Подключение кошелька к dApp и возможность тратить токены — это два разных действия. Закрытие вкладки или нажатие «Отключить» удаляет сессию сайта, но разрешение на токены в цепочке может оставаться активным годами. Если одобренный контракт является вредоносным или позже скомпрометирован, это разрешение может поставить токены под угрозу.
Быстрый ответ: Проверяйте одобрения отдельно в каждой сети, проверяйте инструмент управления одобрением, отменяйте больше не нужные разрешения и ограничивайте будущие одобрения необходимой суммой. Отзыв — это он-чейн-транзакция, поэтому для газа обычно требуется нативный токен сети.
Что такое токенное одобрение?
Многие взаимозаменяемые токены используют модель одобрения, основанную на стандарте ERC-20. Адрес кошелька — это владелец, а смарт-контракт — тот, кто тратит. An approve Транзакция определяет, сколько токенов может передавать с вашего адреса transferFrom.
Например, децентрализованная биржа может запросить разрешение потратить 100 USDC, чтобы завершить своп. Некоторые интерфейсы требуют неограниченную дозу, чтобы избежать очередного одобрения и оплаты за газ в следующий раз. Неограниченное одобрение удобно, но увеличивает объём, если контракт или фронтенд становятся опасными.
Стандарты NFT имеют соответствующие права. Владелец может одобрить один токен или предоставить оператору разрешение на каждый NFT в коллекции с помощью таких функций, как setApprovalForAll. Внимательно читайте сообщение в кошельке: одобрение одного товара и одобрение всех товаров существенно различаются.
Отключение — это не отзыв
| Бой | Что это меняет | Убирает ли он допуск на цепочку? |
|---|---|---|
| Кошелёк отключения | Прекращает или скрывает соединение с сайтом | Нет |
| Удалите подключённый сайт из кошелька | Это препятствует автоматическому просмотру или запросу этого источника через сессию | Нет |
| Отменить одобрение | Изменения допуска или статуса оператора на цепочке | Да, после подтверждения |
| Переместить токены на другой адрес | Удаляет текущий баланс из утверждённого адреса | Нет; Старое одобрение для будущих депозитов остаётся |
Как безопасно пересматривать и отзывать одобрения
1. Определить сеть
Одобрения зависят от конкретной сети. Обзор Ethereum Mainnet не показывает разрешения на Arbitrum, Base, BNB Chain, Polygon или другой сети. Составьте список сетей, где кошелек хранил или использовал токени.
2. Откройте проверенный проверитель одобрения
Используйте официальную страницу одобрения токенов в браузере блоков или хорошо зарекомендованный инструмент для многосетевого одобрения, связанный с первичным источником. Введите или добавьте адрес в закладки сами. Поисковая реклама и личные сообщения часто имитируют инструменты кошельков.
Ethereum.org сейчас перечисляет варианты, включая Etherscan, Blockscout, Revoke.cash, Unrekt и EverRevoke. Доступность и поддерживаемые сети меняются, поэтому проверьте домен в официальной документации перед подключением.
3. Проверить расходующего, актива и надбавку
Для каждой строки повторяйте:
- контракт и символ токенов;
- адрес контракта Спендера;
- одобренная сумма или неограниченный статус;
- дата последнего связанного взаимодействия;
- используете ли вы всё ещё dApp; и
- соответствует ли адрес расходителя текущей официальной документации проекта.
Знакомое название dApp, отображаемое сторонним интерфейсом, не является доказательством. Контрактные этикетки могут быть неполными или неправильными. Сравните адреса.
4. Выберите то, что отменить
Отменить одобрения для неизвестных, устаревших или ненужных трат. Если вы не уверены, отзыв обычно оперативно обратимый: вы можете предоставить новое одобрение при следующем использовании легитимного заявления. Обычно он не закрывает кредитную, ликвидную или стейкинговую позицию самостоятельно, хотя следует проверить поведение, соответствующее протоколу.
