EIP-7702 is een Ethereum-upgrade, geactiveerd in mei 2025, die standaard wallets tijdelijk de mogelijkheden van slimme contracten laat aannemen.

De wijziging maakt gebundelde transacties, gesponsorde gasvergoedingen en sleutels met beperkte rechten mogelijk. Gedelegeerde code heeft echter onbeperkte toegang tot de fondsen van een wallet. Een aanvaller gebruikte in oktober 2026 een EIP-7702-delegatie om een hot wallet van Binance leeg te halen tijdens een hack van $6,4 miljard die blockchain-analisten aan Noord-Korea toeschreven.

Ethereum-accounts vallen doorgaans in twee categorieën uiteen. Externally owned accounts (EOA's), de standaardwallets die de meeste mensen gebruiken, worden beheerd met privésleutels en kunnen niet veel meer doen dan transacties versturen. Slimme contractaccounts kunnen code uitvoeren, wat functies mogelijk maakt zoals bestedingslimieten, accountherstel en het betalen van vergoedingen in tokens andere dan ETH. De meeste gebruikers zijn echter niet overgestapt op slimme contractaccounts.

EIP-7702 is ontworpen om die kloof te dichten zonder dat gebruikers naar nieuwe wallets hoeven te verhuizen. Het stelt bestaande EOA's in staat tijdelijk de code van een slim contract te lenen, terwijl ze hun bestaande adressen en fondsen behouden.

Wat is EIP-7702?

EIP-7702, getiteld "Set Code for EOAs", is een Ethereum Improvement Proposal, geschreven in mei 2024 door Ethereum-medegrondlegger Vitalik Buterin en ontwikkelaars Sam Wilson, Ansgar Dietrichs en lightclient, volgens de officiële specificatie.

Het was een van de belangrijkste wijzigingen in Pectra, een grote Ethereum-upgrade die op 7 mei 2025 live ging.

"EIP-7702 legt de basis die we al lang nodig hadden", vertelde Ethereum-kernontwikkelaar Preston Van Loon destijds aan Decrypt. "Hoewel volledige abstractie niet direct beschikbaar zal zijn voor eindgebruikers met Pectra, geeft deze upgrade Ethereum de infrastructuur om dat in de toekomst te ondersteunen."

EIP-7702 is een wijziging in de kern van het Ethereum-protocol, geen token en geen aparte blockchain. Er is dus geen EIP-7702-asset om te kopen.

Hoe werkt EIP-7702?

EIP-7702 introduceert een nieuw type Ethereum-transactie, de "set code-transactie". De transactie bevat een lijst met autorisaties, elk ondertekend met de privésleutel van het account dat wordt geüpgraded. Elke autorisatie benoemt het adres van een slim contract dat het account wil gebruiken.

Nadat de transactie is verwerkt, slaat het account een kleine pointer op, een zogenaamde delegatie-indicator, die naar het slimme contract verwijst. Vanaf dat moment voert Ethereum, telkens wanneer het account wordt aangeroepen, de code van het contract uit alsof die bij het account hoorde. Die code heeft volledige toegang tot de fondsen van het account.

De delegatie blijft van kracht totdat de accounteigenaar een nieuwe autorisatie ondertekent. Die nieuwe autorisatie kan naar een ander contract verwijzen of de pointer wissen, waarmee het account terugkeert naar een standaard-EOA.

EIP-7702 markeert gedelegeerde accounts met de byte 0xef. Eerdere upgrades hadden deze codewaarde verboden zodat deze gereserveerd kon worden voor speciale doeleinden zoals dit.

Wat maakt EIP-7702 mogelijk?

De specificatie benoemt drie voornaamste mogelijkheden:

• Batching: Meerdere acties kunnen in één transactie worden gecombineerd. Zo kan een gebruiker bijvoorbeeld een token goedkeuren en dit vervolgens ruilen zonder aparte transacties in te dienen.
• Sponsorship: Een ander account, zoals een applicatie, kan transactiekosten namens een gebruiker betalen. De gebruiker kan de sponsor terugbetalen in een token andere dan ETH.
• Privilege de-escalation: Gebruikers kunnen sub-sleutels met beperkte rechten aanmaken, bijvoorbeeld autorisatie om uitsluitend een bepaald token uit te geven of hooguit 1% van een saldo per dag.

