EIP-7702 to aktualizacja Ethereum aktywowana w maju 2025 roku, która pozwala standardowym portfelom tymczasowo przejmować możliwości inteligentnych kontraktów.

Ta zmiana umożliwia transakcje wsadowe, sponsorowane opłaty za gaz oraz klucze z ograniczonymi uprawnieniami. Zdelegowany kod ma jednak nieograniczony dostęp do środków portfela. Atakujący wykorzystał delegację EIP-7702 w październiku 2026 roku, aby opróżnić gorący portfel Binance podczas haku o wartości 6,4 mld USD, który analitycy blockchain przypisali Korei Północnej.

Konta w Ethereum dzielą się zasadniczo na dwie kategorie. Konta zewnętrznie posiadane (EOA), czyli standardowe portfele używane przez większość osób, są kontrolowane przez klucze prywatne i potrafią niewiele więcej niż wysyłać transakcje. Konta inteligentnych kontraktów mogą wykonywać kod, co umożliwia funkcje takie jak limity wydatków, odzyskiwanie konta i płatności opłat w tokenach innych niż ETH. Większość użytkowników nie migrowała jednak na konta inteligentnych kontraktów.

EIP-7702 ma na celu wypełnienie tej luki bez wymagania od użytkowników przechodzenia na nowe portfele. Pozwala istniejącym EOA tymczasowo pożyczyć kod inteligentnego kontraktu, zachowując przy tym swoje dotychczasowe adresy i środki.

Czym jest EIP-7702?

EIP-7702, zatytułowane „Set Code for EOAs”, to wniosek o ulepszenie Ethereum (Ethereum Improvement Proposal) napisany w maju 2024 roku przez współzałożyciela Ethereum Vitalika Buterina oraz programistów Sama Wilsona, Ansgara Dietrichsa i lightclienta, zgodnie z oficjalną specyfikacją.

Była to jedna z głównych zmian wchodzących w skład Pectra, poważnej aktualizacji Ethereum, która wystartowała 7 maja 2025 roku.

„EIP-7702 kładzie fundament, którego potrzebujemy od dawna” — powiedział wówczas core developer Ethereum Preston Van Loon w rozmowie z Decrypt. „Choć pełna abstrakcja nie będzie od razu dostępna dla użytkowników końcowych wraz z Pectra, ta aktualizacja daje Ethereum infrastrukturę, aby móc ją wspierać w przyszłości.”

EIP-7702 to zmiana w podstawowym protokole Ethereum, a nie token ani osobny blockchain. Nie ma więc żadnego aktywa EIP-7702 do kupienia.

Jak działa EIP-7702?

EIP-7702 wprowadza nowy typ transakcji Ethereum zwany „set code transaction”. Transakcja zawiera listę autoryzacji, z których każda jest podpisana kluczem prywatnym ulepszanego konta. Każda autoryzacja wskazuje adres inteligentnego kontraktu, z którego konto chce korzystać.

Po przetworzeniu transakcji konto przechowuje mały wskaźnik, zwany wskaźnikiem delegacji (delegation indicator), który odnosi się do inteligentnego kontraktu. Od tego momentu, za każdym razem gdy konto jest wywoływane, Ethereum wykonuje kod kontraktu tak, jakby należał do konta. Ten kod ma pełny dostęp do środków konta.

Delegacja pozostaje w mocy, dopóki właściciel konta nie podpisze kolejnej autoryzacji. Nowa autoryzacja może wskazywać inny kontrakt lub wyczyścić wskaźnik, przywracając konto do standardowego EOA.

EIP-7702 oznacza konta zdelegowane bajtem 0xef. Wcześniejsze aktualizacje zakazywały tej wartości kodu, aby można ją było zarezerwować do specjalnych celów, takich jak ten.

Co umożliwia EIP-7702?

Specyfikacja wymienia trzy główne możliwości:

• Batching (grupowanie): Kilka działań można połączyć w jedną transakcję. Na przykład użytkownik może zatwierdzić token, a następnie go zamienić, bez wysyłania osobnych transakcji.
• Sponsorowanie: Inne konto, takie jak aplikacja, może opłacać transakcje w imieniu użytkownika. Użytkownik może zwrócić koszty sponsorowi w tokenie innym niż ETH.
• Deeskalacja uprawnień: Użytkownicy mogą tworzyć podklucze z ograniczonymi uprawnieniami, na przykład autoryzację do wydawania tylko konkretnego tokena lub nie więcej niż 1% salda dziennie.

