727 FinanceEIP-7702는 일반 이더리움 지갑이 스마트 컨트랙트 코드를 실행할 수 있도록 하여, 배치 트랜잭션과 후원 트랜잭션(사용자를 대신하여 가스비를 지불하는 것)을 가능하게 합니다.
저자: Decrypt Agent
편집: Plain Language Blockchain
요약
EIP-7702는 2025년 5월에 활성화된 이더리움 업그레이드로, 일반 지갑이 일시적으로 스마트 컨트랙트 기능을 수행할 수 있게 해준다.
배치 트랜잭션, 가스 후원, 제한된 권한의 키를 지원하지만, 위임된 코드는 지갑의 자금에 대한 완전한 접근 권한을 갖게 된다.
공격자들은 2026년 10월 64억 달러 규모의 해킹에서 EIP-7702를 악용해 바이낸스 핫월렛을 탈취했으며, 분석가들은 이 공격을 북한 해킹 조직의 소행으로 지목했다.
이더리움에는 두 가지 유형의 계정이 있다. 외부 소유 계정(EOA)은 대부분의 사람들이 사용하는 일반 지갑으로, 개인 키로 제어되며 트랜잭션을 보내는 것 외에는 거의 할 수 있는 일이 없다. 스마트 컨트랙트 계정은 코드를 실행할 수 있어 지출 한도, 계정 복구, ETH 이외의 토큰으로 트랜잭션 수수료 지불 등의 기능을 가능하게 하지만, 대부분의 사용자는 이러한 계정으로 이전한 적이 없다. EIP-7702는 이 간극을 메우기 위한 시도다. 사용자가 새 지갑으로 이전하도록 요구하는 대신, 기존 EOA가 자신의 주소와 자금을 유지하면서 일시적으로 스마트 컨트랙트 코드를 빌릴 수 있게 해준다.
이 가이드에서는 EIP-7702가 무엇인지, 어떻게 작동하는지, 개발자들이 왜 이를 필요로 하는지, 그리고 공격자들이 사상 최대 규모의 암호화폐 절도 사건에서 이를 어떻게 악용했는지 설명한다.
EIP-7702란 무엇인가?
공식 사양에 따르면, "Set Code for EOAs"라는 제목의 EIP-7702는 이더리움 공동 창립자 비탈릭 부테린과 개발자 샘 윌슨, 안스가르 디트릭스, 라이트클라이언트가 2024년 5월에 작성한 이더리움 개선 제안이다.
이는 2025년 5월 7일에 공식 출시된 주요 이더리움 업그레이드인 펙트라 업그레이드의 대표적인 변경 사항 중 하나다.
이더리움 핵심 개발자 프레스턴 반 룬은 당시 Decrypt에 "EIP-7702는 우리에게 장기적으로 필요한 기반을 제공한다"며 "펙트라 업그레이드에서 완전한 기능의 추상화가 최종 사용자에게 즉시 제공되지는 않겠지만, 이 업그레이드는 이더리움에 향후 발전을 뒷받침할 기본 아키텍처를 제공한다"고 말했다.
EIP-7702는 토큰이나 별도의 블록체인이 아닌 이더리움 핵심 프로토콜 수준의 변경 사항이므로, 구매할 토큰은 없다.
EIP-7702는 어떻게 작동하는가?
EIP-7702는 "코드 설정 트랜잭션(set code transaction)"이라는 새로운 이더리움 트랜잭션 유형을 추가한다. 이 트랜잭션은 권한 부여 목록을 포함하며, 각 권한 부여는 업그레이드하려는 계정의 개인 키로 서명되고, 해당 계정이 사용하고자 하는 스마트 컨트랙트 주소를 지정한다.
트랜잭션이 처리되면, 계정은 위임 표시자(delegation indicator)라고 불리는 해당 컨트랙트에 대한 작은 포인터를 저장한다. 그 순간부터 누군가가 해당 계정을 호출할 때마다 이더리움은 마치 계정 자체에 그 코드가 포함된 것처럼 해당 컨트랙트의 코드를 실행하며, 그 코드는 계정의 자금에 대한 완전한 통제권을 갖는다.
이 위임은 계정 소유자가 새로운 권한 부여에 서명할 때까지 지속된다. 다른 컨트랙트를 가리키거나, 포인터를 지워 일반 EOA로 되돌릴 수 있다.
EIP-7702의 독특한 점은 무엇인가?
사양에는 이것이 가능하게 하도록 설계된 세 가지 핵심 기능이 나열되어 있다:배치 처리: 여러 작업을 하나의 트랜잭션으로 결합하는 것으로, 예를 들어 토큰을 승인한 후 즉시 토큰 스왑을 완료하는 것입니다.
