ExVul, EIP-7702 위임 악용으로 sven.eth 지갑에서 9.1231 ETH 유출 확인

EIP-7702 위임으로 sven.eth에서 9.1231 ETH 유출

sven.eth라는 이름과 연결된 이더리움(ETH) 지갑이 악성 EIP-7702 승인으로 외부 세력의 통제 아래 놓이면서 9.1231 Ethereum (ETH)(당시 이더리움 가격 기준 약 2만 2,770달러)와 1.69271471 TAPEETH를 잃었다. 도난 자체는 온체인 기록으로 확인되지만, 공격자가 피해자의 서명된 승인을 어떻게 확보했는지는 아직 밝혀지지 않았다. 블록체인 보안 업체 ExVul은 10월 14일 이 유출을 경보했다. X에 올린 경보에 따르면 공격자가 대납한 유형 4 트랜잭션이 피해자의 유효한 EIP-7702 승인을 실어 왔고, 플래시 론이나 자동화 마켓 메이커 조작은 흐름 어디에도 없었다. 트랜잭션 해시 0x36e0d1491c14e3d8e50bc70d73675b89d2d4712814d16f808f957c84fde820ee는 Etherscan에서 검증할 수 있다. 네트워크가 승인을 처리한 뒤 지갑으로 들어오는 호출은 위임된 컨트랙트의 명령을 피해자 계정 안에서 실행했다. 사건의 중심에 있는 EIP-7702는 이더리움의 계정 추상화 기능으로, 일반 외부 소유 계정이 스마트 컨트랙트 코드에 실행을 위임할 수 있게 해 수수료 대납, 트랜잭션 일괄 처리, 유연한 지갑 권한 설정이 가능하다. 이 기능은 이더리움의 Pectra 업그레이드와 함께 도출돼 제3자가 네트워크 수수료를 대납하는 등 정상적인 용도로도 쓰여 왔다. 그러나 위임된 코드가 악성이면 같은 설계가 공격 표면으로 바뀐다. 이더리움 명세 자체도 부실하게 설계되거나 악의적인 위임 컨트랙트가 외부 세력에 계정에 대한 광범위한 통제권을 넘길 수 있다고 경고한다. 유출된 계정은 경보가 sven.eth, 즉 이더리움 네임 서비스 방식의 식별자와 연결한 지갑 주소 0xd8ba9e5886b7000bace2c9dbdd0be98ac77d4a28이며, 이런 이름 도메인이 처음인 독자는 .Ethereum (ETH) 도메인 취득 가이드를 참고할 수 있다. 2만 2,770달러라는 금액은 ETH 쪽에만 해당하며, 경보는 토큰 쪽 피해에 달러 가치를 제시하지 않았다. 2025년부터 이더리움에서 유사한 위임 악용이 추적돼 왔고, 이번 사건도 그 흐름에 들어간다.

ExVul의 조사는 공격자 주소를 0x9208097c007be15e28b20e94e66870a3f9f820bc로, 악성 위임이 가리키는 대상을 0x0366b55f948a688888ca6e029ad0831f6ec260d1로 특정했다. 공격자가 트랜잭션 수수료를 대신 내고 서명된 승인을 직접 제출했기 때문에 지갑 소유자는 악성 코드를 활성화한 트랜잭션을 자금 지원하거나 브로드캐스트한 적이 없다. 활성화된 코드는 피해자 계정 문맥에서 실행됐다. 코드는 PodMining.claim() 함수를 호출해 나온 TAPEETH 보상을 지배 주소로 옮기고 지갑의 ETH 잔액을 인출했다. 업체는 이 익스플로잇이 TAPEETH나 PodMining의 버그가 아니라고 밝혔다. 분석은 계정 승인을 침입 경로로 지목했으며, 유동성 풀이나 가격 조작을 수반한 익스플로잇의 증거는 없었다. 다만 ExVul도 공격자가 피해자의 승인을 어떻게 얻었는지는 확인하지 못했고, 공개 결과물은 피싱 사이트, 악성 애플리케이션, 침해된 서명 인터페이스 중 어느 것도 지목하지 않았다. 이어진 경보는 EIP-7702 위임의 지속성에 관한 것이다. 위임은 한 번 설정되면 트랜잭션이 끝나도 스스로 해제되지 않고, 소유자가 교체하거나 제거할 때까지 승인된 컨트랙트가 지갑에 붙어 있다. 소유자는 원래 개인 키를 통해 통제권을 유지하며 영 주소를 승인해 위임을 초기화할 수 있지만, 그 변경이 처리되기 전까지 악성 코드는 여전히 위험할 수 있다. ExVul은 악성 위임을 이더리움 블록 26,188,153 기준 여전히 활성 상태로 기록했고, 상태가 지속되는 동안 해당 주소로 새 자산을 보내지 말라고 경고했다. 권고안은 승인을 해제하거나 교체하고, 노출된 핫월렛에 남은 자산을 콜드월렛으로 옮기는 것이었다. 경보는 피해자가 이후 코드를 제거했는지, 자산을 일부 회복했는지는 확인하지 않았으며, 배상 합의, 회복 트랜잭션, 수사 기관의 개입도 확인된 바 없다. 이 사건은 이전의 위임 경고와 맞닿는다. 2025년 5월 마켓 메이커 Wintermute는 관측된 EIP-7702 위임의 97% 이상이 들어오는 Ethereum (ETH)를 공격자 주소로 옮길 수 있는 동일한 스위퍼 컨트랙트를 가리켰다고 밝힌 바 있다. 이번 방식은 최근의 Autheo 브리지 익스플로잇 같은 브리지 수준 도난과는 결이 다르다.

서명 확보 경로는 미해결

온체인 기록과 ExVul의 사후 분석을 종합하면 메커니즘은 확정된다. 서명된 EIP-7702 승인이 공격자가 수수료를 낸 유형 4 트랜잭션으로 활성화됐고, 피해자 계정 안의 코드가 보상을 청구하고 잔액을 털었다. 원인은 승인 자체에 있고 대응도 거기서 나온다. 위임을 해제하거나 교체한 뒤 남은 자금을 하드웨어 월렛으로 옮기는 것이다. 아직 아무도 확정하지 못한 것은 체인의 첫 고리, 즉 피해자 서명이 나오게 된 단계다. 피싱 사이트, 악성 앱, 침해된 서명자 중 지목된 것은 없다. 경보는 위임이 블록 26,188,153 기준 활성 상태였다고 기록할 뿐, 소유자가 그 이후 해제했는지는 문서화된 기록 밖의 문제로 남는다.