Ethereum’s nieuwste upgrade ‘Pectra’ moest de blockchain slimmer en sneller maken. Maar sinds de update op 7 mei live ging, is er ook een groot nieuw risico: hackers kunnen je wallet leegtrekken zonder dat je zelf een transactie ondertekent. Eén onschuldig lijkende handtekening buiten de blockchain om is al genoeg.

Wat is het probleem?

Met de upgrade werd Ethereum Improvement Proposal EIP-7702 geactiveerd. Die functie maakt het mogelijk om jouw wallet tijdelijk om te zetten naar een slim contract, via alleen een offchain-handtekening. En dat opent de deur voor slimme aanvallen.

Als je bijvoorbeeld op een phishing-site een onschuldig verzoek ondertekent, geef je mogelijk volledige controle over je wallet weg. De hacker kan je walletcode aanpassen en via een slim trucje al je crypto wegsluizen. Jij ziet geen enkele echte transactie — want je hebt er nooit één ondertekend.

🧠 “Een simpele handtekening kan je wallet veranderen in een toegangspoort voor hackers.” — Onchain onderzoeker Yehor Rudytsia

Zo werkt de aanval

1. Jij bezoekt een nepsite of klikt op een link in een scam-mail.
2. Je ondertekent een bericht waarvan je denkt dat het onschuldig is (bijv. ‘inloggen met wallet’).
3. Maar in werkelijkheid geef je toestemming om je wallet te herschrijven.
4. De hacker laat jouw wallet alle ETH en tokens naar zichzelf versturen — zonder verdere actie van jouw kant.

Waarom dit anders is dan voorheen

Voor de Pectra-upgrade moest je zelf een echte transactie ondertekenen voordat geld je wallet kon verlaten. Nu is alleen een bericht ondertekenen al genoeg. Dat maakt hardware wallets niet langer automatisch veiliger, want ook die kunnen zulke handtekeningen zetten.

En het wordt nog lastiger: sommige van deze berichten zien eruit als een simpele hash van 32 bytes — zonder duidelijke uitleg of waarschuwing. Wallets moeten dus slimmer worden en gebruikers actief waarschuwen.

Hoe voorkom je dat je slachtoffer wordt?

• Onderteken nooit zomaar iets. Begrijp je niet wat je tekent? Dan niet doen.
• Let op nieuwe handtekeningen. Vooral als je iets tekent dat je account-‘nonce’ bevat — dat wijst vaak op directe controle over je wallet.
• Multisig wallets zijn veiliger. Die vereisen meerdere handtekeningen en zijn niet zomaar over te nemen.
• Walletbouwers: zorg dat je gebruikers waarschuwt bij rare delegatie-verzoeken of onbekende handtekeningen.

En verder?

De Pectra-upgrade bevatte ook twee andere verbeteringen:

• EIP-7251: het maximale stakebedrag per validator is verhoogd van 32 naar 2048 ETH.
• EIP-7691: meer data in elke block, wat goed is voor layer-2 scaling.

Maar op dit moment draait alles om EIP-7702 — en de nieuwe manier waarop wallets in gevaar komen.