스폰서십: 다른 계정(예: 탈중앙화 애플리케이션)이 사용자를 대신하여 트랜잭션 수수료를 지불하고, 사용자는 나중에 다른 토큰으로 상환할 수 있도록 하는 것입니다.
권한 하향: 특정 토큰으로 지출을 제한하거나 일일 총 잔액의 1%로 출금을 제한하는 등 제한된 권한을 가진 하위 키를 생성하는 것입니다.
보안 위험
이러한 동일한 기능들은 보안 위험도 초래합니다. 명세서는 위임된 코드가 "계정에 대한 무제한 접근 권한"을 가지므로 애플리케이션이 사용자로 하여금 EIP-7702 승인에 서명하도록 유도해서는 안 되며, 지갑은 이를 위한 직접적인 인터페이스를 제공해서는 안 된다고 명시적으로 경고합니다. "그러한 인터페이스를 안전하게 제공할 방법은 없다"고
명세서는 밝힙니다.
사기꾼들은 빠르게 움직였습니다. 2025년 6월 The Block의 보고서에 따르면, 마켓 메이커 Wintermute는 Pectra 업그레이드 출시 후 몇 주 만에 80% 이상의 EIP-7702 위임이 동일한 악성 "스위퍼" 컨트랙트의 복사본을 가리키고 있었으며, 이 컨트랙트는 개인 키가 유출된 지갑에서 자금을 자동으로 빼내는 역할을 한다는 사실을 발견했습니다.
EIP-7702와 바이낸스 해킹
2026년 10월 29일, 공격자는 10개의 블록체인에 걸쳐 바이낸스 지갑에서 약 64억 달러를 이동시켰으며, 대부분의 자금은 약 20분 이내에 이체되었습니다. 블록체인 분석 기업 TRM Labs와 Chainalysis는 모두 이 절도를 2025년 2월 15억 달러 규모의 Bybit 해킹을 주도한 북한 해킹 그룹인 TraderTraitor의 소행으로 지목했습니다.
TRM Labs는 이더리움 네트워크에서 공격자가 EIP-7702 위임을 사용하여 바이낸스의 핫 월렛 중 하나를 자신이 통제하는 자산 스위퍼로 전환했으며, 50개의 승인이 사전 서명되어 있었다고 언급했습니다. Chainalysis는 암호화폐 믹서인 Tornado Cash를 통해 자금이 조달된 운영 지갑이 이러한 서명된 승인을 제출하여 핫 월렛이 공격자가 배포한 코드를 실행하게 했으며, 그 후 공격자가 지갑을 호출하여 모든 자산을 빼내 자신이 통제하는 주소로 통합했다고 밝혔습니다.
중요한 점은 EIP-7702 위임이 업그레이드될 계정으로부터 유효한 서명을 필요로 한다는 것입니다. 다른 9개 체인에 있는 바이낸스 지갑들도 기존의 서명된 이체를 통해 공격자에게 자금을 보냈으며, TRM은 이는 문제가 이더리움 자체의 취약점이 아니라 바이낸스 핫 월렛 서명 인프라의 침해에서 비롯되었음을 시사한다고 밝혔습니다.
바이낸스는 조사가 처음에는 엔지니어 소유의 침해된 노트북에서 시작되었으며 이후 "추가 침해 지점"을 발견했다고 밝혔습니다.
EIP-7702의 미래
EIP-7702는 모든 이더리움 계정에 스마트 컨트랙트와 같은 유연성을 부여하는 장기 목표인 완전한 계정 추상화를 향한 첫 걸음입니다. 설계자들은 이 "최종 단계"와 완전히 전방 호환되도록 구축했으므로, 오늘날 이를 기반으로 구축된 지갑은 이더리움의 계정 모델이 발전함에 따라 계속 작동할 것입니다.다음 단계는 이더리움 로드맵에서 Glamsterdam 다음으로 이어지는 주요 업그레이드인 Hegotá 업그레이드와 함께 도래할 수 있습니다. 2026년 2월, 부테린은 자신이 "계정 추상화가 해결하고자 하는 모든 남은 문제를 묶어 해결하는 포괄적 패키지"라고 설명한 EIP-8141이 Hegotá 하드 포크에서 "1년 이내에" 예상된다고 밝혔습니다.
부테린은 "우리는 2016년 초부터 계정 추상화에 대해 이야기해 왔다"고 쓰면서, 개발자들이 기존 계정이 이 새로운 프레임워크에 접속하여 배치 트랜잭션과 가스 후원을 네이티브로 얻을 수 있는지도 논의하고 있다고 덧붙였습니다.
이는 더 큰 규모의 구조 개편 계획의 일부입니다. 2026년 7월, 부테린은 새로운 장기 이더리움 로드맵 초안을 2022년 지분 증명(PoS)으로의 전환인 더 머지 이후 네트워크의 최대 개편이라고 설명했습니다.