Mise à jour Pectra d'Ethereum : ce que l'EIP-7702 change vraiment pour la sécurité des wallets

La mise à jour Pectra d'Ethereum a été activée sur le mainnet le 7 mai 2025, ce qui en fait le changement de protocole le plus significatif depuis la Merge en 2022. La mise à jour regroupe 11 EIPs, mais l'EIP-7702 se distingue comme celle qui modifie directement le fonctionnement des wallets des utilisateurs — et elle apporte à la fois de véritables améliorations de sécurité et de nouveaux vecteurs d'attaque que les utilisateurs et les développeurs de wallets doivent comprendre.

Ce que fait l'EIP-7702

Les comptes Ethereum existent en deux types : les comptes détenus par des clés externes (EOA), contrôlés par une clé privée, et les comptes de smart contract, qui contiennent du code. Jusqu'à Pectra, ces deux types étaient complètement séparés. Un EOA ne pouvait pas exécuter de logique ; il ne pouvait que signer et envoyer des transactions. L'EIP-7702 change cela en permettant à un EOA de définir temporairement son code pour pointer vers une implémentation de smart contract pendant la durée d'une seule transaction.

Cela signifie qu'un EOA peut désormais regrouper plusieurs opérations en une seule transaction atomique, parrainer les frais de gas pour une autre adresse, fixer des limites de dépenses par dApp et activer des mécanismes de récupération sociale — toutes des fonctionnalités qui nécessitaient auparavant de migrer vers un wallet smart contract comme Safe ou Argent. Le mot clé est « temporairement » : une fois la transaction terminée, le pointeur de code de l'EOA est effacé, sauf s'il est explicitement redéfini.

L'avantage pratique : abstraction de compte sans migration

Avant l'EIP-7702, les utilisateurs qui souhaitaient des fonctionnalités de wallet intelligent devaient faire un choix difficile : rester avec un EOA standard et accepter ses limites, ou migrer vers un wallet smart contract et perdre la portabilité avec les protocoles plus anciens. L'EIP-7702 supprime ce compromis. Les wallets MetaMask ou Rabby standard peuvent désormais exécuter des swaps groupés, approuver et échanger en une seule transaction (éliminant la double facturation UX qui agace les utilisateurs DeFi depuis des années), et déléguer des sessions à des dApps sans exposer les clés racines.

Les économies de gas liées au regroupement sont notables. Une interaction DeFi typique impliquant une approbation ERC-20 suivie d'un swap coûte environ 150 000 à 200 000 gas en deux transactions. Regroupée via l'EIP-7702, la même opération consomme entre 90 000 et 120 000 gas, soit une réduction de 30 à 40 %. Avec un prix du gas à 10 gwei et l'ETH à 2 500 $, cela représente environ 0,50 à 1 $ économisé par interaction — mineur individuellement, significatif à grande échelle.

La nouvelle surface d'attaque

La flexibilité de l'EIP-7702 introduit des risques qui n'existaient pas auparavant. Lorsque vous signez une autorisation EIP-7702, vous autorisez votre EOA à exécuter du code depuis l'adresse d'un smart contract que vous spécifiez. Si cette adresse de smart contract est malveillante, ou si vous signez une autorisation pour un smart contract légitime qui est ensuite exploité ou mis à jour via un proxy, votre EOA peut être vidé en une seule transaction.

La signature d'autorisation inclut un chain ID et un nonce, ce qui empêche les attaques par rejeu simples. Mais les attaques de phishing sont désormais plus puissantes : un site malveillant peut demander une autorisation EIP-7702 plutôt qu'une approbation de transaction standard, et les utilisateurs qui cliquent sur « signer » sans lire le payload délèguent un accès au niveau smart contract à leur compte. Ledger et Trezor ont tous deux mis à jour leur firmware pour afficher les autorisations EIP-7702 avec des avertissements explicites. MetaMask a publié la version 12.5 en avril 2025 spécifiquement pour ajouter le parsing des autorisations EIP-7702 à son interface de transaction.

Ce que les développeurs de wallets doivent faire

Le modèle de sécurité pour l'EIP-7702 est : n'autorisez jamais un code que vous n'avez pas audité, et traitez les demandes d'autorisation avec la même rigueur que si vous transfériez la totalité du solde de votre wallet. Un logiciel de wallet qui ne parse pas et n'affiche pas clairement l'adresse cible de délégation est un risque de sécurité.

Pour les développeurs qui construisent sur l'EIP-7702, Alchemy et Pimlico ont tous deux livré un support SDK mis à jour. Le standard de compte intelligent modulaire ERC-7579 fonctionne bien avec les EOA activés 7702 et fournit une interface standardisée pour les modules de wallet. La plupart des grands protocoles DeFi — Uniswap, Aave, Curve — n'ont pas encore mis à jour leurs frontends pour utiliser le regroupement EIP-7702, mais Uniswap Labs a confirmé dans un blog post d'avril 2025 que l'intégration est en cours pour Uniswap v4.

Les autres changements de Pectra à connaître

L'EIP-7251 augmente le solde effectif maximum des validateurs de 32 ETH à 2 048 ETH. Cela réduit le nombre de validateurs actifs nécessaires pour les grands stakers (échanges, pools de staking) sans modifier le minimum de 32 ETH. Lido, Rocket Pool et Coinbase pourront consolider leurs opérations de validateurs, réduisant ainsi leurs coûts d'infrastructure. Cela n'affecte pas les stakers individuels avec 32 ETH.

L'EIP-7691 double le débit de blobs de 3 blobs par bloc (cible) / 6 (max) à 6 / 9. Les blobs — introduits avec l'EIP-4844 en mars 2024 — sont le principal canal de données pour les rollups Layer 2. Doubler la capacité des blobs réduit directement les coûts de transaction L2. Base, Arbitrum et Optimism ont tous vu leurs coûts de publication chuter de 30 à 50 % au cours de la première semaine après l'activation de Pectra.

Points à retenir

• Mettez à jour votre logiciel de wallet dès maintenant : MetaMask 12.5+, Rabby 1.98+ et la dernière version de Rainbow incluent tous des avertissements d'autorisation EIP-7702. Les versions plus anciennes afficheront les autorisations 7702 comme du hex illisible, ce qui rend le phishing trivial.
• Traitez les demandes d'autorisation EIP-7702 comme des demandes de clé privée : vous accordez un accès de niveau smart contract à votre compte. Ne signez jamais sur un site que vous n'avez pas vérifié indépendamment.
• Si vous utilisez des L2 (Base, Arbitrum, Optimism) : les coûts de transaction sont plus bas après Pectra. L'augmentation de la capacité des blobs est déjà en vigueur.
• Si vous gérez un validateur avec plus de 32 ETH : la consolidation vers des validateurs à solde plus élevé est désormais possible via l'EIP-7251. Vérifiez le calendrier de consolidation de votre fournisseur de staking.