727 FinanceEIP-7702 consente ai portafogli Ethereum regolari di eseguire codice di smart contract, abilitando così transazioni batch e transazioni sponsorizzate (pagamento delle commissioni Gas per conto degli utenti).
Autore: Decrypt Agent
Compilato da: Plain Language Blockchain
Sintesi
EIP-7702 è un aggiornamento di Ethereum attivato a maggio 2025 che consente ai wallet standard di assumere temporaneamente capacità di smart contract.
Supporta transazioni batch, sponsorizzazione del Gas e chiavi a permessi limitati, ma il codice delegato ottiene l'accesso completo ai fondi del wallet.
Gli attaccanti hanno sfruttato EIP-7702 in un hack da 6,4 miliardi di dollari nell'ottobre 2026 per svuotare un hot wallet di Binance, e gli analisti hanno attribuito l'attacco a un gruppo di hacker nordcoreano.
Ethereum ha due tipi di account. Gli Externally Owned Account (EOA) sono i wallet standard che la maggior parte delle persone utilizza, controllati da chiavi private, e possono fare ben poco oltre a inviare transazioni. Gli account smart contract possono eseguire codice, abilitando funzionalità come limiti di spesa, recupero dell'account e pagamento delle commissioni di transazione con token diversi da ETH, ma la maggior parte degli utenti non è mai migrata a tali account. EIP-7702 è un tentativo di colmare questo divario. Invece di richiedere agli utenti di migrare verso un nuovo wallet, consente agli EOA esistenti di prendere temporaneamente in prestito codice di smart contract mantenendo il proprio indirizzo e i propri fondi.
Questa guida spiegherà cos'è EIP-7702, come funziona, perché gli sviluppatori ne hanno bisogno e come gli attaccanti lo hanno sfruttato nel più grande furto di criptovalute mai registrato.
Cos'è EIP-7702?
Secondo la specifica ufficiale, EIP-7702, intitolata "Set Code for EOAs", è una Ethereum Improvement Proposal scritta a maggio 2024 dal co-fondatore di Ethereum Vitalik Buterin e dagli sviluppatori Sam Wilson, Ansgar Dietrichs e lightclient.
È una delle modifiche di punta dell'aggiornamento Pectra, il principale aggiornamento di Ethereum entrato ufficialmente in funzione il 7 maggio 2025.
"EIP-7702 ci fornisce le fondamenta di cui abbiamo bisogno a lungo termine", ha dichiarato all'epoca a Decrypt lo sviluppatore core di Ethereum Preston Van Loon. "Sebbene l'astrazione completa non sarà immediatamente disponibile per gli utenti finali nell'aggiornamento Pectra, questo aggiornamento fornisce a Ethereum l'architettura sottostante per supportarne lo sviluppo futuro."
EIP-7702 è una modifica a livello del protocollo core di Ethereum, non un token né una blockchain separata, quindi non c'è alcun token da acquistare.
Come funziona EIP-7702?
EIP-7702 aggiunge un nuovo tipo di transazione Ethereum: la "set code transaction". Questa transazione trasporta una lista di autorizzazioni, ciascuna firmata con la chiave privata dell'account da aggiornare, che specifica l'indirizzo dello smart contract che l'account desidera utilizzare.
Una volta elaborata la transazione, l'account memorizza un piccolo puntatore a quel contratto, chiamato delegation indicator. Da quel momento in poi, ogni volta che qualcuno chiama l'account, Ethereum esegue il codice di quel contratto come se l'account stesso contenesse quel codice, e quel codice ha il pieno controllo sui suoi fondi.
Questa delega persiste finché il proprietario dell'account non firma una nuova autorizzazione, puntando a un contratto diverso o cancellando il puntatore per tornare a un normale EOA.
Cosa rende unica EIP-7702?
La specifica elenca tre capacità principali che è progettata per abilitare:Batching: combinare più operazioni in un'unica transazione, ad esempio approvando un token e completando immediatamente dopo uno swap di token.
Sponsorship: consentire ad altri account (come un'applicazione decentralizzata) di pagare le commissioni di transazione per conto dell'utente, il quale può successivamente rimborsarli utilizzando altri token.