Beveiligingsrisico's

Dezelfde mogelijkheden brengen ook risico's met zich mee. Omdat gedelegeerde code "onbeperkte toegang tot het account" heeft, waarschuwt de specificatie dat applicaties gebruikers nooit mogen vragen een EIP-7702-autorisatie te ondertekenen. Ook zeggen wallets er geen interface voor moet bieden: "Er is geen veilige manier om deze interface aan te bieden." Het onderscheid is belangrijk: EIP-7702 geeft een applicatie niet op zichzelf toegang tot een EOA; toegang hangt af van een geldige autorisatie die met de privésleutel van het account is ondertekend.

Oplichters begonnen het mechanisme kort na de lancering van Pectra te misbruiken. Binnen enkele weken na de upgrade ontdekte handelsfirma Wintermute dat meer dan 80% van de EIP-7702-delegaties wees naar kopieën van hetzelfde kwaadaardige "sweeper"-contract, dat automatisch wallets leeghaalt waarvan de sleutels zijn gelekt, meldde The Block in juni 2025.

EIP-7702 en de Binance-hack

Op 29 oktober 2026 verplaatste een aanvaller circa $6,4 miljard van Binance-wallets over 10 blockchains, waarvan het grootste deel binnen ongeveer 20 minuten. Blockchain-analysebedrijven TRM Labs en Chainalysis schreven de diefstal beide toe aan TraderTraitor, de Noord-Koreaanse hackergroep achter de Bybit-hack van $1,5 miljard in februari 2025.

Op Ethereum gebruikte de aanvaller een EIP-7702-delegatie om een hot wallet van Binance om te vormen tot een sweeper onder controle van de aanvaller. Volgens TRM Labs waren er vooraf 50 autorisaties ondertekend.

Een operationele wallet, gefinancierd via de crypto-mixer Tornado Cash, diende de ondertekende autorisaties in. Hierdoor kon de hot wallet van Binance code uitvoeren die door de aanvaller was ingezet. De aanvaller riep vervolgens de wallet aan en veegde de assets ervan naar adressen onder controle van de aanvaller, aldus Chainalysis.

EIP-7702-delegaties vereisen een geldige handtekening van het account dat wordt geüpgraded. Binance-wallets op de andere negen blockchains stuurden geld naar de aanvaller via gewone ondertekende transacties. Volgens TRM Labs wijst dat patroon op een compromittering van de ondertekeningsinfrastructuur van de hot wallets van Binance in plaats van op een fout in Ethereum zelf.

Binance heeft gezegd dat het onderzoek begon met een gecompromitteerde laptop van een ingenieur en dat het bedrijf later "aanvullende invalspunten" heeft gevonden.

De toekomst van EIP-7702

EIP-7702 is een eerste stap richting volledige accountabstractie, een lang gekoesterd streven om elk Ethereum-account net zo flexibel te maken als een slim contract. De auteurs hebben het voorstel ontworpen om voorwaarts compatibel te zijn met die "eindtoestand", wat betekent dat wallets die nu op EIP-7702 zijn gebouwd moeten blijven werken naarmate het accountmodel van Ethereum zich ontwikkelt.

De volgende stap zou kunnen komen met Hegotá, de upgrade die gepland staat na Glamsterdam op de roadmap van Ethereum. In februari 2026 zei Buterin dat EIP-8141, dat hij omschreef als "een omnibus die alle overgebleven problemen oplost" die accountabstractie moest aanpakken, "mogelijk binnen een jaar gerealiseerd kon worden" in de Hegotá-fork.

Buterin deed deze uitspraken in een bericht op X op 28 februari 2026:

Now, account abstraction. We have been talking about account abstraction ever since early 2016, see the original EIP-86: Now, we finally have EIP-8141 ( ), an omnibus that wraps up and solves every remaining problem that AA was… — vitalik.eth (@VitalikButerin) February 28, 2026

https://twitter.com/VitalikButerin/status/2027774090627715377

"We hebben sinds begin 2016 over accountabstractie gesproken", schreef Buterin. Hij voegde eraan toe dat ontwikkelaars ook bespreken of bestaande accounts zich bij het nieuwe framework kunnen aansluiten, wat hen native batching en gesponsorde transacties zou geven.

Het voorstel maakt deel uit van een bredere herbouw van de langetermijnroadmap van Ethereum. In juli 2026 omschreef Buterin een nieuw roadmapontwerp als de grootste revisie van het netwerk sinds de Merge, de overstap van Ethereum naar proof of stake in 2022.