저자: Decrypt Agent
편역: 白话区块链
핵심 요약
- EIP-7702는 2025년 5월에 활성화된 이더리움 업그레이드로, 표준 지갑이 일시적으로 스마트 컨트랙트의 기능을 갖추도록 해준다.
- 배치 거래, Gas 스폰서십, 권한이 제한된 키를 지원하지만, 위임된 코드는 해당 지갑의 자금에 완전한 접근 권한을 갖게 된다.
- 공격자들은 2026년 10월 64억 달러 규모 해킹 사건에서 EIP-7702를 악용해 바이낸스의 핫월렛 하나를 털었으며, 분석가들은 이번 공격의 배후로 북한 해커 조직을 지목했다.
이더리움에는 두 가지 계정 유형이 있다. 외부 소유 계정(EOA)은 대부분의 사람들이 사용하는 표준 지갑으로, 개인키로 제어되며 트랜잭션을 보내는 것 외에는 거의 할 수 있는 일이 없다. 스마트 컨트랙트 계정은 코드를 실행할 수 있어 소비 한도, 계정 복구, ETH 이외의 토큰으로 트랜잭션 수수료 지불 등의 기능을 지원하지만, 대부분의 사용자는 이런 계정으로 이전한 적이 없다. EIP-7702는 이러한 격차를 메우기 위한 시도다. 사용자가 새 지갑으로 이전할 필요 없이, 기존 EOA가 자신의 주소와 자금을 유지한 채 스마트 컨트랙트의 코드를 일시적으로 빌릴 수 있게 해준다.
이 가이드에서는 EIP-7702가 무엇인지, 어떻게 작동하는지, 개발자들이 왜 이를 필요로 하는지, 그리고 공격자들이 기록상 가장 규모가 큰 암호화폐 절도 사건에서 이를 어떻게 악용했는지 설명한다.
EIP-7702란 무엇인가?
공식 사양에 따르면, EIP-7702는 "EOA를 위한 코드 설정"(Set Code for EOAs)이라는 제목의 이더리움 개선 제안으로, 이더리움 공동 창립자 Vitalik Buterin과 개발자 Sam Wilson, Ansgar Dietrichs, lightclient가 2024년 5월에 작성했다.
이는 Pectra 업그레이드의 핵심 하이라이트 변경 중 하나이며, 이 대규모 이더리움 업그레이드는 2025년 5월 7일 정식 출시되었다.
"EIP-7702는 우리에게 장기적으로 필요한 기반을 마련해 주었다"고 이더리움 코어 개발자 Preston Van Loon이 당시 Decrypt에 밝혔다. "완전한 기능의 추상화가 Pectra 업그레이드에서 곧바로 최종 사용자에게 제공되지는 않겠지만, 이번 업그레이드는 이더리움이 향후 발전을 뒷받침할 수 있는 저변 아키텍처를 제공했다."
EIP-7702는 이더리움 코어 프로토콜 차원의 변경으로, 토큰이나 독립적인 블록체인이 아니므로 구매할 수 있는 토큰은 없다.
EIP-7702는 어떻게 작동하는가?
EIP-7702는 새로운 이더리움 트랜잭션 유형인 "코드 설정 트랜잭션"(set code transaction)을 추가한다. 이 트랜잭션은 권한 부여 목록을 담고 있으며, 각 권한 부여는 업그레이드 대상 계정의 개인키로 서명되어 해당 계정이 사용하고자 하는 스마트 컨트랙트 주소를 지정한다.
트랜잭션이 처리되면 해당 계정에는 그 컨트랙트를 가리키는 작은 포인터가 저장되는데, 이를 위임 표시자(delegation indicator)라고 한다. 그 순간부터 누가 그 계정을 호출하든, 이더리움은 마치 해당 계정에 그 코드가 내장된 것처럼 그 컨트랙트의 코드를 실행하며, 그 코드는 자금에 대한 완전한 통제권을 갖는다.
이 위임은 계정 소유자가 새로운 권한 부여에 서명할 때까지 지속된다. 다른 컨트랙트를 지정하거나, 포인터를 지워 일반 EOA로 되돌리는 방식이다.
EIP-7702의 독특한 점은 무엇인가?
사양에는 이것이 목표로 하는 세 가지 핵심 기능이 나열되어 있다.
- 배치 처리(Batching): 여러 작업을 단일 트랜잭션으로 묶는다. 예를 들어 먼저 토큰을 승인하고 곧바로 토큰 스왑(Swap)을 완료하는 식이다.
- 스폰서십(Sponsorship): 다른 계정(예: 특정 탈중앙화 애플리케이션)이 사용자를 대신해 트랜잭션 수수료를 지불할 수 있게 하고, 사용자는 이후 다른 토큰으로 그 비용을 상환할 수 있다.
