EIP-7702: session keys, spill og agenter som signerer for deg

Du har spilt et on-chain-spill. For hvert trekk dukket det opp et vindu i lommeboken: bekreft, signer, vent. Ti trekk, ti signaturer. Slik vil ingen spille, handle eller la et program jobbe for seg, og det er nettopp dette problemet EIP-7702 begynte å løse da det gikk live i Pectra-oppgraderingen 7. mai 2025.

Mye av dekningen har handlet om at lommeboken din ble en smartkonto. Men funksjonen som faktisk endrer hverdagen, er mindre omtalt: session keys, altså avgrensede og tidsbestemte nøkler du gir bort én gang, slik at et spill eller en AI-agent kan handle på egen hånd innenfor grenser du selv setter. Rundt 51 millioner Ethereum-adresser er nå aktive delegeringer, ifølge BundleBear, og session keys er i ferd med å bli den delen av account abstraction folk flest kommer til å ta og føle på. Her er hvordan de virker, hvem som leverer dem, og hvorfor en avgrenset nøkkel også er en helt ny angrepsflate.

Fra «signér hvert klikk» til «signér én gang»

Grunnmodellen i krypto har alltid vært én signatur per handling. Det er greit for en enkelt overføring, men elendig for alt som består av mange små steg: et spill, et abonnement, en agent som overvåker markedet døgnet rundt. Session keys snur det på hodet. I stedet for å godkjenne hver handling, godkjenner du én gang en avgrenset fullmakt: denne appen får lov til akkurat dette, opp til dette beløpet, frem til dette tidspunktet. Deretter kan appen handle uten å mase, og fullmakten utløper eller trekkes tilbake når du vil.

Det er her EIP-7702 kommer inn. Standarden lar en helt vanlig konto (en externally owned account, EOA) midlertidig peke på kontraktkode, og den koden kan blant annet dele ut session keys. Selv en adresse du har hatt i årevis, med hundrevis av transaksjoner og et rykte knyttet til seg, kan oppføre seg som en smartkonto en stund og så gå tilbake til å være en vanlig EOA. Med ETH rundt 2 470 dollar (om lag 23 500 kroner) og en markedsverdi på nesten 298 milliarder dollar, ifølge MetaMask sine prisdata, er dette ikke lenger et hjørnecase for utviklere: det er infrastruktur titalls millioner adresser allerede rører ved.

Alex Jupiter, senior produktsjef i MetaMask, har beskrevet EIP-7702 som det som samler feltet til «ett unified Account Abstraction roadmap», som han sa til DL News. Session keys er stedet der det veikartet først treffer vanlige brukere.

Hva EIP-7702 egentlig gjør (kjapp oppfriskning)

EIP-7702 innfører en ny transaksjonstype, 0x04 (SET_CODE_TX_TYPE). I den signerer du en autorisasjon som knytter kontoen din til en kontraktadresse. På kjeden vises dette som en peker: bytene 0xef0100 etterfulgt av en 20-byte adresse, til sammen 23 byte, som forteller nettverket at når noen kaller adressen din, skal koden på den utpekte kontrakten kjøre. Delegeringen er reversibel: du nullstiller den ved å delegere til nulladressen, og da er kontoen en vanlig EOA igjen.

Forslaget kom fra Vitalik Buterin, Sam Wilson, Ansgar Dietrichs og lightclient (Matt Garnett) i mai 2024, som et enklere alternativ til det tidligere EIP-3074. Det erstatter ikke ERC-4337, men utfyller det: fra og med EntryPoint v0.8 støtter 4337-infrastrukturen 7702-kontoer direkte. For en dypere gjennomgang av selve utrullingen og hvordan børsene forholder seg til den 23-byte pekeren, har vi tidligere sett på adopsjonskartet og børsenes dans.

Poenget her er et annet: fordi kontoen din nå kan peke på kontraktkode, kan den koden implementere avgrensede nøkler. Det er det som gjør session keys mulig, og det er den nøkkelen (bokstavelig talt) til det du faktisk kommer til å merke i lommeboken de neste årene.

Session keys, forklart: mål, funksjon, grenser

En session key er et eget nøkkelpar med et smalt mandat. Den kan ikke gjøre alt kontoen din kan gjøre; den kan bare det du har gitt den lov til. I ERC-7715, som er standarden som beskriver dette, defineres en fullmakt langs tre akser: mål (hvilken kontrakt eller adresse fullmakten gjelder), funksjon (hvilke funksjonskall som er tillatt) og grenser (beløpstak, gassgrenser og en utløpstid).

