{"id":362,"date":"2026-08-31T05:00:42","date_gmt":"2026-08-31T05:00:42","guid":{"rendered":"https:\/\/hoge.gg\/se\/eip-7702-stacken-sessionsnycklar-gassponsring-bors-2026\/"},"modified":"2026-08-31T05:00:42","modified_gmt":"2026-08-31T05:00:42","slug":"eip-7702-stacken-sessionsnycklar-gassponsring-bors-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/se\/eip-7702-stacken-sessionsnycklar-gassponsring-bors-2026\/","title":{"rendered":"EIP-7702-stacken: sessionsnycklar, gassponsring och b\u00f6rsen"},"content":{"rendered":"

Ett drygt \u00e5r efter att Ethereums Pectra-uppgradering gick live den 7 maj 2025 har EIP-7702<\/strong> slutat vara en rubrik och blivit infrastruktur. F\u00f6rslaget som l\u00e4t ett vanligt pl\u00e5nbokskonto, en s\u00e5 kallad externally owned account (EOA), peka p\u00e5 smart kontraktslogik utan att byta adress ligger nu tyst under miljontals konton. Den intressanta fr\u00e5gan \u00e4r inte l\u00e4ngre om din pl\u00e5nbok kan bli ett smart konto, utan vad som byggs ovanp\u00e5: sessionsnycklar, gassponsring och batchade signaturer, och hur b\u00f6rser, f\u00f6rvarare och svenska regler f\u00f6rh\u00e5ller sig till konton som \u00e4r b\u00e5de nyckel och kod p\u00e5 samma g\u00e5ng.<\/p>

Den h\u00e4r genomg\u00e5ngen tar hela stacken. Vi g\u00e5r igenom mekaniken i korthet, standarderna som g\u00f6r funktionerna anv\u00e4ndbara (EIP-5792, ERC-7677 och sessionsnycklar), pl\u00e5nbokskrigets st\u00e4llning, adoptionskurvan, samt baksidan som sweeper-kontrakten och en batch-phishing p\u00e5 \u00f6ver 1,5 miljoner dollar blottlade. Priser anges i kronor med en dollarkurs kring 9,50; ETH l\u00e5g i slutet av augusti 2026 kring 2 460 dollar, omkring 23 000 kronor, enligt CoinDesk<\/a>. Ingenting av detta \u00e4r finansiell eller juridisk r\u00e5dgivning.<\/p>

Vad EIP-7702 egentligen g\u00f6r med ditt konto<\/h2>

I Ethereum har det l\u00e4nge funnits tv\u00e5 sorters konton. Ett EOA-konto styrs av en privat nyckel men kan inte k\u00f6ra egen kod. Ett kontraktskonto k\u00f6r kod men saknar nyckel. Den uppdelningen har kostat anv\u00e4ndarv\u00e4nlighet i \u00e5ratal, eftersom allt smart, som sp\u00e4rrar, \u00e5terst\u00e4llning och batchning, kr\u00e4vde att man flyttade pengar till ett separat kontrakt. EIP-7702 river den skarpa gr\u00e4nsen genom att l\u00e5ta en EOA b\u00e4ra kod tillf\u00e4lligt. Rent tekniskt inf\u00f6rs en ny transaktionstyp, 0x04 (SET_CODE_TX_TYPE), enligt specifikationen f\u00f6r EIP-7702<\/a>. Kontots kodf\u00e4lt s\u00e4tts till en 23 byte l\u00e5ng delegeringsmark\u00f6r: prefixet 0xef0100 f\u00f6ljt av en 20 byte l\u00e5ng m\u00e5ladress. N\u00e4r n\u00e5gon anropar kontot laddar EVM:en kontraktets kod och k\u00f6r den i EOA:ns eget sammanhang, med dess lagring, saldo och adress.<\/p>

Po\u00e4ngen \u00e4r att ingenting av det viktiga flyttar. Adressen \u00e4r densamma, den privata nyckeln styr fortfarande, och pengarna ligger kvar. Auktorisationen \u00e4r en signerad tupel med f\u00e4lten chain_id, address och nonce plus signaturkomponenterna, undertecknad med magiv\u00e4rdet 0x05 \u00f6ver keccak(MAGIC || rlp([chain_id, address, nonce])). Tv\u00e5 gaskostnader \u00e4r v\u00e4rda att k\u00e4nna till: PER_AUTH_BASE_COST p\u00e5 12 500 gas per auktorisation och PER_EMPTY_ACCOUNT_COST p\u00e5 25 000 gas f\u00f6r tomma konton. Vid normala gasavgifter handlar det om \u00f6ren till n\u00e5gon krona f\u00f6r sj\u00e4lva delegeringen.<\/p>

