Одобрение токенов в криптовалюте: что это значит перед подключением кошелька

Одобрение токена — это разрешение в кошельке, которое позволяет смарт-контракту тратить токен от вашего имени. Оно часто используется на децентрализованных биржах, NFT-маркетплейсах, мостах и в DeFi-приложениях, но также может стать причиной потери средств, если пользователь подпишет неправильное одобрение или оставит неограниченный лимит, связанный с рискованным контрактом.

Эта страница объясняет практический вопрос безопасности, стоящий за запросом подписи: что этот контракт сможет делать с моими токенами после того, как я его одобрю?

В сетях, устроенных по типу Ethereum, многие токены следуют модели ERC-20. Стандарт ERC-20 включает функции approval и allowance, которые позволяют держателю токена уполномочить другой адрес, часто смарт-контракт, переводить заданное количество токенов. Официальная спецификация EIP-20 описывает эти функции по адресу https://eips.ethereum.org/EIPS/eip-20.

Сам по себе этот механизм не является вредоносным. Без одобрений многие распространённые действия с криптовалютой были бы неудобными или невозможными. Децентрализованной бирже нужно разрешение, чтобы переместить токен, который вы продаёте. Протоколу кредитования нужно разрешение, чтобы внести обеспечение. Маркетплейсу может понадобиться разрешение на перевод NFT при совершении продажи.

Риск в том, что одобрение может быть шире, чем ожидает пользователь. Некоторые интерфейсы запрашивают ограниченную сумму для одного действия. Другие запрашивают очень большой или фактически неограниченный лимит, чтобы пользователю не пришлось снова давать одобрение позже. Если контракт вредоносный, скомпрометирован или впоследствии используется во вред, такое постоянное разрешение может иметь значение.

Одобрение в кошельке — это не то же самое, что немедленная отправка средств. Оно создаёт разрешение для конкретного контракта или адреса получателя разрешения перемещать конкретный актив в пределах заданного лимита.

Например, если пользователь одобряет 1 000 USDC для контракта обмена, контракт может получить возможность перевести до этой суммы в рамках правил токен-контракта и одобренного приложения. Если пользователь одобряет неограниченную сумму, разрешение может оставаться полезным для получателя до тех пор, пока оно не будет изменено, отозвано или пока правила токена не предотвратят дальнейшее перемещение.

Запросы на одобрение различаются в зависимости от кошелька, сети и приложения. Некоторые чётко показывают адрес получателя разрешения. Другие скрывают слишком много деталей за экраном «подтвердить». Поэтому важна проверка источника: домен, адрес контракта, токен и запрошенная сумма должны соответствовать действию, которое пользователь намеревался выполнить.

Самые рискованные одобрения обычно имеют один или несколько общих признаков.

Первый — давление через домен. Поддельный airdrop, клонированная страница биржи или сайт, выдающий себя за поддержку, просит пользователя подключить кошелёк и быстро поставить подпись. Видимая страница может казаться знакомой, но адрес получателя разрешения может не принадлежать легитимному сервису.

Второй — несоответствие. Пользователь ожидает получить награду, подтвердить аккаунт или исправить проблему с кошельком, но запрос в кошельке просит разрешение на ценные токены или NFT. Легитимная проверка аккаунта обычно не должна требовать, чтобы сторонний контракт мог тратить активы пользователя.

Третий — неограниченный охват. Неограниченные одобрения распространены в DeFi, поэтому сами по себе они не могут считаться доказательством мошенничества. Проблема в контексте: неограниченное разрешение для известного контракта протокола отличается от неограниченного разрешения для неизвестного адреса, продвигаемого через сообщение в Telegram.

Четвёртый — устаревшее разрешение. Пользователь может перестать пользоваться приложением, но оставить лимиты активными на месяцы или годы. Если одобренный контракт позже станет небезопасным или если пользователь изначально одобрил поддельный контракт, кошелёк может оставаться под угрозой.

Инструменты проверки одобрений могут показать, какие адреса получателей разрешений имеют право перемещать токены из кошелька. Etherscan предоставляет инструмент проверки одобрений токенов для Ethereum-адресов по адресу https://etherscan.io/tokenapprovalchecker. Revoke.cash также предоставляет мультичейн-интерфейс для проверки и отзыва одобрений по адресу https://revoke.cash/.

Перед использованием любого инструмента одобрений введите домен вручную или откройте его из доверенной закладки. Отзыв одобрения сам по себе является ончейн-транзакцией, поэтому пользователь всё равно должен внимательно проверить, что кошелёк просит подписать.

Source-tracked CryptoRescue article.

Подключите кошелёк в режиме чтения, если инструмент это поддерживает, или по возможности выполните поиск по публичному адресу.
3. Проверьте адреса получателей разрешений, названия токенов и суммы лимитов.
4. Отзовите разрешения, которые больше не нужны, особенно неограниченные одобрения для незнакомых контрактов.
5. Сохраните хэши транзакций для любых транзакций отзыва на случай, если позже понадобится документировать хронологию.

Отзыв одобрения не возвращает средства, которые уже были перемещены. Он только меняет будущие разрешения. Если активы уже ушли из кошелька, следующий шаг — сохранение доказательств, а не гарантия восстановления.

Если подозрительное одобрение кажется связанным с исчезновением средств, сохраните записи до смены устройств, удаления чатов или закрытия вкладок браузера.

Сохраните адрес кошелька, хэш транзакции, подозрительный домен, адрес контракта, название токена, временную метку, скриншоты запроса, если они доступны, и любые сообщения, которые привели к подписи. Ссылки на обозреватель блоков полезнее обрезанных скриншотов, потому что они позволяют следователям, биржам или порталам для подачи жалоб проверить путь транзакции.

Не передавайте seed-фразу, приватный ключ или полный доступ к демонстрации экрана кому-либо, кто утверждает, что может «отменить» транзакцию. Блокчейн-транзакции обычно не могут быть отменены третьей стороной, а мошенники, обещающие восстановление, часто нацеливаются на жертв сразу после вывода средств из кошелька.

Перед подписанием нового одобрения задайте три конкретных вопроса: соответствует ли домен настоящему сервису, соответствует ли получатель разрешения действию и не превышает ли лимит необходимый размер?

Для старых кошельков настройте регулярную проверку одобрений, особенно после использования новых DeFi-приложений, NFT-маркетплейсов, мостов или страниц airdrop. Рассматривайте неизвестные неограниченные лимиты как повод остановиться и проверить, а не как самостоятельное доказательство того, что названный сервис является мошенническим. Самая надёжная оценка складывается из адреса контракта, официальной документации сервиса и истории транзакций вместе.