Підключення гаманця до dApp і дозвіл витрачати токени — це дві різні дії. Закриття вкладки або натискання «Відключити» видаляє сесію сайту, але дозвол на токени в ланцюгу може залишатися активним роками. Якщо затверджений контракт є шкідливим або пізніше скомпрометований, цей дозвіл може поставити токени під загрозу.
Швидка відповідь: Переглядайте затвердження окремо на кожній мережі, перевіряйте інструмент управління затвердженнями, скасовуйте пільги, які вам більше не потрібні, і обмежуйте майбутні затвердження необхідною сумою. Відкликання — це транзакція в ланцюзі, тому зазвичай для газу потрібен нативний токен мережі.
Що таке схвалення символів?
Багато взаємозаємозамінних токенів використовують модель затвердження, засновану на стандарті ERC-20. Адреса гаманця — власник, а смарт-контракт — витрачає. An approve транзакція встановлює, скільки токенів може передати з вашої адреси transferFrom.
Наприклад, децентралізована біржа може запитати дозвіл витратити 100 USDC, щоб завершити своп. Деякі інтерфейси просять необмежену дозволу, щоб уникнути ще одного схвалення та плати за газ наступного разу. Необмежене схвалення зручне, але збільшує суму, яку відкривають, якщо контракт витратника або фронтенд стає небезпечним.
Стандарти NFT мають пов'язані дозволи. Власник може затвердити один токен або надати оператору дозвіл на кожен NFT у колекції через такі функції, як setApprovalForAll. Уважно прочитайте повідомлення в гаманці: схвалення одного товару і схвалення всіх товарів суттєво різні.
Відключення — це не скасування
| Бойові дії | Що це змінює | Чи знімає це дозвіл на ланцюжку? |
|---|---|---|
| Гаманець відключення | Припиняє або приховує підключення до сайту | Ні |
| Видаліть підключений сайт із гаманця | Це зупиняє автоматичний перегляд/запит цього джерела через сесію | Ні |
| Скасувати схвалення | Змінює дозвіл або статус оператора на ланцюгу | Так, після підтвердження |
| Переміщення токена на іншу адресу | Видаляє поточний баланс із затвердженої адреси | Ні; Старе схвалення залишається для майбутніх депозитів |
Як безпечно переглядати та відкликати схвалення
1. Ідентифікуйте мережу
Затвердження залежать від мережі. Огляд Ethereum Mainnet не відображатиме дозволи на Arbitrum, Base, BNB Chain, Polygon чи іншій мережі. Створіть список мереж, де гаманець зберігав або використовував токени.
2. Відкрийте перевірку довіреного затвердження
Використовуйте офіційну сторінку затвердження токенів у досліднику блоків або добре відомий інструмент мультимережевого затвердження, пов'язаний із первинним джерелом. Введіть або додайте адресу в закладки самостійно. Пошукові оголошення та особисті повідомлення часто імітують інструменти гаманця.
Ethereum.org наразі містить такі опції, як Etherscan, Blockscout, Revoke.cash, Unrekt і EverRevoke. Доступність і підтримувані мережі змінюються, тому підтверджуйте домен через офіційну документацію перед підключенням.
3. Перевірити витратника, актив і надбавку
Для кожного рядка повторюйте:
- контракт і символ символу;
- Адреса контракту Spender;
- статус затвердженої суми або необмеженого обмеження;
- дату останньої пов'язаної взаємодії;
- чи досі користуєтеся dApp; та
- чи відповідає адреса витратника поточній офіційній документації проєкту.
Знайома назва dApp, показана стороннім інтерфейсом, не є доказом. Контрактні етикетки можуть бути неповними або неправильними. Порівняйте адреси.
4. Оберіть, що скасувати
Скасувати схвалення для невідомих, застарілих або непотрібних витратників. Якщо ви не впевнені, відкликання зазвичай є оперативно зворотним: ви можете надати нове схвалення при наступному використанні легітимної заявки. Зазвичай він сам по собі не закриває позичальну, ліквідну чи стейкінгову позицію, хоча слід перевірити поведінку, специфічну для протоколу.
