바이낸스 63억달러 해킹에 악용된 이더리움 신기술…스마트계약 권한 위임의 함정

본문

지난달 발생한 63억달러(약 9조원) 규모의 바이낸스 해킹 사건에 이더리움의 스마트계약 권한 위임 기술이 악용된 것으로 알려졌다. [블록미디어 이정화 기자] 지난달 발생한 63억달러(약 9조원) 규모의 바이낸스 해킹 사건에 이더리움 의 스마트계약 권한 위임 기술이 악용된 것으로 알려졌다. 일반 지갑에 스마트계약 기능을 부여해 거래 편의성을 높이도록 설계된 기술이 오히려 해커의 대규모 자금 탈취를 돕는 수단으로 활용된 것이다. 공격자가 바이낸스의 내부 서명 시스템에 접근한 것이 근본적인 문제이며 스마트계약 권한 위임 기능은 자금 탈취 속도를 높이고 기존 보안 통제를 우회하는 데 이용됐을 가능성이 있다는 설명이다. 2일 디지털자산 업계에 따르면 지난 10월 29일 발생한 바이낸스 해킹에는 이더리움 개선 제안인 EIP-7702가 활용된 것으로 분석됐다. EIP-7702는 개인키로 관리되는 일반 지갑에 스마트계약 기능을 부여하는 기술이다.

블록체인 보안업체 블록 에이드의 분석에 따르면 공격자는 바이낸스의 주요 이더리움 핫월렛인 ‘바이낸스 14’를 대상으로 사전에 서명된 EIP-7702 승인 50개를 준비했다. 공격자는 이후 단 한 번의 거래로 이더리움 16만7464개와 테더(USDT) 16억1500만개를 비롯한 약 60종의 토큰 을 인출한 것으로 알려졌다. EIP-7702가 전체 63억달러 피해를 발생시킨 단일 원인으로 볼 수 없는 이유다. 기존 지갑 보안 체계가 개별 출금 거래의 금액과 목적지 주소를 중심으로 구축됐다면 스마트계약 실행 권한 자체를 이전하는 거래는 다른 위험을 발생시킨다. 이더리움 공식 기술 문서 역시 악성 계약에 대한 권한 위임이 지갑 전체의 자산 통제권 상실로 이어질 수 있다고 경고한다. 거래소 에는 기존 출금 승인 절차와 별도로 스마트계약 권한 변경을 감시하는 통제 체계가 필요하다는 지적이 나온다.