Искусство подтверждения токенов: как защитить свой кошелек от скрытого слива

Казалось бы, безобидный акт разрешения децентрализованному приложению (dApp) или смарт-контракту на доступ к вашим токенам является критическим моментом безопасности для любого владельца криптовалютного кошелька. Хотя это необходимо для многих операций DeFi, непроверенные подтверждения токенов могут стать скрытым путем для злоумышленников, чтобы опустошить ваши активы. Эта колонка углубляется в механику подтверждений токенов, риски, которые они представляют, и практические шаги, которые вы можете предпринять для защиты своего цифрового богатства.

Тезис: Понимание полного объема подтверждений токенов, их тщательная проверка и регулярный отзыв ненужных разрешений являются фундаментальными практиками для надежной безопасности криптокошелька, снижающими общий вектор потери активов.

Экосистема децентрализованных финансов (DeFi) процветает благодаря смарт-контрактам, которые автоматизируют сложные финансовые операции. Для взаимодействия с этими контрактами ваш кошелек часто должен предоставить им разрешение на перемещение определенных токенов с вашего счета. Это достигается с помощью функции `approve` в стандартах токенов ERC-20. Хотя эта функциональность обеспечивает беспрепятственную торговлю на децентрализованных биржах, протоколах кредитования и других dApps, она также создает постоянную уязвимость. В отличие от одноразовой транзакции, функция `approve` может предоставлять бессрочный доступ к вашим токенам до тех пор, пока она явно не будет отозвана. Это постоянное разрешение — именно то, что используют мошенники. Они охотятся на пользователей, которые предоставляют широкие разрешения, казалось бы, легитимным dApps, только для того, чтобы контракт этого dApp был скомпрометирован, или чтобы мошенник получил контроль над административными ключами скомпрометированного dApp.

Регулирующие органы, такие как Комиссия по ценным бумагам и биржам США (SEC) и Федеральная торговая комиссия (FTC), постоянно отмечают несанкционированный доступ и слив активов как значительные угрозы в криптопространстве. Предупреждения SEC для инвесторов о криптомошенничестве часто упоминают, как злоумышленники обманом заставляют пользователей подписывать вредоносные транзакции, которые предоставляют широкие подтверждения токенов. Аналогичным образом, FTC предоставляет рекомендации по распространенным мошенничествам с криптовалютами, включая те, которые используют скомпрометированные смарт-контракты или фишинговые тактики для получения доступа к токенам.

С технической стороны такие инструменты, как Revoke.cash, стали незаменимыми для пользователей криптовалют. Эта платформа позволяет владельцам кошельков просматривать все активные подтверждения токенов, связанные с их адресом, и отзывать их с помощью простой транзакции. Документация Ethers.js для метода `approve` ERC-20 четко описывает его функцию: он устанавливает лимит расходов для конкретного токена. Эта техническая основа имеет решающее значение для понимания того, что подтверждение является прямой инструкцией от вашего кошелька к контракту токена, предоставляющей разрешение другому адресу (получателю) на вывод токенов до указанной суммы.

Source-tracked CryptoRescue article.

Первоначальное взаимодействие: пользователь взаимодействует с dApp, возможно, новой децентрализованной биржей, платформой для фарминга доходности или даже, казалось бы, полезным инструментом NFT.
2. Запрос на подтверждение: для выполнения действия (например, обмена токенов, стейкинга активов) dApp предлагает пользователю разрешить контракту dApp тратить их токены. Это разрешение может быть для конкретного токена (например, ETH или USDT) или для «всех токенов» в кошельке, часто с очень высоким или «бесконечным» лимитом.
3. Компрометация или обман:
* Уязвимость контракта: смарт-контракт dApp может иметь скрытую уязвимость, которую может использовать злоумышленник.
* Фишинговая симуляция: само dApp может быть прикрытием для мошенничества, разработанным исключительно для того, чтобы обманом заставить пользователей предоставить подтверждения.
* Компрометация ключа администратора: если административные ключи dApp скомпрометированы, злоумышленник может использовать их для слива токенов, которые были утверждены для dApp.
4. Несанкционированный вывод: как только разрешение предоставлено, злоумышленник может инициировать транзакцию, которая выводит утвержденные токены из кошелька пользователя на свой собственный адрес. Поскольку разрешение уже было предоставлено, кошелек пользователя не требует новой подписи для самого вывода, что делает его похожим на законную, хотя и несанкционированную, транзакцию.

