📌 월렛커넥트 기술 분석 시리즈 #2: QR 코드로 바뀌는 연결 방식

안녕하세요, BQ개발자입니다.

지난 편에서 스마트 세션을 통한 승인 문제 해결을 살펴봤다면, 이제 그 승인 요청을 어떻게 안전하게 전달할 것인가가 남은 과제 중 하나입니다.

실제로 WC를 사용해보신 분들은 아시겠지만, 스테이킹을 하거나 거버넌스에 참여할 때 QR 코드를 스캔하는 방식으로 연결할 수 있습니다.
메타마스크처럼 브라우저에 확장 프로그램을 설치하는 대신, 모바일 지갑 앱으로 QR 코드를 찍어서 연결하는 거죠.

월렛커넥트가 기존 브라우저 확장 프로그램 대신 이런 QR 코드 방식을 선택한 이유를 기술적으로 분석해보겠습니다.

🖥 ️ 브라우저가 지갑이 되면서 생긴 구조적 문제

메타마스크를 처음 설치할 때 "시드 구문을 어디에 저장할까?" 고민해보신 적 있죠?

여기서 근본적인 문제가 드러납니다. 브라우저는 애초에 보안 키 저장소로 설계되지 않았다는 점이에요.

브라우저 확장 프로그램은 방문하는 모든 웹사이트에 접근할 수 있는 광범위한 권한을 요구하고,
window.ethereum 객체를 직접 주입해서 웹사이트와 지갑 사이의 경계를 모호하게 만듭니다. 악성 웹사이트가 이를 악용할 여지가 생기는 거예요.

📞 모바일의 다른 보안 설계

반면 현대 스마트폰은 완전히 다른 접근법을 사용합니다.

하드웨어 기반 보안:
- iOS, Android모두 하드웨어 보안 기능이 기본 탑재되어 있어요. 개인키를 하드웨어 차원에서 보호할 수 있습니다.

앱 간 격리:
- 모바일 OS는 앱 간 데이터를 강력하게 격리합니다. 지갑 앱의 개인키에 다른 앱이 직접 접근하는 것 자체가 구조적으로 불가능해요.

🔄 QR 코드 연결의 핵심

월렛커넥트의 QR 코드 방식은 이런 모바일 보안 특성을 활용하는 설계입니다.

DApp이 QR 코드를 생성하면, 사용자가 모바일 지갑으로 스캔해서 암호화된 세션을 설정하는 거죠.
핵심은 개인키의 완전한 격리입니다. 브라우저 환경과 개인키가 물리적으로 분리되어 있어서, 웹사이트 기반 공격이 키에 직접 접근할 수 없어요.

통신도 종단간 암호화로 보호되고, 릴레이 서버는 메시지를 전달만 할 뿐 내용을 알 수 없는 구조입니다.

🔒 신뢰 대상의 변화

이 방식에서 흥미로운 점은 신뢰의 대상이 바뀐다는 것입니다.

기존에는 브라우저 보안, 확장 프로그램 무결성, 웹사이트 안전성을 모두 신뢰해야 했어요.

QR 방식에서는 모바일 장치의 하드웨어 보안과 지갑 앱만 신뢰하면 됩니다. 신뢰해야 할 대상이 줄어들고,
각각이 더 강력한 보안 기반을 가지고 있다는 게 핵심 차이점이에요.

⚠️ 새로운 위험들

물론 QR 코드 방식도 새로운 공격 벡터를 만들어냅니다.

QR 코드 피싱:
- 악의적인 QR 코드로 사용자를 가짜 DApp에 연결시키는 공격이 가능해요.
월렛커넥트는 이를 위해 Verify API로 도메인 검증 기능을 제공하지만, 완벽한 해결책은 아닙니다.

모바일 의존성:

💭 설치형에서 연결형으로

결국 월렛커넥트가 제시하는 건 브라우저에 뭔가를 설치해서 키를 관리하는 대신,
이미 보안이 강화된 모바일 장치의 지갑과 연결하는 방식입니다.

단순한 UX 개선이 아니라 보안 아키텍처의 근본적 변화라고 볼 수 있어요.

✏️ 다음 편에서는

모바일에서 안전하게 연결하는 방법을 찾았다면, 이제 문제는 연결할 대상이 너무 많다는 것입니다.
이더리움, 솔라나, 폴리곤... 어떻게 하나의 연결로 모든 체인을 다룰 수 있을까요?
3편에서는 월렛커넥트의 멀티체인 지원 기술을 살펴보겠습니다.

---

여러분의 좋아요와 공유는 사랑입니다 🥰

#BQ개발자

#월렛커넥트

#QR코드

#모바일보안