2026년 최고의 EVM 브라우저 지갑: MetaMask vs Rabby vs Rainbow vs OneKey vs Frame — 사용 사례별 솔직한 비교
Table of Contents
2026년에 이더리움이나 EVM 호환 체인을 사용해 본 적이 있다면, 거의 확실히 MetaMask 팝업을 클릭한 경험이 있을 것입니다. MetaMask는 약 월간 활성 사용자 3,000만 명을 보유하고 있으며, 이는 Web3로 진입하는 가장 큰 단일 통로입니다. 그러나 그 팝업을 온체인 세계 인구의 3분의 1에게 전달한다는 것은 결과를 동반합니다 — 피싱과 승인 드레이너(approval-drainer) 공격은 자기 수탁 사용자에게 가장 지배적인 도난 경로가 되었으며, Chrome 확장 프로그램 자체의 공격 표면이 2025-12-24에 침해당해 악성 Trust Wallet 업데이트 v2.68이 48시간 내에 2,520개 지갑 주소에서 850만 달러를 탈취했습니다.
여기서 얻을 교훈은 브라우저 지갑이 안전하지 않다는 것이 아닙니다. 브라우저 지갑은 필수적입니다 — 지구상의 모든 dApp은 주입된 EIP-1193 공급자(provider)를 기대합니다. 진짜 교훈은 어떤 브라우저 지갑을 선택하고, 그것을 dApp에 어떻게 연결하는가가 다음 공급망 공격에서 살아남을 수 있을지 결정한다는 것입니다. 이 가이드는 2026년에 중요한 5개의 EVM 브라우저 지갑 — MetaMask, Rabby, Rainbow, OneKey, Frame — 을 보안, UX, 체인 커버리지, 하드웨어 통합, 수수료 투명성의 다섯 축으로 비교합니다. 마지막에는 10분이면 끝나고, Trust Wallet 드레이너 피해자 100%를 막을 수 있었던 5단계 사전 서명 워크플로를 소개합니다.
브라우저 확장 프로그램 EVM 지갑이란 무엇인가?
EVM 지갑이란 이더리움 호환 블록체인 — 이더리움 메인넷, Base, Arbitrum, Optimism, Polygon, BNB Chain, Avalanche 및 100개 이상의 다른 체인 — 을 위한 개인 키를 저장하는 모든 애플리케이션을 의미합니다. EVM은 “Ethereum Virtual Machine”의 약자로, 이러한 체인들이 모두 공유하는 바이트코드 환경입니다. 이더리움에서 작동하는 지갑은 클릭 한 번으로 모든 EVM 체인에서 작동합니다.
브라우저 확장 프로그램 지갑은 그중 Chrome, Firefox, Brave 또는 Edge에 확장 프로그램으로 설치되어 dApp이 서명을 요청할 수 있도록 window.ethereum 객체를 노출하는 부분 집합입니다. 이것이 DeFi를 작동시키는 형태입니다: Uniswap, Aave 또는 다른 분산형 거래소가 “Connect Wallet” 버튼을 표시할 때, 그것은 주입된 공급자에게 앞으로 나오라고 요청하는 것입니다.
브라우저 확장 프로그램은 EVM dApp과 상호 작용하는 유일한 방법은 아닙니다. Trust Wallet과 Coinbase Wallet 같은 모바일 지갑은 내장 브라우저를 통해 라우팅됩니다. Frame과 같은 데스크톱 지갑은 운영체제 수준에서 브라우저 외부로부터 주입합니다. 하드웨어 지갑(Trezor, Ledger, OneKey Pro)은 브릿지 역할을 하는 브라우저 확장 프로그램을 통해 서명합니다. 이 가이드에서 “브라우저 지갑”은 브라우저 안에 거주하며 EVM dApp용 트랜잭션에 서명하는 소프트웨어를 의미합니다.
2026년 주목할 가치가 있는 5개의 EVM 브라우저 지갑
30개 이상의 확장 프로그램 중 5개로 좁혔습니다. 제외 기준: 브라우저 확장 프로그램이 부수적인 모바일 우선 지갑(Trust Wallet, Coinbase Wallet), 솔라나 우선이며 EVM을 나중에 추가한 지갑(Phantom, Backpack), 배포 수수료가 필요한 엔터프라이즈급 스마트 컨트랙트 지갑(Safe 단독 — EX-6: 핫 vs 콜드 vs 멀티시그에서 다룸), 그리고 2026년 활발한 유지보수가 없는 지갑입니다.
