EOA’lar neden miadını doldurdu: Akıllı hesap aslında ne yapar?

Nisan 2026 itibarıyla BundleBear, Ethereum ve başlıca L2 ağlarında en az bir kez işlem yapmış 1,07 milyardan fazla ERC-4337 UserOperation ve 56,7 milyon akıllı hesap gösteriyor. Bu artık niş bir alan değil. Ethereum’un 2015’te kullanıma sunduğu, yalnızca tek anahtara ve secp256k1’e dayanan Harici Sahipli Hesap (EOA) büyük ölçekte devre dışı bırakılıyor. Zincir üstü veriler de daha az göze çarpan, protokol düzeyindeki bir gerçeği doğruluyor: Artık hesabın kendisi programlanabilir.

Bu yazı, akıllı hesapları ele alan beş bölümlük dizinin ilk yazısı. Buradaki amaç dar kapsamlı ama temel: EOA’nın ve akıllı hesabın tam olarak ne olduğunu, ayrıca “akıllı hesap mı EOA mı?” sorusunun neden artık bir kullanıcı deneyimi tercihi değil, öz saklamanızın nasıl uygulandığına ilişkin yapısal bir tercih olduğunu açıklamak.

Protokol açısından EOA tam olarak nedir?

Ethereum’un Yellow Paper’ı iki hesap türü tanımlar: Harici Sahipli Hesaplar ve Sözleşme Hesapları. Durum düzeyindeki tek fark codeHash alanıdır. EOA için codeHash boş dizenin özetidir. Sözleşme hesabında ise çalıştırılabilir EVM bayt koduna işaret eder. Protokol katmanındaki ayrım bundan ibarettir.

Dolayısıyla EOA, anlamlı bir biçimde “cüzdan” değildir. keccak256(public key) ifadesinin son 20 baytından türetilen ve anahtar çifti secp256k1 eğrisine sabitlenmiş bir adrestir. MetaMask, Ledger ve Zelcore, anahtarı tutan kullanıcı arayüzleridir. Hesabın kendisi değildirler. Temel mekanizmayı daha önce görmediyseniz, açık ve özel anahtarları ve bir adresin nasıl türetildiğini anlatan başlangıç yazımız süreci baştan sona ele alıyor.

ERC-4337 2023’te kullanıma sunulana kadar Ethereum’daki her işlem bir EOA’dan başlamak zorundaydı ve protokol tam olarak tek bir doğrulama kuralı uyguluyordu: işlem özetini imzalayan geçerli bir secp256k1 imzası. Bakiye bulundurur, her işlem için bir ECDSA imzası atar ve gas ücretini aynı hesaptan ETH ile ödersiniz. EOA’nın yapabildiklerinin tamamı bundan ibarettir. Başka hiçbir şey yapamaz.

Kullanıcıları etkileyen yapısal sınırlar

Bunlar kullanıcı deneyimindeki küçük pürüzler değil. 2026’da hâlâ gördüğümüz öz saklama kayıplarının büyük bölümünün yapısal nedeni bunlar.

• Tek hata noktası. Her şeyi tek bir özel anahtar kontrol eder. Anahtarı kaybederseniz hesabı da kaybedersiniz. Anahtar sızarsa fonlarınızı geri alınamaz biçimde kaybedersiniz. Protokolde kurtarma olanağı yoktur. Öz saklamada tek bir kurtarma ifadesinin neden başlıca hata noktası olduğunu açıklayan da tam olarak budur.
• Tek eğri. secp256k1 sabit kodlanmıştır. Geçiş anahtarı (P-256), Ed25519 anahtarı, BLS veya kuantum sonrası bir şema kullanamazsınız.
• Yerleşik çoklu imza yok. Ethereum’daki ilk Gnosis Multisig’den Safe’e kadar tüm “çoklu imza” çözümleri, EOA’nın çağırdığı sözleşmelerdir. EOA’nın kendisi hiçbir zaman iki imza isteyemez.
• İşlem gruplama yok. EOA her işlemde tek bir iş yapar. Bir token’ı onaylayıp ardından takas etmek; imzalanmış iki işlem, iki onay ve iki gas ödemesi gerektirir.
• Harcama politikası yok. Protokol, “bu anahtar günde en fazla 500 $ harcayabilir” ya da “bu anahtar yalnızca Uniswap’i çağırabilir” gibi kuralları tanımaz.
• İşlemi yapan hesap gas ücretini ETH ile ödemek zorundadır. Yerleşik bir sponsor desteği ya da USDC ile ödeme olanağı yoktur.