- 권한 하향(Privilege de-escalation): 제한된 권한을 가진 하위 키를 생성한다. 예를 들어 특정 토큰만 소비하도록 제한하거나 하루에 총 잔액의 1%만 사용하도록 제한할 수 있다.
보안 위험
이와 동일한 기능들이 보안 위험도 안고 있다. 사양은 명확히 경고한다. 위임된 코드가 "계정에 대한 무제한적 접근 권한"을 가지므로, 각종 애플리케이션은 사용자가 EIP-7702 권한 부여에 서명하도록 유도해서는 절대 안 되며, 지갑도 이를 위한 직접적인 조작 인터페이스를 제공해서는 안 된다. "이런 인터페이스를 안전하게 제공하는 방법은 없다"고
사양은 언급한다.
사기꾼들은 빠르게 움직였다. The Block이 2025년 6월 보도한 바에 따르면, 마켓 메이커 Wintermute는 Pectra 업그레이드 출시 후 몇 주 만에 EIP-7702 위임의 80% 이상이 동일한 악성 '수거(sweeper)' 컨트랙트의 사본을 가리켰다는 사실을 발견했다. 이 컨트랙트는 개인키가 유출된 지갑의 자금을 자동으로 빼내는 역할을 한다.
EIP-7702와 바이낸스 해킹 사건
2026년 10월 29일, 한 공격자가 10개 블록체인에서 바이낸스 지갑으로부터 약 64억 달러를 이체했으며, 그 중 대부분의 자금은 약 20분 만에 이동되었다. 블록체인 분석 기관인 TRM Labs와 Chainalysis는 모두 이번 절도의 배후로 TraderTraitor, 즉 2025년 2월 Bybit 15억 달러 해킹 사건을 일으킨 북한 해커 조직을 지목했다.
TRM Labs는 이더리움 네트워크에서 공격자가 EIP-7702 위임을 이용해 바이낸스의 핫월렛 하나를 자신이 통제하는 자산 수거기(sweeper)로 바꿨으며, 사전에 50건의 권한 부여에 서명했다고 지적했다. Chainalysis는 암호화 믹서 Tornado Cash를 통해 자금을 조달한 운영 지갑이 이 서명된 권한 부여들을 제출해 해당 핫월렛이 공격자가 배포한 코드를 실행하도록 만들었고, 이후 공격자가 그 지갑을 호출해 자산 전부를 빼내 자신이 통제하는 주소로 모았다고 밝혔다.
결정적으로, EIP-7702 위임은 반드시 업그레이드 대상 계정의 유효한 서명을 보유해야 한다. 바이낸스가 나머지 9개 체인에서 보유한 지갑 역시 일반적인 서명 전송을 통해 자금을 공격자에게 보냈는데, TRM은 이는 문제가 바이낸스 핫월렛 서명 인프라의 침해에서 비롯된 것이지 이더리움 자체의 취약점은 아니라는 점을 보여준다고 말했다.
바이낸스 측은 조사가 애초에 한 엔지니어의 해킹된 노트북에서 시작되었으며, 이후 "더 많은 침투 경로"를 발견했다고 밝혔다.
EIP-7702의 미래
EIP-7702는 완전한 계정 추상화(Full Account Abstraction)를 향한 첫걸음이며, 이 장기 목표는 모든 이더리움 계정이 스마트 컨트랙트처럼 유연해지도록 하는 것이다. 설계자들은 이를 그 "엔드게임(endgame)"과 완전히 호환되도록 만들어서, 오늘날 이를 기반으로 구축된 지갑이 이더리움 계정 모델이 진화해도 계속 정상적으로 작동하도록 했다.
다음 단계는 Hegotá 업그레이드와 함께 찾아올 수 있으며, 이 업그레이드는 이더리움 로드맵에서 Glamsterdam 다음에 오는 대규모 업그레이드다. Buterin은 2026년 2월, 자신이 "계정 추상화가 해결하려는 모든 유산 문제를 묶어 해결하는 종합안"이라고 부른 EIP-8141이 "1년 안에" Hegotá 하드포크에서 실현될 수 있다고 말했다.
"2016년 초부터 우리는 계정 추상화를 논의해 왔다"고 Buterin은 썼으며, 개발자들이 기존 계정이 이 새로운 프레임워크에 연결되어 배치 거래와 Gas 대납 기능을 네이티브로 얻을 수 있는지도 논의 중이라고 덧붙였다.
이는 더 큰 규모의 재구성 계획의 일부다. 2026년 7월, Buterin은 새로운 이더리움 장기 로드맵 초안을 2022년 지분증명(PoS) 전환인 머지(The Merge) 이후 해당 네트워크의 가장 대대적인 전면 개편이라고 표현했다.
