웹 지갑 vs 모바일 앱: 진짜 KYC 없는 지갑은 무엇일까요?
"KYC 없음"이라는 문구는 여러 지갑 제품에서 자주 보이지만, 실제로 웹 지갑과 모바일 앱 지갑은 꽤 다릅니다. 단순히 사용하는 화면이 브라우저인지 휴대폰인지의 차이가 아니라, 개인키가 어디에 저장되는지, 어떤 공격 표면에 노출되는지, 어떤 경우에 KYC가 요구되는지까지 핵심 구조가 달라질 수 있어요.
이 글에서는 웹 지갑과 모바일 앱 지갑을 아키텍처 관점에서 비교하고, 어떤 상황에서 어떤 형태가 더 적합한지 정리합니다.
먼저 정리하기: 어떤 “웹 지갑”이 진짜 KYC가 없을까요?
업계에서 “웹 지갑”이라는 표현은 여러 의미로 쓰입니다. 먼저 구분이 필요합니다.
1. 브라우저 확장 지갑
OneKey, MetaMask처럼 브라우저 확장 프로그램 형태로 제공되는 지갑입니다. 개인키는 사용자의 브라우저 로컬 Storage에 암호화되어 저장되며, 자산을 서비스 제공자가 보관하지 않는 비수탁형 지갑입니다. 따라서 기본적으로 KYC가 필요하지 않습니다.
2. 웹 기반 수탁형 지갑
거래소의 “지갑” 화면처럼 웹페이지로 접근하지만, 실제 개인키는 거래소가 보관하는 형태입니다. 사용자는 개인키가 아니라 플랫폼 계정 권한을 갖고 있을 뿐입니다. 이런 경우에는 일반적으로 KYC가 필요합니다.
3. 순수 웹 기반 비수탁 지갑
MyEtherWallet의 로컬 서명 방식처럼 개인키를 브라우저 안에서 생성하고 사용하되 서버에 업로드하지 않는 형태입니다. 보통 KYC가 필요하지 않지만, 사용할 때마다 키 파일을 직접 불러오는 등 보안 습관이 중요합니다.
이 글에서 말하는 “웹 지갑”은 주로 첫 번째 유형인 브라우저 확장 지갑을 의미하며, 이를 모바일 앱 지갑과 비교합니다.
핵심 차이: 개인키는 어디에 저장될까요?
브라우저 확장 지갑이든 모바일 앱 지갑이든, 비수탁형 지갑의 공통점은 개인키를 사용자가 직접 보유한다는 점입니다. 차이는 개인키가 저장되는 물리적 환경과 공격 표면입니다.
브라우저 확장 지갑은 브라우저 환경에 암호화된 형태로 개인키를 저장합니다. 사용자가 DApp에 연결하고 서명할 때 브라우저 안에서 요청을 확인하고 승인합니다.
모바일 앱 지갑은 스마트폰의 앱 샌드박스, 운영체제 보안 기능, 생체 인증 등을 활용할 수 있습니다. 기기 자체의 보안 설정과 앱 권한 관리가 중요합니다.
EIP-712 같은 서명 표준은 두 형태 모두에서 사용할 수 있습니다. 다만 브라우저 확장 지갑은 DApp 페이지와 같은 실행 환경에서 상호작용하기 때문에, 서명 내용 표시가 더 직접적으로 느껴지는 경우가 많습니다.
KYC가 필요한지 여부는 “형태”가 아니라 “수탁 여부”가 결정합니다
흔한 오해 중 하나는 “웹으로 쓰면 KYC가 필요할 수 있다”는 생각입니다. 하지만 KYC가 요구되는 핵심 기준은 지갑의 형태가 아니라 다음 질문에 달려 있습니다.
중간에 사용자의 자산을 보관하는 금융기관 또는 플랫폼이 있는가?
FinCEN의 규제 가이드라인은 비수탁 소프트웨어 제공자와 자금 서비스를 운영하는 사업자를 구분합니다. 전자는 도구를 개발하는 주체이고, 후자는 자금을 보관하거나 이전하는 주체입니다.
즉, 지갑이 비수탁형이라면 브라우저 확장 형태든 모바일 앱 형태든 개발사는 금융 중개자 역할을 하지 않습니다. 따라서 일반적인 지갑 사용 자체에는 KYC가 필요하지 않습니다.