EIP-7702 f\u00f6reslogs av bland andra Vitalik Buterin och k\u00e4rnutvecklaren Matt Garnett (lightclient), tillsammans med Sam Wilson och Ansgar Dietrichs, och ersatte den tidigare EIP-3074-ansatsen med opkoderna AUTH och AUTHCALL. Vill du se om ditt eget konto \u00e4r delegerat visar Etherscan<\/a> mark\u00f6ren 0xef0100 med m\u00e5ladressen. F\u00f6r att ta bort en delegering signerar du en ny auktorisation som pekar p\u00e5 nolladressen, vilket rensar kodf\u00e4ltet och g\u00f6r kontot till en helt vanlig EOA igen.<\/p>

Stacken ovanp\u00e5: EIP-5792, paymasters och sessionsnycklar<\/h2>

EIP-7702 i sig g\u00f6r bara en sak: den l\u00e4gger kod p\u00e5 ett konto. Det som g\u00f6r funktionerna anv\u00e4ndbara \u00e4r en upps\u00e4ttning standarder som l\u00e5ter appar och pl\u00e5nb\u00f6cker prata samma spr\u00e5k. F\u00f6rst ut \u00e4r EIP-5792<\/a>, ibland kallad Wallet Call API. Den definierar wallet_sendCalls, som skickar en hel batch av anrop i en enda beg\u00e4ran, och wallet_getCapabilities, d\u00e4r en app fr\u00e5gar pl\u00e5nboken vad den och kedjan klarar av, till exempel atomisk batchning eller gassponsring. Utan den skulle appar beh\u00f6va gissa om ett konto \u00e4r en smart EOA eller inte.<\/p>

Ovanp\u00e5 det ligger ERC-7677<\/a>, som standardiserar hur en app ber pl\u00e5nboken att anv\u00e4nda en paymaster-webbtj\u00e4nst f\u00f6r att sponsra gas, och ERC-7715, ett utkast f\u00f6r att bevilja en app avgr\u00e4nsade, tidsbegr\u00e4nsade beh\u00f6righeter (grunden f\u00f6r sessionsnycklar). En delegerad EOA kan dessutom peka p\u00e5 en implementation fr\u00e5n Safe, Coinbase eller MetaMask och d\u00e4rmed k\u00f6ras genom ERC-4337:s EntryPoint som vore den ett kontraktskonto, fast den beh\u00e5ller sin ursprungliga adress. Tabellen nedan sorterar delarna.<\/p>

Standard<\/th>Vad den g\u00f6r<\/th>Roll i 7702-fl\u00f6det<\/th><\/tr><\/thead>
EIP-7702<\/td>L\u00e5ter en EOA peka p\u00e5 kontraktskod<\/td>Grunden: kontot blir programmerbart<\/td><\/tr>
EIP-5792<\/td>wallet_sendCalls och wallet_getCapabilities<\/td>Appen skickar batchar och fr\u00e5gar vad pl\u00e5nboken klarar<\/td><\/tr>
ERC-7677<\/td>Standard f\u00f6r paymaster-tj\u00e4nst<\/td>L\u00e5ter appen be pl\u00e5nboken anv\u00e4nda en gassponsor<\/td><\/tr>
ERC-7715<\/td>Beviljande av avgr\u00e4nsade beh\u00f6righeter<\/td>Ger sessionsnycklar med tak och tidsgr\u00e4ns<\/td><\/tr>
ERC-4337<\/td>EntryPoint och UserOperations<\/td>En delegerad EOA kan k\u00f6ras som ett 4337-konto<\/td><\/tr>
ERC-7201<\/td>Namnrymd f\u00f6r lagring<\/td>Hindrar krockar mellan olika implementationer<\/td><\/tr><\/tbody><\/table><\/figure>

