EIP-7702 ist ein Ethereum-Upgrade, das im Mai 2025 aktiviert wurde und Standard-Wallets erlaubt, vorübergehend die Fähigkeiten von Smart Contracts anzunehmen.

Die Änderung ermöglicht gebündelte Transaktionen, gesponserte Gasgebühren und Keys mit eingeschränkten Berechtigungen. Delegierter Code hat jedoch uneingeschränkten Zugriff auf die Gelder einer Wallet. Ein Angreifer nutzte im Oktober 2026 eine EIP-7702-Delegierung, um eine Binance-Hot-Wallet zu leeren – während eines 6,4-Milliarden-Dollar-Hacks, den Blockchain-Analysten Nordkorea zuschreiben.

Ethereum-Konten fallen allgemein in zwei Kategorien. Extern owned accounts (EOAs), die Standard-Wallets, die die meisten Menschen nutzen, werden durch private Keys kontrolliert und können kaum mehr als Transaktionen senden. Smart-Contract-Konten können Code ausführen und ermöglichen Funktionen wie Ausgabenlimits, Kontowiederherstellung und Gebührenzahlungen in anderen Tokens als ETH. Die meisten Nutzer sind jedoch nicht zu Smart-Contract-Konten gewechselt.

EIP-7702 soll diese Lücke schließen, ohne dass Nutzer zu neuen Wallets wechseln müssen. Es ermöglicht bestehenden EOAs, vorübergehend den Code eines Smart Contracts zu übernehmen, während sie ihre bestehenden Adressen und Gelder behalten.

Was ist EIP-7702?

EIP-7702 mit dem Titel „Set Code for EOAs“ ist ein Ethereum Improvement Proposal, das im Mai 2024 vom Ethereum-Mitgründer Vitalik Buterin und den Entwicklern Sam Wilson, Ansgar Dietrichs und lightclient verfasst wurde, wie der offiziellen Spezifikation zu entnehmen ist.

Es war eine der Hauptänderungen in Pectra, einem großen Ethereum-Upgrade, das am 7. Mai 2025 live ging.

„EIP-7702 legt das Fundament, das wir seit Langem brauchen“, sagte der Ethereum-Core-Entwickler Preston Van Loon damals gegenüber Decrypt. „Auch wenn die vollständige Abstraktion mit Pectra nicht sofort für Endnutzer verfügbar sein wird, gibt dieses Upgrade Ethereum die Infrastruktur, um sie künftig zu unterstützen.“

EIP-7702 ist eine Änderung am Ethereum-Kernprotokoll, kein Token und keine separate Blockchain. Es gibt daher kein EIP-7702-Asset zum Kaufen.

Wie funktioniert EIP-7702?

EIP-7702 führt einen neuen Transaktionstyp ein, die sogenannte „Set-Code-Transaktion“. Sie enthält eine Liste von Autorisierungen, jeweils signiert mit dem privaten Key des Kontos, das aufgewertet wird. Jede Autorisierung nennt die Adresse eines Smart Contracts, den das Konto nutzen möchte.

Nach der Verarbeitung der Transaktion speichert das Konto einen kleinen Zeiger, den sogenannten Delegation Indicator, der auf den Smart Contract verweist. Von diesem Moment an führt Ethereum, wann immer das Konto aufgerufen wird, den Code des Contracts aus, als gehörte er zum Konto. Dieser Code hat vollen Zugriff auf die Gelder des Kontos.

Die Delegierung bleibt bestehen, bis der Kontoinhaber eine neue Autorisierung signiert. Diese kann auf einen anderen Contract verweisen oder den Zeiger löschen, wodurch das Konto in einen Standard-EOA zurückversetzt wird.

EIP-7702 kennzeichnet delegierte Konten mit dem Byte 0xef. Frühere Upgrades hatten diesen Codewert verboten, damit er für besondere Zwecke wie diesen reserviert bleiben konnte.

Was ermöglicht EIP-7702?

Die Spezifikation nennt drei wesentliche Fähigkeiten:

• Batching: Mehrere Aktionen lassen sich in einer Transaktion zusammenfassen. So könnte ein Nutzer beispielsweise ein Token freigeben und es anschließend tauschen, ohne separate Transaktionen einzureichen.
• Sponsorship: Ein anderes Konto, etwa eine Anwendung, kann Transaktionsgebühren im Namen eines Nutzers zahlen. Der Nutzer kann den Sponsor in einem anderen Token als ETH erstatten.
• Privilege De-escalation: Nutzer können Sub-Keys mit eingeschränkten Berechtigungen erstellen, etwa zur Freigabe nur eines bestimmten Tokens oder von höchstens 1 % eines Guthabens pro Tag.

