불필요한 권한을 승인하지 않고 Rabby Wallet을 dApp에 연결하는 방법은 무엇입니까?

Rabby의 권한 모델 이해

1. Rabby 지갑은 연결 시 자동으로 권한을 부여하지 않습니다. 모든 액세스 요청은 사용자가 명시적으로 확인해야 합니다.

2. dApp이 연결을 시작하면 Rabby는 요청 도메인, 요청된 계정 범위 및 네트워크 컨텍스트(예: Ethereum Mainnet 또는 BSC Testnet)를 보여주는 모달을 표시합니다.

3. 지갑은 읽기 전용 작업(예: 잔액 가져오기)과 상태 변경 작업(예: 트랜잭션 서명)을 구분하며 각각 별도의 동의가 필요합니다.

4. 권한은 세션에 바인딩됩니다. 브라우저 탭을 닫거나 사용자가 Rabby의 인터페이스를 통해 수동으로 연결을 끊으면 권한이 만료됩니다.

5. Rabby는 엄격한 원본 유효성 검사를 시행합니다. URL이 시각적으로 유사해 보이더라도 iframe, 원본 간 리디렉션 또는 일치하지 않는 호스트 이름의 요청을 거부합니다.

과도한 권한 없이 단계별 연결

1. dApp의 확인된 도메인으로 직접 이동하십시오. DM, 이메일 또는 제3자 수집자의 링크를 절대 클릭하지 마십시오.

2. “지갑 연결”을 클릭하고 지갑 목록에서 Rabby를 선택하세요. 동일한 브라우저 프로필에서 삽입된 다른 지갑이 활성화되어 있지 않은지 확인하세요.

3. Rabby 팝업에서 하위 도메인 및 TLD를 포함하여 정확한 호스트 이름이 브라우저 주소 표시줄의 호스트 이름과 일치하는지 확인하세요.

4. dApp의 코드를 감사하고 그 의미를 이해하지 않는 한 "모든 토큰 승인", "무제한 허용" 또는 "전체 계약 액세스"라고 표시된 요청을 거절하세요.

5. Rabby에 내장된 권한 토글을 사용하여 필요한 특정 계정과 네트워크에만 액세스를 제한합니다. "모든 계정" 또는 "모든 네트워크"를 선택하지 마세요.

위험한 권한 프롬프트 인식

1. 동시에 3개 이상의 ERC-20 토큰에 대한 승인을 요청하는 프롬프트는 매우 이례적이며 즉각적인 거부가 필요합니다.

2. 사람이 읽을 수 있는 설명 없이 원시 16진수 데이터를 포함하는 서명 요청은 의심스러운 것으로 처리되어야 합니다.

3. Rabby는 비표준 계약 상호 작용을 빨간색 경고 아이콘으로 표시합니다. Etherscan 또는 Blockchair에서 계약 주소를 검증하지 않은 한 이를 무시하지 마십시오.

4. 비정상적으로 높은 가스 한도(>500,000)와 함께 프롬프트에 "가스 추정 실패"가 표시되면 재진입 또는 무한 루프 시도를 나타낼 수 있습니다.

5. 사전 로컬 개발 설정 없이 localhost 또는 127.0.0.1에서 발생하는 요청은 완전히 차단되어야 합니다.

활성 연결 관리

1. Rabby 확장 프로그램 열기 → 톱니바퀴 아이콘 클릭 → '연결된 사이트'로 이동하여 현재 승인된 모든 도메인을 확인하세요.

2. 각 항목에는 마지막으로 사용된 타임스탬프, 네트워크 및 승인된 범위가 표시됩니다. 잔액 확인만 의도한 경우 "읽기 + 서명"을 사용하여 취소합니다.

3. Rabby는 사이트별 권한 취소를 지원합니다. "제거"를 클릭하면 다른 연결에 영향을 주지 않고 모든 액세스가 차단됩니다.

4. 개인 정보 기본 설정에서 "알 수 없는 사이트 자동 거부" 설정을 활성화하여 무단 연결 시도를 자동으로 차단할 수 있습니다.

5. 연결된 사이트 메타데이터는 IndexedDB에 로컬로 저장됩니다. 연결 흐름 중에는 서버 측 로깅이나 원격 측정이 전송되지 않습니다.

자주 묻는 질문

Q: Rabby는 dApp에 연결할 때 내 개인 키를 저장합니까? 아니요. Rabby는 절대 개인 키를 원격 서버에 전송하거나 저장하지 않습니다. 모든 암호화 작업은 Web Crypto API를 사용하여 브라우저 샌드박스 내에서 발생합니다.

Q: 연결 후 dApp에서 내 거래 내역을 볼 수 있나요? eth_getLogs 또는 유사한 RPC 메소드를 통해 과거 트랜잭션을 가져오는 요청을 명시적으로 승인한 경우에만 — Rabby는 기본적으로 기록 데이터를 노출하지 않습니다.

Q: Rabby가 초기 연결 시 "메시지 서명" 권한을 요청하는 이유는 무엇입니까? 이는 도메인 바인딩 확인에만 사용됩니다. 메시지에는 현재 호스트 이름과 연결된 암호화로 서명된 임시 값이 포함되어 있으며 60초 이내에 만료됩니다.

Q: Rabby를 여러 dApp에 동시에 연결해 두는 것이 안전한가요? 예, 각 연결을 개별적으로 검토했다면 가능합니다. Rabby는 출처별로 권한을 분리합니다. 어떤 dApp도 다른 사람의 승인된 범위에 대한 가시성을 얻지 못합니다.