Det \u00e4r den h\u00e4r kombinationen, inte 7702 ensamt, som f\u00f6rvandlar ett gammalt nyckelkonto till en plattform. En app kan uppt\u00e4cka st\u00f6d, skicka en batch, be en sponsor betala avgiften och beg\u00e4ra en sessionsnyckel, allt i ett fl\u00f6de som f\u00f6r anv\u00e4ndaren ser ut som ett enda klick. F\u00f6rst n\u00e4r standarderna finns p\u00e5 plats blir de teoretiska funktionerna verklig UX.<\/p>

Ett steg som ofta gl\u00f6ms bort \u00e4r den som faktiskt skickar transaktionen. N\u00e4r en sponsor betalar gasen m\u00e5ste n\u00e5gon l\u00e4gga transaktionen p\u00e5 kedjan, en relayer eller en bundler. I 4337-v\u00e4rlden buntar en bundler ihop flera UserOperations, medan en ren 7702-delegering kan skickas av vilken relayer som helst mot ers\u00e4ttning. Detaljen \u00e4r osynlig f\u00f6r anv\u00e4ndaren men avg\u00f6rande f\u00f6r driften: en app som lovar gratis gas \u00e4r beroende av att dess relayer-infrastruktur fungerar och inte blir en flaskhals eller en censurpunkt. H\u00e4r kommer ocks\u00e5 en av 7702:s avv\u00e4gningar in, eftersom en relayer kan luras att l\u00e4gga ut gas utan att f\u00e5 betalt om auktorisationen ogiltigf\u00f6rklaras innan den bekr\u00e4ftas.<\/p>

Gassponsring: betala n\u00e4tavgiften i stablecoin, eller inte alls<\/h2>

En av de mest konkreta vinsterna \u00e4r att n\u00e5gon annan kan betala n\u00e4tavgiften. En paymaster \u00e4r en tredje part som t\u00e4cker gasen, antingen gratis som del av en tj\u00e4nst eller mot att anv\u00e4ndaren betalar i en stablecoin i st\u00e4llet f\u00f6r ETH. Ethereums egna riktlinjer<\/a> lyfter fram just detta, att betala gas i tokens via sponsrade transaktioner, som ett av huvudsk\u00e4len till f\u00f6rslaget. F\u00f6r en nyb\u00f6rjare som saknar ETH betyder det att den f\u00f6rsta transaktionen faktiskt g\u00e5r att genomf\u00f6ra.<\/p>

Effekten m\u00e4rks tydligast i onboarding. En anv\u00e4ndare som g\u00f6r en ins\u00e4ttning med USDT<\/a> eller handlar f\u00f6r f\u00f6rsta g\u00e5ngen beh\u00f6ver inte l\u00e4ngre skaffa ETH bara f\u00f6r att betala avgiften. Det suddar ut skillnaden mellan att anv\u00e4nda en app och att administrera en pl\u00e5nbok. F\u00f6r en b\u00f6rs eller speltj\u00e4nst blir gassponsring ett s\u00e4tt att ta bort friktion utan att ta emot kundens nycklar, vilket \u00e4r precis den typ av osynlig infrastruktur som avg\u00f6r om en tj\u00e4nst k\u00e4nns modern eller klumpig.<\/p>

Baksidan \u00e4r att en sponsor ser din aktivitet och att en d\u00e5ligt vald sponsor blir en central felk\u00e4lla. Ethereums riktlinjer \u00e4r tydliga med att man bara ska delegera till granskade, tillst\u00e5ndsl\u00f6sa implementationer och inte till centraliserade relayers som kan l\u00e5sa in dig. I praktiken har pl\u00e5nb\u00f6ckerna byggt in detta: enligt MetaMasks hj\u00e4lpdokumentation<\/a> kan ett smart konto betala gas i andra tokens, och dokumentationen betonar att pengarna aldrig flyttar och att kontot fortfarande styrs av din nyckel.<\/p>

