EIP-7702 — это обновление Ethereum, активированное в мае 2025 года, которое позволяет стандартным кошелькам временно приобретать возможности смарт-контрактов.

Это изменение поддерживает пакетные транзакции, спонсируемые комиссии за газ и ключи с ограниченными правами. Однако делегированный код получает неограниченный доступ к средствам кошелька. Злоумышленник использовал делегирование EIP-7702 в октябре 2026 года, чтобы опустошить горячий кошелек Binance в ходе взлома на $6,4 млрд, который блокчейн-аналитики связали с Северной Кореей.

Аккаунты Ethereum обычно делятся на две категории. Внешние аккаунты (EOA) — стандартные кошельки, которыми пользуется большинство людей, — управляются приватными ключами и не могут многого сверх отправки транзакций. Аккаунты смарт-контрактов могут выполнять код, обеспечивая такие функции, как лимиты расходов, восстановление аккаунта и оплата комиссий в токенах, отличных от ETH. Однако большинство пользователей так и не перешли на аккаунты смарт-контрактов.

EIP-7702 призван устранить этот разрыв, не требуя от пользователей перехода на новые кошельки. Он позволяет существующим EOA временно заимствовать код смарт-контракта, сохраняя при этом свои адреса и средства.

Что такое EIP-7702?

EIP-7702, озаглавленный «Set Code for EOAs», — это Ethereum Improvement Proposal, написанный в мае 2024 года сооснователем Ethereum Виталиком Бутериным и разработчиками Сэмом Уилсоном, Ансгаром Дитрихсом и lightclient, согласно официальной спецификации.

Это было одно из главных изменений в Pectra — крупном обновлении Ethereum, запущенном 7 мая 2025 года.

«EIP-7702 закладывает основу, которая была нам нужна уже давно», — сказал тогда Decrypt核心-разработчик Ethereum Престон Ван Лун. «Хотя полная абстракция не станет сразу доступна конечным пользователям с Pectra, это обновление дает Ethereum инфраструктуру для ее поддержки в дальнейшем».

EIP-7702 — это изменение базового протокола Ethereum, а не токен или отдельный блокчейн. Поэтому актива EIP-7702 для покупки не существует.

Как работает EIP-7702?

EIP-7702 вводит новый тип транзакций Ethereum, называемый «set code transaction». Транзакция содержит список авторизаций, каждая из которых подписана приватным ключом обновляемого аккаунта. Каждая авторизация указывает адрес смарт-контракта, который аккаунт хочет использовать.

После обработки транзакции аккаунт сохраняет небольшой указатель, известный как индикатор делегирования, который ссылается на смарт-контракт. С этого момента при каждом вызове аккаунта Ethereum выполняет код контракта, как если бы он принадлежал аккаунту. Этот код имеет полный доступ к средствам аккаунта.

Делегирование сохраняется, пока владелец аккаунта не подпишет новую авторизацию. Новая авторизация может указывать на другой контракт или сбрасывать указатель, возвращая аккаунт к стандартному EOA.

EIP-7702 идентифицирует делегированные аккаунты с помощью байта 0xef. Более ранние обновления запрещали это значение кода, чтобы его можно было зарезервировать для подобных специальных целей.

Что позволяет EIP-7702?

Спецификация определяет три основные возможности:

• Пакетирование (Batching): Несколько действий можно объединить в одну транзакцию. Например, пользователь может подтвердить токен, а затем обменять его, не отправляя отдельные транзакции.
• Спонсирование (Sponsorship): Другой аккаунт, например приложение, может оплачивать комиссии за транзакции от имени пользователя. Пользователь может возместить расходы спонсору в токене, отличном от ETH.
• Снижение привилегий (Privilege de-escalation): Пользователи могут создавать суб-ключи с ограниченными правами, например, разрешение тратить только определенный токен или не более 1% баланса в день.