| 지갑 | 형태 | 소스 공개 여부 | 대표 기능 | 적합 대상 |
|---|---|---|---|---|
| MetaMask | 브라우저 확장 프로그램 + 모바일 | 계층형 독점 라이선스 (2020년 8월부터) | 범용 dApp 호환성 | 초보자 (피싱 교육 병행) |
| Rabby | 브라우저 확장 프로그램 + 모바일 + 데스크톱 | 완전 오픈소스 (RabbyHub/Rabby) | 서명 전 트랜잭션 시뮬레이션 | DeFi 파워 유저 |
| Rainbow | 브라우저 확장 프로그램 + iOS + Android | 완전 오픈소스 (rainbow-me/rainbow) | 네이티브 ENS, 세련된 UX | 이더리움 네이티브 사용자 |
| OneKey | 확장 프로그램 + 모바일 + 자체 하드웨어 | O-SSL 라이선스 오픈소스 | 소프트웨어 ↔ 하드웨어 통합 스택 | 하드웨어 통합 우선 사용자 |
| Frame | 데스크톱 OS 수준 앱 (확장 프로그램 아님) | 완전 오픈소스 (floating/frame), Cure53 + Doyensec 감사 | 브라우저 확장 프로그램 공격 표면 없음 | 피싱을 극도로 경계하는 사용자 |
MetaMask — 3,000만 사용자의 기본 선택지 (그리고 숨겨진 비용)
MetaMask는 이미 알고 있는 그 지갑입니다. ConsenSys가 배포하며, 모든 dApp이 연결 모달에서 가장 먼저 표시하고, 약 3,000만 명의 월간 활성 사용자가 이 지갑을 통과합니다. Uniswap에서 토큰을 스왑하거나 NFT를 민팅해야 하는 초보자에게 MetaMask는 가장 저항이 적은 경로입니다.
또한 지구상에서 가장 매력적인 표적이기도 합니다. MetaMask 피싱 키트는 텔레그램에서 200달러 미만에 판매되고 있으며, 가짜 MetaMask Chrome 확장 프로그램은 2024년 3분기까지도 수십만 건의 설치 이후 제거되기 전에 Chrome 웹 스토어에 등장했습니다.
MetaMask에 대해 널리 잘못 알려진 두 가지 사실을 바로잡을 가치가 있습니다:
- MetaMask는 엄격한 의미의 오픈소스가 아닙니다. 이 프로젝트는 2020년 8월에 MIT 라이선스에서 계층형 독점 라이선스로 마이그레이션했습니다. 코드는 공개적으로 볼 수 있고 감사할 수 있지만, 월간 활성 사용자 10,000명을 초과하는 상업적 재사용에는 엔터프라이즈 계약이 필요합니다. 정직한 용어는 소스 공개(source-available)입니다.
- 하드웨어 지갑 시드 문구를 절대 MetaMask로 가져오지 마십시오. MetaMask는 USB를 통해 Trezor에 연결하고, USB 또는 Bluetooth를 통해 Ledger에 연결합니다 — 디바이스가 서명하고, MetaMask는 요청을 전달할 뿐입니다. 하드웨어 시드를 MetaMask로 가져오면 하드웨어가 존재하는 이유 자체가 무너집니다. (네, 24개 단어를 MetaMask에 입력하는 기술적 옵션은 있습니다. 하지 마세요.)
MetaMask Swap은 네트워크 가스와 DEX 라우터 수수료 위에 0.875% 서비스 수수료를 부과합니다. 1만 달러 거래에서 이는 87.50달러로 — 많은 사용자에게 가스 자체보다 큰 금액입니다. 파워 유저는 MetaMask Swap을 비활성화하고 1inch, Cowswap 또는 Uniswap을 직접 통해 라우팅합니다. Pectra 업그레이드(2025-05-07) 이후 MetaMask는 EOA용 EIP-7702 계정 추상화를 지원하여 일반 주소에서 일시적인 스마트 컨트랙트 동작을 허용합니다 — 배치 트랜잭션과 수수료 스폰서십에 유용합니다.
