다.