▲

Google Cloud Fraud Defence는 포장만 바꾼 WEI일 뿐

 (privatecaptcha.com)
2P by GN⁺ 2시간전 | ★ favorite | 댓글 1개
  • Google Cloud Fraud Defense는 2026년 “reCAPTCHA의 다음 진화”로 발표됐지만, 핵심은 2023년 철회된 Web Environment Integrity와 같은 기기 증명 인프라에 있음
  • Fraud Defense의 QR 챌린지는 사용자가 휴대폰으로 코드를 스캔하면 Play Integrity API로 기기를 인증하고, 그 결과를 원래 사이트에 돌려보내 사람 존재의 증거로 사용함
  • 통과 가능한 하드웨어는 Google Play Services가 설치된 최신 Android 기기 또는 최신 iPhone/iPad로 제한되며, GrapheneOS, LineageOS for microG, Firefox for Android 같은 선택지는 기본적으로 배제됨
  • QR 챌린지는 카메라를 화면 앞에 두는 방식으로 우회 가능하고, 호환 Android 기기도 약 $30에 살 수 있어 전문 봇팜에는 큰 장벽이 되기 어려움
  • 챌린지가 성공할 때마다 Google에는 “인증된 기기가 특정 시간에 특정 사이트에 접근했다”는 신호가 전달되며, 이는 세션과 브라우저를 가로지르는 귀속 정보를 만들 수 있음

Google Cloud Fraud Defense와 WEI의 연결

  • 2026년 5월 Google은 Google Cloud Fraud Defense를 “reCAPTCHA의 다음 진화”로 발표했고, 사용자가 휴대폰으로 QR 코드를 스캔해 사람 존재를 증명하는 챌린지를 소개함
  • 2023년 Google 엔지니어 Yoav Weiss는 Chromium 프로젝트에 Web Environment Integrity 제안을 올림
    • 브라우저가 기기 하드웨어에 암호학적 증명을 서명하게 해, 브라우저가 수정되지 않았고 Google 인증 하드웨어에서 실행 중임을 증명하는 구조였음
    • 웹사이트는 이 서명을 검증해 콘텐츠를 마찰 없이 제공할지, 추가 챌린지를 요구할지 결정할 수 있었음
    • 제안의 명분은 봇과 자동 스크래핑에 맞서 웹 무결성을 보호하는 것이었음
  • Mozilla는 며칠 안에 공식 입장을 냈고, 이 제안이 “사용자의 이익에 반한다”며 “OS와 기기 벤더가 통제하는 게이트형 인터넷을 만든다”고 평가함
  • Electronic Frontier Foundation은 이를 “Chrome의 웹 DRM 계획”이라고 불렀고, 설계상 Android나 인증 하드웨어에서 실행되는 Chrome만 손쉽게 증명을 통과해 트래픽이 Google 생태계로 향하게 된다고 봄
  • Google은 공개 3주 뒤 WEI를 철회했고 Chromium GitHub 스레드는 닫혔지만, 2026년 Fraud Defense에서는 같은 기기 증명 인프라가 상업 제품의 기반으로 출시됨

QR 코드 챌린지의 실제 메커니즘

  • Fraud Defense 챌린지는 사용자가 웹사이트에서 QR 코드를 보고 휴대폰 카메라로 스캔하는 방식으로 동작함
  • 휴대폰은 Google의 Play Integrity API를 통해 인증되고, 기기가 인증된 하드웨어임을 확인함
  • 이 확인 결과가 원래 사이트로 돌아가 사람 존재의 증거로 쓰임
  • Fraud Defense 요구사항 페이지는 통과 가능한 하드웨어를 “Google Play Services가 설치된 최신 Android 기기 또는 최신 iPhone/iPad”로 지정함
  • Google Play Services는 인증 Android 기기에서 실행되는 Google의 비공개 소스 소프트웨어 계층이며, 기기가 수정되지 않았고 Google이 승인했음을 증명하는 Play Integrity API를 제공함
  • Play Services가 없는 기기는 Fraud Defense가 요구하는 수준의 Play Integrity 검사를 만족할 수 없으며, 이 조건 자체가 Fraud Defense의 핵심 메커니즘으로 작동함
  • WEI는 표준 검토 과정에서 Google이 메커니즘을 공개적으로 방어해야 했고 반대에 부딪혀 철회됐지만, Fraud Defense는 Google Cloud 결제 계정이 있는 조직이 사용할 수 있는 상업 서비스로 바로 출시됨

