이더리움 새 지갑 승인 63%, 공격자 계약 연계

이더리움(ETH)의 새 스마트월렛 기능인 EIP-7702 초기 승인 거래 63%가 공격자 연계 계약과 관련된 것으로 나타났다. 지갑 사용성을 높이기 위한 기능이 도입 초기에 피싱과 권한 탈취 경로로 먼저 활용된 사례가 확인된 것이다.

유제닉스 시큐리티 2026(USENIX Security ’26)에 사전 공개된 논문은 2025년 7월 15일까지 이더리움 등 EIP-7702 지원 7개 체인의 역사적 거래 2284만1000건 이상과 EIP-7702 승인 거래 366만4166건을 분석했다고 밝혔다. 연구진은 이 가운데 232만2548건이 공격자 연계 계약과 관련됐고, 악성 계약 924개에서 총 236만2848.76달러(약 33억원)의 실손해가 확인됐다고 집계했다.

EIP-7702는 외부소유계정(EOA)이 기존 주소를 유지한 채 스마트계정처럼 작동하도록 하는 규격이다. 사용자는 자금을 별도 스마트계약 지갑으로 옮기지 않고도 배치 실행, 가스 추상화, 권한 분리 같은 기능을 쓸 수 있다.

이 기능은 2025년 5월 7일 오후 7시 5분 11초 한국시간에 활성화된 Pectra 메인넷 업그레이드로 도입됐다. 이더리움 재단은 당시 공지에서 Pectra가 이더리움의 계정 구조와 검증자 운용, 데이터 처리 효율을 함께 손보는 업그레이드라고 설명했다.

문제는 같은 기능이 기존 보안 가정도 바꾼다는 점이다. EIP-7702는 계정이 특정 계약 코드에 실행을 위임할 수 있게 한다. 사용자가 악성 위임을 승인하면 해당 계약은 계정 권한으로 자산 이전이나 임의 호출을 시도할 수 있다.

연구진은 공격 유형을 EOA 대상 공격, 계약계정(CA) 대상 공격, 복합 공격으로 나눴다. 악성 계약 924개 중 793개는 EOA 대상 공격으로 분류됐고, CA 대상 공격은 124개, 복합 공격은 7개였다.

이더리움 공식 문서는 EIP-7702 도입 뒤 tx.origin을 EOA로 가정하는 방식이 더 이상 안전하지 않다고 설명한다. 기존 스마트계약이 msg.sender == tx.origin 같은 조건으로 계약 호출을 막아 왔다면, 위임된 계정에서는 이 가정이 우회될 수 있다.

연구진이 별도로 추정한 잠재 위험 노출액은 1014만달러(약 141억원)다. 이는 확정 손실이 아니라 tx.origin 점검에 기대던 구형 계약의 보안 가정이 깨지며 노출된 잠재치다.

월렛과 애플리케이션 개발 쪽의 과제도 분명해졌다. 이더리움 문서는 지갑이 신뢰된 위임 계약만 허용하고, 하드웨어 월렛은 임의 위임 기능을 사용자에게 노출하지 말라고 권고한다. 디앱이 EIP-7702 승인 서명을 직접 요구하지 말고 ERC-5792, ERC-6900 같은 표준 지갑 인터페이스를 쓰라는 안내도 담겼다.

월렛 업계에서는 기능 구현도 이어지고 있다. 메타마스크(MetaMask)의 delegation-framework 저장소는 2025년 7월 24일 릴리스 v1.3.0에서 EIP-7702 stateless와 관련 테스트를 추가했다고 적었다. 기능의 제품화가 진행되는 동시에 위임 대상과 권한 범위를 제한하는 통제가 더 중요해진 흐름이다.

이번 수치는 이용자 수가 아니라 논문 표본 안의 승인 거래 수 기준이다. 같은 사용자가 여러 차례 승인 거래를 만들 수 있고, 공격자가 반복적으로 승인 요청을 유도했을 가능성도 있어 지갑 보급률이나 이용자 피해율로 읽어서는 안 된다.

연구 범위도 2025년 7월 15일까지의 7개 체인 데이터에 한정된다. 2026년 현재의 실시간 공격 비중, 지갑 단위 확산 규모, 다른 체인의 피해 규모는 이 논문만으로 단정할 수 없다.

국내 이용자에게도 의미가 있다. EIP-7702는 지갑 주소와 자산 보관 방식을 그대로 둔 채 권한 구조를 바꾸기 때문에, 승인 화면에서 계약 주소와 권한 범위를 확인하는 절차가 더 중요해진다. 본지는 앞서 주소 오용 손실과 체인 혼동이 결합한 공격 구조를 보도한 바 있다.

이번 연구가 보여준 핵심은 EIP-7702의 채택 자체보다 스마트계정 기능을 다루는 지갑 검증과 위임 이력 추적이 초기 보안의 핵심이라는 점이다. 공격자는 새 기능의 초기 혼란을 먼저 활용했고, 지갑과 감시 도구는 어떤 계약에 어떤 권한이 위임됐는지까지 확인해야 하는 단계에 들어섰다.