토큰 승인 권한, 가끔은 점검해 보세요

안녕하세요, 용돈클럽 운영진 Son of Don입니다. 지난 편에서는 송금한 내역이 상대방에게 보이지 않을 때 블록 탐색기로 거래를 확인하는 방법을 살펴보았습니다.

이번 편에서는 탈중앙화 서비스를 쓸 때 누르게 되는 토큰 승인이 무엇인지 풀어 봅니다. 승인한 권한이 왜 남아 있을 수 있는지, 어떤 위험으로 이어질 수 있는지 차례로 짚어 드립니다. 마지막으로 이미 허락한 권한을 확인하고 정리하는 방법과 평소 지킬 습관도 함께 정리합니다.

승인 버튼은 무엇을 허락하는 걸까요

탈중앙화 서비스를 이용하다 보면 지갑에서 승인이라는 버튼을 누르는 일이 잦습니다. 승인은 특정 서비스가 내 지갑의 토큰을 정해진 한도 안에서 움직일 수 있도록 허락하는 절차입니다. 예를 들어 토큰을 교환하려면 교환 서비스가 내 토큰을 가져갈 수 있어야 하므로, 먼저 그 권한을 열어 주는 단계가 필요합니다. 이 단계 자체는 정상적인 과정이니 겁먹으실 필요는 없습니다.

승인과 실제 거래는 서로 별개의 요청이라는 점도 알아 두시면 좋습니다. 승인은 문을 열어 두는 일이고, 그 문으로 실제 토큰이 나가는 것은 이후 서비스가 하는 동작입니다. 그래서 승인만 눌렀을 뿐 잔액이 그대로라면 아무 일도 없는 것처럼 보일 수 있습니다. 하지만 열어 둔 문은 닫지 않는 한 그대로 남습니다.

권한이 남아 있으면 생기는 위험

한 번 허락한 권한은 사용이 끝난 뒤에도 그대로 남아 있을 수 있습니다. 이 점은 의외로 놓치기 쉬워서, 몇 달 전에 한 번 써 본 서비스에 대한 허락이 아직 살아 있는 경우가 흔합니다. 문제는 승인한 대상에 보안 문제가 생기거나 처음부터 악의적인 사이트였을 때입니다. 이런 경우 승인된 한도만큼의 토큰이 내 의지와 상관없이 빠져나갈 수 있습니다.

특히 한도를 무제한으로 두는 설정은 편리한 만큼 위험도 큽니다. 무제한으로 열어 두면 매번 승인하지 않아도 되어 번거로움은 줄지만, 문제가 생기면 지갑에 있는 해당 토큰 전부가 대상이 될 수 있습니다. 가능하다면 쓸 만큼만 한도를 직접 정해서 승인하는 편이 안전합니다. 다만 지갑이나 서비스에 따라 한도를 바꿀 수 있는지는 다르니 승인 창에서 먼저 확인해 보세요.

승인 창을 읽는 습관

승인 창이 뜨면 어떤 토큰에 대해 누구에게 얼마까지 허락하는지를 천천히 읽어 보는 습관이 중요합니다. 토큰 이름, 허락받는 주소, 한도 이 세 가지만 확인해도 실수를 크게 줄일 수 있습니다. 화면에 뜬 내용이 이해되지 않거나 평소 알던 서비스와 다르다면 일단 거절하고 멈추셔도 괜찮습니다.

출처가 불분명한 링크에서 지갑을 연결하는 일은 가능한 한 피하시는 편이 좋습니다. 메신저나 게시글로 전달받은 링크보다는 직접 확인해 둔 주소로 접속하는 편이 안전합니다. 서두르라고 재촉하는 안내일수록 한 번 더 의심해 보시기 바랍니다.

이미 허락한 권한 확인하고 취소하기

이미 허락한 권한은 블록 탐색기에서 제공하는 승인 조회 기능이나 지갑의 관련 메뉴에서 확인하고 취소할 수 있는 경우가 많습니다. 내 지갑 주소로 조회하면 어떤 토큰을 어느 대상에게 얼마까지 허락했는지 목록으로 볼 수 있습니다. 더 이상 쓰지 않는 서비스가 보인다면 취소를 눌러 권한을 거두시면 됩니다.

다만 취소도 네트워크에 기록되는 거래라서 가스비가 들 수 있습니다. 그래서 한꺼번에 모두 지우려 하기보다 자주 쓰지 않는 서비스부터 정리해 보시길 권합니다. 점검할 시기를 나름대로 정해 두면 쓰지 않는 권한이 쌓이는 것을 막을 수 있습니다.

여러분은 지갑 연결이나 승인을 할 때 어떤 점을 확인하시는지, 나름의 점검 습관이 있다면 댓글로 편하게 나눠 주세요. 다음 편에서는 스마트 컨트랙트가 정해진 조건에 따라 스스로 움직이는 방식을 동네에서 흔히 보는 자판기에 빗대어 쉽게 풀어 드립니다. 다음 편에서 뵙겠습니다. 감사합니다.