분산 소셜 네트워크와 Web3 인증 설계

소셜 그래프와 인증을 플랫폼 밖으로 분리하는 구조

분산 소셜 네트워크는 소셜 그래프, 콘텐츠, 아이덴티티를 중앙 플랫폼이 아닌 프로토콜·체인·스토리지에 분산해 저장하고 검증하는 방식이다. Lens Protocol은 Polygon/Optimism 상에서 소셜 그래프를 다루고, Farcaster는 Hub 기반 p2p 인덱싱과 온체인 등록을 사용한다. IPFS와 Arweave는 콘텐츠 주소화 계층으로 활용된다.

Web3 인증은 개인 키의 소유를 인증 근거로 삼는다. EIP-4361 기반 SIWE 메시지 서명, EIP-4337 스마트 계정, DID/VC 기반 증명이 여기에 해당한다. 세션 키, 메타트랜잭션, ERC-1271 컨트랙트 지갑 서명 검증도 이 인증 모델을 확장하는 수단이다.

데이터는 위치와 변경 성격에 따라 나눈다

프로필, 핸들, 팔로우, 블록처럼 검증이 중요한 상태는 스마트 컨트랙트로 관리할 수 있다. 반면 원문과 미디어는 IPFS 또는 Arweave에 저장해 비용과 성능을 조절한다.

읽기 경로에는 별도 인덱싱이 필요하다. Subgraph(Graph Protocol), Farcaster Hub, 자체 인덱서는 조회 성능을 보완하며, 이벤트 기반 동기화와 재색인 전략을 함께 설계해야 한다.

아이덴티티는 DID, ENS, Lens Profile, Farcaster FID처럼 앱 간에 옮길 수 있는 식별자를 사용한다. 소셜 그래프 역시 온체인 이벤트나 서명된 오프체인 메시지로 유지하면 여러 애플리케이션에서 재사용할 수 있다.

서명 로그인에서 권한 위임까지

SIWE(EIP-4361)는 도메인, nonce, 만료, chainId가 담긴 메시지에 서명해 로그인한다. 리플레이 공격을 막고 세션과 연결하기에 적합하다.

스마트 계정(EIP-4337)과 ERC-1271은 컨트랙트 지갑의 정책 기반 서명 검증을 가능하게 한다. 세션 키나 CACAO 등의 Capability 위임을 사용하면 필요한 범위로 권한을 세분화할 수 있다.

L2(Optimistic/ZK Rollup), 번들링, 메타트랜잭션, Paymaster는 가스 부담을 낮추는 선택지다. 중요한 상태만 온체인에 커밋하고 나머지는 오프체인 서명과 지연 정산으로 처리하면 사용성을 높일 수 있다.

거버넌스와 모더레이션도 프로토콜 수준에서 분리할 수 있다. 커뮤니티 목록과 중재 규칙을 모듈화하고, 클라이언트마다 정책 오버레이를 둘 수 있다. 이때 불변성과 삭제 권리의 충돌을 고려해 콘텐츠 키 암호화와 가리기(listing suppression)를 조합한다.

분산 소셜을 적용하는 장면

토큰 게이팅 커뮤니티에서는 ERC-1155/721 보유 증명이나 VC 제시로 접근을 제어하고, 세션 키로 단기 권한을 위임한다. 로그인(SIWE) 뒤 토큰 또는 VC를 검증하고, 온체인·오프체인 역할을 매핑한 다음 접근 토큰을 발급하는 흐름이다.

크리에이터 수익화에는 팁, 구독, 리미트드 드롭의 자동 분배와 온체인 로열티 규칙을 적용할 수 있다. 콘텐츠 메타데이터는 IPFS에 두고, 결제는 L2와 메타트랜잭션으로 처리해 수수료와 UX를 조절한다.

기업 환경에서는 OIDC와 SIWE를 연결해 기업 계정 로그인과 지갑 로그인을 병행할 수 있다. 규제 환경에서는 VC로 KYC와 자격 증명을 전달하고, 온체인 트랜잭션 해시와 이벤트를 감사 로그에 연결해 변경 불가 증적을 남긴다.

Lens 또는 Farcaster의 소셜 그래프를 내부 추천·분석 모델에 통합하는 방식도 가능하다. 사용자 요청이 있을 때 그래프와 콘텐츠를 포터블 형식으로 내보낼 수 있어야 한다.

인증과 게시 요청이 이어지는 경로

⤢✕

도메인이나 chainId가 일치하지 않거나, 만료가 지났거나, nonce가 재사용되면 인증을 거부해야 한다. 컨트랙트 지갑은 ERC-1271 검증 경로가 필요하며, 세션 토큰에는 audience/scope/exp를 최소로 포함한다.