Privilege de-escalation: creare sottochiavi con permessi limitati, ad esempio limitando la spesa a un token specifico o limitando i prelievi all'1% del saldo totale al giorno.
Rischi per la sicurezza
Queste stesse funzionalità introducono anche rischi per la sicurezza. La specifica avverte esplicitamente che, poiché il codice delegato ha "accesso illimitato all'account", le applicazioni non dovrebbero mai indurre gli utenti a firmare autorizzazioni EIP-7702, e i wallet non dovrebbero fornire un'interfaccia diretta per farlo. "Non esiste un modo sicuro per fornire tale interfaccia",
afferma la specifica.
I truffatori si sono mossi rapidamente. Secondo un rapporto di The Block di giugno 2025, il market maker Wintermute ha scoperto che, entro poche settimane dal lancio dell'aggiornamento Pectra, oltre l'80% delle deleghe EIP-7702 puntava a copie dello stesso contratto malevolo "sweeper", che drena automaticamente i fondi dai wallet le cui chiavi private sono state compromesse.
EIP-7702 e l'hack di Binance
Il 29 ottobre 2026, un attaccante ha trasferito circa 6,4 miliardi di dollari dai wallet di Binance su 10 blockchain, con la maggior parte dei fondi trasferiti in circa 20 minuti. Le società di analisi blockchain TRM Labs e Chainalysis hanno entrambe attribuito il furto a TraderTraitor, il gruppo di hacker nordcoreano dietro l'hack di Bybit da 1,5 miliardi di dollari di febbraio 2025.
TRM Labs ha osservato che sulla rete Ethereum l'attaccante ha utilizzato la delega EIP-7702 per trasformare uno dei wallet hot di Binance in un asset sweeper sotto il proprio controllo, con 50 autorizzazioni pre-firmate. Chainalysis ha affermato che un wallet operativo finanziato tramite il crypto mixer Tornado Cash ha inviato queste autorizzazioni firmate, facendo eseguire al wallet hot il codice distribuito dall'attaccante, dopodiché l'attaccante ha chiamato il wallet per drenare tutti i suoi asset e consolidarli in indirizzi sotto il proprio controllo.
Fondamentalmente, la delega EIP-7702 richiede una firma valida dall'account da aggiornare. I wallet di Binance sulle altre 9 chain hanno anch'essi inviato fondi all'attaccante tramite trasferimenti firmati convenzionali, il che, secondo TRM, indica che il problema è derivato da una compromissione dell'infrastruttura di firma dei wallet hot di Binance piuttosto che da una vulnerabilità di Ethereum stesso.
Binance ha dichiarato che la sua indagine è iniziata inizialmente con un laptop compromesso appartenente a un ingegnere e da allora ha scoperto "ulteriori punti di violazione".
Il futuro di EIP-7702
EIP-7702 è il primo passo verso la Full Account Abstraction, l'obiettivo a lungo termine di conferire a ogni account Ethereum una flessibilità simile a quella degli smart contract. I suoi progettisti l'hanno costruito per essere completamente compatibile in avanti con quel "finale", così i wallet costruiti su di esso oggi continueranno a funzionare man mano che il modello di account di Ethereum si evolve.Il passo successivo potrebbe arrivare con l'aggiornamento Hegotá, il principale aggiornamento sulla roadmap di Ethereum dopo Glamsterdam. Nel febbraio 2026, Buterin ha dichiarato che l'EIP-8141, da lui descritto come "un pacchetto completo che raggruppa e risolve tutte le questioni rimanenti che l'account abstraction mira a risolvere", è "atteso entro un anno" nell'hard fork Hegotá.
"Parliamo di account abstraction dall'inizio del 2016", ha scritto Buterin, aggiungendo che gli sviluppatori stanno anche discutendo se gli account esistenti possano collegarsi a questo nuovo framework per ottenere nativamente transazioni in batch e la sponsorizzazione del Gas.
Questo fa parte di un piano di ristrutturazione più ampio. Nel luglio 2026, Buterin ha descritto una nuova bozza della roadmap a lungo termine di Ethereum come la più grande revisione della rete dal The Merge, la sua transizione del 2022 al proof of stake (PoS).