EIP-7702 — обновление протокола Ethereum, активированное в мае 2025 года в рамках апдейта Pectra, позволило обычным кошелькам (EOA) временно «одалживать» код смарт-контрактов. Новая возможность дала пользователям батчинг транзакций, оплату комиссий сторонними счетами и создание ограниченных ключей с частичными правами. Однако делегированный код получает полный доступ к средствам счёта — предупреждение, заложенное в спецификации, оказалось критически важным.
На практике риск реализовался 29 октября 2026 года: в ходе хакерской атаки на Binance на 10 цепочках злоумышленник вывел около $6,4 млрд. По данным аналитических компаний TRM Labs и Chainalysis, за атакой стояла группа TraderTraitor, связанная с КНДР. На сети Ethereum злоумышленник использовал механикy EIP-7702 — заранее подготовленные авторизации позволили превратить горячий кошелек Binance в «sweeper», который автоматически переводил активы на контролируемые адреса. Подписи для делегаций предъявляются владельцем аккаунта, и в случае Binance трансферы с других сетей указывают на компрометацию инфраструктуры подписи, а не на баг в протоколе.
Авторы EIP-7702 — в числе которых Vitalik Buterin — позиционировали предложение как шаг к полной account abstraction, не требующий миграции пользователей на новые аккаунты. Технически EIP-7702 вводит «set code transaction», сохраняющий указатель на контракт (delegation indicator). Делегация действует до тех пор, пока владелец не подпишет новое разрешение, и отмечается специальным байтом 0xef, зарезервированным ранее для таких задач.
Специалисты в июне 2025 года уже фиксировали злоупотребления: большинство делегаций указывали на копии вредоносного «sweeper»-контракта. Разработчики предупреждали, что приложения не должны просить пользователей подписывать такие авторизации, а кошельки — показывать удобный интерфейс для этого. В будущем EIP-7702 может стать одной из ступеней к более широким реформам аккаунт-модели Ethereum — следующими шагами называют EIP-8141 и запланированные форки вроде Hegotá, которые должны расширить возможности account abstraction.