Et konkret eksempel gjør det tydelig. I en gjennomgang fra Eco ber en app om lov til inntil fire exactInputSingle-kall mot Uniswap V3 sin SwapRouter på Base, med et tak på 50 dollar (rundt 475 kroner) per kall og utløp etter 24 timer. Du signerer én gang. I det neste døgnet kan appen utføre akkurat de handlingene, opp til det taket, uten å be deg signere på nytt. Lommeboken håndhever grensene; de er ikke valgfrie, og appen kan ikke gjøre mer enn det den fikk lov til.

Sammenlign det med de gamle godkjenningene, approve og setApprovalForAll, som ofte er ubegrensede og stående til du aktivt trekker dem tilbake. En session key er avgrenset i selve konstruksjonen: den har en utløpsdato, et tak og et virkeområde. Det er forskjellen på å låne bort en reservenøkkel til garasjen og å gi fra deg hovednøkkelen til huset.

ERC-7715 og ERC-7710: språket som gjør delegering trygt

Session keys hadde vært et sikkerhetsmareritt uten et felles språk for å beskrive hva en fullmakt faktisk tillater. Det språket er ERC-7715. Standarden innfører JSON-RPC-metoden wallet_grantPermissions, der appen ber om en avgrenset og tidsbestemt fullmakt, og lommeboken svarer med en permissionsContext, en referanse appen bruker for de påfølgende handlingene. Fullmakten pares gjerne med ERC-7710, som er kontraktsiden: grensesnittet som lar en kontrakt løse inn og sjekke den delegerte myndigheten.

Den viktigste egenskapen er tilbakekalling. ERC-7715 har en tilhørende metode, wallet_revokePermissions, og standarden krever at lommebøker støtter tilbakekalling. Flere implementasjoner lar deg trekke tilbake en fullmakt direkte i lommebokens eget grensesnitt, uten at appen som ba om den trenger å være involvert. Det er sikkerhetsventilen: en session key du angrer på, skal du kunne stenge ned selv, når som helst.

ERC-7715 er fortsatt et utkast, men har allerede flere produksjonsimplementasjoner. Kombinert med EIP-7702 er det det nærmeste Ethereum har kommet en felles standard for session keys som fungerer både for vanlige EOA-er og for kontraktbaserte lommebøker. Det betyr at en utvikler kan be om den samme avgrensede fullmakten uansett hva slags konto brukeren har.

MetaMask Advanced Permissions og resten av feltet

Det tydeligste tegnet på at session keys er i ferd med å bli mainstream, er at MetaMask lanserte Advanced Permissions 6. april 2026. Funksjonen er bygget på ERC-7715 og er en del av MetaMask Smart Accounts Kit (også kalt Delegation Toolkit). Målet er å fjerne det MetaMask selv beskriver som «repetitive pop-ups, app-to-wallet switching, and approval fatigue»: den evige runddansen av bekreftelsesvinduer. Etter en enkelt godkjenning kan handlingene utføres innenfor det avtalte omfanget over tid.

MetaMask skiller mellom to nivå. Vanlige session keys gir det de kaller «single-hop, pre-validated access», mens Advanced Permissions legger til «post-execution validation and chained delegation», som åpner for «agent-to-agent coordination, multi-step workflows, and solver architectures». I praksis støtter rammeverket tre typer fullmakter: periodiske (for abonnement og oppsparingsplaner), strømmer (for jevne, kontinuerlige utbetalinger) og tilbakekalling (for å rydde bort gamle godkjenninger). Andre aktører bygger det samme på sin måte: Coinbase sin Base Account har spend permissions, og Argent (nå Ready) setter delegeringen én gang og roterer implementasjonen internt i stedet for å be om ny autorisasjon for hver endring.

Spill: den egentlige prøvesteinen

Ingen steder betyr session keys mer enn i spill. Et on-chain-spill består av mange små handlinger: flytt, angrip, bytt, craft. Skal hver av dem kreve en signatur, er spillet dødt før det har begynt. Med en session key kan spillet be om en avgrenset fullmakt, for eksempel gyldig i to timer, med et tak på 0,05 ETH (rundt 1 200 kroner), og bare mot spillets egen kontrakt. Du signerer én gang, spiller fritt, og fullmakten utløper av seg selv når økten er over.

