티스토리 뷰
이더리움 차세대 업그레이드 핵심 제안 중 하나인 EIP-7702의 권한 위임 구조를 악용한 신종 피싱 수법으로 약 14만 6천 달러(한화 약 2억 원 상당)의 디지털 자산 탈취 사고가 발생했습니다. 지갑 주소나 프라이빗 키 자체를 탈취당하지 않고도 단 한 번의 서명 승인만으로 자금이 유출된 정교한 온체인 공격입니다.
이번 공격은 메타마스크(MetaMask)의 실험적 EIP-7702 호환 환경과 악성 배치(Batch) 계약을 결합하여 기존 온체인 보안 탐지망을 우회했습니다. EIP-7702의 구체적인 작동 원리와 공격 메커니즘, 그리고 지갑 자산을 지키기 위한 필수 보안 조치를 분석해 정리합니다.
EIP-7702 기술 구조와 EOA의 스마트 컨트랙트화 배경
EIP-7702는 이더리움의 Pectra(프라하-엘렉트라) 업그레이드에 포함될 핵심 개선 제안으로, 기존 외부 소유 계정(EOA, 일반 개인 지갑)에 스마트 계약 기능을 일시적으로 부여할 수 있도록 설계되었습니다. 과거에는 복잡한 스마트 컨트랙트 지갑(ERC-4337 등)을 별도로 생성해야만 가능했던 기능들을 기존 지갑 주소를 그대로 유지하면서 실행할 수 있게 만듭니다.
이 제안이 적용되면 단일 트랜잭션 내에서 여러 토큰을 한 번에 전송하는 배치 실행(Batch Execution), 프로젝트나 제3자가 수수료를 대신 지불하는 가스 대납(Gas Sponsorship), 특정 조건을 충족해야 실행되는 조건부 트랜잭션 등이 가능해져 사용자 경험(UX)이 획기적으로 개선됩니다. 그러나 이러한 편의성은 EOA의 트랜잭션 실행 권한을 외부 스마트 계약 코드에 위임할 수 있다는 기술적 전제 위에서 작동합니다.
14만 6천 달러 피해 전말과 권한 위임 탈취 메커니즘
최근 확인된 피싱 사고에서 피해자는 특정 dApp을 가장한 악성 웹사이트에 접속한 뒤 메타마스크 지갑을 연결했습니다. 이 과정에서 메타마스크의 EIP-7702 호환 위임(Delegation) 요청 팝업이 노출되었고, 피해자가 이를 승인하면서 공격이 성립되었습니다. 피해 지갑 주소(0xc6d289d...)에서는 총 14만 6천 달러($146,000) 상당의 밈코인이 즉시 공격자 주소로 이전되었습니다.
| 단계 | 공격 프로세스 | 세부 실행 내용 |
|---|---|---|
| 1단계: 악성 컨트랙트 배포 | EIP-7702 호환 계약 생성 | 배치 전송(batchSend) 및 내부 상태 조작 로직이 담긴 악성 스마트 계약 배포 |
| 2단계: 위장 사이트 유도 | 소셜 엔지니어링 피싱 링크 배포 | 정상적인 탈중앙화 애플리케이션(dApp)으로 위장하여 피해자의 지갑 연결 유도 |
| 3단계: 위임 서명 탈취 | MetaMask 권한 위임 승인 유도 | 피해자가 자신의 EOA 실행 주체를 악성 계약에 위임하는 트랜잭션에 서명하도록 유도 |
| 4단계: 자산 일괄 탈취 | 자동화된 batchSend 실행 | 탈취한 위임 권한을 통해 지갑 내 $146,000 상당의 밈코인을 공격자 계좌로 강제 전송 |
이 공격의 핵심은 사용자의 개인키(Private Key)나 시드 구문(Secret Recovery Phrase)이 노출된 것이 아니라는 점입니다. 피해자의 지갑 인터페이스 상으로는 정상 상태가 유지되는 것처럼 보이지만, 백그라운드에서는 악성 컨트랙트가 지갑의 상태 변경 및 자산 전송 권한을 온전히 획득하여 자금을 빼내 갔습니다.
EIP-7702 정상 기능 대 피싱 악용 메커니즘 비교
EIP-7702가 제공하는 편의 기능들은 기술적으로 강력한 제어 권한을 수반합니다. 본래 의도된 정상적 기능과 공격자가 이를 악용한 방식의 기술적 차이점을 비교하면 다음과 같습니다.
| 기술 구성 요소 | 원래 설계 목적 (정상 활용) | 해커의 악용 방식 (피싱 공격) |
|---|---|---|
| EOA ↔ 계약 위임 | EOA가 신뢰할 수 있는 계약에 권한을 일시 부여해 복합 로직 수행 | 위장 dApp을 통해 악의적인 백도어 계약에 EOA 제어 권한 위임 서명 유도 |
| batchSend 함수 | 복수의 스왑·전송을 단 한 번의 가스비 결제로 묶어 처리 | 권한을 확보한 즉시 피해자 지갑의 여러 자산을 단일 트랜잭션으로 일괄 탈취 |
| delegateCall 구조 | 외부 컨트랙트 코드를 호출하되 실행 컨텍스트(내 지갑 상태) 유지 | 피해자의 승인 계정 상태를 조작하여 보안 검증 시스템을 우회하고 출금 실행 |
결과적으로 EIP-7702의 '유연한 권한 위임'이 검증되지 않은 인터페이스와 결합될 때 사용자의 의도와 무관하게 모든 자산을 일시에 처분할 수 있는 치명적인 백도어로 변질될 수 있음이 증명되었습니다.
