Da Ethereum skrudde p\u00e5 EIP-7702 i Pectra-oppgraderingen 7. mai 2025, fikk hundrevis av millioner helt vanlige lommeb\u00f8ker en ny superkraft n\u00e6rmest over natten. En alminnelig adresse, det vi kaller en externally owned account eller EOA, kunne plutselig oppf\u00f8re seg som en smartkonto: den kunne bunte flere handlinger i \u00e9n transaksjon, la noen andre betale gassen, og kj\u00f8re programmerbare regler for hva som var lov. Alt dette uten \u00e5 bytte adresse, og uten \u00e5 flytte en eneste token. For brukeren s\u00e5 det ut som magi. For angriperne s\u00e5 det ut som en ny \u00e5pning.<\/p>
Ett \u00e5r og noen m\u00e5neder senere har vi det vi manglet den gangen: harde tall. En fagfellevurdert studie lagt fram p\u00e5 USENIX Security-symposiet i Baltimore i august 2026 gikk metodisk gjennom 3,66 millioner 7702-autorisasjoner p\u00e5 sju blokkjeder, og funnet er ubehagelig lesning. Over 63 prosent av autorisasjonstransaksjonene var knyttet til ondsinnede kontrakter. Det er en overskrift som nesten skriver seg selv, men den er ogs\u00e5 lett \u00e5 misforst\u00e5. Denne artikkelen tar deg gjennom hva studien faktisk fant, hva prosenten betyr og ikke betyr, hvorfor angrepene fungerer, og hva du, b\u00f8rsen din og Finanstilsynet kan gj\u00f8re med det.<\/p>
EIP-7702, med den t\u00f8rre tittelen \u00abSet EOA account code\u00bb, ble foresl\u00e5tt av Vitalik Buterin sammen med Sam Wilson, Ansgar Dietrichs og utvikleren kjent som lightclient, som et enklere alternativ til den eldre EIP-3074. I stedet for \u00e5 innf\u00f8re nye opkoder lot forslaget en vanlig konto peke p\u00e5 kode gjennom en ny transaksjonstype, 0x04. Signerer du en autorisasjon, legges det en liten peker p\u00e5 adressen din p\u00e5 kjeden: bytene 0xef0100 etterfulgt av adressen til kontrakten du delegerer til, til sammen 23 byte. Fra det \u00f8yeblikket kj\u00f8rer adressen din den kontraktens kode n\u00e5r noen kaller p\u00e5 den, samtidig som den beholder hele historikken, saldoen og adressen sin. Det tekniske er beskrevet i detalj i selve spesifikasjonen<\/a>.<\/p> Poenget var \u00e5 gi vanlige folk funksjonene som lenge hadde v\u00e6rt forbeholdt smartkontoer bygget p\u00e5 ERC-4337: batch-transaksjoner (godkjenn og bytt i \u00e9n signatur i stedet for to), betalt gass (appen eller en tredjepart dekker nettverksavgiften), sesjonsn\u00f8kler (en tidsavgrenset n\u00f8kkel som kan signere for deg i et spill eller for en agent) og vokterregler som setter grenser for hva kontoen kan gj\u00f8re. Marius van der Wijden, kjerneutvikler i Ethereum, oppsummerte det n\u00f8kternt til DL News<\/a>: forslaget \u00abadds a new transaction type that allows existing wallets to emulate the functions of Account Abstraction wallets\u00bb. Nettopp sesjonsn\u00f8klene har gjort 7702 popul\u00e6r i spill og blant AI-agenter, der en tidsavgrenset n\u00f8kkel kan signere mange sm\u00e5handlinger uten at brukeren m\u00e5 godkjenne hver eneste \u00e9n. Delegeringen er reverserbar, og den er knyttet til \u00e9n bestemt kjede, slik at en godkjenning p\u00e5 Ethereum ikke automatisk gjelder p\u00e5 for eksempel Base. I den f\u00f8rste uken ble det registrert over 11.000 delegeringer. S\u00e5 begynte tallene \u00e5 l\u00f8pe, og ikke bare i riktig retning.<\/p> Forskergruppen bak USENIX-artikkelen \u00abRevealing the Dark Side of Smart Accounts: An Empirical Study of EIP-7702 Incurred Risks in Blockchain Ecosystem\u00bb, med Mingyuan Huang, Han Liu, Shuo Yang, Daoyuan Wu og Shuai Wang, gjorde det ingen hadde gjort systematisk f\u00f8r: de m\u00e5lte skyggesiden. Arbeidet ble lagt fram p\u00e5 det 35. USENIX Security-symposiet i Baltimore i august 2026, og metoden var storskala. Gruppen gikk gjennom mer enn 22,8 milliarder historiske transaksjoner p\u00e5 de sju kjedene som st\u00f8tter EIP-7702, alts\u00e5 Ethereum, BNB Smart Chain, Polygon, Optimism, Arbitrum, Base og Gnosis, fram til 15. juli 2025. Hele analysen er tilgjengelig via USENIX<\/a>.