Ryzyka dla bezpieczeństwa

Te same możliwości stwarzają również ryzyka. Ponieważ zdelegowany kod ma „nieograniczony dostęp do konta”, specyfikacja ostrzega, że aplikacje nigdy nie powinny prosić użytkowników o podpisywanie autoryzacji EIP-7702. Stanowi też, że portfele nie powinny udostępniać interfejsu do ich podpisywania: „Nie ma bezpiecznego sposobu na zapewnienie tego interfejsu”. To rozróżnienie jest istotne: samo EIP-7702 nie daje aplikacji dostępu do EOA; dostęp zależy od ważnej autoryzacji podpisanej kluczem prywatnym konta.

Oszuści zaczęli wykorzystywać ten mechanizm wkrótce po starcie Pectra. W ciągu kilku tygodni od aktualizacji firma handlowa Wintermute ustaliła, że ponad 80% delegacji EIP-7702 wskazywało na kopie tego samego złośliwego kontraktu typu „sweeper”, który automatycznie opróżnia portfele, których klucze wyciekły, jak poinformował The Block w czerwcu 2025 roku.

EIP-7702 a hak na Binance

29 października 2026 roku atakujący przeniósł około 6,4 mld USD z portfeli Binance na 10 blockchainach, przy czym większość środków została przetransferowana w ciągu około 20 minut. Firmy analityczne blockchain TRM Labs i Chainalysis przypisały obie kradzieże grupie TraderTraitor, północnokoreańskiej grupie hakerskiej odpowiedzialnej za hak na Bybit o wartości 1,5 mld USD w lutym 2025 roku.

Na Ethereum atakujący wykorzystał delegację EIP-7702, aby zamienić gorący portfel Binance w sweeper pozostający pod jego kontrolą. Zgodnie z informacjami TRM Labs, 50 autoryzacji zostało podpisanych z wyprzedzeniem.

Operacyjny portfel sfinansowany za pośrednictwem miksera kryptowalut Tornado Cash przesłał podpisane autoryzacje. Umożliwiło to gorącemu portfelowi Binance wykonywanie kodu wdrożonego przez atakującego. Atakujący następnie wywołał portfel i przemieścił jego aktywa na adresy pozostające pod jego kontrolą, poinformowała Chainalysis.

Delegacje EIP-7702 wymagają ważnego podpisu ulepszanego konta. Portfele Binance na pozostałych dziewięciu sieciach również przesłały środki atakującemu za pomocą zwykłych podpisanych transferów. TRM Labs stwierdziło, że ten wzorzec wskazuje na naruszenie infrastruktury podpisywania gorących portfeli Binance, a nie na wadę samego Ethereum.

Binance poinformowało, że dochodzenie rozpoczęło się od laptopa zhakowanego inżyniera, a później wykryło „dodatkowe punkty włamania”.

Przyszłość EIP-7702

EIP-7702 to wstępny krok w kierunku pełnej abstrakcji kont, od dawna realizowanego celu uczynienia każdego konta Ethereum tak elastycznym jak inteligentny kontrakt. Autorzy wniosku zaprojektowali go tak, aby był zgodny w przód z tym „stanem końcowym”, co oznacza, że portfele zbudowane na EIP-7702 powinny nadal działać w miarę rozwoju modelu kont Ethereum.

Kolejny krok może nastąpić wraz z Hegotá, aktualizacją zaplanowaną po Glamsterdam na mapie drogowej Ethereum. W lutym 2026 roku Buterin powiedział, że EIP-8141, które opisał jako „kompendium domykające i rozwiązujące każdy pozostały problem”, jaki miała rozwiązać abstrakcja kont, wygląda na „możliwe do zrealizowania w ciągu roku” w rozwidleniu Hegotá.

Buterin wyraził te uwagi w poście na X 28 lutego 2026 roku:

Now, account abstraction. We have been talking about account abstraction ever since early 2016, see the original EIP-86: Now, we finally have EIP-8141 ( ), an omnibus that wraps up and solves every remaining problem that AA was… — vitalik.eth (@VitalikButerin) February 28, 2026

https://twitter.com/VitalikButerin/status/2027774090627715377

„O abstrakcji kont mówimy od początku 2016 roku” — napisał Buterin. Dodał, że programiści dyskutują również nad tym, czy istniejące konta mogłyby dołączyć do nowego frameworku, co dałoby im natywne grupowanie transakcji i sponsorowane opłaty.

Wniosek jest częścią szerszej przebudowy długoterminowej mapy drogowej Ethereum. W lipcu 2026 roku Buterin opisał nowy szkic mapy drogowej jako największą przebudowę sieci od czasu Merge, przejścia Ethereum na proof of stake w 2022 roku.