Como revogar aprovações de tokens antes que um wallet drainer as use

As aprovações de tokens são um dos pontos cegos mais comuns na segurança de carteiras cripto. Se você usa exchanges descentralizadas, marketplaces de NFT, bridges ou aplicativos de staking, pode ter concedido a um contrato inteligente permissão para mover tokens específicos da sua carteira. Aprender como revogar aprovações de tokens pode reduzir a exposição depois de usar uma dApp suspeita, clicar em uma página falsa de airdrop ou descobrir uma autorização ilimitada antiga.

Este guia explica o que as aprovações fazem, quando elas se tornam arriscadas e como revisá-las sem tratar nenhum verificador como garantia. Isto não é aconselhamento de recuperação, jurídico ou de investimento.

Uma aprovação de token é uma permissão on-chain. Em vez de enviar fundos imediatamente, você autoriza um endereço de contrato a gastar um token da sua carteira sob determinadas condições. Isso é comum em padrões de tokens no estilo Ethereum, como ERC-20, e em modelos semelhantes em redes compatíveis.

As aprovações nem sempre são ruins. Muitos aplicativos legítimos precisam delas para que você possa negociar, depositar ou interagir com um protocolo. O risco vem de aprovações amplas demais, esquecidas, conectadas a contratos maliciosos ou concedidas por meio de uma página de phishing que imita um serviço confiável.

A documentação de segurança da MetaMask descreve aprovações de tokens como permissões que podem permitir que uma dApp acesse tokens, e alerta os usuários para entenderem o que estão aprovando antes de assinar. A Etherscan também oferece um verificador de aprovações de tokens para endereços Ethereum, que permite aos usuários inspecionar e revogar autorizações por meio de interação com a carteira.

Um wallet drainer nem sempre precisa da sua seed phrase. Em alguns casos, o atacante engana você para assinar uma aprovação ou transação que concede a um contrato malicioso direitos de gasto sobre um token ou NFT. Se a permissão permanecer ativa, o risco pode continuar depois que você fechar o site.

A revogação não desfaz transferências passadas. Ela apenas altera a permissão futura para um token, endereço autorizado a gastar e rede específicos.

Comece pela rede em que você concedeu a permissão. As aprovações são específicas de cada blockchain, portanto verificar a Ethereum não cobre automaticamente Arbitrum, Base, BNB Chain, Polygon ou outras redes.

Abra diretamente um verificador de aprovações confiável. Para Ethereum, o verificador de aprovações de tokens da Etherscan está disponível em https://etherscan.io/tokenapprovalchecker. A Revoke.cash também oferece revisão de aprovações multi-chain em https://revoke.cash/.
2. Conecte a carteira somente depois de verificar o domínio. Digite o endereço manualmente ou use um favorito salvo. Não siga links do Telegram, respostas no Discord ou anúncios promovidos em buscas sem verificar cuidadosamente.
3. Revise o endereço autorizado a gastar, o token e a autorização. Se você não reconhecer a relação entre o aplicativo, contrato ou token, trate isso como motivo para uma verificação mais profunda.
4. Revogue ou reduza a autorização. A revogação exige uma transação on-chain e, normalmente, uma taxa de gas.
5. Confirme a transação em um explorador de blocos. Verifique se a alteração da aprovação foi registrada para a carteira, o token e o endereço autorizado a gastar corretos.

Se a interface da sua carteira alertar que uma solicitação parece incomum, pare e verifique. Uma página falsa de revogação também pode pedir assinaturas perigosas.

Antes de usar qualquer ferramenta de aprovação, confirme que você não está resolvendo um risco ao criar outro. Golpistas frequentemente copiam o design de ferramentas legítimas de carteira e publicam domínios clonados.

Não insira sua seed phrase ou chave privada em nenhum verificador de aprovações. Uma revisão legítima de autorizações de token não exige sua frase de recuperação.

Revogar permissões é útil, mas não é uma resposta completa para todos os incidentes. Se você assinou uma transação maliciosa que já moveu fundos, alterar autorizações não pode trazer esses ativos de volta. Se sua seed phrase ou chave privada foi exposta, uma nova carteira geralmente é mais segura do que tentar reparar a antiga.

• você digitou uma frase de recuperação em qualquer site ou chat;
• você instalou uma extensão de carteira ou aplicativo móvel suspeito;
• você deu a um software de acesso remoto o controle do seu dispositivo;
• transações não autorizadas repetidas aparecem após revogar aprovações;
• a mesma carteira interagiu com vários contratos desconhecidos.

Carteiras de hardware podem reduzir alguns riscos de assinatura, mas não tornam aprovações inseguras inofensivas. Você ainda precisa ler os prompts de transação, verificar domínios e evitar assinaturas às cegas sempre que possível.

Não há um cronograma universal, mas usuários ativos de DeFi e NFT devem revisar permissões com mais frequência do que holders de longo prazo que raramente conectam carteiras. Uma regra prática é verificar após qualquer interação de alto risco: uma nova dApp, uma bridge, um resgate de token, uma mintagem de NFT, um link de chat de suporte ou uma transação que não se comportou como esperado.

Para carteiras que mantêm valor significativo, considere separar atividades. Uma carteira pode ser usada para testar aplicativos desconhecidos com fundos limitados, enquanto outra permanece reservada para armazenamento e menos aprovações. A segmentação não elimina o risco, mas limita o que um único erro pode expor.

Verificadores de aprovações dependem dos dados on-chain e das redes que suportam. Eles podem não cobrir todos os padrões de token, todas as redes ou todos os riscos de contrato. Uma lista de aprovações limpa não é prova de que uma carteira está segura, e uma aprovação suspeita não é, por si só, prova de que um projeto nomeado é malicioso.

Antes de agir, verifique o domínio da ferramenta, compare endereços de contratos em um explorador de blocos, leia o prompt da carteira e mantenha registros de links suspeitos, hashes de transações e endereços autorizados a gastar. Se fundos foram roubados, salve evidências antes de excluir aplicativos ou chats e reporte pelos canais relevantes de exchange, provedor de carteira, autoridades policiais ou reguladores, quando disponíveis.