Det er dette som gjør «den usynlige lommeboken» mulig i spill: du merker ikke at det ligger krypto under, du bare spiller. Men den samme bekvemmeligheten flytter risiko. En spillkonto med en for vid session key er et fristende mål, og en falmet blue-chip-samling med tilhørende spill-tilganger kan bli tømt raskt om nøkkelen er satt opp uforsiktig, noe vi har sett nærmere på i gjennomgangen av hvordan en falmet blue-chip tømmes og sikres. Regelen for spill er den samme som ellers: kort utløp, lavt tak, smalt virkeområde.

For spillselskapene er dette et vendepunkt. En session key lar dem tilby en opplevelse som føles som et vanlig mobilspill, samtidig som eierskapet til gjenstander og valuta forblir hos spilleren. Det senker terskelen for nye brukere, som slipper å forstå gass og signaturer for å komme i gang. Baksiden er at ansvaret for å forklare hva spilleren faktisk godkjenner, flyttes inn i spillets egen brukerflate, der det er lett å gjemme bort. Et spill som ber om en for bred eller for langvarig fullmakt, bør møtes med samme skepsis som en app som ber om altfor mange tillatelser på telefonen.

AI-agenter: kontoen som handler mens du sover

Det store temaet i 2026 er AI-agenter som handler på kjeden på dine vegne. Session keys er det som gjør dette forsvarlig, fordi de setter agenten i bur. En gjennomgang fra KuCoin beskriver hvordan en avgrenset session key kan begrense en agent til å handle bare de neste 24 timene, aldri flytte mer enn 5 ETH, og bare kalle swap-funksjoner på godkjente DEX-er, uten mulighet til å overføre midler til eksterne adresser. Agenten går fra å være en fri aktør til å bli en avgrenset utfører som ikke kan bryte de rammene du har satt.

Innenfor de rammene kan agenten gjøre mye nyttig: bunte flere steg til én atomær transaksjon (approve, swap og stake i ett), rebalansere en portefølje på tvers av protokoller, få gassen dekket av en paymaster, og overvåke markedet døgnet rundt. Men KuCoin navngir også tre farer, og de er verdt å ta på alvor: risiko i selve delegeringskontrakten, det de kaller «Phishing 2.0» der du lures til å signere feil fullmakt, og overdreven tillit til at agenten alltid handler riktig. En agent som handler feil raskt, handler feil mange ganger før du rekker å gripe inn.

Det samme gjelder organisasjoner. En bedrift eller et DAO som lar en agent styre deler av kassen, må sette de samme grensene, bare med hardere tak og kortere utløp, fordi beløpene er større. Prinsippene ligner dem som styrer et multisig-hvelv, der ingen enkelt nøkkel skal kunne tømme kassen alene, noe vi gikk grundig inn i da vi så på Safe, multisig og milliardhvelvet. En session key til en agent er praktisk, men den bør aldri gi mer myndighet enn en betrodd medarbeider ville fått.

Abonnement, DCA og betalingsstrømmer

Session keys handler ikke bare om spill og agenter. De gjør også gjentakende betalinger mulig direkte på kjeden, uten en mellommann som trekker kortet ditt hver måned. MetaMask sine periodiske fullmakter (erc20-token-periodic og native-token-periodic) er laget nettopp for abonnement og oppsparingsplaner der du kjøper for et fast beløp med jevne mellomrom. De strømbaserte fullmaktene (erc20-token-stream og native-token-stream) passer for vesting og kontinuerlige utbetalinger, der verdi flyter jevnt over tid i stedet for i klumper.

For børser og innebygde lommebøker er dette interessant fordi det flytter en velkjent forretningsmodell (det faste månedstrekket) inn i selvforvaltning. Du gir en fullmakt med et tak og et intervall, og du kan når som helst bruke tilbakekallingstypen (erc20-revocation) til å stenge den. Det er abonnementet uten den klassiske friksjonen ved å si opp, fordi bryteren ligger hos deg, ikke hos leverandøren.

Børsene, Linea og de innebygde lommebøkene

Session keys når bredden gjennom børser og innebygde lommebøker, og gjennom Layer 2, der gassen er lav nok til at mange små handlinger faktisk gir mening. I april 2026 integrerte Linea EIP-7702 i sin Layer 2-stack, slik at eksisterende Ethereum-lommebøker får batching, session keys og gassdekning uten å bytte adresse eller flytte midler. Når en transaksjon koster øre i stedet for kroner, blir en session key som utfører titalls små kall i timen plutselig praktisk.