5. Перевірте транзакцію в гаманці
Стандартне скасування взаємозамінного токена зазвичай встановлює дозвіл до нуля. Підтвердіть мережу, контракт на токен, витратника та функцію транзакції. Відхиліть запит, який несподівано передає активи, надає іншому оператору, змінює код рахунку або просить непов'язаний підпис.
6. Оплатіть бензин і чекайте підтвердження
Скасування змінює стан блокчейну, тому потрібен газ. Очікувана або невдала транзакція не скасовує дозволу. Після підтвердження оновіть перевірку і, якщо потрібно, перевірте контракт токена напряму.
А як щодо підписів у дозволах?
Деякі токени підтримують підписані затвердження, які часто описуються як Дозвіл. Замість того, щоб самостійно надсилати транзакцію схвалення, ви підписуєте структуровані дані, і інша сторона може їх подати самостійно. Це може покращити користувацький досвід, але шкідливий підпис все одно може дозволити витрати.
Підпис може включати власника, витрачача, вартість, нонс, ланцюг, контракт і дедлайн. Ніколи не припускайте, що «без бензину» означає «без ризику». Читайте розшифроване повідомлення в гаманці і відхиляйте сліпу підписку. Деякі системи дозволів використовують окремі механізми nonce або відкликання, тому звичайний чекер дозволів може не відображати всі стан авторизації поза ланцюгом однаково.
Як часто слід переглядати затвердження?
Універсального розкладу немає. Перегляд після взаємодії з незнайомим dApp, після новини про компрометацію протоколу, перед тим, як покласти великий баланс у старий гаманець і як частину періодичної процедури безпеки. Високоактивні DeFi-гаманці потребують частішої уваги, ніж холодна адреса, яка ніколи не підключається до додатків.
Розгляньте можливість використання окремих гаманців за метою:
- низькобалансний гаманець для взаємодії для нових dApps;
- торговий або DeFi-гаманець для встановлених позицій; та
- гаманець для зберігання, який рідко або ніколи не підписує запити dApp.
Це розділення обмежує радіус вибуху, але додає резервної та операційної складності. Наш гід з Гаманці з самоопікою Пояснює ширший компроміс між гарячим і холодним. Для контексту смарт-контрактів див. що таке DeFi і як він працює.
Контрольний список безпеки затвердження
- Перевірте адресу домену та контракту через первинні джерела.
- Віддавайте перевагу точній або обмеженій дозволі, коли це можливо.
- Не схвалюйте токени, які ви не збираєтеся використовувати.
- Ніколи не поширюйте початкову фразу, щоб відкликати схвалення.
- Не підписуйте нечитабельні повідомлення за небажаними посиланнями.
- Перегляньте схвалення операторів NFT, а також дозволи на взаємозамінні токени.
- Повторіть огляд для кожної мережі.
- Підтверджуйте анулювання онлайн, а не довіряйте успішній анімації.
Поширені запитання
Чи поверне скасування схвалення викрадені токени?
Ні. Відкликання може запобігти подальшому використанню цього дозволу після підтвердження. Він не може скасувати вже відбувся переказ.
Чи коштує скасування грошей?
Зазвичай так. Це зміна стану в блокчейні, яка потребує власного газового токена мережі.
Чи може схвалення виснажити всі активи з мого гаманця?
Стандартна надбавка застосовується до конкретного контракту на символ і витратника. Широкі схвалення операторів NFT можуть покривати колекцію. Інші шкідливі підписи або дозволи для розумних акаунтів можуть бути ширшими, тому завжди перевіряйте точний запит.
Чи варто мені відкликати кожне схвалення?
Це рішення на основі ризику та зручності. Видалення невикористаних прав зменшує ризик, тоді як активні dApps вимагатимуть нових дозволів і газа.
Ця стаття містить загальну освіту з безпеки. Якщо ви підозрюєте активний компроміс, припиніть підписати, збережіть докази та зверніться по допомогу через підтверджені офіційні канали.