QR 코드 우회와 피싱 위험

  • QR 코드 챌린지는 봇 운영자가 화면 앞에 카메라를 두는 방식으로 기계적으로 우회 가능함
  • Play Integrity 증명이 필요한 작업에서도 호환 Android 기기는 약 $30에 구입 가능하며, 예로 Walmart의 $29.88 Motorola Moto g 2025가 있음
  • 대량으로 기기를 구매하는 전문 봇팜에는 이 비용이 운영을 실질적으로 방해하지 않는 고정 비용에 가까움
  • HN 스레드에서는 사고 대응 전문가가 현실적으로 “HR의 Susan”에게 진짜 Google Captcha QR 코드와 악성 피싱 QR 코드를 구분하도록 가르치기 어렵다고 우려함
  • QR 챌린지는 사용자가 웹사이트 접근을 위해 코드를 스캔하도록 훈련시키며, 피싱 캠페인이 이 행동을 바로 악용할 수 있음

기존 QR 인증·기기 증명과의 차이

  • iOS App Attestation은 앱이 App Store를 통해 설치됐고 수정되지 않았음을 검증함
  • iPhone 사용자가 선택한 폐쇄형 생태계 안에서 앱을 관리하는 것과, 열린 웹 브라우징에서 URL 접근을 민간 기업이 인증한 하드웨어에 조건부로 거는 것은 성격이 다름
  • 열린 인터넷에 이런 방식으로 적용된 전례는 없으며, 앱스토어는 명시적 약관이 있는 선택형 생태계지만 웹은 하드웨어 조건을 전제로 설계되지 않았음
  • QR 기반 인증도 이미 존재함
    • Estonia의 Smart ID는 은행 포털, 정부 서비스, 건강 기록처럼 경계와 동의 범위가 정해진 리소스에서 QR 코드를 사용해 사용자를 검증함
    • 사용자가 인증을 선택하고, 보호되는 리소스가 사전에 정의되며, 범위가 명확함
  • Google Cloud Fraud Defense는 운영자가 게이트로 지정한 어떤 URL에도 열린 웹에서 기기 증명을 적용할 수 있음
  • 이 방식에는 동등한 동의 구조나 목적 제한이 없고, 사용자가 자신의 하드웨어 정체성이 접근 자격 증명처럼 작동한다는 사실을 알기 어려울 수 있음

프라이버시가 중요한 사용자 배제

  • Google Play Integrity 증명에는 Google Play Services가 필요함
  • GrapheneOS는 기본적으로 Play Services를 포함하지 않는 보안 강화 Android 포크이며, EFF가 권장하고 언론인·변호사·활동가가 고위험 환경에서 사용함
  • GrapheneOS는 일부 Play Services 기능을 실행하는 샌드박스 호환 계층을 지원하지만, Fraud Defense가 요구하는 MEETS_DEVICE_INTEGRITY 수준의 Play Integrity를 만족하지 못함
  • 오픈소스 대안을 원하는 사용자를 위해 만들어진 프라이버시 지향 Android 배포판 LineageOS for microG도 같은 이유로 실패함
  • Play Services를 제외한 모든 커스텀 ROM은 Fraud Defense의 요구사항을 통과하지 못함
  • Firefox for Android는 Google이 명시한 Fraud Defense 브라우저 지원 목록에 보이지 않음
  • Firefox는 설계상 Google Play Integrity를 통합하지 않으며, Mozilla의 2023년 기기 증명 반대 입장은 명확했고 현재도 유지됨
  • 결과적으로 주요 모바일 브라우저 중 프라이버시를 중시하는 Firefox 사용자는 봇이라서가 아니라 Google의 인증 아키텍처 참여를 거부하는 소프트웨어를 쓰기 때문에 기본적으로 검증된 접근에서 제외됨

“정상적” 추적 문제

  • Fraud Defense 챌린지가 성공할 때마다 Google에는 “이 인증 기기가 이 시간에 이 사이트에 접근했다”는 신호가 전달됨
  • 기기 증명은 접근을 막거나 허용하는 기능만 하는 것이 아니라 귀속 정보를 생성함
  • 안정적인 하드웨어 정체성을 가진 기기는 세션, 브라우저, 비공개 브라우징 모드를 가로지르는 지속 식별자를 만들 수 있음
  • 어떤 하드웨어가 “정상”인지 정의하는 회사가 열린 웹에서 그 하드웨어가 어디로 이동하는지에 대한 지속 기록도 축적하게 됨
  • 이는 사기 방어의 부수 효과가 아니라, 검증을 인증된 기기 정체성에 묶는 구조적 결정임

