EIP-7702: EOA Kod Delegasyonu ve Riskleri

Sıradan bir EOA işlemleri özel anahtarla imzalar ve kendi adresinde çalıştırılabilir kod bulundurmaz. EIP-7702, hesabın başka bir adreste dağıtılmış koda işaret etmesine ve bu kodun hesap bağlamında çalışmasına izin verir. Kod başka adrestedir; bakiye, adres ve depolama bağlamı delegasyonu yapan hesaba aittir. Bu, yeni bir sözleşme adresine geçiş veya anahtar değişimi değildir.

EIP-7702 belirtimi, type-4 set-code işlemini ve yetkilendirme listesini tanımlar. Ethereum.org Pectra kılavuzu bunu dağıtılmış koda işaretçi olarak açıklar. Cüzdandaki “akıllı hesap” etiketi gerçek doğrulama kurallarını, kurtarma yöntemini veya kullanılan kodu göstermez. Kodu kimin değiştirebileceğini ve varlıklarla depolama üzerinde ne yapabileceğini kontrol edin.

Set-code işlemi 0x04 tür baytıyla tanımlanır. Her yetkilendirme girdisi zincir kimliği, kod adresi, yetki veren hesabın nonce değeri ve imzasını içerir. Yetki sahibi girdiyi, gönderen ise dış işlemi ayrı imzalar; bunlar farklı hesaplar olabilir.

Zincir kimliği genellikle yetkiyi tek zincirle sınırlar. 0 değeri, EIP-7702’yi destekleyen zincirlerde daha geniş kapsam sağlar; ancak başarı garantisi vermez. Nonce ve hesap durumu yine eşleşmelidir. İmza ekranındaki ağ, hesap ve tam hedef adresi güvenilir bir blok gezginiyle karşılaştırın. Ethereum.org işlem belgeleri type-4 yetkilendirme listesini açıklar. Bu mekanizma, akıllı hesap kılavuzundaki ERC-4337 UserOperation ve paymaster’lardan farklıdır.

EOA koduna 0xef0100 öneki ve hedef adresinden oluşan gösterge yazılır. İstemci çağrı sırasında bu adresin kodunu yükler; hesap adresi ve çalışan kod adresi farklıdır. Kod mevcut zincirden alınır. Aynı adres başka bir zincirde farklı koda ya da hiç koda sahip olmayabilir.

Delegasyon kodu hesabın yürütme bağlamında çalışır ve depolamasını kullanabilir. Mantığına göre ETH veya token gönderebilir, dış sözleşmeleri çağırabilir ya da depolanan değerleri değiştirebilir. EIP-7702 kendiliğinden “yalnızca bu token” gibi bir sınır koymaz. Hedef bir proxy ise yöneticiyi ve yükseltme yetkisini kontrol edin.

Hatalı doğrulama varlık transferi, token onayı, keyfî dış çağrı veya depolama değişikliğine izin verebilir. EIP güvenlik değerlendirmeleri, tekrar saldırısı korumasını ve hedef, calldata, ETH değeri ile gas koşullarının imzaya bağlanmasını vurgular. Bunlar yoksa sponsor farklı bir çağrı gönderebilir veya işlemin başarısız olmasına yol açabilir.

Hesabın çağırabildiği sözleşmeleri, imza doğrulamasını, acil durum ve yükseltme yetkilerini ve kodun doğrulanmış kaynakla eşleşmesini inceleyin. Denetim rozeti, istekteki tam adres ve sürümün denetlendiğini kanıtlamaz. Birleştirilmiş token onayı ve takas gibi işlemlerde iki çağrıyı da okuyun ve onayı gereken miktarla sınırlayın.

EIP-7702, dış işlemin yürütülmesinden önce yetkilendirmeleri işler. Belirtim, yürütme sonradan başarısız olsa veya revert etse bile işlenmiş delegasyon göstergelerinin geri alınmadığını söyler. Bu nedenle başarısız işlem makbuzu, hesabın başlangıç durumuna döndüğü anlamına gelmez. Makbuzu ve hesabın mevcut kodunu ayrı kontrol edin.

Yetkilendirme uygulanıp daha sonraki başlatma çağrısı başarısız olabilir; böylece kurulum tamamlanmadan delegasyon aktif kalır. Yeniden denemeden önce işlem hash’ini, yetki hesabını, nonce değerini ve kod işaretçisini kontrol edin. Nonce değişmişse önceki imza geçersiz olabilir.

Yeni bir yetkilendirme başka kodu gösterebilir. Null adrese yetkilendirme, delegasyon göstergesini silip hesap kodunu boşaltır. Ancak hesap depolamasını, ERC-20 sözleşmesindeki allowance’ı, tamamlanan transferleri veya dış sözleşme değişikliklerini silmez. Token izinlerini ayrıca kontrol edip iptal edin.

Yeni kod eski depolamayı farklı yorumlayabilir. Değiştirmeden önce depolama düzenini ve geçiş planını inceleyin. Token izinleri için onay ve allowance kılavuzunu okuyun. Anahtar veya kurtarma ifadesi açığa çıktıysa kodu silmek anahtarı kurtarmaz; cüzdan kurtarma kılavuzuna bakın.

Resmî cüzdan belgelerinde seçilen ağ için EIP-7702 desteğini doğrulayın. Zincir kimliğini, hesabı, hedef adresi, doğrulanmış kodu ve proxy yöneticisini kontrol edin. Yetkilendirme imzasını dış işlemin göndericisi ve ücret ödeyeninden ayırın; sponsorluk kodu güvenli yapmaz.

Delegasyon etkinse yalnızca işlem durumuna bakmayın; mevcut göstergeyi ve kod adresini inceleyin. Beklediğinizden farklıysa yeni çağrıları ve onayları durdurun. Gas için Ethereum ücret kılavuzuna, nonce ve bekleyen işlemler için bekleyen işlem kılavuzuna bakın.

EIP-7702, EOA’yı dağıtılmış koda bağlayan işlem biçimini standartlaştırır. Çağrı gruplama, ücret sponsorluğu, oturum izinleri ve kurtarma belirli kod ve hizmetlere bağlıdır. Ethereum Foundation Pectra ana ağ duyurusu, yetkilendirmenin değiştirilebileceğini veya iptal edilebileceğini anlatır; ERC-4337 UserOperation ve paymaster başka bir mekanizmadır.

“Akıllı hesap” etiketi anahtarın kimde olduğunu, kodu kimin yükseltebildiğini veya kurtarmayı kimin değiştirdiğini söylemez. Varlık bulunan hesabı değiştirmeden önce uygulamayı, ayarları ve cüzdan desteğini kontrol edin. Bu rehber mekanikleri açıklar; belirli bir cüzdan veya delegasyonu önermez.