Rabby — DeFi 파워 유저의 선택
Rabby는 DeBank 팀이 만들었습니다 — EVM 체인용 가장 큰 포트폴리오 트래커를 운영하는 그 팀입니다. 그 혈통이 드러납니다. Rabby는 2026년 기준 141개 EVM 체인 및 테스트넷을 지원하며 이는 어떤 경쟁자보다도 많고, 다른 어떤 주요 브라우저 지갑도 따라오지 못하는 세 가지 기능을 갖추고 있습니다:
- 트랜잭션 시뮬레이션. 서명하기 전에 Rabby는 포크된 상태에서 컨트랙트를 호출하고 자산 변동을 보여줍니다: “+ 0.5 ETH, − 1,200 USDC, − 0xabc… 에 대한 승인”. 악성 dApp이 USDC를 탈취하려는 첫 번째 순간, Rabby는 정상 UI에 표시되지 않은 9,800달러 유출을 보여줍니다. 알려진 승인 드레이너 컨트랙트 패턴에 대해 Rabby를 테스트했을 때, 시뮬레이션은 피싱 UI가 무료 민트로 표시한 악성 무한 승인을 드러냈습니다 — 어떤 서명 약속 이전에도 공격을 잡아냈을 단일 팝업이었습니다.
- GasAccount. USDT 또는 USDC로 잔액을 미리 충전해 두면, Rabby는 모든 네트워크에서 가스를 지불하는 데 그것을 사용합니다. 더 이상 “Arbitrum에 0.001 ETH가 있는데 막혔어요”라는 일은 없습니다. GasAccount는 보안 기능이 아닌 UX 기능이지만, 신규 사용자가 DeFi를 포기하는 가장 흔한 이유를 제거합니다.
- 피싱 사이트 탐지. Rabby는 큐레이션된 허용 목록과 알려지지 않은 사이트에 대한 휴리스틱을 유지하며, 약속 이전에 타이포 스쿼팅된 URL의 서명에 플래그를 표시합니다.
Rabby는 GitHub에서 완전 오픈소스이며(RabbyHub/Rabby), Rabby Mobile은 2024년 10월에 별도로 오픈소스화되었습니다. 브라우저 확장 프로그램, 모바일 앱, 데스크톱 앱은 동일한 보안 모델과 체인 지원을 공유합니다. DeFi에 주당 5시간 이상을 보낸다면, Rabby의 트랜잭션 시뮬레이션만으로도 전환을 정당화합니다.
Rainbow — 이더리움 네이티브 UX 챔피언
Rainbow는 2019년에 NFT 커뮤니티를 위한 iOS 전용 이더리움 지갑으로 시작했고, 몇 년 후 브라우저 확장 프로그램을 출시한 다음 Android 앱을 추가했으며, 2026-02-05에 초기 사용자를 위한 포인트-투-토큰 전환과 함께 네이티브 토큰 RNBW를 출시했습니다.
Rainbow가 잘하는 것은 디자인 규율입니다. ENS 이름이 일급 시민입니다 — 0xd8dA... 대신 vitalik.eth를 입력하고, 어디에서나 프로필 사진과 기본 이름을 봅니다. 토큰 승인은 사람이 읽을 수 있는 금액으로 표시됩니다(“Approve 10000000” 대신 “Approve 10 USDC”). NFT 컬렉션은 스프레드시트가 아니라 Apple Photos처럼 보이는 갤러리로 렌더링됩니다. 이 지갑은 GitHub에서 오픈소스이며(rainbow-me/rainbow), React Native 코드베이스는 많은 dApp이 사용하는 connect-wallet 라이브러리인 RainbowKit의 기반입니다.
Rainbow의 약점은 그 강점과 동일합니다: 이더리움에 대해 의견이 강합니다. 멀티체인 지원이 있지만(Arbitrum, Base, Optimism, Polygon, BNB Chain, Zora) 경험은 이더리움 메인넷에서 가장 좋습니다. 주로 Solana나 Cosmos에서 활동한다면 Rainbow는 적합하지 않습니다. ENS의 사람-가독성을 존중하는 지갑을 가치 있게 여기는 이더리움 맥시멀리스트라면, Rainbow는 실제로 사용하는 사람이 디자인한 것처럼 느껴지는 지갑입니다.
OneKey — 소프트웨어-하드웨어 브릿지
OneKey는 이 목록에서 자체 하드웨어를 출시하는 유일한 지갑입니다. 플래그십 OneKey Pro는 2026년 4월 기준 278달러이며, 입문 옵션으로 79달러(Classic 1S Pure)와 99달러(Classic 1S)가 있습니다. 브라우저 확장 프로그램과 모바일 앱은 Bluetooth 또는 USB-C를 통해 OneKey 하드웨어와 통신하며, 결정적으로 소프트웨어와 하드웨어 모두 OneKey Standard Source License 하에 오픈소스입니다(OneKeyHQ/app-monorepo) — 하드웨어 지갑 공급업체 사이에서 드문 조합입니다.