대안으로 제시된 작업증명 방식

  • Private Captcha와 유사한 작업증명 시스템은 계산 노력을 요구하는 암호학적 챌린지를 발급함
  • 한 명의 사용자가 단일 챌린지를 푸는 비용은 무시할 만한 수준임
  • 여러 동시 세션을 실행하는 봇팜은 추가 시도마다 계산 비용이 커짐
  • GPU 사이클을 소비해 동작하는 AI 에이전트도 추론 능력이 얼마나 정교한지와 무관하게 같은 비용 페널티를 받음
  • 이 방식은 하드웨어 식별자를 전송하지 않고, 증명을 요구하지 않으며, 누가 참여할 수 있는지 결정하는 인증 계층을 두지 않음
  • 사용자 프라이버시는 약속이 아니라 구조적으로 보존되는 형태임

함께 보면 좋은 글 β

▲
GN⁺ 2시간전  [-]
Hacker News 의견들

  • 이건 오래전부터 예상됐음. 컴퓨터는 사람보다 CAPTCHA 풀이를 더 잘하고, 사람은 돈을 받거나 설득당해 봇넷에 들어갈 수 있으니 IP 허용 목록도 통하지 않음
    이제는 지문 추적과 행동 분석이 잔뜩 있지만 정부가 그쪽을 규제하고 있음. YouTube도 임베드된 동영상에서 광고가 백그라운드 재생되는 대규모 광고 사기 문제가 있었으니 탐지가 충분하지 않았던 셈임
    봇이 아님을 증명하는 좋은 방법은 많지 않고, 신원 확인 같은 것을 포함하지 않는 방법은 더 적음. 이 옵트인 방식은 당분간 책임을 개별 웹 스토어로 돌리는 데 도움이 되겠지만, 장기적으로는 열린 인간 중심 인터넷이 사라지거나 이런 증명 기반 검증 뒤에 잠기게 될 것 같음
    Apple은 몇 년 전 Cloudflare와 함께 Safari에 원격 증명을 넣었고, Google은 이제 한 걸음 더 나아가고 있음. Apple 방식은 스크립트 자동화 도구가 아니라 브라우저를 실제로 조작하는 봇에는 잘 안 통하기 때문임
    다행히 현재 방식은 주로 상점 같은 곳만 겨냥하므로 다른 상점에서 사면 우회 가능함. 하지만 상점들이 클릭 농장에 원격 콘텐츠를 누르기만 하는 휴대폰 수백 대가 있다는 걸 알게 되면 도입은 제한적일 수도 있음
    이게 전면 확산되기까지 몇 년은 걸리겠지만, AI가 갑자기 널리 쓰이지 않게 되지 않는 한 결국 피하기 어려워 보임

    • CAPTCHA가 처음에는 역튜링 테스트로 대중화됐는데, 지금은 사실상 작업 증명(Proof of Work)의 변종처럼 됐다는 점이 흥미로움
      당시 Google이 이를 OCR 모델 개선에 활용한 건 영리했고 실제로 그랬지만, 오늘날 증명된 “작업”에서 어떤 효용이 나오는지는 의문임
    • 사람에게 QR 코드를 스캔하게 돈을 주고, 위치를 속이는 식으로 이것도 우회되지 않을 거라고 보기는 어려움
    • 사람을 매수한다는 게 구체적으로 어떤 모양인지 궁금함. 얼마나 벌 수 있고, 뭘 해야 하는지, 네트워크에 작은 박스를 꽂아두고 잊어버리면 되는 건지 궁금함
      다음 지급 전까지 뽑아두면 협상이 되는지도 궁금함. 생계 때문에 혈장 판매를 피하고 싶은 친구를 대신해 묻는 것임
    • 개인적으로는 LLM이 조종하는 브라우저 세션을 탐지하는 편이 더 쉽다고 봄. 그런 걸 배포하는 사람들은 전통적인 스크래퍼나 크롤러 쪽보다 훨씬 순진하고 경험이 부족함
      “학교에 40페타바이트 Zip Bomb을 가져가진 않겠죠?” 밈을 넣고 싶음
    • 비용 구조에 따라 다르겠지만 Google은 게임 안티치트처럼 결국 질 가능성이 큼. 화면 이미지를 파싱하고 입력을 USB 장치처럼 보내는 도구가 있으면 탐지할 게 사실상 없음
      웹페이지에서 이걸 하는 건 비디오게임보다 훨씬 쉬워 보임

