Hyperliquid 보안 문제 5가지와 OneKey 솔루션
1) 피싱 프런트엔드 + 가짜 "지원" 신원 도용
무엇이 잘못될 수 있나요?
공격자는 Hyperliquid 인터페이스와 유사한 웹사이트, 광고 및 가짜 커뮤니티 계정을 만듭니다. 목표는 사용자를 속여 다음과 같은 행동을 하게 만드는 것입니다.
- 악성 사이트에 지갑 연결
- 완전히 이해하지 못한 메시지 서명
- 토큰 지출 또는 "승인" 요청 승인
- 민감한 정보(시드 문구, 개인 키, API 지갑 키) 노출
이는 Hyperliquid만의 문제가 아니라 2025-2026년 업계 전반에 걸쳐 신원 도용 및 AI 기반 사기가 확대되는 추세입니다. (참조: Chainalysis 암호화폐 사기 분석)
지금 Hyperliquid 사용자가 표적이 되는 이유
- Hyperliquid 트래픽이 많고 거래 사용자는 자주 서명합니다.
- HyperEVM은 현재 공식 프런트엔드 구성 요소가 없으며, 상호작용은 JSON-RPC를 통해 이루어지므로 사용자가 의존할 수 있는 제3자 도구와 프런트엔드가 늘어납니다. (출처: HyperEVM 문서)
OneKey 솔루션 (마법이 아닌 실용적인 방법)
하드웨어 지갑은 피싱 사이트 방문을 막지는 못하지만, 최악의 시나리오(키 추출)를 방지하고 의도적인 서명을 강제하는 데 도움이 됩니다.
- 개인 키를 오프라인으로 유지: OneKey를 사용하면 개인 키가 브라우저가 아닌 기기에 보관됩니다.
- "즐겨찾기 전용" 규칙 사용: 공식 앱을 한 번 즐겨찾기에 추가하고 즐겨찾기를 통해서만 액세스합니다. (검색 광고, DM 금지)
- 위험별로 지갑 분리: 일상 활동을 위한 소규모 "거래 지갑"을 사용하고 장기 자산은 별도로 보관합니다.
2) 위험한 서명: 형식화된 데이터(EIP-712) 및 "맹목적인 서명" 순간
무엇이 잘못될 수 있나요?
시드 문구가 안전하더라도 한 번의 잘못된 서명으로 의도하지 않은 작업을 승인할 수 있습니다.
흔히 발생하는 두 가지 함정:
- 무해해 보이지만 민감한 작업을 승인하는 EIP-712 형식화된 데이터 서명
- 도메인, 체인 및 매개변수를 확인하지 않고 무언가를 승인하는 "맹목적인 서명" UX 순간
EIP-712는 서명을 더 인간 친화적으로 만들기 위해 존재하지만, 여전히 사용자 주의가 필요합니다. (표준 참조: EIP-712: 형식화된 구조화된 데이터 해싱 및 서명)
Hyperliquid에서 이 문제가 중요한 이유
일부 핵심 흐름은 구조화된 페이로드 서명을 기반으로 합니다. 예를 들어, Hyperliquid의 브릿지 출금 흐름은 signTypedData를 사용합니다. (참조: Hyperliquid Bridge2 API 문서)
악성 사이트가 유사하게 보이는 페이로드에 서명하도록 유도하면 의도한 것과 다른 작업을 승인하게 될 수 있습니다.
OneKey 솔루션
- 습관적으로 기기에서 확인: 특히 대상 주소와 네트워크와 같이 중요한 필드는 항상 하드웨어 지갑 화면에서 확인하십시오.
- "서두르는" 서명 거부: 사이트에서 빠르게 서명하라고 압박하면 중단하십시오. 대부분의 실제 작업은 확인을 위해 60초를 기다릴 수 있습니다.
- 고빈도 서명을 위한 소액 잔액 사용: 자주 서명해야 하는 경우(활성 거래), 해당 서명자에게는 제한된 자금만 보유하십시오.
3) 브릿지 및 입금 실수: 잘못된 자산 / 최소 금액 / "돌이킬 수 없는" 손실
무엇이 잘못될 수 있나요?
많은 실수가 돌이킬 수 없기 때문에 브릿지와 입금은 해킹 없이도 사용자 손실의 주요 원인입니다.
- 잘못된 토큰 전송 또는 잘못된 네트워크 사용
- 최소 금액 미만으로 입금
- 대상 주소 복사/붙여넣기 오류
Hyperliquid 자체 문서에는 제약 사항이 명시되어 있습니다. Bridge2 입금의 경우, 최소 입금액은 5 USDC이며, 그 이하로 입금하면 "크레딧이 적용되지 않고 영원히 손실될 것입니다." (출처: Hyperliquid Bridge2 문서) Hyperliquid FAQ는 특정 입금 경로만 지원된다고 명시하고 있습니다. (출처: Arbitrum 네트워크를 통해 입금 (USDC))
Hyperliquid에서 이 문제가 특히 중요한 이유
Hyperliquid의 브릿지 설계는 검증자 서명과 분쟁 기간 모델을 포함합니다. (자세히: Hyperliquid Bridge 문서) 브릿지 로직은 Zellic에서 감사했지만, 사용자 측 운영 오류가 여전히 가장 흔한 손실 원인입니다. (참조: Zellic Hyperliquid 감사 보고서)
OneKey 솔루션
- 항상 소액 테스트 전송을 먼저 수행하십시오. (추가 수수료를 지불하더라도)
- 컴퓨터 화면뿐만 아니라 기기에서 주소 확인.