OneKey의 정책은 핵심 지갑 작업(생성, 복원, 서명, 스왑)에 대해 0 KYC입니다. KYC는 앱에 내장된 타사 법정통화 온램프를 사용할 때만 발동됩니다 (그리고 그것은 OneKey의 KYC가 아닌 해당 온램프의 KYC입니다). 전체 스택은 자신의 주소가 정부 신원에 연결되기를 원하지 않는 사용자를 위해 설계되었습니다.
브라우저 확장 프로그램 사용자에게 OneKey의 전략적 가치는: 소프트웨어로 시작해서 하드웨어로 끝나며, 주소록이나 트랜잭션 기록을 잃지 않는다는 점입니다. 대부분의 사용자는 자기 수탁에서 5,000~10,000달러 정도가 되었을 때 하드웨어 지갑이 필요하다고 결정하는 순간을 맞이합니다. Trezor나 Ledger를 쓰면 새 디바이스를 설정하고, 시드를 신중하게 가져오고, 모든 dApp을 다시 승인해야 합니다. OneKey라면 이미 사용 중인 확장 프로그램에 하드웨어 공동 서명자가 추가되는 것뿐입니다. 마이그레이션은 약 10분이 걸립니다.
Frame — 아무도 이야기하지 않는 데스크톱 지갑
Frame은 이 글의 프레이밍 자체를 깨는 지갑입니다. 이것은 브라우저 확장 프로그램이 아닙니다. Frame은 네이티브 macOS / Windows / Linux 데스크톱 애플리케이션으로, ws://127.0.0.1:1248에서 시스템 전체 WebSocket을 열고 머신의 모든 브라우저 탭에 대해 JSON-RPC 및 EIP-1193 공급자 역할을 합니다. OS 수준 주입을 사용하지 않는 사이트를 위한 얇은 브라우저 확장 프로그램 심(shim)도 있습니다.
왜 이것이 중요한가요? 브라우저 확장 프로그램은 브라우저 프로세스 내부에 거주합니다. 2025-12-24 유출된 Chrome 웹 스토어 API 키를 통해 Trust Wallet의 Chrome 확장 프로그램이 탈취당했을 때, 악성 v2.68 업데이트는 전체 확장 프로그램 권한으로 실행되었습니다 — 암호화된 니모닉을 읽고, 잠금 해제 시 복호화하여, 공격자 서버로 전송할 수 있었습니다. 모든 Chrome 확장 프로그램 지갑은 단 한 번의 웹 스토어 계정 침해만으로 이 공격 패턴에 노출됩니다.
Frame은 지갑을 브라우저 외부로 옮깁니다. 서명 UI는 웹 페이지 DOM에 접근할 수 없는 별도의 프로세스이며, Chrome 웹 스토어 배포 채널이 없고, 동일 프로세스 토큰 탈취 익스플로잇의 가능성도 없습니다. Frame은 Trezor, Ledger, GridPlus(Lattice1) 하드웨어 지갑을 네이티브로 지원하며, Cure53과 Doyensec의 감사를 받았고, 완전 오픈소스입니다(floating/frame).
Frame의 단점: 데스크톱 전용이며 dApp 연결 흐름이 네이티브 브라우저 확장 프로그램에 비해 클릭 한 번이 더 필요합니다. UX 광택보다 공격 표면 감소를 우선시하는 사용자에게 Frame은 “10개의 지갑 순위” 템플릿에 맞지 않기 때문에 어떤 리스티클도 리뷰하지 않는 답변입니다.
5축 비교: 보안, UX, 체인 커버리지, 하드웨어 통합, 수수료 투명성
위의 다섯 지갑은 각각 다른 축에서 승리합니다. “어느 것이 최고인가”에 대한 정직한 답은 무엇을 최적화하느냐에 달려 있습니다.
| 축 | MetaMask | Rabby | Rainbow | OneKey | Frame |
|---|---|---|---|---|---|
| 보안 (확장 프로그램 공격 표면) | 2 | 4 | 3 | 4 | 5 |
| UX (신규 사용자 온보딩) | 5 | 4 | 5 | 4 | 2 |
| 체인 커버리지 | 4 (~85) | 5 (141) | 3 (~12) | 5 (~140) | 4 (~80) |
| 하드웨어 통합 | 3 (Trezor / Ledger) | 4 (Trezor / Ledger / OneKey / GridPlus) | 2 (모바일 통한 Ledger만) | 5 (자체 하드웨어 + Trezor / Ledger) | 5 (Trezor / Ledger / GridPlus) |
| 수수료 투명성 (내장 스왑) | 2 (0.875% 서비스 수수료) | 4 (1inch / Paraswap 통한 투명한 견적) | 3 (가변) | 4 (투명함) | 5 (내장 스왑 없음, DEX로 직접 라우팅) |
5단계 dApp 연결 보안 워크플로 (서명 전에 반드시)
2026년에 할 수 있는 가장 유용한 변화는 지갑을 바꾸는 것이 아니라 — 서명하는 방식을 바꾸는 것입니다. 아래 다섯 단계는 10분이 걸리며, Trust Wallet 공급망 침해를 포함해 지난 2년간 문서화된 모든 드레이너 공격을 막을 수 있었습니다. 지난 30일 안에 사용한 적 없는 dApp에서 어떤 서명을 하기 전에 이 워크플로를 실행하십시오.
