암호화폐 지갑을 이용해 DApp이나 탈중앙화 서비스를 사용하다 보면 Approve, 승인, Allow 같은 요청을 볼 수 있습니다.
처음 접하면 단순히 지갑 연결을 허용하는 기능처럼 생각하기 쉽지만, 토큰 승인은 경우에 따라 특정 스마트 컨트랙트나 주소가 사용자의 토큰을 일정 범위 안에서 사용할 수 있도록 권한을 부여하는 작업과 관련됩니다.
따라서 내용을 확인하지 않고 승인하면 예상하지 못한 권한을 허용할 수 있습니다.
이번 글에서는 토큰 승인(Token Approval)이 무엇인지, 지갑 연결이나 일반적인 전송과 어떤 차이가 있는지, 승인할 때 무엇을 확인해야 하는지 알아보겠습니다.
1. 토큰 승인이란?
스마트 컨트랙트 기반의 토큰을 이용하다 보면 다른 스마트 컨트랙트가 사용자의 토큰을 대신 이동할 수 있도록 권한을 부여해야 하는 경우가 있습니다.
대표적으로 이더리움의 ERC-20 토큰에서는 approve라는 기능이 사용될 수 있습니다.
사용자는 이 기능을 통해 특정 주소 또는 스마트 컨트랙트가 자신의 토큰을 사용할 수 있는 허용량(Allowance)을 설정할 수 있습니다.
쉽게 말하면,
“이 주소 또는 스마트 컨트랙트가 내 토큰을 정해진 범위까지 사용할 수 있도록 허용한다.”
라는 권한을 설정하는 과정으로 이해할 수 있습니다.
다만 토큰 표준과 서비스 구조에 따라 승인 방식은 달라질 수 있습니다.
2. 토큰 승인은 왜 필요할까?
예를 들어 사용자가 탈중앙화 거래 서비스를 통해 특정 토큰을 교환한다고 생각해 보겠습니다.
서비스의 스마트 컨트랙트가 사용자의 토큰을 처리하려면 해당 토큰을 사용할 수 있는 권한이 먼저 필요할 수 있습니다.
이때 사용자가 토큰 승인 트랜잭션을 실행해 필요한 권한을 부여하고, 이후 실제 교환과 관련된 트랜잭션을 별도로 진행하는 구조가 사용될 수 있습니다.
그래서 처음 사용하는 토큰의 경우 지갑에서 승인 요청과 실제 작업 요청이 각각 나타나는 상황을 볼 수 있습니다.
3. 지갑 연결과 토큰 승인은 같은 것일까?
같은 개념이 아닙니다.
지갑 연결은 일반적으로 웹사이트나 DApp이 사용자의 공개 지갑 주소 등 필요한 정보를 확인하고 상호작용할 수 있도록 연결하는 과정입니다.
반면 토큰 승인은 특정 주소나 스마트 컨트랙트에 토큰을 사용할 수 있는 권한을 부여하는 온체인 작업과 관련될 수 있습니다.
따라서 사이트에 지갑을 연결했다고 해서 자동으로 모든 토큰의 사용 권한을 넘겨준다고 볼 수는 없습니다.
반대로 토큰 승인 요청이 나타났다면 단순한 지갑 연결이라고 생각하지 말고 어떤 토큰에 어떤 권한을 부여하는지 확인하는 것이 중요합니다.
4. 토큰 승인과 실제 전송도 다르다
토큰을 승인했다고 해서 승인하는 순간 반드시 해당 토큰이 상대방에게 전송되는 것은 아닙니다.
승인은 특정 주체가 정해진 범위 안에서 토큰을 사용할 수 있도록 권한을 설정하는 것이고, 실제 토큰 이동은 이후 별도의 동작을 통해 이루어질 수 있습니다.
이 차이를 알아두는 것이 중요합니다.
승인 트랜잭션 자체만 보고 실제 자산 이동이 없었다고 해서 아무 영향이 없는 작업이라고 판단해서는 안 됩니다.
부여된 권한이 유지되고 있다면 이후 해당 권한이 사용될 가능성을 고려해야 합니다.
5. 무제한 승인이란?
일부 서비스에서는 사용 편의를 위해 매우 큰 허용량을 설정하는 방식이 사용될 수 있습니다.
흔히 이를 무제한 승인(Unlimited Approval)이라고 부릅니다.
이렇게 하면 같은 서비스에서 해당 토큰을 사용할 때 매번 새롭게 승인할 필요가 줄어들 수 있습니다.
하지만 승인된 대상과 관련해 보안 문제가 발생하거나 악의적인 대상에 권한을 부여했다면 큰 범위의 허용량이 위험을 키울 수 있습니다.
따라서 무제한 승인이 무조건 잘못된 기능이라는 의미는 아니지만, 승인 대상과 허용 범위를 이해하지 못한 상태에서 습관적으로 허용하는 것은 피하는 것이 좋습니다.
6. 승인 금액을 제한하면 더 안전할까?
서비스와 지갑이 지원한다면 실제 필요한 범위에 맞춰 승인량을 제한하는 방법을 고려할 수 있습니다.
예를 들어 특정 작업에 필요한 만큼만 토큰 사용 권한을 허용하면 무제한 승인에 비해 노출되는 범위를 줄이는 데 도움이 될 수 있습니다.
다만 모든 서비스가 동일한 승인 방식을 지원하는 것은 아니며, 승인량을 변경하면 추가 트랜잭션이나 네트워크 수수료가 필요할 수도 있습니다.