인증 방식별 운영 특성

접근법	성능	확장성	일관성	안정성	운영 편의
SIWE (EIP-4361)	네트워크 독립, 지연 낮음	수평 확장 용이(서명 검증 CPU 경량)	서명·nonce 규칙으로 강한 일관성	키 분실 리스크 사용자 귀속	기존 웹 스택과 통합 용이
스마트 계정+세션 키 (EIP-4337)	번들링·가스 스폰서로 UX 우수	Paymaster/번들러로 대규모 트래픽 처리	정책 기반 검증으로 일관성 강화	인프라 구성 복잡도 상승	무가스 UX·자동화에 우수
DID/VC + OIDC 브리지	검증 캐시로 준수 성능	발급/검증기관 분리로 확장성 우수	표준 스키마로 상호운용 일관성	발급자 신뢰·철회 관리 필요	기존 SSO와 병행 운영 용이

SIWE 검증을 백엔드에 연결하기

환경은 Node.js 18+, express ^4, siwe ^2, ethers ^6을 전제로 한다. HTTPS, 세션 저장소 또는 JWT, 체인 RPC 엔드포인트가 필요하며 CSRF 방어와 CORS 설정도 갖춰야 한다.

npm i express siwe ethers cookie-parser

// server.js
import express from "express";
import { SiweMessage } from "siwe";
import cookieParser from "cookie-parser";
import { ethers } from "ethers";

const app = express();
app.use(express.json());
app.use(cookieParser());

const nonces = new Map(); // demo: prod에서는 Redis 등 사용

app.get("/auth/nonce", (req, res) => {
  const nonce = crypto.randomUUID();
  nonces.set(nonce, Date.now() + 5 * 60_000);
  res.json({
    nonce,
    domain: "example.com",
    chainId: 1,
    statement: "Sign in",
    expirationTime: new Date(Date.now() + 5 * 60_000).toISOString(),
  });
});

app.post("/auth/verify", async (req, res) => {
  try {
    const { message, signature } = req.body; // message: EIP-4361 string
    const siwe = new SiweMessage(message);
    const fields = await siwe.validate(signature, { domain: "example.com" });

    const exp = nonces.get(fields.nonce);
    if (!exp || Date.now() > exp)
      return res.status(400).json({ error: "Invalid nonce" });
    nonces.delete(fields.nonce);

    // Optional: ERC-1271 support
    if (await isContractAddress(fields.address)) {
      const ok = await erc1271Verify(
        fields.address,
        siwe.prepareMessage(),
        signature,
      );
      if (!ok) return res.status(401).json({ error: "ERC-1271 invalid" });
    }

    // issue session (JWT/secure cookie). Demo cookie:
    res.cookie("sid", crypto.randomUUID(), {
      httpOnly: true,
      secure: true,
      sameSite: "lax",
    });
    res.json({ address: fields.address, chainId: fields.chainId });
  } catch (e) {
    res.status(400).json({ error: "Invalid signature" });
  }
});

async function isContractAddress(addr) {
  const provider = new ethers.JsonRpcProvider(process.env.RPC_URL);
  const code = await provider.getCode(addr);
  return code && code !== "0x";
}

async function erc1271Verify(contractAddr, msg, sig) {
  const provider = new ethers.JsonRpcProvider(process.env.RPC_URL);
  const abi = [
    "function isValidSignature(bytes32 _hash, bytes _signature) view returns (bytes4)",
  ];
  const c = new ethers.Contract(contractAddr, abi, provider);
  const hash = ethers.hashMessage(msg);
  const MAGIC = "0x1626ba7e";
  try {
    const ret = await c.isValidSignature(hash, sig);
    return ret.toLowerCase() === MAGIC;
  } catch {
    return false;
  }
}

app.listen(3000);

도메인 바인딩(domain), nonce 단일 사용, 만료(expirationTime), chainId 검증은 필수다. JWT를 사용한다면 aud/iss/nbf/exp 클레임을 명시하고 세션 고정 공격도 막아야 한다.

키 관리와 모더레이션에서 남는 과제

시드 문구 노출 위험이 있으므로 스마트 계정과 패스키(WebAuthn) 다중 팩터를 조합하고, 세션 키의 범위와 만료를 제한한다. SIWE 메시지에는 도메인, URI, nonce, 만료를 넣고 서명 UI에는 목적(statement)을 표시한다. 피싱 도메인 탐지와 차단 목록도 운영 대상이다.

프라이버시 측면에서는 영지식 증명(ZK) 또는 VC 최소한 공개로 속성을 증명하고, IPFS 고정(Pin)과 철회 메타데이터 정책을 설계한다. GDPR 삭제 권리와 불변성의 충돌은 별도로 관리해야 한다.

비용과 성능은 중요한 상태만 온체인으로 옮기고 나머지를 서명된 오프체인 메시지로 처리해 균형을 잡는다. L2, 번들러, Paymaster는 평균 가스 비용을 절감하는 수단이다. 모더레이션은 클라이언트별 필터와 레이블, 커뮤니티 거버넌스 투표와 항소 절차를 갖추고, 완전 삭제 대신 암호화·가리기 전략을 병행한다.

지갑 보유 사용자가 지갑 팝업 1회와 무비밀번호 플로우로 로그인할 때 로그인 전환율은 512%p 개선될 수 있다. 외부 IDP 라이선스를 축소하고 세션·토큰을 단순화하면 인증 인프라 비용은 2040% 절감될 수 있다. 그래프를 재사용해 콘텐츠를 이식·재활용하면 기능 개발 리드타임은 15~30% 단축될 수 있다.

이 구조는 데이터 주권과 투명성을 높이고 플랫폼 종속을 줄인다. 크리에이터와 커뮤니티의 인센티브를 맞추며 생태계 협력을 촉진할 수 있고, 암호 대신 서명을 사용하는 방식으로 보안 모델을 단순화해 피싱 표면을 축소한다.