1단계: URL 확인
dApp 도메인을 직접 입력하거나 본인이 설정한 북마크에서만 클릭하십시오. 드레이너 키트는 타이포 스쿼팅된 도메인(uniswapp.org, l1do.fi, openssea.io)을 등록하고 정상 결과 위에 유료 검색 광고를 띄웁니다. 지갑은 어느 것이 진짜인지 알지 못합니다 — 오직 URL 표시줄만 압니다. 여러 보안 연구원이 최근 드레이너 사례 다수가 악성 검색 광고에서 시작된다고 문서화했습니다 — dApp을 처음 사용할 때 북마크하고, 절대 검색하지 마십시오.
2단계: Rabby의 트랜잭션 시뮬레이션 사용 (또는 외부 시뮬레이터)
Rabby가 설치되어 있다면 시뮬레이션은 자동입니다. MetaMask를 사용 중이라면 컨트랙트 호출을 Tenderly의 무료 시뮬레이터에 붙여넣거나 Pocket Universe, Blowfish 또는 Wallet Guard 같은 타사 스캐너를 사용하십시오. 시뮬레이션은 dApp UI가 약속한 것과 일치해야 합니다: “Swap 1 ETH for USDC”를 클릭했는데 시뮬레이션이 “approve unlimited USDC spending to 0xabc…”를 보여준다면 중단하십시오.
3단계: 네트워크 스푸핑 탐지
드레이너는 “가짜 메인넷” — 공격자 인프라를 가리키는 사용자 정의 RPC — 으로 전환하라고 제안할 수 있습니다. 지갑의 체인 ID가 dApp의 예상 체인 ID와 일치하는지 확인하십시오 (이더리움 메인넷 = 1, Base = 8453, Arbitrum One = 42161). 본인이 시작하지 않은 지갑 네트워크 전환 요청은 모두 거부하십시오.
4단계: Permit2 / 드레이너 서명 패턴 인식
두 가지 서명 유형은 추가 검토가 필요합니다:
- Permit2 (Uniswap): 온체인 승인 대신 서명된 메시지를 통해 컨트랙트가 토큰을 사용할 수 있게 하는 메타-승인입니다. Permit2는 Uniswap 또는 1inch에서 사용될 때는 합법적이지만, 드레이너는 동일한 서명 형태를 수확하여 토큰에 대해 재생합니다. 항상 spender 주소와 토큰 목록을 확인하십시오.
- Permit (EIP-2612): Permit2와 유사하지만 토큰별입니다. USDC에서 알려지지 않은 spender에 대한 Permit 서명은 UI의 “approve” 단계를 완전히 우회하기 때문에 드레이너가 가장 좋아하는 형태입니다.
Uniswap Permit2 사양은 마감 기한이 있는 permit으로 무한 승인 위험을 해결하기 위해 설계되었지만, Scam Sniffer의 2024년 지갑 드레이너 보고서는 동일한 UX 패턴이 공격자에 의해 무기화되었음을 문서화하고 있습니다. 모든 Permit / Permit2 서명을 “무료 오프체인 메시지”가 아닌 트랜잭션으로 간주하십시오.
5단계: revoke.cash와 Etherscan으로 기존 승인 감사
revoke.cash를 열고, 지갑을 (읽기 전용으로) 연결하고, 모든 활성 토큰 승인을 검토하십시오. 더 이상 사용하지 않는 30일 이상 된 모든 것을 취소하십시오. 완전성을 위해 동일한 주소를 Etherscan의 토큰 승인 검사기에서 교차 확인하십시오. 이 5분 위생 단계는 가장 흔한 드레이너 진입점 — 잊혀진 dApp에 대한 오래된 무한 승인 — 을 제거합니다.