R\u00e4kneexemplet \u00e4r enkelt. Sj\u00e4lva delegeringen l\u00e4gger till 12 500 gas i baskostnad, och vid en m\u00e5ttlig gasavgift p\u00e5 n\u00e5gra gwei landar den delen p\u00e5 \u00f6ren till n\u00e5gon enstaka krona. Att betala i en stablecoin i st\u00e4llet f\u00f6r ETH kostar oftast ett litet p\u00e5slag som paymastern tar f\u00f6r att t\u00e4cka sin egen v\u00e4xling och risk. F\u00f6r en anv\u00e4ndare som annars skulle ha tvingats k\u00f6pa ETH p\u00e5 en b\u00f6rs, f\u00f6ra \u00f6ver den och f\u00f6rst d\u00e4refter kunna handla, \u00e4r nettot \u00e4nd\u00e5 en klar vinst i b\u00e5de tid och avgifter. Det \u00e4r den sortens friktion som avgjort mer om kryptots vardagsanv\u00e4ndning \u00e4n de flesta tekniska finesser.<\/p>

Sessionsnycklar: n\u00e4r appen f\u00e5r handla \u00e5t dig, inom ramar<\/h2>

En sessionsnyckel \u00e4r en tillf\u00e4llig signeringsnyckel med inbyggda gr\u00e4nser. I st\u00e4llet f\u00f6r att godk\u00e4nna varje enskild transaktion med din huvudnyckel ger du en app en avgr\u00e4nsad fullmakt, till exempel att handla f\u00f6r h\u00f6gst ett visst belopp per anrop och bara under en timme. N\u00e4r tiden g\u00e5r ut eller taket n\u00e5s slutar nyckeln att fungera. ERC-7715 \u00e4r utkastet som formaliserar hur s\u00e5dana beh\u00f6righeter beviljas och skickas vidare i 5792-fl\u00f6det.<\/p>

St\u00f6rst nytta g\u00f6r det i sammanhang med m\u00e5nga sm\u00e5, snabba transaktioner. Spelekonomier \u00e4r det tydligaste exemplet: i st\u00e4llet f\u00f6r en signeringsruta f\u00f6r varje drag kan spelaren signera en g\u00e5ng och sedan spela p\u00e5, en modell som ligger n\u00e4ra det vi beskrev i genomg\u00e5ngen av spelekonomier som Sky Mavis<\/a>. Samma m\u00f6nster passar handelsgr\u00e4nssnitt d\u00e4r man vill l\u00e4gga order i snabb f\u00f6ljd utan att bli avbruten av en ruta f\u00f6r varje steg.<\/p>

Ethereums riktlinjer beskriver sessionsnycklar som ett s\u00e4tt till privilegienedtrappning, att minska beroendet av en enda l\u00e5nglivad nyckel. Men en fullmakt \u00e4r bara s\u00e5 s\u00e4ker som sina gr\u00e4nser. En sessionsnyckel med f\u00f6r brett mandat eller f\u00f6r l\u00e5ng giltighet \u00e4r en tillg\u00e5ng som kan missbrukas, och d\u00e4rf\u00f6r \u00e4r det viktigt att kunna se och \u00e5terkalla aktiva nycklar. Bra pl\u00e5nb\u00f6cker g\u00f6r listan \u00f6ver beviljade beh\u00f6righeter synlig, precis som de g\u00f6r med token-godk\u00e4nnanden.<\/p>

Batchning: en signatur i st\u00e4llet f\u00f6r fem<\/h2>

Klassisk DeFi tvingar anv\u00e4ndaren att f\u00f6rst godk\u00e4nna en token och sedan g\u00f6ra bytet, tv\u00e5 separata signaturer och tv\u00e5 avgifter. Med batchning via 5792 och en 7702-delegering blir det ett enda atomiskt steg: godk\u00e4nn och byt, eller s\u00e4tt in och satsa, i samma transaktion. Antingen lyckas allt eller ingenting, vilket b\u00e5de minskar antalet klick och tar bort risken att bli st\u00e5ende med ett halvf\u00e4rdigt godk\u00e4nnande som en angripare senare kan utnyttja.<\/p>

Men samma kraft som g\u00f6r batchning bekv\u00e4m g\u00f6r den farlig i fel h\u00e4nder. En enda signatur kan nu bunta ihop en delegering, flera token-godk\u00e4nnanden och \u00f6verf\u00f6ringar. Det g\u00f6r att momentet d\u00e5 du signerar blir viktigare \u00e4n n\u00e5gonsin, temat vi gr\u00e4vde i under signera-\u00f6gonblicket<\/a>. Klartextsignering och transaktionssimulering, d\u00e4r pl\u00e5nboken visar exakt vad som h\u00e4nder innan du godk\u00e4nner, \u00e4r den avg\u00f6rande f\u00f6rsvarslinjen mellan bekv\u00e4mlighet och katastrof.<\/p>