- 주소록/허용 목록 워크플로 생성: 알려진 유효 주소를 저장하고 재사용합니다.
4) HyperEVM 토큰 승인: 무제한 허용 및 숨겨진 지출 위험
무엇이 잘못될 수 있나요?
HyperEVM 채택이 증가함에 따라 더 많은 사용자가 토큰 승인을 요구하는 EVM 계약과 상호작용하게 될 것입니다. 가장 흔한 실패 사례는 다음과 같습니다.
- 거의 신뢰하지 않는 계약에 무제한 토큰 허용 부여
- 잘못된 체인이나 잘못된 지출자에게 승인
- 문제가 발생할 때까지 잊고 있던 승인
지출자가 악의적이거나 나중에 침해로 인해 위험해지면 승인된 토큰이 고갈될 수 있습니다.
승인이 작동하는 방식과 그 위험에 대한 명확한 설명은 다음을 참조하십시오.
Hyperliquid 사용자에게 "새롭게 중요한" 이유
HyperEVM은 라이브이며 EIP-1559를 사용하고 범용 EVM 활동을 위해 설계되었습니다. (출처: HyperEVM 문서) 이는 이전에 HyperCore 선물만 사용했던 사용자에게도 일반적인 EVM 승인 위험 프로필이 적용됨을 의미합니다.
OneKey 솔루션
- 하드웨어 지갑 주소를 "금고"로 사용: 대부분의 자산을 거의 승인하지 않는 지갑에 보관하십시오.
- DeFi 활동 분할: HyperEVM 실험용 주소 하나, 보유용 주소 하나.
- 승인 위생 예약: 신뢰할 수 있는 도구를 사용하여 정기적으로 검토하고 취소하십시오. (참조: ethereum.org 취소 가이드)
5) API 지갑 및 자동화 위험: 키 유출, Nonce 재실행 및 봇 실수
무엇이 잘못될 수 있나요?
많은 Hyperliquid 파워 유저는 봇을 실행합니다. 위험은 "한 번의 잘못된 클릭"에서 "한 번의 키 유출"로 shifting됩니다.
- 자동화 서명 키가 서버, 리포지토리 또는 로그에서 복사됨
- Nonce 처리 버그로 주문 실패 또는 예기치 않은 동작 발생
- 이전 API 지갑 재사용이 Nonce 상태가 삭제된 경우 재실행 또는 혼란 초래
Hyperliquid는 마스터 또는 하위 계정을 대신하여 서명할 수 있는 API 지갑("에이전트 지갑")을 지원합니다. (출처: Nonces 및 API 지갑) 문서에서는 에이전트가 등록 취소되면 Nonce 상태가 삭제될 수 있으며 이전에 서명된 작업이 재실행될 수 있으므로 주소를 재사용하는 것은 강력히 권장되지 않는다고 경고합니다. (동일 출처: Nonces 및 API 지갑) 속도 제한 및 JSON-RPC 제약 조건도 문서화되어 있습니다. (참조: 속도 제한 및 사용자 제한)
2025-2026년에 이 문제가 더 중요해진 이유
자동화는 표적 멀웨어 및 "트레이더 도구" 사기를 유인합니다. 한편, Hyperliquid의 공식 버그 바운티 범위에는 노드/API 서버 논리 오류 및 중단이 포함되어 인프라 무결성이 얼마나 심각하게 다루어지는지 강조합니다. (참조: Hyperliquid 버그 바운티 프로그램) - 그러나 봇 인프라스트럭처는 여전히 귀하의 책임입니다.
OneKey 솔루션
- 마스터 키를 오프라인으로 유지: OneKey를 사용하여 기본 계정을 보호하고 노출을 제한합니다.
- API 지갑에 대한 운영 규율:
- 봇/프로세스별 전용 에이전트 지갑 생성
- 코드로 키를 절대 커밋하지 않기
- 키를 순환하고 재사용 피하기 (다음과 일치: Nonces 및 API 지갑)
- 최소 권한 아키텍처 사용: 자동화된 계정에는 최소 작동 잔액만 유지합니다.
간단한 보안 체크리스트 (복사/붙여넣기)
- 사이트 확인: 공식 URL 즐겨찾기; DM 및 광고 불신
- 모든 서명 확인: 도메인, 체인, 주소 및 의도
- 신중하게 브릿지: 소액 테스트; 최소 금액 및 지원 경로 존중
- 승인을 부채로 취급: 무제한 지출 방지; 정기적으로 취소
- 역할 분리: 금고 지갑(하드웨어) vs 거래 지갑 vs 봇 지갑
OneKey 하드웨어 지갑이 가장 큰 차이를 만드는 경우
Hyperliquid에서 활발하게 거래하는 경우, 위험은 "프로토콜 위험"뿐만 아니라 서명 빈도 위험입니다. 더 많이 서명할수록 다음과 같은 이점을 얻습니다.
- 오프라인 개인 키 스토리지 (키가 브라우저 환경에 닿지 않음)
- 중요한 작업에 대한 기기 내 확인
- 더 깨끗한 지갑 세분화 (금고 vs 거래자 vs 자동화)
올바르게 사용하면 OneKey는 키를 보호할 뿐만 아니라 가장 흔한 Hyperliquid 사용자 손실을 방지하는 운영 습관을 적용하는 데 도움이 됩니다.