For børsene følger det med en operasjonell bakside. En konto som er delegert via 7702, bærer den 23-byte pekeren på kjeden, og en børs som tar imot innskudd eller behandler uttak, må forholde seg til at innskuddsadresser kan være smartkontoer med aktive fullmakter. Innebygde lommebøker (slik Coinbase og andre tilbyr i egne apper) kan bake session keys rett inn i brukeropplevelsen, men da flyttes også ansvaret for å vise brukeren hva som faktisk godkjennes.

Det er her session keys møter det store markedet. En vanlig bruker kommer aldri til å lese en autorisasjonsliste, men vil forvente at et spill eller en handelsapp bare virker. Da blir det avgjørende at lommeboken oversetter fullmakten til noe forståelig: hva appen får lov til, hvor lenge, og opp til hvilket beløp. Balansen mellom sømløs flyt og informert samtykke er den egentlige konkurransen mellom leverandørene nå, ikke hvem som har flest funksjoner.

Den andre siden: session keys som ny angrepsflate

En session key er fortsatt en nøkkel. Nettopp fordi du signerer én gang, er det lett å overse hvor mye du faktisk ga bort. Er virkeområdet for vidt, eller er kontrakten du delegerer til ondsinnet, har du gitt fra deg mer enn du tror. EIP-7702 lar hvem som helst tilby en delegeringskontrakt, og en falsk delegator er en felle. Derfor betyr revisjon av koden noe: en session key er bare så trygg som kontrakten som håndhever den, et poeng som gjelder like mye utenfor EVM, slik gjennomgangen av revisorene som vokter koden viser.

Historien fra Pectra gir perspektiv. Wintermute fant, ifølge CoinDesk, at over 97 prosent av de tidlige 7702-delegeringene gjenbrukte identisk sweeper-kode (døpt CrimeEnjoyor), spredt over rundt 79 000 adresser med om lag 2,88 ETH i spill, men konkluderte med at det ikke var lønnsomt: nesten alle kontoene var allerede tomme eller kompromittert. Det var ingen svakhet i 7702, men i nøkkelhåndtering. Ethereum-utvikler Marius van der Wijden har vært tydelig på at forslaget fortsatt er tidlig, og at man må «evaluate all the rough edges», som han sa til DL News. Samlet falt phishing-tapene med 83 prosent til 83,85 millioner dollar i 2025, ifølge Scam Sniffer-tall gjengitt av Cointelegraph, men de batch-signatur-baserte svindlene 7702 muliggjør, er en voksende underkategori. Selve obduksjonen av slike hendelser, og hvem som overlever dem, har vi beskrevet i obduksjonens livssyklus.

Slik leser og trekker du tilbake en tilgang

Det første steget er å kunne se hva du har delt ut. En konto som er delegert via EIP-7702, viser pekeren 0xef0100 etterfulgt av måladressen på kjeden, og en vanlig blokkutforsker eller et verktøy laget for formålet vil vise den. Ser du en delegering du ikke kjenner igjen, er det et varsel.

Deretter har du to spaker. Den ene er selve 7702-delegeringen: du nullstiller den ved å delegere til nulladressen, og da fjernes koden kontoen pekte på. Den andre er fullmaktene: en session key trekkes tilbake med wallet_revokePermissions, eller via lommebokens egen tilbakekallingsknapp, uavhengig av appen som ba om den.

Gjør dette til en vane. Gå gjennom aktive fullmakter og delegeringer jevnlig, gjerne like ofte som du sjekker stående token-godkjenninger, og behandle en session key som en reservenøkkel du har lånt bort: du vil vite hvem som har den, og du vil ha den tilbake når du er i tvil. Jo kortere utløp du velger fra start, desto mindre er det å rydde opp i senere.

Norsk vinkel: Finanstilsynet, MiCA og skatt

For norske brukere er det et viktig skille. Selvforvaltede smartkontoer, inkludert en 7702-delegering og de session keys du deler ut, faller utenfor virkeområdet for tjenesteytere. MiCA, som i Norge er gjennomført gjennom kryptoeiendelsloven i kraft 1. juli 2025 via EØS-avtalen, regulerer tilbydere av kryptoeiendelstjenester (CASP-er), ikke lommeboken din. Finanstilsynet gir tillatelse til CASP-er, enten som full autorisasjon eller som forenklet melding, og krever fysisk tilstedeværelse i EØS. En session key du gir til et spill, utløser ingen konsesjonsplikt for deg.

