Как отозвать разрешения на токены до того, как ими воспользуется дренер кошельков

Разрешения на токены — одна из самых распространенных слепых зон в безопасности криптокошельков. Если вы пользуетесь децентрализованными биржами, NFT-маркетплейсами, мостами или стейкинг-приложениями, вы могли предоставить смарт-контракту право перемещать определенные токены из вашего кошелька. Понимание того, как отзывать разрешения на токены, помогает снизить экспозицию после использования подозрительного dApp, перехода на поддельную страницу airdrop или обнаружения старого неограниченного разрешения.

В этом руководстве объясняется, что делают разрешения, когда они становятся рискованными и как их проверять, не воспринимая ни один инструмент проверки как гарантию. Это не совет по восстановлению, юридическим вопросам или инвестициям.

Разрешение на токен — это ончейн-разрешение. Вместо немедленной отправки средств вы разрешаете адресу контракта тратить токен из вашего кошелька при определенных условиях. Это распространено в стандартах токенов в стиле Ethereum, таких как ERC-20, и в похожих моделях в совместимых сетях.

Разрешения не всегда плохи. Многим легитимным приложениям они нужны, чтобы вы могли торговать, вносить средства или взаимодействовать с протоколом. Риск возникает из-за слишком широких или забытых разрешений, разрешений, связанных с вредоносными контрактами, либо выданных через фишинговую страницу, имитирующую доверенный сервис.

В документации MetaMask по безопасности разрешения на токены описываются как разрешения, которые могут позволить dApp получать доступ к токенам, и пользователям рекомендуется понимать, что именно они одобряют перед подписанием. Etherscan также предоставляет инструмент проверки разрешений на токены для адресов Ethereum, который позволяет пользователям просматривать и отзывать разрешения через взаимодействие с кошельком.

Дренеру кошельков не всегда нужна ваша seed-фраза. В некоторых случаях злоумышленник обманом заставляет вас подписать разрешение или транзакцию, которая дает вредоносному контракту права на расходование токена или NFT. Если разрешение остается активным, риск может сохраняться даже после того, как вы закрыли сайт.

Отзыв не отменяет прошлые переводы. Он только изменяет будущие разрешения для конкретного токена, получателя разрешения и сети.

Начните с той сети, в которой вы выдали разрешение. Разрешения привязаны к конкретной сети, поэтому проверка Ethereum не покрывает автоматически Arbitrum, Base, BNB Chain, Polygon или другие сети.

Откройте надежный инструмент проверки разрешений напрямую. Для Ethereum инструмент проверки разрешений на токены от Etherscan доступен по адресу https://etherscan.io/tokenapprovalchecker. Revoke.cash также предоставляет мультичейн-проверку разрешений по адресу https://revoke.cash/.
2. Подключайте кошелек только после проверки домена. Введите адрес вручную или используйте сохраненную закладку. Не переходите по ссылкам из Telegram, ответов в Discord или рекламных объявлений в поиске без тщательной проверки.
3. Проверьте адрес получателя разрешения, токен и размер разрешения. Если вы не узнаете приложение, контракт или связь с токеном, воспринимайте это как повод для более глубокой проверки.
4. Отзовите или уменьшите разрешение. Отзыв требует ончейн-транзакции и обычно оплаты газа.
5. Подтвердите транзакцию в обозревателе блоков. Проверьте, что изменение разрешения было записано для правильного кошелька, токена и получателя разрешения.

Если интерфейс кошелька предупреждает, что запрос выглядит необычно, остановитесь и проверьте. Поддельная страница отзыва также может запрашивать опасные подписи.

Перед использованием любого инструмента для работы с разрешениями убедитесь, что вы не создаете новый риск, пытаясь решить прежний. Мошенники часто копируют дизайн легитимных инструментов для кошельков и публикуют домены-клоны.

Не вводите seed-фразу или приватный ключ ни в один инструмент проверки разрешений. Легитимная проверка разрешений на токены не требует вашей фразы восстановления.

Отзыв разрешений полезен, но это не полноценная реакция на любой инцидент. Если вы подписали вредоносную транзакцию, которая уже переместила средства, изменение разрешений не вернет эти активы. Если ваша seed-фраза или приватный ключ были раскрыты, новый кошелек обычно безопаснее, чем попытка «починить» старый.

• вы вводили фразу восстановления на любом сайте или в чате;
• вы установили подозрительное расширение кошелька или мобильное приложение;
• вы предоставили программе удаленного доступа контроль над своим устройством;
• после отзыва разрешений появляются повторные несанкционированные транзакции;
• тот же кошелек взаимодействовал с несколькими неизвестными контрактами.

Аппаратные кошельки могут снизить некоторые риски подписания, но они не делают небезопасные разрешения безвредными. Вам по-прежнему нужно читать запросы транзакций, проверять домены и по возможности избегать слепого подписания.

Универсального графика нет, но активным пользователям DeFi и NFT стоит проверять разрешения чаще, чем долгосрочным держателям, которые редко подключают кошельки. Практическое правило — проверять после любого взаимодействия повышенного риска: нового dApp, моста, получения токенов, минта NFT, ссылки из чата поддержки или транзакции, которая повела себя не так, как ожидалось.

Для кошельков, на которых хранится значимая стоимость, рассмотрите разделение активности. Один кошелек можно использовать для тестирования незнакомых приложений с ограниченной суммой средств, а другой оставить для хранения и меньшего числа разрешений. Сегментация не устраняет риск, но ограничивает то, что может быть раскрыто из-за одной ошибки.

Инструменты проверки разрешений зависят от ончейн-данных и сетей, которые они поддерживают. Они могут не покрывать каждый стандарт токенов, каждую сеть или каждый контрактный риск. Чистый список разрешений не доказывает, что кошелек безопасен, а подозрительное разрешение само по себе не доказывает, что названный проект является вредоносным.

Перед тем как действовать, проверьте домен инструмента, сравните адреса контрактов в обозревателе блоков, прочитайте запрос кошелька и сохраните записи о подозрительных ссылках, хешах транзакций и адресах получателей разрешений. Если средства были украдены, сохраните доказательства перед удалением приложений или чатов и сообщите об инциденте через соответствующую биржу, поставщика кошелька, правоохранительные органы или каналы регуляторов, где они доступны.