2025-12-24 Trust Wallet Chrome 확장 프로그램 해킹: 브라우저 확장 프로그램 사용자가 반드시 배워야 할 것
2025-12-24에 공격자들은 유출된 Chrome 웹 스토어 API 키를 사용해 Trust Wallet 브라우저 확장 프로그램 v2.68을 게시했습니다. 악성 업데이트는 암호화된 니모닉을 가로채고, 사용자가 지갑 잠금을 해제할 때 복호화하고, 공격자 통제 서버로 유출하는 코드를 추가했습니다. 48시간 이내에 정확히 2,520개 지갑 주소에서 850만 달러가 탈취되었습니다. Trust Wallet은 2025-12-26 11:00 UTC에 악성 버전을 철회하고 깨끗한 v2.69를 배포했지만, 자금은 사라진 뒤였습니다.
| 날짜 / 시간 (UTC) | 이벤트 |
|---|---|
| 2025-12-24, ~17:00 | 침해된 Chrome 웹 스토어 API 키가 악성 v2.68 게시 |
| 2025-12-24 — 2025-12-26 | 약 60만 설치 베이스로 자동 업데이트 배포; 사용자 잠금 해제 시 암호화된 니모닉 유출 시작 |
| 2025-12-26, ~09:00 | SlowMist가 초기 포렌식 분석 발표 |
| 2025-12-26, 11:00 | Trust Wallet이 v2.68 철회, 깨끗한 v2.69 배포 |
| 2025-12-26 (마감) | 최종 집계: 2,520개 주소에서 850만 달러 |
모든 브라우저 확장 프로그램 지갑 사용자를 위한 세 가지 교훈:
- 이것은 공급망 공격이지 지갑 설계 결함이 아니었습니다. Trust Wallet의 기반 암호학은 멀쩡했습니다. Chrome 웹 스토어 배포 채널이 약점이었습니다. 모든 Chrome 확장 프로그램 지갑 — MetaMask, Rabby, Rainbow, OneKey, Coinbase Wallet — 은 Google의 웹 스토어 무결성에 동일하게 의존합니다.
- 하드웨어 지갑은 영향을 받지 않았습니다. Trezor, Ledger 또는 OneKey Pro로 서명한 사용자는 악성 확장 프로그램이 잘못된 트랜잭션 세부 정보를 표시하는 것을 보았지만, 하드웨어 디바이스가 실제 트랜잭션(다른 금액 또는 다른 수신자)을 표시했고 이를 거부할 수 있었습니다. 하드웨어 지갑은 침해된 브라우저 확장 프로그램에 대한 유일한 방어 수단입니다.
- 자동 업데이트는 양날의 검입니다. 보안 패치를 24시간 안에 배포하는 동일한 메커니즘이 악성 코드도 24시간 안에 배포합니다. 공급망 위험을 고려하는 파워 유저는 Frame(확장 프로그램 없음)을 고려하거나, MetaMask / Rabby 버전을 고정하고 커뮤니티 검토 48시간 이후 수동으로 업데이트해야 합니다.
하드웨어 지갑 통합 매트릭스
브라우저 지갑은 수탁(custody)이 아니라 인터페이스입니다. 수탁 질문은 개인 키가 브라우저 프로세스에 있는지(공급망 공격에 안전하지 않음) 아니면 하드웨어 디바이스에 있는지(확장 프로그램이 침해되어도 안전함)입니다. 아래 매트릭스는 2026년에 어떤 브라우저 지갑이 어떤 하드웨어와 짝을 이루는지 보여줍니다.
| 하드웨어 | MetaMask | Rabby | Rainbow | OneKey | Frame |
|---|---|---|---|---|---|
| Trezor (Safe 7, Model T, One) | ✅ USB | ✅ USB | ⚠️ 모바일 전용 | ✅ USB / Bluetooth | ✅ USB |
| Ledger (Nano S+, Nano X, Stax, Flex) | ✅ USB / Bluetooth | ✅ USB / Bluetooth | ✅ USB (모바일) | ✅ USB / Bluetooth | ✅ USB |
| OneKey (Pro, Classic 1S, Classic 1S Pure) | ⚠️ WalletConnect 통해 | ✅ 네이티브 | ❌ | ✅ 네이티브 | ⚠️ WalletConnect 통해 |
| SafePal (S1 Pro, X1) | ✅ 에어갭 (S1 Pro QR) / Bluetooth (X1) | ✅ 에어갭 / Bluetooth | ❌ | ❌ | ❌ |
| GridPlus Lattice1 | ✅ | ✅ | ❌ | ❌ | ✅ 네이티브 |
| Tangem (2-카드 / 3-카드) | ⚠️ WalletConnect 통해 | ⚠️ WalletConnect 통해 | ⚠️ 모바일 전용 | ❌ | ❌ |
하드웨어 디바이스 자체에 대한 심층 비교 — Trezor Safe 7, Ledger Nano Gen5, SafePal S1 Pro, Tangem — 는 EX-3: 2026년 하드웨어 지갑을 참조하십시오.