<\/p> Av de 3,66 millioner 7702-autorisasjonene de fant, var 2.322.548, alts\u00e5 over 63 prosent, knyttet til kontrakter forskerne klassifiserte som ondsinnede. De bekreftet manuelt 924 distinkte ondsinnede kontraktkontoer, deriblant flere tidligere ukjente nulldagstilfeller. Skadeomfanget de kunne dokumentere direkte, var p\u00e5 2,36 millioner dollar i realiserte tap, mens ytterligere 10,14 millioner dollar sto eksponert gjennom eldre kontrakter som bygde p\u00e5 utdaterte sikkerhetsantakelser. Forskerne pekte ut 967 aktive Ethereum-kontrakter med nettopp slike s\u00e5rbare forsvarssjekker. CryptoSlate<\/a>, som var tidlig ute med \u00e5 omtale funnene, oppsummerte kjernen slik: angriperkontrollerte kontrakter var involvert i nesten to av tre autorisasjoner i teknologiens f\u00f8rste leve\u00e5r. Forskerne var n\u00f8ye med \u00e5 skille de faktisk ondsinnede kontraktene fra de mange godartede sweeperne og hjelpekontraktene som ogs\u00e5 dukker opp i dataene, nettopp for ikke \u00e5 overdrive omfanget.<\/p> Det viktige rammeverket forskerne la p\u00e5 bordet, var ikke bare tallene, men spr\u00e5ket: EIP-7702 redefinerer tillitsgrensene i \u00f8kosystemet. En adresse som f\u00f8r var garantert \u00e5 v\u00e6re \u00abbare en bruker\u00bb, kan n\u00e5 v\u00e6re en programmerbar kontrakt. Det h\u00f8res akademisk ut, men det er selve n\u00f8kkelen til hvorfor b\u00e5de brukere og gamle smartkontrakter kan bli lurt.<\/p> Her m\u00e5 vi v\u00e6re \u00e6rlige, for overskriften er lettere \u00e5 rope enn \u00e5 forst\u00e5. At over 63 prosent av autorisasjonstransaksjonene var ondsinnede, betyr ikke at 63 prosent av brukerne ble t\u00f8mt, og det betyr slett ikke at 63 prosent av verdiene forsvant. Tallet teller transaksjoner, ikke mennesker og ikke kroner.<\/p> Grunnen er at ondsinnede kontrakter gjenbrukes uforholdsmessig mye. \u00c9n enkelt ondsinnet mal kan bli delegert til fra titusenvis av adresser, mens en \u00e6rlig lommebokleverand\u00f8r typisk peker mange brukere mot noen f\u00e5 reviderte kontrakter. N\u00e5r du teller signaturer, bl\u00e5ser gjenbruken opp andelen som ser ondsinnet ut, selv om de faktiske tapene er sm\u00e5. Tenk p\u00e5 det som en e-postmappe full av s\u00f8ppelpost: antallet meldinger kan v\u00e6re skyh\u00f8yt, men de kommer fra noen f\u00e5 avsendere som sender i b\u00f8tter og spann, ikke fra tusenvis av forskjellige trusler. De 2,36 millioner dollarene i dokumenterte tap er reelle, men de er beskjedne ved siden av transaksjonsandelen. Forskerne var ogs\u00e5 tydelige p\u00e5 hva de ikke m\u00e5lte: de tallfestet ikke hvor mange distinkte lommeb\u00f8ker som ble rammet, og de m\u00e5lte ikke angrepsraten i 2026. Med andre ord er dette et \u00f8yeblikksbilde av det f\u00f8rste \u00e5ret, ikke en dom over hvor farlig 7702 er akkurat n\u00e5.<\/p> Og aller viktigst: ingenting av dette er en feil i selve protokollen. EIP-7702 gj\u00f8r n\u00f8yaktig det det skal. Problemet ligger i laget over, der mennesker signerer ting de ikke forst\u00e5r, og der gammel kode antar en verden som ikke lenger finnes.<\/p> Studiens kanskje mest nyttige bidrag er en ryddig inndeling av angrepene i tre klasser, avhengig av hvem eller hva angriperen sikter mot. Den inndelingen er verdt \u00e5 ta med seg, for den forklarer hvorfor 7702 er farligere enn en vanlig phishing-lenke.<\/p>Studien som satte tall p\u00e5 skyggesiden<\/h2>
Hva \u00ab63 prosent\u00bb egentlig betyr, og ikke betyr<\/h2>
Tre angrepsklasser: EOA-m\u00e5l, kontraktsm\u00e5l og sammensatte<\/h2>