著者：Decrypt Agent
翻訳・編集：白话区块链
内容の要点
- EIP-7702は2025年5月に有効化されたイーサリアムのアップグレードであり、標準的なウォレットが一時的にスマートコントラクトの機能を備えることを可能にします。
- バッチ取引、Gasのスポンサー、権限制限付きキーをサポートしますが、委任されたコードはそのウォレットの資金への完全なアクセス権を取得します。
- 攻撃者は2026年10月の64億ドル規模のハッキング事件でEIP-7702を悪用し、バイナンスのホットウォレットの1つを掠奪しました。アナリストはこの攻撃を北朝鮮のハッカー組織の仕業だとしています。
イーサリアムには2種類のアカウントがあります。外部所有アカウント（EOA）は大多数の人が使っている標準的なウォレットで、秘密鍵によって管理され、取引を送信する以外にはほとんど何もできません。一方、スマートコントラクトアカウントはコードを実行できるため、利用限度額の設定、アカウントの復元、ETH以外のトークンでの取引手数料の支払いといった機能をサポートできますが、ほとんどのユーザーはそうしたアカウントに移行したことがありません。EIP-7702はこのギャップを埋めるための試みです。ユーザーが新しいウォレットに移行する必要はなく、既存のEOAが自身のアドレスと資金を保持したまま、一時的にスマートコントラクトのコードを借用することを可能にします。
本稿では、EIP-7702とは何か、どのように機能するのか、開発者がなぜそれを必要とするのか、そして攻撃者が史上最大規模の暗号資産窃盗事件でそれをどのように悪用したのかを解説します。
EIP-7702とは何か？
公式仕様によると、EIP-7702は「EOAのためにコードを設定する」（Set Code for EOAs）と題され、イーサリアムの共同創設者であるVitalik Buterin氏と、開発者のSam Wilson氏、Ansgar Dietrichs氏、lightclient氏によって2024年5月に執筆されたイーサリアム改善提案です。
これはPectraアップグレードの中心的な目玉の変更の1つであり、この大規模なイーサリアムのアップグレードは2025年5月7日に正式に稼働しました。
「EIP-7702は私たちが長期的に必要としていた基盤を築いてくれました」と、イーサリアムのコア開発者であるPreston Van Loon氏は当時Decryptに語りました。「完全な機能を持つ抽象化がPectraアップグレードで直ちにエンドユーザーに提供されるわけではありませんが、今回のアップグレードはイーサリアムに将来の発展を支える下層アーキテクチャを提供しました」
EIP-7702はイーサリアムのコアプロトコル層における変更であり、トークンや独立したブロックチェーンではないため、購入できるトークンは存在しません。
EIP-7702はどのように機能するのか？
EIP-7702は、新たなイーサリアムの取引タイプである**「コード設定取引」（set code transaction）を追加します。この取引は認可リストを伴い、各認可はアップグレード対象アカウントの秘密鍵で署名され、そのアカウントが使用したいスマートコントラクトのアドレス**を指定します。
取引が処理されると、そのアカウントはそのコントラクトを指す小さなポインタを保存します。これは**委任インジケーター（delegation indicator）**と呼ばれます。その瞬間から、誰がそのアカウントを呼び出しても、イーサリアムはそのアカウントがそのコードを備えているかのようにそのコントラクトのコードを実行し、そのコードはその資金に対する完全な制御権を持ちます。
この委任は、アカウント所有者が新たな認可に署名するまで続きます。別のコントラクトを指すか、ポインタをクリアして通常のEOAに戻すかのいずれかです。
EIP-7702のどこが独特なのか？
仕様では、実現を目指す3つの中心的な機能が挙げられています。
- バッチ処理（Batching）：複数の操作を1つの取引にまとめること。例えば、まずトークンを承認し、その直後にトークンのスワップを完了するといったことが可能です。
- スポンサーシップ（Sponsorship）：他のアカウント（例えばある分散型アプリケーション）がユーザーの代わりに取引手数料を支払うことを可能にし、ユーザーは後から別のトークンを使ってその分を返済することもできます。
