Rabby Wallet은 안전한가요?

짧은 답변

공식 스토어에서 설치한 진짜 Rabby Wallet은 일상적인 EVM 사용에 탄탄한 선택이며, 서명 전 검사 덕분에 실제로는 많은 지갑보다 안전합니다. "안전"은 지갑보다 사용 방식에 더 크게 좌우됩니다. 가짜 다운로드, 웹사이트에 입력한 시드 문구, 드레이너 컨트랙트에 대한 무제한 승인은 어떤 지갑이든 비워 버립니다. 큰 금액이라면 Rabby를 하드웨어 지갑과 함께 쓰세요.

Rabby가 키를 보호하는 방법

• 셀프 커스터디. 시드 문구와 개인 키는 사용자 기기에서 생성되고 비밀번호로 암호화되어 저장됩니다. Rabby의 서버는 이를 보관하지 않습니다.
• 로컬 비밀번호. 비밀번호는 해당 기기에서 지갑을 잠금 해제하는 용도일 뿐입니다. 계정 비밀번호가 아니며 다른 곳에서 자금을 복구할 수 없습니다. 비밀번호를 잊었다면 시드 문구로 복원합니다(Rabby 비밀번호를 잊었을 때 참고).
• 하드웨어 지갑 옵션. Ledger, Trezor, Keystone 같은 기기를 쓰면 키가 컴퓨터나 휴대폰에 닿지 않습니다. Rabby는 기기가 서명할 트랜잭션을 준비할 뿐입니다. Rabby의 하드웨어 지갑을 참고하세요.
• 서명 전 검사. Rabby는 각 트랜잭션을 시뮬레이션해 예상 잔액 변화를 보여 주고, 위험한 승인, 낯선 수신자, 의심스러운 컨트랙트를 표시합니다. 트랜잭션 시뮬레이션을 참고하세요.

오픈소스

확장 프로그램의 소스 코드는 GitHub에 MIT 라이선스로 공개되어 있고, 모바일 앱의 코드는 별도 저장소에 공개되어 있습니다(CryptoSlate에 따르면 라이선스 파일 없음, 2026년 10월). 공개 코드 덕분에 연구자들은 키가 어떻게 저장되는지 확인할 수 있습니다. 하지만 그것만으로 스토어에 올라간 빌드가 코드와 일치한다는 것이 증명되지는 않으므로 감사와 오랜 이력도 중요합니다.

감사

Rabby는 GitHub 저장소의 audits 폴더에 감사 보고서를 보관하며, Least Authority는 자체 사이트에 보고서를 게시합니다.

출처: Least Authority 감사 페이지, Rabby GitHub 감사 폴더, CryptoSlate 리뷰(2026년 10월 24일 업데이트). 2026년 보고서는 전문을 읽을 수 없어 지적 사항을 요약하지 않았습니다. 감사는 특정 시점의 코드에 대한 검토일 뿐 보증이 아닙니다. 미해결 지적 사항은 보고서가 게시될 당시 Rabby가 아직 반영하지 않은 개선 여지를 감사인이 발견했다는 뜻이지, 알려진 공격으로 자금이 위험했다는 뜻은 아닙니다.

2022년 10월 Rabby Swap 해킹

Rabby Swap은 2022년 9월 14일 출시되었습니다. 2022년 10월 11일 공격자가 스왑 컨트랙트의 결함을 악용해, 컨트랙트를 승인한 사용자들의 토큰을 여러 체인에서 빼냈습니다(The Block, 2022년 10월 11일). 보고된 손실은 약 114 ETH와 179 BNB로, 당시 약 20만 달러였습니다(Web3 Is Going Great, CryptoSlate). 해당 컨트랙트는 PeckShield의 감사를 받았지만 이 결함을 놓쳤습니다.

Rabby는 Swap을 사용한 모든 사람에게 모든 체인에서 모든 승인을 철회하라고 안내했고, Swap을 사용한 적 없는 지갑은 영향을 받지 않았다고 밝혔습니다. 개인 키는 영향을 받지 않았습니다. 이후 일부 리뷰는 피해자들이 보상을 받았다고 하지만, 이에 대한 Rabby의 원래 성명은 찾을 수 없었습니다. 옛 컨트랙트는 일시 중지할 수 없으므로 여전히 그 컨트랙트를 가리키는 승인은 위험합니다. 이 교훈은 모든 지갑에 적용됩니다. 컨트랙트에 대한 승인은 철회할 때까지 열려 있습니다. 승인 해설 도구로 확인하고 오래된 승인을 철회하세요. 더 많은 사건은 Rabby 보안 이력에 정리되어 있습니다.

사일런트 서명 버그, 2026년 8월

2026년 8월 보안 연구자 V12가 확장 프로그램의 결함을 공개했습니다. 이미 연결해 둔 악성 사이트가 사용자 모르게 서명을 받아 낼 수 있었는데, 자동 잠금이 10분으로 설정된 경우에만 해당했습니다. Rabby는 코드 수정으로 대기 중인 서명 요청이 지갑 잠금 해제만으로 승인되지 않도록 했습니다. 수정된 확장 프로그램은 2026년 8월 11일 배포되었고, 모바일 앱은 영향을 받지 않았으며 악용 사례도 보고되지 않았습니다(TechFlow, 2026년 8월 20일, Rabby GitHub). Rabby를 항상 최신 상태로 유지하세요.