Gråsonen dukker opp når oppsettet blir hybrid. En paymaster-tjeneste som dekker gassen din, en skytjeneste som oppbevarer session-nøkkelen, eller en tredjepart som holder en agent-nøkkel på dine vegne, kan begynne å ligne på en tjeneste som forvalter eller utfører for deg. Der bør både brukere og tilbydere følge med på grensen. På skattesiden er bildet enklere: Skatteetaten beskatter gevinst og tap likt enten handelen kom fra en vanlig EOA eller fra en smartkonto med en session key. Et bytte utført av agenten din er fortsatt din realisasjon, og fra 2026 rapporteres kryptoeiendeler systematisk under CARF-regelverket.

Veien videre: native account abstraction

Session keys via EIP-7702 og ERC-7715 er en bro, ikke et endepunkt. Den lengre planen er å bygge account abstraction inn i selve protokollen, slik at avgrensede fullmakter blir en førsteklasses funksjon uten å lene seg på ekstern infrastruktur som buntere og releer. Det er nettopp derfor Buterin var med på å utforme 7702 slik at det er forover-kompatibelt med den endgame-arkitekturen. Konkurrerende forslag om native account abstraction er allerede til vurdering blant kjerneutviklerne, og vi har fulgt det kappløpet tidligere.

Poenget for deg som bruker er at retningen er sikker selv om detaljene ikke er det: nøkler skal bli mer avgrensede, mer lesbare og lettere å trekke tilbake, ikke mindre. Session keys er den første smakebiten på den fremtiden, og den er allerede her.

Sjekkliste før du gir bort en session key

• Les hva du signerer: er dette en overføring eller en fullmakt? En fullmakt gir tilgang over tid, ikke bare én gang.
• Sjekk omfanget: hvilken kontrakt, hvilke funksjoner, hvilket beløpstak og hvilken utløpstid?
• Foretrekk korte utløp og lave tak. En session key på to timer er tryggere enn en på to uker.
• Bruk lommebøker med tydelig signering (clear signing) som lar deg trekke tilbake i eget grensesnitt.
• Vær ekstra streng med delegeringskontrakter fra ukjente kilder. En delegator er kode du gir kontroll.
• Rydd jevnlig: gå gjennom aktive fullmakter og delegeringer, og trekk tilbake det du ikke bruker.
• Behandle en agent- eller spillnøkkel som en reservenøkkel du har lånt bort, ikke som noe permanent.

Ofte stilte spørsmål

Hva er en session key i EIP-7702?

Det er et eget, avgrenset nøkkelpar du gir en app eller agent lov til å bruke på dine vegne, innenfor faste grenser: en bestemt kontrakt, bestemte funksjoner, et beløpstak og en utløpstid. EIP-7702 lar den vanlige kontoen din peke på kontraktkode som kan dele ut slike nøkler, og ERC-7715 er språket som beskriver hva de får lov til.

Er det trygt å gi et spill eller en AI-agent en session key?

Det kan være trygt hvis fullmakten er smal: kort utløp, lavt tak og bare de funksjonene som trengs. Faren er en for vid fullmakt eller en ondsinnet delegeringskontrakt. Gi aldri en nøkkel som kan overføre midler fritt, og trekk den tilbake når du er i tvil.

Hvordan trekker jeg tilbake en session key eller en 7702-delegering?

En session key trekkes tilbake med wallet_revokePermissions eller via lommebokens egen tilbakekallingsknapp. Selve 7702-delegeringen nullstiller du ved å delegere kontoen til nulladressen, som fjerner koden den pekte på. Begge deler kan du gjøre selv, uavhengig av appen som ba om tilgangen.

Trenger jeg en ny adresse for å bruke session keys?

Nei, og det er hele poenget med EIP-7702. Den samme adressen du har hatt i årevis, med historikk og rykte, kan dele ut session keys og siden gå tilbake til å være en vanlig konto. Du slipper å migrere midler eller bygge opp en ny adresse.

Hvordan beskattes handler en agent gjør for meg?

Skatteetaten behandler dem som dine egne. Et bytte eller salg utført av en agent med din session key er din realisasjon, med gevinst eller tap på vanlig måte, uansett om handelen kom fra en vanlig EOA eller en smartkonto. Fra 2026 rapporteres kryptoeiendeler systematisk under CARF.

Av Jonas Ellingsen, redaktør for lommebøker og børser i HOGE Wire.