Pl\u00e5nbokskriget: vem st\u00f6djer 7702 och hur<\/h2>

Den enskilt st\u00f6rsta adoptionsmotorn \u00e4r MetaMask. Enligt MetaMasks hj\u00e4lpdokumentation<\/a> \u00e4r smarta konton numera automatiskt aktiverade f\u00f6r nya anv\u00e4ndare, medan befintliga kan sl\u00e5 p\u00e5 och av funktionen i inst\u00e4llningarna. Adressen \u00e4r densamma och nyckeln styr fortfarande; dokumentationen liknar det vid en flitig robot som jobbar f\u00f6r dig och som du kan sparka och \u00e5teranst\u00e4lla n\u00e4r du vill. N\u00e4r den st\u00f6rsta befintliga EOA-basen b\u00f6rjar peka p\u00e5 smart kontraktslogik f\u00e5r 7702 f\u00e4ste av ren tr\u00f6ghet.<\/p>

Runt MetaMask har ett f\u00e4lt av pl\u00e5nb\u00f6cker byggt st\u00f6d. Enligt Alchemy<\/a> och andra integrat\u00f6rer var Ambire, Trust Wallet, Rabby och OKX bland de tidiga, ofta med 7702 som ett val per transaktion snarare \u00e4n en permanent inst\u00e4llning. Implementationer fr\u00e5n Safe och Coinbase Smart Wallet fungerar som delegeringsm\u00e5l: en EOA kan peka p\u00e5 deras logik och sedan k\u00f6ras genom 4337:s EntryPoint. H\u00e5rdvarupl\u00e5nb\u00f6cker \u00e4r mer f\u00f6rsiktiga och lutar mot listor med betrodda delegatorer i st\u00e4llet f\u00f6r att till\u00e5ta godtycklig delegering.<\/p>

Pl\u00e5nbok<\/th>7702-st\u00f6d<\/th>Modell<\/th>Att notera<\/th><\/tr><\/thead>
MetaMask<\/td>Ja<\/td>Auto f\u00f6r nya, valbart f\u00f6r befintliga<\/td>Samma adress, nyckeln styr<\/td><\/tr>
Ambire<\/td>Ja<\/td>Inbyggt<\/td>Tidig 7702-f\u00f6respr\u00e5kare<\/td><\/tr>
Trust Wallet<\/td>Ja<\/td>Inbyggt eller valbart<\/td>Stor mobil anv\u00e4ndarbas<\/td><\/tr>
Rabby<\/td>Ja<\/td>Valbart<\/td>Popul\u00e4r bland DeFi-anv\u00e4ndare<\/td><\/tr>
OKX Wallet<\/td>Ja<\/td>Valbart<\/td>Tidig integration<\/td><\/tr>
Safe (v1.5)<\/td>Som m\u00e5l<\/td>Delegeringsm\u00e5l<\/td>En EOA kan peka p\u00e5 Safe-logik<\/td><\/tr>
Coinbase Smart Wallet<\/td>Som m\u00e5l<\/td>Delegeringsm\u00e5l<\/td>Beter sig som ett 4337-konto<\/td><\/tr><\/tbody><\/table><\/figure>

Vilken pl\u00e5nbok som passar handlar d\u00e4rf\u00f6r allt mindre om ikoner och allt mer om hur de hanterar delegering, klartextsignering och \u00e5terkallelse, n\u00e5got vi v\u00e4gde av i j\u00e4mf\u00f6relsen av vilken pl\u00e5nbok som passar dig 2026<\/a>. Skillnaden mellan en trygg och en riskabel 7702-upplevelse ligger i detaljer som f\u00e5 anv\u00e4ndare granskar innan de klickar.<\/p>

Adoptionen: var st\u00e5r smarta EOA:er nu?<\/h2>

Att m\u00e4ta 7702 \u00e4r knepigare \u00e4n det l\u00e5ter. Wintermutes Dune-panel<\/a> f\u00f6ljer typ 0x04-transaktioner och delegeringar och visar att aktiviteten inte stannat p\u00e5 Ethereums huvudn\u00e4t utan spridit sig till kedjor som BNB Chain, Base och Arbitrum i takt med att de tagit in motsvarande uppgradering. Antalet konton som signerat minst en delegering r\u00e4knas i miljoner, men sj\u00e4lva antalet s\u00e4ger mindre \u00e4n man tror.<\/p>