  • “Don’t be evil”에서 세계 최대이자 가장 침습적인 감시 체계를 만드는 회사로 변했음
    이 일 전에도 그랬지만, 이번 일은 Google에게 충분한 추적이란 결코 없다는 걸 보여줌. Google은 모두의 온라인 활동을 더 추적하려 할 것이고, 가능한 모든 도구를 쓸 것임

    • Google이라는 추상적 존재가 아니라, 이 아이디어를 생각해내고 밀어붙이는 구체적인 사람이 있음
      기업을 추상적 실체로만 보지 말고, 이런 결정을 내리는 병든 사람들의 집단으로 봐야 함

  • 연속으로 클릭한 HN 링크 세 개가 전부 LLM 생성 글로 이어진 것 같음. AI 자체에 반대하진 않지만, 인간의 사고와 표현이 조용히 대체되는 걸 보는 데 지쳤음

    • “이건 분명 AI가 생성했다”는 태도를 자주 보는데, 왜 그렇게 보이는지 궁금함. 무엇이 LLM 생성이고 어떻게 알 수 있음?
      오히려 분명한 건 우리의 신뢰 체계가 이미 무너지고 있다는 점임. 댓글 작성자끼리 서로 AI라고 몰아가는 것도 그 예시임

  • AMP든 Manifest V3든 Android 소스 장난질이든, 쿠키를 FLoC 같은 헛소리로 대체하려던 시도든, 이번 일이든, Google은 열린 인터넷에 대해 빠르게 악의적인 세력으로 변하고 있음

    • 결국 RMS가 늘 옳았던 셈임. 놀라울 정도임
    • AMP는 4~5년 전쯤 마케팅 중심 웹 개발 회사에서 일할 때 정말 짜증나는 물건이었음
      “Google은 사용자의 시간을 조금 아껴준다는 이유로 당신의 글을 자기들의 구린 UI에 밀어 넣는 걸 아주 좋아한다”는 느낌이었음
      한쪽에서는 사이트를 차별화하라고 복잡한 디자인을 받고, 다른 한쪽에서는 웹 디자인 전체를 건너뛰고 미리 정해진 UI로 콘텐츠를 흘려보내고 싶어 하는 거대 기업에 굽히는 꼴이었음
      사라져서 정말 다행임. Google의 전반적인 전적을 보면 몇 년 안에 죽을 걸 알았어야 했음
    • 지난번 WEI 때도 Google 직원들이 영향이 작다며 별일 아니고 사람들이 히스테리라고 축소했음. 방금 확인해보니 그걸 옹호하던 사람들은 모두 회사를 떠났음
      윗선에 잘 보이고 싶은 Google 관리자들의 새 물결이 곧 이 새 계획을 방어하러 올 것임
    • 주변에서 닫혀가는 게 안 보임? Google만의 일이 아님. 전 세계의 정부와 기업이 동시에 움직이고 있음. 올가미는 점진적으로 조여지다가 어느 순간 한꺼번에 조여질 것이고, 우리 모두를 겨냥하고 있음
      https://community.qbix.com/t/increasing-state-of-surveillanc...
      위협들은 설계상 또는 수렴적으로 맞물림. 신원 계층(1~5)은 나머지의 전제 조건을 만들고, SIM/계정/기기 수준에서 신원이 확립되면 정치적으로 감시를 가능하게 하는 예외가 생김. 권력 있는 사용자는 면제되고 보통 사용자는 감시됨
      기기 계층(10~12, 16~19)은 감시 종단점을 만듦. 암호화 전에 기기에서 콘텐츠를 스캔하면 통신 계층의 암호 보호는 무의미해짐
      통신 계층(6~9)은 가장 잘 방어되어 왔고 대량 스캔은 반복적으로 저지됐음. 저항의 전적이 가장 좋은 계층임
      신고 계층(13~15)은 초기 단계임. 운영체제에서 정부로 직접 신고하는 훅은 아직 대규모로 만들어지지 않았고, 영국의 2025년 12월 제안이 그 최전선임
      플랫폼 통제(20~24)는 대안이 존재할 수 있는지를 결정함. 브라우저 다양성, 앱 배포 다양성, 엔진 다양성이 구조적 보호 장치인데 셋 다 좁아지고 있음
      다섯 계층이 모두 완성된 사회는 엘리트 예외 조항이 있는 전면 감시 인프라를 갖추게 됨. 우리는 대략 40% 지점에 와 있음. 그 인프라가 디스토피아가 될지는 기술이 아니라 정치적 선택에 달려 있음
      HN 전체가 올가미가 조여지는 데 놀랄 만큼 둔감한데, 토큰이 조금이라도 얽힌 탈중앙 분산형 대안에 강하게 반대하는 사람이 많기 때문임. 불평은 할 수 있지만, 집단사고 때문에 탈중앙 대안을 묻어버리고 다운보트하는 건 사생활과 자유의 침식에 어느 정도 공범이 되는 것임. 프로젝트에 동의하지 않더라도 그 안에 들어간 작업 자체는 업보트할 이유가 될 수 있음. 그런 작업 없이는 사실상 끝장임
    • “빠르게 변하고 있다”가 아니라 원래 그랬음
      Google은 문자 그대로 수십 년 전부터 “Open Handset Alliance” 같은 카르텔을 만들고 있었음
      독점인 Chrome과 Search를 통제함으로써 Google은 웹사이트가 어떻게 렌더링되고, 발견될 수 있는지에 대해 절대 권한을 쥐고 있음