Риски безопасности

Те же возможности создают и риски для безопасности. Поскольку делегированный код получает «неограниченный доступ к аккаунту», спецификация предупреждает, что приложения никогда не должны просить пользователей подписывать авторизацию EIP-7702. В ней также говорится, что кошельки не должны предоставлять интерфейс для подписания: «Не существует безопасного способа предоставить такой интерфейс». Это различие важно: EIP-7702 сам по себе не дает приложению доступ к EOA; доступ зависит от действительной авторизации, подписанной приватным ключом аккаунта.

Мошенники начали использовать этот механизм вскоре после запуска Pectra. В течение нескольких недель после обновления торговая фирма Wintermute обнаружила, что более 80% делегирований EIP-7702 указывали на копии одного и того же вредоносного контракта-«скупщика», который автоматически опустошает кошельки с утеченными ключами, сообщила The Block в июне 2025 года.

EIP-7702 и взлом Binance

29 октября 2026 года злоумышленник вывел примерно $6,4 млрд из кошельков Binance на 10 блокчейнах, при этом большая часть средств была переведена в течение примерно 20 минут. Блокчейн-аналитические компании TRM Labs и Chainalysis связали кражу с группировкой TraderTraitor — северокорейскими хакерами, стоявшими за взломом Bybit на $1,5 млрд в феврале 2025 года.

В Ethereum злоумышленник использовал делегирование EIP-7702, чтобы превратить горячий кошелек Binance в «скупщик» под своим контролем. Согласно TRM Labs, 50 авторизаций были подписаны заранее.

Операционный кошелек, пополненный через криптомиксер Tornado Cash, отправил подписанные авторизации. Это позволило горячему кошельку Binance выполнить код, развернутый злоумышленником. Затем злоумышленник вызвал кошелек и перевел его активы на адреса под своим контролем, заявила Chainalysis.

Делегирования EIP-7702 требуют действительной подписи от обновляемого аккаунта. Кошельки Binance на остальных девяти блокчейнах также отправили средства злоумышленнику через обычные подписанные переводы. TRM Labs заявила, что эта картина указывает на компрометацию подписывающей инфраструктуры горячих кошельков Binance, а не на уязвимость самого Ethereum.

Binance сообщила, что расследование началось со взломанного ноутбука инженера, а затем были обнаружены «дополнительные точки проникновения».

Будущее EIP-7702

EIP-7702 — это первый шаг к полной абстракции аккаунтов, давней цели сделать каждый аккаунт Ethereum таким же гибким, как смарт-контракт. Авторы предложения разработали его совместимым с этой «конечной целью», то есть кошельки, построенные на EIP-7702, должны продолжать работать по мере эволюции модели аккаунтов Ethereum.

Следующий шаг может произойти с Hegotá — обновлением, которое планируется после Glamsterdam в дорожной карте Ethereum. В феврале 2026 года Бутерин сказал, что EIP-8141, который он описал как «омнибус, завершающий и решающий все оставшиеся проблемы», которые должна была решить абстракция аккаунтов, выглядит «возможным реализовать в течение года» в форке Hegotá.

Бутерин высказал эти замечания в посте на X 28 февраля 2026 года:

Now, account abstraction. We have been talking about account abstraction ever since early 2016, see the original EIP-86: Now, we finally have EIP-8141 ( ), an omnibus that wraps up and solves every remaining problem that AA was… — vitalik.eth (@VitalikButerin) February 28, 2026

https://twitter.com/VitalikButerin/status/2027774090627715377

«Мы говорим об абстракции аккаунтов с начала 2016 года», — написал Бутерин. Он добавил, что разработчики также обсуждают, смогут ли существующие аккаунты присоединиться к новой системе, что даст им нативное пакетирование и спонсируемые транзакции.

Это предложение является частью более широкой перестройки долгосрочной дорожной карты Ethereum. В июле 2026 года Бутерин описал новый проект дорожной карты как крупнейшую перестройку сети со времен Merge — перехода Ethereum на proof of stake в 2022 году.