Her Ethereum kullanıcısının on yıldır kullanmaya mecbur bırakıldığı hesap yapısı budur.

Akıllı hesap tam olarak nedir?

Protokolün gerçek anlamıyla akıllı hesap, bir sözleşme hesabıdır: codeHash alanı bayt koduna işaret eden bir adres. Bu bayt kodu, hesabın hangi kurallar altında bir eylemi kabul edeceğini tanımlar.

EOA’nın doğrulama kuralı tek ve sabit bir secp256k1 kontrolüyken akıllı hesabın doğrulama kuralını sözleşme belirler. Bu kural; 2/3 çoklu imza, secp256r1 eğrisinde doğrulanan bir geçiş anahtarı imzası, donanım tarafından tasdik edilmiş bir anahtar, zaman kilidi, günlük limit, izin verilen bir çağrı hedefi veya bunların herhangi bir bileşimi olabilir. Akıllı sözleşme hesapları imzaları, protokol düzeyindeki sabit secp256k1 kontrolü yerine EIP-1271 standardı üzerinden doğrular. Alternatif imza şemalarını mümkün kılan da budur.

Kurallar kodla tanımlandığı için güncellenebilir, birleştirilebilir ve iptal edilebilir. Akıllı hesaplar 2018’den beri Ethereum’da mevcut (Safe bunun bilinen örneğidir). Eksik olan, onları varsayılan seçenek hâline getirmenin, öncesinde bir EOA’nın gas ücretini ödemesine gerek kalmadan işlem göndermenin bir yoluydu. ERC-4337 ve EIP-7702 bu boşluğu kapattı.

Buraya nasıl geldik: hesap soyutlamasının kısa tarihi

EOA’ları sözleşmelerle birleştirme fikri Ethereum’un kendisi kadar eskidir. Vitalik’in 2016’da taslağını hazırladığı EIP-86, bu konudaki ilk ayrıntılı teklifti. Oradan bugün kullanımdaki standartlara ulaşmak beş deneme aldı.

• EIP-2938 (Eylül 2020) protokol düzeyinde hesap soyutlaması önerdi. Çok müdahaleci bulunduğu ve Ethereum hisse ispatına geçiş sürecinin ortasında olduğu için rafa kaldırıldı.
• EIP-3074 (Ekim 2020), EOA’nın bir çağırıcı sözleşmeye yetki devretmesini sağlayan AUTH ve AUTHCALL işlem kodlarını getirdi. Güvenlik kaygıları nedeniyle geri çekildi ve yerini başka bir teklife bıraktı.
• ERC-4337, Ethereum ana ağında 1 Mart 2023’te kullanıma girdi. Yalnızca uygulama katmanında çalışır, hard fork gerektirmez ve UserOperation adı verilen sözde işlemleri ayrı bir bellek havuzu, bir Bundler ve tekil bir EntryPoint sözleşmesi üzerinden yönlendirir.
• EIP-7702, Pectra yükseltmesiyle 7 Mayıs 2025’te kullanıma girdi. EOA’nın, hesabı 0xef0100 || address göstergesi aracılığıyla yetkilendirilmiş sözleşme koduna bağlayan (chain_id, address, nonce, y_parity, r, s) yetkilendirme demetini imzaladığı 0x04 işlem türünü getirir. Böylece EOA, fonlarını başka yere taşımadan geçici olarak akıllı hesap gibi davranır.
• ERC-6900, akıllı hesapların doğrulama, yürütme ve kanca modüllerini bir araya getirdiği modüler eklenti mimarisini standartlaştırır.

Çıkarılacak sonuç şu: Hesap soyutlaması artık bir deney değil. Yeni akıllı hesaplar için ERC-4337 üzerinden ilerleyen, mevcut tüm EOA’ların katılmasına olanak tanıyan EIP-7702 yolunu da içeren, katmanlı ve kullanıma sunulmuş bir standart.

Akıllı hesapların sunduğu beş özellik

EOA “tek anahtar, tek imza, tek işlem” ise akıllı hesap bunların tümünü kapsar ve fazlasını sunar.