EU의 MiCA 규제 역시 유사한 틀을 사용합니다. 비수탁 지갑 제공자는 일반적으로 가상자산서비스제공자(CASP)로 간주되지 않으며, 규제기관 등록이나 KYC 절차가 요구되지 않습니다.
보안 공격 표면 비교
브라우저 확장 지갑의 주요 리스크
브라우저는 상대적으로 개방적인 실행 환경입니다. 확장 지갑 사용자는 다음 위험을 특히 주의해야 합니다.
- 악성 DApp이 위험한 서명 요청을 보낼 수 있습니다. 사용자는 매번 서명 내용을 꼼꼼히 읽고, 피싱 사이트가 유도하는 악성 승인에 주의해야 합니다.
- 지나치게 넓은 토큰 승인(Approval)이 문제가 될 수 있습니다. Revoke.cash는 위험한 승인 내역을 식별하고 철회하는 방법을 이해하는 데 좋은 참고 자료입니다.
- 악성 브라우저 확장 프로그램이 간섭할 수 있습니다. 공격자는 유명 지갑을 사칭한 가짜 확장 프로그램을 배포하기도 합니다.
모바일 앱 지갑의 주요 리스크
모바일 지갑은 보안 격리가 비교적 잘 되어 있는 편이지만, 고유한 위험도 있습니다.
- 기기를 분실하거나 도난당할 수 있습니다. 휴대폰 잠금 비밀번호가 약하면 공격자가 지갑 데이터 접근을 시도할 수 있습니다.
- 악성 앱이 클립보드를 감시해 복사한 지갑 주소나 시드 문구를 훔치려 할 수 있습니다.
- Chainalysis의 연구에 따르면, 모바일 사용자를 노린 사회공학 공격도 흔합니다. 공격자가 고객센터를 사칭해 시드 문구 입력을 유도하는 방식입니다.
두 형태 모두에서 가장 중요한 방어선은 시드 문구의 안전한 보관입니다. MetaMask의 시드 문구 설명 문서도 이 원리를 이해하는 데 참고할 만합니다.
온체인 거래에서는 어떤 지갑이 더 적합할까요?
주요 사용 목적이 온체인 계약 거래, 예를 들어 무기한 선물이나 현물 DEX 거래라면 두 형태는 각각 장단점이 있습니다.
브라우저 확장 지갑은 PC 환경에서 조작이 편합니다. 화면이 크고 차트, 주문창, 포지션 정보 등을 한눈에 보기 좋아서 세밀한 파라미터 조정이 필요한 계약 거래에 적합합니다. dYdX 같은 프로토콜도 PC에서 더 완전한 차트와 주문 인터페이스를 제공하는 경우가 많습니다.
모바일 앱 지갑은 언제든 포지션을 확인하거나 빠르게 청산·축소하는 등 이동 중 관리에 적합합니다.
OneKey 지갑은 브라우저 확장 프로그램과 모바일 앱을 모두 제공합니다. 또한 내장된 OneKey Perps 기능을 통해 사용자는 어느 환경에서든 온체인 계약 시장에 접근할 수 있으며, 개인키는 계속 로컬에서 보관됩니다.
더 높은 보안을 원하는 사용자는 OneKey 하드웨어 지갑을 “콜드 서명” 계층으로 함께 사용할 수 있습니다. 일상적인 확인과 소액 운용은 소프트웨어 지갑에서 처리하고, 큰 금액 이동은 하드웨어 지갑에서 직접 확인하는 방식으로 효율성과 보안을 함께 고려할 수 있습니다.
WalletConnect: 모바일 지갑과 웹 DApp을 연결하는 방식
WalletConnect는 현재 모바일 지갑과 웹 DApp을 연결할 때 가장 널리 쓰이는 프로토콜 중 하나입니다.
사용자가 휴대폰으로 QR 코드를 스캔하면 지갑과 DApp 사이에 암호화된 통신 채널이 만들어집니다. 이후 서명 요청은 모바일 지갑으로 전달되고, 사용자는 휴대폰에서 내용을 확인한 뒤 승인합니다. 이 과정에서 개인키를 브라우저 환경에 노출할 필요가 없습니다.
이 방식은 웹 화면의 편리한 인터페이스와 모바일 지갑의 서명 격리를 결합한 형태라고 볼 수 있습니다.
자주 묻는 질문
Q1. 웹 버전 OneKey 지갑은 KYC가 필요한가요?