  • Chrome에서 벗어나길 강하게 권함. Google은 존중감을 완전히 잃었음
    작은 움직임이긴 하지만, Chrome이 처음 등장했을 때처럼 다른 플레이어에게 기회를 열어줄 수 있음

    • 광고 차단기를 망가뜨렸을 때 Chrome을 떠나려고 정말 노력했고, 몇 달 동안 대안을 써봤지만 다른 브라우저들이 마음에 들지 않았음
      Mac에서는 주로 Safari를 쓰지만 Windows에서는 그 선택지가 없고, 큰 플레이어들은 마음에 안 들며 작은 플레이어들은 신뢰하기 어려움
      “큰” 작은 플레이어조차 보안 면에서는 그다지 믿을 만하지 않음. Arc 브라우저의 “Boosts” 기능처럼 원격 코드 실행을 가능하게 한 사례가 있었음
      그래서 결국 Chrome으로 돌아왔음

  • Google이 뭘 하든 싫지만, 이 글에는 문제가 있음
    “Play Integrity 증명이 필요한 작업의 경우 규격을 만족하는 Android 기기는 현재 시장가로 약 30달러”라는 부분은 Google 쪽 로직이 if(attestationResult == "success") allow() 같은 식이라고 가정함. 하지만 기기 유형이 어떤 사기 점수에 반영된다고 보는 건 어렵지 않음. 예를 들어 값비싼 기기는 싼 기기보다 사기 점수가 낮을 수 있고, 싼 기기를 대량 구매하는 걸 억제할 수 있음. 특정 사이트의 기기 조합도 분석할 수 있어서, 중국산 휴대폰 수천 대가 갑자기 Anne's Muffin Shop에 가입하면 더 높은 사기 점수를 받을 것임
    “Firefox for Android가 Google의 Fraud Defense 브라우저 지원 목록에 없다”는 부분도, 브라우저는 QR 코드만 보여주면 되므로 Firefox 모바일이라면 휴대폰의 Google Play Services로 딥링크를 열거나 QR 코드를 보여주면 됨
    작업 증명 기반 봇 방어는 거의 자리 잡지 못했는데, JavaScript 성능이 나쁘고 사람 시간은 컴퓨터 시간보다 비싸기 때문임. 공격자는 서버가 작업 증명 문제를 푸는 데 10초 기다리는 걸 신경 쓰지 않지만 사람은 신경 씀. Hetzner에서 8코어 서버는 시간당 10센트임. 모두가 8코어 데스크톱급 CPU를 쓴다고 가정해도 6분짜리 챌린지는 공격자에게 1센트 비용임. 반면 보통 사람은 자기 시간 6분을 얼마로 평가하겠음?