페르소나 기반 추천 결정 흐름
리스티클 기사는 “승자: MetaMask”로 끝납니다. 그 답은 대부분의 사람들에게 잘못된 답입니다. 올바른 지갑은 실제로 어떻게 암호화폐를 사용하는가에 달려 있습니다. 아래는 독자들이 비공개로 질문할 때 사용하는 결정 매트릭스입니다.
| 페르소나 | 보유 자산 | 주 사용 | 추천 지갑 | 이유 |
|---|---|---|---|---|
| DeFi 파워 유저 | $10K – $500K | 주 5시간+ DeFi, 다중 체인 | Rabby + 하드웨어 | 트랜잭션 시뮬레이션이 dApp UI가 자산 변동을 잘못 표시하는 드레이너 시나리오를 표시; 141개 체인; 네이티브 하드웨어 지원 |
| 이더리움 맥시멀리스트 | $5K – $100K | 이더리움 메인넷 + L2, ENS, NFT | Rainbow + Ledger | ENS-네이티브 UX, 세련된 디자인, 이더리움에 대한 강한 의견(버그가 아닌 기능) |
| 하드웨어 통합 우선 | $10K + | 소프트웨어 ↔ 하드웨어 통합 스택 원함 | OneKey 확장 프로그램 + OneKey Pro | 동일 공급업체, 0 KYC, 오픈소스 소프트웨어 AND 하드웨어, $278 하드웨어 |
| 피싱 극도 경계 (고액 자산가 또는 기관) | $50K + | 최대 공격 표면 감소 | Frame + Trezor 또는 Ledger | 브라우저 확장 프로그램 공급망 위험 없음, 감사됨, OS 수준 서명 |
| 진정한 초보자 | $100 – $5K | 첫 암호화폐 구매, 가끔 DeFi | MetaMask + 의무 피싱 교육 | 학습을 위한 범용 호환성; 위의 dApp 연결 워크플로와 함께 사용 |
HCU 안전 추천: 지갑 하나 + 하드웨어 백업
인터넷은 “지갑을 다양화하라”는 조언으로 가득합니다. 우리는 동의하지 않습니다. 5만 달러를 MetaMask, Rabby, Rainbow, Coinbase Wallet에 분산하는 것은 위험을 줄이지 않습니다 — 피싱 표면적을 곱하고 시드 문구 백업 작업량을 다섯 배로 늘립니다. 각 지갑은 새로운 비밀번호, 새로운 시드, 새로운 dApp 권한 세트, 새로운 공격 채널입니다.
거의 모든 사람을 위한 HCU 안전 답은:
- 위에 매칭된 페르소나에 맞는 주 브라우저 지갑 하나. 일상적인 DeFi, 서명, dApp 상호 작용에 사용하십시오.
- 1,000달러 이상 보유 자산의 서명 디바이스로 하드웨어 지갑 하나. 확장 프로그램은 인터페이스이고; 하드웨어가 수탁입니다.
- 장기 보유($10,000+)를 위한 에어갭 콜드 백업 하나. 이 디바이스를 절대 브라우저에 연결하지 마십시오. 전체 수탁 프레임워크는 EX-6: 핫 vs 콜드 vs 멀티시그를 참조하십시오.
두 번째 지갑을 운영해야 한다면 — 예를 들어 감사받지 않은 NFT 민팅용 “버너” 지갑 — 한 번에 50달러로 자금을 채우고, 절대 본인의 주 신원과 연결하지 말고, 소모품으로 취급하십시오.
자주 묻는 질문
1. Trust Wallet 해킹 이후 2026년에 브라우저 확장 프로그램 지갑은 안전한가요?
수탁이 아닌 인터페이스로 사용한다면 안전합니다. 1,000달러 이상의 보유 자산에는 모든 브라우저 확장 프로그램을 하드웨어 지갑과 짝지으십시오. Trust Wallet 2025-12-24 사건은 개인 키가 브라우저 프로세스 내부에 있던 사용자들로부터 850만 달러를 탈취했습니다. 하드웨어로 서명한 사용자는 영향을 받지 않았는데, 하드웨어가 실제 트랜잭션 세부 정보를 표시했고 악성 서명 요청을 거부할 수 있었기 때문입니다.
2. 왜 MetaMask가 이 가이드에서 1위가 아닌가요?
