바이낸스 해킹: EIP-7702 취약점 이용해 25억 달러 탈취
인공지능이 작성했습니다. 영어에서 자동 번역했습니다.
최근 바이낸스에서 발생한 해킹 사건은 EIP-7702 취약점을 이용해 약 25억 달러가 뜨거운 지갑에서 유출되는 결과를 초래했습니다. 공격자는 50개의 승인을 보냈지만, 그 중 단 하나만 악성 코드를 성공적으로 실행시켜 지갑 인프라의 보안에 대한 우려를 낳고 있습니다.
공격 개요
바이낸스 해킹 사건은 2025년 5월에 도입된 이더리움의 EIP-7702와 관련된 중요한 보안 취약점을 드러냅니다. 이 업데이트는 표준 지갑이 스마트 계약처럼 작동할 수 있도록 합니다. 공격자는 이 기능을 악용하여 바이낸스 14번 뜨거운 지갑에서 약 25억 달러를 탈취했으며, 이는 여러 블록체인에서 추정되는 총 63억 달러의 손실 중 일부입니다.
기술적 분석
EIP-7702 이전에 이더리움은 외부 소유 계정(EOA)과 계약 계정 간의 명확한 구분을 유지했습니다. EIP-7702는 이러한 경계를 모호하게 만들어 EOA가 자신의 이름으로 거래를 실행하도록 계약을 승인할 수 있게 했습니다. 이는 잠재적인 위험을 초래합니다. 악성 계약이 승인될 경우, 개인 키를 직접 탈취하지 않고도 전체 계정이 손상될 수 있습니다.
공격자는 바이낸스 14번 지갑에 대해 50개의 승인을 서명했지만, 그 중 단 하나만 현재의 논스와 일치하여 악성 코드가 성공적으로 실행될 수 있었습니다. 이로 인해 167,464 ETH와 16억 달러의 USDT를 포함한 상당한 자산이 승인 직후에 이체되었습니다.
보안 영향 및 대응
바이낸스와 보안 회사 블록에이드(Blockaid)는 이번 침해가 개인 키의 직접적인 도난이 아닌, 무단 출금 거래를 제출할 수 있는 내부 서비스의 침해에서 비롯되었다고 밝혔습니다. 바이낸스는 약 30억 달러의 탈취된 자산을 동결했다고 전했으며, TRM Labs는 총 손실을 63억 6천만 달러로 추정했습니다.
향후 이러한 위험을 완화하기 위해 거래소는 거래 유형에 대한 더 엄격한 통제를 시행하고, 계약 화이트리스트 설정 및 실행 전 거래 시뮬레이션과 같은 보호 조치를 활용하는 것이 중요합니다. 바이낸스는 조사가 완료된 후 사건에 대한 상세한 사후 분석을 약속하며, 다른 거래소들이 유사한 공격을 방지하기 위해 설정을 재검토할 것을 촉구했습니다.