아니요. OneKey 지갑은 브라우저 확장 프로그램과 모바일 앱 모두 비수탁형 제품입니다. 개인키는 사용자가 직접 보관하며, 지갑 사용을 위해 별도의 신원 인증을 할 필요가 없습니다.
Q2. 브라우저 확장 지갑과 모바일 앱을 함께 설치했다면 어떤 시드 문구를 써야 하나요?
같은 시드 문구를 사용할 수 있습니다. 그러면 두 환경에서 동일한 계정 주소를 관리할 수 있어 편리합니다.
다만 어느 한쪽에서 보안 문제가 생기면 해당 시드 문구로 관리되는 모든 계정에 영향을 줄 수 있습니다. 중요한 자산은 하드웨어 지갑과 함께 보호하는 것을 권장합니다.
Q3. WalletConnect로 DApp에 연결하면 개인키가 유출될 수 있나요?
아니요. WalletConnect의 핵심 설계 원칙은 개인키가 지갑 밖으로 나가지 않는 것입니다. DApp은 서명 요청만 보내고, 지갑이 로컬에서 서명한 뒤 결과값만 반환합니다. 개인키는 처음부터 끝까지 사용자의 기기 안에 머뭅니다.
Q4. 브라우저 확장 지갑과 모바일 지갑은 ERC-20 토큰 승인 방식이 다른가요?
기술적으로는 차이가 없습니다. 둘 다 ERC-20 표준의 Approve 함수를 따릅니다.
차이는 주로 화면 표시 방식에 있습니다. OneKey, Rabby 같은 일부 확장 지갑은 승인 전에 시뮬레이션을 수행하거나 위험 요소를 강조해 보여주기도 합니다. 모바일 지갑의 안내는 상대적으로 간결한 경우가 많아, 사용자가 승인 한도와 대상 컨트랙트를 더 적극적으로 확인해야 합니다.
Q5. 초보자에게는 어떤 형태가 더 좋을까요?
대체로 모바일 앱이 초보자에게 더 친숙합니다. 일반 앱과 비슷한 사용 흐름이고, 생체 인증으로 잠금 해제하는 경험도 자연스럽습니다.
브라우저 확장 지갑은 학습 곡선이 조금 더 있지만, PC에서 DApp을 자주 사용하는 사람에게는 훨씬 효율적입니다. 처음에는 OneKey 모바일 앱으로 시작해 지갑 구조와 서명 과정을 익힌 뒤, 필요에 따라 브라우저 확장 버전을 함께 사용하는 방식이 좋습니다.
결론: 중요한 것은 형태가 아니라 자기수탁입니다
웹 지갑, 즉 브라우저 확장 지갑과 모바일 앱 지갑은 모두 KYC 없이 사용할 수 있습니다. 핵심 이유는 두 형태 모두 사용자가 개인키를 직접 보관하는 비수탁 구조를 가질 수 있기 때문입니다.
어떤 형태를 선택할지는 사용 목적에 따라 달라집니다. PC 앞에서 DeFi 프로토콜을 세밀하게 조작해야 한다면 브라우저 확장 지갑이 편리하고, 언제 어디서나 자산과 포지션을 빠르게 확인해야 한다면 모바일 앱이 적합합니다.
OneKey는 브라우저 확장 프로그램과 모바일 앱을 모두 제공하며, 코드가 오픈소스로 공개되어 있습니다. 또한 OneKey Perps가 내장되어 있어 온체인 거래가 필요한 사용자는 별도의 복잡한 이동 없이 한곳에서 지갑 관리와 퍼프스 거래 흐름을 이어갈 수 있습니다.
공식 다운로드 페이지에서 본인에게 맞는 OneKey 지갑 형태를 선택해 사용해 보세요. 온체인 계약 거래가 필요하다면 OneKey Perps를 함께 살펴보되, 항상 포지션 규모와 리스크를 신중하게 관리하는 것이 중요합니다.
위험 고지: 이 글은 정보 제공 목적이며, 재무·투자·법률 조언이 아닙니다. 암호화폐 및 온체인 파생상품 거래는 매우 높은 위험을 수반하며, 시장 변동으로 원금 손실이 발생할 수 있습니다. 온체인 서비스를 사용하기 전에 관련 위험을 충분히 이해하고, 본인의 상황에 따라 독립적으로 판단하세요.