2025년 9월 인기 JavaScript 패키지를 겨냥한 대규모 공격 당시, Rabby는 의존성 버전을 고정해 두었기 때문에 지갑이 영향을 받지 않았다고 밝혔습니다(Rabby X 게시물, 2025년 9월 9일, IQ.wiki 요약).

더 큰 위험: 가짜 Rabby 지갑

Rabby 관련 손실은 버그보다 사칭에서 훨씬 많이 발생합니다.

• 가짜 App Store 앱(2024년 2월). "Solution Development"라는 개발자의 "Rabby Wallet & Crypto Solution"이라는 앱이 Rabby의 진짜 iOS 앱 출시 전에 시드 문구를 탈취했습니다. Rabby는 2024년 2월 16일 사용자들에게 경고했습니다(ForkLog).
• 가짜 Firefox 부가 기능(2025년 및 2026년). Socket 연구원들은 지갑 데이터를 공격자에게 보내는 악성 Firefox 부가 기능 40개 중에서 변조된 Rabby 빌드 13개를 발견했고(The Hacker News, 2026년 8월 20일), 2026년 10월에도 Rabby 복제본 4개를 추가로 발견했습니다. Rabby에는 공식 Firefox 부가 기능이 없습니다.
• 가짜 웹사이트. Rabby 검색 결과에는 무료 호스팅, 강의 플랫폼, 해킹된 사이트에 올라간 유사 다운로드 페이지가 가득합니다.

자세한 내용과 복구 단계: 가짜 Rabby 지갑 사기.

서명 창의 위험 신호

Rabby의 팝업은 정보를 제공할 뿐, 읽는 것은 여러분의 몫입니다. 다음 중 하나라도 보이면 멈추고 거부하세요.

• 예상하지 못한 토큰 유출. 예를 들어 "무료 민팅"이나 "클레임"인데 ETH나 스테이블코인이 나가는 것으로 표시되는 경우.
• 거래하지 않던 토큰에 대한 승인이나 퍼밋. 특히 무제한 금액이거나 Rabby가 새롭거나 위험하다고 표시한 지출자인 경우.
• "전체 승인(set approval for all)" 요청을 모르는 사이트에서 NFT 컬렉션에 대해 받은 경우. 해당 컬렉션의 모든 NFT를 넘겨주게 됩니다.
• 이해할 수 없는 오프체인 서명(퍼밋). 메시지에 서명하는 것만으로, 그 순간 가스를 전혀 쓰지 않고도 전송을 허가할 수 있습니다.
• 처음 보는 수신자로 표시되는데 이전에 사용했다고 생각한 주소인 경우. 주소 포이즈닝의 전형적인 신호입니다. 주소 검사기로 전체 주소를 비교하세요.
• 방문하려던 사이트가 아닌 경우. 요청에 표시된 도메인을 확인하세요.

솔직한 한계

• 핫 월렛입니다. 키는 인터넷에 연결된 기기에 있습니다. 컴퓨터나 휴대폰의 악성코드, 악성 브라우저 확장 프로그램은 여전히 키를 훔칠 수 있습니다.
• 브라우저 위험. 설치한 다른 모든 확장 프로그램은 웹페이지를 읽고 바꿀 수 있으며, 일부는 공격자에게 장악될 수 있습니다. 확장 프로그램은 최소한으로 유지하세요.
• 경고는 무시할 수 있습니다. Rabby는 경고를 무시하고 서명하는 것을 허용하며, 특이한 트랜잭션에서는 여전히 블라인드 서명이 가능합니다.
• 시뮬레이션에는 한계가 있습니다. 지금 일어날 일만 보여 줄 뿐, 승인된 컨트랙트가 나중에 무엇을 할지는 예측할 수 없고, 모든 사용자 지정 네트워크에서 실행되지 않을 수도 있습니다.
• 약한 비밀번호는 로컬 암호화를 약하게 만듭니다. 길고 고유한 비밀번호를 사용하세요.

Rabby를 안전하게 사용하는 방법

1. 공식 스토어에서만 설치하세요. rabby.io를 직접 입력하거나 북마크를 이용하고, 확장 프로그램 ID acmacodkjbdgmoleebolmdjonilkdbch를 검증 도구로 확인하세요.
2. 시드 문구를 종이나 금속에 적어 오프라인으로 보관하세요. 시드 문구 백업을 참고하세요.
3. 시드 문구를 웹사이트, 채팅, 양식에 절대 입력하지 마세요. Rabby와 DeBank는 절대 시드 문구를 요구하지 않으며, 진짜 고객 지원은 먼저 DM을 보내지 않습니다.
4. 모든 서명에서 잔액 변화 미리보기를 읽으세요. 예상하지 못한 토큰 유출이 보이면 멈추세요.
5. 무제한 승인을 피하고 오래된 승인은 정기적으로 철회하세요.
6. 저축 자금은 하드웨어 지갑에 두고, 핫 계정에는 쓸 돈만 두세요.
7. 브라우저와 Rabby를 최신 상태로 유지하고 필요 없는 확장 프로그램은 제거하세요.

자주 묻는 질문