Sk\u00e4let \u00e4r att kurvan \u00e4r sned. En stor del av alla delegeringar \u00e4r inte anv\u00e4ndare som sl\u00e5r p\u00e5 smarta konton, utan massutplacerade sweeper-kontrakt (mer om dem strax). Den verkliga anv\u00e4ndaradoptionen drivs framf\u00f6r allt av att MetaMask v\u00e4nder nya konton till smarta konton, vilket l\u00e4gger till 7702 under m\u00e4nniskor som aldrig aktivt bad om det men som f\u00e5r batchning och gasval p\u00e5 k\u00f6pet. Adoptionen \u00e4r allts\u00e5 b\u00e5de st\u00f6rre och mindre \u00e4n siffrorna antyder, beroende p\u00e5 vad man r\u00e4knar.<\/p>

F\u00f6r den som vill f\u00f6lja utvecklingen p\u00e5 riktigt \u00e4r det b\u00e4ttre att titta p\u00e5 vad delegeringarna pekar p\u00e5 \u00e4n p\u00e5 totalsumman. Etherscan<\/a> m\u00e4rker numera delegerade konton, och analysverktyg skiljer p\u00e5 legitima pl\u00e5nboksimplementationer och de kopierade dr\u00e4neringskontrakt som utg\u00f6r majoriteten av instanserna. Utan den uppdelningen ser statistiken skr\u00e4mmande ut p\u00e5 fel s\u00e4tt.<\/p>

Baksidan: sweepers, CrimeEnjoyor och 97-procenten<\/h2>

Kort efter Pectra kom en obehaglig siffra. Wintermutes analysteam<\/a> rapporterade att \u00f6ver 97 procent av alla EIP-7702-delegeringar p\u00e5 huvudn\u00e4tet, inom fyra veckor, pekade p\u00e5 kontrakt med exakt samma kopierade kod. Kontrakten d\u00f6ptes till CrimeEnjoyor och \u00e4r s\u00e5 kallade sweepers: enkel, \u00e5teranv\u00e4nd bytekod som automatiskt t\u00f6mmer inkommande ETH fr\u00e5n redan kapade konton.<\/p>

H\u00e4r \u00e4r nyanserna som l\u00e4tt f\u00f6rsvinner i rubrikerna. Ett sweeper-kontrakt placeras ut efter att en privat nyckel redan har l\u00e4ckt. Det \u00e4r allts\u00e5 inte 7702 som orsakar intr\u00e5nget; standarden automatiserar bara st\u00f6lden n\u00e4r nyckeln redan \u00e4r f\u00f6rlorad. 97-procenten \u00e4r dessutom ett m\u00e5tt p\u00e5 antalet delegeringsinstanser, kraftigt uppbl\u00e5st av massutplacerade sweepers, inte ett m\u00e5tt p\u00e5 hur stor andel anv\u00e4ndare eller v\u00e4rde som \u00e4r i fara.<\/p>

Wintermute var noga med att f\u00f6rtydliga detta efter att vissa rubriker \u00f6verdrivit: EIP-7702 \u00e4r inte felaktigt och \u00e4r s\u00e4kert att anv\u00e4nda. Sweeper-v\u00e5gen s\u00e4ger mer om hur billigt det \u00e4r att kopiera ett kontrakt \u00e4n om ett fel i sj\u00e4lva standarden. \u00c4nd\u00e5 \u00e4r den en p\u00e5minnelse om att en l\u00e4ckt nyckel numera t\u00f6ms snabbare och mer automatiserat \u00e4n f\u00f6rr, vilket h\u00f6jer insatsen f\u00f6r god nyckelhantering och f\u00f6r att f\u00f6rst\u00e5 exakt vad ett kontrakt kan g\u00f6ra innan man delegerar till det.<\/p>

