Rabby Wallet은 DeFi 사용자에게 안전한가요?

Rabby Wallet 아키텍처 및 보안 재단

1. Rabby Wallet은 GitHub에서 호스팅되는 감사 코드를 갖춘 오픈 소스 브라우저 확장으로 구축되어 암호화 구현 및 서명 처리 논리에 대한 공개 검증을 가능하게 합니다.

2. EIP-712 구조화된 데이터 서명을 사용하여 재생 공격 및 도메인 분리를 방지하고 서명이 특정 dApp 도메인 및 체인 컨텍스트에 바인딩되도록 합니다.

3. 지갑은 BIP-39 및 BIP-44 표준을 사용하여 결정론적 HD 파생을 구현하여 일상적인 작업 중에 마스터 시드를 노출하지 않고 체인당 고유한 주소를 생성합니다.

4. 모든 개인 키 자료는 브라우저의 보안 실행 컨텍스트 내에서 엄격하게 유지됩니다. 서명 중에 원격 API 호출이 이루어지지 않아 서버 측 키 노출이 제거됩니다.

5. 거래 시뮬레이션 엔진은 서명 프롬프트 전에 계약 ABI를 구문 분석하여 정확한 잔액 변경 및 기능 호출을 표시합니다. 이를 통해 실시간 DeFi 상호 작용에서 악성 토큰 승인을 차단했습니다.

크로스체인 위험 표면 분석

1. Rabby는 활성 체인을 자동으로 감지하고 네트워크별 권한을 격리하지만 동일한 계약 주소가 체인 전체에서 재사용되는 경우 Avalanche에서 손상된 단일 승인이 Ethereum으로 전파될 수 있습니다.

2. 체인 추상화 레이어는 미묘한 상태 불일치를 발생시킵니다. 사용자는 Polygon에서 토큰을 승인할 수 있지만 동일한 바이트 코드 패턴으로 인해 Base에서 무의식적으로 미러링된 계약에 대한 액세스 권한을 부여할 수 있습니다.

3. 지갑의 "자동 전환" 기능은 dApp 감지 시 체인 재구성을 트리거하여 사용자가 수동 확인 단계를 건너뛸 때 보조 네트워크에서 의도하지 않은 승인을 초래했습니다.

4. Rabby의 UI에 통합된 크로스 체인 브리지는 표준 지갑 라우팅 로직을 우회하여 서명된 메시지가 대상 체인에서 다르게 해석될 수 있는 모니터링되지 않는 경로를 생성합니다.

5. 거래 미리보기는 크로스체인 가스 추정 오류를 반영하지 않으므로 기본 체인이 아닌 경우 실행이 실패하거나 예상치 못한 수수료 차감이 발생합니다.

2026년에 관찰된 실제 공격 벡터

1. Rabby의 인터페이스를 모방한 피싱 사이트에는 이제 공식 업데이트로 위장한 악성 확장 프로그램을 다운로드하는 가짜 "보안 감사 보고서" 버튼이 포함되어 있습니다.

2. 가짜 dApp은 수정된 RPC 엔드포인트를 Rabby의 연결 계층에 주입하여 유효한 체인 ID 확인을 유지하면서 트랜잭션을 공격자가 제어하는 ​​계약으로 리디렉션합니다.

3. 악의적인 NFT 민트는 이미 승인된 ERC-20 토큰에 대한 자동 허용량 재설정을 트리거하여 세션 전반에 걸쳐 Rabby의 기본 "이 결정 기억" 설정을 활용합니다.

4. 클립보드 하이재킹 공격은 지갑 주소 복사-붙여넣기 작업 중에 Rabby 사용자를 표적으로 삼아 80ms 이내에 대상 주소를 공격자가 제어하는 ​​주소로 바꿉니다.

5. Rabby의 폴백 노드 시스템에서 사용되는 손상된 제3자 RPC 제공업체가 조작된 블록 헤더를 전달하여 잘못된 거래 상태 표시 및 잘못된 확인 신호를 발생시켰습니다.

구성 강화 조치

1. "체인 격리 모드"를 활성화하면 EVM 호환 네트워크 전체에서 공유 권한이 비활성화되어 동일한 계약 주소에 대해서도 별도의 승인이 필요합니다.

2. "시뮬레이션 모드"를 활성화하면 서명 전에 중첩된 외부 호출 및 잠재적인 재진입 경로를 포함하여 전체 계약 호출 트리가 렌더링됩니다.

3. "자동 전환 네트워크"를 비활성화하면 dApp 메타데이터에 의해 트리거되는 자동 체인 변경이 방지되므로 매번 명시적인 사용자 선택이 필요합니다.

4. 검증된 공급자를 사용하여 사용자 정의 RPC 엔드포인트를 설정하면 조작에 취약한 기본 공개 노드에 대한 의존도가 제거됩니다.

5. Rabby의 설정 패널에서 직접 Revoke.cash 통합을 사용하면 지원되는 체인 전체에서 모든 활성 허용량을 한 번의 클릭으로 취소할 수 있습니다.

자주 묻는 질문

Q: Rabby Wallet은 내 개인 키를 서버에 저장합니까? 아니요. Rabby Wallet은 개인 키를 외부로 전송하거나 저장하지 않습니다. 모든 암호화 작업은 브라우저 샌드박스 내에서 로컬로 발생합니다.

Q: Ledger나 Trezor와 같은 하드웨어 장치에서 Rabby Wallet을 사용할 수 있나요? 예. Rabby는 WebUSB를 통해 Ledger Nano X2 및 Trezor Model T와의 직접 통합을 지원하므로 호스트 장치에 키를 노출하지 않고도 모든 EVM 체인에 대한 하드웨어 서명이 가능합니다.

Q: Rabby가 때때로 동일한 거래에 대해 MetaMask와 다른 가스 추정치를 표시하는 이유는 무엇입니까? Rabby는 실시간 멤풀 혼잡 패턴과 과거 성공률에 대해 훈련된 자체 온체인 수수료 예측 모델을 사용하는 반면, MetaMask는 ETH 주유소 API를 사용합니다. 차이는 다양한 데이터 소스와 샘플링 간격으로 인해 발생합니다.

Q: Rabby가 설치된 브라우저 프로필에 액세스할 수 없으면 어떻게 되나요? 귀하의 자산은 원래의 12단어 니모닉 문구를 사용하여 복구 가능한 상태로 유지됩니다. Rabby는 지갑 복구를 브라우저 동기화 또는 클라우드 백업과 연결하지 않으며 시드 문구만 중요합니다.