보안 전문 기업들의 위험 분석과 탐지 회피 전략
블록체인 보안 분석 플랫폼인 스캠 스니퍼(Scam Sniffer)와 고플러스 시큐리티(GoPlus Security)는 이번 사고를 기점으로 EIP-7702를 표적으로 삼은 권한 위임 남용 피싱이 본격적으로 확산될 수 있다고 경고했습니다. 기존 피싱 수법이 특정 토큰에 대한 단순 승인(Approve)을 요구했다면, 7702 기반 공격은 지갑 자체의 오퍼레이션 실행권을 대리하는 차원이기 때문입니다.
슬로우미스트(SlowMist) 창립자 위시안(Yu Xian)은 이번 공격에 대해 “공격자가 지갑 주소나 서명 구조 자체를 조작하지 않고도 권한을 온전히 탈취한 매우 정교하고 창의적인 공격 방식”이라고 분석했습니다. 기존의 보안 경고 체계는 통상적인 전송이나 토큰 단위 Approve 패턴에 초점이 맞춰져 있어, EIP-7702 기반의 컨트랙트 위임 호출을 사전에 위협으로 감지하고 차단하는 데 한계가 있었습니다.
EIP-7702 피싱 위협 차단을 위한 실무 보안 가이드
EIP-7702 호환 dApp과 지갑이 점진적으로 보편화되는 환경에서 온체인 투자자가 반드시 준수해야 할 자산 보호 수칙은 다음과 같습니다.
| 점검 영역 | 위험 요소 | 실행 수칙 및 점검 방안 |
|---|---|---|
| 서명 요청창 확인 | 내용 미확인 상태의 위임 서명 승인 | 지갑 팝업에서 Delegation(위임), batchSend, delegateCall 관련 문구가 포함된 서명 요청은 전면 거절 |
| 접속 경로 검증 | SNS·텔레그램 사칭 피싱 링크 | 비공식 커뮤니티나 DM으로 전달된 dApp 링크 접속 금지, 북마크된 공식 도메인만 이용 |
| 승인 컨트랙트 관리 | 과거 부여된 악성 위임 권한 잔존 | Revoke.cash 등 웹3 보안 플랫폼을 통해 허용된 권한 목록을 주기적으로 확인하고 미사용 권한 즉시 철회 |
| 소프트웨어 환경 | 보안 취약점이 존재하는 구버전 지갑 | MetaMask 등 주요 지갑 애플리케이션을 상시 최신 버전으로 업데이트하여 보안 경고 기능 유지 |
복잡한 기능을 가진 스마트 계약과의 상호작용에서는 신뢰할 수 없는 요청에 승인하지 않는 것이 최선의 방어책입니다. 고액 자산을 보관하는 장기 보유 지갑과 dApp 탐색용 단기 지갑을 분리 운용하는 원칙도 필수적입니다.
EIP-7702는 계정 추상화(Account Abstraction)의 장점을 일반 지갑(EOA)에 즉각 부여하는 혁신적인 규격이지만, 트랜잭션의 제어권이 스마트 계약으로 넘어가는 구조적 전환점을 내포하고 있습니다. 편리함의 대가로 서명 한 번의 파급력이 커진 만큼, Web3 인프라 확장기에는 프로토콜 수준의 안전장치와 지갑 UI의 경고 강화가 병행되어야 합니다.
온체인 자산 관리의 기본은 새로운 기능의 작동 메커니즘을 정확히 파악하고, 불필요한 위탁 권한을 남기지 않는 데서 출발합니다. 향후 Pectra 하드포크 본격화에 맞춰 dApp과 지갑의 7702 구현 양상을 면밀히 관찰하고 보안 프로토콜을 점검할 필요가 있습니다.
이더리움(ETH) 거래 및 시장 대응을 준비 중이신가요?
이더리움(ETH) 거래를 준비 중이라면 관련 거래소의 거래 수수료와 진행 중인 혜택 조건을 함께 확인해 보세요. 공식 제휴 링크를 통해 신규 가입 및 KYC 인증 완료 시 거래 수수료 할인과 웰컴 보너스 혜택이 적용됩니다. 실제 거래를 시작하기 전 공식 가이드에서 세부 지급 조건과 적용 절차를 먼저 확인하시기 바랍니다.
[안내: 본 안내는 제휴 링크를 포함하고 있으며, 가입 및 이용 조건 충족 시 소정의 파트너 혜택이 발생할 수 있습니다. 모바일 앱 이용자는 APK 설치 가이드를 참고하세요.]
[투자 유의 안내] 본 글은 단순 정보 제공을 목적으로 하며 특정 가상자산에 대한 투자 권유나 자문이 아닙니다. 암호화폐 거래는 높은 가격 변동성과 원금 손실 위험을 수반하므로 모든 투자 판단과 책임은 투자자 본인에게 있습니다.