Source-tracked CryptoRescue article.

• Сумма подтверждения: всегда тщательно проверяйте «сумму» или «лимит», который подтверждается. Является ли это разумной суммой для немедленной транзакции, или она установлена на чрезвычайно высокое число (например, 2^256-1, часто представляемое как «бесконечность»)? Подтверждение конкретной, ограниченной суммы всегда безопаснее.
• Адрес контракта: перед подтверждением проверьте адрес смарт-контракта, с которым вы взаимодействуете. Мошенники часто развертывают свои собственные вредоносные контракты, которые очень похожи на легитимные. Используйте надежные эксплореры или агрегаторы dApp для подтверждения правильных адресов контрактов.
• Репутация dApp: тщательно изучите dApp. Ищите официальную документацию, обсуждения в сообществе, аудиты безопасности и отзывы из авторитетных источников. Остерегайтесь новых, непроверенных протоколов, особенно тех, которые обещают необычайно высокую доходность.
• Детали транзакции: всегда используйте кошелек, который предоставляет четкие, подробные сводки транзакций, прежде чем подписывать. Понимайте, какие разрешения вы предоставляете.
• Активные подтверждения: регулярно проверяйте свой кошелек на наличие активных подтверждений токенов с помощью таких сервисов, как Revoke.cash. Это ваш основной инструмент для управления этими постоянными разрешениями.

Управление подтверждениями токенов — это постоянный процесс, а не одноразовая задача.

Такие сервисы, как Revoke.cash, специально разработаны для этой цели. Подключите свой кошелек, и он отобразит список всех токенов, которым вы предоставили подтверждение, наряду с адресом получателя и подтвержденной суммой.

Для каждого подтверждения определите адрес, которому было предоставлено разрешение. Это законное dApp, которое вы узнаете и все еще используете? Или это незнакомый адрес, контракт, который вы больше не используете, или контракт, связанный с известным мошенничеством?

Если вы обнаружите какие-либо подтверждения, которые:
* На бесконечную сумму.
* Для контракта, который вы больше не используете или не доверяете.
* Для неизвестного или подозрительного адреса.
* Для токенов, которые вы больше не собираетесь использовать с этим dApp.

Вы должны их отозвать. Отзыв подтверждения требует отправки транзакции в контракт токена, по сути, обнуляя лимит. Эта транзакция повлечет за собой плату за газ, но это небольшая цена за безопасность ваших активов.

По возможности, вместо предоставления «бесконечного» подтверждения, выберите подтверждение конкретного, ограниченного количества токенов. Это значительно уменьшает потенциальные потери, если контракт dApp будет скомпрометирован.

Для взаимодействий с высоким риском или при изучении новых, непроверенных dApps рассмотрите возможность использования отдельного кошелька с минимальными средствами. Этот «сжигающий» кошелек можно использовать для предоставления подтверждений, ограничивая потенциальные потери средствами в этом конкретном кошельке.

Хотя подтверждения токенов являются хорошо изученным вектором риска, конкретная личность каждого мошенника остается неуловимой. Для многих скомпрометированных dApps или фишинговых сайтов конечных злоумышленников трудно отследить из-за псевдонимного характера блокчейна и сложной операционной безопасности. Кроме того, точный момент, когда ранее безопасный dApp может быть скомпрометирован или обнаружен новый эксплойт, непредсказуем. Эта присущая неопределенность означает, что профилактические меры безопасности, а не реактивные ответы, имеют первостепенное значение.

CryptoRescue продолжит отслеживать развивающуюся картину эксплойтов смарт-контрактов и фишинговых методов, использующих подтверждения токенов. Нас особенно интересуют:

• Новые категории dApp: выявление появляющихся типов dApp, которые могут создавать новые риски, связанные с подтверждением.
• Шаблоны эксплойтов: анализ технических деталей успешных эксплойтов для понимания общих уязвимостей.
• Обновления регулирования: отслеживание любых новых руководств или принудительных мер со стороны регулирующих органов в отношении безопасности dApp и защиты пользователей.
• Инструменты обучения пользователей: выделение и оценка новых инструментов или ресурсов, которые упрощают процесс управления подтверждениями токенов для обычных пользователей.

Оставаясь информированными и предоставляя нашим читателям действенную информацию, CryptoRescue стремится дать пользователям возможность ориентироваться в сложностях DeFi с большей уверенностью и безопасностью.