지갑 개발자, 보안 회사, 그리고 이더리움 재단의 1조 달러 보안 이니셔티브(Trillion Dollar Security Initiative)로 구성된 이더리움 워킹 그룹은 오늘 블라인드 서명(blind signing)을 종식시키기 위해 설계된 개방형 표준을 발표했습니다. 블라인드 서명은 바이비트(Bybit) 해킹을 포함하여 수십억 달러의 사용자 손실을 초래한 구조적 결함입니다. 이더리움 재단의 1조 달러 보안 이니셔티브는 명확한 서명하기(Clear Signing) 레지스트리의 신뢰할 수 있는 중립적 관리자로서 적극적인 역할을 수행하고 있습니다.
암호화폐 및 블록체인 애플리케이션에서 발생하는 주요 익스플로잇(exploit)을 살펴보면, 마지막 단계는 코드의 버그가 아니라 사용자가 트랜잭션을 승인하는 것인 경우가 많습니다. 피싱이나 인프라 손상으로 인해 침해가 시작되더라도, 마지막 단계는 일반적으로 사용자가 그 의미를 제대로 이해할 수 없는 확인 절차입니다. 트랜잭션을 승인하는 것은 블록체인 상의 자산에 일어나는 일을 통제할 때 최후의 방어선이 되어야 합니다. 맹목적으로 승인이 이루어질 때, 그 방어선은 무너집니다.
사용자와 기관이 수조 달러에 달하는 이더리움 상의 자산을 안심하고 보관하고 상호작용할 수 있으려면, "보이는 대로 서명하기(What You See Is What You Sign, WYSIWYS)"가 우리의 목표가 되어야 하며, 명확한 서명하기(Clear Signing)가 기본값이 되어야 합니다.
오늘날 트랜잭션을 승인한다는 것은 사람이 읽도록 설계되지 않은 정보를 바탕으로 자신이 하려는 작업을 이해하려고 시도하는 것을 의미하는 경우가 많습니다. 위험성이 높은 상황에서 사용자는 세부 정보를 다시 확인하기 위해 별도의 기기에 의존할 수 있으며, 특히 사용 중인 앱이 손상되었을 가능성이 있는 경우 더욱 그렇습니다. 실제 환경에서 이러한 정보는 정확하지만 기술적 전문 지식 없이는 해석하기 어려운 저수준의 기계 판독 가능 형식으로 표시되는 경우가 많습니다.
필요한 것은 이더리움의 기존 및 신규 애플리케이션 모두가 트랜잭션이 수행할 작업에 대해 명확하고 사람이 읽을 수 있는 구조화된 설명을 제공하여, 지갑이 이 정보를 사용자에게 일관되고 신뢰할 수 있게 표시할 수 있도록 하는 방법입니다. 이를 달성하려면 이러한 설명에 대한 공유 형식(ERC-7730), 이를 저장하고 배포할 레지스트리, 정확성을 검증할 방법, 지갑과 개발자가 이 접근 방식을 쉽게 채택할 수 있도록 하는 도구, 그리고 인프라를 지원할 신뢰할 수 있는 중립적인 주체가 필요합니다.
누구나 이 시스템에 설명자(descriptor)를 기여할 수 있습니다. 이들의 정확성은 독립적인 검토와 증명을 통해 검증되며, 지갑은 신뢰할 출처를 결정합니다. 이러한 설명자는 트랜잭션에 직접 포함되는 대신 트랜잭션과 함께 제공되지만, 이 접근 방식을 통해 기존 및 신규 애플리케이션을 모두 지원하면서도 그 정확성을 독립적으로 검증할 수 있습니다.
이더리움 재단의 1조 달러 보안 이니셔티브(One Trillion Dollar Security Initiative)는 이 인프라를 호스팅하고 개발을 지원하는 데 전념하고 있습니다. 생태계 전반의 기여자들이 도구를 구축 및 유지 관리하고 있으며, clearsigning.org를 통해 채택을 장려하여 이더리움에서 명확한 서명하기(Clear Signing)가 기본값이 되도록 돕고 있습니다.
우리는 지갑 개발자들이 이 접근 방식을 채택하고 명확하고 사람이 읽을 수 있는 트랜잭션 확인에 대한 지원을 통합할 것을 권장합니다. 애플리케이션을 구축하는 개발자는 트랜잭션이 수행하는 작업에 대한 정확한 설명을 제공하고, 보안 전문가는 그 정확성을 검토하고 증명할 것을 권장합니다. 1TS를 통해 자금을 지원받은 Rust 및 TypeScript 라이브러리를 포함하여 사용 가능한 도구에 대한 정보는 clearsigning.org에서 확인할 수 있습니다.
명확한 서명하기(Clear Signing)로 전환함으로써, 우리는 최후의 방어선을 강화하고 이더리움 생태계를 더 안전하고 접근하기 쉽게 만들며, 다음 세대의 사용자와 기관의 채택에 더 잘 대비하고 있습니다.
우리는 ERC-7730과 초기 도구, 인프라 및 교육적 노력을 주도한 렛저(Ledger)의 공로를 인정하고 감사를 표하고자 합니다. 이는 연구, 라이브러리 개발, 감사 및 조정 전반에 걸친 기여가 포함된 의도적인 다자간 노력이며, ZKnox, Sourcify, Cyfrin, Zama, WalletConnect, Fireblocks, Trezor, Keycard, 메타마스크(MetaMask), Argot과 같은 팀들과 생태계 전반의 독립적인 기여자들이 참여했습니다.