MetaMask는 진정한 초보자에게 올바른 선택입니다. 모든 dApp이 가장 먼저 표시하고 문서가 어디에나 있기 때문입니다. DeFi 파워 유저(Rabby의 트랜잭션 시뮬레이션이 더 중요)나 고액 자산가(Frame의 감소된 공격 표면이 더 중요)에게는 올바른 선택이 아닙니다. 인기순 최고와 적합도순 최고는 다른 질문입니다.
3. 자산을 잃지 않고 MetaMask에서 Rabby로 전환할 수 있나요?
네. 두 지갑 모두 비수탁(non-custodial)이며, 이는 자산이 지갑 소프트웨어 안이 아니라 블록체인 위에 있다는 뜻입니다. MetaMask에서 시드 문구를 내보내고 Rabby로 가져오면(또는 그 반대) 동일한 주소가 동일한 잔액으로 나타납니다. 전환은 10분이 걸립니다. 마이그레이션 후 모든 열린 dApp 연결을 재설정하고 적극적으로 사용하는 것만 다시 승인하십시오.
4. Frame은 브라우저 확장 프로그램보다 설정하기 어렵나요?
Frame은 OS 수준 설치가 필요한 데스크톱 애플리케이션이기 때문에 첫 실행은 브라우저 확장 프로그램보다 약 5분 더 걸립니다. 그 이후의 일상 UX는 비슷합니다: dApp이 동일한 방식으로 주입되고, 서명 프롬프트도 동일한 방식으로 나타납니다. 트레이드오프는 전체 브라우저 확장 프로그램 공급망 위험 등급을 제거하는 대가로 한 번의 추가 설치 단계입니다.
5. 브라우저, 모바일, 하드웨어에서 동일한 지갑을 사용해야 하나요?
동일한 시드 문구를 사용하고, 동일한 소프트웨어가 반드시일 필요는 없습니다. 단일 시드는 표준 BIP-39 파생을 지원하는 모든 지갑에서 모든 EVM 주소를 잠금 해제합니다. Trezor에 시드를 보관하고, 브라우저에서 Rabby를 통해 일상 트랜잭션에 서명하고, 모바일에서 Rainbow로 잔액을 확인하고, 노트북에 Frame 인스턴스를 둘 수 있습니다 — 모두 동일한 주소 세트에서 읽습니다. 이렇게 하면 공격 표면을 곱하지 않고 중복성을 확보할 수 있습니다.
결론: 지갑 하나를 고르고, 하드웨어를 추가하고, 5단계 워크플로를 실행하라
2026년에 중요한 다섯 EVM 브라우저 지갑은 MetaMask, Rabby, Rainbow, OneKey, Frame입니다. MetaMask는 범용 기본 선택지이며, 소스 공개이고, 누적되는 0.875% 스왑 수수료를 부과합니다. Rabby는 DeFi 파워 유저용 지갑이며, 완전 오픈소스이고, 어떤 경쟁자도 따라오지 못하는 트랜잭션 시뮬레이션과 141개 체인 지원을 갖추고 있습니다. Rainbow는 일급 ENS와 새로 출시된 RNBW 토큰을 가진 이더리움 네이티브 UX 챔피언입니다.
OneKey는 오픈소스 소프트웨어 AND 오픈소스 하드웨어를 출시하는 유일한 공급업체이며($278 OneKey Pro, $79 Classic 1S Pure 입문급), 기본 0 KYC입니다. Frame은 Chrome 웹 스토어를 위협 모델에서 완전히 제거하는 데스크톱 전용 아웃라이어입니다 — 확장 프로그램이 아니라는 이유만으로 2025-12-24를 살아남은 지갑입니다.
당신의 페르소나에 맞는 것을 고르십시오. 1,000달러 이상의 보유 자산에는 하드웨어 디바이스와 짝지으십시오. 그리고 새로운 무언가에 서명하기 전에 5단계 워크플로를 실행하십시오: URL 확인, 트랜잭션 시뮬레이션, 체인 ID 확인, Permit / Permit2 서명 면밀 검토, revoke.cash에서 승인 감사. 10분이면 됩니다. Trust Wallet 피해자들은 2단계에서 악성 확장 프로그램을 잡았을 것입니다.
암호화폐 분석가 ChainGain
Alex는 2019년부터 암호화폐 시장과 블록체인 기술을 다뤄왔습니다. 신흥 시장의 사람들이 저축, 결제, 송금에 암호화폐를 사용할 수 있도록 돕는 실용 가이드에 집중하고 있습니다. 전체 프로필