따라서 사용하는 지갑과 서비스가 제공하는 기능을 확인한 뒤 결정하는 것이 좋습니다.
7. 사용하지 않는 승인은 취소할 수 있을까?
일부 토큰 승인 권한은 새로운 트랜잭션을 통해 허용량을 변경하거나 0으로 설정하는 방식 등으로 권한을 제거할 수 있습니다.
지갑이나 별도의 권한 관리 도구에서 현재 승인된 항목을 확인하고 취소 기능을 제공하는 경우도 있습니다.
다만 승인 취소 방법과 지원 여부는 토큰 표준, 네트워크, 지갑 및 서비스에 따라 다를 수 있습니다.
또한 온체인에서 승인 상태를 변경하는 작업에는 네트워크 수수료가 발생할 수 있습니다.
승인 관리 도구를 이용할 때도 출처가 불분명한 사이트보다는 사용 중인 지갑이나 블록체인의 공식 안내를 통해 신뢰할 수 있는 방법을 확인하는 것이 좋습니다.
8. 승인 취소만 하면 모든 위험이 사라질까?
그렇다고 단정할 수는 없습니다.
토큰 승인 권한을 제거하는 것은 해당 권한과 관련된 위험을 줄이는 데 도움이 될 수 있지만, 이미 자산이 이동했거나 다른 종류의 권한을 부여한 상황까지 모두 해결해 주는 것은 아닙니다.
또한 모든 지갑 서명이 ERC-20 방식의 토큰 승인인 것도 아닙니다.
블록체인 서비스에서는 토큰 승인 외에도 다양한 종류의 트랜잭션과 서명 요청이 사용될 수 있습니다.
따라서 의심스러운 요청을 승인했다면 단순히 Approve 취소만 생각하기보다 어떤 트랜잭션이나 서명을 승인했는지 정확하게 확인하는 것이 중요합니다.
9. 토큰 승인 전에 확인해야 할 것
토큰 승인 요청이 나타났다면 다음 사항을 확인하는 것이 좋습니다.
접속한 사이트가 공식 사이트인가?
검색 광고, SNS 메시지 또는 출처가 불분명한 링크를 통해 접속했다면 주소를 다시 확인합니다.
어떤 토큰을 승인하는가?
내가 실제로 사용하려는 토큰인지 확인합니다.
누구에게 권한을 부여하는가?
승인 대상이 내가 이용하려는 서비스와 관련된 주소 또는 스마트 컨트랙트인지 확인합니다.
허용량은 얼마인가?
필요한 수량만 승인하는지, 매우 큰 범위의 승인을 요청하는지 확인합니다.
지갑에 표시된 요청 내용을 이해했는가?
내용을 이해하지 못한 상태라면 바로 승인하지 말고 먼저 확인하는 것이 좋습니다.
10. 개인키와 시드 문구를 요구한다면 주의
정상적인 토큰 승인 과정에서 웹사이트에 개인키나 시드 문구를 직접 입력할 필요는 없습니다.
지갑을 복구하는 상황이 아닌데 웹사이트가 시드 문구나 개인키를 입력하라고 요구한다면 매우 주의해야 합니다.
또 승인을 취소해준다, 지갑을 복구해준다, 위험한 권한을 제거해준다며 개인키나 시드 문구를 요구하는 비공식 서비스도 피하는 것이 좋습니다.
토큰 승인과 관련된 작업은 지갑에서 표시되는 트랜잭션 내용을 확인하고 신뢰할 수 있는 공식 경로를 이용하는 것이 중요합니다.
11. 토큰 승인에서 기억해야 할 핵심
토큰 승인은 단순한 확인 버튼이 아닐 수 있습니다.
특정 스마트 컨트랙트나 주소에 내 토큰을 사용할 수 있는 권한을 부여하는 작업일 수 있기 때문입니다.
따라서 다음 세 가지를 기억하면 좋습니다.
승인 대상이 누구인지 확인합니다.
어떤 토큰을 얼마만큼 사용할 수 있도록 허용하는지 확인합니다.
사용하지 않는 권한은 필요에 따라 확인하고 관리합니다.
그리고 이해하지 못한 승인 요청이 나타났다면 무조건 확인 버튼을 누르기보다 요청 내용을 먼저 살펴보는 습관이 중요합니다.
마무리
토큰 승인(Token Approval)은 스마트 컨트랙트 기반의 암호화폐 서비스를 이용할 때 자주 접할 수 있는 기능입니다.
대표적으로 ERC-20 토큰에서는 사용자가 특정 주소나 스마트 컨트랙트에 정해진 범위까지 토큰을 사용할 수 있는 허용량을 설정할 수 있습니다.
이 기능은 다양한 DApp을 이용하는 데 필요할 수 있지만, 승인 대상이나 허용량을 확인하지 않으면 불필요하게 큰 권한을 부여할 수도 있습니다.
따라서 토큰을 승인하기 전에는 사이트 주소, 승인할 토큰, 승인 대상, 허용량, 지갑에 표시되는 요청 내용을 확인하는 것이 좋습니다.
무엇보다 개인키와 시드 문구는 토큰 승인을 위해 웹사이트에 입력하는 정보가 아니라는 점을 기억해야 합니다.
안내: 이 글은 토큰 승인과 지갑 보안에 관한 일반적인 정보 제공을 목적으로 작성되었습니다. 토큰 승인 방식과 권한 관리 방법은 블록체인, 토큰 표준, 지갑 및 서비스에 따라 다를 수 있으므로 실제 이용 시 해당 서비스와 네트워크의 최신 공식 안내를 확인하시기 바랍니다.
댓글