- 権限の段階的縮小（Privilege de-escalation）：制限された権限を持つサブキーを作成すること。例えば、特定のトークンのみ消費できるようにしたり、1日に総残高の1%しか動かせないようにしたりできます。
セキュリティリスク
こうした機能は、同じだけのセキュリティ上の懸念ももたらします。仕様は明確に警告しています。委任されたコードは「アカウントへの無制限のアクセス権」を持つため、各種アプリケーションはユーザーにEIP-7702の認可へ署名するよう決して誘導すべきではなく、ウォレットもそのための直接的な操作インターフェースを提供すべきではない、と。「このようなインターフェースを安全に提供する方法は存在しない」と仕様は述べています。
詐欺師たちの動きは速いものでした。The Blockが2025年6月に報じたところによると、マーケットメイカーのWintermuteは、Pectraアップグレードの導入後数週間のうちに、EIP-7702の委任の80%以上が同一の悪意ある『スイーパー（sweeper）』コントラクトのコピーを指しており、そのコントラクトが秘密鍵が漏洩したウォレット内の資金を自動的に吸い上げることを発見しました。
EIP-7702とバイナンスのハッキング事件
2026年10月29日、攻撃者は10のブロックチェーン上でバイナンスのウォレットから約64億ドルを移動させ、その大部分は約20分以内に移されました。ブロックチェーン分析機関のTRM LabsとChainalysisはいずれも、この窃盗をTraderTraitor——2025年2月にBybitの15億ドル規模のハッキング事件を引き起こした北朝鮮のハッカー組織——の仕業だとしています。
TRM Labsは、イーサリアムネットワーク上で攻撃者がEIP-7702の委任を利用してバイナンスのホットウォレットの1つを自身が支配する資産スイーパーに変えたこと、そして事前に50件の認可に署名していたことを指摘しました。Chainalysisによれば、暗号資産ミキサーTornado Cashを通じて資金を得た運用用ウォレットがこれらの署名済み認可を送信し、そのホットウォレットに攻撃者が展開したコードを実行させ、その後攻撃者がそのウォレットを呼び出して資産をすべて吸い上げ、自身が支配するアドレスに集約したとしています。
決定的に重要なのは、EIP-7702の委任にはアップグレード対象アカウントからの有効な署名が不可欠だという点です。バイナンスの残り9つのチェーン上のウォレットも同様に、通常の署名付き送金によって攻撃者に資金を送っており、TRMはこれがバイナンスのホットウォレットの署名インフラが侵害されたことに起因し、イーサリアム自体に脆弱性があるわけではないことを示していると述べています。
バイナンス側は、調査は当初あるエンジニアの侵害されたノートPCから始まり、その後「さらなる侵入の起点」を発見したと述べています。
EIP-7702の未来
EIP-7702は、完全なアカウント抽象化（Full Account Abstraction）への第一歩です。この長期的な目標は、すべてのイーサリアムアカウントがスマートコントラクトのように柔軟であることを目指すものです。設計者はこれをその「終着点（endgame）」と完全に前方互換となるよう作ったため、今日それに基づいて構築されたウォレットは、イーサリアムのアカウントモデルが進化しても正常に動作し続けるでしょう。
次のステップは、Hegotáアップグレードとともに訪れるかもしれません。このアップグレードは、イーサリアムのロードマップでGlamsterdamの後に続く大規模なアップグレードです。Buterin氏は2026年2月に、同氏が「アカウント抽象化が解決を目指すすべての残された問題をまとめて解決する包括的なソリューション」と呼ぶEIP-8141が、「1年以内に」Hegotáハードフォークで実現する見込みだと述べました。
「2016年初頭以来、私たちはアカウント抽象化について議論し続けてきました」とButerin氏は書き、さらに開発者たちが既存のアカウントをこの新しいフレームワークに接続できるかどうか、それによってバッチ取引やGas代の肩代わり機能をネイティブに得られるかどうかを議論していると付け加えました。
これはより大規模な再構築計画の一部です。2026年7月、Buterin氏は新たなイーサリアムの長期ロードマップ草案を、2022年のプルーフ・オブ・ステーク（PoS）への移行である「The Merge」以来、このネットワークにとって最大規模の徹底的な改修だと表現しました。
