이더리움 파운데이션, 349달러짜리 Passport Prime에 범용 서명 앱 공개

Passport Prime에 상륙하는 범용 이더리움 서명 앱

이더리움 파운데이션이 Passport Prime 단말기용 새 서명 앱 '범용 이더리움 서명기(Universal Ethereum (ETH) Signer)'를 공개했다. 베타 기간에는 사용자가 이 앱을 직접 단말기에 설치해야 하며, 별도의 설치 기한은 정해져 있지 않다. 앱은 Ledger 공동창업자인 Nicolas Bacca가 개발했고, 파운데이션이 Passport 하드웨어 라인을 위해 만든 운영체제 KeyOS 위에서 구동된다. 파운데이션 공동창업자 겸 최고경영자 Zach Herbert는 2026년 11월 12일 목요일 공개된 발언에서 운영체제 설계, 백업 방식, 생산 체계를 설명했다. KeyOS 환경에서는 단말기의 모든 애플리케이션이 자체 샌드박스 안에서 실행되며, 마스터 개인 키에 직접 접근하는 대신 강화된 자식 키를 하나씩 배정받는다. 파운데이션은 앱끼리 서로 분리된 환경을 만드는 것을 서명 전용 하드웨어에서 앱 스토어를 운영할 수 있는 전제 조건으로 제시한다. Herbert는 이런 격리 구조 덕분에 신뢰된 개발자가 파운데이션을 거치지 않고도 Passport Prime 사용자에게 업데이트를 바로 배포할 수 있다고 설명했다. 그는 회사의 서명 단말기를 '인간 권한 하드웨어'라 부르면서, 키를 전용 아이폰에 보관하면 되지 않느냐는 되풀이되는 질문에 349달러라는 Passport Prime의 가격으로 답했다. 범용 스마트폰은 서명 기능을 앱, 브라우저, 네트워크 노출과 섞어 버리기 때문에 이 가격이 정당하다는 입장이다. 이번 공개는 하드웨어와 소프트웨어의 출시이지 토큰 이벤트가 아니다. PRIME 가격은 파운데이션의 제품 스택 밖에 있으며, 서명 앱이나 베타에 토큰 요소는 붙어 있지 않다.

이 아키텍처의 기술적 근거는 코드 크기에서 나온다. KeyOS 마이크로커널은 약 9,000줄의 코드로 이뤄져 있는데, 리눅스 커널은 약 4,000만 줄에 이른다. Herbert는 이 격차를 검토자가 감사할 수 있는 코드와 감사할 수 없는 코드의 차이로 설명한다. 코드베이스가 이토록 작으면 소규모 팀도 감사를 끝낼 수 있고, 리눅스 전체 트리는 그렇지 않다는 것이 핵심 논리다. 파운데이션은 마이크로커널에 대해 형식 검증(formal verification)도 계획하고 있다. 표본을 추출해 시험하는 대신 코드의 성질을 수학적으로 증명하는 방법으로, 커널이 충분히 작아야 처음부터 끝까지 검증이 가능하고 자식 키 모델도 그 위에 서게 된다는 주장이다. 복구 절차도 같은 미니멀리즘을 따른다. Magic Backups는 지갑 시드를 세 개의 Shamir 조각으로 나눠 NFC 카드 두 장과 휴대폰 한 대에 분산 보관한다. 충분한 조각이 모여야 시드가 복원되는 구조라, 카드나 휴대폰 하나만으로는 시드가 노출되지 않는다. 암호화된 기기 데이터를 복구할 때도 이메일 주소나 사용자 이름은 파운데이션 시스템 어디에도 저장되지 않는다. 제조는 미국 내 ITAR 인증 시설에서 이뤄지며, 각 단말기에는 작동 중인 변조 방지 스위치가 장착된다. 소프트웨어 쪽에서는 신뢰된 개발자가 Passport Prime 사용자에게 업데이트를 직접 배포할 수 있는 App Catalog가 예정돼 있고, Herbert는 이를 GrapheneOS의 F-Droid에 비유했다. 베타 기간에는 파운데이션 앱을 수동으로 설치하며, 카탈로그가 출시되면 이 수동 절차가 대체된다. 다만 카탈로그 출시일은 공개되지 않았다. Herbert는 Passport가 스왑 및 입국 수수료 중심의 수익 모델을 채택한 동반 앱이 되지 않고 중립적 플랫폼으로 남기를 바란다고 덧붙였다. 이런 수익화 경로는 웹3 지갑과 DeFi 프런트엔드 사이에서 흔히 쓰인다.

자식 키가 좁히는 블라인드 서명 노출

이번 발표에서 무게를 실어주는 기록은 파운데이션 자신의 KeyOS 설계 공개이며, 실제 보안 효과가 걸려 있는 부분은 자식 키 규칙이다. 범위가 제한된 키를 받은 샌드박스 애플리케이션은 침해된 앱 하나가 일으킬 수 있는 피해를 제한하고, 블라인드 서명 노출도 좁힌다. 블라인드 서명은 사용자가 거래 내용 전체를 끝까지 보지 못한 상태에서 단말기가 승인해 버리는 실패 유형이다. 서명 전용 콜드월렛 시장에서 이번 발표는 하드웨어 서명기 간 경쟁으로 읽는 것이 타당하다. 시장 면에서 이 공개는 토큰 유통량이나 자금 흐름에 영향을 주지 않는다. PRIME 티커는 파운데이션의 스택에서 아무 역할도 하지 않기 때문에 특정 자산의 촉매로 보기 어렵다. 자료 속에 남아 있는 미확정 일정은 두 가지다. 베타 기간과 App Catalog 출시 시점이다. 설치 시기를 놓친 사용자에 대해서는 문서화된 대안이 없고, 그 설치가 어떻게 처리되는지도 답이 나와 있지 않다.