Phantom에서 dApp 권한을 취소하는 방법은 무엇입니까? (보안감사)

팬텀 지갑의 권한 지속성 이해

1. Phantom은 dApp 권한을 로컬 저장소에 저장하고 연결된 각 사이트를 고유한 도메인 해시 및 부여된 계정 액세스 권한 세트와 연결합니다.

2. 사용자가 명시적으로 취소하거나 지갑 설정을 통해 제거하지 않는 한 세션 종료 또는 브라우저 다시 시작 후에도 권한이 자동으로 지워지지 않습니다.

3. dApp은 모든 쿼리에 대해 서명 승인을 요구하지 않고도 공개 주소, 네트워크 상태 및 토큰 잔액을 포함한 지갑 메타데이터에 대한 읽기 액세스 권한을 유지할 수 있습니다.

4. 전송 또는 계약 상호 작용과 같은 서명 기반 작업은 항상 사용자 확인 메시지를 표시하지만 권한 지속성을 통해 반복된 승인 메시지 없이 원활한 재연결이 가능합니다.

5. 권한 철회 시 캐시된 거래 내역이나 저장된 지갑 문구는 삭제되지 않습니다. 이는 dApp과 지갑 인스턴스 간의 신뢰 관계만 끊습니다.

단계별 권한 철회 절차

1. Phantom 브라우저 확장 프로그램을 열고 브라우저 도구 모음의 오른쪽 상단에 있는 Phantom 아이콘을 클릭하세요.

2. 드롭다운 메뉴에서 설정을 선택한 다음 연결된 사이트 탭으로 이동합니다.

3. 목록에서 대상 dApp을 찾으세요. 도메인은 연결 상태를 나타내는 아이콘과 함께 알파벳 순서로 표시됩니다.

4. dApp 항목 옆에 있는 제거 버튼을 클릭합니다. 최종 확인을 요청하는 확인 모드가 나타납니다.

5. 예, 제거합니다를 클릭하여 제거를 확인합니다. dApp은 즉시 목록에서 사라지고 모든 이전 액세스 권한을 잃게 됩니다.

해지 후 행동에 미치는 영향

1. 인터페이스의 연결 버튼을 통해 수동으로 다시 연결하지 않는 한 dApp은 더 이상 Phantom 지갑을 감지하지 않습니다.

2. 해당 도메인에 연결된 모든 캐시된 계정 식별자가 제거되어 dApp이 다음 상호 작용 시 전체 재인증을 요청하도록 강제합니다.

3. 취소 전에 시작된 보류 중인 서명 요청은 만료되거나 거부될 때까지 유효하지만 새 요청에는 새로운 승인 절차가 필요합니다.

4. Phantom 내에서 볼 수 있는 거래 내역은 dApp이 아닌 지갑별로 로컬로 저장되므로 그대로 유지되며 영향을 받지 않습니다.

5. dApp이 클라이언트 측 주소 캐싱을 구현하는 경우 사용자는 이전 주소가 계속 표시되는 것을 볼 수 있지만 Phantom은 명시적인 재승인 없이는 자동 서명하거나 데이터를 주입하지 않습니다.

취소되지 않은 dApp 액세스의 위험

1. 악의적이거나 손상된 dApp은 잔액 변경을 자동으로 모니터링하거나 페이지 로드 시 승인되지 않은 지갑 감지 스크립트를 트리거할 수 있습니다.

2. 합법적인 인터페이스를 모방하는 피싱 도메인은 시각적 경고를 트리거하지 않고 지갑 상태를 수집하기 위해 느린 권한을 악용할 수 있습니다.

3. 허용된 dApp의 크로스 사이트 스크립팅 취약점으로 인해 노출된 지갑 메타데이터가 제3자 추적자에게 유출될 가능성이 있습니다.

4. 일부 dApp은 localStorage 또는 IndexedDB에 지갑 주소를 캐시합니다. 취소 시 삭제되지 않으면 잔여 식별자가 브라우저 저장소에 남아 있을 수 있습니다.

5. 철회는 이전에 서명된 메시지나 거래를 소급하여 무효화하지 않지만 향후 자동화된 데이터 노출을 중단합니다.

자주 묻는 질문

Q: 권한을 취소하면 dApp의 백엔드 서비스에서 내 지갑의 연결도 끊어지나요? A: 아니요. Phantom 철회는 프런트엔드 지갑 삽입 레이어에만 영향을 미칩니다. dApp 자체에서 관리하는 백엔드 세션은 dApp의 로그아웃 메커니즘이나 토큰 만료에 의해 별도로 종료될 때까지 활성 상태로 유지됩니다.

Q: 모바일 팬텀 앱에 대한 접근권한도 같은 방법으로 철회할 수 있나요? A: 아니요. Mobile Phantom은 연결된 사이트 인터페이스를 노출하지 않습니다. 사용자는 앱을 삭제하고 다시 설치하거나 설정 > 고급에서 지갑 재설정 옵션을 사용하여 모든 연결을 해제해야 합니다.

Q: 권한을 취소하면 해당 dApp 마켓플레이스에 보관된 NFT 또는 토큰을 보는 능력에 영향을 미치나요? 답: 직접적으로는 아닙니다. 여전히 목록을 탐색하고 자산을 볼 수 있지만 입찰, 청구 또는 전송과 같은 지갑 연결 기능을 사용하려면 Phantom을 다시 연결하고 권한을 다시 승인해야 합니다.

Q: 여러 dApp 권한을 한 번에 일괄 취소할 수 있는 방법이 있나요? A: Phantom은 일괄 취소를 지원하지 않습니다. 각 dApp은 연결된 사이트 목록을 통해 개별적으로 제거되어야 합니다. 이 작업을 자동화하는 숨겨진 개발자 토글이나 콘솔 명령은 없습니다.