EIP-7702 개발자: EIP-7702 자체에는 취약점이 없지만, 바이낸스 사건에서 해커를 실제로 도왔다

Odaily 보도: ZeroDev 창립자이자 EIP-7702 관련 개발자인 Derek Chiang이 X에 글을 올려 먼저 한 가지를 분명히 밝혔다 — EIP-7702 자체에는 취약점이 없다. EIP-7702를 지원하는 지갑(MetaMask, Uniswap, Ambire 등)을 사용 중이라면 당황하지 말라.

EIP-7702는 계정 추상화(Account Abstraction) 개선 제안으로, 외부 소유 계정(EOA)이 "7702 승인"이라는 특별한 메시지에 서명하여 해당 계정에 스마트 컨트랙트를 임베드할 수 있게 해준다. 이를 통해 계정은 트랜잭션 배칭과 같은 강력한 기능을 구현할 수 있다 — "승인"과 "전송"을 단일 트랜잭션으로 합쳐서 Uniswap에서 클릭 한 번으로 스왑을 완료할 수 있게 해주는 것이다.

그런데 안타깝게도 같은 특성이 해커가 단 한 건의 트랜잭션으로 귀하의 모든 토큰을 효율적으로 빼돌릴 수 있게 해주기도 한다. 바이낸스 해킹 사건에서 해커는 한 건의 트랜잭션으로 ETH, USDT 및 기타 62종의 토큰을 빼돌렸는데, EIP-7702가 없었다면 토큰마다 별도의 트랜잭션을 보내야 했을 것이다. 이번 특정 사건에서 그러한 트랜잭션 상당수는 실패했을 수 있었는데, 당시 바이낸스가 여전히 해킹된 지갑을 사용해 출금을 진행하고 있었기 때문에 해커가 보낸 모든 트랜잭션이 적법한 트랜잭션과 Nonce(트랜잭션 순번)를 두고 경쟁해야 했기 때문이다. 따라서 EIP-7702를 사용한 것이 해커가 최대한 빠르게, 최대한 많이 자금을 탈취하는 데 실제로 도움이 되었다.

그러나 해커가 EIP-7702를 사용하려면 다음 조건 중 하나를 충족해야 한다: 첫째, 개인키를 탈취했거나, 둘째, 바이낸스를 속여 7702 승인에 서명하도록 유도했거나 — 후자는 가능성이 매우 낮은데, 바이낸스가 7702 승인에 서명하는 데 사용되는 엔드포인트(또는 더 나쁘게는 해커가 7702 승인용으로 재포장할 수 있는 원본 메시지에 서명하는 엔드포인트)를 노출했을 것이라고 상상하기 어렵기 때문이다. 다만 공식 사후 분석 보고서(Postmortem)가 나오기 전까지는 이러한 가능성을 완전히 배제할 수 없다.

Derek Chiang은 덧붙여 말했다: "계정 추상화 기여자 중 한 명으로서 이런 해킹 사건이 발생한 데 대해 약간의 책임감을 느낀다. 계정에 더 강력한 기능을 부여하는 동시에 우리가 해커에게도 더 강력한 능력을 부여한 것은 사실이기 때문이다."