L'EIP-7702 è un aggiornamento di Ethereum attivato a maggio 2025 che consente ai wallet standard di assumere temporaneamente le capacità degli smart contract.

La modifica abilita transazioni raggruppate, commissioni gas sponsorizzate e chiavi con permessi limitati. Tuttavia, il codice delegato ha accesso illimitato ai fondi del wallet. Un attaccante ha utilizzato una delega EIP-7702 a ottobre 2026 per svuotare un hot wallet di Binance durante un hack da 6,4 miliardi di dollari attribuito dagli analisti blockchain alla Corea del Nord.

Gli account Ethereum rientrano in genere in due categorie. Gli account esterni di proprietà (EOA), i wallet standard utilizzati dalla maggior parte delle persone, sono controllati da chiavi private e possono fare poco più che inviare transazioni. Gli account smart contract possono eseguire codice, abilitando funzionalità come limiti di spesa, recupero dell'account e pagamento delle commissioni in token diversi da ETH. La maggior parte degli utenti, tuttavia, non ha effettuato la migrazione verso gli account smart contract.

L'EIP-7702 è progettato per colmare tale divario senza richiedere agli utenti di passare a nuovi wallet. Consente agli EOA esistenti di prendere temporaneamente in prestito il codice di uno smart contract mantenendo i propri indirizzi e fondi.

Cos'è l'EIP-7702?

L'EIP-7702, intitolato "Set Code for EOAs", è una Ethereum Improvement Proposal scritta a maggio 2024 dal co-fondatore di Ethereum Vitalik Buterin e dagli sviluppatori Sam Wilson, Ansgar Dietrichs e lightclient, secondo la specifica ufficiale.

È stata una delle modifiche principali incluse in Pectra, un importante aggiornamento di Ethereum andato live il 7 maggio 2025.

"L'EIP-7702 pone le fondamenta di cui avevamo bisogno da tempo", ha detto all'epoca il core developer di Ethereum Preston Van Loon a Decrypt. "Sebbene l'astrazione completa non sarà immediatamente disponibile per gli utenti finali con Pectra, questo aggiornamento fornisce a Ethereum l'infrastruttura per supportarla in futuro."

L'EIP-7702 è una modifica al protocollo principale di Ethereum, non un token o una blockchain separata. Non esiste quindi alcun asset EIP-7702 da acquistare.

Come funziona l'EIP-7702?

L'EIP-7702 introduce un nuovo tipo di transazione Ethereum chiamata "set code transaction". La transazione contiene un elenco di autorizzazioni, ciascuna firmata con la chiave privata dell'account che viene aggiornato. Ogni autorizzazione identifica l'indirizzo di uno smart contract che l'account desidera utilizzare.

Dopo l'elaborazione della transazione, l'account memorizza un piccolo puntatore noto come indicatore di delega che fa riferimento allo smart contract. Da quel momento, ogni volta che l'account viene chiamato, Ethereum esegue il codice del contratto come se appartenesse all'account. Quel codice ha pieno accesso ai fondi dell'account.

La delega resta in vigore finché il proprietario dell'account non firma un'altra autorizzazione. La nuova autorizzazione può puntare a un contratto diverso o cancellare il puntatore, ripristinando l'account come EOA standard.

L'EIP-7702 identifica gli account delegati con il byte 0xef. Aggiornamenti precedenti avevano vietato questo valore di codice così da poterlo riservare a scopi speciali come questo.

Cosa consente l'EIP-7702?

La specifica identifica tre capacità principali:

• Batching: Più azioni possono essere combinate in una singola transazione. Ad esempio, un utente potrebbe approvare un token e poi scambiarlo senza inviare transazioni separate.
• Sponsorship: Un altro account, come un'applicazione, può pagare le commissioni di transazione per conto di un utente. L'utente può rimborsare lo sponsor in un token diverso da ETH.
• Privilege de-escalation: Gli utenti possono creare sotto-chiavi con permessi limitati, come l'autorizzazione a spendere solo un determinato token o non più dell'1% di un saldo al giorno.