Batch-phishingen som t\u00f6mde en pl\u00e5nbok p\u00e5 14 miljoner<\/h2>

Den dyraste enskilda l\u00e4xan hittills kom i slutet av augusti 2025. En anv\u00e4ndare f\u00f6rlorade omkring 1,54 miljoner dollar, cirka 14,5 miljoner kronor, efter att ha signerat vad som s\u00e5g ut som ett rutinm\u00e4ssigt byte p\u00e5 ett falskt DeFi-gr\u00e4nssnitt. Som det rapporterades<\/a> auktoriserade signaturen i sj\u00e4lva verket en delegering till angriparens implementation plus en batch av godk\u00e4nnanden och \u00f6verf\u00f6ringar, som i ett svep t\u00f6mde kontot p\u00e5 wstETH, cbBTC och NFT:er.<\/p>

Det var inte f\u00f6rsta g\u00e5ngen. Tidigare samma sommar f\u00f6rlorade en annan anv\u00e4ndare runt 146 000 dollar, ungef\u00e4r 1,4 miljoner kronor, till en variant av Inferno Drainer som snyltade p\u00e5 en legitim delegatoradress. M\u00f6nstret \u00e4r detsamma: 7702 g\u00f6r en enda signatur m\u00e4ktigare, och n\u00e4r ett falskt gr\u00e4nssnitt f\u00e5r dig att signera fel blir konsekvensen total i st\u00e4llet f\u00f6r partiell.<\/p>

H\u00e4ndelse<\/th>Storlek<\/th>Mekanism<\/th>L\u00e4rdom<\/th><\/tr><\/thead>
Sweeper-v\u00e5gen (CrimeEnjoyor)<\/td>\u00d6ver 97% av delegeringarna<\/td>Kopierad kod t\u00f6mmer redan kapade konton<\/td>R\u00e4kna instanser skilt fr\u00e5n risk<\/td><\/tr>
Batch-phishing, aug 2025<\/td>Cirka 1,54 M USD (14,5 Mkr)<\/td>Falskt swap-UI signerade delegering plus batch<\/td>L\u00e4s vad du signerar<\/td><\/tr>
Inferno Drainer-variant<\/td>Cirka 146 000 USD (1,4 Mkr)<\/td>Snyltade p\u00e5 en legitim delegator<\/td>Verifiera m\u00e5ladressen<\/td><\/tr><\/tbody><\/table><\/figure>

Slutsatsen \u00e4r inte att undvika smarta konton, utan att behandla varje signering som det den \u00e4r, ett beslut med potentiellt fullst\u00e4ndig r\u00e4ckvidd. Pl\u00e5nb\u00f6cker som visar m\u00e5ladressen tydligt och simulerar resultatet innan du godk\u00e4nner \u00e4r det b\u00e4sta skyddet, och anv\u00e4ndare b\u00f6r vara extra vaksamma p\u00e5 gr\u00e4nssnitt som ber om en signatur som ser ovanligt bred ut.<\/p>

Vad utvecklare och revisorer granskar<\/h2>

P\u00e5 kontraktssidan har 7702 en egen risklista. Den f\u00f6rsta \u00e4r lagringskrockar. Eftersom ett konto kan byta implementation \u00f6ver tid kan en ny logik tolka gamla lagringsplatser fel. OpenZeppelins dokumentation<\/a> och specifikationens s\u00e4kerhetsavsnitt rekommenderar d\u00e4rf\u00f6r namnrymdslagring enligt ERC-7201, s\u00e5 att varje implementation rotar sin lagring p\u00e5 en unik plats i st\u00e4llet f\u00f6r att trampa p\u00e5 f\u00f6reg\u00e5ngarens data.<\/p>

Den andra \u00e4r initieringen. Vid en delegering k\u00f6rs ingen initcode, s\u00e5 en angripare kan f\u00f6rs\u00f6ka fronta upps\u00e4ttningen av kontot. Specifikationen kr\u00e4ver att upps\u00e4ttningsdatan verifieras som signerad av EOA:ns nyckel med ecrecover. Ethereums riktlinjer l\u00e4gger till tv\u00e5 tumregler: delegera bara till ett of\u00f6r\u00e4nderligt kontrakt, aldrig till en proxy, och var f\u00f6rsiktig med chain_id noll, som g\u00f6r delegeringen giltig p\u00e5 alla kedjor och d\u00e4rmed \u00f6ppnar f\u00f6r replay. Checklistan som revisorerna betar av ser i korthet ut s\u00e5 h\u00e4r.<\/p>