  • 이건 정말 불쾌하고, 공개 논의 없이 이렇게 몰래 밀어 넣으려는 건 불성실함. 지난번처럼 막히길 바람. 최소한 반독점 문제는 분명히 있어 보임

    • 반독점 문제에는 동의하지만, 요즘 그게 심각한 장벽으로 여겨지는지는 확신이 안 듦
    • 지난번에도 Google은 자기 회사와 거리를 두려고 직원 개인 GitHub를 통해 이걸 세탁했고, 사용자가 원하는 것인 양 최대한 불성실하게 제안을 포장했음
      실제로는 Google이 통제권을 행사하기 위한 또 다른 장치였음

  • 멍청한 질문일 수도 있는데, 이게 iPhone 사용자에게는 어떻게 동작하는지 모르겠음. Google Play가 없고, 여기서는 Android/Google Play가 필요한 것처럼 보임
    시장의 그렇게 큰 부분을 잘라낼 리는 없을 것임

  • 이 글은 잘못된 가정으로 가득함
    예를 들어 “봇 운영자는 기성 하드웨어로 화면에 카메라를 향하게 하는 사소한 자동화를 한다. Play Integrity 증명이 필요한 작업에는 30달러짜리 호환 Android 기기가 든다”는 부분이 있음
    봇 농장은 30달러짜리 휴대폰으로 오래 우회할 수 없음. Google이 같은 하드웨어 식별자가 하루에 수천 번 보이는 걸 보고도 사기 사용으로 보지 않을 거라고 진심으로 생각함?
    웹이 끝없는 AI 쓰레기로 변하는 걸 피하기 위해 Google이 실제 제안을 냈다는 점은 평가함. 이 글은 더 나은 대안을 내놓지 않았고, 그런 대안을 보고 싶음

    • 휴대폰은 특히 리퍼비시 제품 기준으로 매우 쌈. 실제 생활 같은 수면/기상 주기를 흉내 내고 가끔 쉬게 하면 됨. 가동 시간 손실을 감안해 기기를 25% 더 쓰면 됨
      게다가 실제로 하루 종일, 밤새 휴대폰만 스크롤하는 사람들도 있음. 실업자, 장애인, 수면 장애나 조증이 있는 사람일 수도 있음. 그래서 더 큰 반발을 만들지 않고는 이걸 좋은 신호로 삼기 어려움. 무한한 자유 시간이 있는 힘든 사람들의 반발은 정말 피하고 싶을 것임
    • 특히 웃긴 건 이게 계산 기반 작업 증명 “CAPTCHA”를 파는 콘텐츠 마케팅이라는 점임
      그런 방식은 순전한 사기성 기술이고, 경제성은 이 증명 방식보다 악용자에게 최소 네 자릿수 정도 더 유리할 가능성이 큼
    • AI가 30달러 숫자를 내 HN 댓글에서 베낀 것 같음. 다만 미국에서는 사실임. https://www.walmart.com/ip/Straight-Talk-Motorola-Moto-g-202...
      통신사 잠금은 이 사용 사례에서는 상관없음. EU에서 고유 기기 식별자를 저장하는 게 합법인지는 모르겠음
    • 누군가 이걸 제품화할 것 같음. 클라우드 휴대폰 의존성은 이미 있고 CAPTCHA 풀이 서비스가 수요도 증명했으니, 클라우드 서비스가 되면 다시 원점으로 돌아감
    • 봇 농장이 30달러짜리 휴대폰으로 오래 우회할 수 없다는 건 이미 틀림. 그들은 이미 그렇게 하고 있고, 기기당 30달러가 아니라 5달러 미만에 가까움
      중고 시장에서 최악 중의 최악만 사면 되기 때문임
      기기 증명에 베팅한다는 건 스마트폰이 덜 흔해지고 소유 비용이 더 비싸질 거라는 데 베팅하는 셈임. 그럴 것 같지는 않음

  • Google이 왜 이걸 하려는지는 이해하고, 사람들이 왜 이 특정 해법에 반대하는지도 이해함
    이 글의 작성자가 이 문제에 대한 작업 증명 해법을 팔고 있다는 점도 볼 필요가 있음
    작업 증명이 여기서 올바른 방향인지에는 꽤 회의적임. 웹 사용자 중에는 오래된 하드웨어를 쓰는 사람이 많음. 계산 통행료를 추가해도 사람들이 쓸 수 있는 연산 자원이 서로 다른 세상에서는 문제가 해결되지 않음
    반면 봇넷은 수천 대의 컴퓨터에 접근할 수 있고, 10초 더 기다리는 걸 신경 쓰지 않을 수도 있음. 더 나쁘게는 ASIC 기반 맞춤 해법을 만들어 할머니 노트북보다 수천 배 빠르게 작업 증명 퍼즐을 풀 수도 있음

답변달기