Rischi per la sicurezza

Le stesse capacità creano anche rischi per la sicurezza. Poiché il codice delegato ha "accesso illimitato all'account", la specifica avverte che le applicazioni non dovrebbero mai chiedere agli utenti di firmare un'autorizzazione EIP-7702. Aggiunge inoltre che i wallet non dovrebbero fornire un'interfaccia per firmarla: "Non esiste un modo sicuro per fornire questa interfaccia". La distinzione è importante: l'EIP-7702 non dà da solo a un'applicazione l'accesso a un EOA; l'accesso dipende da un'autorizzazione valida firmata con la chiave privata dell'account.

I truffatori hanno iniziato a sfruttare il meccanismo subito dopo il lancio di Pectra. Nel giro di poche settimane dall'aggiornamento, la società di trading Wintermute ha rilevato che oltre l'80% delle deleghe EIP-7702 puntava a copie dello stesso contratto dannoso di tipo "sweeper", che svuota automaticamente i wallet le cui chiavi sono state compromesse, come riportato da The Block a giugno 2025.

L'EIP-7702 e l'hack di Binance

Il 29 ottobre 2026, un attaccante ha spostato circa 6,4 miliardi di dollari da wallet di Binance su 10 blockchain, con la maggior parte dei fondi trasferiti in circa 20 minuti. Le società di analisi blockchain TRM Labs e Chainalysis hanno entrambe attribuito il furto a TraderTraitor, il gruppo di hacker nordcoreano responsabile dell'hack da 1,5 miliardi di dollari a Bybit nel febbraio 2025.

Su Ethereum, l'attaccante ha utilizzato una delega EIP-7702 per trasformare un hot wallet di Binance in uno sweeper sotto il suo controllo. Secondo TRM Labs, 50 autorizzazioni erano state firmate in anticipo.

Un wallet operativo finanziato tramite il crypto mixer Tornado Cash ha inviato le autorizzazioni firmate. Questo ha permesso all'hot wallet di Binance di eseguire codice distribuito dall'attaccante. L'attaccante ha quindi chiamato il wallet e ha trasferito i suoi asset in indirizzi sotto il suo controllo, ha detto Chainalysis.

Le deleghe EIP-7702 richiedono una firma valida dell'account che viene aggiornato. I wallet di Binance sulle altre nove blockchain hanno inviato fondi all'attaccante anche tramite normali trasferimenti firmati. TRM Labs ha detto che questo schema indica un compromesso dell'infrastruttura di firma degli hot wallet di Binance, piuttosto che un difetto di Ethereum stesso.

Binance ha dichiarato che la sua indagine è partita dal laptop compromesso di un ingegnere e che in seguito ha trovato "ulteriori punti di violazione".

Il futuro dell'EIP-7702

L'EIP-7702 è un primo passo verso l'account abstraction completa, un obiettivo di lunga data volto a rendere ogni account Ethereum flessibile come uno smart contract. I suoi autori hanno progettato la proposta per essere compatibile con le evoluzioni future di quell'"obiettivo finale", il che significa che i wallet costruiti su EIP-7702 dovrebbero continuare a funzionare man mano che il modello di account di Ethereum evolve.

Il prossimo passo potrebbe arrivare con Hegotá, l'aggiornamento previsto dopo Glamsterdam nella roadmap di Ethereum. A febbraio 2026, Buterin ha detto che EIP-8141, che ha descritto come "un provvedimento completo che racchiude e risolve ogni problema rimanente" che l'account abstraction era destinata a affrontare, sembrava "possibile da realizzare entro un anno" nel fork Hegotá.

Buterin ha fatto questi commenti in un post su X il 28 febbraio 2026:

Now, account abstraction. We have been talking about account abstraction ever since early 2016, see the original EIP-86: Now, we finally have EIP-8141 ( ), an omnibus that wraps up and solves every remaining problem that AA was… — vitalik.eth (@VitalikButerin) February 28, 2026

https://twitter.com/VitalikButerin/status/2027774090627715377

"Parliamo di account abstraction dall'inizio del 2016", ha scritto Buterin. Ha aggiunto che gli sviluppatori stavano anche discutendo se gli account esistenti potessero aderire al nuovo framework, il che darebbe loro nativamente batching e transazioni sponsorizzate.

La proposta fa parte di una più ampia ricostruzione della roadmap a lungo termine di Ethereum. A luglio 2026, Buterin ha descritto una nuova bozza della roadmap come la più grande revisione della rete dal Merge, il passaggio di Ethereum alla proof of stake nel 2022.