以太坊基金會資助WEBCAT工具 驗證錢包前端安全

以太坊基金會(Ethereum Foundation)日前宣布，將資助一款用於驗證加密貨幣錢包與去中心化應用程式(DApp)前端畫面的安全工具，把安全查核範圍從智能合約延伸到使用者實際操作的網頁介面。

根據以太坊基金會「生態系統支持計畫」(Ecosystem Support Program，ESP)公開名單，名稱為「WEBCAT：Verifiable, Censorship-Resistant Frontends for Web Applications」的專案，被歸類為2026年第3季安全領域的受資助項目。該計畫產出的成果屬於開發者工具，具體補助金額與撥款條件目前尚未公開。

WEBCAT是由新聞自由基金會(Freedom of the Press Foundation)開發的開源工具，用途是協助確認網站在瀏覽器中實際執行的程式碼，是否與使用者原本預期的內容一致。這個構想源自一項觀察：即便HTTPS能提供連線加密與網站身分驗證，卻無法保證每一位使用者收到的都是相同、未經竄改的網頁應用程式碼。

對加密貨幣使用者來說，這牽涉到錢包連接畫面與交易授權畫面的安全性。如果攻擊者竄改前端程式碼、網域或部署路徑，使用者即使自認連上了正常網站，仍可能被誘導把資產轉入錯誤地址，或簽署非本意的交易。換句話說，就算鏈上合約本身完全正常，使用者依然可能因為前端遭到竄改而蒙受損失。

WEBCAT官方文件說明，開發者製作包含網頁應用程式資源的簽章清單(manifest)後，瀏覽器擴充功能會利用參與網域的信任設定與透明度日誌(transparency log)進行驗證。當參與的網站提供程式包(bundle)檔案時，擴充功能會比對清單與實際執行環境，檢查其完整性，一旦驗證失敗便會封鎖該頁面載入。

此次資助與以太坊基金會提出的「兆元安全」(Trillion Dollar Security)計畫方向一致。基金會於2025年5月發表這項構想時，將錢包使用體驗、前端安全、供應鏈攻擊與DNS層級威脅列為重點查核對象。在2026年2月的Devconnect安全討論中，前端遭入侵、DNS劫持、RPC中心化與軟體供應鏈攻擊，也被列為被低估的風險。以太坊陣營同樣在利用AI協助尋找並驗證協議程式碼中的漏洞。

不過WEBCAT目前仍處於實驗階段。Mozilla外掛程式頁面將WEBCAT標示為「實驗性」(Experimental)。頁面提醒，目前的Alpha版本可能拖慢網頁載入速度，或與部分頁面發生衝突，也未必能完整發揮預期的安全功能。此外，保護機制僅適用於已依WEBCAT規範完成註冊與設定的網站。

WEBCAT專案在2026年5月發布的更新內容中，介紹了Mozilla、Cloudflare與Meta相關人員參與的Real World Crypto 2026座談，以及WAICT標準化討論的進展，顯示前端程式碼驗證已不只是加密貨幣錢包的課題，而是被視為整體瀏覽器安全的共同挑戰。

目前補助金額、開發時程、主要錢包的整合計畫，以及以太坊DApp的實際採用案例均尚未公開。WEBCAT目前僅針對已完成註冊的網站，提供Alpha版本的驗證功能。