Kurz erklärt: EIP-7702 erlaubt es einer gewöhnlichen, schlüsselgesteuerten Ethereum-Adresse, vorübergehend den Code eines Smart Contracts auszuführen. Der Vorschlag wurde mit dem Pectra-Upgrade im Mai 2025 wirksam. Er bringt Funktionen wie gebündelte Transaktionen und Gebührenübernahme durch Dritte — und einen Angriffsvektor, bei dem eine einzige Signatur die gesamte Wallet dauerhaft unter fremde Kontrolle stellt.
Was sich geändert hat
Ethereum unterschied bislang scharf zwischen zwei Arten von Adressen: solchen, die von einem privaten Schlüssel gesteuert werden und keinen Code haben, und Contracts, die Code haben und keinen Schlüssel.
EIP-7702 weicht diese Trennung auf. Eine schlüsselgesteuerte Adresse kann per Signatur festlegen, dass sie den Code eines bestimmten Contracts ausführt. Der Schlüssel bleibt gültig; die Adresse verhält sich zusätzlich wie ein Contract.
Der beabsichtigte Nutzen liegt in der Bequemlichkeit — mehrere Schritte in einer Transaktion bündeln, Gebühren von Dritten tragen lassen, Ausgabegrenzen oder Wiederherstellungsmechanismen einrichten. Es ist ein Schritt in Richtung dessen, was als Kontoabstraktion beschrieben wird, ohne dass Nutzer ihre Adresse wechseln müssen.
Der Angriffsvektor
Die Zuweisung erfolgt über eine Signatur, nicht über eine Transaktion des Inhabers. Das genügt bereits, um das Muster zu erkennen: Wer eine Signaturanfrage bestätigt, ohne ihren Inhalt zu erfassen, kann damit den Code festlegen, den seine eigene Adresse künftig ausführt.
Ist ein bösartiger Contract zugewiesen, verhält sich die Wallet anschließend nach dessen Regeln. Praktisch bedeutet das, dass eingehende Beträge automatisch weitergeleitet werden können — ohne dass der Angreifer den privaten Schlüssel besitzt.
Für Betroffene ist das Erscheinungsbild dem eines Sweeper Bots zum Verwechseln ähnlich: Jeder neue Eingang verschwindet sofort. Die Ursache ist jedoch eine andere, und damit auch die Gegenmaßnahme. Beim Sweeper ist der Schlüssel kompromittiert und die Wallet endgültig verloren. Bei einer bösartigen Zuweisung nach EIP-7702 hat der Inhaber weiterhin den Schlüssel — er kann die Zuweisung durch eine neue Signatur aufheben und die Wallet zurückgewinnen.
Diese Unterscheidung ist für die Beratung wesentlich, weil sie über „Wallet aufgeben“ und „Wallet bereinigen“ entscheidet.
Erkennung und Aufarbeitung
Eine Zuweisung ist öffentlich einsehbar: Die Adresse trägt anschließend einen Verweis auf den ausgeführten Contract. Blockchain-Explorer weisen das aus, und bei einer schlüsselgesteuerten Adresse ist ein solcher Eintrag ein deutliches Warnzeichen.
Bei der Aufarbeitung ist deshalb zu prüfen: Trägt die Adresse eine Zuweisung? Wenn ja, auf welchen Contract, seit wann, und welche Signatur hat sie ausgelöst? Erst diese Prüfung trennt den Fall vom Schlüsselverlust.
Für die Prävention gilt die bekannte Regel in verschärfter Form: Eine Signaturanfrage, deren Inhalt nicht verständlich dargestellt wird, gehört abgebrochen. Der Zustand des Blind Signing war schon vorher gefährlich — seit EIP-7702 kann eine einzelne blind bestätigte Signatur die gesamte Wallet betreffen und nicht nur einen einzelnen Token.
Häufige Fragen
Seit wann gilt EIP-7702?
Der Vorschlag wurde mit dem Pectra-Upgrade im Mai 2025 im Ethereum-Mainnet wirksam.
Ist meine Wallet verloren, wenn ein bösartiger Contract zugewiesen wurde?
Nicht zwangsläufig. Solange der private Schlüssel nicht kompromittiert ist, lässt sich die Zuweisung durch eine neue Signatur aufheben. Das unterscheidet den Fall vom Sweeper Bot, bei dem der Schlüssel abgeflossen ist und die Wallet endgültig verloren bleibt.
Wie unterscheide ich das von einem Sweeper Bot?
Über die Kette: Trägt die Adresse einen Verweis auf einen ausgeführten Contract, liegt eine Zuweisung nach EIP-7702 vor. Fehlt ein solcher Eintrag und verschwinden Eingänge dennoch sofort, spricht das für kompromittiertes Schlüsselmaterial.
Warum ist Blind Signing dadurch gefährlicher geworden?
Weil eine einzelne blind bestätigte Signatur nicht mehr nur eine Freigabe für einen Token betrifft, sondern festlegen kann, welchen Code die gesamte Adresse künftig ausführt.
Zusammenfassung
EIP-7702 erlaubt gewöhnlichen Wallet-Adressen seit dem Pectra-Upgrade im Mai 2025, den Code eines Contracts auszuführen — nützlich für gebündelte Transaktionen und Gebührenübernahme, zugleich ein neuer Angriffsvektor. Eine einzige Signatur kann einen bösartigen Contract zuweisen, der eingehende Beträge automatisch weiterleitet. Das Erscheinungsbild gleicht einem Sweeper Bot, die Ursache ist aber eine andere: Solange der Schlüssel unversehrt ist, lässt sich die Zuweisung aufheben und die Wallet zurückgewinnen.
Weiterführende Quellen
- EIP-7702: Set Code for EOAs: eips.ethereum.org
- Ethereum Foundation — Pectra-Upgrade, Aktivierung im Mainnet: blog.ethereum.org
- Ethereum.org — Account Abstraction: ethereum.org
- EIP-712: Typed structured data hashing and signing: eips.ethereum.org