• Programlanabilir doğrulama. Her türlü imza şeması (geçiş anahtarı, P-256, donanım HSM), her türlü eşik (2/3, 3/5), her türlü koşul (blok yüksekliği, oracle fiyatı). Neye “yetki verilmiş” sayılacağını hesap belirler.
• Atomik işlem gruplama. Onaylama, takas ve yatırma işlemlerini tek bir imzalı işlemde yapın. Ya hepsi gerçekleşir ya da hiçbiri. Böylece kullanıcıların elle yönetmek zorunda kaldığı Zelcore’daki onay borcu ve çoklu imza düzenlemelerine yönelik geçici çözümler doğrudan ortadan kalkar.
• Paymaster’lar aracılığıyla gas soyutlaması. Kullanıcı adına üçüncü taraf bir sözleşme gas ücretini öder ya da kullanıcı USDC, USDT veya paymaster’ın kabul ettiği herhangi bir ERC-20 token’ıyla ödeme yapar. Gas, onaylar ve DeFi mekaniklerinin nasıl bir araya geldiğini daha derinlemesine anlamak için DeFi temelleri yazısını önceden okumanız gerekir.
• Oturum anahtarları. Kullanım alanı ve süresi sınırlandırılmış, belirli uygulamalara özel imza anahtarlarıdır. “Bu anahtar, önümüzdeki 24 saat boyunca Uniswap’te en fazla 100 USDC harcayabilir.” Bir oturum anahtarı ele geçirilirse, hesap bakiyesinin tamamı değil, belirlenen politika ölçüsünde zarar görebilir.
• Kurtarma. Sosyal kurtarma, donanım yoluyla kurtarma ve zaman kilitli kurtarma seçenekleri sunar. Hesap, ilk imzalama anahtarı olmadan kurtarılabilir. Böylece kurtarma ifadesi, nihayet tek hata noktası olma özelliğini yitirir.

Öz saklama açısından bu konu neden artık belirleyici?

Benimsenme eğrisi artık tartışma konusu değil. EIP-7702, Pectra sonrası ilk haftasında 11,000’den fazla yetkilendirmeye ulaştı ve kısa süre sonra 25,000 cüzdanı aştı; bu artışa OKX ve MetaMask öncülük etti. BundleBear’ın birikimli toplamları (1.07B UserOps, 56.7M akıllı hesap) hikâyenin geri kalanını anlatıyor.

Asıl değişen, tehdit modelidir. EOA kullanırken kullanıcının görevi “kurtarma ifadesini sonsuza dek korumak, kötü amaçlı bir işlemi asla imzalamamak, kimlik avına asla kanmamak ve yanlış cihazı asla yeniden kullanmamak”tır. İnsanların bunu başaramadığı açıkça görülüyor. Akıllı hesapta ise kullanıcının görevi “kurtarma için gerekli imza eşiğini ve harcama politikasını bir kez yapılandırmak”tır. Kod bu kuralları uygulayabilir.

Akıllı hesap, donanım cüzdanının yerini almaz. Donanım cüzdanının daha fazlasını yapmasını sağlar. Hatta donanım cüzdanının akıllı hesapta üstlendiği rolü en yüksek getiriyi sağlayan kullanıma indirger: yüksek tutarlı ve seyrek yapılan ana işlemleri imzalamak. Günlük işlemleri ise oturum anahtarları yönetir.

Bu yazı dizisinin devamında

Bu bölüm çerçeveyi çizdi. Dizinin geri kalanı, uygulamanın ayrıntılarına odaklanıyor.

• 2. Bölüm, ERC-4337 yığınını ele alıyor: UserOperations, Bundlers, EntryPoint, Paymasters ve her birinde nelerin ters gidebileceğini.
• 3. Bölüm, EIP-7702 yetkilendirmesini ayrıntılı olarak inceliyor: yetkilendirme demeti, 0xef0100 göstergesi ve EOA’nızı başkasının koduna yönlendirmenin güvenlik boyutları.
• 4. Bölüm, başlıca akıllı hesap uygulamalarını (Coinbase Smart Wallet, Safe, Argent, Ambire) ve her birinin varsayılan olarak neyi kullandığını karşılaştırıyor.
• 5. Bölüm, uygulamaya dönük son bölüm: öz saklamadan vazgeçmeden gerçek bir hesapta kurtarma ayarlarının, oturum anahtarlarının ve harcama politikasının nasıl yapılandırılacağını anlatıyor.

Akılda tutulması gereken tek cümle, 2. Bölüme geçerken şudur: EOA, bir adresi olan anahtardır; akıllı hesap ise anahtarının neler yapabileceğine karar veren bir sözleşmedir.