5. Проверьте транзакцию в кошельке
Стандартное аннулирование взаимозаменяемого токена обычно устанавливает допуск равным нулю. Проверьте функцию сети, контракта токенов, распределителя и функции транзакции. Отклоните запрос, который неожиданно переводит активы, предоставляет другому оператору, меняет код счёта или требует не связанную подпись.
6. Оплатите бензин и ждите подтверждения
Отзыв меняет состояние блокчейна, поэтому требуется газ. Ожидающая или несостоявшаяся сделка не убрала это разрешение. После подтверждения обновите проверку и при необходимости напрямую проверьте контракт на токен.
А как насчёт подписей на разрешениях?
Некоторые токены поддерживают подписанные одобрения, часто описываемые как Разрешение. Вместо того чтобы отправлять транзакцию одобрения самостоятельно, вы подписываете структурированные данные, и другая сторона может их отправить. Это может улучшить пользовательский опыт, но вредоносная подпись всё равно может разрешать расходы.
Подпись может включать владельца, тратящего, стоимости, некоммерческого контракта, цепочку, контракт и крайний срок. Никогда не думайте, что «нет газа» означает «нет риска». Читайте расшифрованное сообщение в кошельке и откажитесь от слепого подписания. Некоторые системы разрешений используют отдельные механизмы nonce или отзыва, поэтому обычный проверитель разрешений может не отражать каждое состояние авторизации вне цепи одинаково.
Как часто следует проверять одобрения?
Универсального расписания нет. Проверьте после взаимодействия с незнакомым dApp, после новостей о нарушении протокола, перед внесением крупного баланса в старый кошелёк и в рамках периодической процедуры безопасности. Высокоактивные DeFi-кошельки требуют более частого внимания, чем холодный адрес, который никогда не подключается к приложениям.
Рассмотрите возможность использования отдельных кошельков по целям:
- кошелек с низким балансом для новых dApps;
- торговый или DeFi-кошелек для установленных позиций; и
- кошелёк для хранения, который редко или никогда не подписывает запросы dApp.
Это разделение ограничивает радиус взрыва, но добавляет резервной и операционной сложности. Наш путеводитель по Кошельки с самостоятельным содержанием Объясняет более широкий компромисс между горячим и холодным. Для контекста смарт-контрактов см. что такое DeFi и как он работает.
Чек-лист безопасности одобрения
- Проверьте домен и адрес контракта через первоисточники.
- Предпочитайте точную или ограниченную дозу, когда это возможно.
- Не одобряйте жетоны, которые вы не собираетесь использовать.
- Никогда не делитесь seed-фразой для отзыва одобрения.
- Не подписывайте нечитаемые сообщения по нежелательным ссылкам.
- Проверьте одобрения операторов NFT, а также разрешения на взаимозаменяемые токены.
- Повторите обзор для каждой сети.
- Подтверждайте отзывы в цепочке, а не доверяйте анимации успеха.
Часто задаваемые вопросы
Вернёт ли отзыв одобрения украденные токены?
Нет. Отзыв может предотвратить использование этого разрешения в будущем после подтверждения. Он не может отменить уже произошедшую передачу.
Стоит ли отмена денег?
Обычно да. Это изменение состояния в цепочке и требует родного токена сети.
Может ли одобрение истощить все активы в моём кошельке?
Стандартная надбавка применяется к конкретному контракту на жетон и расходу. Широкие одобрения операторов NFT могут покрывать целую коллекцию. Другие вредоносные подписи или разрешения умных аккаунтов могут быть шире, поэтому всегда проверяйте конкретный запрос.
Стоит ли отозвать все одобрения?
Это решение на основе риска и удобства. Удаление неиспользуемых разрешений снижает риск, тогда как активные dApps потребуют новых одобрений и газов.
В этой статье предоставляется общее образование по безопасности. Если вы подозреваете активный компромисс, прекратите подписывать, сохраняйте доказательства и обратитесь за помощью через проверенные официальные каналы.