Риски одобрения токенов: как разрешения криптокошелька могут открыть доступ к средствам

Одобрение токена — одно из самых распространенных действий с кошельком в криптовалюте, но его также очень легко понять неправильно. Когда децентрализованная биржа, мост, NFT-маркетплейс или приложение для стейкинга запрашивает разрешение на использование токена, подпись может дать смарт-контракту право позже переместить этот актив из вашего кошелька.

Такое разрешение не всегда опасно. Многим приложениям оно нужно для работы. Риск в том, что широкое или неограниченное разрешение может оставаться активным еще долго после того, как вы покинете сайт. Если контракт является вредоносным, скомпрометированным или подменен через фишинговую страницу, одобрение может стать путем к краже.

В сетях в стиле Ethereum многие токены следуют стандарту ERC-20. Стандарт включает такие функции, как “approve” и “allowance”, которые позволяют держателю токенов уполномочить другой адрес, обычно смарт-контракт, потратить до заданного количества токенов.

Это отличается от прямой отправки средств. Перевод перемещает активы сейчас. Одобрение создает разрешение, которое может быть использовано позже, в зависимости от лимита и поведения контракта.

Например, если вы хотите обменять USDC на ETH на децентрализованной бирже, контракт биржи может запросить разрешение на доступ к вашим USDC. Ограниченное одобрение может разрешать только сумму, необходимую для этого обмена. Неограниченное одобрение может позволить контракту потратить любое количество этого токена из вашего кошелька, пока разрешение не будет изменено или отозвано.

Самое безопасное одобрение — то, которое вы понимаете до подтверждения. Интерфейсы кошельков различаются, и одни предупреждения понятнее других, поэтому пользователям стоит замедлиться каждый раз, когда запрос связан с разрешениями на активы, а не с простой подписью для входа.

Запрос разрешения, который не соответствует действию, — тревожный сигнал. Например, фейковую страницу аирдропа, которая просит широкий доступ к стейблкоинам, следует считать подозрительной, даже если дизайн страницы выглядит профессионально.

Неограниченные разрешения не всегда доказывают мошенничество. Некоторые легитимные протоколы используют их, чтобы сократить повторные транзакции одобрения и расходы на газ. Если пользователь часто торгует одним и тем же токеном, один раз одобрить максимальную сумму может быть удобнее, чем отдельно одобрять каждую сделку.

Это удобство создает постоянный риск. Если в одобренном контракте позже обнаружится уязвимость, если пользователь одобрил не тот контракт или если фишинговый сайт обманом заставил пользователя подписать запрос, лимит может подвергнуть риску средства, которые не были частью исходной транзакции.

Для кошельков с высокой стоимостью активов ограниченные одобрения обычно безопаснее. Для активных пользователей DeFi отдельный торговый кошелек с меньшими балансами может снизить ущерб, если небезопасное разрешение все же пройдет.

Лимит токена не передает кому-либо вашу seed-фразу или приватный ключ. Обычно он относится к конкретному токену и конкретному контракту-спендеру. Это различие важно, потому что реакция должна быть разной.

Если вы подписали подозрительное одобрение, вы можете снизить риск, отозвав лимит или переместив средства. Если вы передали seed-фразу или приватный ключ, сам кошелек следует считать скомпрометированным, и отзыва разрешений может быть недостаточно.

Мошенники часто размывают эти категории. Фейковые сотрудники поддержки могут утверждать, что им нужна ваша фраза восстановления, чтобы «отменить» ожидающее одобрение или «защитить» ваш кошелек. Ни одной легитимной службе поддержки кошелька не должна быть нужна ваша seed-фраза.

Вы можете проверить активные лимиты через блокчейн-обозреватели и инструменты проверки разрешений. Etherscan предоставляет проверку одобрений токенов для адресов Ethereum, а похожие инструменты существуют и для других сетей. Revoke.cash также предлагает мультичейн-интерфейс для просмотра и отзыва одобрений.

Перед использованием любого проверочного инструмента самостоятельно проверьте домен. Не переходите по ссылке, отправленной незнакомцем в Telegram, Discord, X или во всплывающем окне кошелька. Добавляйте в закладки инструменты, которым доверяете, и по возможности сверяйте адреса с официальной документацией.

Source-tracked CryptoRescue article.

Подключите или вставьте публичный адрес кошелька.
3. Сначала проверьте ценные токены, особенно стейблкоины и обернутые активы.
4. Ищите неограниченные лимиты или незнакомых спендеров.
5. Отзовите разрешения, которые больше не нужны.
6. Подтвердите транзакцию отзыва в своем кошельке и сохраните хеш транзакции.

Отзыв одобрения обычно требует ончейн-транзакции и сетевой комиссии. Он также не возвращает средства, которые уже были перемещены.

Дренеры кошельков часто полагаются на социальную инженерию еще до появления запроса на одобрение. Запрос подписи может быть представлен как что-то безобидное, например проверка права на аирдроп, подключение к службе поддержки, подтверждение владения кошельком или разблокировка ликвидности.

• Сайт просит одобрение до того, как показывает понятную услугу или транзакцию.
• «Сотрудник поддержки» давит на вас, чтобы вы подключили кошелек через приватную ссылку.
• Страница получения награды запрашивает доступ к ценным токенам, не связанным с предполагаемым вознаграждением.
• Предупреждение кошелька показывает неограниченное разрешение на трату.
• Домен является клоном известной биржи, NFT-проекта или DeFi-приложения.

Даже настоящий проект могут имитировать. Названия и логотипа на странице недостаточно. Адреса контрактов, официальные объявления и история домена — более сильные сигналы, хотя ни один из них сам по себе не идеален.

Если вы думаете, что одобрили вредоносный контракт, действуйте быстро, но избегайте панических шагов, которые создают еще больший риск.

Сначала прекратите взаимодействовать с сайтом. Не вводите seed-фразу, не устанавливайте программы удаленного доступа и не платите «комиссию за возврат». Затем проверьте активные лимиты с помощью надежного обозревателя или инструмента отзыва. По возможности отзовите подозрительные разрешения, начиная с ценных токенов.

Если активы остаются в кошельке и вы подозреваете более широкую компрометацию, рассмотрите возможность переместить их в новый кошелек, seed-фраза которого никогда не раскрывалась. При крупных потерях сохраните доказательства: хеши транзакций, адреса кошельков, URL сайтов, скриншоты, никнеймы в чатах и временные метки. Эти записи могут помочь при подаче сообщений на биржи, в правоохранительные органы или контактам в сфере блокчейн-аналитики.

Относитесь к каждому разрешению кошелька как к постоянной инструкции, а не как к одноразовому клику. Используйте ограниченные лимиты, когда это практично, отделяйте хранение активов высокой стоимости от DeFi-активности и проверяйте старые разрешения после использования новых приложений.

Полезные источники для проверки механики и состояния вашего кошелька включают документацию стандарта ERC-20, инструменты проверки одобрений в блокчейн-обозревателях и надежные инструменты отзыва. Эти источники могут показать, что одобрено, но они не могут гарантировать, что контракт безопасен или что сайт подлинный. Когда назначение, сумма или адрес спендера неясны, более безопасный шаг — отклонить запрос и проверить информацию через официальные каналы, прежде чем пробовать снова.