Sicherheitsrisiken

Dieselben Fähigkeiten bringen auch Sicherheitsrisiken mit sich. Da delegierter Code „uneingeschränkten Zugriff auf das Konto“ erhält, warnt die Spezifikation, dass Anwendungen Nutzer niemals auffordern sollten, eine EIP-7702-Autorisierung zu signieren. Auch Wallets sollten keine Schnittstelle dafür anbieten: „Es gibt keine sichere Möglichkeit, diese Schnittstelle bereitzustellen.“ Die Unterscheidung ist wichtig: EIP-7702 gibt einer Anwendung nicht von sich aus Zugriff auf einen EOA; der Zugriff hängt von einer gültigen, mit dem privaten Key des Kontos signierten Autorisierung ab.

Betrüger begannen kurz nach dem Pectra-Start, den Mechanismus auszunutzen. Wenige Wochen nach dem Upgrade stellte die Handelsfirma Wintermute fest, dass mehr als 80 % der EIP-7702-Delegierungen auf Kopien desselben bösartigen „Sweeper“-Contracts verwiesen, der Wallets mit kompromittierten Keys automatisch leert, wie The Block im Juni 2025 berichtete.

EIP-7702 und der Binance-Hack

Am 29. Oktober 2026 verlagerte ein Angreifer rund 6,4 Milliarden US-Dollar von Binance-Wallets über 10 Blockchains, wobei der Großteil der Mittel innerhalb von etwa 20 Minuten transferiert wurde. Die Blockchain-Analysefirmen TRM Labs und Chainalysis führten den Diebstahl beide auf TraderTraitor zurück, die nordkoreanische Hackergruppe hinter dem 1,5-Milliarden-Dollar-Hack auf Bybit im Februar 2025.

Auf Ethereum nutzte der Angreifer eine EIP-7702-Delegierung, um eine Binance-Hot-Wallet in einen Sweeper unter seiner Kontrolle zu verwandeln. Nach Angaben von TRM Labs waren 50 Autorisierungen im Voraus signiert worden.

Eine über den Crypto-Mixer Tornado Cash finanzierte Operational Wallet reichte die signierten Autorisierungen ein. Dies ermöglichte es der Binance-Hot-Wallet, vom Angreifer eingesetzten Code auszuführen. Anschließend rief der Angreifer die Wallet auf und sweepte deren Vermögenswerte in Adressen unter seiner Kontrolle, so Chainalysis.

EIP-7702-Delegierungen erfordern eine gültige Signatur des Kontos, das aufgewertet wird. Die Binance-Wallets auf den anderen neun Chains überwiesen Gelder ebenfalls durch gewöhnliche signierte Transfers an den Angreifer. TRM Labs zufolge deutet dieses Muster auf eine Kompromittierung der Signaturinfrastruktur der Binance-Hot-Wallets hin, nicht auf einen Fehler in Ethereum selbst.

Binance erklärte, die Untersuchung habe mit dem kompromittierten Laptop eines Ingenieurs begonnen; man habe inzwischen „weitere Eindringungspunkte“ gefunden.

Die Zukunft von EIP-7702

EIP-7702 ist ein erster Schritt Richtung vollständiger Account Abstraction, dem langjährigen Ziel, jedes Ethereum-Konto so flexibel zu machen wie einen Smart Contract. Die Autoren entwarfen den Vorschlag so, dass er mit diesem „Endgame“ vorwärtskompatibel ist; Wallets, die heute darauf aufbauen, sollten weiter funktionieren, während sich Ethereums Kontomodell weiterentwickelt.

Der nächste Schritt könnte mit Hegotá kommen, dem Upgrade, das auf der Ethereum-Roadmap nach Glamsterdam geplant ist. Im Februar 2026 sagte Buterin, EIP-8141, das er als „ein Omnibus, der alle verbleibenden Probleme beseitigt“ bezeichnete, die die Account Abstraction lösen sollte, erscheine im Hegotá-Fork als „innerhalb eines Jahres machbar“.

Buterin äußerte dies in einem Beitrag auf X am 28. Februar 2026:

Now, account abstraction. We have been talking about account abstraction ever since early 2016, see the original EIP-86: Now, we finally have EIP-8141 ( ), an omnibus that wraps up and solves every remaining problem that AA was… — vitalik.eth (@VitalikButerin) February 28, 2026

https://twitter.com/VitalikButerin/status/2027774090627715377

„Wir sprechen seit Anfang 2016 über Account Abstraction“, schrieb Buterin. Er fügte hinzu, dass Entwickler auch darüber diskutierten, ob bestehende Konten dem neuen Framework beitreten könnten, was ihnen natives Batching und gesponserte Transaktionen verschaffen würde.

Der Vorschlag ist Teil eines umfassenderen Umbaus von Ethereums langfristiger Roadmap. Im Juli 2026 beschrieb Buterin einen neuen Roadmap-Entwurf als die größte Überholung des Netzwerks seit dem Merge, Ethereums Wechsel zu Proof of Stake im Jahr 2022.