イーサリアムのEIP-7702は、通常のウォレットがアドレスを変更せずに委任されたスマートコントラクトコードを利用できるようにする仕組みだが、そのコードがアカウントの権限で実行できるため、新たなセキュリティリスクをもたらした。USENIX Security '26向けに公表された査読済み研究によると、2025年7月15日までにイーサリアム、バイナンス・スマートチェーン、ポリゴン、オプティミズム、アービトラム、Base、Gnosisで行われたEIP-7702の認証トランザクション3,664,166件のうち、2,322,548件が攻撃者と関連するコントラクトに結び付いていた。この63%という数値はトランザクションを対象としたものであり、異なるウォレット数や2026年の攻撃率を示すものではない。研究者は、外部所有アカウントを標的とした793件、コントラクトアカウントを標的とした124件、複合型攻撃7件を含む、924件の悪意あるコントラクトを特定し、手作業で調査した。研究では、3つの攻撃カテゴリーにおける実現損失を2,362,848.76ドルと測定し、別の旧来型コントラクトのサブセットでは、潜在的なエクスポージャーを約1,014万ドルと推計した。EIP-7702は2025年5月7日、イーサリアムのPectraアップグレードとともに稼働し、外部所有アカウントがアドレスと秘密鍵による管理権限を維持したまま、デプロイ済みコードを指定できるようになった。この仕組みは、バッチ処理やスポンサー付きトランザクションなどのスマートウォレット機能をサポートできる一方、バグのあるコードや悪意あるコードによって、アカウントとして承認、送金、アプリケーション呼び出しが実行される可能性もある。研究者は、攻撃者が管理するコントラクトが不均衡に再利用されており、その結果、影響を受けたユーザーやコントラクトの数よりも速いペースでトランザクション数が増加したと指摘した。また、攻撃後に安全なコードへ再バインドされた事例、デプロイ済みコードが存在しないゼロでない委任先500件、さらにmsg.sender == tx.originであれば通常のウォレットであるとする時代遅れの前提に防御を依存していた旧来型コントラクトも確認した。Ethereum.orgのガイダンスでは、委任コントラクトのホワイトリスト登録、対象の明確な表示、ハードウェアウォレットでの任意の委任の回避、監査済み実装の利用を求めている。開発者には、低レベルの委任コードを選択するのではなく、ERC-5792などのウォレットインターフェースを通じてユーザー向けの機能を要求することが推奨されている。また、ウォレットは永続的な認証履歴を保持し、委任をアカウントのコントロールプレーンのインストールとして扱うべきだとされている。